CC BY
250Проблемы безопасности и надежности микропроцессорных комплексов УДК 656.256.3:004.05
А. А. Блюдов, канд. техн. наук
Кафедра «Автоматика и телемеханика на железных дорогах»,
Петербургский государственный университет путей сообщения Императора Александра I
ОСОБЕННОСТИ РАЗРАБОТКИ БЕЗОПАСНОЙ МИКРОЭЛЕКТРОННОЙ АППАРАТУРЫ КОДИРОВАНИЯ РЕЛЬСОВЫХ ЦЕПЕЙ
Введение
Современный этап развития систем железнодорожной автоматики и телемеханики (ЖАТ) характеризуется постоянно растущими объемами внедрения на железных дорогах России микроэлектронных и микропроцессорных комплексов [1-3]. Построенные с использованием такой элементной базы технические средства обладают рядом неоспоримых преимуществ по сравнению с традиционной релейной и электромеханической техникой. Однако платой за это являются особенности, которые нельзя не учитывать в процессе разработки [4-7].
Поскольку системы ЖАТ отвечают за безопасность движения поездов, их конструкция не должна допускать возникновения опасных ситуаций при отказах элементов собственной структуры [8]. При разработке и проектировании релейных систем задача доказательства безопасности решалась за счет использования элементной базы, обладающей свойствами несимметричности отказов, а именно реле I класса надежности (неконтролируемых). За счет конструктивных особенностей любой отказ такого реле приводил к его выключению. Применение четко определенных правил построения безопасных релейных схем позволяло уверенно говорить о безопасности разрабатываемой системы. При необходимости применения реле других классов безопасная работа схемы обеспечивалась за счет динамической работы или применения принципов перекрестного контроля. Анализ последствий отказов элементов системы в процессе работы был относительно простым за счет наглядности: список возможных отказов был известным, конечным, их влияние было легко проследить.
Подобный подход не может быть применен для полноценного доказательства безопасности систем, построенных на микроэлектронной и микропроцессорной элементной базе, которая обладает свойством симметричности отказов - вероятности появления отказов типа «0^1» и «1^0» примерно равны. Кроме того, разработчику системы не всегда известна внутренняя структура применяемых им интегральных схем, из-за чего состав-88
Стандартизация и сертификация
ление полного списка возможных отказов становится невозможным. Использование программного обеспечения (ПО) в качестве инструмента для реализации функций системы также существенно усложняет задачу доказательства безопасности [9].
1. Организационная основа процесса доказательства безопасности
Подтверждение полноты и корректности решений разработчика по обеспечению безопасности вновь создаваемой системы ЖАТ возлагается на Испытательные центры (ИЦ), аккредитованные в железнодорожном регистре Российской Федерации - системе сертификации на федеральном железнодорожном транспорте. Порядок проведения работ по доказательству безопасности разрабатываемых систем ЖАТ определяется руководящим документом РД 32 ЦШ 1115842.06-03 «Порядок испытаний и экспертизы средств ЖАТ» [10]. Основой практической деятельности по проведению работ по доказательству безопасности систем ЖАТ является ОСТ 32.19-92 «Общие требования к программам обеспечения безопасности» [11]. Этим документом предусматривается параллельная работа разработчика и эксперта ИЦ, что позволяет разработчику своевременно и корректно выполнять требования данного этапа жизненного цикла системы [12].
Курс на модернизацию материально-технического обеспечения, взятый в 2009 г. департаментом автоматики и телемеханики ОАО «РЖД», подтолкнул разработчиков систем ЖАТ к продвижению инициативных проектов. Среди этих проектов были как сложные системы, такие как микропроцессорные централизации, безопасность которых обеспечивалась внушительным комплексом мер, так и относительно несложные приборы, которые могли бы заменить действующую аппаратуру методом «шкаф на шкаф» без внесения изменений в устройства сопряжения и линии связи. Примером такого устройства может быть кодовый путевой трансмиттер (КПТ), применяемый в системах автоблокировки для кодирования рельсовой цепи. В начале 2010-х гг. в ИЦ ЖАТ поступило несколько заявок на экспертизу и испытания микроэлектронных и микропроцессорных КПТ. Целью данной работы является обобщение опыта разработки таких устройств и особенностей, которые необходимо учитывать в этом процессе.
2. Особенности доказательства безопасности кодовых путевых трансмиттеров
Жизненный цикл системы ЖАТ начинается с формирования технического задания (ТЗ). Этот документ устанавливает основное назначение разрабатываемого объекта, его технические характеристики, показатели качества функционирования и классификацию в зависимости от условий эксплуатации по устойчивости к внешним воздействиям различной природы.
89
Проблемы безопасности и надежности микропроцессорных комплексов
В соответствии с классом устройства к нему предъявляются определенные требования по электромагнитной совместимости, устойчивости к механическим и климатическим воздействиям, защите от проникновения внутрь устройства твердых предметов и воды и пр. [13-15]. Они нормируются стандартами ГОСТ Р 55176.4.1-2012 «Совместимость технических средств электромагнитная. Системы и оборудование железнодорожного транспорта. Устройства и аппаратура железнодорожной автоматики и телемеханики. Требования и методы испытаний» [16] и ГОСТ Р 55369-2012 «Аппаратура железнодорожной автоматики и телемеханики. Общие технические требования» [17]. Первый из этих стандартов введен в действие 23 ноября 2012 г. взамен ГОСТ Р 50656-2001. Второй утвержден 29 ноября 2012 г. и, хоть это и не указано явно в сведениях о стандарте, заменяет ОСТ 32.1462000. Далее приведена классификация КПТ по некоторым параметрам, иногда ошибочно выполняемая разработчиком ТЗ. По устойчивости к воздействию механических нагрузок (вибраций) трансмиттер относится к группе МС2, как устройство, размещаемое в релейном шкафу сигнальной точки на перегоне.
По устойчивости к воздействию климатических факторов применяется группа К3 по той же причине. Несмотря на то что в некоторых случаях релейный шкаф может оснащаться дополнительным козырьком для защиты от нагрева солнцем, в общем случае такой козырек отсутствует, поэтому группа К3.1, менее жесткая по нормам испытательных воздействий, применяться не может.
С точки зрения доказательства безопасности системы ЖАТ наибольшее внимание уделяется указанным в ТЗ критериям опасного отказа. В первой версии документа разработчик обычно придает ему смысл «устойчивое формирование на выходе устройства более разрешающего кода», т. е. кода «Ж» вместо «КЖ» и кода «З» вместо «Ж» или «КЖ». Фактически подобный критерий предполагает возникновение опасной ситуации только при «перепутывании» трансмиттером одного своего выхода с другим. Однако такая формулировка не исчерпывает полный спектр опасных ситуаций, к которым могут привести неисправности во внутренней структуре КПТ.
Поскольку большинство разработчиков предполагают установку разрабатываемого трансмиттера с сохранением действующей схемы включения, наиболее вероятно, что в качестве приемника кодового сигнала будет служить дешифратор автоблокировочный ДА или локомотивный ДСКВ-1-Д(ДБ). В них для распознавания поступившего кода используются реле-счетчики, обнаруживающие элементы кодовой комбинации, и конденсаторы, служащие для устойчивой работы сигнального реле. Очевидно, что такая аппаратура не в состоянии строго контролировать временные параметры кодовых сигналов. Кроме того, возможность изменения емкости кон-
90
Стандартизация и сертификация
денсаторов со временем вносит еще большую погрешность в процесс анализа кодовой комбинации. Фактически контролируется только количество импульсов и пауз, длительности которых могут принимать значения из достаточно большого диапазона.
В таблице приведены нормативные временные параметры кодовых сигналов автоматической локомотивной сигнализации (АЛС) для трансмиттеров наиболее часто используемых типов КПТ-5 и КПТ-7. Замедление включения трансмиттерного реле ТШ1-2000, транслирующего кодовый сигнал трансмиттера в рельсовую цепь, составляет 0,07 с [18, 19]. Предположим, что в результате неисправности КПТ сформировал на выходе «Ж» дополнительный импульс длиной 0,1 с в начале длинной паузы или интервал аналогичной длины в середине длинного импульса. Несмотря на то что формально получившаяся комбинация не является кодом «З», можно с уверенностью сказать, что большинством дешифраторов она будет воспринята именно в качестве данной команды, которая решает проследование с большей скоростью.
Таблица
Параметры кодов АЛС
Другое важное для формулировки критерия опасного отказа обстоятельство связано с тем, что большинство микроэлектронных и микропроцессорных трансмиттеров имеют всего одно исполнение и настройка типа (КПТ-5 или КПТ-7) производится перемычками на заводе-изготовителе или в
91
Проблемы безопасности и надежности микропроцессорных комплексов
КИПе дистанции СЦБ. Неправильное считывание типа КПТ в процессе работы приведет к генерации кода, совпадающего с сигналом в соседней рельсовой цепи. В свою очередь, это может привести к необнаружению схода изолирующего стыка, что является опасной ситуацией.
Таким образом, приведенную формулировку критерия опасного отказа следовало бы заменить на «формирование на выходе трансмиттера кода, который может быть воспринят дешифратором какой-либо модели как код более разрешающего вида или код иного типа КПТ». Однако указанный критерий тяжело формализуется. Поэтому рационально прибегнуть к использованию в формулировке относительной или абсолютной погрешности временных параметров. В результате критерий будет иметь вид «формирование на выходе трансмиттера элемента кодовой комбинации, длительность которого отличается от заданной более чем на 5 % (или, например, 10 мс)». Техническая реализация такой проверки современными аппаратно-программными средствами затруднений вызвать не должна.
Кроме того, следовало бы указать одну особенность функционирования КПТ, которая может быть использована для упрощения технической реализации устройства. Для большинства устройств ЖАТ ложное постоянно активное состояние какого-либо управляющего выхода является опасным отказом. Это связано с тем, что традиционные релейные схемы проектировались так, чтобы при пассивном управляющем воздействии переходить в защитное состояние. Однако для выхода кодового путевого трансмиттера появление постоянного активного или пассивного состояния не является опасным, так как любой из таких сигналов дешифратором будет воспринят как отсутствие кодирования, т. е. система будет переведена в защитное состояние. Эта особенность может быть использована при разработке технических решений. Предположим, что в результате какой-либо неисправности техническая реализация резервированного двухкомплектного устройства не позволяет отключить выходы отказавшего комплекта. Второй комплект может принудительно установить постоянно активное состояние на выходе трансмиттера, что замаскирует кодовую комбинацию, генерируемую отказавшим комплектом, предотвратит ее распространение в рельсовую линию и переведет систему в защитное состояние.
Заключение
Доказательство безопасности разрабатываемой системы ЖАТ, как обязательная часть процесса сертификации, само по себе является достаточно трудоемким процессом. Корректное определение требований к этой системе на начальном этапе ее жизненного цикла существенно упрощает работу разработчика и эксперта ИЦ.
92
Стандартизация и сертификация
Данная статья затрагивает особенности доказательства безопасности кодовых путевых трансмиттеров, построенных на современной элементной базе. Материал может оказаться полезным для разработчиков новых образцов таких устройств.
Библиографический список
1. Автоматика и телемеханика на железнодорожном транспорте : учеб. пособие / Вал. В. Сапожников, Л. И. Борисенко, В. В. Лыков, В. П. Молодцов ; под ред. Вал. В. Сапожникова. - ФГБОУ «Учебно-методический центр по образованию на железнодорожном транспорте», 2011. - 288 с.
2. Ефанов Д. В. Обеспечение безопасности движения за счет технического диагностирования и мониторинга устройств железнодорожной автоматики и телемеханики / Д. В. Ефанов, П. А. Плеханов // Транспорт Урала. - 2011. - № 3. - С. 44-48.
3. Сапожников Вал. В. Применение кодов с суммированием при синтезе систем железнодорожной автоматики и телемеханики на программируемых логических интегральных схемах / Вал. В. Сапожников, Вл. В. Сапожников, Д. В. Ефанов // Автоматика на транспорте. - 2015. - Т. 1. - № 1. - С. 84-107.
4. Сертификация и доказательство безопасности систем железнодорожной автоматики и телемеханики / Вал. В. Сапожников, Вл. В. Сапожников, В. И. Талалаев, Д. В. Гавзов, А. А. Красногоров, Т. А. Белишкина, П. Е. Булавский, О. А. Наседкин, А. М. Костроминов ; под ред. Вл. В. Сапожникова. - М. : Транспорт, 1997. - 288 с.
5. Микропроцессорные системы централизации : учебник для техникумов и колле-
джей железнодорожного транспорта / Вл. В. Сапожников, В. А. Кононов, С. А. Куренков, А. А. Лыков, О. А. Наседкин, А. Б. Никитин, А. А. Прокофьев, М. С. Трясов ; под ред.
Вл. В. Сапожникова. - М. : ГОУ «Учебно-методический центр по образованию на железнодорожном транспорте», 2008. - 398 с.
6. Наседкин О. А. Экспертиза и испытания на безопасность микроэлектронных систем железнодорожной автоматики и телемеханики / О. А. Наседкин, А. А. Блюдов // Известия Петербургского университета путей сообщения. - 2010. - № 1. - С. 53-60.
7. Наседкин О. А. Доказательство безопасности и сертификация устройств и систем ЖАТ / О. А. Наседкин // Автоматика, связь, информатика. - 2007. - № 1. - С. 16-19.
8. Гавзов Д. В. Методы обеспечения безопасности дискретных систем / Д. В. Гавзов, Вал. В. Сапожников, Вл. В. Сапожников // Автоматика и телемеханика. - 1994. - № 8. - С. 3-50.
9. Методы построения безопасных микроэлектронных систем железнодорожной автоматики / Вал. В. Сапожников, Вл. В. Сапожников, Х. А. Христов, Д. В. Гавзов ; под ред. Вл. В. Сапожникова. - М. : Транспорт. - 1995. - 272 с.
10. РД 32 ТИП 1115842.06-03. Порядок испытаний и экспертизы средств ЖАТ. -СПб. : Типография ПГУПС, 2003. - 13 с.
11. ОСТ 32.19-92. Общие требования к программам обеспечения безопасности. -СПб. : Типография ПГУПС, 1992. - 16 с.
12. Наседкин О. А. Доказательство безопасности систем железнодорожной автоматики / О. А. Наседкин, Вал. В. Сапожников // Транспорт Российской Федерации. - 2006. -Спецвыпуск. - С. 10-13.
13. Паманов В. И. Электромагнитная совместимость систем железнодорожной автоматики и телемеханики / В. И. Шаманов. - М. : ФГБОУ «Учебно-методический центр по образованию на железнодорожном транспорте», 2013. - 244 с.
14. Nassedkin Oleg A. Die elektromagnetische Vertraglichkeit der Bahnautomatisierungs-und Fernsteuerungssysteme / Oleg A. Nassedkin, Alexander D. Manakov, Vitalij A. Schatochin // Signal + Draht (98) 12/2006. - Pp. 32-35.
93
Проблемы безопасности и надежности микропроцессорных комплексов
15. Шатохин В. А. Проблемы ЭМС систем железнодорожной автоматики и телемеханики / В. А. Шатохин, А. Д. Манаков // Труды 6-го Международного симпозиума по электромагнитной совместимости и электромагнитной экологии (СПб., 21-24 июня 2005 г.). -СПб. : СПбГЭТУ, 2005. - С. 195-199.
16. ГОСТ Р 55176.4.1-2012. Совместимость технических средств электромагнитная. Системы и оборудование железнодорожного транспорта. Устройства и аппаратура железнодорожной автоматики и телемеханики. Требования и методы испытаний. - М. : Стандарт-информ, 2012. - 15 с.
17. ГОСТ Р 55369-2012. Аппаратура железнодорожной автоматики и телемеханики. Общие технические требования. - М. : Стандартинформ, 2012. - 58 с.
18. Сороко В. И. Аппаратура железнодорожной автоматики и телемеханики : справочник. В 2 кн. / В. И. Сороко, В. А. Милюков. - 3-е изд. - М. : НПФ «Планета», 2000. -960 с.
19. Кравцов Ю. А. Перспективные способы кодирования рельсовых цепей тональной частоты / Ю. А. Кравцов, Е. В. Архипов, М. Е. Бакин // Автоматика на транспорте. - 2015. -Т. 1. - № 2. - С. 119-126.
E-mail: blvudov@crtc.spb.ru
94
