CTCS3-300T-300T列控車載設(shè)備的安全設(shè)計技術(shù)應(yīng)用

劉 嶺 牛道恒 張國振 崔俊鋒 高志輝

（北京全路通信信號研究設(shè)計院有限公司，北京 100073）

劉嶺，碩士畢業(yè)于清華大學(xué)，高級工程師，運行控制研究設(shè)計院院長。主要研究方向包括CTCS列控車載設(shè)備研制、列車運行控制系統(tǒng)安全軟件技術(shù)研究、系統(tǒng)設(shè)計及安全分析等。負(fù)責(zé)CTCS列控車載設(shè)備自主研制項目，主持完成CTCS3-300T列控車載設(shè)備研制。獲2009年度茅以升鐵道工程師獎，2010年詹天佑青年獎，2011年中央企業(yè)第一屆五四青年獎?wù)隆?/p>

列控車載設(shè)備是CTCS-3級（簡稱C3）列車運行控制系統(tǒng)中的關(guān)鍵子系統(tǒng)之一，擔(dān)負(fù)著保證列車運行安全的重要作用。CTCS3-300T車載設(shè)備根據(jù)接收的地面信息及無線信息生成列車速度控制曲線，并與列車實際速度進(jìn)行比較，監(jiān)督列車運行，實現(xiàn)列車運行安全防護(hù)功能。CTCS3-300T列控車載設(shè)備基于成熟硬件平臺，遵循故障導(dǎo)向安全的設(shè)計原則，在系統(tǒng)設(shè)計、軟件設(shè)計、測速測距和列車接口設(shè)計中采用了大量安全設(shè)計技術(shù)，適用于時速300 km/h及以上的高速動車組，目前廣泛應(yīng)用在武廣、滬寧、滬杭、京滬、哈大等高鐵和客運專線。

1 CTCS3-300T車載設(shè)備系統(tǒng)安全設(shè)計技術(shù)

如果一個系統(tǒng)在內(nèi)部發(fā)生任何故障時，都能將被控對象置于預(yù)定的安全側(cè)的輸出值，則稱該系統(tǒng)為故障安全系統(tǒng)。實際上絕對故障安全系統(tǒng)是不存在的，只要系統(tǒng)的安全性達(dá)到某一規(guī)定的標(biāo)準(zhǔn)指標(biāo)，則可認(rèn)為該系統(tǒng)是故障安全的。在IEC61508和歐標(biāo)EN50129中對系統(tǒng)安全性和系統(tǒng)安全完善度等級進(jìn)行了定義和劃分，系統(tǒng)安全性是指系統(tǒng)免于不可接受的直接或間接導(dǎo)致的物理傷害或人身健康傷害風(fēng)險[1]。系統(tǒng)安全完整度等級是指系統(tǒng)滿足規(guī)定的安全特性需要達(dá)到的置信水平[2]。由于列控車載設(shè)備是列車運行的安全控制設(shè)備，要求具有高安全性并實現(xiàn)故障導(dǎo)向安全，須達(dá)到系統(tǒng)安全完整度等級SIL4級的要求，即容忍危險率THR≤10-9h。為實現(xiàn)故障安全系統(tǒng)，在CTCS3-300T列控車載系統(tǒng)設(shè)計中采用了多項安全設(shè)計技術(shù)。

首先，系統(tǒng)設(shè)計中采用故障導(dǎo)向安全作為基本設(shè)計原則。在系統(tǒng)故障處理中采用故障安全原則，在系統(tǒng)斷電、關(guān)鍵硬件故障、系統(tǒng)狀態(tài)異常等故障情況下，輸出制動命令控制列車停車以保證安全。在系統(tǒng)應(yīng)用功能設(shè)計中采用故障安全原則，例如在地面關(guān)鍵信息缺失的情況下采用安全側(cè)的默認(rèn)值設(shè)計，如臨時限速缺失按照最低限制速度值作為默認(rèn)控制值等。

CTCS3-300T車載設(shè)備采用帶有安全輸出單元的分布式總線結(jié)構(gòu)設(shè)計，如圖1所示。C3主機(jī)單元(ATPCU)和C2主機(jī)(C2CU)單元分別負(fù)責(zé)在C3等級和C2等級運行時的列車自動防護(hù)功能；測速測距單元由測速測距處理單元(SDP)、測速測距采集單元（SDU）、速傳和雷達(dá)等組成，負(fù)責(zé)速度和距離數(shù)據(jù)的處理；BTM應(yīng)答器傳輸模塊和CAU應(yīng)答器接收天線，接收和處理地面應(yīng)答器數(shù)據(jù)；無線傳輸單元，由COMC、GCD和GSM-R組成負(fù)責(zé)對處理無線數(shù)據(jù)安全傳輸?shù)臒o線通信功能進(jìn)行加密。系統(tǒng)內(nèi)部采用安全通信協(xié)議，在啟動時進(jìn)行系統(tǒng)自檢，系統(tǒng)總線主站輪詢同步各個單元，并和各單元采用安全通信協(xié)議定期輪詢，進(jìn)行系統(tǒng)完整性和狀態(tài)檢查。系統(tǒng)采用安全看門狗設(shè)計，系統(tǒng)中的VDX安全輸入輸出單元負(fù)責(zé)執(zhí)行系統(tǒng)對列車緊急制動等的安全輸出，同時VDX安全輸入輸出單元為系統(tǒng)看門狗，周期性收集總線上主站和各關(guān)鍵從站單元的生命信號，在檢測到異常時控制輸出列車制動停車指令，以實現(xiàn)故障-安全原則。

300T車載列控車載設(shè)備在車地通信傳輸處理中遵循EN50159安全通信規(guī)范[3]，采用相關(guān)安全設(shè)計技術(shù)。由于C3系統(tǒng)中車地通信主要通過GSM-R無線通信、應(yīng)答器信息、軌道電路信息等，車地通信的安全準(zhǔn)確性至關(guān)重要。300T車載設(shè)備在車地應(yīng)答器通信、無線通信中采用安全通信協(xié)議，并采用通信信息有效性檢查等方式確保車載使用正確的地面信息作為控制列車運行的依據(jù)。

在300T車載設(shè)備DMI人機(jī)顯示界面設(shè)計中，除考慮人機(jī)工程學(xué)進(jìn)行分區(qū)布置外，也采用了安全設(shè)計技術(shù)。包括：在關(guān)鍵數(shù)據(jù)采用冗余顯示方式，如列車速度采用指針表形式和數(shù)字形式同時顯示，用于對司機(jī)顯示關(guān)鍵信息的冗余比較；對于關(guān)鍵數(shù)據(jù)輸入時進(jìn)行有效性檢查并重復(fù)確認(rèn)，在最大程度上避免司機(jī)錯誤輸入；DMI設(shè)計包含硬件自檢功能，同時在屏幕設(shè)計中有明顯的刷新變化顯示信息，可同時用于司機(jī)人工觀察該屏幕信息刷新，輔助確認(rèn)顯示器工作正常等。

2 測速測距系統(tǒng)安全設(shè)計技術(shù)

測速測距系統(tǒng)要求能實時、連續(xù)、準(zhǔn)確地提供測速測距結(jié)果作為車載自動防護(hù)系統(tǒng)的控車依據(jù)。隨著列車運行速度的提高，單一的速度傳感器已很難滿足列車高速條件下對測速可靠性和安全性的要求。

當(dāng)前在國際上通常采用的列車測速手段[4，5]有GPS、車輪速度傳感器、雷達(dá)、陀螺等。GPS容易受到地形影響而產(chǎn)生信號盲區(qū)，陀螺存在因為結(jié)構(gòu)復(fù)雜而不利于使用和維護(hù)的缺點；雷達(dá)具有不受車輪空轉(zhuǎn)和打滑影響的優(yōu)點，車輪速度傳感器具有不受外界環(huán)境和天氣干擾等優(yōu)點，故CTCS3-300T車載設(shè)備中采用車輪速度傳感器與雷達(dá)相結(jié)合的方式實現(xiàn)列車速度的安全測量，這2種速度傳感器的互補(bǔ)特性為獲得安全可靠的列車速度提供了有效技術(shù)支撐。

測速測距系統(tǒng)采用了多路速度傳感器融合技術(shù)，通過采用滿足安全原則的多傳感器數(shù)據(jù)融合算法，實現(xiàn)了列車安全測速和定位的要求。

CTCS3-300T車載設(shè)備測速測距系統(tǒng)結(jié)構(gòu)如圖2所示。

多路速度傳感器數(shù)據(jù)融合采用聯(lián)邦卡爾曼濾波器實現(xiàn)，融合過程如圖3所示。

根據(jù)聯(lián)合卡爾曼濾波理論，列車速度測量系統(tǒng)狀態(tài)方程可以表示為:

列車速度測量系統(tǒng)由4個速度傳感器子系統(tǒng)構(gòu)成，各個速度傳感器子系統(tǒng)獨立進(jìn)行速度量測，因而可以獲得4組速度量測值。對于其中第i個速度傳感器子系統(tǒng)，由式（1）可知該速度傳感器子系統(tǒng)的狀態(tài)方程和量測方程分別為

由于聯(lián)合卡爾曼濾波是一種分散濾波方法，由主濾波器向各子濾波器動態(tài)劃分初始條件信息、動態(tài)噪聲信息和公共觀測信息。

信息分配因子bi滿足信息守恒，b1+b2+b3+b4=1，0≤bi≤ 1。

為提高系統(tǒng)的可用性，滿足當(dāng)部分速度傳感器發(fā)生故障后系統(tǒng)仍然能繼續(xù)安全控車的要求，系統(tǒng)選用無復(fù)位式原則[6]確定bi，使系統(tǒng)具有較強(qiáng)的容錯能力。同時，在多路速度傳感器數(shù)據(jù)融合決策過程中，還充分考慮了列控系統(tǒng)安全控車的需求。

在融合雷達(dá)和車輪速度傳感器輸出得出列車速度的基礎(chǔ)上，通過積分運算可計算出列車的走行距離，同時根據(jù)地面布置的點式應(yīng)答器位置及應(yīng)答器的鏈信息，實現(xiàn)對列車位置的校正，從而實現(xiàn)列車的安全定位功能。

列控車載設(shè)備對高速列車進(jìn)行速度和位置防護(hù)時，還需要考慮測速測距誤差的影響。CTCS3-300T車載設(shè)備測速測距系統(tǒng)綜合考慮各測速傳感器的固有精度、列車輪徑值測量精度、有效傳感器的數(shù)量、傳感器信號的統(tǒng)計特性等信息，實現(xiàn)了測速測距誤差范圍即置信區(qū)間的動態(tài)計算。系統(tǒng)通過融合計算出的標(biāo)稱速度值記為Vnom，考慮誤差后的最小速度記為Vmin，考慮誤差后的最大速度記為Vmax，則[Vmin,Vmax]即為速度值的置信區(qū)間。

由于列車的安全制動通常為緊急制動，在針對緊急制動干預(yù)曲線（EBI）進(jìn)行監(jiān)控時，CTCS3-300T車載設(shè)備采用最大速度作為監(jiān)控速度，以防止因測速誤差導(dǎo)致的超速或越過危險點風(fēng)險；對于常用制動干預(yù)曲線（SBI）則采用標(biāo)稱速度進(jìn)行監(jiān)控，如圖4所示。這樣即保證了系統(tǒng)的高安全性，也兼顧了系統(tǒng)的可用性。

3 車載設(shè)備軟件安全設(shè)計技術(shù)

隨著計算機(jī)應(yīng)用的不斷發(fā)展，現(xiàn)代軌道交通的列車運行控制系統(tǒng)已經(jīng)從軌道電路、機(jī)車信號等設(shè)備的簡單組合逐漸向融合了應(yīng)答器、軌道電路、機(jī)車信號、無線閉塞中心、測速測距等多種信息的一體化綜合自動控制系統(tǒng)。在運輸效率大幅提升的同時，列控車載設(shè)備軟件的功能增多，軟件規(guī)模急劇擴(kuò)大，軟件結(jié)構(gòu)也越來越復(fù)雜，使得車載軟件出現(xiàn)錯誤的概率越來越高，因此如何提高車載設(shè)備軟件的安全性，保證軟件設(shè)計的正確性，實現(xiàn)車載軟件的高可信性是車載系統(tǒng)研究的關(guān)鍵內(nèi)容之一。

為了提高車載設(shè)備軟件安全性，目前采用管理和技術(shù)兩種手段。在管理手段上，國際上已有規(guī)范如IEC61508、EN50128，軟件開發(fā)過程中通過采用軟件設(shè)計、驗證、測試（白盒測試、黑盒測試、集成測試等）、維護(hù)等一系列手段，來保證系統(tǒng)安全；技術(shù)手段上采用各種軟件危險性分析方法，SFMEA(軟件故障模式影響分析)、SFTA(軟件故障樹分析)和危險源及可運行性研究(HAZOP)等；對于軟件需求和說明采用Z語言、有限狀態(tài)機(jī)、Petri網(wǎng)等；另外目前廣泛采用多版本軟件開發(fā)比較與驗證、異常防護(hù)、CPU與內(nèi)存檢測等方法，并使用經(jīng)過驗證與評估的安全操作系統(tǒng)、編譯鏈接器等。

3.1 CTCS3-300T車載設(shè)備安全軟件開發(fā)流程技術(shù)

CTCS3-300T車載設(shè)備安全軟件緊密結(jié)合系統(tǒng)設(shè)計，遵循“故障導(dǎo)向安全”理念，安全軟件完整性級別達(dá)到SIL4級要求。按照EN50128等業(yè)界廣泛采用的鐵路軟件開發(fā)流程，采用V&V軟件開發(fā)全生命周期開發(fā)模型，如圖5所示。安全軟件系統(tǒng)開發(fā)、需求規(guī)格、結(jié)構(gòu)設(shè)計、模塊設(shè)計等各個開發(fā)階段同步進(jìn)行的驗證和確認(rèn)活動，該模型中強(qiáng)調(diào)測試伴隨著整個軟件開發(fā)周期，測試的對象包括程序、需求、設(shè)計等，即測試與開發(fā)同步進(jìn)行。

在300T車載設(shè)備安全軟件設(shè)計過程中，采用SFMEA方法，分析軟件失效的逐級傳播途徑和影響范圍，并對危害性進(jìn)行分級，識別軟件的關(guān)鍵部分和薄弱環(huán)節(jié)，并分析得到的容錯和異常處理措施，并對措施的有效性進(jìn)行分析評價。

CTCS3-300T車載軟件同時在系統(tǒng)級和模塊級進(jìn)行了SFMEA分析，系統(tǒng)級的SFMEA主要是對需求和概要設(shè)計進(jìn)行評價，而模塊級的SFMEA則深入到模塊內(nèi)部，評價的對象是已經(jīng)編程的代碼或者偽代碼。在SFMEA分析中，首先需要識別失效模式，重點考慮軟件不能完成預(yù)定功能的失效表現(xiàn)形式，接著分析失效的影響及如何在系統(tǒng)內(nèi)傳播，并確定失效的嚴(yán)重程度，然后分析控制措施，分析失效的可能性及可檢測性，根據(jù)下列公式進(jìn)行危害性分析。

風(fēng)險影響數(shù)PEN=S×O×D，其中S為嚴(yán)重程度，O標(biāo)識發(fā)生可能性，D表示檢測度。

經(jīng)過小組討論確定PEN的臨界值，如果PEN大于臨界值，則認(rèn)為存在安全風(fēng)險，重點進(jìn)行控制和解決。最后對控制措施的落實進(jìn)行跟蹤管理，并評估解決后的實施效果，如此遞歸推進(jìn)，直到軟件的安全達(dá)到可接受的水平。

3.2 CTCS3-300T車載設(shè)備安全軟件設(shè)計方法

300T車載設(shè)備在通過SIL認(rèn)證的成熟軟件底層平臺上進(jìn)行安全軟件設(shè)計，綜合使用了A/B雙代碼開發(fā)技術(shù)、內(nèi)存與CPU檢測、任務(wù)監(jiān)控安全通信、Token機(jī)制等多種安全軟件設(shè)計技術(shù)，確保車載設(shè)計軟件的安全性達(dá)到SIL4要求。

A/B雙代碼開發(fā)技術(shù)（A/B Code），即對所有的安全變量，在內(nèi)存中采用bit取反的格式進(jìn)行存儲和運算；對安全相關(guān)的算法與核心控制邏輯，分別由不同的開發(fā)人員設(shè)計實現(xiàn)，進(jìn)行背對背開發(fā)，并在軟件模塊級別上設(shè)置若干關(guān)鍵變量比較點，一旦發(fā)現(xiàn)不一致則導(dǎo)向安全側(cè)。A/B雙代碼軟件的程序控制流如圖6所示。

內(nèi)存與CPU檢測（MCT）技術(shù)，在CPU資源空閑時，根據(jù)300T車載平臺處理器的分析，對CPU的寄存器、加法器和指令集進(jìn)行循環(huán)測試，采用改進(jìn)型的March算法對內(nèi)存的地址線、數(shù)據(jù)線和存儲部件進(jìn)行檢測。

任務(wù)監(jiān)控（Task Supervision）技術(shù)，對于執(zhí)行安全相關(guān)邏輯處理的關(guān)鍵任務(wù)，對任務(wù)的調(diào)度時間進(jìn)行持續(xù)監(jiān)控，如果任務(wù)執(zhí)行的時間超過預(yù)先設(shè)定的時間長度，則立即導(dǎo)向安全側(cè)。

安全通信（Safe Communiction）技術(shù)，對于車載設(shè)備各個單元之間的數(shù)據(jù)通訊，使用安全通信協(xié)議，綜合A/B雙代碼與CRC校驗等手段，保證總線數(shù)據(jù)傳輸?shù)恼_性。車載設(shè)備作為移動體，運行環(huán)境較惡劣，易于受到電磁干擾，因此對總線異常數(shù)據(jù)應(yīng)該設(shè)定一定的容忍值，在容忍范圍內(nèi)丟棄異常數(shù)據(jù)，使用上次的有效數(shù)據(jù)，如果異常數(shù)據(jù)超過容忍值，則故障導(dǎo)向安全。

Token技術(shù)，為防止異常的程序流，安全的函數(shù)實現(xiàn)中，某個特定的token值作為輸入，對不同的程序執(zhí)行路徑對token進(jìn)行bit取反和累加/累減操作，保證函數(shù)的返回值與輸入值是bit取反的。當(dāng)調(diào)用該函數(shù)時，對輸入和輸出的token進(jìn)行比較，一旦程序流出現(xiàn)錯誤，兩者不能滿足bit取反的判斷，從而發(fā)現(xiàn)異常而提高了安全性。

通過采用上述多種提高軟件安全性的技術(shù)，CTCS3-300T車載軟件對系統(tǒng)運行中的信息錯誤、指令錯誤、地址錯誤、異常的程序流、應(yīng)用邏輯異常等進(jìn)行防范，且對每種異常都存在兩種或兩種以上的檢測和處理方法，具體見表1。

另外CTCS3-300T車載安全軟件設(shè)計中，在軟件編譯鏈接器、操作系統(tǒng)功能函數(shù)、編碼規(guī)范等方面都進(jìn)行了驗證確認(rèn)，同時使用了C和C++兩種編程語言，提高軟件的異構(gòu)性，進(jìn)一步提高了車載軟件的安全性。

表1 CTCS3-300T車載設(shè)備安全軟件對不同故障類型的對策表

4 列車接口安全設(shè)計技術(shù)

CTCS3-300T列控車載設(shè)備與列車接口設(shè)計中采用的主要安全技術(shù)和機(jī)制包括：使用安全繼電器及失電輸出制動邏輯、安全信號輸出回采檢測機(jī)制、正反邏輯輸出控制安全輸出機(jī)制、采用高電壓有效輸入輸出單元DX與低電壓有效輸入單元DI的可靠采集機(jī)制、完善的制動檢測機(jī)制和FMECA分析等。

4.1 安全繼電器

安全繼電器有以下特性：

1）不可能發(fā)生一組接點連接前接點，其他組接點連接后接點的故障；

2）安全繼電器前、后接點不可能發(fā)生短接故障。

根據(jù)安全繼電器特性，在系統(tǒng)安全輸出上采用了4組接點的安全性繼電器與列車接口電路實現(xiàn)了電氣隔離，有效的提高了系統(tǒng)的安全性。

4.2 安全信號輸出回采檢測機(jī)制

通過一個安全輸入輸出單元VDX1輸出控制一個安全繼電器，同時通過另一個獨立的安全輸入輸出單元VDX2回采該繼電器的狀態(tài)（連接示意如圖7所示），如系統(tǒng)對比VDX1的輸出指令與VDX2回采狀態(tài)不一致則系統(tǒng)輸出制動并進(jìn)入故障模式，確保安全。

4.3 正、反邏輯輸出控制安全輸出機(jī)制

通過VDX輸出高電平控制安全繼電器EB1吸起或輸出低電平控制安全繼電器EB2落下來斷開列車接口回路，連接示意如圖8所示，通過正、反邏輯輸出控制安全輸出可有效地避免系統(tǒng)因故障發(fā)生輸出異常時不能導(dǎo)向安全側(cè)的風(fēng)險。

4.4 DX/DI可靠采集機(jī)制

DX單元為高電壓有效輸入輸出單元，當(dāng)檢測到輸入高電平時對應(yīng)信號為1；

DI單元為低電壓有效輸入單元，當(dāng)檢測到輸入低電平時對應(yīng)信號為1；

通過DX單元采集一個信號的正邏輯電平，同時DI單元采集該信號的反邏輯電平，系統(tǒng)只有檢測到DX和DI采集到的信號互為相反時才判斷為有效的輸入信號，這種機(jī)制可避免由于布線或混電導(dǎo)致信號發(fā)生異常的問題。

4.5 完善的制動檢測機(jī)制

制動測試總共包含13個步驟，通過組合測試的方式測試了緊急制動和RTW故障反應(yīng)輸出至安全繼電器以及輸出至車輛。

4.6 FMECA分析

在列車接口設(shè)計過程中采用了FMECA（故障模式影響及危害度分析）方法對列車接口電路進(jìn)行分析，有效的提高了系統(tǒng)質(zhì)量和可靠性水平，使其滿足系統(tǒng)安全性需求。

5 結(jié)語

CTCS3-300T型車載設(shè)備在基于成熟安全平臺進(jìn)行設(shè)計的前提下，在系統(tǒng)構(gòu)架設(shè)計、關(guān)鍵單元設(shè)計、軟件設(shè)計及接口設(shè)計中綜合運用了各種安全設(shè)計技術(shù)，使設(shè)備達(dá)到了SIL4安全完整度等級的要求，并通過了國際第三方獨立評估機(jī)構(gòu)的安全評估認(rèn)證。后續(xù)對系統(tǒng)THR指標(biāo)分解、故障樹分析及FMECA分析等方面進(jìn)行更全面、系統(tǒng)的闡述是論文未來的研究方向。

[1] IEC61508, Functional safety of electrical/electronic/programmable electronic safety-related systems[S]. 1997.

[2] EN50128, Railway applications-Communications, signalling and processing systems-Software for railway control and protection systems[S]. 2001.

[3] Railway applications-Communication, signalling and processing systems-Safety related electronic systems for signalling[S]. 2003.

[4] LUO R E, YIH C, SU K L. Multisensor Fusion and Integration: Approaches, Applications, and Future Research Directions[J]. IEEE Sensors Journal,2002, 2(2):107-119.

[5]楊萬海. 多速度傳感器數(shù)據(jù)融合及其應(yīng)用[M].西安: 西安電子科技大學(xué)出版社，2004.

[6]譚德榮，張莉，王艷陽．基于自適應(yīng)卡爾曼濾波的輪速信號處理技術(shù)．汽車工程，2009， 31(6):533-578.