安全系统用现场总线危险分析及其安全性需求.pdfVIP

旋莉娟等： 安全信息传输系统用现场总线的故障安全概念 设 idj-f(i。j，ej，AtJ) 式中jt与时间相关的信息序号。 j。j：源端发出序号为j的信息： ej：在传输iIj的过程中，因现场总线自身发生的故障或外界的干扰产生的错误累加。 e。也是时问的函数 i拼宿端收到的序号为j的信息 dj不仅是isj， △‘j：序号为j的信息从源端机产生到被宿端机接收的延迟时间。很显然，i e{的函数也是△t。的函数 l‘dj-O：现场总线接收器对应序号为J的信息的宿端机的输出 i¨o现场总线接收器的安全输出 这样，可以将现场总线的故障一安全的概念形式化为： AtjAts。，idJ2i时，有iaj_o=i。j i o=id】_s dj≠i。j或AtjAt。时，有idj 下面我们对现场总线的故障一安全的定义再作深入分析。 第一一·它是对一个指定的现场总线故障集合(故障假设)而言的。 计算机联锁用现场总线可以从物理网络的观点来分析。它是由总线(传输媒体)、节点 中的通信控制器以及把通信控制器连接到总线上的出发链路和进入链路所组成。这些组件 本身或外界的干扰，它们都可能发生永久性或瞬时性故障，或者是随机故障或突发故障。 定时(timing)、拜占廷(Byzantine)。 崩溃故障(Crashfault)引起组件暂停或丢失它的内部状态的故障。具有这种形式的 故障，故障时组件决不经受任何不正确状态的转移。 遗漏故障(Omissionfault)引起组件对某些输入不响应的故障。 定时故障(Timingfault)引起组件过早或过迟响应的故障州定时故障。这种故障有 时也叫行为(性能)故障。 鼍 拜占廷故障(Byzantinefau]t)使组件在失效期问以完全任意方式运转的任意的战 ：‘ 障。 这些故障构成一个等级，崩溃故障是最简单的而且最大限制性的型式。拜占廷是最低 限制性的。它们有如下图所示的包含关系。 通信网络常常要考虑所有上述不同型式的故障。它可能有崩溃故障．在这种情况下， 遁信网络什么也不作(也就是。不接收或不传递任何报文)。它可能丢失报文(遗漏故障) | 毯ti醚 CFTC一8论文集 它可能在过分长的延迟以后传递报文(定时故障)，或者它可能以完全任意方式运转(拜占 廷故障)。 第二·要指定现场总线的安全态 这里必须指出现场总线的安全态不等剧于所传安全信息的安全侧。其道理是很显然 的，道岔的定位状态和反位状态信息对道岔这个个体来说都是安全侧信息。但是把它放在 所摊迸路上来观察，如果道岔的定位状态信息在传输中错成反位状态信息，那将十分危险 的。 还必须区分现场总线内部的安全态和现场总线通信控制器的输出的安全态。现场总线 的内部安全态就是动态的正常丁作状态。一旦发生上述故障不能正常工作时，将现场总线 转移到钝态(passive)，并将通信控制器的输出变为安全态。 t 再一次强调，现场总线的正常I：作状态也是安全状态。这就是功能安全状态。此外， 还必须有无条件安全状态。 第三·现场总线要有安全确认型的自检能力。 这种安全确认型的自检，就是让现场总线经常处于：周期性地持续地工作状态。