Обеспечение функциональной безопасности на примере микропроцессорной системы управления преобразователя собственных нужд на электровозе постоянного тока

Проблема обеспечения безопасности технических средств всегда находилась под пристальным вниманием ученых и практиков. Областями техники, где безопасность воспринималась как проблема номер один, были авиация, ядерная и военная промышленности, системы железнодорожной автоматики и телемеханики. Обзор принципов обеспечения безопасности для разных сфер деятельности приведен в Приложении А.

Однако продолжают происходить аварии, катастрофы и несчастные случаи, так как:

— нет ни одного технического средства, с нулевой интенсивностью отказов. С развитием техники опасность растет быстрее, чем человеческая способность может ей противостоятьнет человека, не допускающего ошибок. Причем, люди склонны привыкать к опасности, к нарушению правил.

Современные электровозы содержат микропроцессорные системы управления (МПСУ), реализующие управляющие функции как по отношению ко всему электровозу, так и к его отдельному оборудованию. МПСУ позволяют воспроизвести лучшие потребительские свойства электровозов: реализуемую силу тяги, управляемость и экономичность. Однако программное обеспечение МПСУ несет в себе опасность новых, ранее не регистрируемых и не прогнозируемых отказов, ошибок и сбоев.

Одним из основных условий успешного внедрения МПСУ на электровозе является обеспечение необходимого уровня безопасности. Принятие решения о том, что система соответствует уровню безопасности, возможно с учетом результатов аналитических исследований и испытаний, направленных на доказательство безопасности.

Функциональная безопасность системы — свойство реализовывать основные функции при случайных, дестабилизирующих воздействиях и отсутствии злоумышленного влияния на систему, программную составляющую за расчетное время. Источниками отказовых ситуаций могут быть некорректные исходные требования, дефекты и отказы в аппаратуре, сбои и ошибки в программной части, проявляющиеся при работе МПСУ на протяжении всего жизненного цикла.

Между понятиями функциональной безопасности и надежности имеется принципиальное различие. Ненадежность приводит к неприемлемым уровням готовности, технического использования, безотказности и стоимости технического обслуживания. Недостаточная функциональная безопасность приводит к авариям и человеческим жертвам [32].

Необходимость предвидения и анализа на этапе проектирования всех последствий, которые могут возникнуть при эксплуатации создаваемых систем — это принципиально новое требование к разработчикам сложной микропроцессорной техники, критичной к безопасности. Сбой микроконтроллера, программная ошибка, внезапный отказ аппаратуры МПСУ на электровозе могут привести к опасной ситуации: неисправности двигателя, возгоранию в двигателе, неконтролируемым динамическим усилиям вплоть до разрыва поезда или выдавливания вагонов, потере управления торможением, отсутствие управления электровозом при потере питания и так далее. Последствия нештатного функционирования при появлении МПСУ многократно возросли, поэтому недостаточно просто учитывать предыдущий опыт. Необходима методика, позволяющая на этапе проектирования новых МПСУ предвидеть возможные негативные последствия, которые могут проявиться в процессе эксплуатации электровоза. В рамках методики необходимо решить конкретную задачу обеспечения и контроля полноты рассматриваемых последствий. Основой методики должен являться полный перечень возможных ситуаций нарушенного функционирования систем и их причин.

Актуальность поставленной проблемы заключается в необходимости разработки методики, учитывающей отечественный и зарубежный опыт обеспечения функциональной безопасности. В данной методике должны быть установлены количественные и качественные показатели функциональной безопасности, их нормативные значения и оценки фактических показателей. Методика позволит обеспечить безопасность эксплуатации электровозов на заданном уровне.

Исследованиями надежности и безопасности систем управления на железнодорожном транспорте уделяли значительное внимание разные научные коллективы. Большой вклад в развитие этих проблем внесли Б. Н. Тихменев, А. Т. Осяев, А. Б. Подшивалов, Г. Г. Гомола, В. В. Сапожников, Вл. В. Сапожников, В. И. Шаманов, Д. В. Гавзов, X. А. Христов, В. М. Лисенков, Е. Н. Розенберг.

Вопросами надежности оборудования и характеристиками, обеспечивающими высокую эффективность электровозов ВЛ80, занимались Л. Д. Капустин, А. С. Копанев, А. Л. Лозановский. Вопросами надежности электронных систем автоматики и телемеханики в устройствах электроснабжения занимались В. Я. Овласюк, Н. Д. Сухопрудский, В. С. Хальков. Значительный вклад в исследование функциональной безопасности программных средств и систем внесли И. Б. Шубинский, В. В. Липаев. Вопросами обеспечения безопасности в смежных областях науки и техникиобеспечение безопасности полетов, летательных и глубоководных аппаратов занимались Г. В. Новожилов, М. С. Неймарк, Г. П. Шибанов, А. В. Майоров, Г. К. Москатов.

В работе использованы труды ученых, непосредственно занимающихся исследованием безопасности на железнодорожном транспорте: В. В. Сапожникова, Вл. В. Сапожникова, В. М. Лисенкова, И. Б. Шубинского, Е. Н. Розенберга, а также труды ученых, занимающихся вопросами безопасности в других областях промышленности: В. В. Липаева, Г. В. Новожилова, М. С. Неймарка, Г. П. Шибанова, Д. Дж. Смита, К. Дж. Л. Симпсона.

Однако на новом этапе развития МПСУ требуется решить много новых задач, ранее не ставившихся.

Для обеспечения функциональной безопасности вновь создаваемых систем управления на электровозе имеется ряд проблем: формирование и представление требований на вновь разрабатываемые МПСУ на электровозеобеспечение полноты и достоверности результатов доказательства функциональной безопасностиунификация подходов к обмену информации в пространстве подвижного состава, отсутствие единых принципов построения и формирования эксплуатационного обслуживания МПСУотсутствие технической и методологической инструментальной базы доказательства функциональной безопасности.

Еще один нюанс разработки безопасных систем на электровозе: недостаточная нормативная база для создания безопасных систем. Для систем железнодорожной автоматики и телемеханики (СЖАТ) разработаны современные нормативные документы, имеется методическая и техническая основа процесса доказательства безопасности. Это отраслевые стандарты [2932], руководящие документы [35], руководящие технические материалы [38]. Существуют международные стандарты второго яруса для СЖАТ [48, 50, 43]. В случае с электровозной аппаратурой этого нет.

Основной проблемой исследования является разработка методики определения функциональной безопасности МПСУ на электровозе на этапе проектирования в направлении: от общей безопасности, безопасности аппаратной части к безопасности программного обеспечения.

Рассмотрена проблема разработки методики определения исходных требований по функциональной безопасности общей безопасности, безопасности аппаратной части, безопасности программного обеспечения.

Рассмотрена проблема обеспечения полноты и достоверности результатов доказательства функциональной безопасности для МПСУ на электровозе.

В работе проанализирована система управления преобразователя собственных нужд (далее по тексту — ПСН) с точки зрения обеспечения функциональной безопасности на этапе проектирования. Применяя разработанную методику, выдвинуты исходные требования по безопасности ПСН: общей безопасности, безопасности аппаратной части, безопасности программного обеспечения. Определены уровни соответствия комплексу мер по безопасности. Рассчитаны количественные параметры безопасности для аппаратной части ПСН. Приведены качественные оценки функциональной безопасности программного обеспечения.

Методы исследования. Научные результаты получены на основе теории безопасности, теории автоматического управления, методов теории графов и математической статистики, математической логики.

Также применялись аналитические методы оценивания и доказательства функциональной безопасности, метод приведения, методы и меры, представленные в 1ЕС/МЭК 61 508: 1998;2000 «Функциональная безопасность электрических / электронных и программируемых электронных систем» [5156].

Для определения количественных параметров безопасности МПСУ ПСН электровоза постоянного тока использована автоматизированная система расчета надежности.

Научная новизна работы заключается в следующем:

1. С использованием общих методов и принципов международного стандарта 1ЕС/МЭК 61 508: 1998;2000. «Функциональная безопасность электрических / электронных и программируемых электронных систем», предложен систематический подход к разработке МПСУ на электровозе с точки зрения функциональной безопасности электровоза и безопасности железнодорожных перевозок в целом.

2. Впервые разработана методика определения показателей функциональной безопасности МПСУ на электровозе, позволяющая установить количественные и качественные показатели ее аппаратной части и программного обеспечения.

3. Предложен метод определения требований функциональной безопасности, позволяющий отказаться от субъективной оценки и установить все возможные риски.

Достоверность научных положений и выводов подтверждена корректным применением теории безопасности, теории графов, методов математической статистики, математической логики, теории автоматического управления, аналитических методов оценивания и доказательства функциональной безопасности. Научные положения и выводы подтверждены практическим внедрением и реализацией в проекте ПСН для электровоза 2ЭС6.

Практическая ценность работы. Основные положения диссертации использованы при разработке и внедрении ПСН электровоза постоянного тока 2ЭС6, для которого были: разработаны требования по общей ФБ для функций безопасности, в соответствии с ситуациями отказов и уровнем рискаразработаны требования по ФБ архитектуры построения аппаратуры ПСН, требования к системным параметрампроизведено доказательство безопасностиразработаны рекомендации по ФБ к архитектуре и особенностям реализации программного обеспечения.

Апробация работы. Основные положения диссертации докладывались на научно-технических семинарах лаборатории «Электровозы» отделения ТПС ОАО «ВНИИЖТ», 2007;2009г.г., на научно-техническом семинаре отдела 051 «ОКБ Автоматика» филиал ФГУП «НПО автоматики», 2008 г.

Публикации. Материалы, отражающие основное содержание диссертационной работы, изложены в четырех печатных работах, в том числе в двух — в рецензируемом издании, входящим в перечень ВАК РФ:

1. Рогожникова О. В., Худорожко М. В. Функциональная безопасность микропроцессорных систем управления на локомотиве // Вестник ВНИИЖТ. М.-2008г. № 4 с.41−43.

2. Рогожникова О. В. Метод функциональной безопасности для определения структуры защитных функций локомотивной системы управления // Вестник ВНИИЖТ. М.-2009г. № 2 с.26−28.

В других изданиях:

3. Никифорова Н. Б., Худорожко М. В., Рогожникова О. В. Задача обеспечения функциональной безопасности при разработке микропроцессорных систем управления / Вопросы развития железнодорожного транспорта в условиях рыночной экономики: Сб.науч.трудов / Под ред. Ю. М. Черкашина, Г. В. Гогричиани., М.: Интекст, 2007, 34с. стр.69−75.

4. Никифорова Н. Б., Худорожко М. В., Рогожникова О. В. Анализ функциональной безопасности системы управления электровозом. // 7 международная научно-техническая конференция: «Кибернетика и высокие технологии XXI века» / Том 1. Сборник докладов / Воронеж: НПФ «САКВЕЕ», 2006. стр.26−30.

Структура и объем работы. Диссертация состоит из введения, четырех глав, заключения, библиографического описания, включающего 67 наименований и 12 приложений. Объем диссертации 148 страниц основного текста, в том числе 3 таблицы и 48 рисунков.

ОБЩИЕ ВЫВОДЫ ПО РЕЗУЛЬТАТАМ РАБОТЫ.

1. Рассмотрены различные подходы к оценке функциональной безопасности в областях промышленности: ВПК, авиации, ядерной энергетике и системах железнодорожной автоматики. Выделены общие подходы к обеспечению безопасности, заключающиеся в предотвращении нарушений нормальных режимов работы и предотвращении опасного развития нарушений режимов функционирования.

2. Реализована применительно к МПСУ электровоза концепция поэтапной структуры обеспечения функциональной безопасности. Разработка требований по безопасности проведена в три этапа: 1 этап — определение функций безопасности электровоза- 2 этап — определение функций безопасности для ПСН- 3 этап — определение функций безопасности его программного обеспечения.

3. Для определения полного перечня функциональных отказов и контроля над его полнотой разработан метод приведения, который свободен от влияния субъективности, опыта и квалификации эксперта и позволил получить перечень функциональных отказов как однозначную функцию конструкции системы.

4. По предложенной методологии проанализирована система управления на локомотиве: ПСН, контур управления питанием обмоток возбуждения тяговых двигателей. По методу приведения составлены перечни воздействий из внешней среды и изнутри во внешнюю среду ПСН. Определены функции безопасности ПСН: выявление и парирование ненормированного значения тока возбуждения по причине неправильной уставкивыявление и парирование ненормированного значения тока возбуждения по причине неправильной обратной связивыявление и парирование ненормированного значения тока возбуждения по причине неправильного сигнала выявление и парирование негативного сигнала иксвыявление и парирование отказов и сбоев ПСН. Составлены логические уравнения нормального и неправильного функционирования.

5. На основе применения методов определения риска (граф риска) определены численные значения требований по вероятности опасных отказов для функций безопасности контура управления питанием обмоток возбуждения тяговых двигателей. При применении внешних методов снижения риска данный показатель должен быть не выше предела 10″ 6 опасных отказов в час (соответствует второму уровню полноты безопасности), кроме функции безопасности выявления и парирования ненормированного значения тока возбуждения по причине неправильного сигнала Для данной функции в требованиях по безопасности определено количество опасных отказов — не более 10″ опасных отказов в час (соответствует третьему уровню полноты).

6. Определены логическая структура построения ПСН и численные системные параметры для функций безопасности: вероятности опасных отказов в час, доля безопасных отказов, временные параметры. Определена функция безопасности, не соответствующая выставленным требованиям: функция выявления и парирования ненормированного значения тока возбуждения по причине неправильного сигнала По данной функции необходимо принятие мер повышения безопасности.

7. Определены исходные требования для организации архитектуры программного обеспечения — требования доли безопасных отказов. Определены требования мер при построении программного обеспечения.

8. Разработаны модели функции безопасности выявления и парирования ненормированного значения тока возбуждения по причине Г неправильного сигнала —. у сгс.

9. Проанализированы меры повышения безопасности функции выявления и парирования ненормированного значения тока возбуждения по.

149 причине неправильного сигнала Показано, что применение однотипного резервирования не дает существенного повышения безопасности в МПСУ, ввиду наличия программной составляющей в каждом блоке и наличию отказов по общей причине. Определена модель функции безопасности выявления и парирования ненормированного значения тока возбуждения по Ж причине неправильного сигнала — соответствующая заданному уровню полноты безопасности.

10. Таким образом, на основе принципов системы стандартов МЭК, СЕЫЕЬЕС и ГОСТ концентрированы основные задачи обеспечения функциональной безопасности МПСУ электровоза и пути их решения на примере МПСУ преобразователя собственных нужд электровоза постоянного тока.