计算机联锁系统安全可靠性设计浅析

1、计算机联锁系统平安可靠性设计浅析【摘要】从计算机联锁系统在铁路交通应用中的根本组成和根本功能着手，根据影响计算机联锁系统平安可靠性的一些关键因素，分析了在研制开发计算机联锁系统设备过程中所采用的改善和进步平安可靠性的几种方法。【关键词】计算机联锁系统平安可靠性硬件软件1概述计算机联锁系统的平安可靠性是研究、开发、消费计算机联锁设备必须遵循的永久的主题，也是验证计算机联锁系统性能的主要根据。计算机联锁设备是一种连续工作的实时系统，它必须具有极高的平安性和可靠性才能适应铁路运输和城市轨道交通高效和平安的运营要求。其实汁算机联锁系统的平安性是指联锁设备在运行过程中无论发生什么故障都不能产生有可能危及

2、列车平安运行的危险因素，一般着重于在不正常的情况下使系统导向平安，防止产生危险后果；而可靠性是指联锁设备在规定的时间和规定的条件下完成规定功能的才能，一般侧重于防止或减少系统发生故障。显然，平安性的实现是以可靠性为根底，并在进步可靠性的前提下完成的。为了系统地分析问题，我们将把计算机联锁系统的平安性和可靠性结合在一起考虑，并着重从系统的硬件设计、软件设计和数据传输及处理等几个方面采取各种综合技术措施，使计算机联锁系统符合故障一平安的原那么。2硬件部分的平安可靠性分析根据计算机联锁系统的构造组成和功能特点，硬件部分的平安可靠性技术从计算机联锁系统的上位机、联锁机和接口电路三个部分进展分析。21上

3、位机平安可靠性分析上位机主要功能是向联锁机构输入操作信息，承受联锁机构输出的反映设备工作状态和行车作业情况的表示信息。为此上位机可采用经国际平安机构认证的高可靠工业控制计算机，摒弃原商用机所采用的大母板构造，把原来的大底版(系统板)功能集中在一块all-in-ne插卡上，底板变成无源总线母板，增加了插槽数，便于系统的晋级扩展。采用的机箱构造具有良好的散热、隔热、防潮、防尘性能，驱动器架采取避震措施，使整个机箱具有可靠的机械强度和很好的抗电磁干扰的才能；采用不问断供电及净化的专用开关电源，抗共模干扰，具有浪涌保护、过载保护、漏电保护的功能，单机设备的平均无故障工作时间可到达100000h。计算机

4、联锁系统的维修机和上位机的配置是一致的，平常可作为上位机的热备机，在系统故障时可以进展自动无扰切换，切换过程不影响现场设备状态，进步设备可靠性。上位机的人机接口界面的设计使用先进的工业控制软件，使得系统的监控不仅具有友好的人机交互界面，而且具有丰富的图形画面显示及图形操作功能，调图方式灵敏，修改参数方便。在设计中，根据铁路交通和城市轨道交通信号计算机联锁的特点，可以灵敏运用登录口令、操作员权限、平安设定点、设定点口令、平安审计跟踪记录等平安特性，确保联锁系统执行操作的平安可靠。22联锁机平安可靠性分析联锁机是信号控制系统的核心。在设计中，可选用国际平安机构认证的硬件三重冗余计算机联锁系统，用于

5、实现联锁数据处理过程的故障平安。所谓三重化冗余系统是指系统共有a、b、三个一样的主机，每个主机可以把它看成系统中的一个模块。三个模块同时执行一致的操作，其输出送到“表决器的输入端，然后把表决器的输出作为系统的输出。结果经输出设备三取二表决后进展输出，可以保证输出的平安性。当其中一个联锁处理单元联锁逻辑单元故障时，系统可以转换为二取二工作方式，在不降低平安陛的前提下，使整体系统的可靠性得到进步。采用三取二表决系统本来是为了进步系统的可靠性而采取的一种冗余系统。然而从平安性角度来看，假设有两个主机发生了同样的故障，即共模故障，系统将输出错误信息，经接口驱动后，有可能危及行车的平安。因此，必须消除软

6、硬件的设计错误，当主机的设计完全正确无误时，仅由硬件失效和干扰而产生的共模故障的发生概率就很校为了进步降低未检出故障的组合而产生共模故障的可能性，可利用单机自检技术、主机间互检技术和双套不同的软件，扩大故障检测范围，消除因干扰而引起的影响。为了保证三重化冗余系统可以通过多数一致表决得到正确的结果和发现出错的模块，这就要求三台微机必须同步工作。否那么，整个系统便会出现紊乱状态，多数一致表决无法进展，系统无法保证正常可靠的工作。计算机联锁系统为保证平安可靠而采取的主要措施是：全面的在线自诊断和专门的平安检查程序。这就要求系统在规定的周期内对计算机的运算器、存储器、接口等元器件用一系列自诊断程序进展

7、全面自诊，而平安检查程序那么对联锁程序任务模块的运行状态进展监视，对关键信息代码的合法性进展检查。在自诊断和专门的平安检查中一旦发现故障，立即切断计算机的输出(同时报警)。在设计中必须采取有效的措施来确保：(1)检测过程本身应具有平安性，或采用相应硬件及软件措施来实现平安性；(2)检测要要有足够的频率，使类似或等同故障在二次检测之间不会发生；(3)检测要足够灵敏，可以测出每个平安单元之中的重要故障；(4)检测失败时应及时产生平安保护动作；(5)冗余装置要足够独立，使之不受其他故障的影响。例如在详细施行中，使输出控制单元经过表决后输出，所有输出进展反响检查闭环控制；在输出执行环节采用条件电源供电

8、方法，当用实时检测或实时比较技术发现联锁微机内部故障时，即使产生危险侧的错误控制命令，通过强迫切断执行环节的条件电源，减少错误的控制命令输出。采用光电隔离技术，接点输入电路要经过光电耦合后力节目接至接口电路输入输出模块，有效的抑制接点输入电路的电磁干扰；采用静态输入或动态输入方式，以便有效的实现故障平安原那么。在输出接口的设计中，采用代码动静态和动静态电平两级变换电路；采用不连续供电及净化的专用电源，电源模块内部设有双重化电压调整器及自诊断电路，可检测电压的输出范围与是否超温并给出相应报警。23接口电路平安可靠性分析由于一般继电电路采用的重力式平安继电器具有很高的平安性，在我国铁路中运用了几十

9、年，为此计算机联锁系统的接口电路仍然以平安继电器作为计算机联锁机构与室外设备控制电路的接口。我们知道平安继电器通过以下技术实现故障一平安：电气接点采用特殊材料制作，使接点粘连的可能极小；采用吹弧技术，消除接点拉弧造成熔接；采用重力式设计原理，在继电器故障时，利用其重力使衔铁复位，从而保证实现系统的故障平安的目的。为此在计算机联锁系统中，信号、道岔、轨道电路等监控对象的状态信息仍然是用平安型继电器的接点状态来反映的，输人接口的任务就是将这种电平形式的二值逻辑数据平安地采集到联锁机中来。24其他方面的平安可靠性分析考虑计算机联锁系统硬件设备的其他方面的平安可靠性，对包括电源、计算机、数据通讯线路、

10、输人输出接口、机架构造及地线设置等方面采取了电磁兼容设计和防雷设计，以保证在规定等级的运用环境中，设备必须正常工作，不产生任何指标下降和功能上非期望值的偏向。3软件系统的平安可靠性分析在计算机联锁控制系统里，各种复杂的功能主要依靠软件来实现。嵌入在平安控制系统中的软件，不仅要能完好地实现系统的控制功能，还要能保证实现系统在发生意外时的平安防护即故障一平安功能。一般在汁算机联锁控制系统中，普遍采用以下软件技术来进步系统的平安可靠性：(1)采用信息编码技术，以便出错时能被及时识别。例如，对于涉及行车平安的逻辑变量，用多元代码来表示平安变量的两个值一平安侧值和危险侧值。这样，当代码在存储或传输过程中

11、，由于存储器硬件故障或者外界干扰而发生畸变，一旦错成非法码时，就可由软件自动检出并导向平安侧。(2)采用软件冗余技术，保证软件运行的平安性。(3)采用软件检测技术及时发现故障，以进一步采取措施防止危险侧信息的发生和输出。(4)利用软件对输人数据的合理性进展检查，刘输出的控制信息进展反响重复检查等等。图1计算机联锁系统数据处理模型框图图1是一个从平安角度去考虑的计算机联锁系统的框图，实际上也是计算机联锁系统的一个平安性模型，只是仅从保障平安的角度把计算机联锁系统描绘成为一个典型的数据处理系统。对于计算机联锁系统来说，保障平安就是保障框图中的数据流和控制流这两种信息处理的平安；退一步讲，即便信息处

12、理发生错误也不会导致危险的后果。联锁机和外部设备的输入/输出信息具有两种特性，是开关性；二是平安性。外部设备向联锁机提供的输入信息具有开关性。同样，联锁机的输出信息也具有开关性，这种开关性可由表示两个状态的器件如继电器来反映。输入/输出信息的平安性是根据信息与行车平安的关系来界定的。一类是与平安无关的信息，称作非平安信息；另一类是与平安有关的信息，称作平安信息。联锁机和监控对象之间交换的信息属于平安信息，因此必须考虑当输凡输出通道发生故障时，一定要确保传送信息的平安。为此，在通道设计上必须采用平安输凡输出接口。在pu与输入和输出模块间采用专用总线以保证传送的正确性，对输入电路采用光电隔离电路读

13、龋输入值，以检测“粘连状态，对各个输出信号在提供给继电器前进展表决，不致因输出模块本身的故障而影响信息平安。一般在详细的系统设计中，可采取如下措施：(1)平安信息的输入：在计算机输出每种信号设备状态码的第一位后，待输出电平稳定(如20s)，再将每种信号设备状态码的第一位读入储存，并立即输出第二位代码；读入全部代码后，经计算机整理后再传给每个对象的存储模块。(2)平安信息的存储与更新：计算机联锁中监视现场设备状态的存储单元，在宏观上必须与被监视的对象建立不断的联络，当联络中断时，系统必须立即倒向平安。(3)平安信息的运算：联锁条件满足时，程序的走向和运算结果都是预知的。为了进步平安性和防止漏检查

14、联锁条件，在每次判断条件成立后，将该条代码进展按位累加，联锁关系全部检查正确时，其累加值应与预期结果相符。(4)平安信息的输出：计算机的开关量的输出是非故障平安的。为了保证平安，可对输出环节进展连续的监视，如出现不应有的危险侧输出，应快速地在现场设备未动作前予以切断。(5)平安信息在计算机间的传递：为了符合信号系统的传统做法，遵循故障平安的要求，在计算机联锁的设计时，应采用点对点的循环传送方法，而不采用变化检出、一次传送的方法。计算机联锁的串行数据在传输过程中，由于干扰而引起误码是难免的，在检查数据位和冗余位之间的关系是否正确时，应着重防止在传输中错误地出现危险侧代码。为了确保信息传输的平安可

15、靠，一方面可以采用冗余度孝检错才能高的循环码(r)作为检错码；另一方面就是在软件编程时对传输的信息进展特殊编码，并以反响重发方式纠错。根据编码理论，利用n位二值码元可生成一个具有2种伏态的码字或代码的集合。在这2种状态的代码组合当中，仅取一种状态代表危险侧码字(例如用危险侧码字10101010代表对应继电器吸起)，再取另一种状态代表平安侧码字(例如用平安侧码字01010101代表对应继电器落下)，其余的均认为是非法码字，那么这种代码便具有典型的故障一平安特性。由于非法码字在正常的联锁运算时也被认做平安侧码字，故而该编码组合仅有1种码字对应危险侧，其余2“1种状态均对应平安侧。但在实际的运行中要

16、真正能做到故障导向平安，还需对软件编程的平安编码进展科学的分析和认真的考虑。我们认为编码中各个码元发生过失的概率是一样的且不同码元发生过失的事件是独立的。假定每一码元发生过失的概率是，那么无过失的概率即为1p，此时整个代码均无过失的概率为(1p)“。中选用编码组合中码距最大的一对代码，即码距等于n的对代码分别作为代表危险侧和平安侧的有效码时，平安侧代码因故畸变成危险侧代码的条件是n个码元同时出错，其出错概率为旷；而平安侧代码出错变为另外一个代码的概率那么为1(1p)，显然这两个概率有着明显的数量的不同，这就造成了编码在故障或受到干扰情况下逻辑出错的不对称性，假定2“种编码中任一个发生畸变、出错

17、变为另外任一个代码的概率一样，均为p()；此时，因危险侧代码只有个，某一代码错为该代码的概率即为户()以上数值与目前国内外广泛使用的信号平安型继电器的不对称指数相比显然是可以认可的；同时n取为16，恰好是计算机内存字节的整数，便于进展软件编程。根据铁道部?计算机联锁技术条件?标准，与行车平安有关的信息在计算机内必须以空间冗余的方式存储，在自由状态下其非法码字和合法码字出现的比率或非平安侧码字和平安侧码字出现的比率必须大于255：1，上述规定中所谓空间冗余即意味着必须用多余的信息位表示单一比特的信息，采用不对称码元的方法表示涉安信息即为空间冗余方法之一。此外，自由状态即指任一代码发生畸变而成另一代码一样概率p()的假设。该条件给出的详细数值那么意味着如采用不对称码元，那么所选代码位至少为n：8。基于这些原因，计算机联锁中选用16位代码来表示联锁数据是可取的。经过正确的合理编码，完全可以保证编码的汉明距大于4。4结论计算机联锁系统的平安可靠性是计算机联锁系统的关键，我们必须从系统的硬件设计、软件设计和数据传输及处理等几个方面采取各种综合技术措施，才可使计算机联锁系统符合故障一平安的原那么。综合以上分析和考虑，并通过可估算和推导的数学方法进展可靠性和平安性计算机联锁系统的平安可靠性指标：平均故障间隔时间tbf为1x10h，平均危险侧故障间隔时间tbfas为1x10h，