基于CENELEC铁路标准的列车自动防护系统车载设备研究与设计(3)

对于第三种风险,采用ALARP原则进行风险的减低,该原则的含义是采用尽可能低的成本,合理的、可行的方法进行风险降低。将以上三种风险在图6中进行描述。

-8

-1

-7

-1

[2]

(1)安全计算机模块。安全计算机是车载设备的核心,主要完成信息输入、比较、处理、比较和输出的任务,对列车实施安全控制。

(2)点式接收模块。接收地面点式设备(主要是应答器信息)发送到列车上的线路数据和临时命令信息。

(3)轨道电路接收模块。接收轨道电路的连续信息,与点式信息共同形成中国铁路的点连式列车自动防护系统。

(4)无线通信接收模块。与无线通信接口的车载设备,通过无线实现车)地之间的双向连续信息传输,为以后的基于无线通信的列车运行控制系统(CBTC系统)的实现提供接口条件。

3.3 风险分析和安全完善度等级(SIL)的确定

一般在确定系统需求后,需要将系统功能划分为安全功能和非安全功能,并针对每个安全功能进行风险分析,确定每个功能的SIL等级,进而确定系统的SIL等级。

风险分析是指用于估计威胁发生的可能性以及由于系统易于受到攻击的脆弱性而引起的潜在损失的步骤,是对一些不确定时间在一定的时间周期内所引起的潜在损失进行定量或定性的测量。风险分析是风险管理的重要组成部分,是对计算机信息系统实施安全等级保护的基本前提。风险分析的主要内容是对计算机系统硬件、软件、数据等资源脆弱性和形形色色威胁的分析,以及在此基础上的风险评估。

风险分析的最终目的是有的放矢地确保计算机信息系统的完整性、安全性、可用性和可控性,帮助选择安全防护措施并将风险降低到可接受的程度。一般说

来,(ⅱ)GAMAB(GlobalementAuMoinsAussi

[2]

106

铁 道 学 报第28卷

目前该原则在法国施行。该原则的意思是对于所有新的交通运输系统必须提供至少与目前已有相当系统一样好的风险等级的证明。对于该原则,没有对系统提供商提出具体的要求,可以进行定量或定性的确定。

(ⅲ)MEM(MinimumEndogenousMortality)原则

[2]

式中,Ni为系统或设备特定功能的使用次数(每年或每小时);HRi为风险模式下造成的危害率,可以作为THRi的参考值;Dj为系统或设备暴露在危险状态的时间;Eij为系统或设备在故障状态的时间;Cj为风险模式危害度;Fi为灾难事故的概率。

需要特殊说明一下风险模式危害度Cj,它是系统在特定严重性类别下的那些风险模式中的某一风险模式所具有的危害度数值。在EN50126标准中,针对风险模式危害度作了以下定义,见表2。

表2 风险模式危害度

暴露在危险中的人员数量风险模式危害度Cj

11

1010-1

目前该原则在德国施行。该原则的意思是确定系统的最小内在死亡率。在发达国家,一般将其规定在RM=2@10-4灾难性危险/(人#年)。

对于一个新的交通运输系统来说,一般有以下定义:

R1[10-5 灾难性危险/(人#年); R2[10-4 灾难性危险/(人#年); R3[10

-3

10010-2

10001000010-3

10-4

在计算出每个风险的IRF后,需要与行业权威部门制订的单风险容忍目标Ri进行配合。

-5

灾难性危险/(人#年);

灾

对于铁路运输系统的可容忍目标为Ri[10

难性危险/(人#年),另外考虑到铁路运输中的信号系统的高安全性,在一般系统分析和评估中将信号系统的可容忍目标定义为Ri[10-6灾难性危险/(人#年)。

(2)风险树分析

风险树分析法是一种演绎的风险分析法。首先要根据系统的结构和功能确定风险树的顶事件。ATP车载设备是一种保证行车安全的设备,应当将ATP车载设备失去安全防护功能作为风险树的顶事件。图7分析了ATP车载设备故障的风险树。

[5,6,7]

IRFi[Ri=10-6(2)

得出要满足该目标可容忍度下的HR[THRi,则单风险的THRi就得到确定。在得出每个安全功能的THRn后,取其中的最小值作为一个子系统或设备的THRs,即

THRs=min[THR1,THR2,THR3,,,THRn](3)

SILs=max[SIL1,SIL2,SIL3,,,SILn](4)对照标准的THR范围,就可确定系统的SIL等级。

(3)ATP车载设备的SIL[5,8,9]

按照上面ATP车载设备的风险树分析,可以对每个功能的每个事件进行详细的风险树分析,逐步细化到每个功能。以ATP车载设备完成其中一个功能HR1:红灯防冒进功能为例,来具体分析该功能的THR1和SIL。

先设定ATP车载设备的基本参数:

①安装ATP车载设备的列车,每小时在线运行遇到红灯的最大次数为4次(估计值),每次遇到红灯进行处理的时间为80s,设备的处理周期为100ms,则ATP车载设备处理红灯安全防护功能的总次数为4@(80/0.1)=3200,故设Ni=3200次/h-。

②当ATP车载设备出现故障后,由于ATP车载具有强大的自检功能,很快就能检测出故障,检测出故障后立即实施紧急制动,使列车停车,因而ATP车载设备处于危险状态的时间Di设定为最大5s,在停车后列车ATP车载设备处于故障状态的时间设定为Ei=4h,该4h为ATP车载设备的故障检测和修复时间(考虑到回段处理等过程)。

③由于ATP车载设备出现安全故障,则其危害根据上面的分析方法,可以对风险树的树枝进行逐步分析,最终对每个风险进行估计,可以用以下公式来描述单点风险率IRF。IRFi=

所有危险H

6

Ni{(HRi@(Dj+Eij))

j

事故A

6

k

Ckj@Fi}

k

(1)

第1期

-2

基于CENELEC铁路标准的列车自动防护系统车载设备研究与设计

107

中,则C1k=10,同时对于严重危险和危害程度较大的风险,认定Fik=1。

根据式(1)得出

IRFi=Ni(HR1@(D1+Ei)@

Ri=10

-9

-6

-9

后采取相应的操作模式进行行车。 /3取20是一个高可靠、高安全性冗余结构,在各国轨道交通和磁悬浮的安全控制设备中都有采用。

EC

1k

@Fik)=@1)[

3200@(HR1@(4+5/3600)@10

-2

4 结论

本文通过基于CENELEC标准的ATP车载设备研究开发说明制订或引进国际信号系统安全设计和评估标准的必要性和迫切性。由于轨道交通信号系统是一个综合安全控制系统,牵涉到的专业和学科非常广泛,建立一个信号系统的安全认证体系将是一个长期的工程,而安全设计和评估标准的制订和统一是基础,只有国内信号系统的研制单位、用户、安全评估机构在安全标准统一的情况下才能完成信号系统的安全评估和认证,否则,建立安全认证体系将会经历更长的时间。

参考文献:

[1]IEC61508-2000,FunctionalSafetyofelectrical/electronic/

programmableelectronicsafety-relatedsystems[S].[2]CENELECEN50129-1999,RailwayApplications:Safety

relatedelectronicsystemsforsignalling[S].

[3]CENELECEN50126-1999,RailwayApplications:The

specificationanddemonstrationofReliability,Availabil-ity,MaintainabilityandSafety(RAMS)[S].

[4]CENELECEN50128-1998,RailwayApplications:Software

forRailwayControlandProtectionSystems[S].

[5]郜春海.轨道交通安全相关系统的安全设计与评估体系的

研究[D].北京:北京交通大学,2003.

[6]CENELECRailwayapplications:SystematicAllocationof

SafetyIntegrityRequirements[R].UIC:Brussels,1999.prR009-004.

[7]YujiHIRAO,IkuoWATANABE.SafetyGuidelinesfor

ComputerisedTrainControl …… 此处隐藏：2668字，全部文档内容请下载后查看。喜欢就下载吧 ……