【文章內(nèi)容簡介】 作的概率 ,采用了互為備用的兩重系統(tǒng) ,亦是為了提高可靠性。兩重系統(tǒng)具體為或門兩重系統(tǒng)。為了實現(xiàn)安全性、可靠性冗余結(jié)構(gòu) ,可采用兩套獨立版本的軟件程序相互校驗 ,另外采用雙機備用 ,至于是采用熱備還是冷備用 ,應(yīng)按對系統(tǒng)可靠性的要求程度來確定。 容錯計算與故障 安全的關(guān)系。 容錯計算與故障 安全具有非常緊密的關(guān)系，是故障導(dǎo)向安全的基礎(chǔ)。提高計算機系統(tǒng)的故障 安全首先要利用各種可靠技術(shù)，使系統(tǒng)具有足夠高的可靠性。容錯技術(shù)是提高計算機系統(tǒng)可靠性的一項重要措施。它在系統(tǒng)內(nèi)部有故障存在的情況下，能夠消除故障的影響，使系統(tǒng)最終給出正確的結(jié)果。 實現(xiàn)容錯首先要進行故障檢測，故障影響分析及故障處理。對要求故障導(dǎo)向安全的系統(tǒng)，在進行故障影響分析及故障處理時，把系統(tǒng)故障按照影響系統(tǒng)的安全制度劃分， 10 系統(tǒng)故障可分為影響安全的和不影響安全的故障。若發(fā)生了影響安全的故障，對系 統(tǒng)進行限制輸出處理或降級處理，以降低系統(tǒng)性能為代價來換取系統(tǒng)的高故障 安全性。 鐵路信號系統(tǒng)的設(shè)計原則和技術(shù)。 故障導(dǎo)向安全 鐵路信號中故障 — 安全可以用下述方法描述：信號在傳輸中出現(xiàn)故障時，傳送信號的輸出始終是正確的或是安全的。也就是說，此輸出不會導(dǎo)致重大的經(jīng)濟損失或人員傷亡。這樣的傳輸系統(tǒng)就稱為故障 — 安全系統(tǒng) .一個故障 — 安全系統(tǒng)本身應(yīng)能檢查自身的錯誤，且當(dāng)這種錯誤發(fā)生時，系統(tǒng)能使自己處于更加限制的狀態(tài)，而不會導(dǎo)致任何危險狀況的出現(xiàn)。具體到電路上，可以對故障 — 安全做以下嚴(yán)格定義：如果在輸 入碼空間內(nèi)對于發(fā)生給定故障集中的任何故障，電路的輸出端永不出現(xiàn)錯誤的碼字，則該電路對此故障集是故障 — 安全的。顯然，這種定義比前一種具有更嚴(yán)格的要求。前一種定義要求系統(tǒng)故障時不產(chǎn)生錯誤的危險性輸出即可，而后一種定義則是要求系統(tǒng)故障時不出現(xiàn)錯誤碼字。換句話說，一個不導(dǎo)致危險的錯誤輸出在第一種定義中是允許的，但在后一種定義中是不允許的。滿足后一種定義的系統(tǒng)一定滿足前一種定義。 鐵路信號安全信息傳輸系統(tǒng)應(yīng)具有強健的不對稱特征設(shè)系統(tǒng)的輸出結(jié)果空間分為安全性輸出集 S和危險性輸出集 D。系統(tǒng)正常時要求系統(tǒng)行為正確合理地分布 在 S或 D中 .當(dāng)系統(tǒng)發(fā)生故障時這種故障 — 安全特性要求系統(tǒng)保證應(yīng)該屬于 S 的輸出不能出現(xiàn)在 D中但應(yīng)處于 D中的輸出由于故障出現(xiàn)在 S或 D中都不影響系統(tǒng)的安全性。以作者長期工作的鐵路信號領(lǐng)域為例，比如說安全繼電器的吸起與落下，落下狀態(tài)屬于安全性輸出集 S，吸起狀態(tài)屬于危險性輸出集 D。如果由于系統(tǒng)故障使本來應(yīng)該為落下的狀態(tài)差錯為吸起狀態(tài)，那么我們就說系統(tǒng)產(chǎn)生了非故障 — 安全輸出。但是如果此時繼電器本來應(yīng)該是吸起狀態(tài)，而由于系統(tǒng)故障把此狀態(tài)更改為落下狀態(tài)，即不會允許下一個區(qū)間本來可以通過的列車運行，這也不影響行車的安全。 由 于計算機系統(tǒng)硬件故障的復(fù)雜性和軟件故障的潛在性，用上面故障 — 安全的定義要求一般的計算機系統(tǒng)在任何故障情況下，保證輸出在安全狀態(tài)是難于實現(xiàn)的。解決計算機系統(tǒng)的故障 — 安全問題，要突破傳統(tǒng)的故障 — 安全觀點的局限，從新的相對安全的概念出發(fā)認(rèn)識故障 — 安全問題。在承認(rèn)危險側(cè)故障存在的情況下，運用各種安全性和可靠性技術(shù)，降低系統(tǒng)發(fā)生故障的概率，使危險側(cè)故障發(fā)生概率降低到人們可以接受的程度。這樣的系統(tǒng)就可以認(rèn)為是滿足了故障 — 安全的要求。 避錯技術(shù) 防止和減少故障發(fā)生的技術(shù)較避錯技術(shù)。避錯技術(shù)的基本著眼點是通過質(zhì)量 控制（如設(shè)計審核、元件篩選、測試等）、環(huán)境保護（如對外部干擾采取屏蔽）和降額使用等措施設(shè)法消除產(chǎn)生故障的原因，從而防止故障的發(fā)生，延長系統(tǒng)的使用壽命。避錯技術(shù)是提高計算機系統(tǒng)可靠性的第一道防線，是一種不不可少的常規(guī)技術(shù)。在計算機系統(tǒng)鐵路信號系統(tǒng)的安全性研究 中必須采取的避錯技術(shù)包括以下方面： （一） 質(zhì)量控制技術(shù) 對于計算機聯(lián)鎖系統(tǒng)來說，主要是針對計算機及其接口電路等進行質(zhì)量控制。具體技術(shù)措施包括： ，并且要求其失效率不大于 105/h ，而不用分立元件。 電路環(huán)節(jié)及印制板。 。 ，即在低于原器件額定電流和電壓制的條件下運用。 ，并對系統(tǒng)進行最全面的測試和檢查。 總之，力求使設(shè)計、制成的系統(tǒng)完美無缺，在使用中不發(fā)生故障。 （二） 壞境防護技術(shù) 壞境技術(shù)對計算機聯(lián)鎖系統(tǒng)的可靠性具有十分重要的影響。在實際應(yīng)用壞境中，由于有噪聲、電磁干擾、溫度、濕度的影響，機械振動、化學(xué)腐蝕的侵襲，計算機系統(tǒng)容易出錯。為了減少這種影響，一般可采取以下措施： 、印制板、機箱 伙計柜等采取合適的防護技術(shù)，具體包括散熱設(shè)計、抗振設(shè)計、化學(xué)防護設(shè)計以及電磁兼容性設(shè)計等。 ，避免接觸不良造成的故障。 ，采用先進的壓接惑繞接技術(shù)，以提高觸點的可靠性。 ，主要是采取凈化空氣 、 溫度調(diào)節(jié)、防雷電侵入以及抑制干擾源的強度等措施。 雖然避錯技術(shù)可以防止故障的產(chǎn)生，但有局限性，如采用高可靠性器件，其費用將急劇上升，而且即便采取了避錯技術(shù)，也不一定能滿足系統(tǒng)的可靠性要求。因此在計算機聯(lián)鎖系統(tǒng)中還必須廣泛采用容錯技術(shù)。 鐵 路信號信息安全傳輸 傳統(tǒng)的鐵路信號系統(tǒng)是以安全性繼電器作為保證故障 —安全要求的基本措施。因為安全型繼電器當(dāng)其線圈失磁時節(jié)點必然處于斷開狀態(tài)。這種方式實際是非對稱邏輯在故障 —安全中的應(yīng)用。 要建立基于通信系統(tǒng)的鐵路信號安全信息傳輸系統(tǒng)必然要大量使用計算機為核心的控制系統(tǒng)。而計算機在鐵路信號應(yīng)用的困難就在于電子元件不具有“非對稱故障模式”，當(dāng)元件故障時，其可能是短路，短路或者老化，即失去了控制。對于包含大量集成電路的復(fù)雜系統(tǒng)來說，不能分析全部可能故障和后果。不可檢測它們并采取措施，從而不能使系統(tǒng)轉(zhuǎn)到一個限制狀態(tài) ?？梢酝ㄟ^設(shè)計鐵路信號安全信息傳輸?shù)娜蒎e系統(tǒng)來實現(xiàn)故障安全。即運用容錯的方法冗余技術(shù)以滿足鐵路信號信息傳輸?shù)陌踩砸蟆? 12 信號信息傳輸?shù)墓收?—安全分析 鐵路信號中故障 — 安全可以用下述方法描述：信號在傳輸中出現(xiàn)故障時，傳送信號的輸出始終是正確的或是安全的。也就是說，此輸出不會導(dǎo)致重大的經(jīng)濟損失或人員傷亡。這樣的傳輸系統(tǒng)就稱為故障 — 安全系統(tǒng)。一個故障 — 安全系統(tǒng)本身應(yīng)能檢查自身的錯誤，且當(dāng)這種錯誤發(fā)生時，系統(tǒng)能使自己處于更加限制的狀態(tài)，而不會導(dǎo)致任何危險狀況的出現(xiàn)。由于計算機系統(tǒng)硬件故障的復(fù)雜性和 軟件故障的潛在性，用上面故障 — 安全的定義要求一般的計算機系統(tǒng)在任何故障情況下，保證輸出在安全狀態(tài)是難于實現(xiàn)的。解決計算機系統(tǒng)的故障 — 安全問題，要突破傳統(tǒng)的故障 — 安全觀點的局限從新的相對安全的概念出發(fā)認(rèn)識故障 — 安全問題。在承認(rèn)危險側(cè)故障存在的情況下，運用各種安全性和可靠性技術(shù)，降低系統(tǒng)發(fā)生故障的概率，使危險側(cè)故障發(fā)生概率降低到人們可以接受的程度。這樣的系統(tǒng)就可以認(rèn)為是滿足了故障 — 安全的要求。當(dāng)使用微處理器去執(zhí)行與繼電器聯(lián)鎖相同的安全邏輯時 ,這些微處理器系統(tǒng)必須保持在當(dāng)前繼電器聯(lián)鎖達到的相同的安全水平上 ,并使這 些微處理器產(chǎn)品具有故障 安全 的 特性 ,以及其它更復(fù)雜的功能 ,如聯(lián)鎖控制 ,同時擴大需要微處理器應(yīng)用的安全技術(shù)和使用區(qū)域。 另外還應(yīng)考慮當(dāng)發(fā)生故障時應(yīng)及時切換電器 , 使之倒向安全 , 使故障范圍不能進一步擴大。 鐵路信號信息傳輸故障 —容錯系統(tǒng)的建立 可以通過設(shè)計鐵路信號安全信息傳輸?shù)娜蒎e系統(tǒng)來實現(xiàn)故障 — 安全。即運用容錯的方法 (冗余技術(shù) )以滿足鐵路信號信息傳輸?shù)陌踩砸?。容錯技術(shù)是提高計算機系統(tǒng)可靠性的一項重要措施。它在系統(tǒng)內(nèi)部有故障存在的情況下，能夠消除故障的影響，使系統(tǒng)最終給出正確的結(jié)果。要設(shè)計容 錯的鐵路安全信息傳輸系統(tǒng)，僅僅依靠硬件的容錯或是軟件的容錯都遠(yuǎn)遠(yuǎn)不夠。一個真正適用的容錯系統(tǒng)需要實現(xiàn)從硬件到操作系統(tǒng)再到應(yīng)用軟件的多層次容錯。各個層次的容錯作用各有偏重。在硬件層次進行故障屏蔽一般采用硬件冗余加上一定的表決機制。硬件容錯可以使高層的軟件不受硬件失效的影響，從而增加處理器本身提供服務(wù)的時 間。但軟件中邏輯數(shù)據(jù)的正確性是無法通過硬件來保證的，硬件的冗余也無法消除由于系統(tǒng)軟件或應(yīng)用軟件本身的邏輯錯誤帶來的應(yīng)用程序錯誤。為提高應(yīng)用程序的可用性，可以在操作系統(tǒng)一層提供一定的保護機制以屏蔽硬件失效的影響。 很多系統(tǒng)的實現(xiàn)方式是通過一定的機制，存儲受保護應(yīng)用進程的狀態(tài)，在該應(yīng)用程序因為硬件問題而不能繼續(xù)運行時，由操作系統(tǒng)根據(jù)存儲的該程序的狀態(tài)重新啟動新的進程繼續(xù)運行，這樣就保證了應(yīng)用進程的持續(xù)運行不受硬件故障的影響。 新型鐵路通信系統(tǒng)的安全設(shè)計研究 鐵路的通信系統(tǒng)有封閉與開放兩種傳輸方式，可以分別對應(yīng)于有線傳輸方式與無線傳輸方式。 傳輸方式的選擇 現(xiàn)代的傳輸方式，既可以采用無線傳輸，也可以采用有線線路來傳輸。兩種傳輸方鐵路信號系統(tǒng)的安全性研究 式各有其優(yōu)缺點。無線傳輸線路通過無線中繼傳輸，能提供較大的傳輸容量，并可以滿足 長距離傳輸?shù)男枰?，且建設(shè)較快，維護簡單，在經(jīng)濟上較為有利，但是易受到干擾，特別是要受到大氣條件的影響，而且使用穩(wěn)定性和保密性較差。目前，無線傳輸發(fā)展的比較快，但是和有線傳輸相比，在傳輸領(lǐng)域內(nèi)無線傳輸還不足以占主導(dǎo)地位。有線傳輸在長距離傳輸中穩(wěn)定、可靠、保密性強，同時可以獲得較大的傳輸容量。但有線傳輸線路設(shè)備初建費用大，而且建設(shè)時間較長。對基于通信系統(tǒng)的鐵路信號安全信息傳輸有線通道介質(zhì)的選擇來說，傳統(tǒng)的電纜傳輸系統(tǒng)比較成熟。但是它的抗干擾能力尤其在惡劣的環(huán)境下抵抗電磁干擾的能力較差，而這一點對于對傳輸?shù)目煽啃?要求極高的鐵路信號傳輸系統(tǒng)尤為重要。近年發(fā)展很快的光纖傳輸系統(tǒng)有著電纜傳輸系統(tǒng)不可比擬的優(yōu)點 :帶寬大、中繼距離長、傳輸損耗低、抗電磁干擾能力強、傳輸質(zhì)量好等等。光纜的物理結(jié)構(gòu)和電纜相似，幾乎所有品種的通信電纜都有其對應(yīng)的光纜，所不同的是光纜中所用 的光纖是一種介質(zhì)波導(dǎo)，因而只需要一根光纖就能建立單方向的信息傳輸通道。 開放系統(tǒng)通信的威脅與安全性設(shè)計原則 由于傳輸系統(tǒng)的開放性，因此可能遭受外部信息的入侵，如網(wǎng)絡(luò)黑客、網(wǎng)絡(luò)病毒等。其次，也可能由于元器件的失效、環(huán)境因素和軟硬件設(shè)計錯誤等而出現(xiàn)內(nèi)部故障 。對本網(wǎng)絡(luò)而言，在網(wǎng)關(guān)的作用下，上層傳輸非安全信息的網(wǎng)絡(luò)不能與本網(wǎng)直接進行未經(jīng)許可的通信，這樣保證了網(wǎng)絡(luò)運行的獨立性，從而基本保證了網(wǎng)絡(luò)自身的安全性。鐵路信號信息的傳輸對網(wǎng)絡(luò)應(yīng)用系統(tǒng)的安全性提出了極高的要求。所謂傳輸系統(tǒng)安全性，即在規(guī)定的時間、使用條件、環(huán)境條件下，傳輸系統(tǒng)不陷入危險狀態(tài)的性能。如果不考慮人為失誤，故障就是造成傳輸系統(tǒng)失敗的唯一原因。為提高安全性，必須設(shè)法減少傳輸系統(tǒng)故障時陷入危險狀態(tài)的可能性。采用故障 — 安全技術(shù)。傳輸系統(tǒng)故障分可測和不可測兩種。但實際上，現(xiàn)場情況是極其復(fù)雜的，存在大量的不可 測故障。運用故障安全技術(shù)，盡可能列出網(wǎng)絡(luò)的各組成部分能設(shè)想的一切故障模式及干擾，對影響進行評價，并采取措施將故障及時檢測出來，使系統(tǒng)維持安全狀態(tài)，或促使系統(tǒng)向安全狀態(tài)轉(zhuǎn)移。 14 第三章 鐵路信號系統(tǒng)新技術(shù)的發(fā)展趨勢 近 20 多年來 ,在運輸市場激烈競爭的壓力下 ,各國鐵路 ,特別是發(fā)達國家鐵路為實現(xiàn)提速、高速和重載運輸 ,積極引進采用新技術(shù) ,大幅度提高了現(xiàn)代化通信信號設(shè)備的裝備水平 ,新型技術(shù)系統(tǒng)不斷涌現(xiàn)。 故障 安全技術(shù)的發(fā)展 隨著計算機技術(shù)、微電子技術(shù)和新材料的發(fā)展，故障 —安全技術(shù) 得到 了飛速發(fā)展。高可靠性、高安全性的故障 —安全核心設(shè)備出現(xiàn)了 “二取二 ”、 “二乘二取二 ”和 “三取二 ”等不同結(jié)構(gòu)形式，其同步 方式有軟同步和硬同步。西門子公司、阿爾斯通公日本京山公司、日本日信公司等推出了不同類型的采用硬件同步方式的安全型計算 機。 故障 —安全技術(shù)的提高為高可靠和高安全的鐵路信號系統(tǒng)的發(fā)展打下堅實的基礎(chǔ) 高水平的實時操作系統(tǒng) 開發(fā)平臺實時操作系統(tǒng)（ Time Operation System）是當(dāng)今流 行的嵌入式系統(tǒng)的軟件開發(fā)平臺。 RTOS 最關(guān)鍵的部分是實時多任務(wù) 內(nèi)核， 它的基本功能包括任務(wù)管理、定時器管理、存儲器管理、資源管理、事件管理、系統(tǒng)管理、消息管理、隊列管理、旗語管理等，這些管理功能是通過內(nèi)核服務(wù)函數(shù)形式交給用戶調(diào)用的，也就是 RTOS的應(yīng)用程序接口（ API,Application Programming Interface）。在鐵路、航空航天以及核反應(yīng)堆等安全性要求很高的系統(tǒng)中引入 RTOS，可以有效地解決系統(tǒng)的安全性和嵌入式軟件開發(fā)標(biāo)準(zhǔn)化的難題。隨著嵌入式系統(tǒng)中軟件應(yīng)用程序越來越大，對開發(fā)人員、應(yīng)用程序接口、程序檔案的組織管理成為一個大的課題。在這種情況下，如何保 證系 統(tǒng)的容錯性和故障 — 安全性成為一個亟待解決的難題?；?RTOS 開發(fā)出的程序，具有較高的可移植性，可實現(xiàn) 90%以上設(shè)備獨立，從而有利于系統(tǒng)故障 — 安全的實現(xiàn)。另外一些成熟的通用程序可以作為專家?guī)旌瘮?shù)產(chǎn)品推向社會，嵌入式軟件的函數(shù)化、產(chǎn)品化能夠促進行業(yè)交流以及社會分工專業(yè)化，減少重復(fù)勞動，提高知識創(chuàng)新的效率 。 在鐵路這樣惡劣工作環(huán)境下的計算機系統(tǒng)，對系統(tǒng)安全性、可靠性、可用性的要求更高，必須使用安全計算機，以保證系統(tǒng)能安全、可靠、不間斷地工作。而安全計算機系統(tǒng)的軟件核心就是 RTOS。目前，英國的西屋公司（ Westinghouse）已經(jīng)在列車運行控制系統(tǒng)中采用了 RTOS，瑞典也有很多鐵路通信和控制系統(tǒng)采用 OSE 實時操作系統(tǒng)。采用實時操作系統(tǒng)可以滿足如下性能或特性：提高系統(tǒng)的安全性。實時操作系統(tǒng)可以成為整個軟件系統(tǒng)的中間件，即實時操作系統(tǒng)通過驅(qū)動程序與底層硬件相結(jié)合，而上層應(yīng)用程序通過 A