計算機聯(lián)鎖系統(tǒng)安全可靠性設(shè)計淺析

【摘要】從計算機聯(lián)鎖系統(tǒng)在鐵路交通應(yīng)用中的基本組成和基本功能著手，根據(jù)影響計算機聯(lián)鎖系統(tǒng)安全可靠性的一些關(guān)鍵因素，分析了在研制開發(fā)計算機聯(lián)鎖系統(tǒng)設(shè)備過程中所采用的改善和提高安全可靠性的幾種方法。
【關(guān)鍵詞】計算機聯(lián)鎖系統(tǒng) 安全可靠性 硬件 軟件
1 概述
計算機聯(lián)鎖系統(tǒng)的安全可靠性是研究、開發(fā)、生產(chǎn)計算機聯(lián)鎖設(shè)備必須遵循的永恒的主題，也是驗證計算機聯(lián)鎖系統(tǒng)性能的主要依據(jù)。計算機聯(lián)鎖設(shè)備是一種連續(xù)工作的實時系統(tǒng)，它必須具有極高的安全性和可靠性才能適應(yīng)鐵路運輸和城市軌道交通高效和安全的運營要求。
其實汁算機聯(lián)鎖系統(tǒng)的安全性是指聯(lián)鎖設(shè)備在運行過程中無論發(fā)生什么故障都不能產(chǎn)生有可能危及列車安全運行的危險因素，一般著重于在不正常的情況下使系統(tǒng)導(dǎo)向安全，防止產(chǎn)生危險后果；而可靠性是指聯(lián)鎖設(shè)備在規(guī)定的時間和規(guī)定的條件下完成規(guī)定功能的能力，一般側(cè)重于防止或減少系統(tǒng)發(fā)生故障。顯然，安全性的實現(xiàn)是以可靠性為基礎(chǔ)，并在提高可靠性的前提下完成的。為了系統(tǒng)地分析問題，我們將把計算機聯(lián)鎖系統(tǒng)的安全性和可靠性結(jié)合在一起考慮，并著重從系統(tǒng)的硬件設(shè)計、軟件設(shè)計和數(shù)據(jù)傳輸及處理等幾個方面采取各種綜合技術(shù)措施，使計算機聯(lián)鎖系統(tǒng)符合故障—一安全的原則。
2 硬件部分的安全可靠性分析
根據(jù)計算機聯(lián)鎖系統(tǒng)的結(jié)構(gòu)組成和功能特點，硬件部分的安全可靠性技術(shù)從計算機聯(lián)鎖系統(tǒng)的上位機、聯(lián)鎖機和接口電路三個部分進行分析。
2．1上位機安全可靠性分析
上位機主要功能是向聯(lián)鎖機構(gòu)輸入操作信息，接受聯(lián)鎖機構(gòu)輸出的反映設(shè)備工作狀態(tài)和行車作業(yè)情況的表示信息。為此上位機可采用經(jīng)國際安全機構(gòu)認證的高可靠工業(yè)控制計算機，摒棄原商用機所采用的大母板結(jié)構(gòu)，把原來的大底版(系統(tǒng)板)功能集中在一塊ALL--IN--ONE插卡上，底板變成無源總線母板，增加了插槽數(shù)，便于系統(tǒng)的升級擴展。
采用的機箱結(jié)構(gòu)具有良好的散熱、隔熱、防潮、防塵性能，驅(qū)動器架采取避震措施，使整個機箱具有可靠的機械強度和很好的抗電磁干擾的能力；采用不問斷供電及凈化的專用開關(guān)電源，抗共模干擾，具有浪涌保護、過載保護、漏電保護的功能，單機設(shè)備的平均無故障工作時間可達到100000h。
計算機聯(lián)鎖系統(tǒng)的維修機和上位機的配置是一致的，平常可作為上位機的熱備機，在系統(tǒng)故障時能夠進行自動無擾切換，切換過程不影響現(xiàn)場設(shè)備狀態(tài)，提高設(shè)備可靠性。
上位機的人機接口界面的設(shè)計使用先進的工業(yè)控制軟件，使得系統(tǒng)的監(jiān)控不僅具有友好的人機交互界面，而且具有豐富的圖形畫面顯示及圖形操作功能，調(diào)圖方式靈活，修改參數(shù)方便。在設(shè)計中，根據(jù)鐵路交通和城市軌道交通信號計算機聯(lián)鎖的特點，可以靈活運用登錄口令、操作員權(quán)限、安全設(shè)定點、設(shè)定點口令、安全審計跟蹤記錄等安全特性，確保聯(lián)鎖系統(tǒng)執(zhí)行操作的安全可靠。
2．2聯(lián)鎖機安全可靠性分析
聯(lián)鎖機是信號控制系統(tǒng)的核心。在設(shè)計中，可選用國際安全機構(gòu)認證的硬件三重冗余計算機聯(lián)鎖系統(tǒng)，用于實現(xiàn)聯(lián)鎖數(shù)據(jù)處理過程的故障—安全。所謂三重化冗余系統(tǒng)是指系統(tǒng)共有A、B、c三個相同的主機，每個主機可以把它看成系統(tǒng)中的一個模塊。三個模塊同時執(zhí)行一致的操作，其輸出送到“表決器”的輸入端，然后把表決器的輸出作為系統(tǒng)的輸出。結(jié)果經(jīng)輸出設(shè)備三取二表決后進行輸出，可以保證輸出的安全性。當(dāng)其中一個聯(lián)鎖處理單元聯(lián)鎖邏輯單元故障時，系統(tǒng)能夠轉(zhuǎn)換為二取二工作方式，在不降低安全陛的前提下，使整體系統(tǒng)的可靠性得到提高。
采用三取二表決系統(tǒng)原本是為了提高系統(tǒng)的可靠性而采取的一種冗余系統(tǒng)。然而從安全性角度來看，若有兩個主機發(fā)生了同樣的故障，即共模故障，系統(tǒng)將輸出錯誤信息，經(jīng)接口驅(qū)動后，有可能危及行車的安全。因此，必須消除軟硬件的設(shè)計錯誤，當(dāng)主機的設(shè)計完全正確無誤時，僅由硬件失效和干擾而產(chǎn)生的共模故障的發(fā)生概率就很小。為了進—步降低未檢出故障的組合而產(chǎn)生共模故障的可能性，可利用單機自檢技術(shù)、主機間互檢技術(shù)和雙套不同的軟件，擴大故障檢測范圍，消除因干擾而引起的影響。
為了保證三重化冗余系統(tǒng)能夠通過多數(shù)一致表決得到正確的結(jié)果和發(fā)現(xiàn)出錯的模塊，這就要求三臺微機必須同步工作。否則，整個系統(tǒng)便會出現(xiàn)紊亂狀態(tài)，多數(shù)一致表決無法進行，系統(tǒng)無法保證正常可靠的工作。
計算機聯(lián)鎖系統(tǒng)為保證安全可靠而采取的主要措施是：全面的在線自診斷和專門的安全檢查程序。這就要求系統(tǒng)在規(guī)定的周期內(nèi)對計算機的運算器、存儲器、接口等元器件用一系列自診斷程序進行全面自診，而安全檢查程序則對聯(lián)鎖程序任務(wù)模塊的運行狀態(tài)進行監(jiān)視，對關(guān)鍵信息代碼的合法性進行檢查。在自診斷和專門的安全檢查中一旦發(fā)現(xiàn)故障，立即切斷計算機的輸出(同時報警)。在設(shè)計中必須采取有效的措施來確保：
(1)檢測過程本身應(yīng)具有安全性，或采用相應(yīng)硬件及軟件措施來實現(xiàn)安全性；
(2)檢測要要有足夠的頻率，使類似或等同故障在二次檢測之間不會發(fā)生；
(3)檢測要足夠靈敏，能夠測出每個安全單元之中的重要故障；
(4)檢測失敗時應(yīng)及時產(chǎn)生安全保護動作；
(5)冗余裝置要足夠獨立，使之不受其他故障的影響。
例如在具體實施中，使輸出控制單元經(jīng)過表決后輸出，所有輸出進行反饋檢查閉環(huán)控制；在輸出執(zhí)行環(huán)節(jié)采用條件電源供電方法，當(dāng)用實時檢測或?qū)崟r比較技術(shù)發(fā)現(xiàn)聯(lián)鎖微機內(nèi)部故障時，即使產(chǎn)生危險側(cè)的錯誤控制命令，通過強制切斷執(zhí)行環(huán)節(jié)的條件電源，減少錯誤的控制命令輸出。
采用光電隔離技術(shù)，接點輸入電路要經(jīng)過光電耦合后力節(jié)目接至接口電路輸入輸出模塊，有效的抑制接點輸入電路的電磁干擾；采用靜態(tài)輸入或動態(tài)輸入方式，以便有效的實現(xiàn)故障—安全原則。
在輸出接口的設(shè)計中，采用代碼—動靜態(tài)和動靜態(tài)—電平兩級變換電路；采用不間斷供電及凈化的專用電源，電源模塊內(nèi)部設(shè)有雙重化電壓調(diào)整器及自診斷電路，可檢測電壓的輸出范圍與是否超溫并給出相應(yīng)報警。
2．3 接口電路安全可靠性分析
由于一般繼電電路采用的重力式安全繼電器具有很高的安全性，在我國鐵路中運用了幾十年，為此計算機聯(lián)鎖系統(tǒng)的接口電路仍然以安全繼電器作為計算機聯(lián)鎖機構(gòu)與室外設(shè)備控制電路的接口。我們知道安全繼電器通過以下技術(shù)實現(xiàn)故障—一安全：電氣接點采用特殊材料制作，使接點粘連的可能極小；采用吹弧技術(shù)，消除接點拉弧造成熔接；采用重力式設(shè)計原理，在繼電器故障時，利用其重力使銜鐵復(fù)位，從而保證實現(xiàn)系統(tǒng)的故障——安全的目的。
為此在計算機聯(lián)鎖系統(tǒng)中，信號、道岔、軌道電路等監(jiān)控對象的狀態(tài)信息依然是用安全型繼電器的接點狀態(tài)來反映的，輸人接口的任務(wù)就是將這種電平形式的二值邏輯數(shù)據(jù)安全地采集到聯(lián)鎖機中來。
2．4 其他方面的安全可靠性分析
考慮計算機聯(lián)鎖系統(tǒng)硬件設(shè)備的其他方面的安全可靠性，對包括電源、計算機、數(shù)據(jù)通訊線路、輸人輸出接口、機架結(jié)構(gòu)及地線設(shè)置等方面采取了電磁兼容設(shè)計和防雷設(shè)計，以保證在規(guī)定等級的運用環(huán)境中，設(shè)備必須正常工作，不產(chǎn)生任何指標下降和功能上非期望值的偏差。
3 軟件系統(tǒng)的安全可靠性分析
在計算機聯(lián)鎖控制系統(tǒng)里，各種復(fù)雜的功能主要依靠軟件來實現(xiàn)。嵌入在安全控制系統(tǒng)中的軟件，不僅要能完整地實現(xiàn)系統(tǒng)的控制功能，還要能保證實現(xiàn)系統(tǒng)在發(fā)生意外時的安全防護即故障—一安全功能。
一般在汁算機聯(lián)鎖控制系統(tǒng)中，普遍采用以下軟件技術(shù)來提高系統(tǒng)的安全可靠性：
(1)采用信息編碼技術(shù)，以便出錯時能被及時識別。例如，對于涉及行車安全的邏輯變量，用多元代碼來表示安全變量的兩個值—一安全側(cè)值和危險側(cè)值。這樣，當(dāng)代碼在存儲或傳輸過程中，由于存儲器硬件故障或者外界干擾而發(fā)生畸變，一旦錯成非法碼時，就可由軟件自動檢出并導(dǎo)向安全側(cè)。
(2)采用軟件冗余技術(shù)，保證軟件運行的安全性。
(3)采用軟件檢測技術(shù)及時發(fā)現(xiàn)故障，以進一步采取措施防止危險側(cè)信息的發(fā)生和輸出。
(4)利用軟件對輸人數(shù)據(jù)的合理性進行檢查，劉輸出的控制信息進行反饋重復(fù)檢查等等。

圖1 計算機聯(lián)鎖系統(tǒng)數(shù)據(jù)處理模型框圖
圖1是一個從安全角度去考慮的計算機聯(lián)鎖系統(tǒng)的框圖，實際上也是計算機聯(lián)鎖系統(tǒng)的一個安全性模型，只是僅從保障安全的角度把計算機聯(lián)鎖系統(tǒng)描述成為一個典型的數(shù)據(jù)處理系統(tǒng)。對于計算機聯(lián)鎖系統(tǒng)來說，保障安全就是保障框圖中的數(shù)據(jù)流和控制流這兩種信息處理的安全；退一步講，即便信息處理發(fā)生錯誤也不會導(dǎo)致危險的后果。
聯(lián)鎖機和外部設(shè)備的輸入/輸出信息具有兩種特性，—是開關(guān)性；二是安全性。外部設(shè)備向聯(lián)鎖機提供的輸入信息具有開關(guān)性。同樣，聯(lián)鎖機的輸出信息也具有開關(guān)性，這種開關(guān)性可由表示兩個狀態(tài)的器件如繼電器來反映。輸入/輸出信息的安全性是根據(jù)信息與行車安全的關(guān)系來界定的。一類是與安全無關(guān)的信息，稱作非安全信息；另一類是與安全有關(guān)的信息，稱作安全信息。
聯(lián)鎖機和監(jiān)控對象之間交換的信息屬于安全信息，因此必須考慮當(dāng)輸凡輸出通道發(fā)生故障時，一定要確保傳送信息的安全。為此，在通道設(shè)計上必須采用安全輸凡輸出接口。在CPU與輸入和輸出模塊間采用專用總線以保證傳送的正確性，對輸入電路采用光電隔離電路讀取。輸入值，以檢測“粘連”狀態(tài)，對各個輸出信號在提供給繼電器前進行表決，不致因輸出模塊本身的故障而影響信息安全。一般在具體的系統(tǒng)設(shè)計中，可采取如下措施：
(1)安全信息的輸入：在計算機輸出每種信號設(shè)備狀態(tài)碼的第一位后，待輸出電平穩(wěn)定(如20ms)，再將每種信號設(shè)備狀態(tài)碼的第一位讀入儲存，并立即輸出第二位代碼；讀入全部代碼后，經(jīng)計算機整理后再傳給每個對象的存儲模塊。
(2)安全信息的存儲與更新：計算機聯(lián)鎖中監(jiān)視現(xiàn)場設(shè)備狀態(tài)的存儲單元，在宏觀上必須與被監(jiān)視的對象建立不斷的聯(lián)系，當(dāng)聯(lián)系中斷時，系統(tǒng)必須立即倒向安全。
(3)安全信息的運算：聯(lián)鎖條件滿足時，程序的走向和運算結(jié)果都是預(yù)知的。為了提高安全性和防止漏檢查聯(lián)鎖條件，在每次判斷條件成立后，將該條代碼進行按位累加，聯(lián)鎖關(guān)系全部檢查正確時，其累加值應(yīng)與預(yù)期結(jié)果相符。
(4)安全信息的輸出：計算機的開關(guān)量的輸出是非故障安全的。為了保證安全，可對輸出環(huán)節(jié)進行連續(xù)的監(jiān)視，如出現(xiàn)不應(yīng)有的危險側(cè)輸出，應(yīng)快速地在現(xiàn)場設(shè)備未動作前予以切斷。
(5)安全信息在計算機間的傳遞：為了符合信號系統(tǒng)的傳統(tǒng)做法，遵循故障安全的要求，在計算機聯(lián)鎖的設(shè)計時，應(yīng)采用點對點的循環(huán)傳送方法，而不采用變化檢出、一次傳送的方法。
計算機聯(lián)鎖的串行數(shù)據(jù)在傳輸過程中，由于干擾而引起誤碼是難免的，在檢查數(shù)據(jù)位和冗余位之間的關(guān)系是否正確時，應(yīng)著重防止在傳輸中錯誤地出現(xiàn)危險側(cè)代碼。為了確保信息傳輸?shù)陌踩煽浚环矫婵梢圆捎萌哂喽刃　z錯能力高的循環(huán)碼(CRC)作為檢錯碼；另一方面就是在軟件編程時對傳輸?shù)男畔⑦M行特殊編碼，并以反饋重發(fā)方式糾錯。
根據(jù)編碼理論，利用n位二值碼元可生成一個具有2”種伏態(tài)的碼字或代碼的集合。在這2”種狀態(tài)的代碼組合當(dāng)中，僅取一種狀態(tài)代表危險側(cè)碼字(例如用危險側(cè)碼字10101 010代表對應(yīng)繼電器吸起)，再取另一種狀態(tài)代表安全側(cè)碼字(例如用安全側(cè)碼字01 010101代表對應(yīng)繼電器落下)，其余的均認為是非法碼字，則這種代碼便具有典型的故障—一安全特性。由于非法碼字在正常的聯(lián)鎖運算時也被認做安全側(cè)碼字，故而該編碼組合僅有1種碼字對應(yīng)危險側(cè)，其余2“—1種狀態(tài)均對應(yīng)安全側(cè)。但在實際的運行中要真正能做到故障導(dǎo)向安全，還需對軟件編程的安全編碼進行科學(xué)的分析和認真的考慮。
我們認為編碼中各個碼元發(fā)生差錯的概率是相同的且不同碼元發(fā)生差錯的事件是獨立的。假定每一碼元發(fā)生差錯的概率是"，則無差錯的概率即為1—p，此時整個代碼均無差錯的概率為(1—p)“。當(dāng)選用編碼組合中碼距最大的一對代碼，即碼距等于n的—對代碼分別作為代表危險側(cè)和安全側(cè)的有效碼時，安全側(cè)代碼因故畸變成危險側(cè)代碼的條件是n個碼元同時出錯，其出錯概率為曠；而安全側(cè)代碼出錯變?yōu)榱硗庖粋€代碼的概率則為1—(1—p)，顯然這兩個概率有著明顯的數(shù)量的不同，這就造成了編碼在故障或受到干擾情況下邏輯出錯的不對稱性，假定2“種編碼中任一個發(fā)生畸變、出錯變?yōu)榱硗馊我粋€代碼的概率相同，均為P(c)；此時，因危險側(cè)代碼只有—個，某一代碼錯為該代碼的概率即為戶(c)以上數(shù)值與目前國內(nèi)外廣泛使用的信號安全型繼電器的不對稱指數(shù)相比顯然是可以認可的；同時n取為16，恰好是計算機內(nèi)存字節(jié)的整數(shù)，便于進行軟件編程。根據(jù)鐵道部《計算機聯(lián)鎖技術(shù)條件》標準，與行車安全有關(guān)的信息在計算機內(nèi)必須以空間冗余的方式存儲，在自由狀態(tài)下其非法碼字和合法碼字出現(xiàn)的比率或非安全側(cè)碼字和安全側(cè)碼字出現(xiàn)的比率必須大于255：1，上述規(guī)定中所謂空間冗余即意味著必須用多余的信息位表示單一比特的信息，采用不對稱碼元的方法表示涉安信息即為空間冗余方法之一。此外，自由狀態(tài)即指任一代碼發(fā)生畸變而成另一代碼相同概率P(c)的假設(shè)。該條件給出的具體數(shù)值則意味著如采用不對稱碼元，則所選代碼位至少為n：8。基于這些原因，計算機聯(lián)鎖中選用16位代碼來表示聯(lián)鎖數(shù)據(jù)是可取的。經(jīng)過正確的合理編碼，完全可以保證編碼的漢明距大于4。
4 結(jié) 論
計算機聯(lián)鎖系統(tǒng)的安全可靠性是計算機聯(lián)鎖系統(tǒng)的關(guān)鍵，我們必須從系統(tǒng)的硬件設(shè)計、軟件設(shè)計和數(shù)據(jù)傳輸及處理等幾個方面采取各種綜合技術(shù)措施，才可使計算機聯(lián)鎖系統(tǒng)符合故障—一安全的原則。
綜合以上分析和考慮，并通過可估算和推導(dǎo)的數(shù)學(xué)方法進行可靠性和安全性計算機聯(lián)鎖系統(tǒng)的安全可靠性指標：平均故障間隔時間MTBF為1x10h，平均危險側(cè)故障間隔時間MTBFAS為1x10h，符合國家標準。

參考文獻
[1] 吳汶麟城市軌道交通信號與通信系統(tǒng).北京：中國鐵道出版社，
[2] 吳芳美，鐵路安全軟件測試評估，北京：中國鐵道出版杜，2001
[3] 趙志熙.計算機聯(lián)鎖系統(tǒng)技術(shù)北京：中國鐵道出版社，1999
[4] TB／T3027--2002．計算機聯(lián)鎖技術(shù)條件
[5] TB／t2307--1992．電氣集中各種結(jié)合電路技術(shù)條件
[6]鐵路控制和防護系統(tǒng)軟件RailwayApplication：softwareforrailwayControlandProtectionSystem，F(xiàn)eburaryl994．EN50128
[7]快路安全電子系統(tǒng)RailwayAPpllcatlon：SafetyRelatedElectronic，BN50129