構(gòu)筑完全可信賴的顯示系統(tǒng)

顯示器：對(duì)安全相關(guān)的應(yīng)用程序，對(duì)技術(shù)盲目自信是不夠的?，F(xiàn)在有的軟件可以對(duì)屏幕上顯示的圖像進(jìn)行分析，以檢查屏幕上的顯示與相應(yīng)的輸入信號(hào)相匹配。

鐵路運(yùn)營是一個(gè)層層依賴過程，乘客需要依賴司機(jī)，而司機(jī)需要依賴其掌握的專業(yè)知識(shí)，尤其依賴相關(guān)列車控制技術(shù)，因?yàn)樵摷夹g(shù)是列車運(yùn)行的基礎(chǔ)。

另外，列車司機(jī)還需要依賴列車指揮人員（直接指揮或通過信號(hào)和列控設(shè)備進(jìn)行間接指揮），而列車指揮人員需要依賴相關(guān)的研發(fā)團(tuán)隊(duì)。

研發(fā)人員將對(duì)所有可能發(fā)生的故障、以及鐵路系統(tǒng)設(shè)備和程序中所有潛在的負(fù)面影響進(jìn)行鑒定、分析和評(píng)估，以便采取適當(dāng)應(yīng)對(duì)措施，而在這之后，研發(fā)人員需要依賴相關(guān)的生產(chǎn)和制造過程。

每臺(tái)機(jī)器、每臺(tái)設(shè)備以及每輛列車都需要依賴必要的保障措施，以排除（至少是降低）所有可能想象到的安全臨界操作故障和功能故障，避免發(fā)生重大的事故，以及對(duì)人員或環(huán)境造成威脅。

對(duì)于ATS等安全臨界系統(tǒng)，通常都是以人機(jī)界面形式來實(shí)現(xiàn)車載顯示（尤其在ETCS環(huán)境下）?，F(xiàn)在的軟件通常都具有很大的靈活性，能夠滿足多個(gè)國家不同客戶的特殊要求，為了實(shí)現(xiàn)這些應(yīng)用需求，設(shè)備和處理過程需要使用無數(shù)個(gè)變量。

從產(chǎn)品的最初構(gòu)思到終端用戶的使用，是一個(gè)層層依賴的關(guān)系。司機(jī)操縱臺(tái)數(shù)字顯示系統(tǒng)依賴于完善的開發(fā)和特定的檢驗(yàn)和確認(rèn)過程。對(duì)于安全臨界參數(shù)，還需要采取諸如故障樹分析和失效模式影響與危害程度分析等方法。

1 故障原因

系統(tǒng)顯示屏可能會(huì)顯示一些錯(cuò)誤的數(shù)據(jù)，這可能會(huì)導(dǎo)致系統(tǒng)故障，而列車司機(jī)往往無法識(shí)別出這些錯(cuò)誤數(shù)據(jù)。在故障發(fā)生后，可以從以下幾個(gè)潛在原因著手進(jìn)行故障鑒定：技術(shù)數(shù)據(jù)的傳輸錯(cuò)誤，顯示器的圖像控制錯(cuò)誤，可視化軟件或操作系統(tǒng)錯(cuò)誤，TFT驅(qū)動(dòng)信號(hào)或微處理器本身的錯(cuò)誤。另外，圖像處理器或圖像處理器軟件也可能會(huì)出現(xiàn)數(shù)據(jù)損壞的情況。即使是使用了相應(yīng)的控制設(shè)備，列車司機(jī)依然無法完全識(shí)別出這些故障。

在評(píng)估安全相關(guān)的應(yīng)用程序故障概率時(shí)，需要特別考慮故障模式的影響程度，有的只會(huì)造成控制系統(tǒng)的損壞或故障，而有的會(huì)對(duì)人的生命造成威脅。除非通過使用冗余系統(tǒng)可以完全解決故障問題，否則不能使用經(jīng)驗(yàn)似然的方法，尤其是當(dāng)司機(jī)只能看見單一顯示情況下，他能夠發(fā)現(xiàn)錯(cuò)誤的概率非常低。由于司機(jī)沒有其他途徑（視覺或聲音）來驗(yàn)證顯示信息是否正確，所有司機(jī)只能依賴這些顯示信息。

因此，對(duì)于所有安全相關(guān)的、依靠手動(dòng)操作的控顯系統(tǒng)，都需要采取相關(guān)措施以確保所有的顯示錯(cuò)誤都能被識(shí)別出來。這些措施可以通過很復(fù)雜昂貴的軟硬件冗余設(shè)計(jì)來實(shí)現(xiàn)，也可以通過簡(jiǎn)單的在DMI中集成一個(gè)電子監(jiān)控電路來實(shí)現(xiàn)。

根據(jù)安全完善度等級(jí)（SIL）要求和SSAS>0的軟件開發(fā)過程，控制面板和車站的系統(tǒng)設(shè)計(jì)都需要經(jīng)過電子過程控制計(jì)算機(jī)的驗(yàn)證。對(duì)于列車司機(jī)來說，最重要的信息是確定ATP是否運(yùn)轉(zhuǎn)正常，該信息通常以圖標(biāo)的形式進(jìn)行顯示。在ETCS應(yīng)用中，全監(jiān)控（FS）圖標(biāo)表示ATP運(yùn)轉(zhuǎn)正常。如果顯示屏上顯示了全監(jiān)控圖標(biāo)，這時(shí)系統(tǒng)會(huì)持續(xù)生成制動(dòng)距離和信號(hào)信息，司機(jī)可以完全依賴ATP/ATS信息進(jìn)行操作。在緊急情況下，ATP能夠?qū)嵤┳詣?dòng)干預(yù)，并觸發(fā)列車緊急停車。

如果全監(jiān)控圖標(biāo)消失，司機(jī)將會(huì)以部分監(jiān)控模式甚至是完全人工駕駛模式行車，因?yàn)檫@時(shí)司機(jī)無法信賴ATP。由于顯示屏是司機(jī)與車載計(jì)算機(jī)和列車防護(hù)系統(tǒng)之間最重要的人機(jī)接口，如果圖標(biāo)顯示錯(cuò)誤，那勢(shì)必會(huì)存在各種潛在危險(xiǎn)。類似地，如果顯示的速度低于實(shí)際速度，也可能會(huì)出現(xiàn)危險(xiǎn)。不過，并不是所有的顯示信息都是安全相關(guān)的，很多顯示信息錯(cuò)誤將不會(huì)導(dǎo)致危險(xiǎn)情況。

2 顯示故障識(shí)別

IconTrust技術(shù)目前正在申請(qǐng)專利，它可以對(duì)各種各樣屏幕顯示信息進(jìn)行有效識(shí)別。它可以對(duì)每個(gè)更新周期所顯示的圖像進(jìn)行分析，并將其與相關(guān)的輸入信號(hào)進(jìn)行比較。IconTrust將于今年下半年首次應(yīng)用于ETCS，它可以對(duì)屏幕上100多個(gè)區(qū)域進(jìn)行獨(dú)立同步監(jiān)控，包括重疊區(qū)域，如果出現(xiàn)異常，則會(huì)觸發(fā)安全警報(bào)。

通過該系統(tǒng)，在未對(duì)實(shí)際顯示程序進(jìn)行校驗(yàn)的情況下，也能確保所顯示的信息是最新的，而且是正確的。由于IconTrust具有獨(dú)立性，它在顯示程序中的應(yīng)用幾乎沒有任何限制。

在使用了該技術(shù)之后，相應(yīng)的SIL安全等級(jí)可以不受操作系統(tǒng)、軟件開發(fā)工具和硬件配置的影響。它甚至可以對(duì)既有的應(yīng)用軟件模塊進(jìn)行再次利用并將其升級(jí)為SIL設(shè)備，也就是說它能以很低的成本來對(duì)設(shè)備進(jìn)行升級(jí)，讓其符合新的SIL要求。

鐵路項(xiàng)目的運(yùn)營期限一般為15～30年，這遠(yuǎn)遠(yuǎn)超出了電子元件的使用壽命或可用周期，在設(shè)備的使用期限內(nèi)，處理器或芯片組需要進(jìn)行多次更換。由于在使用了IconTrust技術(shù)之后，處理器和芯片組將不會(huì)影響到系統(tǒng)的安全等級(jí)，所以這在很大程度上降低了顯示屏對(duì)鐵路運(yùn)營的影響。

IconTrust可以應(yīng)用于平板電腦、TFT監(jiān)控器或者數(shù)字投影儀。在鐵路控制中心，通常使用大型TFT屏幕來顯示軌道、列車和信號(hào)信息，這些信息均是安全相關(guān)的，其信息顯示要求達(dá)到SIL1或者更高的標(biāo)準(zhǔn)。為了達(dá)到這個(gè)標(biāo)準(zhǔn)，可以將IconTrust作為一個(gè)嵌入式功能引入既有設(shè)備，它可以應(yīng)用于所有的鐵路控制中心，使其達(dá)到SIL1或者更高的標(biāo)準(zhǔn)。

在必要的時(shí)候，對(duì)于同一個(gè)輸入信號(hào)，可以允許有不同的屏幕顯示，同時(shí)，可以針對(duì)安全措施的延遲啟動(dòng)配置一個(gè)誤差計(jì)數(shù)器。通常情況下，IconTrust能夠很容易的進(jìn)行更新，從而實(shí)現(xiàn)SIL4的功能安全要求。

3 系統(tǒng)更新

對(duì)于列控技術(shù)，如果基礎(chǔ)設(shè)備負(fù)責(zé)人或鐵路運(yùn)營人員做出了系統(tǒng)更新的指示，那么對(duì)于供應(yīng)商來說是一件大事，因?yàn)檫@需要一個(gè)很長(zhǎng)的開發(fā)周期、很高的開發(fā)成本。對(duì)于硬件系統(tǒng)也是一樣，當(dāng)硬件系統(tǒng)需要更新時(shí)，它需要經(jīng)過反反復(fù)復(fù)的驗(yàn)證過程，同時(shí)評(píng)估人員還需要對(duì)其安全等級(jí)進(jìn)行重新評(píng)估。

而IconTrust則不一樣，它只需要簡(jiǎn)單地將安全I(xiàn)conTrust電路集成到DMI中即可完成更新。在這個(gè)過程中，IconTrust將連續(xù)監(jiān)測(cè)TFT面板中的特定區(qū)域，而且它能夠辨別出哪些是安全臨界信息，哪些是非安全信息。為了識(shí)別出臨界安全信息的屏幕顯示區(qū)域，系統(tǒng)可以為特定的應(yīng)用程序配置特定的監(jiān)測(cè)區(qū)域。