6.1.2 Принципы обеспечения безопасности
І. Снижение вероятности возникновения опасных отказов осуществляется путем уменьшения их числа схемным путем и созданием необходимого запаса прочности тех элементов, опасные отказы которых не представляется возможным исключить схемным путем. Этот принцип предусматривает введение избыточности:
параметрической (в узлах имеется запас прочности);
схемной (в устройство вводятся безопасные логические элементы, ключи, компараторы и т.д.);
структурной или аппаратной (дублирование, троирование и т.п.).
Кроме избыточности аппаратных средств в устройствах и системах могут быть введены также следующие виды избыточности:
программная (для реализации задачи используются два независимых программных продукта);
функциональная (одну и ту же задачу решают при помощи разных функций: полной, упрощенной, с разной точностью);
информационная (информация кодируется внутри системы с последующим декодированием и проверкой её безошибочности перед использованием);
временная (увеличивается время выдачи или восприятия воздействия);
комбинированная (сочетание нескольких перечисленных выше методов).
Таким образом, требования безопасности накладывают дополнительные условия на комплектующие изделия и материалы, конструкцию, на схемные решения и структуру системы, на представление информации в ней и др.
ІІ. Обеспечение безопасности систем управления путем обнаружения опасных или неопасных отказов аппаратных средств, выполненных на элементах и модулях, запас прочности которых не гарантирует необходимого уровня безопасности и перевод неисправной части аппаратуры или всей системы в защитное состояние.
Реализация систем в соответствии с этим принципом позволяет сократить время «неправильного» функционирования системы после отказа. Обеспечение безопасности при этом достигается применением средств, локализующих развитие неблагоприятных процессов.
Задача обнаружения и локализации отказов может быть решена несколькими методами.
1 Метод с внешним контролем, характеризующийся подачей тестовых сигналов на вход комбинационной схемы, реакция которой сравнивается с эталонной. По результатам сравнения вырабатывается сигнал на перевод этой схемы или системы в целом в защитное состояние. Для перевода системы в защитное состояние, как правило, предусматривается определенная операция на программном уровне или специальное аппаратное средство (устройство реконфигурации системы).
2 Использование функциональных узлов с автоконтролем. При этом методе для обнаружения отказов и перевода устройства в защитное состояние в нем реализуются два процесса – процесс контроля исправности устройства и процесс выполнения его функций. При возникновении отказа любого элемента, охваченного автоконтролем (цепь автоконтроля замкнутая с положительной обратной связью или разомкнутая), последний должен прекращаться и без дополнительных устройств автоматически вызывать перевод функциональных узлов с автоконтролем в защитное состояние.
Функциональный узел удовлетворяет требованию функциональной безопасности, если все его элементы охвачены процессом автоконтроля или если часть элементов, не охваченных контролем, имеет необходимый запас прочности.
3 Сопоставление параметров сигналов в контрольных точках нескольких комплектов аппаратуры (минимальное число комплиментов – два).
Сопоставление параметров сигналов осуществляется схемами эквивалентности, в результате чего вырабатывается сигнал на перевод системы или её модуля в защитное состояние (реализуется специальной процедурой на программном уровне или аппаратным средством – устройством сравнения, мажоритарным органом и т.п.). В этом случае осуществляется так называемая «жесткая» синхронизация работы отдельных комплектов.
Если обнаружение отказов осуществляется путем сравнения результатов расчетов, выполненных различными комплектами (микропроцессорами) по идентичным фрагментам одинаковых программ, то такая синхронизация работы отдельных комплектов называется «мягкой».
4 Обнаружение отказов путем сопоставления результатов расчетов, выполненных одним и тем же комплектом аппаратуры, по соответствующим фрагментам различных программ.
III. Принцип
обеспечения безопасности аппаратуры,
основывающийся на введении аппаратной
избыточности таким образом, что при
любых
отказах она правильно выполняет свои
функции в соответствии с первоначальным
алгоритмом. Аппаратура, в которой
реализуется данный принцип, получила
название
-безопасной.
Таким образом, безопасность функционирования устройств и систем управления движением поездов должна базироваться на следующих основополагающих положениях:
безопасном функционировании систем управления;
качественном изготовлении компонентов системы и её ПО;
допущении худшего случая (менее разрешающее состояние), при котором система даже при маловероятном сочетании поражающих факторов должна исключать появление потенциально опасной ситуации;
непрерывном контроле функционирования устройств в процессе эксплуатации;
непрерывном мониторинге состояния устройств системы методами диагностики.
Использование информационных ресурсов (технических средств передачи и обработки информации) в современных системах, в том числе и в устройствах железнодорожной автоматики, обусловило появление проблемы обеспечения информационной безопасности при их функционировании. Теория и практика обеспечения информационной безопасности систем управления направлена на их защиту от несанкционированного доступа для сохранения конфиденциальности информации (недопущение злоумышленных разрушений и искажений информационных массивов), администрирования доступа разрешенным пользователям.
Микропроцессорная система - это единство аппаратных и программных средств. В тех случаях, если применить защищенныеот отказов аппаратные средства и от ошибокпрограммные средства, то такая двойная защищенность обеспечитвысокую степень защищенности (безопасности) микропроцессорной системы в целом. При этом возникают четыре основных проблемы:
разработка защищенной логики;
построение защищенной памяти;
разработка защищенных программ;
обеспечение комплексной безопасности.
Под защищенной логикойподразумеваются цифровые схемы, на которых строятся микропроцессорные системы (логические схемы, триггеры, счетчики, регистры, мультиплексоры, дешифраторы и др.), обладающие свойством защищенности от отказов. Это могут быть или устойчивые к отказам схемы, или схемы с выявлением неисправностей (схемы с самоконтролем). Устойчивые к отказам схемы обладают способностью функционировать правильно при возникновении в них определенного числа неисправностей. Схемы с самоконтролем имеют способность при возникновении в них неисправностей формировать на рабочих или специальных контрольных выходах специальный сигнал ошибки. Следует отметить, что защищенная логика, схемы с встроенным контролем уже довольно широко используются в последних поколениях больших ЭВМ. Несомненно, в недалеком будущем будут выпускаться коммерческие защищенные микропроцессоры и большие интегральные схемы (БИС) со встроенной диагностикой, имеющие контрольные выходы, сигналы на которых будут сигнализировать об их состоянии. Важная задача также состоит в разработке контрольных схем с самопроверкой, схем сравнения и мажоритарных схем, с помощью которых будет осуществляться связь между отдельными БИС и организация общей схемы контроля их работоспособности.
Важной является проблема построения защищенной памяти при построении безотказных и надежных вычислительныхсистем. Основным методом повышения надежности ОЗУ и ПЗУ является применение корректирующих кодов для записиинформации. Корректирующие коды обеспечивают обнаружениеили исправление ошибок. В этом случае разряды кодовогослова, хранящегося в ячейке памяти, делятся на информационные и контрольные. Информационные разряды содержат полезнуюинформацию, а контрольные разряды обеспечивают возможностьобнаружения и коррекции ошибок. Для этой цели используются коды с контролем на четность, подсчетом контрольной суммы, коды равновесные, с повторением, суммированием, Хэмминга и другие. Здесь возникают задачи разработки защищенных ячеек памяти и запоминающих устройств, разработки принципов безопасной записи и считывания информации.
Важной проблемой при разработке безопасных микропроцессорных систем является созданиезащищенного ПО. Как известно, надежность ПО существенным образом отличается от надежности аппаратуры. Отказы аппаратурыносят объективный характер, связаны с физическими неисправностями микроэлектронных компонентов.Поэтому вследствие старения надежность аппаратуры со временем уменьшается, частота отказов возрастает (рис. 6.1).Отказы ПО имеют субъективный характер и являются следствиемошибок, допущенных программистом при проектировании. Программы со временем не изнашиваются и если в процессе отладки, а также эксплуатации устройства ошибки, выявленные в программе, исправляются и при этом не вносятся новые ошибки, то это значит, что со временем надежность ПО увеличивается.
Рис. 6.1. Надежность аппаратных средств и программного обеспечения
Борьбас ошибками ПО - это сложная и пока еще не полностью решенная проблема. Пути ее решения - это создание автоматических систем разработки и тестирования программ.
Принципиально возможно создание устойчивых к отказам программ, так как можно обеспечивать защиту как от ошибок, допущенных при написании программы, так и от ошибок, которые возникают в результате сбоев и отказов аппаратных средств. Последнее обстоятельство особенно важно при реализации безопасных систем.
Отказы аппаратных средств могут приводить к нарушению работы правильно написанной программы, в результате чего могут иметь место опасные отказы системы в целом.
Отдельную группу представляют проблемы обеспечения комплексной безопасностимикропроцессорных систем. К ним относятся консервативные и адаптивные меры повышения безопасности и надежности: программная информационная, временная, аппаратная избыточность, разработка архитектуры безопасной системы, организация защищенных шин микропроцессора, разработка безопасного интерфейса и надежной системы питания, диагностика микропроцессорнойсистемы обеспечения отказоустойчивости, способы резервированияи ряд других проблем.
Таким образом, повысить безопасность систем железнодорожной автоматики можно следующими средствами:
безотказность - применением минимизации логических схем и снижением интенсивности потока отказов элементов;
отказоустойчивость - резервированием, диагностированием, реконфигурацией, восстановлением;
безопасное поведение при отказах - самопроверяемыми схемами и элементной базой с несимметричными отказами.