道岔控制模塊系統(tǒng)可行性分析與研究版本號(hào)修改版本編寫日期審核日期批準(zhǔn)日期發(fā)布日期歸檔日期北京全路通信信號(hào)研究設(shè)計(jì)院上海分院內(nèi)部資料注意保密目錄TOC\o"1-5"\h\z縮寫對(duì)照表3第一部分概念描述及定義4系統(tǒng)描述4投資分析和可行性研究6影響系統(tǒng)RAMS性能的危險(xiǎn)源7系統(tǒng)RAMS性能有關(guān)信息9第二部分系統(tǒng)研發(fā)的RAMS策略12\o"CurrentDocument"系統(tǒng)RAMS要素12道岔控制模塊的安全概念12道岔控制模塊可用性與安全性之間的權(quán)衡13鐵路管理部門關(guān)于信號(hào)設(shè)備安全性與可用性的權(quán)衡13第三部分系統(tǒng)研發(fā)安全計(jì)劃14概述14系統(tǒng)開發(fā)生命周期及文檔14系統(tǒng)生命周期文檔184道岔控制模塊研發(fā)人員任務(wù)分配19第四部分風(fēng)險(xiǎn)分析規(guī)定20風(fēng)險(xiǎn)定義20危險(xiǎn)事件發(fā)生的頻率定義203?危險(xiǎn)事件危險(xiǎn)嚴(yán)重等級(jí)定義20風(fēng)險(xiǎn)估價(jià)方法21風(fēng)險(xiǎn)接受指標(biāo)21德國(guó)的MEM風(fēng)險(xiǎn)接受原則22第五部分風(fēng)險(xiǎn)分析報(bào)告241.道岔控制模塊危險(xiǎn)分析242?危險(xiǎn)發(fā)生的頻率分析273?危險(xiǎn)發(fā)生的頻率和造成的后果分析284?“頻率-后果”矩陣風(fēng)險(xiǎn)分析285.道岔控制模塊安全完善度分析30第六部分參考文獻(xiàn)與資料32縮寫對(duì)照表英文縮寫SW中文描述道岔英文描述Switch轉(zhuǎn)轍機(jī)計(jì)算機(jī)聯(lián)鎖道岔控制模塊MTBFMTBFSMTTRRAMSMeanTimeBetweenFailureMeanTimeBetweenFailureForServiceMeanTimeToRestore平均無(wú)故障時(shí)間平均無(wú)運(yùn)行故障時(shí)間平均恢復(fù)時(shí)間Reliability,Availability,MaintainabilityandSafety可靠性、可用性、可維護(hù)性和安全性第一部分概念描述及定義1系統(tǒng)描述1?1系統(tǒng)研究背景鐵路列車得以高效、安全的運(yùn)行，是通過(guò)多種因素的集合，包括車上、軌旁、站內(nèi)及控制中心的設(shè)備，通過(guò)計(jì)算機(jī)和網(wǎng)絡(luò)等技術(shù)、人工控制和機(jī)械手段綜合應(yīng)用得以實(shí)現(xiàn)。為適應(yīng)列車的高速運(yùn)行，車站室內(nèi)控制普遍采用了計(jì)算機(jī)聯(lián)鎖系統(tǒng)，但在控制轉(zhuǎn)轍機(jī)和別的一些室外設(shè)備時(shí)，仍采用安全型繼電器電路；在提速和高速線路上普遍采用大號(hào)碼道岔，目前我國(guó)在這些大號(hào)碼道岔上，采用多臺(tái)轉(zhuǎn)轍機(jī)牽引方式，每臺(tái)轉(zhuǎn)轍機(jī)在車站機(jī)械室內(nèi)都有一套相應(yīng)的繼電器控制組合，以9機(jī)牽引的30、38號(hào)道岔為例，室內(nèi)控制電路即需10套組合，占用一個(gè)組合架位置。這些繼電器的大量采用，一方面導(dǎo)致車站機(jī)械室的面積大大增加；另一方面出現(xiàn)故障頻率高，尤其是繼電器電路不能完成自身故障和狀態(tài)診斷，無(wú)法做到預(yù)防性的維護(hù)。繼電器的維護(hù)和維修也為使用者增加了工作量。道岔控制模塊做為一個(gè)電子控制模塊，可以與各種制式的微機(jī)聯(lián)鎖和繼電電氣集中結(jié)合，并可以具有自我診斷和報(bào)警功能，實(shí)現(xiàn)小型化、模塊化，為解決上述問(wèn)題，提供了方法。當(dāng)前，Siemens.GE、ALSTOM等大公司均有自己的道岔電子控制模塊。其中西門子公司的道岔控制模塊在廣州地鐵中應(yīng)用，在青藏鐵路，采用了GE公司的道岔控制模塊。而我國(guó)目前只有蘭州交通大學(xué)進(jìn)行了相關(guān)的研究，但其產(chǎn)品未得到廣泛的推廣應(yīng)用。2007年鐵道部在鐵路技術(shù)裝備政策里提出發(fā)展全電子聯(lián)鎖，07年底在鐵道部聯(lián)鎖研討會(huì)上對(duì)各聯(lián)鎖生產(chǎn)廠家研發(fā)全電子聯(lián)鎖提出要求。在此形式下，研制我院自主知識(shí)產(chǎn)權(quán)的道岔控制電子模塊巳是很有必要。我院做為鐵路道岔轉(zhuǎn)換控制電路的標(biāo)準(zhǔn)電路設(shè)計(jì)制訂單位，對(duì)道岔控制電路的研究一直延續(xù)至今，對(duì)電路的了解和理論分析也在國(guó)內(nèi)領(lǐng)先。研制設(shè)計(jì)院自主知識(shí)產(chǎn)權(quán)的道岔控制模塊，可以保持和提高我院在道岔轉(zhuǎn)換技術(shù)領(lǐng)域的領(lǐng)先地位。設(shè)計(jì)院完全有條件和能力研究道岔控制電子模塊。1.2系統(tǒng)研究范圍與目的在計(jì)算機(jī)聯(lián)鎖系統(tǒng)中，道岔控制電路是控制道岔轉(zhuǎn)換的關(guān)鍵一環(huán)，它不僅要按照聯(lián)鎖指令控制道岔轉(zhuǎn)向正確的位置，還要正確的識(shí)別出道岔目前所在的位置，并且給出表示。其中任何一個(gè)環(huán)節(jié)出現(xiàn)問(wèn)題，將可能導(dǎo)致災(zāi)難性后果。道岔控制模塊系統(tǒng)主要是實(shí)現(xiàn)按照指令對(duì)道岔進(jìn)行轉(zhuǎn)換，正確識(shí)別道岔位置，并且給出表示信息。道岔控制模塊控制轉(zhuǎn)轍機(jī)的接口需適用目前鐵路所用的兩種電路（五線交流和四線直流）。1.3系統(tǒng)運(yùn)行外部環(huán)境自然環(huán)境道岔控制模塊系統(tǒng)的主要部件由電子元件與電力控制元件組成，控制模塊安裝在計(jì)算機(jī)房?jī)?nèi)部。因此，自然環(huán)境對(duì)控制模塊系統(tǒng)的影響是非常小的。一般情況下，環(huán)境溫度范圍為室內(nèi)-5~40C、室外-40~70G濕度為室內(nèi)w95%室外100%（不結(jié)露），平均氣壓為70~106kpa（相當(dāng)于海拔約3000m以下）。潛在系統(tǒng)接口除了必然的與轉(zhuǎn)轍機(jī)和車站聯(lián)鎖系統(tǒng)交互外，道岔控制模塊系統(tǒng)還可能與監(jiān)測(cè)系統(tǒng)通信。1.4系統(tǒng)RAMS性能系統(tǒng)RAMS性能系統(tǒng)RAMS性能，是指系統(tǒng)的可靠性（Reliability）、可用性（Availability）、可維護(hù)性（Maintainability）和安全性（Safety）?？煽啃韵到y(tǒng)必須采取高可靠性措施，以降低系統(tǒng)故障率，這些措施至少包括：*采用多重冗余技術(shù)；*選用巳證明具有高可靠性的標(biāo)準(zhǔn)元器件；*減少會(huì)中斷運(yùn)行的單點(diǎn)故障；*必要的情況下，具有可靠的后備運(yùn)行模式。由于控制模塊系統(tǒng)的原因?qū)е碌啦碓?5分鐘內(nèi)不能轉(zhuǎn)換和給出位置表示的故障應(yīng)被認(rèn)為是控制模塊系統(tǒng)“運(yùn)行故障”由于維修引起、人為破壞、自然災(zāi)害、其他無(wú)關(guān)人員干擾、電源停電時(shí)間超過(guò)規(guī)定值或其他系統(tǒng)導(dǎo)致控制模塊系統(tǒng)中斷引起的故障，不認(rèn)為是“運(yùn)行故障”。道岔控制模塊系統(tǒng)，須滿足規(guī)定的平均無(wú)故障時(shí)間（MTBF）和平均無(wú)運(yùn)行故障時(shí)間（MTBFS）要求。C.可用性系統(tǒng)可用性是系統(tǒng)可靠性和可維護(hù)性的綜合指標(biāo)。道岔控制模塊系統(tǒng)應(yīng)該滿足規(guī)定的可用性指標(biāo)?？删S護(hù)性控制模塊系統(tǒng)設(shè)計(jì)應(yīng)考慮最少的調(diào)整和維護(hù)。控制模塊應(yīng)包括有適當(dāng)?shù)臏y(cè)試點(diǎn)、故障隔離及診斷措施，以減少控制模塊修復(fù)時(shí)間和維護(hù)成本。控制模塊系統(tǒng)的擴(kuò)展功能是具有自檢和自診斷功能，并在可能的情況下具備遠(yuǎn)程測(cè)試和診斷功能，模塊故障診斷應(yīng)能定位到元件組。系統(tǒng)的平均修復(fù)時(shí)間（MTTR）應(yīng)該滿足規(guī)定要求。安全性道岔控制模塊系統(tǒng)涉及行車安全，必須符合故障-安全原則，并具有規(guī)定的安全等級(jí)。涉及行車安全的系統(tǒng)設(shè)備，在錯(cuò)誤操作發(fā)出時(shí)，不應(yīng)導(dǎo)致危險(xiǎn)側(cè)輸出。2投資分析和可行性研究由于對(duì)道岔控制模塊高可靠性和高使用性的要求，須從項(xiàng)目開始設(shè)計(jì)就對(duì)模塊的全壽命成本進(jìn)行嚴(yán)格控制，通過(guò)采用長(zhǎng)壽命結(jié)構(gòu)設(shè)計(jì)，注重高可靠性、維修性設(shè)計(jì)，使道岔控制模塊的可靠性和安全性得以提高，從而降低維護(hù)成本。在項(xiàng)目管理上運(yùn)用以歐標(biāo)安全認(rèn)證為核心的研發(fā)手段和與其接軌的生產(chǎn)管理和質(zhì)保體系，在很大程度上也降低了研制和生產(chǎn)成本。研發(fā)成本的降低主要體現(xiàn)在將來(lái)的產(chǎn)品對(duì)現(xiàn)場(chǎng)的適應(yīng)性得到保證，從而避免出現(xiàn)研發(fā)失敗的結(jié)果或重新研究的過(guò)程。為達(dá)到研發(fā)全過(guò)程的控制，相對(duì)于以前設(shè)計(jì)院的產(chǎn)品研發(fā)來(lái)說(shuō)，加大投入是必然的，只有這樣才有可能組織充分的人力資源和設(shè)備資源，來(lái)保證項(xiàng)目的研發(fā)按照所計(jì)劃的要求進(jìn)行。2.1系統(tǒng)投資分析對(duì)系統(tǒng)RAMS的影響由于道岔控制模塊系統(tǒng)的高安全性、高可靠性要求，需要對(duì)直接控制設(shè)備的硬件與軟件等進(jìn)行高安全完善度級(jí)別的設(shè)計(jì)和開發(fā)。系統(tǒng)的設(shè)計(jì)和開發(fā)需要比較大的開發(fā)人員投入，系統(tǒng)的研究投資應(yīng)有充分的保障。倘若沒有足夠的資金和人力的投入，在一些關(guān)鍵點(diǎn)上，勢(shì)必對(duì)控制模塊系統(tǒng)的RAMS性能造成影響，嚴(yán)重時(shí)，甚至導(dǎo)致控制模塊系統(tǒng)研制失敗。2.2系統(tǒng)可行性研究對(duì)系統(tǒng)RAMS的影響控制模塊的任何一個(gè)部分的技術(shù)可行性研究均會(huì)對(duì)系統(tǒng)的整體RAMS性能產(chǎn)生影響，比如硬件的選型、軟件的編制等。經(jīng)過(guò)對(duì)道岔控制模塊系統(tǒng)初步的分析，我們認(rèn)為，道岔控制模塊的設(shè)計(jì)主要問(wèn)題在于硬件的設(shè)計(jì)和軟件的編制方面。根據(jù)前期所做的工作，通過(guò)與國(guó)內(nèi)外有經(jīng)驗(yàn)的公司的廣泛合作和努力，研發(fā)出具有自主知識(shí)產(chǎn)權(quán)的高性能、高可靠性的道岔控制模塊系統(tǒng)是完全有可能的。3影響系統(tǒng)RAMS性能的危險(xiǎn)源鐵路系統(tǒng)的RAMS性能受以下三方面的影響：1）控制模塊生命周期各階段，系統(tǒng)內(nèi)部引入的失效源一一系統(tǒng)失效源；2）運(yùn)行操作中施加給控制模塊的失效源一一運(yùn)行失效源；3）維護(hù)過(guò)程中施加給控制模塊的失效源一一維護(hù)失效源。這三方面的失效源可能互相影響，互相作用。3.1與其他系統(tǒng)的交互將帶來(lái)系統(tǒng)失效風(fēng)險(xiǎn)與聯(lián)鎖系統(tǒng)交互與供電系統(tǒng)交互與監(jiān)測(cè)系統(tǒng)交互

3.2與人的交互亦將帶來(lái)系統(tǒng)失效風(fēng)險(xiǎn)維護(hù)人員---設(shè)備運(yùn)營(yíng)信號(hào)維護(hù)工區(qū)系統(tǒng)開發(fā)組織和管理者系統(tǒng)需求調(diào)查者系統(tǒng)設(shè)計(jì)與開發(fā)者系統(tǒng)測(cè)試者系統(tǒng)驗(yàn)收和確認(rèn)者工程項(xiàng)目管理者工程施工人員4.1系統(tǒng)的RAMS需求和性能道岔控制模塊的性能指標(biāo)為：道岔控制模塊的響應(yīng)時(shí)間要求滿足：表示：轉(zhuǎn)轍機(jī)設(shè)備狀態(tài)變化至道岔控制模塊反應(yīng)不大于100毫秒;控制：控制模塊收到聯(lián)鎖轉(zhuǎn)換命令至控制模塊輸出執(zhí)行不大于200毫秒。安全系統(tǒng)導(dǎo)致危險(xiǎn)側(cè)的故障率低于10-8/工作小時(shí)；可靠性指標(biāo)MTBF道岔控制模塊單機(jī)單通道：1X105小時(shí)；可用性指標(biāo)道岔控制模塊的可用性指標(biāo)應(yīng)達(dá)到99.999%。4.2影響道岔控制模塊RAMS性能的危險(xiǎn)源詳情與道岔控制模塊交互的系統(tǒng)：聯(lián)鎖系統(tǒng)道岔控制模塊從聯(lián)鎖接收轉(zhuǎn)換命令信息，向轉(zhuǎn)轍機(jī)發(fā)送轉(zhuǎn)換指令。并得到轉(zhuǎn)轍機(jī)的位置信息，向聯(lián)鎖發(fā)送轉(zhuǎn)轍機(jī)位置信息。供電系統(tǒng)道岔轉(zhuǎn)換模塊從供電系統(tǒng)受電，并且控制供電系統(tǒng)向轉(zhuǎn)轍機(jī)供電。監(jiān)測(cè)系統(tǒng)道岔控制模塊向監(jiān)測(cè)系統(tǒng)提供自檢信息和故障信息。與道岔控制模塊交互的人員：維護(hù)人員道岔控制模塊的維護(hù)人員是信號(hào)維護(hù)工區(qū)的工人。一般情況下，他們精通信號(hào)系統(tǒng)，對(duì)計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)有較少了解，對(duì)電子元器件基本不了解。系統(tǒng)開發(fā)組織和管理者一般情況下，系統(tǒng)的開發(fā)組織和管理者，有著較為豐富的工程施工、系統(tǒng)集成和開發(fā)的經(jīng)驗(yàn)，良好的溝通能力，有著相似、相近系統(tǒng)或許多的系統(tǒng)開發(fā)管理經(jīng)驗(yàn)。系統(tǒng)需求調(diào)查者一般情況下，系統(tǒng)的需求調(diào)查者，有著較為豐富的工程施工、系統(tǒng)集成和開發(fā)的經(jīng)驗(yàn)，良好的溝通能力，能在最短時(shí)間內(nèi)理解用戶的業(yè)務(wù)需求，具備將用戶業(yè)務(wù)需求進(jìn)行整理并轉(zhuǎn)化為具體系統(tǒng)需求的經(jīng)驗(yàn)和能力。實(shí)際情況是，道岔控制模塊的需求調(diào)查者，有豐富的控制電路設(shè)計(jì)經(jīng)驗(yàn)，但對(duì)電子元器件并不特別熟悉，缺乏電子元器件設(shè)計(jì)的經(jīng)驗(yàn)。系統(tǒng)設(shè)計(jì)與開發(fā)者道岔控制模塊的設(shè)計(jì)與開發(fā)者，均有著豐富系統(tǒng)設(shè)計(jì)和開發(fā)經(jīng)驗(yàn)，對(duì)類似系統(tǒng)的開發(fā)有一定經(jīng)驗(yàn)，但對(duì)鐵路信號(hào)的業(yè)務(wù)并不特別熟悉，缺乏鐵路信號(hào)轉(zhuǎn)轍機(jī)控制邏輯經(jīng)驗(yàn)。系統(tǒng)測(cè)試者系統(tǒng)測(cè)試者，均有著豐富系統(tǒng)測(cè)試經(jīng)驗(yàn)，特別是測(cè)試相似或相近系統(tǒng)的經(jīng)驗(yàn)。當(dāng)前，道岔控制模塊的測(cè)試者缺乏嚴(yán)格的、系統(tǒng)的測(cè)試經(jīng)驗(yàn)。系統(tǒng)驗(yàn)收和確認(rèn)者系統(tǒng)驗(yàn)收和確認(rèn)者一般為系統(tǒng)需求調(diào)查者和第三方安全認(rèn)證人員。必要的情況下，有可能征求行業(yè)管理者和現(xiàn)場(chǎng)維護(hù)人員的意見。工程項(xiàng)目管理者道岔控制模塊的工程項(xiàng)目管理，在設(shè)計(jì)院具有一大批具有豐富工程管理經(jīng)驗(yàn)和資質(zhì)的工程師。工程施工人員同樣地，設(shè)計(jì)院具有一大批具有豐富工程施工經(jīng)驗(yàn)的工程師。4.3當(dāng)前的安全政策和安全目標(biāo)當(dāng)前，歐洲主要參照EN50126、EN50128和EN50129等規(guī)范和標(biāo)準(zhǔn)進(jìn)行鐵路安全系統(tǒng)的研發(fā)和評(píng)估。為了與國(guó)際接軌，在研發(fā)自主知識(shí)產(chǎn)權(quán)的道岔控制模塊時(shí)，同樣按照以上規(guī)范和標(biāo)準(zhǔn)進(jìn)行研發(fā)和管理控制。4.4相關(guān)安全法律法規(guī)EN50126:RailwayApplicationsTheSpecificationandDemonstrationofDependability.Reliability,MaintainabilityandSafety(RAMS),1999EN50129:RailwayApplications—SafetyRelatedElectronicSystems,December1994EN50128:RailwayApplications:SoftwareforRailwaycontrolandProtectionSystems,February,1994上述的歐標(biāo)巳成為鐵道部標(biāo)準(zhǔn)。第二部分系統(tǒng)研發(fā)的RAM策略1系統(tǒng)RAMS要素道岔控制模塊的RAMS是指：可靠性Reliability.可用性Availability.可維護(hù)性Maintainability和安全性Safety。安全性和可用性之間有著這樣的內(nèi)在聯(lián)系：二者任何一方的削弱或兩者之間的不權(quán)衡都將導(dǎo)致產(chǎn)生不可靠的系統(tǒng)。道岔控制模塊的RAMS的四元素之間的關(guān)系見下圖所示。道岔控制模塊安全性可用性可靠性和可維護(hù)性運(yùn)營(yíng)和維護(hù)系統(tǒng)達(dá)到預(yù)計(jì)的安全性和可用性目標(biāo)，只能通過(guò)滿足系統(tǒng)的可靠性、可維護(hù)性需求，同時(shí)控制長(zhǎng)期的維護(hù)和運(yùn)行操作行為及系統(tǒng)環(huán)境來(lái)獲得。2道岔控制模塊的安全概念由于控制模塊系統(tǒng)的原因?qū)е碌啦碓?5分鐘內(nèi)不能轉(zhuǎn)換和給出位置表示的故障應(yīng)被認(rèn)為是控制模塊系統(tǒng)“運(yùn)行故障”^由于維修引起、人為破壞、自然災(zāi)害、其他無(wú)關(guān)人員干擾、電源停電時(shí)間超過(guò)規(guī)定值或其他系統(tǒng)導(dǎo)致控制模塊系統(tǒng)中斷引起的故障，不認(rèn)為是“運(yùn)行故障”。道岔控制模塊單機(jī)單通道：1x105小時(shí)；道岔控制模塊的可用性指標(biāo)應(yīng)達(dá)到99.999%。道岔控制模塊導(dǎo)致危險(xiǎn)側(cè)的故障率低于10-8/工作小時(shí)；3道岔控制模塊可用性與安全性之間的權(quán)衡控制模塊的可用性計(jì)算方法如下：A=MUT/(MUT+MDT)A：可用性(Availability)MUT:平均在用時(shí)間(meanuptime)MDT:平均停用時(shí)間(meandowntime)以A=99.999%、系統(tǒng)服役15年、每年365天計(jì)算，MDT=1.314小時(shí)，即系統(tǒng)平均停用時(shí)間不大于1.3小時(shí)。根據(jù)鐵路信號(hào)系統(tǒng)特點(diǎn)，一般地，在影響系統(tǒng)安全性時(shí)，可以適當(dāng)降低系統(tǒng)的可用性，道岔控制模塊也如此。4鐵路管理部門關(guān)于信號(hào)設(shè)備安全性與可用性的權(quán)衡在鐵路信號(hào)設(shè)備管理部門，對(duì)信號(hào)設(shè)備的安全性要求是一個(gè)絕對(duì)指標(biāo)，認(rèn)為有關(guān)聯(lián)鎖控制的設(shè)備，在其工作周期內(nèi)，任何情況下不應(yīng)該發(fā)生危險(xiǎn)側(cè)故障；同時(shí)，也對(duì)設(shè)備的可用性有較高的要求。為最大限度的滿足信號(hào)設(shè)備管理部門的這個(gè)矛盾的期望，系統(tǒng)的設(shè)計(jì)和研發(fā)需要嚴(yán)格按照歐標(biāo)安全要求進(jìn)行，通過(guò)安全認(rèn)證以滿足對(duì)系統(tǒng)安全性的要求；并且通過(guò)采用冗余或后備的方式滿足對(duì)系統(tǒng)可用性的要求。第三部分系統(tǒng)研發(fā)安全計(jì)劃1概述鑒于道岔控制模塊的安全性要求，為其開發(fā)定義專門的安全計(jì)劃是非常必要的。第三部分系統(tǒng)研發(fā)安全計(jì)劃為了滿足道岔控制模塊的安全性要求，在道岔控制模塊開發(fā)的整個(gè)生命周期過(guò)程中，對(duì)每個(gè)步驟均需定義嚴(yán)格的RAMS任務(wù)，并對(duì)完成相應(yīng)任務(wù)的人員的資質(zhì)進(jìn)行評(píng)價(jià)。2系統(tǒng)開發(fā)生命周期及文檔2.1系統(tǒng)可行性研究任務(wù)：定義道岔控制模塊的概要工作，考察類似系統(tǒng)的RAMS及其策略與計(jì)劃。建立RAM策略和安全系統(tǒng)計(jì)劃。進(jìn)行風(fēng)險(xiǎn)分析，同時(shí)定義道岔控制模塊可以接受的風(fēng)險(xiǎn)標(biāo)準(zhǔn)。提交文檔：“系統(tǒng)可行性分析與研究”具體包括系統(tǒng)概念描述、系統(tǒng)定義、RAMS策略、系統(tǒng)安全性計(jì)劃和風(fēng)險(xiǎn)分析報(bào)告。2.2系統(tǒng)需求分析任務(wù)：完成道岔控制模塊的功能需求分析等。表述道岔控制對(duì)RAMS的需求。定義與RAMS相關(guān)的功能需求。定義道岔控制模塊的RAMS確認(rèn)驗(yàn)收標(biāo)準(zhǔn)。提交文檔：a.“系統(tǒng)需求規(guī)格說(shuō)明書”

具體包括系統(tǒng)的一般需求、RAMS需求、系統(tǒng)確認(rèn)計(jì)劃和a.“系統(tǒng)需求規(guī)格說(shuō)明書”具體包括系統(tǒng)的一般需求、RAMS需求、系統(tǒng)確認(rèn)計(jì)劃和RAMS計(jì)劃提交“系統(tǒng)需求驗(yàn)證報(bào)告”。開發(fā)主要參與人員討論。2.3系統(tǒng)設(shè)計(jì)任務(wù)：設(shè)計(jì)控制模塊的體系結(jié)構(gòu)。對(duì)2.2中的功能，包括RAMS需求進(jìn)行分配。對(duì)模塊部件進(jìn)行功能需求分析和確定確認(rèn)驗(yàn)收標(biāo)準(zhǔn)。對(duì)模塊部件進(jìn)行RAMS需求分析和確定確認(rèn)驗(yàn)收標(biāo)準(zhǔn)。必要時(shí)，修改系統(tǒng)安全計(jì)劃（本計(jì)劃）。提交文檔：“系統(tǒng)設(shè)計(jì)說(shuō)明書”具體包括系統(tǒng)體系結(jié)構(gòu)說(shuō)明、系統(tǒng)需求分配等。驗(yàn)證：提交“系統(tǒng)設(shè)計(jì)驗(yàn)證報(bào)告”。開發(fā)主要參與人員討論。2.4系統(tǒng)策劃任務(wù)：策劃道岔控制模塊開發(fā)計(jì)劃策劃道岔控制模塊質(zhì)量保證計(jì)劃策劃道岔控制模塊配置管理計(jì)劃策劃道岔控制模塊軟、硬件集成計(jì)劃提交文檔：“系統(tǒng)開發(fā)計(jì)劃”“系統(tǒng)質(zhì)量保證計(jì)劃”（含系統(tǒng)驗(yàn)證計(jì)劃和系統(tǒng)安全性計(jì)劃）C.“系統(tǒng)配置管理計(jì)劃”“系統(tǒng)軟、硬件集成計(jì)劃”2.5系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)2.5.1軟件系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)任務(wù)：軟件需求分析軟件設(shè)計(jì)軟件模塊設(shè)計(jì)軟件編碼軟件模塊測(cè)試軟件集成提交文檔：“軟件需求規(guī)格說(shuō)明書”“軟件需求測(cè)試規(guī)格說(shuō)明書”“軟件設(shè)計(jì)規(guī)格說(shuō)明書”TOC\o"1-5"\h\z“軟件設(shè)計(jì)測(cè)試規(guī)格說(shuō)明書”“軟件集成計(jì)劃”“軟件模塊設(shè)計(jì)規(guī)格說(shuō)明書”“軟件模塊測(cè)試規(guī)格說(shuō)明書”“軟件源代碼與支持文檔”“軟件集成報(bào)告”驗(yàn)證：對(duì)軟件需求及需求測(cè)試規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成’軟件需求驗(yàn)證報(bào)口。十”對(duì)軟件設(shè)計(jì)規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成“軟件設(shè)計(jì)驗(yàn)證報(bào)告口。對(duì)軟件模塊設(shè)計(jì)與測(cè)試規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成，軟件模塊設(shè)計(jì)驗(yàn)證報(bào)告”。對(duì)軟件源代碼進(jìn)行測(cè)試驗(yàn)證，形成“軟件源代碼驗(yàn)證報(bào)告”

對(duì)軟件模塊進(jìn)行測(cè)試，形成“軟件模塊測(cè)試報(bào)告2.5.2硬件系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)任務(wù)：硬件需求分析硬件設(shè)計(jì)與開發(fā)硬件生產(chǎn)制造硬件測(cè)試硬件組裝提交文檔：“硬件需求規(guī)格說(shuō)明書”“硬件需求測(cè)試規(guī)格說(shuō)明書”“硬件設(shè)計(jì)規(guī)格說(shuō)明書”“硬件設(shè)計(jì)測(cè)試規(guī)格說(shuō)明書”“硬件集成計(jì)劃”“硬件模塊設(shè)計(jì)規(guī)格說(shuō)明書”“硬件模塊測(cè)試規(guī)格說(shuō)明書”“硬件元器件統(tǒng)計(jì)與支持文檔“硬件集成報(bào)告”驗(yàn)證：a.對(duì)硬件需求及需求測(cè)試規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成’硬件需求驗(yàn)證報(bào)口。對(duì)硬件設(shè)計(jì)規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成“硬件設(shè)計(jì)驗(yàn)證報(bào)對(duì)硬件模塊設(shè)計(jì)與測(cè)試規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成a.對(duì)硬件需求及需求測(cè)試規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成’硬件需求驗(yàn)證報(bào)口。對(duì)硬件設(shè)計(jì)規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成“硬件設(shè)計(jì)驗(yàn)證報(bào)對(duì)硬件模塊設(shè)計(jì)與測(cè)試規(guī)格說(shuō)明書進(jìn)行討論驗(yàn)證，形成證報(bào)告”。十”生告。'硬件模塊設(shè)計(jì)驗(yàn)對(duì)硬件元器件選型進(jìn)行測(cè)試驗(yàn)證，形成“硬件元器件驗(yàn)證報(bào)告對(duì)硬件模塊進(jìn)行測(cè)試或仿真，形成“硬件模塊測(cè)試仿真報(bào)告”2.5.3軟、硬件系統(tǒng)集成a.軟、硬件系統(tǒng)集成輸出文檔：a.“軟硬件集成報(bào)告”驗(yàn)證：a.對(duì)軟、硬件集成模塊進(jìn)行型式試驗(yàn)驗(yàn)證，形成“道岔控制模塊驗(yàn)證報(bào)告2.6系統(tǒng)確認(rèn)驗(yàn)收任務(wù)：a.根據(jù)系統(tǒng)確認(rèn)標(biāo)準(zhǔn)，對(duì)系統(tǒng)進(jìn)行確認(rèn)驗(yàn)收。輸出文檔：“道岔控制模塊維護(hù)手冊(cè)”“用戶使用手冊(cè)”“道岔控制模塊確認(rèn)報(bào)告”“道岔控制模塊驗(yàn)收評(píng)估報(bào)告”由研發(fā)小組之外的第三方測(cè)試驗(yàn)收人員提供。2.7系統(tǒng)運(yùn)行維護(hù)任務(wù)：根據(jù)系統(tǒng)維護(hù)規(guī)范，對(duì)系統(tǒng)進(jìn)行日常維護(hù)。對(duì)系統(tǒng)的具體工程項(xiàng)目進(jìn)行性能檢測(cè)。輸出文檔：“道岔控制模塊運(yùn)行維護(hù)報(bào)告”“道岔控制模塊性能監(jiān)視分析報(bào)告”3系統(tǒng)生命周期文檔copy/pastea.所有文檔以簽字的硬拷貝為準(zhǔn)，文件交換和傳閱以內(nèi)容不可的pdf文件格式進(jìn)行電子拷貝。copy/paste所有文檔的書寫以Microsoftoffice2000為工具（定稿后轉(zhuǎn)為內(nèi)容不可copy/paste的pdf文件格式），文檔規(guī)范參見設(shè)計(jì)院質(zhì)量體系文件中相關(guān)規(guī)定執(zhí)行。所有文件定稿后，Microsoftoffice2000格式和pdf文檔統(tǒng)一歸檔。簽字的硬拷貝統(tǒng)一歸檔，經(jīng)批準(zhǔn)后可以復(fù)印使用。4道岔控制模塊研發(fā)人員任務(wù)分配角色責(zé)任資質(zhì)總體把關(guān)、系統(tǒng)設(shè)計(jì)系統(tǒng)設(shè)計(jì)、技術(shù)負(fù)責(zé)系統(tǒng)硬件設(shè)計(jì)負(fù)責(zé)人系統(tǒng)軟件設(shè)計(jì)負(fù)責(zé)人系統(tǒng)集成測(cè)試負(fù)責(zé)人第四部分風(fēng)險(xiǎn)分析規(guī)定?風(fēng)險(xiǎn)定義風(fēng)險(xiǎn)的概念是兩個(gè)因素的組合：第四部分風(fēng)險(xiǎn)分析規(guī)定一導(dǎo)致危險(xiǎn)的事件或事件組合發(fā)生的可能性或發(fā)生頻率；一危險(xiǎn)所造成的后果。在道岔控制模塊生命周期的許多階段，負(fù)責(zé)相應(yīng)階段工作的負(fù)責(zé)者均應(yīng)該進(jìn)行風(fēng)險(xiǎn)分析，同時(shí)風(fēng)險(xiǎn)分析結(jié)果應(yīng)該形成文檔并歸檔。?危險(xiǎn)事件發(fā)生的頻率定義分類描述頻繁發(fā)生Frequent頻繁發(fā)生或連續(xù)發(fā)生。很可能發(fā)生Probable經(jīng)常發(fā)生。偶然發(fā)生Occasional有可能發(fā)生。極少可能發(fā)生Remote不易但有可能（極少）發(fā)生。不可能發(fā)生Improbable基本不會(huì)發(fā)生，但不完全排除發(fā)生的可能。決不可能發(fā)生Incredible絕對(duì)不會(huì)發(fā)生。?危險(xiǎn)事件危險(xiǎn)嚴(yán)重等級(jí)定義嚴(yán)重等級(jí)對(duì)人員和環(huán)境的后果對(duì)系統(tǒng)服務(wù)的后果災(zāi)難的Catastrophic人員大量傷亡或?yàn)?zāi)難性的環(huán)境污染；大宗財(cái)產(chǎn)損失或使局面處于失控狀態(tài)。系統(tǒng)報(bào)廢。危急的Critical少量人員死亡或嚴(yán)重受傷或者嚴(yán)重環(huán)境污染；引起嚴(yán)重職業(yè)病或一定數(shù)額財(cái)產(chǎn)損失。系統(tǒng)嚴(yán)重?fù)p壞。不重要的Marginal人員輕傷或?qū)Νh(huán)境形成嚴(yán)重威脅。引起輕度職業(yè)病或部分財(cái)產(chǎn)損失。系統(tǒng)輕度損壞。無(wú)關(guān)緊要的Insignificant不重要的損失。很小的系統(tǒng)損壞。4?風(fēng)險(xiǎn)估價(jià)方法風(fēng)險(xiǎn)評(píng)估應(yīng)將危險(xiǎn)發(fā)生的頻率及其造成的后果的嚴(yán)重程度一并考慮，估價(jià)危險(xiǎn)的風(fēng)險(xiǎn)級(jí)別。道岔控制模塊的開發(fā)，將采用“頻率-后果”矩陣進(jìn)行風(fēng)險(xiǎn)分析。如下表所示。危險(xiǎn)事件發(fā)生的頻率風(fēng)險(xiǎn)等級(jí)頻繁發(fā)生Frequent很可能發(fā)生Probable偶然發(fā)生Occasional極少可能發(fā)生Remote不可能發(fā)生Improbable決不可能發(fā)生Incredible無(wú)關(guān)緊要的Insignificant不重要的Marginal危急的Critical災(zāi)難的Catastrophic危險(xiǎn)事件后果嚴(yán)重程度頻率-后果”矩陣5.風(fēng)險(xiǎn)接受指標(biāo)風(fēng)險(xiǎn)接受應(yīng)該基于一般的接受原則。有許多原則可以采用，如英國(guó)采用的ALARP原則(AsLowAsReasonablyPracticable)、德國(guó)的MEM原則(MinimumEndogenousMortality)和法國(guó)的GAMAB原則(GlobalementAuMoinsAussiBon)等。我國(guó)所采用的鐵路和軌道交通信號(hào)系統(tǒng)比較多的采用德國(guó)鐵路規(guī)范，制式也與德國(guó)相似，且德國(guó)向有規(guī)范嚴(yán)格的傳統(tǒng)，建議采用德國(guó)的MEM原則。下表定義了風(fēng)險(xiǎn)定性分類及對(duì)每類所應(yīng)采取的行動(dòng)。風(fēng)險(xiǎn)類別行動(dòng)無(wú)法忍受的Intolerable必須消除。不希望看到的Undesirable只有當(dāng)消除風(fēng)險(xiǎn)不可行，并經(jīng)鐵路管理部門或安全管理部門回意后才可接受?？梢匀萑痰腡olerable給與充分的控制，并經(jīng)鐵路管理部門同意后可以接受?？梢院雎缘腘egligible可不經(jīng)鐵路管理部門同意即可接受。風(fēng)險(xiǎn)等級(jí)危險(xiǎn)事件發(fā)生的頻率頻繁發(fā)生Frequent彳艮可能發(fā)生Probable偶然發(fā)生Occasional極風(fēng)險(xiǎn)等級(jí)危險(xiǎn)事件發(fā)生的頻率頻繁發(fā)生Frequent彳艮可能發(fā)生Probable偶然發(fā)生Occasional極少可能發(fā)生Remote不可能發(fā)生Improbable決不可能發(fā)生IncredibleF面是風(fēng)險(xiǎn)估價(jià)舉例可以忽略的可以忽略的可以忽略的可以容忍的可以容忍的可以忽略的可以忽略的可以忽略的可以忽略的無(wú)關(guān)緊要的不重要的危急的災(zāi)難的InsignificantMarginalCriticalCatastrophic危險(xiǎn)事件后果嚴(yán)重程度6.德國(guó)的MEM風(fēng)險(xiǎn)接受不原望看曷的意外死亡發(fā)生出于多種不同原因一娛樂(lè)和體育（沖可以容忍的一家務(wù)勞動(dòng)（切割草坪等忍）的—操作機(jī)器—交通運(yùn)輸可以容忍的不希望看到的不希望看到的不包括以下情形:疾病造成的死亡天生畸形造成的死亡這些原因造成的每年死亡人數(shù)的百分比依據(jù)人的年齡段的不同而變化。個(gè)風(fēng)險(xiǎn)參考為“內(nèi)在的死亡率”“R”。6.2在發(fā)達(dá)國(guó)家，R對(duì)5到15歲年齡組而言是最低的。這個(gè)“最小內(nèi)在死亡率”Rm由以下公式?jīng)Q定：Rm=2*10-4致死/人*年6.3從以上可以得出以下規(guī)則：“交通運(yùn)輸新系統(tǒng)帶來(lái)的危險(xiǎn)不應(yīng)該顯著增加數(shù)字Rm”。在實(shí)際工作中，可以參考以下數(shù)字：Rj三10-5致死/人*年R2三10-4重傷從*年R3三10-3輕傷從*年第五部分風(fēng)險(xiǎn)分析報(bào)告1?道岔控制模塊危險(xiǎn)分析1.1道岔控制模塊正常運(yùn)行道岔控制模塊正常運(yùn)行時(shí)，必須考慮如下因素對(duì)控制模塊的危險(xiǎn)：第五部分風(fēng)險(xiǎn)分析報(bào)告硬件設(shè)計(jì)的缺陷軟件設(shè)計(jì)的缺陷溫度變化對(duì)控制模塊的影響這些因素均可能對(duì)道岔控制模塊造成嚴(yán)重后果。嚴(yán)格講，這些均屬于控制模塊設(shè)計(jì)開發(fā)的需考慮的問(wèn)題范疇。1.2道岔控制模塊出錯(cuò)條件當(dāng)來(lái)自計(jì)算機(jī)聯(lián)鎖系統(tǒng)的指令錯(cuò)誤時(shí)，道岔控制模塊將會(huì)產(chǎn)生錯(cuò)誤的輸出，或者導(dǎo)致自身的錯(cuò)誤。1.3道岔控制模塊的緊急操作控制模塊不考慮緊急操作。1.4道岔控制模塊錯(cuò)誤使用所謂道岔控制模塊錯(cuò)誤使用，是指在不允許或錯(cuò)誤的環(huán)境或條件下使用道岔控制模塊。具體如下：由于對(duì)所控制轉(zhuǎn)轍機(jī)的分析錯(cuò)誤，而采用了不適當(dāng)?shù)目刂颇K；在不允許的溫度、濕度、供電、防靜電等環(huán)境條件下強(qiáng)行運(yùn)行道岔控制模塊，導(dǎo)致控制模塊硬件故障和/或可靠性等的下降；在不同計(jì)算機(jī)聯(lián)鎖系統(tǒng)中采用特定不匹配的道岔控制模塊。1.5道岔控制模塊接口在“概念描述”中，所有與道岔控制模塊發(fā)生交互的外部系統(tǒng)，包括聯(lián)鎖系統(tǒng)、供電系統(tǒng)等，均可能從不程度和不同方面給道岔控制模塊帶來(lái)危險(xiǎn)。具體如下：聯(lián)鎖指令的錯(cuò)誤或向聯(lián)鎖輸出錯(cuò)誤表示；供電系統(tǒng)的電壓超出允許范圍；1.6道岔控制模塊維護(hù)和支持問(wèn)題道岔控制模塊維護(hù)手段的先進(jìn)與否均影響控制模塊的風(fēng)險(xiǎn)。同時(shí)技術(shù)支持因素也同樣帶來(lái)一定程度上的風(fēng)險(xiǎn)。1.7人為因素在“概念描述”中，所有與道岔控制模塊發(fā)生交互的人員，包括控制模塊維護(hù)人員、開發(fā)組織和管理者、需求調(diào)查者、設(shè)計(jì)與開發(fā)者、測(cè)試者、驗(yàn)收和確認(rèn)者、工程項(xiàng)目管理者和工程施工人員，均可能從不程度和不同方面給道岔控制模塊帶來(lái)危險(xiǎn)。具體如下：維護(hù)人員違規(guī)操作；開發(fā)組織和管理力度不夠帶來(lái)質(zhì)量問(wèn)題；需求調(diào)查者主觀和客觀未調(diào)查清楚用戶和控制模塊的真正需求；設(shè)計(jì)和開發(fā)者主觀和客觀上未按照規(guī)范和標(biāo)準(zhǔn)設(shè)計(jì)和開發(fā)；測(cè)試者主觀和客觀上未按照規(guī)范和標(biāo)準(zhǔn)進(jìn)行測(cè)試；驗(yàn)收和確認(rèn)者主觀和客觀上未完整驗(yàn)收和確認(rèn)；工程項(xiàng)目管理者主觀和客觀上忽視風(fēng)險(xiǎn)；工程施工人員主觀和客觀上違規(guī)施工等。1.8職業(yè)健康問(wèn)題道岔控制模塊不存在影響職業(yè)健康的危險(xiǎn)。1.9機(jī)械環(huán)境機(jī)械環(huán)境不存在影響系統(tǒng)正常運(yùn)行的危險(xiǎn)。電氣環(huán)境道岔控制模塊放置在機(jī)房?jī)?nèi)，可以認(rèn)為機(jī)房符合標(biāo)準(zhǔn)，電氣環(huán)境不會(huì)造成危險(xiǎn)。但對(duì)于不完全符合標(biāo)準(zhǔn)的機(jī)房，電磁干擾等可能會(huì)造成計(jì)算機(jī)系統(tǒng)的不穩(wěn)定甚至錯(cuò)誤。所以應(yīng)該充分考慮設(shè)備的電磁干擾和電磁兼容性。電源供應(yīng)道岔控制模塊的電源供應(yīng)，必須保證持續(xù)穩(wěn)定。必須防止控制模塊斷電和加電瞬間，控制模塊不能輸出錯(cuò)誤指令和表示到轉(zhuǎn)轍機(jī)、聯(lián)鎖等系統(tǒng)。1.12自然環(huán)境，如暴雪、洪水、冰雹等由于鐵路信號(hào)系統(tǒng)的特點(diǎn)，這類事件基本上不會(huì)對(duì)位于室內(nèi)的道岔控制模塊單獨(dú)造成危險(xiǎn)。1.13不可預(yù)料的災(zāi)難事件，如山崩、地震、戰(zhàn)爭(zhēng)等當(dāng)發(fā)生不可預(yù)料災(zāi)難事件時(shí)，如果涉及到道岔控制模塊，必將帶來(lái)災(zāi)難性后果。另外，附帶一連串的其他危險(xiǎn)事件，如斷電、電磁干擾等。危險(xiǎn)事件頻繁發(fā)生很可能發(fā)生偶然發(fā)生極少發(fā)生不可能發(fā)生決不會(huì)發(fā)生硬件兀器件短路V硬件兀器件斷路V硬件容量考慮不足V軟件自身問(wèn)題V聯(lián)鎖指令錯(cuò)誤V環(huán)境條件不符要求V信號(hào)制式不匹配V輸出錯(cuò)誤表示到聯(lián)鎖系統(tǒng)V維護(hù)軟件侵占資源V測(cè)試軟件未測(cè)出軟件缺陷V其他系統(tǒng)信息反擾V系統(tǒng)維護(hù)手段不足V技術(shù)支持不足V使用和維護(hù)違規(guī)作業(yè)V系統(tǒng)開發(fā)組織管理不善V需求調(diào)查不足V設(shè)計(jì)開發(fā)未按規(guī)范V系統(tǒng)測(cè)試未按規(guī)范V驗(yàn)收確認(rèn)未按規(guī)范V工程管理忽視風(fēng)險(xiǎn)V工程施工違規(guī)V職業(yè)健康V機(jī)械環(huán)境V電氣環(huán)境V電源供應(yīng)V自然環(huán)境V災(zāi)難事件V

危險(xiǎn)事件災(zāi)難的Catastrophic危急的Critical不重要的Marginal無(wú)關(guān)緊要的Remote硬件兀器件短路V硬件兀器件斷路V硬件容量考慮不足V軟件自身問(wèn)題V聯(lián)鎖指令錯(cuò)誤V環(huán)境條件不符要求V信號(hào)制式不匹配V輸出錯(cuò)誤表示到聯(lián)鎖系統(tǒng)V維護(hù)軟件侵占資源V測(cè)試軟件未測(cè)出軟件缺陷V其他系統(tǒng)信息反擾V系統(tǒng)維護(hù)手段不足V技術(shù)支持不足V使用和維護(hù)違規(guī)作業(yè)V系統(tǒng)開發(fā)組織管理不善V需求調(diào)查不足V設(shè)計(jì)開發(fā)未按規(guī)范V系統(tǒng)測(cè)試未按規(guī)范V驗(yàn)收確認(rèn)未按規(guī)范V工程管理忽視風(fēng)險(xiǎn)V工程施工違規(guī)V職業(yè)健康V機(jī)械環(huán)境V電氣環(huán)境V電源供應(yīng)V自然環(huán)境V災(zāi)難事件V4.“頻率-后果”矩陣風(fēng)險(xiǎn)分析對(duì)所有給系統(tǒng)帶來(lái)風(fēng)險(xiǎn)的危險(xiǎn)事件進(jìn)行編號(hào)，并根據(jù)