6 Микропроцессорные локомотивные системы обеспечения безопасности движения поездов
6.1 Концепция и стратегии обеспечения безопасности
Теория безопасности, в отличие от теории надежности, решает задачи, связанные не только с «правильным» («штатным»)функционированием систем, но и с их «неправильным» («нештатные» ситуации) функционированием, к примеру, после отказа аппаратных или программных средств.
Предметом теории безопасности является разработка методов:
обеспечения заданной степени безопасности ответственных технологических процессов, аппаратных средств, систем управления и их программного обеспечения (ПО);
синтеза систем и устройств по заданной величине критерия безопасности;
оценки степени фактической безопасности.
Надежность
систем определяется временем её
«правильного»
функционирования
.
Безопасность системы определяетсясуммой
времени «правильного» функционирования
,
временем
«неправильного», но неопасного
функционирования
и временем нахождения в «защитном»
состоянии
.
Тенденции развития безопасных систем железнодорожной автоматики свидетельствует о двух возможных вариантах их построения на микропроцессорной элементной базе. При этом указанная элементная база в соответствии с требованиями по устойчивости ее компонентов к климатическим, механическим факторам, электромагнитной совместимости, показателями надежности и т.д. имеет три исполнения: коммерческое, промышленное и мобильное.
Первый вариант решения проблемы построения безопасных микропроцессорных систем – это использование микропроцессоров коммерческого исполнения, специально не предназначенных для решения задач безопасности управления. Выполнение требований по обеспечению безопасности при таком исполнении возлагается на особенности архитектуры и ПО системы. При этом внешние контрольные схемы должны иметь безопасную структуру за счет использования аппаратной, программной, информационной, временной избыточности.
Второй вариант - это применение специализированных микропроцессоров промышленного и мобильного исполнения, способных выполнять в течение заданного периода времени ответственные функции.
В отдельных случаях возможно сочетание этих вариантов при условии, когда функциональный блок может иметь симметричные отказы, а контрольные и интерфейсные схемы – несимметричные.
Под концепцией безопасности понимается совокупность положений, в соответствии с которыми осуществляется построение безопасной системы. Такая концепция имеет фундаментальное значение, поскольку определяет основные принципы обеспечения безопасного функционирования систем железнодорожной автоматики с учетом свойств используемой элементной базы, электромагнитной совместимости, климатических и механических условий внешней среды, структуры, контроля работоспособности и алгоритма работы. На основе концепции безопасности устанавливаются критерии опасных отказов.
Для реализации концепции безопасности используют три основные стратегии:
безотказность (reliability);
отказоустойчивость (fault-tolerance);
безопасное поведение при отказах (fail-safe).
Первые две стратегии подразумевают, что система правильно выполняет свой алгоритм функционирования и поэтому безопасна. Третья стратегия используется специально для безопасных систем и заключается в переводе системы в необратимое защитное состояние при появлении отказа. Обратный переход в работоспособное состояние исключается (маловероятен) и возможен лишь после определенных действий оперативного или обсуживающего персонала.
При построении безопасных систем указанные стратегии находятся во взаимодействии между собой. Безопасность технических средств в значительной степени определяется влиянием человеческого фактора на всех стадиях "жизненного" цикла системы, начиная от разработки и изготовления и заканчивая эксплуатацией. Поэтому для создания безопасных технических средств дополнительно используют стратегию безошибочности.
В основе концепции безопасности релейных систем железнодорожной автоматики лежит принцип использования безопасного элемента. Таким элементом является специальное железнодорожное реле I класса надежности, имеющее несимметричную характеристику отказов, т.е. при неисправности наиболее вероятными являются искажения типа 1 0, а искажения 0 1 маловероятны. Система строится в предположении, что все указанные отказы отсутствуют, а другие (не обязательно одиночные) должны переводить ее в защитное состояние, т. е. используется стратегия безопасного поведения.
При построении микроэлектронных систем железнодорожной автоматики стратегия безопасного поведения применяется совместно со стратегией отказоустойчивости. Если при возникновении отказов система исчерпала резервные возможности и в результате деградации или реконфигурации перестала быть отказоустойчивой, то при появлении еще одного отказа она должна необратимо перейти в защитное состояние, т.е. отключаться от объектов управления. Общая концепция построения безопасной микропроцессорной системы в этом случае формулируется следующим образом: одиночные дефекты аппаратных и программных средств не должны приводить к опасным отказам, а также обнаруживаться с заданной вероятностью при рабочих и тестовых воздействиях не позднее, чем в системе возникнет второй дефект.