SIEMENS数字直线加速器的安全系统

王剑平

宁波市第二医院设备科，宁波市，315010

西门子加速器除了用联锁电路来保障治疗安全外，还有3套安全系统在实时监测设备状态，以保证治疗安全。

1 T1 Emergency Line 系统

T 1 安全线是通过监测各个功能控制板(Function controller，以下简称FC)的状态来预防误治疗的发生。

从图1可知，T1 线在各个功能控制板(function controller)和watchdog板之间形成环路，正常状态下是+5 V，当某个功能板发现其子系统出现故障时，它就把T1 拉低，证明系统有故障发生。其他功能板通过读取T1线的状态得知系统故障后，停止其子系统的工作，保证治疗的安全。图中，I/O Relay板和FC#5板只读取T1 线而不发送T1 线。T1 线是实时监测的，并且不能被旁路。当T1 线被拉低时，I/O Relay板上的DS6（T1 indicator）红灯会灭，并且禁止机器运动和出线束。

图1 Emergency Line 系统Fig.1 Emergency Line system

每20 ms为一个周期，每个FC会给watchdog板报告一个9 μs脉宽的低电平watchdog脉冲信号，watchdog板则监控这些脉冲信号。如果某个FC在128 ms内没报告watchdog信号，在0.5 s内把T1 线拉低。

从图2可以看出，U17-11在U19，U20的131 ms计数后，反转成高电平。(a) 使U18读取寄存器中的Watchdog信号，D=Q，当D为低电平时，T1保持高电平，DG1灯亮；D为高电平时，T1被拉低，这时DR3和DG2灯亮，并且相对应的DG4～DG11灯也亮当。(b) 经过延时后复位寄存器，开始下一个计数周期。

2 Spuervisor Line 系统

该系统统watchdog工作线路如图3所示。FC0，1，2，3，6，7有3条safety line 分别报告给logic control板，用于出束时的状态检测，它们是/HV on Out，/Rad on Out，/Gantry En Out。区别于T1，它们只在准备和出束时才起作用。

当在控制台按下Accept后，上述的每个FC向logic control板报告safety line的状态，低电平为正常。Logic control板分析接受到的18个safty line信号后，如果都是低电平，那么就会向IO relay板发出3个高电平的HV on logic，Rad on logic，Gan En logic信号，同时，也给FC6和FC7 发出3个低电平的/HV on in，/Rad on in，/Gan En in信号。这时如果T1 line正常，控制台会切换到Ready状态，如果任何一个safety line报告不正常时，控制台将处于 not ready状态，直到报告#70 control 7 连锁。

Ready状态下按下Rad on后，I/O relay板在FC7的控制下向FC0，FC1，FC2，FC3 给出HV on In，Rad On In，Gan En In 信号 。

图2 Watchdog 板工作线路图Fig.2 Watchdog chip workline diagram

图3 Supervisor Lines 系统原理图Fig.3 Supervisor Lines system principal diagram

3 Check 1和Check 2系统

Check1和Check2分别是控制台在出束前和出束后，对FC和相关联锁进行检测。当有FC或连锁check通不过时，控制台就转入error状态，直到所有check通过后，才能恢复正常工作。

Check1的测试包括2个部分：

(1) 每个FC的RAM和ROM测试；

(2) FC6通过SIM line测试所有的联锁电路。

Check2的测试包括3个部分：

(1) safty line测试。每个FC报告HV on，Rad on，Gan En 信号，FC2拉下这3个Safety line。FC7监测这些信号并报告给控制台。如果FC7没有报告safety line被拉下，控制台就报error。

(2) 在维修菜单，可以对选中的FC做check。

①FC在D22拉下T1 线并且在F28读取低电平的T1 线。

② FC停止给watchdog板发送watchdog信号，watchdog板在262 ms内没有收到watchdog信号而拉低T1 线。FC监测T1 线被拉低并报告给控制台。如果控制台没有收到FC报告，将报error。测试完成后FC将恢复T1 线和watchdog信号。

(3) 剂量相关联锁电路测试。FC2通过触发interlock test信号对7个剂量联锁（Mon Sync，DR2，P.S check，HR1，HR2，Pre High Rate，Dose Sim）进行测试，FC6监测这些连锁动作，任何一个联锁不报告都会导致check2通不过而报error。

4 安全系统在日常中的应用及分析

(1) 控制台在按下ACCEPT时出#85 I/O Relay连锁，连锁能RESET清除，但由于频率很高而停机。

通过检查I/O Relay板指示灯的状态，我们发现T1被拉低了。这时再检查Watchdog板的指示灯发现，DR3和DS8红灯亮，说明T1是被FC3拉低的。更换FC3上的8255芯片，解决了这个问题。

提示：有时候在Watchdog板上没有指示出错的FC，这时可以逐次复位FC板（FC板上的灰色复位按键），控制台复位logoff连锁后，出束检查是否出I/O Relay连锁。不出连锁时所对应的FC就是有故障的电路板。

(2) 控制台在按下ACCEPT后，出现#70 controller 7连锁，代码716，HV，Gan EN，Rad on not released during transition to a ready state error。

图4 安全控制电路图Fig.4 Saftey control circuit diagram

按照之前分析的safety line工作原理，应该是某个FC没有释放某一条safety line。Logic control 板上有一个latch/unlatch开关，在unlatch状态，可以观察到控制台检测safety line的过程。关闭注入器高压和调制器高压后，我们仔细观察logic control板上DS1(Rad on)，DS2(HV on),DS3(Gan En) 3个safety line指示灯，和DS4-DS9所对应的FC0-FC7的6个指示灯。我们发现在控制台按下ACCEPT后，其他指示灯都相继熄灭，只剩下DS1和DS7没有灭。这说明在检查过程中FC3的/Rad on没有释放给logic control板，所以控制台产生了相应的连锁。

测量发现，在FC3上的/Rad on out（F22）为0 V，而logic control板上收到的/Rad on out (D26)为1.5 V。进一步检查发现它们之间的S34 J6松动，重新固定J6后故障解除。

(3) 偶发的check 2error，在维修菜单check display中check时，FC6下 面的错误代码2 h。

按照check 2 工作原理，FC62 h 是出束结束时7个剂量连锁中某个连锁自检没有通过。我们可以在check display菜单中按‘C’，开始check2 过程，同时在机柜S33连锁板上观察7个剂量连锁 的动作情况。正常情况下，7个联锁几乎同时闪烁1 s后熄灭。

实际中，我们发现7个剂量连锁有非常快而微弱的闪烁，有别于正常时的check。测量发现送至联锁板的7个测试脉冲在正常和不正常时没有差异，但是联锁板上的24Reset (Z28) 信号在正常时是0 V，不正常时是24 V。如图4所示，24Reset常态时保持低电平，而只在S31按下24 V复位按钮时才转变为高电平，对联锁板复位。当K9-9和K9-3粘连后，24Reset持续的高电平限制了联锁板正常的读取联锁信号，所以check2中的联锁测试没有通过。更换K9后故障解除。

[1]Siemens digital mevatron service drawings[R].