计算机联锁系统安全可靠性设计浅析
【摘要】从计算机联锁系统在铁路交通应用中的基本组成和基本功能着手，根据影响计算机联锁系统安全可靠性的一些关键因素，分析了在研制开发计算机联锁系统设备过程中所采用的改善和提高安全可靠性的几种方法。
【关键词】计算机联锁系统 安全可靠性 硬件 软件
1 概述
计算机联锁系统的安全可靠性是研究、开发、生产计算机联锁设备必须遵循的永恒的主题，也是验证计算机联锁系统性能的主要依据。计算机联锁设备是一种连续工作的实时系统，它必须具有极高的安全性和可靠性才能适应铁路运输和城市轨道交通高效和安全的运营要求。
其实汁算机联锁系统的安全性是指联锁设备在运行过程中无论发生什么故障都不能产生有可能危及列车安全运行的危险因素，一般着重于在不正常的情况下使系统导向安全，防止产生危险后果；而可靠性是指联锁设备在规定的时间和规定的条件下完成规定功能的能力，一般侧重于防止或减少系统发生故障。显然，安全性的实现是以可靠性为基础，并在提高可靠性的前提下完成的。为了系统地分析问题，我们将把计算机联锁系统的安全性和可靠性结合在一起考虑，并着重从系统的硬件设计、软件设计和数据传输及处理等几个方面采取各种综合技术措施，使计算机联锁系统符合故障—一安全的原则。
2 硬件部分的安全可靠性分析
根据计算机联锁系统的结构组成和功能特点，硬件部分的安全可靠性技术从计算机联锁系统的上位机、联锁机和接口电路三个部分进行分析。
2．1上位机安全可靠性分析
上位机主要功能是向联锁机构输入操作信息，接受联锁机构输出的反映设备工作状态和行车作业情况的表示信息。为此上位机可采用经国际安全机构认证的高可靠工业控制计算机，摒弃原商用机所采用的大母板结构，把原来的大底版(系统板)功能集中在一块ALL--IN--ONE插卡上，底板变成无源总线母板，增加了插槽数，便于系统的升级扩展。
采用的机箱结构具有良好的散热、隔热、防潮、防尘性能，驱动器架采取避震措施，使整个机箱具有可靠的机械强度和很好的抗电磁干扰的能力；采用不问断供电及净化的专用开关电源，抗共模干扰，具有浪涌保护、过载保护、漏电保护的功能，单机设备的平均无故障工作时间可达到100000h。
计算机联锁系统的维修机和上位机的配置是一致的，平常可作为上位机的热备机，在系统故障时能够进行自动无扰切换，切换过程不影响现场设备状态，提高设备可靠性。
上位机的人机接口界面的设计使用先进的工业控制软件，使得系统的监控不仅具有友好的人机交互界面，而且具有丰富的图形画面显示及图形操作功能，调图方式灵活，修改参数方便。在设计中，根据铁路交通和城市轨道交通信号计算机联锁的特点，可以灵活运用登录口令、操作员权限、安全设定点、设定点口令、安全审计跟踪记录等安全特性，确保联锁系统执行操作的安全可靠。
2．2联锁机安全可靠性分析
联锁机是信号控制系统的核心。在设计中，可选用国际安全机构认证的硬件三重冗余计算机联锁系统，用于实现联锁数据处理过程的故障—安全。所谓三重化冗余系统是指系统共有A、B、c三个相同的主机，每个主机可以把它看成系统中的一个模块。三个模块同时执行一致的操作，其输出送到“表决器”的输入端，然后把表决器的输出作为系统的输出。结果经输出设备三取二表决后进行输出，可以保证输出的安全性。当其中一个联锁处理单元联锁逻辑单元故障时，系统能够转换为二取二工作方式，在不降低安全陛的前提下，使整体系统的可靠性得到提高。
采用三取二表决系统原本是为了提高系统的可靠性而采取的一种冗余系统。然而从安全性角度来看，若有两个主机发生了同样的故障，即共模故障，系统将输出错误信息，经接口驱动后，有可能危及行车的安全。因此，必须消除软硬件的设计错误，当主机的设计完全正确无误时，仅由硬件失效和干扰而产生的共模故障的发生概率就很小。为了进—步降低未检出故障的组合而产生共模故障的可能性，可利用单机自检技术、主机间互检技术和双套不同的软件，扩大故障检测范围，消除因干扰而引起的影响。
为了保证三重化冗余系统能够通过多数一致表决得到正确的结果和发现出错的模块，这就要求三台微机必须同步工作。否则，整个系统便会出现紊乱状态，多数一致表决无法进行，系统无法保证正常可靠的工作。
计算机联锁系统为保证安全可靠而采取的主要措施是：全面的在线自诊断和专门的安全检查程序。这就要求系统在规定的周期内对计算机的运算器、存储器、接口等元器件用一系列自诊断程序进行全面自诊，而安全检查程序则对联锁程序任务模块的运行状态进行监视，对关键信息代码的合法性进行检查。在自诊断和专门的安全检查中一旦发现故障，立即切断计算机的输出(同时报警)。在设计中必须采取有效的措施来确保：
(1)检测过程本身应具有安全性，或采用相应硬件及软件措施来实现安全性；
(2)检测要要有足够的频率，使类似或等同故障在二次检测之间不会发生；
(3)检测要足够灵敏，能够测出每个安全单元之中的重要故障；
(4)检测失败时应及时产生安全保护动作；
(5)冗余装置要足够独立，使之不受其他故障的影响。
例如在具体实施中，使输出控制单元经过表决后输出，所有输出进行反馈检查闭环控制；在输出执行环节采用条件电源供电方法，当用实时检测或实时比较技术发现联锁微机内部故障时，即使产生危险侧的错误控制命令，通过强制切断执行环节的条件电源，减少错误的控制命令输出。
采用光电隔离技术，接点输入电路要经过光电耦合后力节目接至接口电路输入输出模块，有效的抑制接点输入电路的电磁干扰；采用静态输入或动态输入方式，以便有效的实现故障—安全原则。
在输出接口的设计中，采用代码—动静态和动静态—电平两级变换电路；采用不间断供电及净化的专用电源，电源模块内部设有双重化电压调整器及自诊断电路，可检测电压的输出范围与是否超温并给出相应报警。
2．3 接口电路安全可靠性分析
由于一般继电电路采用的重力式安全继电器具有很高的安全性，在我国铁路中运用了几十年，为此计算机联锁系统的接口电路仍然以安全继电器作为计算机联锁机构与室外设备控制电路的接口。我们知道安全继电器通过以下技术实现故障—一安全：电气接点采用特殊材料制作，使接点粘连的可能极小；采用吹弧技术，消除接点拉弧造成熔接；采用重力式设计原理，在继电器故障时，利用其重力使衔铁复位，从而保证实现系统的故障——安全的目的。
为此在计算机联锁系统中，信号、道岔、轨道电路等监控对象的状态信息依然是用安全型继电器的接点状态来反映的，输人接口的任务就是将这种电平形式的二值逻辑数据安全地采集到联锁机中来。
2．4 其他方面的安全可靠性分析
考虑计算机联锁系统硬件设备的其他方面的安全可靠性，对包括电源、计算机、数据通讯线路、输人输出接口、机架结构及地线设置等方面采取了电磁兼容设计和防雷设计，以保证在规定等级的运用环境中，设备必须正常工作，不产生任何指标下降和功能上非期望值的偏差。
3 软件系统的安全可靠性分析
在计算机联锁控制系统里，各种复杂的功能主要依靠软件来实现。嵌入在安全控制系统中的软件，不仅要能完整地实现系统的控制功能，还要能保证实现系统在发生意外时的安全防护即故障—一安全功能。
一般在汁算机联锁控制系统中，普遍采用以下软件技术来提高系统的安全可靠性：
(1)采用信息编码技术，以便出错时能被及时识别。例如，对于涉及行车安全的逻辑变量，用多元代码来表示安全变量的两个值—一安全侧值和危险侧值。这样，当代码在存储或传输过程中，由于存储器硬件故障或者外界干扰而发生畸变，一旦错成非法码时，就可由软件自动检出并导向安全侧。
(2)采用软件冗余技术，保证软件运行的安全性。
(3)采用软件检测技术及时发现故障，以进一步采取措施防止危险侧信息的发生和输出。
(4)利用软件对输人数据的合理性进行检查，刘输出的控制信息进行反馈重复检查等等。
图1 计算机联锁系统数据处理模型框图
图1是一个从安全角度去考虑的计算机联锁系统的框图，实际上也是计算机联锁系统的一个安全性模型，只是仅从保障安全的角度把计算机联锁系统描述成为一个典型的数据处理系统。对于计算机联锁系统来说，保障安全就是保障框图中的数据流和控制流这两种信息处理的安全；退一步讲，即便信息处理发生错误也不会导致危险的后果。
联锁机和外部设备的输入/输出信息具有两种特性，—是开关性；二是安全性。外部设备向联锁机提供的输入信息具有开关性。同样，联锁机的输出信息也具有开关性，这种开关性可由表示两个状态的器件如继电器来反映。输入/输出信息的安全性是根据信息与行车安全的关系来界定的。一类是与安全无关的信息，称作非安全信息；另一类是与安全有关的信息，称作安全信息。
联锁机和监控对象之间交换的信息属于安全信息，因此必须考虑当输凡输出通道发生故障时，一定要确保传送信息的安全。为此，在通道设计上必须采用安全输凡输出接口。在CPU与输入和输出模块间采用专用总线以保证传送的正确性，对输入电路采用光电隔离电路读取。输入值，以检测“粘连”状态，对各个输出信号在提供给继电器前进行表决，不致因输出模块本身的故障而影响信息安全。一般在具体的系统设计中，可采取如下措施：
(1)安全信息的输入：在计算机输出每种信号设备状态码的第一位后，待输出电平稳定(如20ms)，再将每种信号设备状态码的第一位读入储存，并立即输出第二位代码；读入全部代码后，经计算机整理后再传给每个对象的存储模块。
(2)安全信息的存储与更新：计算机联锁中监视现场设备状态的存储单元，在宏观上必须与被监视的对象建立不断的联系，当联系中断时，系统必须立即倒向安全。
(3)安全信息的运算：联锁条件满足时，程序的走向和运算结果都是预知的。为了提高安全性和防止漏检查联锁条件，在每次判断条件成立后，将该条代码进行按位累加，联锁关系全部检查正确时，其累加值应与预期结果相符。
(4)安全信息的输出：计算机的开关量的输出是非故障安全的。为了保证安全，可对输出环节进行连续的监视，如出现不应有的危险侧输出，应快速地在现场设备未动作前予以切断。
(5)安全信息在计算机间的传递：为了符合信号系统的传统做法，遵循故障安全的要求，在计算机联锁的设计时，应采用点对点的循环传送方法，而不采用变化检出、一次传送的方法。
计算机联锁的串行数据在传输过程中，由于干扰而引起误码是难免的，在检查数据位和冗余位之间的关系是否正确时，应着重防止在传输中错误地出现危险侧代码。为了确保信息传输的安全可靠，一方面可以采用冗余度小、检错能力高的循环码(CRC)作为检错码；另一方面就是在软件编程时对传输的信息进行特殊编码，并以反馈重发方式纠错。
根据编码理论，利用n位二值码元可生成一个具有2”种伏态的码字或代码的集合。在这2”种状态的代码组合当中，仅取一种状态代表危险侧码字(例如用危险侧码字10101 010代表对应继电器吸起)，再取另一种状态代表安全侧码字(例如用安全侧码字01 010101代表对应继电器落下)，其余的均认为是非法码字，则这种代码便具有典型的故障—一安全特性。由于非法码字在正常的联锁运算时也被认做安全侧码字，故而该编码组合仅有1种码字对应危险侧，其余2“—1种状态均对应安全侧。但在实际的运行中要真正能做到故障导向安全，还需对软件编程的安全编码进行科学的分析和认真的考虑。
我们认为编码中各个码元发生差错的概率是相同的且不同码元发生差错的事件是独立的。假定每一码元发生差错的概率是"，则无差错的概率即为1—p，此时整个代码均无差错的概率为(1—p)“。当选用编码组合中码距最大的一对代码，即码距等于n的—对代码分别作为代表危险侧和安全侧的有效码时，安全侧代码因故畸变成危险侧代码的条件是n个码元同时出错，其出错概率为旷；而安全侧代码出错变为另外一个代码的概率则为1—(1—p)，显然这两个概率有着明显的数量的不同，这就造成了编码在故障或受到干扰情况下逻辑出错的不对称性，假定2“种编码中任一个发生畸变、出错变为另外任一个代码的概率相同，均为P(c)；此时，因危险侧代码只有—个，某一代码错为该代码的概率即为户(c)以上数值与目前国内外广泛使用的信号安全型继电器的不对称指数相比显然是可以认可的；同时n取为16，恰好是计算机内存字节的整数，便于进行软件编程。根据铁道部《计算机联锁技术条件》标准，与行车安全有关的信息在计算机内必须以空间冗余的方式存储，在自由状态下其非法码字和合法码字出现的比率或非安全侧码字和安全侧码字出现的比率必须大于255：1，上述规定中所谓空间冗余即意味着必须用多余的信息位表示单一比特的信息，采用不对称码元的方法表示涉安信息即为空间冗余方法之一。此外，自由状态即指任一代码发生畸变而成另一代码相同概率P(c)的假设。该条件给出的具体数值则意味着如采用不对称码元，则所选代码位至少为n：8。基于这些原因，计算机联锁中选用16位代码来表示联锁数据是可取的。经过正确的合理编码，完全可以保证编码的汉明距大于4。
4 结 论
计算机联锁系统的安全可靠性是计算机联锁系统的关键，我们必须从系统的硬件设计、软件设计和数据传输及处理等几个方面采取各种综合技术措施，才可使计算机联锁系统符合故障—一安全的原则。
综合以上分析和考虑，并通过可估算和推导的数学方法进行可靠性和安全性计算机联锁系统的安全可靠性指标：平均故障间隔时间MTBF为1x10h，平均危险侧故障间隔时间MTBFAS为1x10h，符合国家标准。
参考文献
[1] 吴汶麟城市轨道交通信号与通信系统.北京：中国铁道出版社，
[2] 吴芳美，铁路安全软件测试评估，北京：中国铁道出版杜，2001
[3] 赵志熙.计算机联锁系统技术北京：中国铁道出版社，1999
[4] TB／T3027--2002．计算机联锁技术条件
[5] TB／t2307--1992．电气集中各种结合电路技术条件
[6]铁路控制和防护系统软件RailwayApplication：softwareforrailwayControlandProtectionSystem，Feburaryl994．EN50128
[7]快路安全电子系统RailwayAPpllcatlon：SafetyRelatedElectronic，BN50129
