丁召榮，黃天新

（1.西安鐵路信號有限責任公司，西安 710100；2.北京全路通信信號研究設計院集團有限公司，北京 100070；3.北京市高速鐵路運行控制系統(tǒng)工程技術研究中心，北京 100070)

1 概述

道岔表示功能是道岔控制電路的功能之一，用于表示對應道岔的位置狀態(tài)信息，該功能屬于安全功能。

道岔表示信息是聯鎖系統(tǒng)確保對應道岔、進路、信號聯鎖關系正確的輸入條件之一。聯鎖系統(tǒng)的安全性是建立在輸入的相關信息（包含道岔信息）正確的基礎之上，道岔表示信息的錯誤必然導致對應道岔、進路、信號聯鎖關系的不正確，當然其安全性也就無法保證[1]。

當道岔表示功能失效，其故障模式及最終影響如表1 所示。

可見，序號1 的故障模式不會影響到行車安全，但序號為2、3、4 的故障模式會產生影響行車安全的危害?？梢詫⑿蛱枮?、3、4 的故障模式統(tǒng)一描述為“錯誤的表示道岔為定位或反位”。這就是道岔表示功能的危害（可能導致事故的一種狀況），屬于不可接受的風險，將其歸為安全性苛求系統(tǒng)[2]。

表1 道岔表示功能故障模式及最終影響Tab.1 Failure mode and consequence of switch indication function

信號從業(yè)人員的職責之一就是保證系統(tǒng)安全性，免除不可接受的風險影響。按照鐵路行業(yè)已廣泛接受的理念（EN50126 及EN50129）， 以安全完整性等級來描述安全相關功能的安全性。安全完整性關系到一個安全相關系統(tǒng)實現其所需安全功能的能力，安全完整性越高，執(zhí)行所需的安全功能時失效的可能性越低。安全完整性包括系統(tǒng)失效完整性和隨機失效完整性。系統(tǒng)失效完整性由質量管理和安全管理條件來實現，不屬于本文討論范圍。隨機失效完整性是安全完整性中與危害隨機故障（特別是隨機硬件故障）相關的部分。隨機失效完整性可以在硬件元器件失效率、失效模式和隨機硬件失效的出現次數等已知數據的基礎上，利用概率計算進行定量評估。這就是本文討論的主要內容。

2 道岔表示功能的安全性指標

按照GB/T 28809-2012《軌道交通 通信、信號和處理系統(tǒng) 信號用安全相關電子系統(tǒng)》（等同EN50129-2003 及IEC 62425：2007）的規(guī)定[3]，結 合鐵路主管部門的要求及鐵路行業(yè)從業(yè)人員的認識，道岔表示功能的安全完整性等級應為最高等級即SIL4，除了必須應用質量管理條件、安全管理條件、技術安全條件來保證系統(tǒng)失效完整性的要求，以防護系統(tǒng)性故障外，還必須采取措施控制隨機故障，以保證隨機失效完整性的要求。隨機失效完整性的安全定量指標是容許危害率（THR），通?？梢允褂妹抗δ苊啃r容許危害率表示。根據每功能每小時容許危害率可以確定系統(tǒng)的安全完整性等級（SIL），如表2 所示。

表2 THR對應的SIL等級表Tab.2 SIL corresponding to THR

實際上，道岔控制電路僅僅是鐵路運輸系統(tǒng)中的一個小系統(tǒng)，為保證運輸安全的安全完整性等級，需將其每功能每小時容許危害率分配至各相關子系統(tǒng)，這樣，各子系統(tǒng)的THR 數值需要明顯小于表2 中SIL4 對應的數值。本文中不對具體的THR 分配及數值進行討論，僅僅說明THR 的計算方法。

前述已經指明，道岔控制電路的道岔表示功能為安全功能，其危害為“錯誤的表示道岔為定位或反位”，因此道岔表示功能的安全定量指標就是“每小時錯誤的表示道岔為定位或反位”的概率，該指標應滿足運輸系統(tǒng)的需求。

3 道岔表示功能的危害率計算

3.1 電路及FTA分析

道岔表示功能是道岔控制電路的功能之一，不同的道岔控制電路實現道岔表示功能的具體電路也不相同。本文以目前廣泛使用的四線制直流轉轍機控制電路為例，說明其道岔表示功能危害率的計算。

四線制直流轉轍機控制電路道岔表示電路原理如圖1 所示[4]，電路中使用轉轍機內部三組接點串聯來控制表示電路的接通或斷開，以DBJ 和FBJ 來表示道岔信息[5]。

圖1 道岔表示電路原理圖（直流轉轍機）Fig.1 Circuit diagram of switch indication （ DC point machine）

由前述可知，“錯誤表示道岔為定位或反位”可能會產生影響行車安全的危害，屬于不可接受的風險，因此需控制此危害至可接受的程度，使其達到系統(tǒng)所需的THR 的范圍。

以“錯誤表示道岔為定位或反位”作為頂事件T，對如圖1 所示道岔表示電路進行FTA 分析?！板e誤表示道岔為定位或反位”以DBJ 或FBJ 保持前接點接通狀態(tài)作為判斷依據。由于移位接觸器不是所有機型都有，故將其按照一直接通處理，不考慮其故障。經分析所得故障樹，如圖2 所示[6-7]。

圖2 錯誤表示道岔為定位或反位的故障樹Fig.2 FTA of normal indicatiion or reverse indication by mistake

圖中T 為頂事件，M 為中間事件，X 為底事件（基本事件），各事件具體如下。

T：錯誤表示道岔為定位或反位；

M1：錯誤表示道岔為定位；

M2：錯誤表示道岔為反位；

M3：向定位轉換，不應接通表示時，機內定位表示相關的接點錯誤接通；

M4：道岔及機內對應反位狀態(tài)，13-14，33-34，31-32 錯誤接通，2DQJ 錯誤轉極接通DBJ；

M5：道岔不在定位鎖閉時，DBJ 不能斷開且FBJ 不能吸起；

M6：道岔定位鎖閉，擠岔時相關接點沒有斷開；

M7：道岔不在反位鎖閉時，FBJ 不能斷開且DBJ 不能吸起；

M8：道岔反位鎖閉，擠岔時相關接點沒有斷開；

M9：向反位轉換，不應接通表示時，機內反位表示相關的接點錯誤接通；

M10：道岔及機內對應定位狀態(tài)，21-22，23-24,43-44 錯誤接通，2DQJ 錯誤轉極接通FBJ；

M11：DBJ 前接點不能斷開；

M12：FBJ 前接點不能接通；

M13：FBJ 前接點不能斷開；

M14：DBJ 前接點不能接通；

X1：31-32 錯誤接通；

X2：33-34 錯誤接通；

X3：13-14 錯誤接通；

X4：2DQJ 錯誤轉極；

X5：23-24 錯誤接通；

X6：21-22 錯誤接通；

X7：43-44 錯誤接通；

X8：發(fā)生擠岔事故；

X9：DBJ 前接點粘連；

X10：DBJ 接點動作機構卡阻，前接點不能斷開；

X11：表示繼電器電源不滿足需求；

X12：43-44 不能接通；

X13：21-22 不能接通；

X14：23-24 不能接通；

X15：電阻R 斷開；

X16：FBJ 前接點不能接通（不能閉合或閉合而不通）；

X17：FBJ 前接點粘連；

X18：FBJ 接點動作機構卡阻前接點不能斷開；

X19：表示繼電器內部電路斷開或短路；

X20：13-14 不能接通；

X21：31-32 不能接通；

X22：33-34 不能接通；

X23：DBJ 前接點不能接通（不能閉合或閉合而不通）。

經分析計算可得，頂事件的最小割集為{X1，X2}，{X5，X6}，{X9，X11}，{X9，X12}，{X9，X13}，{X9，X14}，{X9，X15}，{X9，X16}，{X9，X19}，{X10，X11}，{X10，X12}，{X10，X13}，{X10，X14}，{X10，X15}，{X10，X16}，{X10，X19}，{X17，X11}，{X17，X20}，{X17，X21}，{X17，X22}，{X17，X23}，{X17，X15}，{X17，X19}，{X18，X11}，{X18，X20}，{X18，X21}，{X18，X22}，{X18，X23}，{X18，X15}，{X18，X19}。

可見，“錯誤表示道岔為定位或反位”的頂事件基本都是由兩個基本事件組合導致，也就是說任何一個隨機硬件故障不會導致所述的頂事件。這滿足EN50129 中“當可識別的任何一種單一隨機硬件故障發(fā)生時，應保證SIL3 及SIL4 的系統(tǒng)保持安全?！钡陌踩骩8]。

3.2 危害率的計算

根據前述分析，四線制直流轉轍機控制電路中道岔表示電路“錯誤表示道岔為定位或反位”的發(fā)生概率是前述30 個最小割集發(fā)生概率之和。

由各基本事件的定義可知：

P（X1）=P（X2）=P（X5）=P（X6）。

P（X9）=P（X17）。

P（X10）=P（X18）。

P（X16）=P（X23）。

P（X12）=P（X13）=P（X14）=P（X20）=P（X21）=P（X22）。

則，所述頂事件的發(fā)生概率表示如下。

P(T)=2×P(X1)2+2×{P(X9)+P(X10)}·{P(X1 1)+3×P(X12)+P(X15)+P(X16)+P(X19)}（1）

式（1）中，P（X1）為轉轍機接點每小時錯誤接通的概率。P（X9）+P（X10）為表示繼電器前接點每小時不能斷開的概率。P（X11）為表示繼電器電源每小時不能滿足其工作要求的概率。P（X12）為轉轍機接點每小時不能接通的概率。P（X15）為表示電路中電阻R 每小時斷路的概率。P（X16）為表示繼電器前接點每小時不能接通的概率。P（X19）為表示繼電器內部電路每小時斷路的概率。前述各項故障概率已知后即可計算出頂事件“錯誤表示道岔為定位或反位”每小時的發(fā)生概率，這就是道岔表示電路的表示功能安全定量指標THR，該指標必須滿足系統(tǒng)要求，以保證系統(tǒng)的隨機失效完整性。

3.3 相關失效率或故障率的計算

如前所述，計算出每個最小割集中涉及的基本事件發(fā)生概率才可以計算出頂事件的發(fā)生概率。以接點錯誤接通的故障率為例，說明最小割集發(fā)生概率。

依據GJB/Z 299C-2006 對前述3.2 中各故障率進行計算[9]，室外器材的環(huán)境分類按照“惡劣地面固定，符號為GF2”，室內器材的環(huán)境分類按照“一般地面固定，符號為GF1”，如表3 所示。

根據表3 中的失效率數據，計算道岔表示功能的危害率如下。

表3 基本事件概率計算Tab.3 Calculation of basic event probability

3.4 相關說明

轉轍機內部接點沒有可用的、權威的失效率數據，經過對比權衡，按照撥動式開關選取數值并計算。對于轉轍機內部接點，由于沒有相關的額定阻性負載電流指標，考慮到接點真實負載中主要是電機，因此觸點負載系數按照感性負載的較大值選取。表3 中的各種系數具體數值按照理論工況并結合實際應用經驗進行選取。綜上所述失效率的具體計算結果存在一定偏差。

4 結論

四線制直流轉轍機控制電路的道岔表示功能每小時危害率按照本文所述參數計算結果為0.9×10-9，隨機失效完整性參數滿足SIL4 的安全完整性等級。

當各基本事件的發(fā)生概率差異不大時，導致危險事件（錯誤表示道岔為定位或反位）的影響因素中轉轍機內部接點故障所占權重明顯較大。

當轉轍機內部接點不能接通且表示繼電器前接點不能斷開時，也會發(fā)生錯誤表示道岔為定位或反位的危險事件。

表3 中，由于速率系數和負載系數選取數值較大，使得轉轍機內部接點短路和開路的失效率均明顯大于其他器件的相關失效率。