牽引供電系統(tǒng)安全控制平臺(tái)研制

呂順凱

摘? 要：隨著我國(guó)電氣化鐵路的快速發(fā)展，牽引供電系統(tǒng)的可靠性、可用性、可維護(hù)性和安全性亟需提升到更高的技術(shù)水平。作為高性能牽引供電系統(tǒng)的核心，安全控制平臺(tái)的應(yīng)用需求尤為迫切?；诠境袚?dān)的國(guó)家重點(diǎn)研發(fā)計(jì)劃項(xiàng)目以及在信號(hào)安全控制領(lǐng)域的技術(shù)優(yōu)勢(shì)，研制了一款具有完全自主知識(shí)產(chǎn)權(quán)的高性能牽引供電系統(tǒng)安全控制平臺(tái)，采用可靠性和安全性綜合指標(biāo)更優(yōu)的二乘二取二冗余架構(gòu)方案，通過(guò)安全狀態(tài)機(jī)控制邏輯和多種故障-安全機(jī)制實(shí)現(xiàn)對(duì)隨機(jī)失效的安全保證，同時(shí)設(shè)計(jì)了支持帶電熱插拔的各類(lèi)型插件，保證控制平臺(tái)的高可維護(hù)性和高可用性。經(jīng)全面測(cè)試，安全控制平臺(tái)通過(guò)了國(guó)際獨(dú)立安全審核機(jī)構(gòu)認(rèn)證，符合最高安全等級(jí)——SIL4標(biāo)準(zhǔn)。牽引供電項(xiàng)目現(xiàn)場(chǎng)應(yīng)用情況表明，控制平臺(tái)運(yùn)行穩(wěn)定、可靠，能夠顯著提高牽引供電系統(tǒng)安全性和可靠性，縮短年平均故障時(shí)間，提升鐵路運(yùn)能。

關(guān)鍵詞：牽引供電系統(tǒng);安全控制平臺(tái);RAMS;安全完整性等級(jí);二乘二取二;冗余架構(gòu)

中圖分類(lèi)號(hào)：U223.8? ? ? ? 文獻(xiàn)標(biāo)志碼：A? ? ? ? ? ?文章編號(hào)：2095-2945（2019）08-0027-05

Abstract： With the rapid development of China's electrified railways， the reliability， availability， maintainability and safety of traction power supply system need to be upgraded to a higher level. As the core of the high-performance traction power supply system， the application requirement of safety control platform is particularly urgent. Based on the national key R&D project undertaken by the company and the technical advantages in the field of signaling security control， a safety control platform with completely independent intellectual property rights for the high-performance traction power supply system was developed. It adopted double 2-vote-2 redundant architecture that has better reliability and safety comprehensive indicators， ensured security against random failures through secure state machine control logic and multiple fault-safe mechanisms. Meanwhile， various types of plug-ins that support live plug were designed to ensure high availability and maintainability of the control platform. After thorough test， the safety control platform has passed the certification of the international independent safety auditing organization and meets the highest safety level - SIL4 standard. The on-site application results of traction power supply projects showed that the control platform is stable and reliable， significantly improve the safety and reliability of the traction power supply system， shorten the annual average failure time， and enhance transportation capacity of the railway.

Keywords： traction power supply system; safety control platform; RAMS; safety integrity level; double 2-vote-2; redundant architecture

引言

隨著我國(guó)電氣化鐵路的快速發(fā)展，牽引供電系統(tǒng)的可靠性、可用性、可維護(hù)性和安全性（RAMS）越來(lái)越受到人們的重視[1]，而作為牽引供電系統(tǒng)核心的控制系統(tǒng)，如何在保證高可靠性、高可用性、高可維護(hù)性的前提下，同時(shí)實(shí)現(xiàn)故障導(dǎo)向安全，尤為值得深入研究。

基于公司承擔(dān)的國(guó)家重點(diǎn)研發(fā)計(jì)劃項(xiàng)目《高性能牽引供電系統(tǒng)技術(shù)》及在信號(hào)安全控制領(lǐng)域的技術(shù)優(yōu)勢(shì)，項(xiàng)目組自主研制了一款滿(mǎn)足國(guó)際最高安全完整性等級(jí)（SIL4）認(rèn)證標(biāo)準(zhǔn)[2-6]的高性能牽引供電系統(tǒng)安全控制通用平臺(tái)。通過(guò)對(duì)安全控制系統(tǒng)原理的比較分析，控制平臺(tái)選擇了可靠性和安全性綜合指標(biāo)更優(yōu)的二乘二取二冗余架構(gòu)設(shè)計(jì)方案，采用了安全狀態(tài)機(jī)控制邏輯以保證雙系輸出的唯一性和無(wú)縫切換，通過(guò)組合式故障-安全、反應(yīng)式故障-安全和固有故障-安全三種安全機(jī)制實(shí)現(xiàn)對(duì)隨機(jī)失效的安全保證，同時(shí)設(shè)計(jì)了支持帶電熱插拔的插件，保證系統(tǒng)的高維護(hù)性和高可用性。經(jīng)單元測(cè)試、機(jī)箱測(cè)試、平臺(tái)測(cè)試及現(xiàn)場(chǎng)測(cè)試，安全控制平臺(tái)現(xiàn)已通過(guò)國(guó)際獨(dú)立安全審核機(jī)構(gòu)認(rèn)證，并在公司多個(gè)牽引供電項(xiàng)目全面應(yīng)用。

1 控制平臺(tái)架構(gòu)

為滿(mǎn)足系統(tǒng)安全性和可靠性的要求，安全控制平臺(tái)需采用冗余架構(gòu)，可選方案主要包括雙機(jī)熱備、三取二，以及二乘二取二架構(gòu)等[7-8]。

1.1 雙機(jī)熱備架構(gòu)

雙機(jī)熱備架構(gòu)采用單機(jī)保證安全，雙機(jī)提高可靠性的設(shè)計(jì)理念，發(fā)生故障時(shí)進(jìn)行整機(jī)切換，存在的主要技術(shù)難題是雙機(jī)的同步與比較，當(dāng)雙機(jī)比較不一致時(shí)，如何實(shí)現(xiàn)切換及故障自診斷。熱備系統(tǒng)故障發(fā)生之后，故障定位及切換時(shí)間較長(zhǎng)。

1.2 三取二架構(gòu)

三取二架構(gòu)采用三個(gè)獨(dú)立支路進(jìn)行三取二表決，在單路故障的情況下降級(jí)工作，保證系統(tǒng)安全，不存在雙機(jī)熱備系統(tǒng)的整機(jī)切換問(wèn)題， 但存在三機(jī)同步以及故障定位難題，故障一經(jīng)發(fā)現(xiàn)必須在規(guī)定的時(shí)間間隔內(nèi)予以修復(fù)，否則當(dāng)出現(xiàn)雙支路故障時(shí)，系統(tǒng)將整體退出。

1.3 二乘二取二架構(gòu)

二乘二取二架構(gòu)采用兩系完全相同的二取二系統(tǒng)。二乘即兩系以互為熱備方式并行，之間通過(guò)并行接口建立的高速通道交換信息，實(shí)現(xiàn)兩系的同步和切換。二取二即為在一套系統(tǒng)上集成嚴(yán)格同步的雙CPU運(yùn)算及處理單元，實(shí)時(shí)比較，只有雙機(jī)運(yùn)行一致時(shí)才對(duì)外輸出或傳輸運(yùn)算結(jié)果，保證輸出安全。

經(jīng)上述分析，二乘二取二架構(gòu)相比雙機(jī)熱備、三取二等冗余架構(gòu)在可靠性和安全性綜合指標(biāo)上具有明顯的優(yōu)勢(shì)。因此，本項(xiàng)目選擇二乘二取二架構(gòu)作為實(shí)施方案。安全控制平臺(tái)采用具有完全相同硬件結(jié)構(gòu)的兩個(gè)控制機(jī)箱，分別命名為Ⅰ系和Ⅱ系，Ⅰ系為主系工作，Ⅱ系處于熱備冗余狀態(tài)，雙系同時(shí)獨(dú)立工作。兩系均正常時(shí)，控制平臺(tái)輸出為Ⅰ系的輸出。如果Ⅰ系發(fā)生故障，則無(wú)縫切換至Ⅱ系為主系工作系統(tǒng)，控制平臺(tái)輸出為Ⅱ系的輸出，Ⅰ系報(bào)告故障或者自動(dòng)重啟。

2 安全控制方案

對(duì)于采用二乘二取二架構(gòu)的安全控制平臺(tái)，雙系數(shù)據(jù)同步和無(wú)縫切換是需要重點(diǎn)研究的兩個(gè)問(wèn)題[9]。

2.1 雙系數(shù)據(jù)同步

為保障雙系數(shù)據(jù)安全同步，項(xiàng)目采用了高帶寬、高實(shí)時(shí)性、高可靠性、高靈活性、容錯(cuò)性能優(yōu)的FlexRay總線，作為雙系之間信息交互通道。數(shù)據(jù)傳遞過(guò)程中，主要采用了以下技術(shù)方案：

（1）使用序列號(hào)來(lái)保證收發(fā)時(shí)序。

（2）使用安全循環(huán)冗余校驗(yàn)算法保證數(shù)據(jù)的一致性和安全性。

（3）采用本地時(shí)間與遠(yuǎn)程時(shí)間計(jì)算網(wǎng)絡(luò)傳輸延時(shí)，避免網(wǎng)絡(luò)異常引起時(shí)效性問(wèn)題。

（4）采用數(shù)據(jù)包壓縮和解壓技術(shù)傳遞安全數(shù)據(jù)，減少網(wǎng)絡(luò)流量和延時(shí)。

（5）每個(gè)運(yùn)算周期進(jìn)行時(shí)間和數(shù)據(jù)同步，保證主用系和備用系數(shù)據(jù)的一致性。

（6）同步確認(rèn)技術(shù)，即主用系同步給備用系的數(shù)據(jù)，需要備用系發(fā)送同步確認(rèn)信息后，主用系才能繼續(xù)運(yùn)算和對(duì)外輸出，防止雙系切換后對(duì)外控制信息不一致導(dǎo)向風(fēng)險(xiǎn)。

2.2 雙系無(wú)縫切換

為保證雙系輸出的唯一性和無(wú)縫切換，采用了安全狀態(tài)機(jī)設(shè)計(jì)方案。單系控制機(jī)箱包含以下五種狀態(tài)：（1）未工作狀態(tài);（2）初始化狀態(tài);（3）主用狀態(tài);（4）備用狀態(tài);（5）故障狀態(tài)，主要狀態(tài)切換工況包括：

（1）雙系正常上電，進(jìn)行初始化配置，配置為主用系的控制機(jī)箱為主用系，另一系轉(zhuǎn)為備用系。

（2）主用系出現(xiàn)故障，轉(zhuǎn)為故障狀態(tài);備用系檢測(cè)到主用退出，滿(mǎn)足主用條件，轉(zhuǎn)為主用狀態(tài)。

（3）故障狀態(tài)滿(mǎn)足初始化條件，經(jīng)未工作狀態(tài)進(jìn)行初始化配置。

3 安全插件設(shè)計(jì)

經(jīng)需求分析，安全控制計(jì)算機(jī)的輸入主要包含模擬量和數(shù)字量等，輸出主要為數(shù)字量，同時(shí)基于單板功能獨(dú)立和模塊化設(shè)計(jì)理念，項(xiàng)目組研制了安全電源插件、安全主控插件、安全模擬量輸入插件、安全數(shù)字量輸入插件、安全數(shù)字量輸出插件、安全通信插件等不同類(lèi)型的安全插件，可根據(jù)現(xiàn)場(chǎng)應(yīng)用需求，對(duì)各系控制機(jī)箱靈活配置。

主控插件、安全模擬量輸入插件、安全數(shù)字量輸入插件、安全數(shù)字量輸出插件等通過(guò)組合式故障-安全、反應(yīng)式故障-安全和固有故障-安全三種安全機(jī)制實(shí)現(xiàn)對(duì)隨機(jī)失效的安全保證，在故障狀態(tài)下停止對(duì)外輸出，在人工確認(rèn)故障排除前不能自動(dòng)恢復(fù)，以保證插件保持在安全狀態(tài)。各插件安全完整性達(dá)到IEC 62425標(biāo)準(zhǔn)規(guī)定的SIL4級(jí);插件的軟件安全完整性達(dá)到IEC 62279標(biāo)準(zhǔn)規(guī)定的SIL4 級(jí)。同時(shí)，各插件具備熱插拔功能，在系統(tǒng)不斷開(kāi)電源的情況下，允許進(jìn)行插件的插入或者拔出操作。通過(guò)軟硬件結(jié)合的加密方式，各插件還可實(shí)現(xiàn)安全加密功能。

3.1 安全電源插件

安全電源插件采用DC110V電壓輸入，轉(zhuǎn)換為2路DC24V直流電源輸出，為牽引供電系統(tǒng)安全控制平臺(tái)其余各插件提供電源。

電源插件采用模塊化設(shè)計(jì)，主要由6個(gè)部件組成：輸入濾波、過(guò)流保護(hù)、電源儲(chǔ)能、輸入過(guò)壓保護(hù)、DC/DC轉(zhuǎn)換、輸出濾波等。DC110V電源輸入濾波之后，通過(guò)2個(gè)DC/DC轉(zhuǎn)換模塊，獲得雙路DC24V電源。

電源插件具備完善保護(hù)措施，包含輸入反接保護(hù)、防沖擊保護(hù)、輸入過(guò)壓保護(hù)、輸入欠壓保護(hù)、輸出過(guò)壓保護(hù)、輸出過(guò)流保護(hù)、超溫保護(hù)等，支持熱插拔。

3.2 安全主控插件

主控插件完成安全控制平臺(tái)的設(shè)備管理，通過(guò)安全通信協(xié)議獲取安全控制平臺(tái)內(nèi)部插件輸入數(shù)據(jù)或狀態(tài)，通過(guò)通信協(xié)議獲取安全控制平臺(tái)外部設(shè)備輸入數(shù)據(jù)，將數(shù)據(jù)或狀態(tài)校驗(yàn)后通過(guò)應(yīng)用開(kāi)發(fā)軟件接口傳送至應(yīng)用軟件，并將應(yīng)用軟件運(yùn)算得出的控制命令或狀態(tài)經(jīng)表決后輸出至安全控制平臺(tái)內(nèi)部插件或外部設(shè)備。同時(shí)，主控插件實(shí)時(shí)監(jiān)測(cè)各模塊的工作狀態(tài)、軟硬件信息（包含版本、故障等信息），并通過(guò)軟件接口提供至二次開(kāi)發(fā)用戶(hù)，通過(guò)對(duì)外通信接口發(fā)送至外部設(shè)備。

主控插件主要由A機(jī)系統(tǒng)、B機(jī)系統(tǒng)、C機(jī)通信系統(tǒng)（簡(jiǎn)稱(chēng)A、B、C機(jī)）等構(gòu)成。A機(jī)、B機(jī)組成2取2的安全結(jié)構(gòu)，A、B機(jī)負(fù)責(zé)安全計(jì)算和比較，C機(jī)負(fù)責(zé)與其他插件間的通信，將安全數(shù)據(jù)經(jīng)FlexRay發(fā)送至輸出插件和/或外部設(shè)備，并通過(guò)以太網(wǎng)等方式與外部設(shè)備通信。

主控插件運(yùn)行模式分為上電自檢模式、正常運(yùn)行模式和故障停機(jī)模式，依據(jù)各種模式進(jìn)行狀態(tài)管理。上電自檢模式時(shí)，插件處于上電自檢過(guò)程，不能進(jìn)行安全表決和計(jì)算。自檢通過(guò)后進(jìn)入正常運(yùn)行模式，正常運(yùn)行模式為主控插件可用模式，可進(jìn)行邏輯運(yùn)算、安全表決和輸出。自檢出現(xiàn)故障時(shí)，插件進(jìn)入故障停機(jī)模式。故障停機(jī)模式時(shí)，插件不能提供原定功能，保持在安全狀態(tài)。在上電初始化過(guò)程中，主控插件檢查配置數(shù)據(jù)的完整性及配置數(shù)據(jù)與實(shí)際配置的一致性;并在正常運(yùn)行過(guò)程中定期進(jìn)行配置數(shù)據(jù)與實(shí)際配置的一致性檢查。如果檢查失敗，則導(dǎo)向安全狀態(tài)。

3.3 安全模擬量輸入插件

安全模擬量輸入插件通過(guò)電壓互感器和電流互感器，周期性地進(jìn)行模擬量的采集。插件采用2取2的“故障-安全”架構(gòu)，即在本插件中有A機(jī)和B機(jī)兩套處理器系統(tǒng)，A機(jī)和B機(jī)將采集到外部模擬量信息通過(guò)雙通道CPU運(yùn)算、比較后，形成安全模擬量值后將結(jié)果通過(guò)CAN通信發(fā)送給C機(jī)，C機(jī)再將結(jié)果傳輸?shù)紽lexRay總線，符合組合故障-安全策略。

安全模擬量輸入插件A機(jī)、B機(jī)各自具有8個(gè)電流采集電路，8個(gè)電壓采集電路，并為電流型傳感器提供24V工作電源，為電壓型傳感器提供15V工作電源。同時(shí)，A機(jī)8個(gè)電流采集電路、A機(jī)8個(gè)電壓采集電路、B機(jī)8個(gè)電流采集電路、B機(jī)8個(gè)電壓采集電路之間采取電氣隔離，隔離電壓為AC1000V。

安全模擬量輸入插件運(yùn)行模式分為上電自檢模式、正常運(yùn)行模式和故障停機(jī)模式，依據(jù)各種模式進(jìn)行狀態(tài)管理。上電自檢模式時(shí)插件處于上電自檢過(guò)程，不能進(jìn)行模擬量輸入信息的采集和表決。自檢通過(guò)后進(jìn)入正常運(yùn)行模式，正常運(yùn)行模式為安全模擬量輸入插件可用模式，插件可進(jìn)行模擬量輸入信號(hào)的采集。自檢出現(xiàn)故障時(shí)，插件進(jìn)入故障停機(jī)模式。故障停機(jī)模式時(shí)，插件不能提供原定功能，保持在安全狀態(tài)。插件在上電和運(yùn)行中進(jìn)行關(guān)鍵故障檢測(cè)，檢測(cè)到重要模塊故障時(shí)，插件保持在安全狀態(tài)。

3.4 安全數(shù)字量輸入插件

安全數(shù)字量輸入插件中安全開(kāi)關(guān)信號(hào)輸入通道是對(duì)安全繼電器一組狀態(tài)接點(diǎn)的（常開(kāi)接點(diǎn)和常閉接點(diǎn)）導(dǎo)通狀態(tài)同時(shí)采集，分別由兩個(gè)不同的CPU 進(jìn)行處理。通過(guò)這兩個(gè)CPU 對(duì)采集結(jié)果的比較判斷得出安全繼電器當(dāng)前所處狀態(tài)或者在連線中的出現(xiàn)混線、斷線和接地等故障。

安全數(shù)字量輸入插件分別由CPUA、CPUB、CPUC和安全輸入通道四個(gè)主要的功能模塊組成（分別簡(jiǎn)稱(chēng)為A機(jī)、B機(jī)、C機(jī)和安全輸入通道）。插件采用2取2的“故障-安全”架構(gòu)，即在本插件中有A機(jī)和B機(jī)兩套處理器系統(tǒng)， A機(jī)和B機(jī)將采集到外部繼電器一組觸點(diǎn)狀態(tài)信息（即一常開(kāi)觸點(diǎn)和一常閉觸點(diǎn)）通過(guò)內(nèi)部CAN通信交互后分別進(jìn)行處理和表決，并將結(jié)果通過(guò)CAN通信發(fā)送給C機(jī)，C機(jī)再將結(jié)果傳輸?shù)紽lexRay總線，符合組合故障-安全策略。安全輸入通道共有16路，每路分A通道和B通道，A通道采集常開(kāi)觸點(diǎn)形式的開(kāi)關(guān)量輸入信號(hào)，B通道采集常閉觸點(diǎn)形式的開(kāi)關(guān)量輸入信號(hào)。

安全數(shù)字量輸入插件運(yùn)行模式分為上電自檢模式、正常運(yùn)行模式和故障停機(jī)模式，依據(jù)各種模式進(jìn)行狀態(tài)管理。上電自檢模式時(shí)插件處于上電自檢過(guò)程，不能進(jìn)行開(kāi)關(guān)量輸入信息的采集和表決。自檢通過(guò)后進(jìn)入正常運(yùn)行模式，正常運(yùn)行模式為安全數(shù)字量輸入插件可用模式，插件可進(jìn)行開(kāi)關(guān)量輸入信號(hào)的采集。自檢出現(xiàn)故障時(shí)，插件進(jìn)入故障停機(jī)模式。故障停機(jī)模式時(shí)，插件不能提供原定功能，保持在安全狀態(tài)。插件在上電和運(yùn)行中進(jìn)行關(guān)鍵故障檢測(cè)，檢測(cè)到關(guān)鍵模塊（包括輸入通道電源、內(nèi)部通信總線、輸入通道、同步）故障時(shí)，插件保持在安全狀態(tài)。

3.5 安全數(shù)字量輸出插件

安全數(shù)字量輸出插件包含CPUA、CPUB、CPUC和安全輸出通道四個(gè)主要的功能模塊（分別簡(jiǎn)稱(chēng)為A機(jī)、B機(jī)、C機(jī)和安全輸出通道）。安全數(shù)字量輸出插件采用2取2的“故障-安全”架構(gòu)，A機(jī)和B機(jī)均從C機(jī)通過(guò)CAN總線獲取數(shù)字量輸出命令，分別將獲取的數(shù)字輸出命令信息進(jìn)行處理后，形成各自的輸出命令，輸出命令通過(guò)輸出通道執(zhí)行輸出，符合組合故障-安全策略。C機(jī)負(fù)責(zé)對(duì)外通信，將從FlexRay總線接收到的安全數(shù)字量輸出命令通過(guò)內(nèi)部CAN通信發(fā)送給A機(jī)和B機(jī)。安全輸出通道共有16路，每路分A通道和B通道，A通道和B通道采用串聯(lián)方式輸出，提高安全性。同時(shí)，安全數(shù)字量輸出通道采用安全繼電器觸點(diǎn)輸出，并通過(guò)安全繼電器的觸點(diǎn)狀態(tài)反饋實(shí)現(xiàn)狀態(tài)監(jiān)督。

安全數(shù)字量輸出插件運(yùn)行模式分為上電自檢模式、正常運(yùn)行模式和故障停機(jī)模式，依據(jù)各種模式進(jìn)行狀態(tài)管理。上電自檢模式時(shí)，插件處于上電自檢過(guò)程，不能進(jìn)行安全表決和輸出。自檢通過(guò)后進(jìn)入正常運(yùn)行模式，正常運(yùn)行模式為安全數(shù)字量輸出插件可用模式，可進(jìn)行安全表決和輸出。自檢出現(xiàn)故障時(shí)，插件進(jìn)入故障停機(jī)模式。故障停機(jī)模式時(shí)，插件不能提供原定功能，保持在安全狀態(tài)。插件在上電和運(yùn)行中進(jìn)行關(guān)鍵故障檢測(cè)，檢測(cè)到關(guān)鍵模塊（包括輸出通道電源、內(nèi)部通信總線、輸出通道、同步）故障時(shí)，插件保持在安全狀態(tài)。

4 結(jié)束語(yǔ)

安全控制平臺(tái)經(jīng)過(guò)高低溫、振動(dòng)、鹽霧、電磁兼容等全面測(cè)試，通過(guò)了國(guó)際獨(dú)立安全審核機(jī)構(gòu)認(rèn)證，滿(mǎn)足國(guó)際最高安全等級(jí)（SIL4）標(biāo)準(zhǔn)要求，采用的二乘二取二冗余架構(gòu)方案、安全狀態(tài)機(jī)控制邏輯、故障-安全機(jī)制、安全插件有效提高了控制系統(tǒng)的可靠性、可用性、可維護(hù)性和安全性，同時(shí)保證了故障導(dǎo)向安全。在多個(gè)牽引供電項(xiàng)目現(xiàn)場(chǎng)應(yīng)用情況表明，控制平臺(tái)運(yùn)行安全、穩(wěn)定、可靠，能夠顯著縮短牽引供電系統(tǒng)年平均故障時(shí)間，提高鐵路運(yùn)能。下一步，項(xiàng)目組將對(duì)安全控制平臺(tái)的技術(shù)指標(biāo)進(jìn)一步優(yōu)化，滿(mǎn)足更高技術(shù)性能應(yīng)用需求。

參考文獻(xiàn)：

[1]楊媛.高速鐵路供電系統(tǒng)RAMS評(píng)估的研究[D].北京：北京交通大學(xué)，2011.

[2]IEC 61508：2010 Functional safety of electrical/electronic/programmable electronic safety-related systems[S].

[3]IEC 62061：2005 Safety of machinery-Functional safety of safety-related electrical， electronic and programmable electronic control systems[S].

[4]EN 50126：2017 Railway application-The specification and demonstration of Reliability， Availability， Maintainability and Safety （RAMS） [S].

[5]EN 50128：2011 Railway applications-Communications， signalling and processing systems - Software for railway control and protection systems[S].

[6]EN 50129：2003 Railway applications-Communication， signalling and processing systems-Safety related electronic systems for signalling[S].

[7]郭慶.一種新型二乘二取二安全計(jì)算機(jī)的設(shè)計(jì)和實(shí)現(xiàn)[D].杭州：浙江大學(xué)，2012.

[8]劉芳，王海峰.二乘二取二與雙機(jī)熱備計(jì)算機(jī)聯(lián)鎖系統(tǒng)性能比較[J].鐵道通信信號(hào)，2008，44（02）：26-29.

[9]蔡煊，王長(zhǎng)林.車(chē)載列車(chē)自動(dòng)防護(hù)的二乘二取二安全計(jì)算機(jī)平臺(tái)同步機(jī)制[J].計(jì)算機(jī)工程，2015，41（8）：301-305.