鐵道車(chē)輛基于EN 15380-4的功能危害分析

張熒驛，侯 鑫，田雪艷，李 娜，傅振亮

(中車(chē)唐山機(jī)車(chē)車(chē)輛有限公司 產(chǎn)品研發(fā)中心，河北 唐山 064000)

功能危害分析(Function Hazard Analysis,FHA)是一種適航安全性分析技術(shù)，民機(jī)適航合格審定過(guò)程中，需要對(duì)系統(tǒng)進(jìn)行安全性評(píng)估[1-2]。在投入大量時(shí)間和人力進(jìn)行系統(tǒng)安全性評(píng)估之前，通常要對(duì)系統(tǒng)預(yù)期的功能進(jìn)行FHA。FHA的優(yōu)點(diǎn)在于能在設(shè)計(jì)的早期，在沒(méi)有也不需要有細(xì)節(jié)設(shè)計(jì)信息時(shí)，就能提供關(guān)鍵性的設(shè)計(jì)指南。

近年來(lái)，F(xiàn)HA正在作為一種執(zhí)行危害識(shí)別的方法逐漸被推薦使用，并在軌道交通行業(yè)得到了廣泛的應(yīng)用[3-4]。但是由于它是演繹式的，所以不可能證明分析是否完全徹底。因此為了得到一個(gè)可靠的結(jié)論必須采用完善的系統(tǒng)分析方法來(lái)完成FHA。

目前，國(guó)內(nèi)多家主機(jī)廠在鐵道車(chē)輛的設(shè)計(jì)、生產(chǎn)等環(huán)節(jié)應(yīng)用了編碼標(biāo)識(shí)系統(tǒng)[5]。歐洲制定的一系列編碼標(biāo)識(shí)系統(tǒng)標(biāo)準(zhǔn)中，EN 15380-4：2013《鐵路應(yīng)用 鐵道車(chē)輛分級(jí)系統(tǒng) 第4部分 功能組》(以下稱(chēng)EN 15380-4)規(guī)定了功能導(dǎo)向結(jié)構(gòu)標(biāo)識(shí)的原則，根據(jù)標(biāo)準(zhǔn)化的功能列表來(lái)構(gòu)建功能要求和用例，從概念開(kāi)始，并擴(kuò)展到整個(gè)產(chǎn)品生命周期[6]。EN 15380-4適用于歐洲所有類(lèi)型的機(jī)車(chē)車(chē)輛，但是部分功能不適用于我國(guó)鐵道車(chē)輛，需要根據(jù)具體的分析對(duì)象進(jìn)行識(shí)別[6]。

因此，本文提出了一種基于EN 15380-4的功能危害分析的新方法，是對(duì)現(xiàn)有的鐵道車(chē)輛安全性分析技術(shù)的補(bǔ)充和完善。

1 傳統(tǒng)功能危害分析

傳統(tǒng)FHA是將產(chǎn)品的功能以清單的方式列出，以檢查產(chǎn)品的各個(gè)功能，識(shí)別其功能失效狀態(tài)，并根據(jù)嚴(yán)重程度對(duì)其進(jìn)行分類(lèi)的一種安全性分析方法。

FHA過(guò)程是一種自上而下的確定功能的故障狀態(tài)并對(duì)其影響進(jìn)行評(píng)估的方法，具體分析過(guò)程如下[1]：

(1) 確定與所分析產(chǎn)品層次相關(guān)的所有功能及完成功能的有關(guān)環(huán)境條件，包括內(nèi)部功能和交互功能；

(2) 確定并描述與功能相關(guān)的故障狀態(tài)，考慮正常和退化環(huán)境中單個(gè)或多重故障的情形；

(3) 確定故障狀態(tài)的影響；

(4) 確定故障狀態(tài)對(duì)整機(jī)的影響分級(jí)。

2 基于EN 15380-4的功能危害分析

基于EN 15380-4的功能危害分析流程如下：

(1) 對(duì)產(chǎn)品進(jìn)行系統(tǒng)分析，繪制產(chǎn)品的邊界圖和功能框圖；

(2) 根據(jù)EN 15380-4的格式對(duì)車(chē)輛進(jìn)行功能分析，形成功能分解結(jié)構(gòu)(Functional Breakdown Structure,FBS)；

(3) 根據(jù)FBS，對(duì)車(chē)輛功能進(jìn)行功能危害分析(FHA)；

(4) 根據(jù)FHA的結(jié)果，識(shí)別安全關(guān)鍵功能(嚴(yán)重度等級(jí)為Ⅰ或Ⅱ)和安全相關(guān)功能(嚴(yán)重度等級(jí)為Ⅲ或Ⅳ)；

(5) 將識(shí)別的結(jié)果填入相應(yīng)表格中。

2.1 基于邊界圖和功能框圖的系統(tǒng)分析

首先對(duì)系統(tǒng)進(jìn)行分析和定義，明確系統(tǒng)的輸入和輸出關(guān)系，主要包括結(jié)構(gòu)邊界、接口、預(yù)期功能等，從而確定危害分析的范圍。

采用邊界圖方法，描述分析的邊界范圍和接口，說(shuō)明各組件、零部件之間的關(guān)系，一般包括物理接口(P)、能量接口(E)、材料接口(M)和信息接口(I)四方面(圖1)。

圖1 邊界圖示例

2.2 基于EN 15380-4的功能分解結(jié)構(gòu)

按照EN 15380-4將車(chē)輛的功能按層級(jí)進(jìn)行分解，稱(chēng)之為FBS。根據(jù)實(shí)際的層級(jí)需求進(jìn)行定義，可以延伸到5級(jí)功能[6]：1級(jí)，通常是車(chē)輛的一般規(guī)范或車(chē)輛系統(tǒng)的需求，如表1所示；2級(jí)，為完成1級(jí)功能的擴(kuò)充主功能；3級(jí)，為完成2級(jí)功能的擴(kuò)充子功能；4級(jí)，為完成3級(jí)功能而貢獻(xiàn)的任務(wù)功能；5級(jí)，執(zhí)行4級(jí)功能所必要的活動(dòng)的功能。

表1 EN 15380-4的1級(jí)功能

EN 15380-4對(duì)功能的定義包括功能編號(hào)、功能描述、說(shuō)明三部分，涵蓋了與系統(tǒng)和設(shè)備(如輪對(duì)和轉(zhuǎn)向架、車(chē)門(mén)、制動(dòng)和牽引)相關(guān)的功能。以車(chē)門(mén)系統(tǒng)的“開(kāi)啟外部車(chē)門(mén)”5級(jí)FBS為例進(jìn)行說(shuō)明，如表2所示。

表2 EN 15380-4的5級(jí)FBS示例

2.3 基于EN 15380-4的功能危害分析

在EN 15380-4系統(tǒng)FBS的基礎(chǔ)上，確定和描述各項(xiàng)功能的失效狀態(tài)和產(chǎn)生的影響，并根據(jù)影響的嚴(yán)重程度等級(jí)劃分，識(shí)別出安全相關(guān)的功能，稱(chēng)之為FHA，表3所示為FHA模板。

根據(jù)EN 50126-1：2017規(guī)定的危害嚴(yán)重度等級(jí)[7]劃分嚴(yán)重度等級(jí)，如表4所示。

根據(jù)MIL-STD-882E的安全關(guān)鍵功能定義[8]，將嚴(yán)重度等級(jí)為Ⅰ和Ⅱ的安全功能歸類(lèi)為安全關(guān)鍵功能(Safety-Critical Function，SCF)；將嚴(yán)重度等級(jí)為Ⅲ和Ⅳ的安全功能歸類(lèi)為安全相關(guān)功能(Safety-Related Function，SRF)。

表3 基于EN 15380-4的FHA模板

表4 危害嚴(yán)重度等級(jí)

3 功能危害分析實(shí)例

以鐵路客車(chē)塞拉門(mén)為例進(jìn)行分析。

3.1 系統(tǒng)分析

塞拉門(mén)由門(mén)扇、承載驅(qū)動(dòng)機(jī)構(gòu)、導(dǎo)向裝置、氣控單元、鎖閉機(jī)構(gòu)、故障隔離鎖、緊急解鎖裝置、內(nèi)/外操作裝置、防凍裝置、電控系統(tǒng)等組成[9]?；驹頌椋簹饪貑卧ㄟ^(guò)各種氣路元件及控制閥的作用，控制無(wú)桿風(fēng)缸及開(kāi)關(guān)鎖風(fēng)缸、解鎖風(fēng)缸的動(dòng)作，實(shí)現(xiàn)門(mén)的電控氣動(dòng)開(kāi)關(guān)。當(dāng)車(chē)速小于5 km/h時(shí)，判定“車(chē)輛靜止”，門(mén)控器處于“非安全狀態(tài)”，門(mén)可以打開(kāi)；當(dāng)車(chē)速大于5 km/h時(shí)，判定“車(chē)輛不靜止”，門(mén)控器處于“安全狀態(tài)”，除了緊急解鎖外，其他方式均不能將車(chē)門(mén)打開(kāi)[10]。

對(duì)塞拉門(mén)進(jìn)行邊界圖分析，如圖2所示。

圖2 塞拉門(mén)邊界圖

對(duì)塞拉門(mén)的外部接口功能及實(shí)現(xiàn)形式進(jìn)行分析，如表5所示。

表5 塞拉門(mén)外部交互關(guān)系清單

3.2 功能分解結(jié)構(gòu)

依據(jù)表2所示的EN 15380-4的5級(jí)FBS，識(shí)別出符合塞拉門(mén)功能的FBS如表6所示。

3.3 功能危害分析

在表6塞拉門(mén)FBS的基礎(chǔ)上，采用表3的模板進(jìn)行FHA，確定和描述塞拉門(mén)各項(xiàng)功能的失效狀態(tài)和產(chǎn)生的影響，并根據(jù)表4所示的危害嚴(yán)重度等級(jí)劃分，識(shí)別出塞拉門(mén)的SCF和SRF，如表7所示。

從以上分析得出，“緊急情況下塞拉門(mén)無(wú)法開(kāi)啟”和“列車(chē)運(yùn)行時(shí)塞拉門(mén)異常開(kāi)啟”對(duì)應(yīng)的功能“確保緊急情況下塞拉門(mén)能夠開(kāi)啟”和“阻止塞拉門(mén)異常開(kāi)啟時(shí)列車(chē)運(yùn)行”為塞拉門(mén)的SCF，因此在早期設(shè)計(jì)階段，將其定義成較高的安全性要求，以便在以后的設(shè)計(jì)階段進(jìn)行安全設(shè)計(jì)和控制，轉(zhuǎn)換為可實(shí)施的硬件和軟件。

表6 塞拉門(mén)FBS示例

表7 基于EN 15380-4的塞拉門(mén)FHA示例

4 結(jié)論

本文從安全功能分析的角度建立了基于EN 15380-4的功能危害分析方法，是對(duì)現(xiàn)有的鐵道車(chē)輛的安全性分析技術(shù)的補(bǔ)充和完善。依據(jù)EN 15380-4

識(shí)別鐵道車(chē)輛的功能分解結(jié)構(gòu)，并對(duì)每個(gè)功能節(jié)點(diǎn)進(jìn)行功能危害分析，識(shí)別出安全關(guān)鍵功能和安全相關(guān)功能，可為后續(xù)產(chǎn)品的正向設(shè)計(jì)提供指導(dǎo)。