基于弹复力效应的列控车载设备可靠性分析方法

上官伟，胡福威，袁 敏，蔡伯根,3，王 剑

(1.北京交通大学 电子信息工程学院，北京 100044；2.北京交通大学 轨道交通控制与安全国家重点实验室，北京 100044；3.北京市电磁兼容与卫星导航工程技术研究中心，北京 100044)

高速铁路系统作为我国综合运输网络中的重要组成部分，该系统能否正常运行关系着乘客的生命及财产安全。排除人为因素、自然环境影响以外，由于系统本身不可避免地存在一些安全隐患，所以当列车在极端恶劣的条件下运行时，可能会导致一些重大事故发生。因此，为了确保列车安全、可靠的运行，针对列车运行过程中的可靠性分析方法以及故障恢复策略的研究，对于杜绝和减少重大铁路行车安全事故的发生具有重要的现实意义。

列车运行控制系统(以下简称列控系统)是保证我国高速铁路系统安全运行的核心设备之一，由于系统自身具有复杂性和不确定性等特点，所以在运行时对其内部运行状态及外界环境的变化都具有较强的敏感性。因此，在行车时应及时诊断出系统中出现的故障或安全漏洞，并对其加以处理，否则将有可能引发一系列的设备单元故障，甚至造成重大的经济损失和人员伤亡。极端条件下，列车在运行过程中因受到某些干扰而造成设备的故障依旧不可避免，所以如何对系统的运行可靠性进行实时分析是研究的一个难点。针对列控系统的可靠性分析，国内外的一些专家学者已经采用了很多较为成熟的理论方法进行研究，但仍有一些不足之处。

弹复力的概念来源于物理学领域，其物理特性参照弹簧因弹性形变所储存的弹性势能。当前弹复力的研究工作已经逐步成为分析和评估交通系统可靠性和安全性的一个重要方面。文献[1]对运输系统的弹复能力进行分析，并确定了系统的弹性参数及关键变量，以确定系统在动态环境中受到损害时的恢复能力。文献[2]提出了一个用于计算社区灾后恢复能力的概念框架，该框架提升社区弹复能力的依据是降低故障率、减少故障损失以及降低复原时间。文献[3]认为系统的弹复力工程表示了一种新的安全思维方式，与传统的风险评估方法不同，弹复力可用于评估系统应对风险的能力。文献[4]根据常规的风险管理方法并结合弹复力的概念，重新对不确定性、脆弱性和风险等概念进行了定义。文献[5]将研究对象映射到一个网络中，并附加线性方法的约束，通过关键路径算法对网络中的路径结构加以调整，最终实现对系统弹复力大小的评估。对比传统的可靠性评估方法，弹复力将系统在运行时对外部环境刺激的响应以及系统内部单元模块之间的信息交互考虑在内，可以比较全面地分析大型复杂系统在功能失效过程中的性能变化。

本文以CTCS3-300H型车载设备为研究对象，引入了弹复力的概念，结合历史故障数据，选用离散时间贝叶斯网络DTBN(Discrete Time Bayesian Network)方法，对车载设备在运行过程中的可靠性进行定量分析，计算出车载设备在不同工作模式下随着工作时间的增加，车载设备可靠度的变化情况；基于车载设备在运行过程中的可靠度结果，依据弹性三角模型，假设车载设备在某个时刻发生故障时，对系统的弹复能力进行评估；根据分析结果提出了基于弹复力效应的视情维修策略，从而提高系统在运行过程中的可靠性。CTCS3-300H型车载设备的结构组成示意图如图1所示[6]。

图1 CTCS3-300H型车载设备组成

其中，应答器传输模块BTM(Balise Transmission Module)通过与应答器天线的连接，可以完成地面应答器报文信息的接收；安全计算机VC(Vital Computer)根据与地面系统交换的信息，生成实时运行控制曲线；无线传输模块RTM(Radio Transmission Module)、车载电台和GSM-R实现车载与地面连续且双向的信息通信；继电器逻辑单元RLU(Relay Logic Unit)用于输出车载设备的控制命令，同时将采集到的继电器信息传输给安全计算机；人机界面DMI(Driver Machine Interface Unit)一方面对司机输出操作列车的相关信息，另一方面司机可通过人机界面输入相关的操作命令，从而实现车载设备与列车司机之间的信息交互；轨道电路信息接收单元TCR(Track Circuit Reader Unit)通过与轨道电路接收天线连接，接收轨道电路传输的信息并对其进行解码。

车载设备中的测速测距单元SDU(Speed Distance Unit)、VC、DMI、TCR、BTM等模块都采用冗余设计，其中，SDU设计为二取二结构，VC和TCR采用双系热备的配置方式，BTM和DMI则采用双系冷备的配置方式。除此之外，还包含司法记录单元JRU(Juridical Recording Unit)等其他模块单元。

1 基于贝叶斯网络的车载设备可靠性分析

1.1 离散时间贝叶斯网络方法

以贝叶斯网络BN(Bayesian Network)为基础，引入时间参数，得到离散时间贝叶斯网络方法，该方法可以有效地对动态失效和顺序失效等网络问题进行处理。具有N个节点的DTBN可用N=〈〈V，Tn，E〉，P〉来表示。DTBN为一个有向无环图，该网络的边和变量的表示方式与含义和BN相同。DTBN算法中引入的时间特性Tn={[t0，t1)，…，[ti-1，ti)，…，[tn-1，tn)，[tn，∞)}是针对时间的一个分割，分割的每一个区间表示变量发生时所处的时间段；DTBN中节点的状态空间都是Tn，即模块或系统的失效是发生在Tn中某一个时间区间内[7]。为了确定离散时间贝叶斯网络中各节点的条件概率分布，需要明确节点之间的逻辑关系。

(1)单节点

若系统的运行时间为T，将时间T分割为n个区间，则区间的大小为Δ=T/n。X=[(x-1)Δ，xΔ)表示X在[(x-1)Δ，xΔ)内失效，其中0

0

( 1 )

( 2 )

(2)“与”关系

两个节点之间若存在“与”的关系，则使用“and”连接两节点，相应的DTBN如图2(a)所示(本节中的示例均假设n=2)。

图2 离散时间贝叶斯网络中节点的逻辑关系

其中节点C的条件概率分布为

Px，y，z=P(C=[(z-1)Δ，zΔ)|A=

[x-1)Δ，xΔ)，B=[y-1)Δ，yΔ))=

( 3 )

(3)“或”关系

两个节点之间若存在“或”的关系，则使用“or”连接两个节点，相应的DTBN如图2(b)所示，节点C的条件概率分布可表示为

Px，y，z=P(C=[(z-1)Δ，zΔ)|A=

[(x-1)Δ，xΔ)，B=[(y-1)Δ，yΔ))=

( 4 )

(4)“备用”关系

备用是指系统中某一单元包含多个相同的部件，其中一个为主部件，其余的为备用部件，且同一时刻保障系统的正常运行部件只有一个。当主部件在工作过程中发生失效时，系统自动或人工切换至一个备用部件，若第一个备用部件此时也发生失效，则切换至第二个备用部件，直至该单元所有部件都失效，则单元失效[8]。

休眠因子α被定义为部件备用时的失效率与工作时的失效率之比，备用部件可分为冷备(α=0)、温备(0<α<1)和热备(α=1)三种类型。以温备为例，“备用”关系所构建的DTBN如图2(c)所示。假设主部件A和备用部件B的失效率都是λ，B的休眠因子为α(0<α<1)，则B的条件概率分布为

Px，y=P(B=[(y-1)Δ，yΔ)|A=[(x-1)Δ，xΔ))=

( 5 )

Px，∞=P(B=[T，∞)|A=[(x-1)Δ，xΔ))=

( 6 )

P∞，y=P(B=[(y-1)Δ，yΔ)|A=[T，∞))=

( 7 )

P∞，∞=P(B=[T，∞)|A=[T，∞))=

( 8 )

Px，y，z=P(C=[(z-1)Δ，zΔ)|A=

[(x-1)Δ，xΔ)，B=[(y-1)Δ，yΔ))=

( 9 )

除了前面所描述的4种节点之间的逻辑关系，还存在其他的逻辑关系[9]。在确定网络中各个节点之间的关系后，依据相关历史数据和专家经验，得到节点的条件概率分布；之后，通过输入对应的先验信息来实现对时序系统相关概率的评估与分析。在构建离散时间贝叶斯网络之后，通过输入节点的先验概率分布和联合概率分布，可以计算出各个结果在时间区间T内发生的概率。

1.2 车载设备的离散时间贝叶斯网络构建

列车在正常运行过程中，车载设备有两种控车模式：C3控制模式(X1)和C2控制模式(X2)。通过对CTCS-300H型车载设备结构和工作原理的深入分析，构建车载设备在两种工作模式下的DTBN，如图3所示。其中贝叶斯网络中的符号含义见表1。

图3 基于不同模式下的DTBN

符号含义符号含义R车载设备故障RLU继电器逻辑单元X1C3模式故障X2C2模式故障TCR1轨道电路信息接收单元1系TCR2轨道电路信息接收单元2系RTM1无线传输模块1系RTM2无线传输模块2系SDU1测速测距单元1系SDU2测速测距单元2系BTM1应答器传输模块1系BTM2应答器传输模块2系C3CU1CTCS-3控制单元1系C3CU2CTCS-3控制单元2系DMI1人机界面1系DMI1人机界面2系C2CU1CTCS-2控制单元1系C2CU2CTCS-2控制单元2系

无线传输模块包括RTM主板、GSM-R天线和车载无线电台；应答器传输模块则包括BTM主板和BTM天线。

1.3 车载设备的可靠性分析

假设模块的硬件故障概率分布符合指数分布，则失效率λ[10-13]见表2。

表2 车载设备子模块的故障率

在20 h内进行贝叶斯网络正向推理得到不同工作模式下车载设备的可靠度变化曲线如图4所示。

图4 T=20 h的事件X1和X2的可靠度比较

随着工作运行时间的增加，事件X1和事件X2的可靠性逐渐下降，两个事件的可靠度曲线变化相似，但实际上两者在各个时间点的可靠度却不相同。通过仿真结果可以发现，设备在运行20 h后X1的可靠度开始小于X2，即车载设备在C3状态下运行的可靠度下降速度大于在C2状态下的下降速度。

1.4 子模块的可靠性分析

假设车载设备的可靠性下降到一定程度时，采用贝叶斯网络的反向推理特性，推导出当整个系统失效时各个单元模块故障的概率，参照故障率的大小，为车载设备制定后续维修策略提供参考依据。

在C3模式下，若车载设备发生失效，则各个单元发生故障的概率见表3。

表3 C3级模式失效情况下各个模块单元的故障概率

根据表3可知，当车载设备失效时，RLU模块故障的可能性最大，因此在后续过程中，应加强对RLU的检修；然后依次是SDU、RTM、C3CU。DMI和BTM是双系冷备结构，即当模块的1系发生失效时，系统可切换至2系工作，因此整个模块可以正常工作。

同理，若车载设备运行在C2模式下时，则各个子模块可能失效的概率见表4。

表4 C2级模式失效情况下各个模块单元的故障概率

根据表4可知，车载设备在C2模式下，RLU失效的可能性最高，其次是SDU。

综上所述，从车载设备失效的角度出发，各个单元模块的重要度排序：RLU、SDU、RTM、C3CU、C2CU、TCR、BTM、DMI。所以在日常检测过程中应加强对RLU、SDU等模块的检测。

1.5 车载设备的可靠性实时变化分析

建立基于模块失效的车载设备DTBN如图5所示，其中E表示车载设备。

图5 基于模块失效的DTBN

车载设备的很多硬件模块采用了冗余结构，当设备的1系发生故障时，通过倒系的手段切换到2系，以保证系统的正常运行。以BTM为例，假设当T=10 h时，BTM的1系故障，车载设备实时可靠性的变化趋势如图6所示。

图6 BTM1系失效对车载设备的可靠性影响

由仿真结果可以发现，系统可靠性的下降速度在BTM的1系发生故障后加快；在1系发生故障的状态下连续运行10 h之后，系统的可靠度下降至0.9以下。因此，在现实情况下需要尽量提高该模块的可靠性。

2 基于弹复力的列控车载设备可靠性分析

2.1 系统弹复力的定义

在运行过程中，系统不可避免地会发生故障，故障发生的原因大部分是由于系统内部自身的结构因素以及外界环境的干扰。外界环境的干扰主要是运行环境方面，如极端的天气情况(降雪、大风、雾霾、雷击等)。内部因素主要是由于系统连续不间断的运行，内部硬件经过长时间的运行会出现零器件的磨损，线路表面老化等问题；除硬件故障外，车载设备的软件也会发生信息丢失、程序死机等问题，这些称为系统的不利干扰。从系统可靠性的角度来看，当系统受到不利干扰后，设备无法正常工作，从而引发系统的可靠性下降；当系统的可靠性降低到一定程度时，系统的弹性恢复能力(简称弹复力)开始发挥作用，通过恢复系统的基本功能来提升系统的可靠性。对于一个可靠的系统来说，当系统的某个单元发生故障时，存在备用模块或者备用方案来恢复系统的基本功能，以保障系统的正常运行，这一过程称为系统的弹复过程。在弹复过程中系统可靠性的变化趋势如图7所示。

图7 系统弹复过程的可靠性变化

弹复力是对系统响应故障失效能力的一个量化，也是侧面表征系统可靠性大小的一个参数指标，即系统的弹复能力越大，说明系统的可靠性程度越强。系统的弹复力与可靠性的结构关系如图8所示。

图8 弹复力与可靠性的关系

本文将列控系统的弹复力定义为：系统在正常运行状态过程中，由于系统内部潜在故障或外部突发干扰引起系统功能中断的情况下，系统内部被动或由外部主动因素进行系统状态修复，再恢复到正常运行状态的响应能力。

系统的弹复过程可以大致分为3个过程：(1)运行前期：正常运行阶段，此阶段是系统功能全部正常的时期。(2)调整期：此阶段由于不利干扰的存在，导致系统的部分功能或是大分部功能失效，此时，系统自发地采取如切换至备用部件或进行系统重启等措施，以保证系统的正常运行。(3)运行后期：系统恢复基本功能，该阶段是系统通过自身的恢复措施进行调整后，恢复到基本正常状态的阶段。在运行前期，系统的各个部件正常运行。在调整期间，由于不利干扰的出现，致使系统功能部分失效而无法保证其正常运行，故障发生的原因可能是系统的硬件设备发生故障或是软件运行错误等。运行后期，系统通过自身的调整基本恢复至正常状态。在弹复过程中系统功能变化如图9所示。

图9 弹复过程中系统功能的变化

2.2 系统的弹复力评估方法

为了能够有效地测量系统的弹复力大小，文献[1]提出了一种用于评估社区应对地震发生的弹复能力的概念模型，之后文献[14]又提出了“弹性三角”的概念，如图10所示。

图10 弹性三角模型

三角形的纵轴表示系统在遭遇干扰后系统功能的减少百分比，横轴表示恢复所需要时间。图10中横坐标表示系统工作时间，td表示干扰发生的时间；tr表示系统功能恢复到正常状态的时间；纵坐标表示系统完成正常功能的能力，定义P0为发生干扰时系统的可靠度大小。

文献[15]在文献[1]的基础上提出了一种更为精确的用于评估系统弹复能力的综合模型，该模型被用于评估医院网络的弹复力水平，最终的评估结果被作为提高医院弹复能力水平的决策依据。

在用于评估基础设施的弹复能力时，文献[2]定义了弹复力的计算公式为

(10)

式中：TRE=tr-td表示系统从干扰造成的中断恢复到正常状态所需要的时间；Q(t)表示完成正常功能的能力，规定系统正常状态下Q(t)=1。Q(t)定义为[16-17]

Q(t)=1-L[H(t-td)-H(t-

(td+TRE))]frec(t)

(11)

式中：L为系统在发生干扰时，可靠度降低的差值。

L=1-R(td)

(12)

frec为系统的恢复函数，文献[18]针对不同的系统提出了3种类型的恢复方程，分别是线性恢复方程、三角函数恢复方程和指数函数恢复方程。其中，线性恢复方程一般应用于结构简单的系统；三角函数恢复方程一般应用于结构较复杂且应急防护资源有限的系统；指数恢复方程一般应用于结构复杂且应急恢复体系比较完善的系统。本文采用指数方程来计算车载设备的弹复能力，定义恢复方程为

frec(t)=exp[-(t-td)(ln200)/TRE]

(13)

本文采用DTBN对车载设备在运行过程中的可靠性进行分析，针对车载设备在两种工作模式下的可靠性大小进行定量计算，并以BTM模块为例，分析了车载设备中冷备模块的1系发生故障时，系统可靠度的整体变化趋势。根据系统弹复能力计算公式可知，在计算车载设备的弹复能力时，需确定车载设备发生故障时刻的可靠度大小；基于前一部分对车载设备可靠性分析的基础上，计算行车过程中车载设备发生故障后系统的弹复能力。

2.3 系统弹复能力评估实例分析

由于系统受到不利干扰而引发的设备故障，按照维修所需的时间可分为短期维修和长期维修两种类型。本文对运行过程中的车载设备进行分析，实时性要求较高，所以重点对短期维修性故障进行分析，该故障类型可分为短期可恢复故障和短期不可恢复故障两种。本文针对这两种故障对车载子系统的弹复能力进行评估。

短期可恢复故障是指当车载设备的某个模块发生故障时，存在备用部件或后备方案来保证车载设备的正常运行。

对于BTM模块，由于采用了冗余结构，每套CTCS-300H型列控车载设备包含两个BTM。在运行过程中，一个工作，一个处于冷备状态。因此，当1系发生失效时，可以通过司机手动切换BTM的手段使系统切换到2系，从而保证系统可以在短时间内恢复到正常状态。在列车运行过程中，假设在T=30 h时，由于干扰导致BTM的1系状态异常进而发生失效，则系统的功能恢复曲线如图11所示。

图11 BTM1系故障时车载设备的功能恢复曲线

其中，当T=30 h时，通过建立的离散时间贝叶斯网络，以及在C3工作模式下各个模块的失效率，计算出此时系统的可靠度为0.801 5，因此计算出L的值为0.198 5。根据式(10)，计算当发生该类型故障时，车载系统的弹复能力为96.32%。

对于制定了后备方案的短期可恢复故障，如RTM模块失效。已知车载设备的无线传输模块由RTM、无线电台和电台天线组成。当车载设备报无线电台连接超时，会引起RTM模块发生失效，此时系统无法在C3控车模式下运行，列车会采用不停车降级运行的措施，即由C3控车模式降至C2控车模式，从而在保证列车运行安全的情况下，提高行车效率。假设在T=30 h时，车载设备报无线连接超时，即RTM模块失效，则车载设备的功能恢复曲线如图12所示。

图12 无线连接超时情况下车载设备的功能恢复曲线

根据式(10)，计算出此时车载系统的弹复能力为96.32%。综上所述，当发生短期可恢复故障时，系统可以较好地恢复到原正常状态。

对于短期不可恢复故障，如车载设备的RLU模块发生失效，此时车载设备的系统功能曲线如图13所示。

图13 短期不可恢复故障

如图13所示，当车载子系统发生不可恢复的故障时，其恢复时间可近似为无穷大，即TRE=∞，则frec的值取1，同时L也取值为1。依据式(11)，Q(t)的值为0，通过式(10)得出此时车载设备的弹复能力为0。

2.4 基于弹复力效应的故障恢复策略

通过对车载设备的分析，从减少系统的弹性复原时间、降低系统的故障率等方面加以考虑，具体的改进措施和维修策略如下：

(1)在车载设备的设计初期，对于系统中的关键性模块，应提高其冗余程度，如在车载设备的运行过程中，若某个主要模块或单元失效时，存在备用部件以保证系统的可靠运行。

(2)选择合适的冗余方案，在确保列车安全运行的前提下，同时考虑运行效率和生产成本，对不同的模块采取合理的冗余方式，最大限度地提升系统的复原能力。

(3)结合历史经验，设置消息报警机制，在车载设备的运行过程中，对于可能遇到的干扰采取提前报警的措施。

(4)建立一整套故障响应服务体系，在系统发生故障后可以快速地对故障进行应对处理，以保障系统的可靠运行。

(5)当多个模块同时发生故障时，优先针对影响范围大的模块或单元进行修复，以降低故障对整个系统的影响，从而尽可能保障系统的正常运行。

相对于车载设备来说，关键的模块或单元应采用冗余的设计方式，对于车载设备功能影响程度较大的模块采用热备的冗余方式，而影响程度相对较小的则采用冷备的冗余方式。

3 结束语

本文在定义了弹复力概念的同时，采用离散时间贝叶斯网络方法，对列控系统的车载子系统展开了可靠性分析，并针对车载设备在运行过程中发生不同类型故障时的弹复能力进行定量计算。根据分析结果提出了基于弹复力效应的故障恢复策略。本文为车载设备的弹复能力评估提供了参考，对后续的设备维修和日常管理提供了理论依据，在降低系统故障率的同时也降低了系统发生故障所造成的损失。

本文只针对车载设备硬件的功能可靠性和弹复能力进行分析，结果表明车载子系统在发生短期可恢复故障的情况下，能够较好地恢复到系统的正常状态，从而保证车载设备的可靠运行。

参考文献：

[1]TAMVAKIS P,XENIDIS Y.Resilience in Transportation Systems[J].Procedia-Social and Behavioral Sciences,2012,48:3441-3450.

[2]BRUNEAU M,CHANG S E,EGUCHI R T,et al.A Framework to Quantitatively Assess and Enhance Seismic Resilience of Communities[J].Earthquake Spectra,2003,19(4):733-752.

[3]DEKKER S,HOLLNAGEL E.Resilience Engineering:New Directions for Measuring and Maintaining Safety in Complex Systems[D].Lund:Lund University School of Aviation,2010.

[4]STEEN R,AVEN T.A Risk Perspective Suitable for Resilience Engineering[J].Safety Science,2011,49(2):292-297.

[5]KALLANTZIS A,SOLDATOS J,LAMBROPOULOS S.Linear Versus Network Scheduling:a Critical Path Comparison[J].Journal of Construction Engineering and Management,2007,133(7):483-491.

[6]中国铁路总公司.列控车载设备典型故障案例[M].北京:中国铁道出版社,2013.

[7]袁敏.基于弹复力的列控系统可靠性实时分析方法研究[D].北京:北京交通大学,2016.

[8]劳沙德.系统可靠性理论:模型、统计方法及应用[M].北京:国防工业出版社,2010.

[9]周忠宝,周经伦,孙权.基于离散时间贝叶斯网络的动态故障树分析方法[J].西安交通大学学报,2007,41(6):732-736.

ZHOU Zhongbao,ZHOU Jinglun,SUN Quan.Dynamic Fault Tree Analysis Method Based on Discrete-time Bayesian Networks[J].Academic Journal of Xi'an Jiaotong University,2007,41(6):732-736.

[10]ZIO E,GUEDES S C.Safety and Reliability for Managing Risk[J].Reliability Engineering & System Safety,2008,93(12):1779-1780.

[11]邸丽清,袁湘鄂,王永年.CTCS-3级列控系统RAM指标评价方法研究[J].中国铁道科学,2010,31(6):92-97.

DI Liqing,YUAN Xiange,WANG Yongnian.Research on RAM Index Evaluation Method of CTCS-3 Train Control System[J].China Railway Science,2010,31(6):92-97.

[12]中国铁路总公司.高速铁路信号维护规则[M].北京:中国铁道出版社,2016:14-15.

[13]SU H S,CHE Y L.Reliability Assessment on CTCS-3 Train Control System Using Fault Tree and Bayesian Network[J].International Journal of Control and Automation,2013,6(4):271-291.

[14]TIERNEY K,BRUNEAU M.Conceptualizing and Meas-uring Resilience:a Key to Disaster Loss Reduction[J].TR News,2007,250:14-17.

[15]ZOBEL C W.Representing Perceived Tradeoffs in Defining Disaster Resilience[J].Decision Support Systems,2011,50(2):394-403.

[16]CIMELLARO G P,FUMO C,REINHORN A M,et al.Quantification of Seismic Resilience of Health Care Facilities[J].Engineering Structures,2009,75(3):2221-2239.

[17]CIMELLARO G P,REINHORN A M,BRUNEAU M.Framework for Analytical Quantification of Disaster Resilience[J].Engineering Structures,2010,32(11):3639-3649.

[18]CIMELLARO G,REINHORN A,BRUNEAU M.Seismic Resilience of a Hospital System[J].Structure & Infrastructure Engineering,2010,6(1):127-144.