简议铁路信号故障－安全原则

付 刚

（北京全路通信信号研究设计院有限公司，北京 100073）

铁路行车要求铁路信号设备在发生障碍、错误、失效、人为失误的情况下，应具有导致减轻以至避免损失的功能，以确保行车安全，这一要求被称为铁路信号故障－安全原则。

铁路信号的重要作用之一是保证列车运行的安全，而传统信号规定设备故障时把信号显示变为让列车停止运行的红灯，以实现信号设备的整体性的故障-安全。但在实际设计运用中，也意识到了“安全是一种概率”。

随着可靠性理论的发展，促使对故障的分析建立在概率论的基础上，进而论证了故障-安全也应是一个具有概率特性的概念。首先，客观上可靠度为百分之百的信号设备是不存在的，也就是说设备的故障是不可避免的。用全故障率λt表示，我们希望它足够小，但不可能为零；对设备的故障根据它所带来的后果可以分为危险侧故障和安全侧故障，分别用危险侧故障率λd和安全侧故障率λs表示，则有λt=λd+λs。以信号继电器为例，其危险侧故障率 λd 为 10-10h，安全侧故障率 λs为 10-7h。危险侧故障率虽低，但并非是零。危险侧故障率λd相对全故障率λt小到可以忽略的程度时，该设备才是故障-安全的，即危险比δ=λd/λt应足够小。

为了对故障-安全特性进行进一步的研究，对设备故障引起的事故用下面的关系式来描述：

[事故]=[故障]∪[危险侧]，若把[ ]中的真值取为1，伪值取为0，即[ ]中的变量为二值逻辑变量，则可将上式的否定形式认为具有安全的含义，根据摩根法则可得下式：

[没有事故]=[没有故障]∩[安全侧]，从一定意义上将安全性用下列逻辑式表示：

[安全性]=[高可靠性]∩[故障安全性]

因此，提高系统和设备的安全性基本可以从可靠性、故障-安全性出发，也就是要求设备或系统尽可能少出现故障，即便出现故障应避免出现危险侧输出。

1 可靠性

避免设备或系统出现故障势必要提高其可靠性。传统信号设备大部分采用继电器、机械器材，单体设备或器材的可靠性较高，系统仅在一定范围内考虑了易损、易断器材的冗余设计，如：电源采用双环线，灯泡降额使用，双灯丝灯泡，双熔丝，双引接线等。

现代铁路信号更多采用计算机设备，在提高可靠性方面主要做法如下。

1）电路设计、元器件筛选、电磁兼容性设计等；

2）采用冗余技术，如硬件、软件、信息、时间等冗余技术，如2×2取2结构、3取2结构、双机热备结构；

3）采用避错技术，如故障诊断、差错自检、校正、监测预诊断；

4）采用应急顶替技术，如电源故障时利用蓄电池供电的技术等。

由此，提高设备可靠性已经不再是简单的硬件冗余设计，而是利用不同的技术、在不同方面进行解决，如电磁兼容性技术、自诊断技术等。因此，在无法保证设备或系统不出现故障的情况下，应利用科学方法、可靠手段，完成系统设计。

2 故障-安全性

2.1 安全侧定义

传统信号安全观念的实现总是把“设备故障，让列车停止运行”为出发点，规定设备故障时把信号显示变为让列车停止运行的红灯作为安全侧，这种故障-安全的实现是以具有非对称错误特性的信号继电器和闭路原理为基础。

对于计算机系统来说，不能把安全侧定义为“功能停止”，而必须定义为维持系统功能，应根据系统的任务定义其安全侧。

故障-安全性在基于系统任务的安全侧定义同时，应该是故障假设、故障积累条件下的考虑。

2.2 故障假设

故障假设分析方法是对某一过程可能出现故障的创造性分析方法，通过提出一系列“如果……怎么办？”的问题，来发现可能和潜在的事故隐患从而对系统进行彻底检查的一种方法。

传统信号电路中出现的故障主要有：熔断器烧毁（断路器断路）、断线、脱焊、拧接的螺丝松脱、继电器线圈烧毁、元器件失效、插接件接触不良、线间绝缘不良而相混（局部短路）、线路混入电源等。故障种类虽然很多，但就其对电路的影响来说，可归纳为两大类：一类是断线性质的故障，一类是混线性质的故障。研究信号电路的安全性，主要是研究解决断线保护和混线保护。1840年出现了一架在牵引绳索折断的情况下，能靠重力自动向列车发出停车显示的臂板信号机。此后，实现铁路信号故障－安全的具体措施主要有：电路设计中采用断线保护、混线保护、串并联电路、延时电路、时序电路、极性继电器电路等；防止错误操纵而使用的各种联锁及闭塞技术等；故障后使功能软化或降级使用技术，如自动闭塞中绿灯故障改亮黄灯的技术；器件的降额使用技术，如信号灯泡的降压使用等。

现代信号系统的计算机系统，主要的故障：系统宕机、双系不同步、网络中断、硬件停机等，由于网络化导致在出现故障时，无法通过物理设计来消除危险侧输出，因此需要利用软件、系统解决，比如：表决机制、同步比较、网络中断防护等。

故障假设分析方法鼓励思考潜在的事故和后果，弥补了思维定势的不足，进而有针对性的提出安全措施。

2.3 故障积累

一个故障发生时，信号系统不输出危及行车安全的状态，这是铁路信号“故障－安全”的基本要求。但正是因为一次故障总是难免的，而其二次故障和过负荷故障往往随之发生，其发生概率并不是低于可接受的水平，故这种情况下信号系统亦应给出安全侧的输出。

一个故障发生后，往往伴随着继发的二次故障或过负荷故障，后两种继发故障可能同时发生，也可能按因果关系发生。比如室外混线故障发生后，线路的电流随之升高，过流保护元器件（熔断器或断路器）可能会动作，使线路开路，作为对一次故障的保护。但其开路保护需要一个过程，在这个过程中，线路将处于过负荷状态。

电路设计需考虑最低限度能防止一次故障与一次错误办理同时存在的情况下，可能产生危及行车安全的后果。对于直接涉及安全的按钮或控制设备，可加封、设置密码或设置必要的计数记录设备等。

信号设备的故障需要及时被发现。如故障出现后不能及时被发现，当不危及行车安全时，该故障可最迟在下一次使用过程中或对其进行检修时发现，否则应考虑按故障积累的原则进行设计。由于系统对于本故障能满足“故障－安全”要求，在第一个故障发生至其被发现的整个过程中出现另一个故障，系统也能满足“故障－安全”要求，则两个故障的“积累”也就能满足“故障－安全”要求。

3 国外的典型理论

关于铁路信号“故障－安全”理念，国际通用的风险控制ALARP原则（As Low As Reasonably Practicable，依实际情况尽可能合理地低）以及“风险矩阵”判定法，与我国是基本一致的。

风险控制ALARP原则的原理如图1所示。

图1中，“V”型风险控制图由上至下反映了风险由大至小，其可接受程度逐渐升高。其大致可分为3个区域：①高风险区（不可接受）；②中度风险区（可容忍）；③轻微风险区（可接受）。对于信号系统的研究和设计，应将风险程度尽量下移，减小高风险区范围、扩大轻微风险区范围，并将中度风险区控制在“可接受程度判定标准”以内。

“风险矩阵”判定法的原理如图2所示。

图2中，横坐标表示风险变为“事件”时后果的严重性程度，纵坐标表示风险发生的可能性（概率）。根据其对系统输出的影响，可以两个参数的“乘积”形式列出“风险矩阵”。与ALARP原理的“V”型图类似，“风险矩阵”由右上角至左下角反映了风险由大至小，其可接受程度按单元格①至⑨逐渐升高。实际上各单元格之间的分界线并不是清晰的。对于信号系统的研究和设计，应将风险程度尽量向左下角移动：减小高风险区范围、扩大轻微风险区范围，并将两个参数“乘积”处于临界状态的区域控制在“可接受程度判定标准”以内。

上述两种方法都涉及到“可接受程度判定标准”，即能接受多大的风险。图中以虚线“L1”和“L2”给出了两种参考（L2严于L1）。

4 执行中需注意的问题

信号系统工程中影响安全的因素很多，既包括系统内部因素，也包括系统外部因素；既包括人的因素，也包括设备本身的因素，还包括环境影响等。以数学方式给出“可接受程度判定标准”的具体数值是难以做到的。

对于铁路信号“故障－安全”原则，可从以下几个方面来理解：首先，安全性是一种概率参数，信号设备不可能具备排除任何危险的绝对安全；其次，对“故障－安全”的要求，应是从技术上能够实现的；第三，安全程度的高低还受经济的制约。

正是因为安全不是绝对的，所以有些特殊情况下产生的故障，设计中是难以考虑的。如一个电器设备（或元件）在两端混入能使其错误动作的不同极性电源；电动臂板信号机的机械卡阻而不能恢复定位等。这一类故障，除采用高质量的产品和尽可能完善设计系统和电路外，还必须依靠加强检查维修和测试监督等间接手段，以防止危险故障的发生，或将危险性降到可接受的最低限度。

另外，随着计算机技术的发展，计算机技术在逻辑判断方面具有继电电路无法比拟的先天性优势，尤其是对于结合部的驱动／采集电路，在某些情况下（比如计算机设备驱动继电器动作并进行回采），是可以判断室内电路混线的。从这个角度来看，在计算机技术逐渐替代继电电路的发展进程中，对于系统防护也具备了一定的可行性。

实际上，铁路信号系统应用于不同的环境下，对安全程度的要求是不一样的。客运列车相对于货物列车、主要干线相对于次要支线、客运枢纽相对于驼峰编组场、客运专线和高速铁路相对于普速铁路而言，前者的安全等级相对后者要高。如果以后者的“可接受程度判定标准”来判定前者的安全等级，则社会舆论及用户等相关方不能接受；如果以前者的“可接受程度判定标准”来判定后者的安全等级，则需增加经济投入。

我国目前未直接使用ALARP原则、风险矩阵和“可接受程度判定标准”等术语，但故障－安全理念是与国际通用理论没有本质的不同。不过，根据不同的情况给出真正具有操作性的“可接受程度判定标准”，需要与其他各相关专业，有时还需与铁路外部各相关方共同研究确定（比如道口安全问题），还需进一步做探讨。

[1]中华人民共和国铁道部 铁路技术管理规程[S].北京：中国铁道出版社，2006.

[2] TB10007-2006 铁路信号设计规范[S].北京，中国铁道出版社，2006.

[3] TB10071-2006/J77-2001 铁路信号站内联锁设计规范[S].北京：中国铁道出版社，2001.

[4] TB/T 2615 铁路信号故障－安全原则[S].北京：中国铁道出版社，1994.

[5] 英国铁道安全和标准委员会.Engineering Safety Management（The Yellow Book）[S].

[6] EN50126 铁路应用—可靠性、可用性、可维护性和安全性[S].