Ппппппп

Отсюда можно сделать вывод, что вероятность безопасной работы двухканальной системы “два из двух” не может быть больше, чем вероятность безопасной работы одного канала в 2 раза. Например, при t=10t это увеличение составляет 1.999955. Чтобы получить большее повышение безопасности, необходимо повышать число каналов(кратность резервирования) в многоканальной системе. Если сравнить двухканальную и одноканальную системы за показателем безотказности (рис.5.9.),

Рис.5.9 График соотношения безотказности двухканальной и одноканальной систем (отношение вероятностей безотказности)

то видим, что один канал имеет преимущество над двумя в этом аспекте. В результате чего имеет место уравнение :

(5.21)

Поэтому по отношению к одному каналу в двухканальной системе “два из двух” для дорогого момента времени ti приращивания вероятности безопасной работы равняется уменьшение вероятностей безотказной работы. В системе “два из двух” есть существенный недостаток: безопасность обеспечивается за счет уменьшения безотказности.

Наиболее чаще при построении систем используют трехканальные мажоритарные структуры( “два из трех”). В табл.VII приведеннахарактеристика состояний мажоритарной системы в зависимости от состояния каналов.

ТаблицаVII. Приведенная характеристика состояний мажоритарной системы в зависимости от состояния каналов.

Состояние				Состояние системы “два из трех”
3№	ТПД 1	ТПД 2	ТПД 3
1	Работоспособное	Работоспособное	Работоспособное	Работоспособное
2	Работоспособное	Работоспособное	Неработоспособное	Работоспособное
3	Работоспособное	Неработоспособное	Работоспособное	Работоспособное
4	Работоспособное	Неработоспособное	Неработоспособное	Опасное
5	Неработоспособное	Работоспособное	Работоспособное	Работоспособное
6	Неработоспособное	Работоспособное	Неработоспособное	Опасное
7	Неработоспособное	Неработоспособное	Работоспособное	Опасное
8	Неработоспособное	Неработоспособное	Неработоспособное	Опасное

Состояние всей системы может быть работоспособным (Р) или опасным (О). Из данной таблицы вытекает принцип работы мажоритарной системы “два из трех”:система работоспособна, если будут работоспособными хотя бы два канала из трех; при отказе двух каналов система переходит в опасное состояние; защитных состояний не существует. Показатели безотказности системы “два из трех”, согласно к табл., расчитываются по формулам:

; (5.22)

; (5.23)

; (5.24)

Так как все отказы системы “два из трех” являются опасными, то имеют место следующие уравнения:

(5.26)

(5.27)

. (5.28)

Из графика соотношения безотказности систем “ два из трех ” и “ два из двух” (рис.5.10) видно, что безотказность мажоритарной системы превышает безотказность системы “ два из двух ” при всех значениях λ t.

Рис.5.10 График соотношения безотказности мажоритарной и двухканальной систем (отношение вероятностей безотказности)

Из графика соотношения безотказности систем “ два из трех ” и “ два из двух” (рис.5.10) видно, что безотказность мажоритарной системы превышает безотказность системы “ два из двух ” при всех значенияхи “ два из двух” (рис.5.11) в области малых значений λ t(λ t>0.2) это уменьшение не существенно. Например, при λ t=0.2 по отношению к системе “ два из двух ” безопасность мажоритарной системы уменьшается на 5.5%,в то время безотказность увеличивается на 36.3%.

Рис.5.11 График соотношения безопасности мажоритарной и двухканальной систем (отношение вероятностей безопасности)

В сравнении с системой “ два из двух ” относительноеизменение интенсивностиотказов системы “ два из трех ” равняетсяизменению интенсивностиопасных отказов. В целом система “ два из двух ” в сравнении с системой “ два из трех ” дает существенноеувеличение безотказности при увеличенномуменьшении безопасности.

Чтобы улучшить показатели безопасности мажоритарной структуры, храня при этом тот же уровень безотказности, применим систему “ два из трех ” с реконфигурацией. В этой системе при отказе одного канала выходы этого канала отключаются и структура “ два из трех ” трансформируется в структуру “ два из двух”. На табл. VIII приведенная таблица состояний системы “ два из трех ” с реконфигурацией.

ТаблицаVIII. Характеристика состояний системы “ два из трех ” с реконфигурацией.

Состояние				Состояние системы “два из трех”
№	ТПД 1	ТПД 2	ТПД 3
1	Работоспособное	Работоспособное	Работоспособное	Работоспособное
2	Работоспособное	Работоспособное	Неработоспособное	Работоспособное
3	Работоспособное	Неработоспособное	Работоспособное	Работоспособное
4	Работоспособное	Неработоспособное	Неработоспособное	Защитное
5	Неработоспособное	Работоспособное	Работоспособное	Работоспособное
6	Неработоспособное	Работоспособное	Неработоспособное	Защитное
7	Неработоспособное	Неработоспособное	Работоспособное	Защитное
8	Неработоспособное	Неработоспособное	Неработоспособное	Опасное

У нее в отличие от системы “ два из трех ” состояния №3,5 но 6 является защитными.

Поэтому :

; (5.29)

; (5.30)

= . (5.31)

Отношение вероятностей безопасности системы “ два из трех ” с реконфигурацией к одноканальной системе выражается следующим выражением:

= ; (5.32)

Таким образом, в области больших значений λ t вероятность безопасной работы системы “ два из трех ” из ре конфигурацией в три раза превышает величину ,так как опасный отказ возникает при одновременном отказе всех трех каналов. В то же время величина превышает величину в 1.5 раза, так как опасный отказ в системе “ два из двух ” возникают при одновременном отказе двух каналов ( рис.5.12).

Рис.5.12График соотношения безопасности “ два из трех ” с реконфигурацией и двухканальной систем (отношение вероятностей безопасности)

Выражение соотношения за которым строится данный график:

= ; (5.33)

С точки зрения безотказности в области малых значений λt наилучшие показатели имеют мажоритарная система “ два из трех ” но система с реконфигурацией. Особенно это преимущество перед вторыми системами очень большое при высокой надежности одного канала[1,8].

В областе большых значений λ t безотказность структур “ два из трех” и “два из трех ” с реконфигурацией становится меньше безотказности одного канала. Например, в системы “ два из трех ” это проходить при λ t>0.69. При λ t→∞ эти системы реконфигурируются в дублируемые системы и их интенсивность отказов приближается к величине 2 λ. Проходить это потому, что в структуре “ два из трех ” с реконфигурацией приоритет безопасности за счет безотказности. Этими обстоятельствами объясняется тот факт, что одноканальная система имеет наибольшее значение средней наработка на отказ

. (5.34)

С точки зрения безопасности наилучшие показатели имеет система “ два из трех ” с реконфигурацией в сравнении с системой “ два из трех ” (рис.5.13).

Рис.5.13 График соотношения безопасности систем“ два из трех ” и “ два из трех ” с реконфигурацией (отношение вероятностей безотказности)

В области малых значений эта система обеспечивает высокий уровень безопасности. В структуре “ два из трех ” с реконфигурацией успешно совмещаются высокие качества безотказности мажоритарных структур и высокие качества безопасности коньюктивного совпадания. Система “ два из трех ” с реконфигурацией имеет наибольшие значения средней наработки к опасному отказу .

В табл. IX приведенные формулы для расчета показателей безотказности и безопасности основных структур.

Таблица IX. Показателей безотказности и безопасности основных структур.

Показатель	Система
	“1 из 1”	“2 из 2”	“2 из 3”	“2 из 3Р”

Системы “ два из трех ” но “ два из трех ” с реконфигурацией действительно имеют красивые показатели надежности, но если речь идет об этих структурах как системах, которые отвечают за выдачу важной информации, то здесь есть некоторые недостатки. Например, возьмем структуру “ два из трех ” с реконфигурацией .Эта структура работоспособна, когда два канала работоспособные, а третий - нет. Как поведет себя система в этом случае, например, если работоспособный канал выдаст ошибочную информацию? Да, система будет находиться в работоспособном, но какую информацию она выдаст на выходе, какая команда будет принята и как она повлияет на последующий процесс функционирования аппаратуры ЭЦ. Отсюда возникает проблема надежности работы централизации из-за недостоверной информации. Много отказов на станции возникают по поводу неверных и ошибочных данных. Решением этой проблемы является применение структуры “три из трех”. Такая система работает по следующему принципу: все три каналы работоспособны (и дают одинаковую информацию) – состояние структуры работоспособно (на выходе системы достоверная информация); если один или два канала неработоспособные система переходит в защитное состояние (информация классифицируется как недостоверная); если все каналы неработоспособны состояние системы классифицируется как опасный отказ. Таблица состояний структуры “три из трех” приведенная в табл.X.

Таблица X. Характеристика состояний структуры “три из трех”.

Состояние				Состояние системы “два из трех”
3№	ТПД 1	ТПД 2	ТПД 3
1	Работоспособное	Работоспособное	Работоспособное	Работоспособное
2	Работоспособное	Работоспособное	Неработоспособное	Защитное
3	Работоспособное	Неработоспособное	Работоспособное	Защитное
4	Работоспособное	Неработоспособное	Неработоспособное	Защитное
5	Неработоспособное	Работоспособное	Работоспособное	Защитное
6	Неработоспособное	Работоспособное	Неработоспособное	Защитное
7	Неработоспособное	Неработоспособное	Работоспособное	Защитное
8	Неработоспособное	Неработоспособное	Неработоспособное	Опасное

В сравнении со структурами “ два из трех ” но “ два из трех ” с реконфигурацией система “три из трех” имеет меньший показатель по безотказности (рис.5.14) и одинаковый по безопасности, это предопределено тем, что система в большинстве случаев переходит в защитное состояние.

Рис.5.14 График соотношения безотказности систем “ два из трех ” с реконфигурацией система и “три из трех” (отношение вероятностей безотказности)

Такой принцип работы объясняется назначением данной структуры, как информационной. Поэтому важность принятия правильного решения (или получение достоверной информации) есть более

приоритетным, а отсюда и меньшие показатели по безотказности. Преимущество здесь заключается в четком разграничении состояния системы с исключением всех ситуаций, которые могли бы повлиять на последующую работу всей структуры. Показатели безотказности и безопасности рассчитываются за формулами:

; (5.35)

; (5.36)

На рис.5.15 приведенная графика зависимостей вероятностей безотказности от интенсивности отказов всех систем.

Рис.5.15 График зависимости вероятности безотказности от интенсивности отказов

Где кривая №1 - зависимость вероятности безотказности от интенсивности отказов систем “ два из трех ” и “ два из трех ” с реконфигурацией; кривая № 2 - система “ два из двух ”, кривая №3 - “ три из трех ” и кривая №4 - “ один из одного”.

Из рис.5.15 видно, что при малых значениях интенсивности отказов показатели безотказности приблизительно одинаковые, и только с увеличением t каждая структура ведет себя по-разному. И это необходимо учитывать при проведении периодических профилактических проверок.

На рис.5.16 приведен график зависимости вероятности безопасности от интенсивности отказов всех систем.

Рис.5.16 График зависимости вероятности безопасности от интенсивности отказов

Где кривая №1 - зависимость вероятности безопасности от интенсивности отказов системы “ один из одного ”; кривая № 2 - система “ два из двух ” , кривая №3 - “ два из трех ” и кривая №4 - “ два из трех ” с реконфигурациейи “ три из трех ” . Проанализировав график, изображенный на рис.3.22, можно сделать 100% вывод, что наиболее безопасной системой является “ два из трех ” с реконфигурацией. Но применение той или другой структуры зависит от условий эксплуатации, нормативных требований безопасности, назначения системы, за функционированием, экономичности применения но др.. На рис.5.13 и рис.5.14 приведены структуры системы резервирования: “ три из трех ” и “ два из трех ”.

Рис. 5.17 Структура системы резервирования “ три из трех ”

Рис. 5.18 Структура системы резервирования “ два из трех ”

Итак, кроме вероятностных оценок показателей безопасности также необходимо отметить, что наибольшая актуальность в разработке новых первичных преобразователей ТПД и обработке измеряемой ими информации связана с проектированием современных сложных автоматических систем железнодорожной автоматики и телемеханики. Таким образом, развитие теоретических основ эффективного функционирования ТПД, их совершенствования, является актуальной научной задачей, а также имеет большое значение для всего железнодорожного транспорта Украины.

5.4.Обеспечение надежного электропитания МПЦ

Следущая проблема функционирования МПЦ связана с электропитанием ее аппаратуры. Устройства ЭЦ должны иметь два независимых источника питания, которые резервируют один другого. Независимым источником питания есть такой источник, на каком сохраняется напряжение при отключении его на других (другом) источниках. Подведение напряжения питани як посту ЭЦ должно бать выполнено самостоятельными линиями питания – фидерами. Каждый из фидеров выполнен в виде четырехжильного кабеля (три жили и фаза), сечение которого расчитывается на максимальный ток нагрузки.

Кроме того, в качестве резервного питания устройств ЭЦ могут быть использованы электро­станции с автоматизированным дизель-генератором (ДГА), являющимся для потребителей тре­тьим независимым источником питания. Системой питания должен обеспечиваться автомати­ческий запуск ДГА при соблюдении условия, что эти электростанции обслуживают только уст­ройства СЦБ и связи. При наличии свободной мощности ДГА может быть использован для питания негарантированного освещения и общей вентиляции здания поста. Запас топлива для ДГА должен обеспечивать работу дизель-генератора в течение 2 суток.

Дополнительно для питания устройств СЦБ и связи должен предусматриваться аккумулятор­ный резерв. Таким образом, компьютерные ЭЦ являются потребителями электроэнергии 1 категории и должны получать питание от двух независимых источников энергии по двум фидерам, а на круп­ных станциях дополняться ДГА с автоматическим переключением с одного фидера на другой в случае пропадания напряжения.

Наличие вычислительных средств в составе систем ЭЦ предъявляет дополнительные требо­вания к электропитанию. К сожалению, параметры электросетей не всегда соответствуют нор­ме, поэтому актуален вопрос о гарантированном питании системы в случае возникновения не­поладок электросети. К повреждениям относятся любые отклонения параметров питающею напряже­ния от установленных стандартом значений. Основными неполадками сетевого питания являются: аварии сети (полное пропадание на­пряжения); долговременные и кратковременные подсадки и всплески напряжения; высоковольт­ные импульсные помехи; высокочастотный шум; выбег частоты.

Электронное оборудование компьютерных систем ЭЦ в процессе эксплуатации оказывается под воздействием различных электромагнитных помех, большая часть которых распространяется по цепям электропитания. Применение двух независимых фидеров питания позволяет только значительно снизить вероятность полного пропадания сетевого напряжения, но остается зави­симость системы от качества этого напряжения.

Эти факторы могут вызвать не только сбои в работе компьютера или другого электронного оборудования и потерю данных, но и необратимые процессы разрушения программного про­дукта, а также выход из строя аппаратуры. Статистика повреждений микропроцессорных устройств приведена на рис. 5.19.

Рис.5.19 Диаграмма повреждений микропроцессорных устройств в зависимости от факторов воздействия.

Судя по данным из диаграммы 75% всех повреждений микропроцессорных устройств возникает по причине перенапряжений.

Статистика также свидетельствует, что по причинам, связанным со сбоями в электросети, в 75 % случаев происходит потеря информации и в 65 % выходит из строя электронное оборудование. Искаженное, нестабильное электропитание систе­мы отрицательно воздействует на файл-серверы, рабочие станции и сетевую аппаратуру (кон­центраторы, маршрутизаторы, коммутаторы, мосты и пр.). Так, со снижением напряжения воз­растает потребляемый ток, в результате растет температура внутри корпуса системного блока, монитора, модемов и других периферийных устройств. Повышенная температура значительно сокращает срок службы многих элементов, особенно электролитических конденсаторов, приво­дит к выходу из строя полупроводниковых элементов. Например, перенапряжений с амплитудойот десятков вольт до нескольких киловольт, которые возникают вследствие процессов коммутацииили при воздействии электростатических разрядов, являються “ смертельными ” для внутренних микроэлементов микросхем и процессоров. По данным обычные транзисторы (дискретные элементы) могут выдерживать напряжение электростатического разряда в 70 раз больше, нежели, например, микрочип памяти (EPROM) микропроцессорной системы. Самое плохое то, что случайные сбои в работе микропроцессора, которые возникли в результате воздействия электромагнитных шумов, могут бать временными, такими как самопроизвольное изменение содержание оперативной памяти (RAM) и регистров, а внутренние повреждения могут носить внутренний характер. Оба эти вида повреждения не определяются никакими тестами и могут проявляться в самые неподходящие моменты. Поэтому в связи с низкой устойчивостью даного оборудования к переходным процессам и перенапряжениям необходимо предьявлять жесткие требования к защите от электромагнитных помех.

Существует два подхода использования УБП в компьютерных ЭЦ.

Первый подход, используемый, например, в системе РПЦ «Диалог», предполагает питание от УБП только вычислительных средств, а все остальные устройства ЭЦ (реле, стрелки, сигна­лы) соединены с традиционными панелями питания.В этом случае для каждого (основного и резервного) комплектов АРМ ДСП, для АРМ ШН устанавливаются индивидуальные маломощ­ные (до 1000 ВА) УБП с продолжительностью питания 10—15 мин при пропадании гаранти­рованного напряжения. Непрерывность функционирования компьютерного оборудования сопряжения с ЭЦ обеспечивается подачей постоянного тока напряжением 24 В с аккумуляторным резервом от контрольной батареи поста ЭЦ.

Главный недостаток традиционных панелей в составе безбатерейной системы питания — при пропадании внешних фидеров от аккумуляторного резерва обеспечивается питание только реле. Нормальное действие других устройств прекращается: отсутствует контроль положения стрелок, не переводятся стрелки с двигателями переменного тока и нарушается светофорная сигнализация на станции, за исключением заградительной на входных светофорах. Считается, что прекращение работы ЭЦ по причине отсутствия электроэнергии не влечет за собой угрозы нарушения условий безопасности перевозочного процесса. Однако косвенная угроза остается, поскольку персонал вынужден регулировать движение без технических средств, что, кроме того, приводит к потерям в движении из-за перехода станции на курбельное управление.

Условием бесперебойной работы ЭЦ является постоянное электропитание. Поэтому второй подход предполагает использование в составе системы питания мощных УБП, полностью обес­печивающих электроснабжение всех устройств ЭЦ не менее чем в течение 1 ч. Такая продолжи­тельность обусловлена усредненным нормативом времени прибытия обслуживающего персона­ла для устранения отказа.

Устройства безперебойного питания должны решать две основные задачи : обеспечение приемлемого качества электроэнергии на выходе, ликвидируя потенциальные возмущения входного напряжения,и выполнение роли резервного источника энергии в случае полного пропадания (или отклонения за пределы установленных норм) входного напряжения.

В состав любого УБП входят следующие элементы: входной фильтр (ВФ), включающий в себя радиочастотный фильтр и подавитель импульсов; аккумуляторная батарея (АКБ) с зарядным устройством (ЗУ); инвертор—преобразователь постоянного тока в переменный; в некоторых типах УБП — преобразователь постоянного тока в постоянный ток другого номинала (конвертор); в некоторых типах УБП—различные трансформаторные развязки между выходом и входом;

Способность УБП обеспечить заданные качество и бесперебойность питания нагрузки опре­деляется главным образом его внутренней архитектурой или классом.

В соответствии с международным стандартом IEC60146-4 различают три класса источников: off-line (standby), line-interactive, on-line.

В УБП класса off-lineэлектроэнергия внешнего источника снабжения через подавитель им­пульсов и радиочастотный фильтр передается на нагрузку (рис. 3.11).

Рис.5.20 Функциональная схемаoff-line устройства бесперебойного питания

В случае недопустимых возмущений или полного пропадания входного напряжения специальные ключи переводят под­ключаемую к УБП нагрузку на АКБ и инвертор. Общим недостатком таких УБП является время переключения на резервный источник, при котором на выходе устройства возникает разрыв синусоиды напряжения на время 1—15 мс.

Ввиду большой суммарной входной емкости блоков питания ПЭВМ, достаточной для под­держания номинального напряжения на силовых элементах схемы в течение такого промежутка времени (менее четверти периода синусоиды), в цепях вторичного электропитания компьюте­ров перерыва в электроснабжении не произойдет. Однако для некоторых потребителей такой перерыв недопустим. К ним относятся, например, потребители с линейными (трансформатор­ными) блоками питания, маломощное (с точки зрения потребляемого тока) сетевое оборудова­ние (репитеры, концентраторы, коммутаторы и др.).

Недостатком УБП off-line также является его неудовлетворительная работа при низком каче­стве входного напряжения, когда имеют место частые переключения на батарею и обратно. При этом трудно восстанавливается емкость аккумулятора.

Главными преимуществами таких УБП являются высокий КПД и простота схемотехничес­ких решений.

Схема УБП on-line построена по принципу двойного преобразования энергии (рис.5.21).

Рис.5.21Функциональная схема on-line устройства бесперебойного питания

Вход­ное напряжение через фильтрующие элементы поступает на выпрямитель, затем на инвертор и далее на нагрузку. На входе и выходе этой цепи могут стоять трансформаторные развязки. АКБ подключена к инвертору, и в случае пропадания напряжения входной сети нагрузка безобрывно переходит на питание от АБ. В случае нарушения работы какого-либо из элементов входное напряжение напрямую коммутируется на нагрузку (режим обхода—by-passmode).

Такая технология имеет свои недостатки: снижение ресурса АБ, относительно низкий КПД, ограниченные динамические и перегрузочные возможности.

Однако бесспорными преимуществами УБП on-line являются: отсутствие разрыва кривой выходного напряжения при переходе на резервный источник; синусоидальность форм выходно­го напряжения в любом режиме работы; лучшие, по сравнению с другими УБП, стабилизацион­ные и помехоподавляющие характеристики. Поэтому они находят применение для электропита­ния файловых серверов, телекоммуникационных систем, в АСУ управления ответственными технологическими комплексами, к которым относятся системы ЭЦ, и др.

УБП класса line-interactive представляют собой разнообразные гибриды on-line и off-line-систем. Их объединяет тот факт, что, являясь по своей природе системами типа off-line (прерывае­мыми), они снабжают нагрузку в той или иной степени стабилизированным напря­жением при питании от сети.

Все перечисленные особенности должны быть обязательно учтены при проектировании и внедрении новых микропроцессорных централизаций.

ВЫВОДЫ

В работе решена важная научно-практическая задача повышения безопасности европейских и отечественных микропроцессорных систем управления движением поездов при их совместном использовании, а также оценки безопасности систем в соответвтвие с техническими спецификациями интероперабельности.

Системы управления движением поездов на украинских железных дорогах, в большей части, морально и физически устарели, степень изношенности основных технических средств на дорогах составляет более 80%. Такое состояние вызывает необходимость замены устаревших систем на новые микроэлектронные и компьютерные системы управления с использованием современных информационно-управляющиъ технологий.

Интеграция украинских железных дорог в общеевропейскую транспортную систему выдвигает требования гармонизации организационных мероприятий и технических решений для беспрепятственного быстрого и безопасного перемещения грузов и пассажиров к пункту назначения на межгосударственном пространстве.

Реорганизация украинских железных дорог должна проходить с учетом обязательных директив и технических спецификаций интероперабельности в области железнодорожного транспорта, принятых в Евросоюзе.

Системы управления движением поездов должны строиться в соответствии с разработанной в Европпе системой ERTMS/ETCS на перегоне и микропроцессорных систем управления движением на станциях.

Системы ERTMS и МПЦ на первых стадиях внедрения планируются для использования с национальными напольными устройства СЦБ: рельсовыми цепями, стрелочными переводами, светофорами.

Применение микроэлектронных и компьютерных систем управления движением поездов увеличивает актуальность проблемы обеспечения их функциональной безопасности, что особенно важно на первой стадии внедрения, поскольку при поэтапном вводе в эксплуатацию новых систем, они будут функционировать параллельно со старыми устройствами СЦБ.

Внедряемые в Украине в последние годы устройства МПЦ разработаны без учета их увязки с европейскими системами.

Функциональная безопасность систем управления движением поездов в соответствии с европейскими нормативными документами (Директивами, ТСИ) и национальными нормативными документами должна обеспечиваться на всем жизненном цикле системы от разработки коннцепции и проектирования до вывода из эксплуатации и утилизации.

Разработаны схемные решения увязки европейской системы управления движением поездов ERTMS и МПЦ

Проведен анализ безопасности совместного использования Европейской системы управления движения поездов ERTMS с микропроцессорной централизацией Ebilock-950.

Оценены показатели надежности (безопасности и безотказности) резервируемых безопасных структур на основе тех же путевых датчиках.