功能安全技术与应用知识讲座第八讲 安全相关系统

《功能安全技术与应用知识讲座第八讲 安全相关系统》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、功能安全技术与应用知识讲座第八讲安全相关系统　　随机硬件失效和系统性失效是完全不同的两类失效，前者是由于设备的零件磨损和（或）器件性能改变而造成的失效，后者则是人的错误导致的设备失效。　　什么是系统性失效　　系统性失效是指原因确定的失效，只有对设计或制造过程、操作规程、文档或其他相关因素进行修改后，才有可能排除这种失效。系统性失效涵盖了以下特征：一是仅仅进行正确维护而不加修改，无法排除失效原因。二是通过模拟失效原因可以导致系统失效。三是人为错误引起的系统失效原因如安全要求规范的错误；硬件的设计、制造、安装、操作的错误；软件的设计和实现的错误等。四是在标准I

2、EC61508《电气/电子/可编程电子安全系统的功能安全》中，安全相关系统的失效被分为随机硬件失效和系统化失效。　　2011年7月23日，浙江温州境内发生一起动车追尾事故——“7·23”甬温线特别重大铁路交通事故，造成了40人死亡、172人受伤的惨剧。这起事故是由一系列事件导致的。其原因之一是前一列动车因故临时停车；原因之二是铁路信号系统遭雷击并损坏，导致后一列动车未能接收到停车信号，从而未作停车处理。当司机用肉眼发现前面的列车时，紧急制动已经来不及了，最终造成了事故。这是一个典型的系统性失效的案例，失效的关键在于安全相关系统的设计没有贯彻故障安全原则。　

3、　当今铁路高效安全运行的简单机制是，将铁路（一个方向）分为若干段，每一段铁路只允许一列火车运行，而每段铁路都由铁路信号系统分割以控制安全（见图1）。　　当列车通过铁路信号系统A，进入X段后，铁路信号系统A向后面的列车发出不可通行的信号；当列车通过铁路信号系统B，驶出X段后，铁路信号系统A向后面的列车发出可通行的信号，允许下一列火车进入X段。　　“7·23”事故的情况是：铁路信号系统A遭到雷击并损坏，损坏前向上位机发出的是可通行信号；前一列动车进入X段后临时停车。而该系统设计思路是，如果上位机定期向铁路信号系统进行数据更新时，铁路信号系统未发出数据，则以原数

4、据复新。这样一来，已损坏的信号系统不会再发数据，上位机不断以原数据（即可通行信号）复新，后面的列车得到的就只能是可通行信号。所以，后面的列车在得到可通行信号的情况下进入了X段，结果发生了惨剧。显然这是一个设计上的错误，错误的原因是设计思路没有贯彻故障安全原则。　　故障安全原则，是指组成安全相关系统的各环节自身出现故障的概率不可能为零，且外部环境的变化（如供电、供气中断，地震导致的损坏、雷击导致的损坏等）亦可能发生。当内部或外部原因使安全相关系统失效时，被保护的对象应按预定的顺序达到安全状态，这就是故障安全原则。　　铁路信号系统是典型的安全相关系统，必须贯彻

5、故障安全原则，如按故障安全原则设计，当探测到信号系统故障时，应将被保护对象（如列车）导入安全。所以说，由于上述设计错误导致的失效，就是系统性失效。　　又如，多年前我国铁路系统曾发生过这样一起事故，起因是：前一列火车正常进站停车，后一列火车正常行驶通过该站，此时铁路信号系统正在进行周期性检修。检修中，检修人员犯烟瘾，找背风的地方抽烟，离开了现场。结果后一列火车直接撞上前一列火车，造成上百人伤亡。　　正常情况应该是：当前一列火车正常进站停车、后一列火车正常行驶通过该站前，铁路信号系统应发出扳道岔的指令，让后一列火车从另一条铁路通过。　　由于该铁路信号系统正在进

6、行周期性检修，不能对行驶过来的后一列火车产生应对；检修人员又离开了现场，不能采取应急处置，结果造成灾难性事故。　　硬件随机失效的控制方法之一是检验测试。铁路信号系统是安全相关系统，安全相关系统要定期进行周期性检验测试，铁路信号系统周期性检修，就是一种周期性的检验测试。所以在铁路的规章制度中规定，要对铁路信号系统进行定期的周期性检修。　　进行周期性检修，应避开对铁路信号系统可能产生要求的时段，上述事故对此并没有提出要求，这是制度上的一个漏洞。这种由于制度漏洞导致的失效，就是系统性失效。由于这次事故，后来铁路部门修改了制度，增加了“周期性检修应避开对铁路信号系

7、统可能产生要求的时段”的要求，同时还增加了检修人员在检修期间不得离开现场的要求。此后，这类事故未再出现。　　软件失效也是系统性失效。硬件随机失效的主要原因是机械磨损、材料应力、材料老化、连接松动、表面锈蚀等。为了应对硬件随机失效，设计了硬件维护这一个工序，如定期检查是否有连接松动、表面锈蚀，敲击部件、检查回声是否异常等。如果发现问题，则用上油、除锈、拧紧螺纹等方法加以改善。软件也设计了软件维护这个工序，从字面看与硬件维护是一样的，其实内涵全然不同。软件不会出现连接松动、表面锈蚀、机械磨损、材料应力、材料老化等问题，也无需上油、除锈。软件维护的重要内容应是自

8、身功能实现的考核与完善、监视并维护与其他软件的相容性，以及对于网络