吳炳昊 邱兆陽(yáng) 李艷峰

我國(guó)產(chǎn)品進(jìn)行歐洲CENELEC標(biāo)準(zhǔn) （EN 50126、EN 50128、EN 50129等）的認(rèn)證已經(jīng)多年，國(guó)內(nèi)也頒布了相應(yīng)的國(guó)標(biāo) （GB／T 21562－2008、GB／T 28808－2012、GB／T 28809－2012）。SIL4安全設(shè)備包括地面列控設(shè)備、車載列控設(shè)備、聯(lián)鎖設(shè)備等，也已經(jīng)為業(yè)內(nèi)熟知。SIL （Safety Integrity Level）是 由 其 THR （Tolerable Hazard Rate）得來(lái)的；可以說(shuō)，THR對(duì)應(yīng)并決定SIL。本文將對(duì)THR及THR分配進(jìn)行分析。

1 THR的定義

THR是 “容許危害率”的簡(jiǎn)稱，代表著對(duì)某種危害發(fā)生頻率的容忍程度或接受程度。在特定環(huán)境下某種危害的發(fā)生，則意味著特定事故的特定概率發(fā)生，即該危害的發(fā)生，對(duì)應(yīng)著特定后果。

風(fēng)險(xiǎn)，是危害事件發(fā)生的頻度或頻率與其后果的組合。安全主管部門(mén)根據(jù)社會(huì)公眾對(duì)風(fēng)險(xiǎn)的可接受程度，并考慮該危害對(duì)應(yīng)的后果，就可以提出對(duì)該危害的容許危害率 （即THR）。因此，THR是安全主管部門(mén)提出的要求，反映對(duì)危害發(fā)生頻率的接受程度。

直觀來(lái)看，導(dǎo)致后果較小的危害 （如導(dǎo)致單個(gè)乘客輕微擦傷的危害），其發(fā)生的頻率略高，也較容易接受，對(duì)應(yīng)的SIL亦低；導(dǎo)致后果較大的危害 （如導(dǎo)致大量乘客傷亡的危害），其發(fā)生的頻率很低，也很難接受，對(duì)應(yīng)的SIL亦高。

與THR不同，HR （Hazard Rate）意味著特定設(shè)備或在特定設(shè)備上運(yùn)行的特定安全功能，在特定環(huán)境下工作時(shí)的危害發(fā)生頻率。HR可以認(rèn)為是該設(shè)備或該設(shè)備上的某一安全功能對(duì)應(yīng)的固有的、確定的危害發(fā)生率。若HR低于THR，則認(rèn)為T(mén)HR得到滿足；反之，則不滿足。

2 工程中THR的意義

根據(jù)定義，一條實(shí)際線路中信號(hào)系統(tǒng)的THR，是對(duì)該信號(hào)系統(tǒng)災(zāi)難性危害發(fā)生頻率的接受程度。以CBTC系統(tǒng)為例，IEEE Std 1474．1對(duì)CBTC系統(tǒng)THR進(jìn)行了定義，其平均危害間隔時(shí)間 （MTBHE，mean time between hazardous event）不小于109h，即 THR 為 10－9hour－1。同 時(shí)，對(duì) 該MTBHE進(jìn)行了以下限定。

1．線路為連續(xù)的CBTC單向運(yùn)營(yíng)線路。

2．線路長(zhǎng)度不大于列車以最大允許運(yùn)營(yíng)速度運(yùn)行1h走過(guò)的距離。

3．列車間距按照行車密度為最大運(yùn)營(yíng)車輛數(shù)量時(shí)考慮。

4．危害為系統(tǒng)層面的嚴(yán)重、災(zāi)難性危害，IEEE Std 1474．1列出 （CBTC系統(tǒng)根據(jù)業(yè)主要求進(jìn)行相應(yīng)危害的防護(hù)，一些危害可能不在某些CBTC系統(tǒng)的防護(hù)范圍），例如：列車與列車相撞、列車與建筑物相撞、列車脫軌、列車與公路汽車相撞、工作人員及工程車防護(hù) （通過(guò)區(qū)段封鎖、臨時(shí)限速防護(hù)）、車門(mén)異常打開(kāi) （通過(guò)車門(mén)防護(hù)）、軌道異物防護(hù)等。

需要說(shuō)明的是：不同規(guī)模的信號(hào)系統(tǒng)，其THR是相同的？還是應(yīng)按照信號(hào)系統(tǒng)的規(guī)模進(jìn)行相應(yīng)調(diào)整？IEEE Std 1474．1的解釋是，對(duì)于線路長(zhǎng)度超過(guò)“列車以最大允許運(yùn)營(yíng)速度運(yùn)行1h走過(guò)的距離”，MTBHE應(yīng)按照比例進(jìn)行調(diào)整。例如：線路長(zhǎng)度若為2h最大運(yùn)行速度走過(guò)的距離，則MTBHE調(diào)整為0．5×109h。

同樣，ETCS系統(tǒng)規(guī)定的THR為2．0×10－9hour－1train－1，其含義為1位乘客乘坐列車1h發(fā)生ETCS核心危害 （超過(guò)安全速度，或越過(guò)安全距離）的可能性不應(yīng)大于2．0×10－9。ETCS不但限定了THR的線路范圍 （乘坐列車1h），還將其限定在1列車上。

因此，THR應(yīng)根據(jù)其系統(tǒng)規(guī)模進(jìn)行相應(yīng)調(diào)整。原因很簡(jiǎn)單：隨著系統(tǒng)規(guī)模的擴(kuò)大，危害發(fā)生的可能性也會(huì)相應(yīng)增大。無(wú)視系統(tǒng)規(guī)模，片面地強(qiáng)調(diào)THR是沒(méi)有意義的。

3 THR的分配

安全主管部門(mén)提出系統(tǒng)總體的THR后，需要將THR分配到各子系統(tǒng)，形成各子系統(tǒng)的THR，以對(duì)各子系統(tǒng)提出具體的要求。由于安全相關(guān)的失效對(duì)應(yīng)著安全功能的失效，因此，應(yīng)僅需向安全相關(guān)子系統(tǒng) （即承擔(dān)安全功能的子系統(tǒng)）分配THR；對(duì)非安全子系統(tǒng)分配THR沒(méi)有意義。雖然安全系統(tǒng)本身承擔(dān)安全功能，但構(gòu)成安全系統(tǒng)的單個(gè)器件（如ROM、RAM、非安全CPU、電阻、電容、電感等）并不承擔(dān)安全功能，向這些器件分配THR同樣沒(méi)有意義。

可以借鑒ETCS系統(tǒng)的THR分配方法：針對(duì)ETCS系統(tǒng)的頂層危害 （越過(guò)ETCS系統(tǒng)建議的安全速度或安全距離）的THR定義為2．0×10－9hour－1train－1，其分配方式如圖1所示。

圖1 ETCS系統(tǒng)THR分配圖

圖1中需要說(shuō)明的是：

1．THR單位均為hour－1train－1。

2．分類位于車載部分的BTM、LTM，其安全功能為正確地解析應(yīng)答器、無(wú)線信道、環(huán)線的報(bào)文；其危險(xiǎn)側(cè)是將應(yīng)答器、環(huán)線的錯(cuò)誤報(bào)文解析為正確報(bào)文。

3．分類位于車載及地面部分的車載無(wú)線、地面無(wú)線，其安全功能為正確地發(fā)送及解析無(wú)線信息；其危險(xiǎn)側(cè)是將發(fā)生訛變的無(wú)線信息發(fā)送為合法信息或解析為正確信息。

4．傳輸部分的安全功能是安全編碼應(yīng)能對(duì)安全信息進(jìn)行防護(hù)；其危險(xiǎn)側(cè)是安全編碼未能對(duì)安全信息進(jìn)行防護(hù)。

由于ETCS的THR定義是針對(duì)1位乘客 （即1列車）而言的，因此對(duì)于ETCS車載部分，其THR車載＝ 0．67×10－9hour－1train－1＝ 0．67×10－9hour－1。對(duì)于裝備 ETCS車載系統(tǒng)的列車而言，其移動(dòng)授權(quán)來(lái)源是ETCS－1或ETCS－2，而不是ETCS－1和ETCS－2同時(shí)為其提供移動(dòng)授權(quán)。因此，ETCS－1地面系統(tǒng) （LEU）及ETCS－2地面系統(tǒng)的THR地面均為0．67×10－9hour－1train－1。

ERTMS／ETCS SUBSET－088－3中對(duì) ETCS運(yùn)營(yíng)場(chǎng)景進(jìn)行了描述，高速鐵路1h列車經(jīng)過(guò)3個(gè)RBC；若RBC核心邏輯安全功能與地面無(wú)線信息收發(fā)安全功能均運(yùn)行在1套2oo2安全平臺(tái)上，則單套R(shí)BC（含RBC核心邏輯安全功能、地面無(wú)線信息收發(fā)安全功能）的THRRBC＝THR地面／3＝0．22×10－9hour－1train－1。

4 THR的單位

在之前對(duì)THR的描述中，出現(xiàn)了多種 “單位”表述，如 “hour－1train－1”、 “hour－1function－1”、 “hour－1”。搞清這些 “單位”的區(qū)別和聯(lián)系是理解THR的前提。

THRETCS為2．0×10－9hour－1train－1，IEEE Std 1474．1推薦的THRCBTC為1．0×10－9hour－1。原因是ETCS的頂層危險(xiǎn)源限定為 “1位乘客乘坐列車”，即1列列車所發(fā)生的危險(xiǎn)事件，而CBTC頂層危險(xiǎn)源未限定為1列車。因此， “1hour－1train－1的THR”較 “1hour－1的THR”，容許危害率要高。可見(jiàn)，ETCS提出的THR比IEEE Std 1474．1的要求低?？赡艿脑蚴荌EEE Std 1474．1是非強(qiáng)制性標(biāo)準(zhǔn)；而ETCS代表的是實(shí)施規(guī)范，其考慮了技術(shù)的可實(shí)現(xiàn)性。

ETCS地面設(shè)備采用的 “單位”是 “hour－1train－1”，但是對(duì)于ETCS地面設(shè)備而言，其危害的發(fā)生意味著在其范圍內(nèi)運(yùn)行的所有列車，均處在危險(xiǎn)事件影響范圍內(nèi)。因此，在這里， “hour－1train－1”與 “hour－1”是等價(jià)的。ERTMS／ETCS SUBSET－088－3對(duì)地面設(shè)備的THR單位就直接采用了 “hour－1”。

在衡量系統(tǒng)／子系統(tǒng)的THR時(shí)，一般采用“hour－1”作為 “單位”。而對(duì)于系統(tǒng)危害而言，系統(tǒng)本身需通過(guò)安全功能對(duì)其進(jìn)行防護(hù)。也就是說(shuō)，安全功能的失效，意味著危害的發(fā)生。因此，“hour－1function－1”亦可作為 THR 的衡量單位，且這里的function指的是安全功能。若系統(tǒng)／子系統(tǒng)的所有安全功能完全耦合 （即該系統(tǒng)／子系統(tǒng)的安全功能或者一同正常工作，或者一同故障），則各安全功能的 THR （單位為hour－1function－1）相同，且與該系統(tǒng)／子系統(tǒng)的 THR （單位為hour－1）數(shù)值相同。若系統(tǒng)／子系統(tǒng)的所有安全功能完全獨(dú)立 （即該系統(tǒng)／子系統(tǒng)各安全功能的正?；蚬收匣ゲ挥绊懀?，則對(duì)于該系統(tǒng)／子系統(tǒng)而言，使用 “hour－1function－1”或 “hour－1”來(lái)衡量 THR是等價(jià)的，該系統(tǒng)／子系統(tǒng)的 THR （單位為hour－1function－1或 hour－1）數(shù)值為各安全功能THR （單位為hour－1function－1）數(shù)值之和。

5 結(jié)束語(yǔ)

THR代表著對(duì)危害發(fā)生率的容許程度，其數(shù)值越高，表示對(duì)安全性的要求越低；其數(shù)值越低，表示對(duì)安全性的要求越高。在提出THR時(shí)，應(yīng)限定相應(yīng)的范圍，這樣才是有意義的。在進(jìn)行THR分配時(shí)，應(yīng)根據(jù)限定的范圍，將THR分配給承擔(dān)安全功能的系統(tǒng)／子系統(tǒng)；不應(yīng)對(duì)不承擔(dān)安全功能的系統(tǒng)／子系統(tǒng)分配THR。

［1］ GB／T 28809．軌道交通 通信、信號(hào)和處理系統(tǒng)信號(hào)用安全相關(guān)電子系統(tǒng)［S］．2012．

［2］ ERTMS／ETCS SUBSET－026－2：System Requirements Specification Chapter 2Basic System Description［EB／0L］．http：／／www．era．europa．eu／Document－Register／Pages／．Set－2－System－Requirements－Specification．a(chǎn)spx．

［3］ IEEE Std 1474．1．IEEE Standard for Communications－Based Train Control（CBTC）Performance and FunctionalRequirements［S］．2004．

［4］ ERTMS／ETCS SUBSET－088－3：ETCS Application Levels 1 ＆2－Safety AnalysisPart 3－THR Apportionment［EB／0L］．http：／／www．era．europa．eu／Document－Register／Pages／SUBSET－088．a(chǎn)spx．