皮尔磁：根据EN 50129实现轨道交通行业的控制系统安全构架

2022年09月22日

以古鉴今轨交安全值千金

　　铁路交通，在汽车，航空和管道运输还未迅速发展的上世纪，是运输的主力军，一直处于垄断地位，它的诞生和发展与世界工业的革命乃至文化的交流密不可分。如今，随着需求的多样化和技术的创新发展，地铁，轻轨，磁悬浮，有轨电车和捷运系统等逐渐面世，组成了我们现在所熟知的轨道交通业。

　　1918年11月1日，一辆在布鲁克林刚开放运营的列车，因操作员经验不足超速过弯，导致百余条生命的消逝。1977年，美国芝加哥发生两车相撞事故，导致列车坠落，所付出的代价是极其惨痛的。类似的事故在轨道交通的发展历程中屡见不鲜，付出的代价则是一条条鲜活的生命和运营商们长期以来好不容易树立的良好声誉。

　　由于类似事故的频发，全球的专家们夜以继日地研究和落实相关的标准和要求，并作为准则来指导各国轨道交通厂商的实际应用，力求“安全”无忧。EN 50129:2018/AC:2019(通讯，信号和处理系统—安全相关电子系统) 便是为此而生的标准。根据它的要求，厂商可以搭建符合安全性要求的控制体系，避免不必要的安全事故。

　　在 EN 50129标准中，将轨道交通的控制系统安全构架主要分为3个安全级别，从低至高分别是SIL 2, SIL 3, SIL 4。

　　让我们一起来了解如何使用元器件来搭建出分别符合上述级别的安全构架：

　　SIL 2安全级别的接线示意

　　实现该级别的要求不高。在控制器达到IEC 61508 SIL3的情况下，外围的传感器和执行机构仅要求单通道结构即可。

　　SIL 3安全级别的接线示意

　　SIL3安全级别的要求自然比SIL2要高一些。除了要求控制器达到IEC 61508 SIL3外，外围的传感器和执行机构必须要求双通道结构(如上图所示)，此外2个安全输出回路必须分别来自于不同的输出模块，各自的供电电源也必须是独立的。

　　SIL 4安全级别的接线示意

　　SIL4的要求最高，实现过程也较复杂。首先需要有两个独立的、达到IEC 61508 SIL3的控制器，外围的传感器和执行机构也必须是双通道的结构，此外安全输入回路和安全输出回路及其供电电源必须是完全独立的。其实SIL4构架我们可以看作成是由两套完全一模一样的SIL 2系统物理组合实现的，这两套系统互相之间还必须有输入信号的交叉校验以及输出信号的交叉校验，具体的输入输出接线示例如图所示。

　　SIL4构架程序信号交叉校验

　　当我们搭建起了SIL4的初步构架，两套系统该如何正确地执行输入输出信号之间的交叉校验呢?

　　如上图“交叉校验基本概念图”所示，根据要求，同一个传感器信号必须同时被两套系统处理分析，那么这就意味着双通道结构的2个传感器信号将被处理四次。只有当四次处理结果是一致的，整个SIL4系统才会判定该双通道传感器的信号为有效。输出使能信号，亦是采用类似的方式进行交叉校验。

搭建控制系统安全构架的好帮手

　　2012，皮尔磁(Pilz)针对轨道交通行业的应用特点，推出了PSS 4000-R安全系统，它顺利通过了TüV SüD严格的型式试验和测试，拥有相关证书，能够帮助行业用户轻松实现EN 50129的3种构架。

　　PSS 4000-R安全系统自身满足IEC 61508 SIL3的要求。因此，一套PSS 4000-R系统就可以实现SIL2和SIL3的应用需求。对于SIL4应用的高要求，两套PSS 4000-R系统即可轻松搞定，再配合皮尔磁(Pilz)提供的信号交叉校验逻辑图，达到SIL4构架中的软件要求也是不在话下。