Об отказобезопасности критически важных систем высокоскоростного движения

Цель. Установить приемлемые архитектуры отказобезопасности критически важных систем высокоскоростного движения, определить их возможности и ограничения. Методы. Построение и исследование ряда математических моделей надежности и функциональной безопасности систем. Выбор приемлемых архитектур отказобезопасности критически важных систем высокоскоростного движения. Результаты. Анализ надежности широко распространенной на практике архитектуры безопасности 2оо3 аналитически и численно показал, что с помощью мажоритарной логики удается существенно повысить достоверность результатов (среднее время до функционального отказа мажорированной системы в 2 раза превышает этот показатель в исходном объекте). Вместе с тем, безотказность системы, а, следовательно, ее отказобезопасность, ниже, чем у исходного объекта. Поэтому такая архитектура приемлема не выше уровня SIL3. Возможно для обеспечения этого уровня отказобезопасности предпочтение отдавать альтернативной архитектуре (1оо2)Р вследствие отсутствия в ней восстанавливающих органов и переключающих устройств. Она формируется из двух параллельно работающих компонент, каждая из которых построена по схеме постоянного дублирования. Однако при этом не следует забывать, что в такой системе сохраняется риск ложного срабатывания. Показано, что для обеспечения отказобезопасности на уровне SIL4 можно применять гибридные мажоритарные архитектуры (2оо3)Р или 2оо4. Вместе с тем следует учитывать, что существенную часть мажоритарных структур отказобезопасности критически важных систем составляют переключательные схемы, обеспечивающие отключение отказавших и включение резервных компонент. Это обстоятельство отрицательно сказывается на эффективности мажоритарного резервирования, поскольку связано с применением дополнительных средств и процедур. Причина этого недостатка состоит в том, что и при аппаратной, и при программной организации механизм маскирования сбоев, т.е. голосование, определение неисправного канала, его блокирование и последующее включение в нормальную работу, используется в каждом такте работы системы вне зависимости от наличия или отсутствия сбоев. Эти временные потери при практической реализации достигают 30-50%. К недостаткам мажорирования при его реализации следует отнести также большое количество связей между каналами и определенные трудности при проектировании. Указанные ограничения оказывают негативное, но не определяющее влияние на выбор приемлемой архитектуры отказобезопасности. Их следует учитывать для каждого конкретного объекта и условий его применения.

1. IEC 62278-3:2025. Железные дороги. Технические требования и демонстрация надежности, эксплуатационной готовности и безопасности.

2. IEC 62278-1:2025. Железнодорожные приложения – спецификация и демонстрация надёжности, доступности, ремонтопригодности и безопасности (RAMS) – Часть 1: Общий процесс RAMS.

3. ГОСТ 33358‑2015 Безопасность функциональная. Системы управления и обеспечения безопасности движения поездов. Термины и определения. М.: Стандартинформ, 2018. III, 15 с.

4. Платунов А., Пинкевич В. Создание киберфизических систем: проблемы подготовки ИТ специалистов // Control Engineering (Россия). 2021. № 3(93). С. 64-70.

5. Шубинский И.Б. Функциональная безопасность систем управления на железнодорожном транспорте: монография / И.Б. Шубинский, Е.Н. Розенберг. М.; Вологда: Инфра-Инженерия, 2023. 360 с.

6. Гапанович В.А., Розенберг Е.Н., Шубинский И.Б. Некоторые положения отказобезопасности и киберзащищенности систем управления // Надежность. 2014. № 2. С. 88-100.

7. Шубинский И.Б. Функциональная надежность информационных систем. Методы анализа. М.: Изд. Журнала «Надежность», 2012. 296 с.

8. Шубинский И.Б. Отказоустойчивость и отказобезопасность систем управления: монография. Москва; Вологда: Инфра-Инженерия, 2026. 340 с.