谭富民 刘莉娜 罗云飞

摘  要：随着地铁的快速发展，人们在追求舒适性、高效性和经济性等方面的同时，也越来越关注无人驾驶地铁的安全性。在地铁无人驾驶系统中，通常要求牵引传动控制单元满足SIL2级功能安全。本文基于功能安全标准EN50128、EN50129，通过FMEC方法对危害性进行分析，得出控制系统的功能安全需求，并阐释牵引控制功能安全模块的设计与SIL2证书的获得。

关键词：牵引控制单元  功能安全  DI模块  DO模块

中图分类号：U284.48           文献标识码：A            文章编号：1674-098X（2021）04（c）-0076-03

Design of Functional Safety Module Based on Traction Control Unit

TAN Fumin  LIU Lina  LUO Yunfei

（1.CRRC Zhuzhou Institute Co.，Ltd.， Zhuzhou， Hunan Province， 412001 China; 2.Hunan Automotive Engineering Vocational College， Zhuzhou， Hunan Province， 412001 China）

Abstract： With the fast development of subways， the safety of unmanned subway services have attracted more and more attention， along with that on the convenience， efficiency， low cost， and other aspects of the services. In general， the traction drive control unit of automatic subways is designed to meet Safety Integrity Level （SIL） 2 functional safety requirements. Based on the functional safety standards EN 50128 and EN 50129， this paper has performed failure mode effects and criticality （FMEC） analysis， found out the functional safety requirements of the control system， and designed the functional safety module capable of SIL 2 certification.

Key Words： Traction control unit ; Functional safety; DI module; DO module

近年來，我国大力发展城市轨道交通，而安全是城市轨道交通发展面临的重要问题，如果牵引控制系统一旦出现故障，将会危及人身安全和造成财产损失[1]。牵引传动控制单元为地铁的心脏，其可靠性关系着地铁的安全性和稳定性。目前，牵引传动系统的核心控制单元安全等级仅达到SIL0，尚不能满足无人驾驶SIL2的安全要求[2]。

本文从无人驾驶场景基本的安全功能需求进行危害识别和风险分析，获得功能安全模块的开发需求，设计符合需求的功能安全DI模块和安全DO模块。在运行过程中，安全模块一旦出现故障，牵引控制系统将导向安全态。

1  危害识别和风险分析

风险分析通过识别系统在寿命周期内可能发生的风险事故，对这些事故造成的人员和财产损失进行评估，由此分析与确定出如何消除或减少这些风险的方法和措施[3]。

危害识别常用的方法有FMEC（Failure Mode Effects and Criticality Analysis，故障模式、影响及危害分析）、FTA（Fault Tree Analysis，故障树分析法）、HAZOP（Hazard and Operating Study，危害与操作性研究）等[4]。……