Доказательство безопасности и сертификация устройств и систем ЖАТ
О.А. НАСЕДКИН, заведующий испытательным центром ПГУПС, канд. техн. наук
Результаты применения микроэлектронных и программируемых средств в устройствах железнодорожной автоматики (ЖАТ) свидетельствуют об актуальности проблемы доказательства безопасности разрабатываемых на их основе систем. Специфика такой техники диктует необходимость изменения подхода к организации контроля ее соответствия требованиям безопасности.
Последние 10-15 лет прошлого века характеризовались динамичным развитием средств ЖАТ с использованием современных микроэлектронных технических средств. Этот процесс сопровождался как модернизацией существующих элементов, так и созданием новых систем. Наряду с отраслевыми предприятиями и организациями к разработке этой техники по конверсионным программам были привлечены предприятия оборонного комплекса.
Несмотря на малую материало- и энергоемкость, малые габариты, большие функциональные возможности, высокие показатели надежности и др., широкого применения на сети железных дорог микроэлектронная аппаратура в то время не находила. Это было обусловлено рядом причин. Прежде всего, в отрасли на тот момент не было достаточного опыта разработки, эксплуатации, обслуживания и сопровождения безопасных устройств на микроэлектронной и программируемой технике.
Релейные системы в этом отношении казались более привлекательными: сказывалась неоспоримость их безопасности, подтвержденная длительными сроками эксплуатации, простота и наглядность принципов обеспечения безопасности. Доказательство безопасности таких систем как отдельная задача не ставилась и конкретные решения в релейных схемах утверждались на основе результатов экспертизы.
В микроэлектронных и программируемых технических средствах достижение требуемого уровня безопасности не столь очевидно. Для его подтверждения необходим был комплексный подход, включающий в себя расчетную оценку показателей безопасности, различные методы экспертизы и испытаний. Это потребовало создания методической, технической и организационной основ разработки таких систем для железнодорожной отрасли и доказательства их безопасности.
железнодорожном транспорте». Статья 9 предусматривала сертификацию подвижного состава, устройств пути и других технических средств на соответствие требованиям безопасности, охраны труда и экологической чистоты, установленным государственными стандартами. Вышедший вслед за законом приказ министра путей сообщения обязывал поставлять изделия и оборудование, сертифицированные на соответствие требованиям нормативных документов по безопасности движения и охране труда.
Перед Департаментом сигнализации, связи и вычислительной техники встала задача создания нормативной базы и подразделений, способных начать работу по испытаниям и сопровождению вновь разрабатываемых систем. Структура процесса сертификации начала складываться с формирования испытательных лабораторий. Организации, на базе которых предусматривалось создание таких лабораторий, выбирались с учетом их профиля работы, состояния испытательного и измерительного оборудования, квалификации специалистов по испытываемой продукции. Сеть лабораторий должна была охватить весь спектр разрабатываемых технических средств ЖАТ. Аккредитация испытательных лабораторий проходила при непосредственном участии Госстандарта России - национального органа по сертификации. Отраслевая система сертификации находилась в стадии становления.
В ПГУПСе, МИИТе, институтах «Гипротранссигнал связь» и НИИЖА были созданы пять независимых испытательных лабораторий в соответствии со своими объектами сертификации (областью аккредитации). При Петербургском университете был аккредитован испытательный центр (ИЦ) ЖАТ. Их основными задачами стали: экспертиза программно-технических средств на соответствие требованиям безопасности, контроль процесса разработки средств железнодорожной автоматики и телемеханики, а также сама разработка средств испытаний программ и методик испытаний на безопасность и электромагнитную совместимость. Создание нормативных документов и руководящих технических материалов в области сертификации систем и работы по гармонизации требований безопасности к отечественным и зарубежным системам железнодорожной автоматики тоже были в их ведении.
Наряду с испытательными лабораториями при Петербургском университете путей сообщения был создан орган по сертификации, функциями которого стали координация работ по проведению испытаний на безопасность систем и выдача сертификатов соответствия средств ЖАТ требованиям безопасности. Специалисты ПГУПС и Департамента сигнализации, связи и вычислительной техники совместно разработали и утвердили в Госстандарте документ, который определял порядок проведения работ по экспертизе и испытаниям. К числу первых систем, прошедших экспертизу и испытания, можно отнести кодовую электронную блокировку КЭБ, электрическую централизацию на микропроцессорной основе ЭЦ-Е, микропроцессорную переездную сигнализацию АПСП (ГТСС), микропроцессорную централизацию Ebilock-950 (ООО «Бомбардье Транспортейшн (Сигнал)»), системы счета осей УКП СО и УКП СОЦ (УО ВНИИЖТ), систему счета осей ЭССО (НПО «Промэлектроника»), микроэлектронные автоблокировки АБ-Е2, АБ-ЧКЕ (МИИТ), системы компьютерных ДЦ «Сетунь» (НИИЖА), ДЦ МПК (ПГУПС), ДЦ «Диалог» (НПФ «Диалог-транс») и ДЦ «Юг» с РКП (РГУПС). Многие из названных систем, например такие, как УКП СО, ЭССО, Ebilock-950, ДЦ «Юг» с РКП, ДЦ МПК прошли сертификационные испытания в ИЦ ЖАТ ПГУПС.
Согласно законам РФ «О Федеральном железнодорожном транспорте» и «О сертификации продукции и услуг» в МПС была создана отраслевая система сертификации технических средств и услуг, разработаны и зарегистрированы в Госстандарте и Министерстве юстиции Правила Системы сертификации на Федеральном железнодорожном транспорте. Правила предусматривают создание центрального органа системы сертификации и органов сертификации однородной продукции по отраслям железнодорожного транспорта и определяют права и обязанности участников проведения обязательной сертификации.
Методическую основу процесса сертификации на безопасность составили нормативные документы «Безопасность железнодорожной автоматики и телемеханики», разработанные под руководством специалистов ПГУПС. В их состав вошли шесть отраслевых стандартов, пять руководящих документов и четыре руководящих технических материала.
Нормативные документы определили единство терминологии и требований к разрабатываемым системам, порядок разработки, виды испытаний и форму отчетности разработчика по реализации требований безопасности. В них также нашли отражение теоретические и практические аспекты создания безопасных систем железнодорожной автоматики и телемеханики. Тем самым обеспечивалась эффективность организационных, конструкторских, технологических и эксплуатационных мероприятий, направленных на достижение оптимального уровня безопасности, а также объективность и сопоставимость результатов контроля и испытаний на безопасность.
Ключевым документом стал стандарт "Основные понятия. Термины и определения". В нем определяются такие понятия, как безопасность, опасное и защитное состояния, опасный и защитный отказы, показатель безопасности, ответственная телемеханическая команда, сертификация безопасности, описывается концепция безопасности и др.
Основой практической деятельности по подготовке к сертификации- разрабатываемых систем железнодорожной автоматики и телемеханики стал ОСТ 32.19-92 «Общие требования к программам обеспечения безопасности». Он предусматривал взаимодействие разработчика и органа сертификации (испытательной лаборатории) на всех стадиях создания систем.
В соответствии с этим документом разработчик в процессе создания устройств и систем ЖАТ обязан проводить работы по подготовке к сертификации, экспертизе и доказательству безопасности программных и аппаратных средств в соответствии с комплексом отраслевых нормативных документов. В соответствии с ОСТ32.91-97 «Система разработки и постановки продукции на производство» положительные результаты этих работ являются необходимым условием проведения эксплуатационных и приемочных испытаний разрабатываемых технических средств.
При неоспоримых преимуществах микроэлектронной и программируемой техники она обладает рядом особенностей. Это прежде всего:
сложность и функциональная замкнутость микроэлектронных элементов;
преобладание программной составляющей при реализации функций ЖАТ;
разнообразие микроэлектронной и программируемой техники, а также средств программирования и проектирования;
высокая чувствительность микроэлектронной элементной базы к влияниям внешней среды.
Эти особенности должны быть учтены в процессе общего допуска к эксплуатации устройств и систем ЖАТ.
Одним из основных условий для внедрения новых систем и устройств ЖАТ на магистральном транспорте является наличие сертификата, подтверждающего соответствие разработанной системы или устройства перечню требований, отражающих условия эксплуатации и влияние на обеспечение безопасности перевозочного процесса.
Принять решение о выдаче сертификата можно только на основе информации, которая убедительно свидетельствует о том, что технические решения, конструкция, технология и режимы эксплуатации обеспечивают заявленные характеристики системы (функциональность, безопасность, отказоустойчивость и др.). Наиболее полная информация в отношении реализации требований может быть получена только после завершения работ по доказательству безопасности создаваемого изделия на этапах разработки системы и сертификационных испытаний (рис. 1).
В руководящем документе РД 32 ЦШ 1115842.06-03 «Порядок испытаний и экспертизы средств ЖАТ» предусматривается параллельная работа разработчика и эксперта. Функции координатора на этапе экспертизы и предварительных испытаний выполняет Департамент автоматики и телемеханики. В соответствии с этим документом процесс технической экспертизы включает в себя решение о проведении и само проведение экспертизы и испытаний, оформление и выдачу протоколов испытаний и общего заключения, рассмотрение апелляций и др.
Предметом экспертизы и испытаний являются исходные требования на систему (устройство), концепция обеспечения безопасности, технические и программные решения, программы и методики испытаний, проектная оценка и доказательство безопасности.
Вопросы сертификации организационно закреплены за Регистром сертификации на железнодорожном транспорте.
Учитывая особенности современных средств ЖАТ, перечень сертификационных требований (показателей), во-первых, должен обладать достаточной полнотой и информативностью, позволяющей третьей стороне судить о достигнутых характеристиках системы. Во-вторых, количество сертификационных показателей в нем должно разумно ограничивать процесс испытаний. Такой подход может быть реализован только с учетом работ по доказательству безопасности системы или устройства. Поэтому порядок сертификации предусматривает доказательные материалы, сформированные разработчиком на этапах создания систем и устройств ЖАТ.
В Системе сертификации на федеральном железнодорожном транспорте при обязательной сертификации продукции перечень проверяемых при испытаниях показателей определяется нормами безопасности, в которых документ «Доказательство безопасности», соответствующий ОСТ 32.41-95, является обязательным требованием. Он содержит в полном объеме результаты расчетов, экспертизы, моделирования, испытаний на безопасность, проведенных на этапе разработки, и позволяет значительно снизить объем сертификационных испытаний на этапе серийного производства. В нем, кроме того, имеется подтверждение соответствия системы заданным количественным требованиям безопасности, установленным в виде сертификационных показателей.
Для доказательства безопасности микропроцессорных устройств (МПУ ЖАТ) выделяют экспертные и расчетные методы, стендовые испытания, испытания с использованием машинных моделей и в условиях эксплуатации, а также анализ статистических данных об отказах в процессе эксплуатации системы. Каждый из методов носит ограниченный характер и ориентирован на различные свойства систем и этапы разработки МПУ ЖАТ. Достоверная оценка безопасности микропроцессорных устройств может быть получена только на основании совместного анализа результатов всей совокупности применяемых методов.
При проведении испытаний и экспертизы параллельно процессу разработки вначале обычно приходится проводить автономные проверки отдельных элементов системы, в ходе которых устанавливается соответствие полученных характеристик этих элементов требуемым значения^. Комплексные испытания могут быть начаты с группой средств, образующих автономную подсистему, с постоянным наращиванием состава средств до полного комплекта, соответствующего испытываемой системе. Такой подход был использован при сертификации системы ЭЦ-ЕМ (рис. 2).
Состав средств экспертизы и испытаний должен обеспечивать полноту и достоверность проверок на каждом уровне разработки системы. На этапе автономных испытаний проверяются отдельные подпрограммы, блоки и модули с учетом достаточной простоты и доступности разрабатываемых компонент. При этом нужно учитывать, что каждый последующий этап комплексирования исходных программных и аппаратных компонент будет снижать возможность доступа для их проверки.
Комплексные испытания в основном направлены на проверку взаимодействия между собой интегрированных на данном этапе разработки частей программ и аппаратуры, оценку эффективности системы защиты от сбоев и отказов аппаратных средств. Проверяется также работа системы контроля и локализации отказов, возможность реконфигурации системы и обеспечения защитного состояния.
Требования детализируются и устанавливаются для каждого этапа разработки системы, а технология и организация испытательных работ, привлечение к ним соответствующих средств экспертизы и испытаний должны учитывать принятую последовательность разработки.
Очевидно, что повторить объем испытаний, выполненных на этапах разработки, в рамках сертификационных испытаний не представляется возможным. К этапу сертификации продукт представляет собой интеграцию составляющих элементов системы, что и является определяющим при разработке программ и методик испытаний.
Таким образом, сертификация включает в себя комплекс испытаний, которые направлены на подтверждение внешних характеристик системы или устройства. К таким характеристикам можно отнести: соответствие функциональным требованиям; обеспечение режимов функционирования; устойчивость функционирования при влиянии внешних факторов (климатические, механические воздействия);
электромагнитную совместимость технических средств.
Проведение этих испытаний требует методологического подхода, включающего в себя разработку методик и средств испытаний, выбор критериев оценки соответствия системы заданным требованиям, обоснование полноты и достаточности испытаний.
Более чем десятилетний опыт доказательства безопасности разрабатываемых микропроцессорных систем позволяет утверждать, что в основе повышения качества работ по экспертизе и испытаниям устройств и систем автономных ЖАТ лежит решение четырех проблем: испытаний формирования и представления исходных требований на разрабатываемые устройства и системы ЖАТ;
обеспечения полноты и достоверности результатов испытаний;
унификации средств представления и Уровни описания информации на разных этапах комплексных разработки;
испытаний технических и методических вопросов создания инструментальных средств экспертизы и испытаний.
В рамках реализации этих задач Испытательный центр ЖАТ ПГУПС занимается совершенствованием нормативной базы по разработке, экспертизе и испытаниям средств железнодорожной автоматики и телемеханики, разработкой Федеральных требований по сертификации в ССФЖТ, созданием программно-аппаратных средств обеспечения испытаний и изданием обзорных и методических материалов в области испытаний и сертификации ЖАТ. ИЦ также тесно сотрудничает в области испытаний на безопасность с организациями, не являющимися структурами ОАО «РЖД» (промышленный транспорт, городской электрический транспорт, метрополитен).
В соответствии с принятым порядком проводятся экспертиза и испытания ряда устройств и систем ЖАТ, которые находятся на разных стадиях разработки и внедрения. Сейчас в ИЦ ЖАТ ПГУПС испытываются аппаратура тональных рельсовых цепей (разработчики Ассоциация ВАСТ и НПП «Стальэнерго»), микропроцессорной автоматической переездной сигнализации АПС-МП и микропроцессорной системы полуавтоматической блокировки МПАБ (разработчик УО ВНИИЖ-Та), светодиодные оптические системы (разработчики ФГУП «ПО УОМЗ» и УО ВНИИЖТа), системы переездной сигнализации МАПС и микропроцессорной полуавтоматической блокировки МПБ (разработчик НПЦ «Промэлектроника»). Завершена работа по допуску в опытную эксплуатацию системы микропроцессорной централизации МПЦ-МЗ-Ф (разработчик ЗАО «Форатек AT»).
Результаты этой деятельности наглядно демонстрируют возможность решения проблемы технического обновления средств СЦБ, стоящей перед Департаментом автоматики и телемеханики ОАО «РЖД».
