SIL4功能安全在城轨车门控制器中的应用

2020-11-11黄莉莉廖小美

铁道机车车辆 2020年5期

关键词：完整性车门控制器

黄莉莉，张伟，廖小美

(1 南京康尼机电股份有限公司，南京 210013；2 南京康尼电子科技有限公司，南京 210013)

随着轨道交通近年来在中国市场的迅猛发展，轨道交通安全性问题也日益突显。轨道交通运输中遵循“预防为主、早期投入”的策略，把预防、发现、纠正各类安全隐患作为重点，采用安全控制技术，及时防止行车事故的发生，避免出现严重事故威胁乘客人身安全。

轨道车辆门系统安全性也越来越受到企业和客户的重视。国内外客户在轨道车辆门系统功能安全方面提出了越来越高的需求，希望产品在重要安全功能方面达到功能安全完整性的最高等级要求。

轨道车辆门系统的控制中心是车门控制器，接受车辆控制信号，控制门扇运动进行开、关门动作。车门控制器作为门控系统的核心，它的安全性直接关系到车门控制的安全。因此，研制高安全性的车门控制器具有非常重要的意义。

1 功能安全简介

1.1 功能安全概念

功能安全的概念源于国际电工委员会的IEC 61508标准。该标准的全称是《电气/电子/可编程电子安全相关系统的功能安全》。该标准中定义了功能安全：针对规定的危险事件，为达到或保持受控设备的安全状态，由电气/电子/可编程电子安全相关系统、其他技术安全系统或其他风险降低措施实现的功能[1]。

IEC 61508是电气与电子行业的通用标准，轨道交通领域基于此并参考多种其他标准，制定了铁路应用的标准规范： EN 50126《铁路应用-可靠性、可用性、可维护性和安全性规定和证明》，EN 50128《铁路应用-通讯、信号和程序系统——轨道控制和保护系统软件》，EN 50129《铁路应用——通信、信号、处理系统——信号用安全相关电子系统》。在这3个标准中，对铁路应用中的功能安全及实现做了描述。

1.2 安全完整性等级概念

EN 50129中描述了安全需求规范：每个系统/子系统/设备的特定安全需求，都应包括安全功能和安全完整性两项[4]。安全功能就是系统/子系统/设备应具备的实际与安全性相关的功能，通过危险识别和分析、风险评估和分类实现；安全完整性则定义了每一个安全相关功能的安全完整性等级，通过安全完整性等级分配来实现。当特定的安全功能获得实现，并且其所对应的安全完整性等级也被满足的时候，功能安全的目标才达到。

为了描述安全功能所对应的安全完整性等级，引入了SIL概念，它是Safety Integrity Level的缩写，是对诸如质量管理和安全管理以及技术安全条件这类要素的定性评价。它表示一个安全相关系统实现安全功能的能力。安全完整性等级越高，它在执行所需的安全功能时失效的可能性越低。EN 50129中，安全完整性被分为4个离散等级，SIL4为安全完整性最高等级，SIL1为最低等级，SIL0用于无安全性需求的应用场合。

1.3 安全完整性等级的实现方式

为了实现系统/子系统/设备的特定功能安全需求，应满足以下两项要求：(1)安全功能达到安全状态；(2)安全功能的安全完整性达到要求。安全完整性以定性的安全目标和与之关联的定量目标的形式出现，定性目标以1.2节所述安全完整性等级形式给出；定量目标以失效率形式给出。由于无法对系统失效进行量化，因此安全完整性等级被用作匹配定性方法和定量方法的手段[4]。由此引入了THR概念，它是Tolerable Hazard Rate的缩写，表示可容忍的危害发生的概率。THR和SIL的对应关系通过表1来确定。

表1 SIL等级和THR对照表

该对照表可根据危险率确定安全完整性等级；也可根据安全完整性等级设计系统或子系统以使其满足THR要求。

如果某安全功能的允许危险率可用一种定量方法获得THR，则其安全完整性等级可通过表1确定[3]。而其可量化的THR，则可以通过FTA(故障树分析)等方法，分配到子系统中，最后反应到硬件的FR(Failure Rate，失效率，可靠性相关)上。

同时，根据软件应用的风险水平和系统安全完整性等级，确定软件安全完整性等级。根据软件安全完整性等级，选择软件开发的生命周期模型，并在软件质量保证计划中详细说明，由评估员实现对软件的评估，评估过程贯穿整个生命周期。

1.4 功能安全认证

功能安全认证是基于IEC 61508(轨道交通领域对应EN 50126、EN 50128、EN 50129)等标准，对产品的安全完整性等级进行评估和确认的一种第3方评估、验证和认证。功能安全认证主要涉及针对产品开发流程的文档管理评估，硬件可靠性计算和评估，软件评估，环境试验、EMC电磁兼容试验评估等内容。功能安全认证贯穿产品整个安全生命周期。IEC 60158中规定：可进行功能安全评估的人、部门或组织必须是独立的，与被评估的项目没有任何关系。SIL1的产品功能安全评估由个人或部门来完成；SIL2的产品功能安全评估由相关部门进行；SIL3以上的产品要求第3方机构认证。

2 车门控制器功能安全简介

车门是乘客进出列车的唯一通道，面向的对象是大量乘客，因此车门控制器的安全直接关系到乘客人身安全。在对车门控制器潜在的所有危险进行初步危害分析后，评估出危险发生的频率、严重程度，然后依据EN 50126标准的4.6章节，定义危害的风险类别。综合以上分析，得出车门控制器“意外开门”的功能安全目标如表2所示：

表2 车门控制器功能安全表

车门控制器接收车辆顶层控制系统传输的列车线信号(开门、关门等)、传感器信号(行程开关、位置传感器等)、车辆网络信号等，判断对应时刻是否需要执行开门或关门命令，继而控制电机进行正转或反转，驱动车门完成解锁、开门或关门动作。车门控制器结构框图如图1所示。

图1 车门控制器结构框图

车门控制器的本质在于接收外部信号完成开关门判断，并驱动电机实现开门或关门功能。根据表2可知，车门控制器安全性要求最高的功能是“意外开门”功能。意外开门发生的必要条件是电机正转(假设正转表示开门，反转表示关门)，结合图1，电机正转的必要条件是电机电源得电并且电机驱动电路正常。因此，为了实现“意外开门”功能的SIL4级高安全性，设计一个“安全电路”，作用于电机电源及电机驱动电路，如图1所示“安全电路”模块，以保证“意外开门”功能的安全完整性等级达到SIL4。

3 车门控制器SIL4功能安全的实现

EN 50129标准中规定了SIL4功能安全的3种实现方式：组合式实现；反应式实现；固有式实现。

组合式实现：采用组合式实现方式，每个安全相关功能应至少由两个项来执行。各项之间互相独立，避免共因失效，并且应该能检测出一个项中的危险故障并在足够的时间内加以拒绝，以避免第2个项发生相同故障。组合式安全电路实现原理如图2所示。

图2 组合式安全电路

组合式安全电路的本质是采用相异的冗余电路实现功能安全，消除电路单点故障。

反应式实现：采用反应式实现方式，这种技术允许一个安全功能由单个项执行，前提是通过快速的危险故障检测和拒绝来确保它的安全操作。虽然只由一个项来实施实际的安全功能，但检查/测试/检测功能应被看作第2项，并且两项之间相互独立，避免共因失效。反应式安全电路实现原理如图3所示。

图3 反应式安全电路

反应式安全电路的本质是利用相异电路互相校验实现功能安全。

固有式实现：采用固有式实现方式，一个安全功能仅由单个项执行，且该项所有失效模式均为安全的。固有式安全电路实现原理如图4所示。

图4 固有式安全电路

固有式安全电路的本质是利用电路的独特性确保电路任何失效模式均导向安全，实现功能安全。

综合车门控制器的设计结构及功能安全的3种实现方式，在车门控制器中采用第3种方式——固有式安全电路实现SIL4功能安全。SIL4安全电路控制框图如图5所示。

图5 SIL4安全电路控制框图

SIL4安全电路确保不会给电机驱动电路提供错误输出，无论任何器件出现故障，都不会误触发电机驱动电路，从而不出现“意外开门”，满足固有式安全电路“所有失效模式均为安全的”条件。

4 车门控制器SIL4安全等级的验证

4.1 SIL4等级验证

SIL4安全电路通过接收车辆列车线信号及外部传感器信号决定是否给电机驱动电路供电。在电机驱动电路模块得电的情况下，CPU控制输出开关门命令确保电机正常运转。可见：SIL4安全电路的失效率越低，电机误动作的概率越低，车门控制器的安全性越高。

在车门控制器“意外开门”功能SIL4等级要求上，通过固有式故障安全电路实现，其固有故障特性保证电路发生故障时导向安全，因此只需要通过计算可量化的THR，使其满足表1即可。而其可量化的THR，则可以通过FTA分析计算得出。

通过FTA分析方法，首先确定意外开门(顶事件)的直接原因或间接原因(或其组合)，自顶向下一层一层展开原因分析，直至分析至基本事件(单个器件的失效)。器件的失效率根据美军标MIL-HDBK-217FN2进行预计，器件的失效模式及失效模式百分比根据EN 50129标准的附录表进行，由此得出器件级别的FMECA(Failure Mode Effect Criticality Analysis的缩写)分析表。FTA的基本事件可根据FMECA分析表中单个器件某种失效模式下的失效率及失效影响计算得出。最后应用自下而上的方法，计算出顶事件的THR。

通过此种分析计算，可得车门控制器“意外开门”功能的THR为1.946×10-10，参见图6(故障树的一部分)。