Толян

Микропроцессорная централизация стрелок и сигналов МПЦ «IПУТЬ»

К.А. БОЧКОВ,
проректор по научной работе БелГУТа. доктор техн. наук А.Н. КОВРИГА,
заведующий кафедрой «Автоматика и телемеханика», канд. техн. наук
С.Н.ХАРЛАП, заместитель руководителя испытательной лаборатории, канд. техн. наук
A.В. ЛОГВИНЕНКО. младший научный сотрудник
B.И.ШУМСКИЙ, заместитель начальника Конструкторско-технического центра Белорусской дороги

В настоящее время на Белорусской дороге эксплуатируется значительное число систем железнодорожной автоматики и телемеханики с истекшим сроком амортизации. Основной объем работ по внедрению систем ЖАТ пришелся на период 1970-1985 гг. Экспертиза технического состояния, оценка остаточного ресурса и продление сроков эксплуатации лишь отодвигают решение проблемы переоснащения системами ЖАТ. При этом темпы переоснащения существенно ниже темпов старения.
Существующие релейные системы заменяют микроэлектронными и компьютерными системами управления движением поездов. Эксплуатационные расходы на их обслуживание ниже, и даже при более высокой стоимости внедрение таких систем экономически выгодно. Микроэлектронные системы имеют более высокие эксплуатационные показатели благодаря резервированию отдельных элементов и развитой диагностике. Их функциональные возможности расширяются за счет информационной поддержки оперативного персонала (нормативной и справочной информации), а также они просто интегрируются с системами управления движением поездов более высокого уровня.
Чтобы обновить системы ЖАТ, необходимо разработать собственные микроэлектронные, отвечающие современным требованиям, или приобрести зарубежные. Каждый из этих путей имеет свои достоинства и недостатки.
Так, прогнозируемый срок разработки собственной системы МПЦ значителен и отсутствует уверенность в положительном результате. Но кроме прямого экономического эффекта (снижения стоимости и эксплуатационных расходов) есть преимущества, это: организация производства на отечественных предприятиях, обучение персонала, техническое обслуживание и сопровождение собственными силами, обеспечение экономической независимости. повышение экспортного потенциала и др.

Благодаря внедрению зарубежных систем можно достаточно быстро при наличии соответствующих средств модернизировать выработавшие ресурс системы ЖАТ. На Белорусской дороге имеется положительный опыт внедрения и даже организации производства современных систем ЖАТ, разработанных в России. При использовании западных систем приходится сталкиваться с проблемами адаптации, а также с вопросами, связанными с экономической и информационной безопасностью.
В 2002 г было решено создать белорусскую микропроцессорную систему централизации стрелок и сигналов. Специалисты Научно- исследовательского института железнодорожного транспорта при Белорусском государственном университете транспорта, Конструкторско-технического центра Белорусской дороги. Брестского электротехнического завода исследовали возможность создания системы в кратчайшие сроки. Ее разработка была завершена в декабре 2006 г., а с мая 2007 г. МПЦ включена в опытную эксплуатацию на станции Ипуть.
При разработке устройств сопряжения с исполнительными объектами применялись элементы CALS- технологий, которые обеспечивают информационную поддержку процессов на протяжении жизненного цикла устройства. Эти технологии основаны на стандартизации методов представления данных на каждой стадии и безбумажном электронном обмене данными. В результате в несколько раз сократились расходы и сроки создания опытных образцов. Схемы устройств создали в системе моделирования PSpice, в БелГУТе выполнили имитационные испытания на безопасность. По их результатам схемы откорректировали и повторно испытали на имитационных моделях устройств без изготовления натурных образцов.


МПЦ представляет собой комплекс устройств, обеспечивающих установку, замыкание, размыкание маршрутов на станции и проверку выполнения требуемых взаимозависимостей. Она предназначена для оборудования станций вновь или замены отслуживших свой срок систем.
МПЦ легко интегрируется с современными системами диспетчерской централизации, диспетчерского контроля и автоматизированными системами управления технологическими процессами верхнего уровня.
МПЦ «IПУТЬ» позволяет управлять станциями до 80 стрелок, а за счет горизонтального наращивания – в два-три раза больше. Система имеет время реакции не более 0,5 с. Возможно гибкое управление движением поездов и увеличение пропускной способности. Управление осуществляется централизованно, например от ДЦ, и опционально по мере накопления маршрутов. Информация отображается на АРМе дежурного по станции в соответствии с Памяткой ОСЖД Р808. АРМ дежурного по станции дополнен системой поддержки принятия решений в штатных и нештатных ситуациях.
МПЦ «IПУТЬ» реализована как двухканальная система с умеренными связями, параллельной и независимой обработкой данных, взаимным сравнением результатов функционирования и переходом в защитное состояние при рассогласовании работы каналов. Система имеет 100 %-ное горячее резервирование, включая резервирование АРМа, сервера и блоков управления.
Ядро МПЦ размещается совместно с источниками электропитания в стандартном шкафу промышленного исполнения.
Блоки ТУ-ТС реализуют в конструктиве реле НМШ и размещают на стандартных стативах вместе с исполнительными реле, т. е. не требуются специальные шкафы с принудительной системой охлаждения. Монтаж можно осуществлять индустриально. По сравнению с БМРЦ на 40 % сокращается используемая площадь релейного помещения.
На одну стрелку приходится 30 реле (при использовании светодиодных светофоров - меньше). Структура системы представлена на рис. 1.


Для реализации требуемых функций МПЦ «IПУТЬ» иерархически разделена на три уровня:
автоматизированных рабочих мест для взаимодействия системы с персоналом и системами вышестоящего уровня, например ДЦ;
централизации, где безопасно реализуются технологические алгоритмы;
сопряжения с исполнительными устройствами для безопасного управления исполнительными устройствами централизации и контроля их состояния.
Дежурный по станции с автоматизированного рабочего места, на котором отображается текущее состояние объектов управления и контроля, поездное положение на станции, подает команды управления
(установка и отмена маршрутов, перевод стрелок, искусственное размыкание секций и др.). АРМ дежурного по станции дополнен системой поддержки принятия решений (СППР). которая предоставляет порядок действий при возникновении нештатных ситуаций и контролирует его выполнение.
Функции диагностики выполняет АРМ дежурного электромеханика, на который поступает информация от подсистем внутренней диагностики ядер МПЦ и блоков сопряжения. На этом АРМе ведется автоматический протокол всех событий на станции, управляющих команд дежурного по станции, отказов и сбоев отдельных подсистем, а также логически обрабатываются полученные данные и предоставляется электромеханику информация об устройствах, которым требуется техническое обслуживание или ремонт.

Для связи с системами верхнего уровня служит сервер ДЦ. Он выполняет функции линейного пункта по обмену информацией с центральным постом ДЦ. Вся необходи мая технологическая информация, телесигнализация (ТС) поступают на сервер ДЦ с АРМа дежурного элек тромеханика. Таким образом, исключается какое-либо воздействие сервера ДЦ на работу МПЦ. Управляющие команды, полученные с центрального поста, сервер ДЦ передает в АРМ дежурного по станции для их исполнения. Это исключает возможность одновременного управления объектами МПЦ от нескольких источников, которые могут привести к конфликтным ситуациям. Команды на исполнение поступают в ядро МПЦ из АРМа дежурного по станции, в котором имеется информация о типе управ ления на станции: местном или дистанционном. Технически можно осуществить интеграцию сервера ДЦ в АРМ дежурного по станции.
Все технологические алгоритмы по управлению объектами на станции реализованы в программном обеспечении промышленных компьютеров. Два компьютера, работающих параллельно, составляют ядро МПЦ. Схема взаимодействия компьютеров в ядре представлена на рис. 2.


Команды из АРМа дежурного по станции подаются в компьютеры по локальной сети. Компьютеры обмениваются контрольной информацией и при условии, что информация идентична в каждом из каналов, вырабатывают управляющие воздействия. Далее полученная информация поступает через программный драйвер СОМ-порта в устройства согласования с объектами для реализации этих воздействий. Работа каналов синхронизирована (рис. 3).


Таким образом, безопасность функционирования технических средств ядра МПЦ обеспечивается двухканальной обработкой информации и независимостью дублированных частей ядра. При этом регулярно сравниваются все релевантные по безопасности данные; неисправности обнаруживаются за короткий промежуток времени. позволяющий переключиться на резерв, не нарушая условий безопасности Система имеет специальный регламент восстановления после перехода на резерв. Для обнаружения непроявляющихся неисправностей, а также тестирования аппаратных средств в каждом цикле программного обеспечения осуществляются особые меры.
Выполнение условий безопасности контролируется программным обеспечением, поэтому приняты дополнительные меры по повышению безопасности ПО. Так, в каждом канале ядра используется диверсифицированное программное обеспечение. Диверситет распространяется как на операционную систему, в качестве которой в каналах имеются различные клоны ОС Windows, так и на технологическое ПО, которое функционирует по различным алгоритмам.
Кроме того, приняты следующие меры повышения безопасности функционирования программного обеспечения: постоянное обновление отдельно в каждом канале и периодическая проверка целостности наборов данных; программная синхронизация алгоритмов; хранение программных данных таким образом, что искажение любого бита или байта при адресации не приводит к наложению одних данных на другие.
Устройства сопряжения с исполнительными объектами (УСО) подключаются к ядрам МПЦ с использованием отдельных физических каналов. Для повышения надежности и уменьшения времени реакции системы применяют одновременно несколько СОМ-портов каждого компьютера ядра МПЦ.

Каждый блок ТУ-ТС имеет уникальный 14-разрядный код адреса. Блоки УСО подключаются к исполнительным объектам с помощью интеллектуальной колодки, имеющей уникальный адрес. Благодаря привязке блока к колодке невозможно передать информацию на блок ТУ- ТС, подключенный к другой колодке.
Безопасность функционирования УСО обеспечивается параллельной обработкой информации в двух каналах, постоянным программным сравнением идентичности работы каналов, ограничением по времени актуальности команд, использованием безопасной схемы умножителя для формирования управляющего воздействия и безопасной схемы ввода информации, а также двухканальным управлением умножителем, парафазным кодированием информации.
Для повышения надежности функционирования системы МПЦ практически все ее составные части резервированы. При этом для АРМ дежурного по станции применяется ненагруженный резерв, а для ядра, блоков УСО, релейных схем увязки и каналов передачи информации между уровнями МПЦ - нагруженный (рис. 4). Такое резервирование исключает перерывы в функционировании МПЦ при отказах любых ее функциональных блоков.


Подсистемы нижнего уровня. Безопасный ввод информации в ядро МПЦ о состоянии тех или иных устройств на станции осуществляется посредством блоков телесигнализации ТС-16Б. Блок имеет 16 входов (ТС 1-ТС 16). Состояния объектов контролируются путем подачи парафазных сигналов на контакты контролируемых реле и в блок ТС-16Б. Далее они сравниваются.
В случае если фаза сигнала на входе SYN1 или SYN2 совпадает с фазой на входе ТС, блок передает в линию связи информацию о том, что на определенном входе появилась логическая единица или логический ноль соответственно. В случае если сигналы на входе ТС не совпадают ни с одним входом SYN, блок передает третье состояние - ««ошибка».
Для безопасного вывода информации на устройства автоматики и телемеханики, включения тех или иных устройств применяются блоки ТУ-8Б. Блок имеет 8 выходов (ТУ1- ТУ8) и предназначен для включения реле первого класса надежности с рабочим напряжением 24 В. Безопасность обеспечивается тем, что в исполнительной части блока ТУ-8Б напряжения не превышают 4 В. т. е. они меньше напряжения гарантированного отпадания якоря. Любая неисправность блока либо отключает напряжение на выходе, либо снижает его уровень до 4 В, при котором отпадает якорь реле, и оно переводится в защитное состояние.
Схемотехнически блоки ТС-16Б и ТУ-8Б реализованы в виде двух канального устройства с самоконтролем. Блоки физически подключены к промышленной шине передачи данных RS-485. Они питаются от резервированного источника питания 24 В. Умножители блоков ТУ-8Б, формирующие управляющее напряжение, питаются от отдельного стабилизированного источника питания 4 В. Внешний вид блоков ТУ/ТС приведен на рис. 5.


В целях достоверной передачи информации через интерфейс RS- 485 применяется протокол собственной разработки, отличительной особенностью которого является обнаружение и устранение одно и двукратных ошибок, а также программное исключение переотражений сигнала в линии связи за счет динамически изменяемой паузы между посылками. Все операции по обеспечению протокольного уровня выполняются специализированной программой - драйвером.
В соответствии с протоколом каждое устройство, подключенное к линии связи через интерфейс RS-485, должно иметь уникальный адрес. Ядро МПЦ через драйвер посылает в линию команду, состоящую из адреса устройства, операндов. указывающих номера выводов блоков ТУ-ТС и контрольной суммы. Посылка передается в линию в зашифрованном виде с избыточным кодированием (CRC). Все блоки ТУ-ТС находятся в высокоомном состоянии и «прослушивают» линию. Как только какой-либо из блоков обнаруживает в посылке свой адрес, посылка передается на исполнение контроллерам. После де шифрации и исполнения команды блок ТУ-ТС генерирует ответную посылку. Протокол реализован таким образом, чтобы в одно и то же время к линии в низкоомном состоянии было подключено не более одного устройства
Для опроса и управления двадцатью восемью блоками (требуемое количество для реализации МПЦ на станции Ипуть) драйверу требуется 140 мс в том случае, если все блоки и линия связи исправны
При наличии неисправностей или помех на коммуникацию со всеми блоками отводится 240 мс (100 мс для переопроса некорректно ответивших блоков).

Информация между ядром системы МПЦ и драйвером протокольного уровня передается через систему сокетов - специализированный аппаратно-программный уровень операционной системы, являющийся надстройкой над протоколом TCP-IP. Такая технология в случае необходимости аппаратно разделяет компьютеры, обеспечивающие работу с напольными объектами и компьютерами ядер МПЦ. Связь в этом случае осуществляется по сетевому протоколу TCP-IP. Прикладной уровень протокола, разработанный для МПЦ, выполняет двунаправленную передачу команд управления.
Характеристика ядра системы МПЦ. Ядро системы МПЦ представляет собой сложный двухканальный аппаратно-программный комплекс на базе промышленных компьютеров IPC-616 компании Advantech. Эта платформа включает в себя корпус с резервированными отказоустойчивыми блоками питания, резервированной системой принудительного охлаждения, системой мониторинга состояний, вибро- и электромагнитной защитой.
Вычислительным модулем является одноплатный компьютер с низковольтным процессором СЗ компании VIA Technologies и естественным охлаждением процессора. Компоновка аппаратных средств ядра МПЦ приведена на рис. 6.


Для работы ядра МПЦ требуется операционная система класса Windows NT либо Linux и файлы конфигурации станции (main.cfg) и алгоритмы работы станции (main.cxx). Ядро представляет собой межплатформенный программный модуль, выполняющий роль дискретнологического автомата с дополнительными сервисными функциями.
Для объединения вычислительных, сервисных и управляющих модулей системы МПЦ применяется локальная вычислительная сеть Ethernet. Используется протокол TCP/IP. На прикладном уровне информация передается через сокеты.
В качестве среды передачи сигнала используется экранированная витая пара категории 5Е с дублированием всех линий. Коммутаторы первого уровня производства компании 3COM выполняют коммутацию каналов Возможные кратковременные сбои в процессе передачи информации по сети устраняются программным способом
Сетевой модуль пересылает команды от АРМов дежурного по станции и электромеханика в ядро и передает данные о состоянии объектов обратно. На рис. 7 показано примерное соотношение объемов передаваемых данных.


Потоки данных от АРМ к ядру и от ядра к АРМ имеют объемы, отличающиеся на порядок. Кроме того, сетевой модуль масштабирует объемы передаваемых данных, так как количество объектов на станции и возможных команд может изменяться со временем. С другой стороны, объем данных, передаваемых по сети в каждую из сторон, не будет изменяться между переконфигурированием системы, так как количество команд и объектов будет неизменно.

АРМ дежурного по станции является элементом информирования и управления текущей поездной ситуацией на станции в реальном режиме времени. Технологически АРМ дежурного по станции реализуется на промышленной аппаратно-программной платформе Advantech IPC-6806WHP и имеет широкоформатный жидкокристаллический монитор для удобного чтения информации. Компоновка аппаратных средств промышленного компьютера АРМов дежурного по станции и электромеханика приведена на рис. 8
Внешний вид рабочих мест дежурного по станции и электромеханика приведен на рис. 9.


Промышленный компьютер дежурного по станции подключен к системе с помощью дублированной линии по технологии Ethernet. На АРМе устанавливают поездные маршруты приема и отправления с четной и нечетной горловины станции, маневровые маршруты, маршруты приема по пригласительным сигналам, а также индивидуально переводят стрелки. Дежурный по станции при этом получает сведения с требуемой достоверностью о состоянии объектов контроля, расположенных на станции; о работоспособности МПЦ и объектов контроля и управления; установленных маршрутах на схематическом плане станции; вводимых в ядро МПЦ командах; работоспособности и состоянии каждого из каналов ядра МПЦ; перегонных устройствах (габаритные ворота, ключи-жезлы и др.).
Графический пользовательский интерфейс базируется на возможностях операционной системы Microsoft Windows ХР Embedded. Он обеспечивает интегрированную среду для всех операций дежурного по станции, предоставляя единые принципы построения системы меню, диалоговых окон ввода и вывода сообщений. Кроме этого, благодаря пользовательскому интерфейсу правила отображения текущего состояния системы и различных подсистем в строке состояния соответствующего окна едины. Для облегчения освоения и удобства эксплуатации графический пользовательский интерфейс содержит встроенную систему подсказок.

Мнемосхема станции используется для представления динамической информации о текущем состоянии объектов управления (свободности и занятости рельсовых цепей, замыкании и блокировании секций, положении и состоянии стрелок и др.), а также для выбора объектов управления при формировании команд. В АРМ предусмотрена возможность масштабирования мнемосхемы станции.
Командную строку применяют для ввода команд с клавиатуры. Результат выполнения команды отображается в строке состояния. При вводе ответственных команд требуется, чтобы дежурный по станции подтвердил их в специальном диалоговом окне
Неисправности формируются в специальный класс событий и соотносятся с соответствующими нештатными ситуациями, т. е. повреждениями в устройствах СЦБ. Дежурный по станции оповещается о возникновении неисправностей визуальными и звуковыми сигналами. Неисправности сохраняются в специальном списке.
Дежурный по станции с пульта посылает ряд ответственных команд: прием поезда по пригласительному сигналу, аварийный перевод стрелок и др. Чтобы обеспечить безопасность движения, в АРМах дежурного по станции применяют промышленные индустриальные, устойчивые к электромагнитным возмущениям, комплектующие.
Как показали проведенные в лаборатории «Безопасность и электромагнитная совместимость технических средств» БелГУТа испытания, аппаратура, связанная с обеспечением безопасности движения поездов, индустриальные клавиатуры InduKey KG08418 АРМов дежурного по станции и электромеханика полностью соответствуют предъявляемым техническим требованиям в соответствии с ГОСТ Р 50656-2001 Клавиатуры выполнены в герметичном ударопрочном корпусе.
В случае выхода из строя основного комплекта МПЦ при ««горячем» переходе на резервный комплект дежурный по станции не должен предпринимать какие-либо действия, так как все осуществляется автоматически.

Автоматизированное рабочее место электромеханика оборудовано промышленным компьютером, жидкокристаллическим монитором, клавиатурой и трекболом индустриального исполнения. Графическая оболочка АРМа электромеханика отображает на экране монитора план станции, идентичный плану станции на АРМе дежурного по станции, а также дополнительную информацию технологического характера. На АРМе электромеханика просматривают состояние объектов контроля и управления и организуют на базе полученной информации устранение повреждений на станции; хранят и просматривают протоколы сигналов ТУ, ТС. АРМ позволяет воспринимать и исполнять команды ТУ, контролировать параметры системы, переключать основной и резервный комплекты, диагностировать неисправности блоков ТУ-ТС и др. Данные о состоянии обьектов контроля. расположенных на станции, отображаются с требуемой достоверностью. Также можно отображать информацию о работоспособности МПЦ и объектов контроля и управления, об установленных маршрутах на схематическом плане станции, о работоспособности и состоянии каждого из каналов ядра МПЦ, состоянии каналов передачи данных. Для ядра МПЦ формируются диагностические команды. В АРМе регистрируются и протоколируются данные и сохраняются в журналах при перезапусках программного обеспечения, которое может реконфигурироваться.
АРМ электромеханика работает совместно с АРМом дежурного по станции и подключается к системе при помощи дублированной линии по технологии Ethernet. Информация на экран монитора поступает по локальной сети с аппаратуры ядра МПЦ.

Система гарантированного бесперебойного питания состоит из трех основных модулей: вводно-распределительного шкафа ШВР, источника бесперебойного питания ИБП, дизель-генератора. Система получает энергию по двум независимым фидерам. После блока трансформаторов напряжение подается в LLIBP, где осуществляется приоритетный выбор одного из питающих фидеров, автоматический переход на автономное питание от аккумуляторных батарей, включение резервного источника питания (дизель-генераторного агрегата) и распределение электроэнергии по видам напряжений и категории нагрузки.
Ядра МПЦ и блоки ТУ8Б ТС18Б гарантированно обеспечены питанием.
Система электропитания ядра осуществляет переход на «байпас», независимость питающих модулей для первого и второго комплектов МПЦ, автономность работы не менее 30 мин при номинальной потребляемой мощности.
Система наращивания емкости аккумуляторных батарей модульная. Тип аккумуляторных батарей унифицированный. Вся система обслуживается периодически один раз в 5 лет (замена аккумуляторных батарей).
Имеется система диагностики всех состояний ИБП. Монтаж осуществляется в 19-дюймовой аппаратурной стойке
В качестве ИБП применяется промышленное оборудование. Для основного модуля используется модель SUM3000RMXLI2U, которая обеспечивает непрерывную работу нагрузки. Этот источник бесперебойного питания обладает масштабируемой архитектурой, емкость которого увеличивается путем наращивания количества аккумуляторных батарей. В качестве аккумуляторных батарей применяются промышленные батарейные модули. Для двухбатарейного модуля используется модель SUM48RMXLBP2U. Эта модель представляет собой две параллельно соединенные аккумуляторные батареи 48 В со свинцово- кислотным электролитом в гелеобразном состоянии.

Устанавливаемые источники бесперебойного питания оснащены устройствами удаленного сбора информации о потребляемом токе, состоянии аккумуляторных батарей, уровне заряда, оставшемся времени автономной работы, параметрах сети электропитания и др. ИБП фиксирует время и длительность перехода на автономный источник питания (аккумуляторную батарею). Связь с АРМом электромеханика осуществляется через сетевой интерфейс (Ethernet) по протоколу TCP/IP либо посредством непосредственного подключения ИБП через USB/RS232 интерфейс.
Электропитание АРМ дежурного по станции, АРМ электромеханика и СППР подключается через индивидуальные маломощные ИБП настольного исполнения, которые в свою очередь непосредственно соединены с шиной ответственной нагрузки распределительного щитка. Время автономной работы таких ИБП должно быть не хуже чем у системы электропитания ядра МПЦ.
Для обеспечения бесперебойного питания при пропадании двух фидеров всех потребителей станции за исключением ядра МПЦ питающая установка может дополняться трехфазным бесперебойным источником электропитания с двойным преобразованием и гарантированным временем питания больше 5 мин, достаточным для гарантированного запуска дизель-генератора и его выхода на номинальный режим.

ПРИНЦИПЫ ПОСТРОЕНИЯ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

Современные микропроцессорные и компьютерные системы ЖАТ выполняют многие функции, в том числе с помощью средств ПО обеспечивают безопасность движения.
Надежность и безопасность функционирования программного обеспечения - сложная техническая и научная задача. Наиболее распространенными методами ее решения являются: повышение качества ПО за счет тестирования и доказательства отсутствия ошибок в программном коде; использование диверситета (различных версий) на всех уровнях иерархии ПО; резервирование и избыточное кодирование внутренней и внешней информации, используемой в программном обеспечении.
Одновременное использование всех этих методов, а также специальных принципов построения и обеспечения надежности и безопасности позволяет получить программное обеспечение, удовлетворяющее всем требованиям нормативных документов.
Все основные технологические алгоритмы МПЦ «IПУТЬ» (установка, замыкание и отмена маршрутов) реализуются программным способом. Рассмотрим основные принципы построения и обеспечения надежности и безопасности функционирования программного обеспечения системы.

СТРУКТУРА ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

И Программное обеспечение системы имеет иерархическую структуру. Модель распределения потоков данных, циркулирующих между элементами МПЦ, представлена на рис. 1.


Основным элементом модели является ядро МПЦ, включающее в себя базовое ПО и технологические алгоритмы станции. Ядро обеспечивает безопасную реализацию управляющих алгоритмов МПЦ. Базовое ПО включает в себя часть программного кода, не зависящую от конфигурации станции. Технологические алгоритмы определяют взаимозависимости объектов управления и контроля на конкретной станции. Посредством специального программного обеспечения объекты управления и контроля и персонал взаимодействуют с ядром.
Программное обеспечение, так же, как и система, имеет дублированную структуру. Один и тот же алгоритм выполняется в разных каналах с последующим сравнением результатов (рис. 2).


Данные с объектов управления снимаются и обрабатываются микроконтроллерами блоков ТУ-ТС. Каждый блок представляет собой дублированную микропроцессорную подсистему. Результаты опроса объектов отсылаются на драйверы обоих каналов ядра.
Данные с драйверов поступают в ядро системы МПЦ. Ядро состоит из четырех программных модулей, которые обрабатывают поступающую информацию и обмениваются результатами работы между собой. При отказе одного из каналов ядра либо при получении в этом канале данных, отличных от других, происходит перевод комплекта этого канала в безопасное состояние (отключение от управления). Ядро, обработав данные, передает информацию на АРМы обслуживающего персонала и забирает информацию о командах управления, таких как задание маршрутов, перевод стрелок и др.
Программные компоненты взаимодействуют между собой как в рамках одного промышленного компьютера, так и в рамках локальной вычислительной сети. Для взаимодействия используются сетевой протокол TCP/IP и внутренний протокол SLC. Последний ориентирован на безопасную передачу двоичных данных. Кодовое расстояние передаваемого значения не менее 16. При этом проверяется подпись отправителя и наличие дублирования подключения. Алгоритмически данными обмениваются таким образом, что разрывы связи в TCP обнаруживаются в течение времени одного цикла работы ядра (160-300 мс). При отсутствии связи компоненты переходят в защитные состояния и
передают управление полноценно работающему комплекту.

ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ АРМ

В состав МПЦ «IПУТЬ» входят автоматизированные рабочие места дежурного по станции и электромеханика, которые функционируют на базе IBM PC-совместимых персональных компьютеров с установленной операционной системой класса Microsoft™ Windows NT. АРМы и ядро МПЦ взаимодействуют Посредством локальной вычислительной сети.
На АРМе дежурного по станции отображается информация о состоянии объектов на станции и передаются управляющие воздействия в ядро системы МПЦ. Для удобства реализации и загрузки любого графического отображения разработана графическая модель и текстовый язык описания. Это позволяет использовать унифицированное программное обеспечение, в котором изменяемой частью АРМа (отображение станции, перечень команд управления) являются только настроечные файлы. Такие файлы не требуют компиляции в выполнимый код, что позволяет в краткие сроки разрабатывать ПО АРМ для новых станций.

Графическое отображение МПЦ основано на принципе векторной реализации с возможностью непикселизированного увеличения до любого размера. Это позволяет использовать АРМ при любом разрешении монитора, частично выводить изображение станции или размещать план станции на нескольких мониторах. Мнемонические элементы отображаются в соответствии с памяткой ОСЖД Р.808 (рис. 3).


В основном окне управляют всеми остальными окнами, кроме постоянно присутствующего на экране окна плана станции; произвольно изменяют масштаб отображения плана станции; выбирают предустановленный масштаб отображения плана станции; переключаются на использование основного либо резервного комплекта ядер системы МПЦ.
АРМ электромеханика предоставляет диагностическую информацию и журнальную о действиях дежурного по станции. Оба АРМа выполняют автоматическое ведение журнала технологического процесса на станции. Каждое событие, фиксируемое в журнале, сопровождается временной меткой, определяющей с точностью до секунды время того или иного события. В журнале сохраняется информация об управляющих действиях дежурного по станции, о состоянии станционного оборудования и компьютеров, входящих в состав ядра системы. Электромеханик имеет возможность записывать в журнал сообщения о совершаемых им действиях. Ведение журналов в АРМах дежурного по станции и электромеханика полностью автоматизировано и не зависит друг от друга. Однако управляющие воздействия дежурного по станции фиксируются как на АРМе дежурного по станции, так и на АРМе электромеханика. Содержимое журнала может быть в любой момент просмотрено. Для удобства работы могут быть выведены записи только за определенный период времени либо записи определенного типа.
Программное обеспечение АРМов автоматически не чистит журнал. Это исключает пропадание старых записей. В архиве журнала можно хранить данные не менее чем за один последний год.

ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ЯДРА МПЦ

Ядра являются ключевыми устройствами МПЦ и обеспечивают ввод, обработку по заданному алгоритму и вывод технологической информации о состоянии объектов контроля и управления на станции. Ядра реализуют алгоритмы управления и центральных зависимостей стрелок и сигналов с целью обеспечения высокой пропускной способности станции при условии безопасности движения поездов.
Ядро системы МПЦ работает на промышленных компьютерах под управлением операционной системы класса Windows NT.

Программное обеспечение ядер МПЦ спроектировано по принципу «снизу-вверх». Это позволяет создавать сложную систему на базе уже собранных на нижнем уровне модулей, поведение которых уже доказано. Такой подход упрощает и снижает расходы на доказательство правильности функционирования модулей программного обеспечения. Работа модулей основывается только на входных и выходных значениях, что позволяет создавать программное обеспечение с более высоким уровнем безопасности за счет минимизации числа допускаемых ошибок.
Объектами самого низкого уровня в этой системе являются элементы, выполняющие простые логические операции, так называемую релейную логику. Из множества простых зависимостей происходит сборка более сложных. Такая организация позволяет легко адаптировать ПО технологических алгоритмов к различным станциям и их объектам управления.

Одним из составляющих блоков первичных данных является модель объекта станции. Эти данные включают в себя описание входных и выходных переменных и логику присвоения им значений.
Описание модели объекта отражает логику работы определенного обобщенного объекта управления станции. Так, например, на станции все поездные маршруты представляют модель поездного маршрута. В этой модели описаны правила взаимодействия и логика работы всех объектов станции (светофоров, стрелок и др.), участвующих в любом поездном маршруте.
Логику их работы описывают с помощью разработанного языка алгоритмов. Основным его отличием от других языков программирования такого класса является ориентированность на последующее доказательство безопасности работы системы. Разработчики, как правило, не задумываются над доказательством безопасности программного обеспечения, что требует больших временных ресурсов при доказательстве правильности функционирования МПЦ и ее внедрения на станции. Такой язык является функциональным. Он описывает параллельные алгоритмы, представляя их в виде различных математических моделей. Для доказательства безопасности программного обеспечения МПЦ «IПУТЬ» алгоритмы станции представлялись в виде параллельной ингибиторной сети Петри с временными параметрами, что позволило вычислить временные характеристики, характеристики надежности, безопасности и алгоритмические точки синхронизации ядер между собой.
Структурная схема разработки исполняемых модулей представлена на рис. 4.


Исходные данные станции разделяются на множества типов объектов (маршруты, стрелки, сигналы и др.) Для каждого объекта выделяется список характеризующих его полей (расположение и взаимодействие с другими объектами), а также исходные и выходные бинарные данные объекта. Модель объекта реализуется в виде логических выражений и графов переходов. Сформированные данные компонуются в алгоритм функционирования взаимосвязей между всеми объектами.
Структурная схема описания взаимосвязей объекта станции приведена на рис. 5.


При разработке модели станции используются следующие правила и ограничения. Любые переменные могут принимать значения только 0 или 1. В переменные значения записываются состояния определенных объектов станции, которым присвоены определенные свойства. Модель объекта представляется в подсистеме в виде текстовых файлов, которые хранятся на каком-либо носителе информации. Файл модели объекта состоит из двух секций - [входы], [выходы]. Секции [входы] и [выходы] описывают имена входных и выходных полей соответственно, правила, по которым им будут присваиваться значения, и значения для присвоения в описанные поля.
При помощи этих правил описываются объекты станции. Объектами могут быть маршрут, светофор, перегон, путь, секция и др. Сам файл также состоит из описания объектов, взаимодействующих с описываемым объектом. Для объекта типа «маршрут» в блоке будут стрелки, светофоры, секции, команды управления. Таким образом, создается модель макета станции.
Все свойства объектов жестко увязаны с условиями таблицы взаимозависимости стрелок, сигналов и маршрутов.
Структура описания объекта представлена на рис. 6.
На рис. 7 показан пример графа состояний с указанием условий перехода из одного состояния в другое.



Выполненные испытания и имитационное моделирование подтвердили высокое качество разработанного программного обеспечения и его соответствие всем требованиям по безопасности функционирования.

ИСПЫТАНИЯ И ОПЫТНАЯ ЭКСПЛУАТАЦИЯ

В соответствии с рекомендациями действующих нормативных документов экспертиза технических решений и испытания элементов системы МПЦ выполнялись параллельно. При этом эффективно использовались современные CALS- технологии. Типичным примером интеграции разработки и испытаний служит взаимодействие конструкторско-технологического центра Белорусской дороги (КТЦ), разработавшего устройства сопряжения с объектом, и научно-исследовательской и испытательной лаборатории «Безопасность и электромагнитная совместимость технических средств» Научно-исследовательского института железнодорожного транспорта Белорусского государственного университета транспорта (НИЛ «БЭМС ТС»), проводившей испытания.
Отдел микроэлектроники КТЦ разработал принципиальные схемы блоков управления ТУ-8Б и ТС-16Б. В лаборатории «БЭМС ТС» выполнили машинное моделирование схем и провели имитационные испытания на безопасность функционирования, в ходе которых были выявлены несоответствия требованиям условий безопасности.
Совместными усилиями были найдены схемные решения, исключающие возникновение опасных отказов. Повторные имитационные испытания подтвердили безопасность схем. Кроме этого, были получены электрические характеристики, оценивающие эффективность схемных решений. Параллельно проводили экспертизу алгоритмов и программного обеспечения блоков.

После получения положительных результатов испытаний изготовили опытные образцы блоков ТУ-8Б и ТС-16Б. В лаборатории они успешно прошли испытания на безопасность функционирования и электромагнитную совместимость в соответствии с методиками и программами испытаний, значительно превышающими требования нормативных документов.
На разработку, изготовление и испытания, которые проводились менее полугода, таких ответственных узлов, как устройства сопряжения с объектами, израсходовано средств в несколько раз меньше, чем при использовании принципа «сначала изготовить, потом испытать».
В процессе испытаний были использованы все известные методы доказательства функциональной безопасности: техническая экспертиза документации, схемных решений и программного обеспечения, расчеты показателей безопасности и надежности, имитационное моделирование ответственных элементов, лабораторные и эксплуатационные испытания.
На ранних стадиях разработки проводилась техническая экспертиза структуры системы, принципов обеспечения безопасности, схемных решений и программного обеспечения блоков сопряжения с объектами, схем резервирования, релейных схем увязки. Экспертами выступали специалисты аккредитованной испытательной лаборатории «БЭМС ТС» и службы сигнализации и связи Белорусской дороги.
Выполненные расчеты подтвердили соответствие разработанной системы МПЦ требованиям ОСТ 32.146-2000 «Аппаратура железнодорожной автоматики, телемеханики и связи. Общие технические условия».

Система имеет следующие расчетные показатели безопасности и надежности:
коэффициент готовности - не менее 99,9998;
средняя наработка на отказ с учетом процесса восстановления - более 1300 тыс. ч;
интенсивность опасных отказов - менее 10~14 1/ч.
Для всех ответственных элементов системы выполняли имитационное моделирование для проверки испытываемого устройства, которое при возникновении заданного класса неисправностей аппаратных средств не должно формировать сигналы управления и сигнализации, нарушающие условия безопасности движения поездов.
В имитационное моделирование включено функционирование аппаратных средств без программируемых элементов и программируемых элементов при эмуляции отказов и сбоев. Оба вида испытаний имеют общую методику и различаются только использованием различных инструментальных средств моделирования.
Моделирование функционирования аппаратных средств без программируемых элементов выполняется в среде моделирования PSpice. Выбор PSpice обусловлен высокой достоверностью расчетов. PSpice является стандартом в области моделирования электронных схем и может использоваться в испытательных лабораториях других государств. С помощью PSpice выполнено моделирование наиболее
ответственных элементов: умножителя блока ТУ и оптронной платы блока ТС. Безопасность этих элементов подтверждена соответствующими протоколами.

Моделирование работы программируемых элементов выполняется с помощью программного комплекса аппаратно-программных средств для проведения имитационных испытаний на функциональную безопасность микроэлектронных и микропроцессорных систем
управления ответственными технологическими процессами (КИИБ),
разработанного в научно-исследовательской лаборатории «БЭМС ТС». Комплекс КИИБ предназначен для подтверждения соответствия (микропроцессорных систем управления ответственными технологическими процессами требованиям IEC 61508, IEC 60880, EN 50126, EN 50128, EN 50129, ОСТ 32.78, ОСТ 32.146 и других аналогичных стандартов. Это современный инструмент для разработки аппаратно-программных комплексов с параллельным анализом на безопасность принимаемых инженерных решений, сокращающий в несколько раз время разработки и обеспечивающий заданные показатели по функциональной безопасности.

Разработчики комплекса КИИБ были удостоены медали «Лауреат ВВЦ» на выставке «ЭКСПОЖД- 2001» в Москве, в 2006 г. награждены дипломом VI Московского международного салона инноваций и инвестиций. С помощью КИИБ выполнено моделирование плат управления блоков ТУ-ТС системы МПЦ, выполненных на базе микроконтроллеров РЮ.
Предварительные лабораторные испытания МПЦ проводились с 5 по 16 марта 2007 г. в БелГУТе. Программа лабораторных испытаний опытного образца МПЦ включала испытания на соответствие требованиям ТУ, ОСТ 32.146-2000 и СТБ 972-2000 «Разработка и постановка продукции на производство. Общие положения». Положительные результаты испытаний подтверждены соответствующими протоколами.
В мае 2007 г. МПЦ «IПУТЬ» включена в опытную эксплуатацию на станции Ипуть Гомельского отделения Белорусской дороги. За время опытной эксплуатации не было ни одного отказа или сбоя, приведшего к задержкам поездов и нарушениям условий безопасности движения.
В настоящее время выполнена интеграция в ядро системы МПЦ функций автоблокировки близлежащих перегонов. Планируется внедрение системы «IПУТЬ» на станции Сож, соседней со станцией Ипуть. При этом функции автоблокировки перегона Ипуть - Сож будут разделены и интегрированы в ядра систем МПЦ станций Ипуть и Сож.

__________________

Зарегистрируйтесь, чтобы скачивать файлы.
Внимание! Перед скачиванием книг и документов установите программу для просмотра книг отсюда. Примите участие в развитии ж/д вики-словаря / Журнал "АСИ" онлайн

Книги по СЦБ | Книги путейцам | Книги машинистам | Книги движенцам | Книги вагонникам | Книги связистам | Книги по метрополитенам | Указания ГТСС

Если не можете скачать файл... / Наше приложение ВКонтакте / Покупаем электронные версии ж.д. документов

Кабанбай Батыр

А что за чудо ?
А то:

Толян

я не в ответе за то что там наваяли авторы

__________________

Зарегистрируйтесь, чтобы скачивать файлы.
Внимание! Перед скачиванием книг и документов установите программу для просмотра книг отсюда. Примите участие в развитии ж/д вики-словаря / Журнал "АСИ" онлайн

Книги по СЦБ | Книги путейцам | Книги машинистам | Книги движенцам | Книги вагонникам | Книги связистам | Книги по метрополитенам | Указания ГТСС

Если не можете скачать файл... / Наше приложение ВКонтакте / Покупаем электронные версии ж.д. документов

Boris Sivko

Что именно?

Синоним двухканальной - дублированная.

Горячее резервирование позволяет без потерь, в любое время переключаться на резерв, который дублирует все. Т.е. система по схеме 2+2. Промышленных компьютеров 4, каждая из пар в состоянии брать на себя полную функциональность.

tiksi

Boris Sivko,
вы разработчик этого?

Boris Sivko

Да, один из.

tiksi

Тогда вопрос!
ВСЁ, это резервирование стрелок, сигналов и РЦ?

Boris Sivko

Нет. Все - это вся функциональность, за которую отвечает МПЦ.

Т.е. в случае возникновения любого рода проблем с МПЦ возможно быстрое переключение на резерв.

Кроме того, переключение на резерв может производится в штатных ситуациях. Например при необходимости замены блоков связи с напольными объектами.

По сравнению с релейной ЭЦ МПЦ «IПУТЬ» не заменяет того, что есть в поле. Там как прежде находятся стрелки, сигналы, реле первого класса и т.д..

tiksi

Как то не так. МПЦ отвечает не за функциональность (не только!), а за безопасность при управлении (воздействие, контроль) исполнительными устройствами. Наверное надо читать так, резервирование вычеслительного устройства или устройств?

Boris Sivko

Совершенно верно. МПЦ отвечает как за наборную группу, так и за исполнительную (безопасность выполнения действий на станции + получении информации о состоянии станции).

Соответственно, резервируется все то, что за это отвечает.

Например если возникает отказ в одном из 4-х компьютеров, то в системе 2+2 одна из пар (комплект) переходит в безопасное состояние и далее производится быстрое переключение на второй комплект.

---

Для находящейся в эксплуатации станции светофоры не менялись. Но про степень решения для новых станций сейчас не могу сказать.

tiksi

А зачем 2 копютера? Какова роль второго, при работающем первом?

Boris Sivko

В случае отказа показания двух компьютеров разные. Но какой из них правильный определить нельзя. Поэтому тот, который правильный (где не было отказа) понимает это и гарантированно дает команду на отключение пары (всего комплекта из 2-х компьютеров).

tiksi

А если он врёт? А если он отказ не увидел? Арбитра (схемы сравнения) у вас нету?

Boris Sivko

А если схема арбитра врет?

tiksi

А он так устроен, что если он соврамши, то отлючамши. И он еще имеет доказательство безопасности. Иначе никак! Хотя вероятность есть, минус 11 или менее.