列车自动防护系统安全计算机可靠性与安全性分析

１４列车自动防护系统安全计算机可靠性与安全性分析

一＋臣［旧融卜Ｕ、赢叫一

ａ双机热备结构的系统ｂ三取二结构的系统

ｃ二乘二取二结构的系统

圈１双机热备、三取＝、二乘二取二等结构系统双机热备结构构成的系统没有双机比较检测出输出故障为危险故障的能力，并且两次故障发生在同一模块中才可能产生危险侧输出，所以发生故障为危险侧故障的概率与单机系统相同，双机热备结构构成的系统的安全度Ｓｓ２为：Ｓ鸵＝１—０【（１一Ｒ）（１一Ｒ）。

２．４三取二结构构成的系统可靠度、安全度分析

三取二结构构成的系统的可靠度Ｒｓ３为：Ｒｓ３＝Ｒ。＋ｃ；Ｒ‘（１一Ｒ）＝３Ｒ‘一２Ｒ。

三取二结构构成的系统通过引入双机比较的串联结构使系统具有检出危险侧故障的功能，并且当两次出现故障在不同的模块时才可能导致危险侧输出，其发生危险侧故障的概率ａＳ３为：ａ∞＝３０【｛２ｑ｝（１—８）；

三取二结构构成的系统的安全度Ｓ∞为：Ｓ∞＝１—６∥（１—８）（１—３Ｒ２＋２Ｒ３）。

２．５二乘二取二结构构成的系统的可靠度、安全度分析二乘二取二结构构成的系统的可靠度Ｒｓ４为：Ｒｓ４＝１一（１一Ｒ２）（１一Ｒ２）＝２Ｒ２一Ｒ４：

二乘二取二结构构成的系统有双机比较检出危险侧输出的功能，当第二次故障发生在另一系某个模块时才可能导致危险侧输出，危险侧故障的概率融为：ａｓ４＝４饯２（１—８）；

二乘二取二结构构成的系统的安全度Ｓｓ４为：ＳＳ４＝１—４仅２（１—６）（１一Ｒ２）２。

２．６可靠性分析

利用ＭＡＴＬＡＢ工具建模和仿真分析，得到如图２所示的单机、双机热备、三取二、二乘二取二结构构成的系统的可靠性曲线。

通过上述分析可知，不同的冗余结构，系统的可靠性有较大圈２几种冗余结构构成的系统的可靠性曲线差别，归纳得出如下结论：

１）双机热备结构构成的系统的可靠性和平均故障间隔时间与其它三种结构构成的系统相比，是最高的；

２）单机系统的可靠性低于双机热备结构构成的系统，如果单机系统可靠性Ｒ＞Ｏ．６１８，单机系统的可靠性是最低的；

３）三取二冗余结构构成的可靠性略高于二乘二取二结构构成的系统。

２１７安全性分析

根据上面各种冗余结构的安全度公式，假设：ａ＝０．０１，８＝Ｏ．９９失效率入＝１￥１０～，Ｒｓ１＝Ｏ．９７，可以得到如表１所示的结果：表１几种结构构成系统的可靠度、安全度

结构可靠度安全度

单机系统（）．９７（１（）００００００（Ｊ．９９９７００（Ｊ（）０（Ｊ

双机热备系统Ｏ．９９９】（）０（）（ｍ（）（）．９９９９９ｌＯ（）（）０

ｉ取■系统０．９９７３５４（｝０（１００．９９９８４８３８５３

二乘二取二：系统（１．９９６５０７１９００Ｏ．９９９８６６ｊ７５６

通过比较得出安全度有：

１）冗余系统的安全度取决于：单机系统的可靠度Ｒ；系统发生危险侧故障的概率伐；双机比较检出发生危险侧故障的检出率８；

２）各冗余结构的安全度为：ＳＳ４＞Ｓ∞＞Ｓｓ２＞Ｓｓ，。

由此可以得出，一个对安全性指标有特殊要求的系统，选择二乘二取二冗余结构具有重要意义。

３列车自动防护系统｛Ａ『ｒＰ）安全计算机二乘二取二冗余结构剖析

我国从某国引进的一组高速列车，其ＡＴＰ系统在保证列车安全、高速运行中发挥了极其重要的作用，ＡＴＰ使用的技术代表了当今国际的先进水平。对该组列车的ＡＴＰ车载安全计算机进行分析，发现其采用的是二乘二取二冗余结构。

此ＡＴＰ采用“设备优先”的列车控制方法，具有识别列车位置、制动防护、与司机人机交互、故障检测和记录等功能，其工作原理是：地面ＡＴＰ系统以数字形式传送停车点的位置信息，由列车确定自身位置，不断计算列车到停车点的距离，并考虑曲线、坡度等线路条件，计算出制动曲线，然后把计算出的制动曲线与列车实际运行速度进行比较，实施制动。

３．１ＡＴＰ安全计算机二乘二取二结构

此ＡＴＰ安全计算机由两个功能完全相同的二系系统构成，每个系统包含功能相同的两个ＣＰＵ，两个ＣＰＵ的处理结果送故障安全输出（ＬｓＩ）处理单元。ＬＳＩ根据各ＣＰＵ的结果得到制动指令，在Ｌｓｌ校核单元对制动指令进行比较，如果校验结果一致，系统正常输出；否则立即进行故障检测，启动切换机构，自动切换到另一正常系统。

此ＡＴＰ计算机结构（见图３）是典型的二乘二取二冗余结构，结合了双机比较的安全性和双重系统的可靠性的特点。此ＡＴＰ安全计算机还有很特别的地方，其两套系统处于完全平等的地位，两套系统没有主次之分，不存在一系系统故障引起启动

ＡＴＰ信号－匝泽故障安全

接收部ｒ．输出一

’ｉ竺ｆ¨［至卜（ＬＳＩ）输出

信号接收铡动单元１

速辫机Ｌ＝；｜。…删；。；，卜

圈３

ＡＴＰ安全计算机结毒訇

《工业控制计算机》２００８年２１卷第１期｛５

时间及其系统转换等相关技术问题，保证系统的稳定运行。

３．２可靠度和安全度模型仿真

此列车自动防护系统的安全计算机其单系统的可靠性Ｒ很

高，发生危险侧故障的概率ｄ在１０。２以下，根据上文中可靠性

和安全性公式可以判断此系统高安全可靠。

另外，我们对此安全计算机进行了模型仿真。仿真思想是第

一步，建立图１所示的二乘二取二模块抽象模型，建立四模块状

态、危险侧输出状态与系统输出状态的关系库，状态分为正常或

故障，确定仿真时问和采样间隔；第二步，根据模块可靠度Ｒ、危

险侧故障概率仅、故障检出率８随机产生模块状态序列和危险

侧输出状态序列；第三步，根据建立的关系库和随机状态序列，

仿真系统的可靠输出和安全输出；第四步，重复第二、三步，得到

系统可靠输出和安全输出的统计值。

为了使仿真结果具有一般性，选取参数：ａ＝Ｏ．０１，８＝０．９９，Ｒｓｌ＿Ｏ．９７，仿真时间ｔ＝２０００小时，采样间隔ｃ＝１小时，仿真结果如图４所示。

实验中，为保证单机系统０．９７以上可靠性，假设固定仿真时间２０００小时。仿真５００次，结果表明，系统都能保证产生安全输出，即安全度Ｓｓ４＝１，可靠度Ｒｓ４＝０．９９６６，与前面通过公式计算的结果基本相符。

本仿真通过建模模拟各模块在随机故障状态下系统的运行，实验结果与数学公式推导结果相符，进一步说明二乘二取二冗余结构具有高可靠性和安全性。本引进动车的ＡＴＰ的车载安全计算机采用此冗余结构能实现高要求的连续运行模式。

另外本车型的ＡＴＰ车载计算机系统，要进行双日检测，月检和９０天检测。双日检测内容包括：ＡＴＰ装置是否损伤，有无ＡＴＰ故障显示；月检内容包括：ＡＴＰ车上装置的外观和安装状态是否良好；９０天内ＡＴＰ特性检查，内容包括：检查各部的损伤、安装状态、动作特性和机能。通过这些检测并及时维修，既降低

图４二乘二取二冗余结构构成系统的模型仿真

成本，又利于提高系统运行的可靠性和安全性。

４结束语

通过推理与仿真，本引进ＡＴＰ系统安全计算机采用二乘二取二冗余结构，在可靠性和安全性综合指标上，相对双机热备和三取＝的冗余结构具有明显的优势。另外，该安全计算机做到了保证系统每个单元具有自检测能力；每系平等关系且没有主次之分；系统定期检测。所以，此引进ＡＴＰ安全计算机能高可靠、高安全、稳定运行。

参考文献

［１］张新明，王俊高．二乘二取二冗余计算机联锁系统的结构与安全性分析［Ｃ］∥铁道科学研究院５５周年论文集。北京：中国铁道出版社，２００５：９２—９７

［２］张萍，赵阳．铁路车站计算机联锁控制系统的可靠性和安全性分析［Ｊ］．中国安全科学学报，２００３（４）：４８—５０

［收稿日期：２００７．７．１３］

省ｅ，警｝ｊｋ■｝曹酝书｝■｝■｝呻ｋ鞋省｝■｝！Ｉｋ｝啦夸ｋ翊｝螺蝴｝■拿ｄｋ瑚｝■章船ｄ譬誊｝ｄ譬嗣Ｐ■｝、卓ｋ■亭—ｋ■｝业ｊｋ■ｔｊｋｄｋ■章—譬—ｋ！§ｋ’鬻鲁｝斗｝—ｋ’ｅ－｝嵌夸ｋ

（上接第１２页）

字我们都要使用，在此我们把常用控制命令语句的汉字编码放在控制器的一段固定的内存中，当读取到Ｔｃ３５Ｉ中新的消息以后，将其内容与内存中的值进行比较，如果判断是某个命令就返回相应的消息，如果不是其中的任何一个我们事先设定的值，则不予执行。返回错误。

圈３系统软件流程３．２系统的软件流程

整个系统实现现场和远程控制两种方案，软件设计的重点是控制功率变换模块的正常运行以及和ＴＣ３５Ｉ的通信链路。采用汇编语言进行编写。具体软件流程如３所示。

在ＳＣ｝通信初始化的时候，首先设置数据通信速率和通过ＡＴ＋ＣＭＧＦ命令设置信息编码模式，这里采用ＰＤＵ编码，传送汉字短消息。远程控制模式下，启动成功以后，加热系统转入正常工作状态，同时ＳＣＩ中断打开，随时准备接受远程的控制命令。

４结束语

本文主要介绍了利用ＳＭＳ短消息，通过ＤＳＰ控制器来远程控制感应加热系统的基本原理和具体实现，感应加热系统也可以通过ＤＳＰ进行本地控制。通过实验室部分实验验证，达到了通信可靠，控制正确的目的，为提高机车冬天的低温启动性能提供了一个很有价值的解决方案。

参考文献

［１］ＳｃｏｆｆＢ．Ｇｕｔｈｅｒｙ，ＭａｒｙＪ．Ｃｒｏｎｉｎ．移动应用开发［Ｍ】．白敏，黄翔，等，译．北哀：人民邮电出敝社，２００３：１２—４２

［２】江思敏，等．刑Ｓ３２０ＬＦ２４０７ｘＤＳＰ硬件开发教程【Ｍ】．北京：机械工业出版社，２００３

［收稿日期：２００７岛７］