康 文

（北京鐵路信號(hào)有限公司，北京 102613）

1 概述

鐵路信號(hào)電子系統(tǒng)/產(chǎn)品包括硬件和軟件兩方面。在信號(hào)系統(tǒng)/產(chǎn)品的整個(gè)生命周期中要將硬件與軟件二者均考慮在內(nèi)。EN50129規(guī)定了系統(tǒng)的以及與安全相關(guān)的硬件的安全驗(yàn)收及批準(zhǔn)條件；提供了鐵路信號(hào)電子系統(tǒng)/產(chǎn)品安全驗(yàn)收和批準(zhǔn)的通用基礎(chǔ)，并為公開(kāi)招標(biāo)采購(gòu)提供標(biāo)準(zhǔn)依據(jù)。

解析EN50129標(biāo)準(zhǔn)的主旨即：鐵路信號(hào)電子系統(tǒng)/產(chǎn)品的生命周期過(guò)程，是以風(fēng)險(xiǎn)管理為核心、以安全完善度等級(jí)為目標(biāo)，采取質(zhì)量管理、安全管理保障以及具體的安全技術(shù)措施，將風(fēng)險(xiǎn)降低到可接受水平的過(guò)程。

2 質(zhì)量安全管理

2.1 安全管理的目標(biāo)

“風(fēng)險(xiǎn)”是安全標(biāo)準(zhǔn)中的關(guān)鍵詞，風(fēng)險(xiǎn)的標(biāo)準(zhǔn)定義是：導(dǎo)致傷害的危害發(fā)生概率及傷害的嚴(yán)重等級(jí)。安全管理的過(guò)程是控制風(fēng)險(xiǎn)的過(guò)程——或是控制危害發(fā)生概率、或是控制傷害的嚴(yán)重等級(jí)、或是二者同時(shí)加以控制，將風(fēng)險(xiǎn)最終控制到可接受的水平。

安全管理最終目標(biāo)是避免危害事件的產(chǎn)生。系統(tǒng)性故障和非系統(tǒng)性故障是造成危害事件的兩大主因，如圖1所示。

在設(shè)計(jì)、生產(chǎn)、操作過(guò)程中的錯(cuò)誤，外部電磁環(huán)境、氣候環(huán)境的影響，以及與系統(tǒng)關(guān)聯(lián)的接口出現(xiàn)問(wèn)題，都將會(huì)衍生為系統(tǒng)性故障。

外部電磁環(huán)境、氣候環(huán)境的影響，以及與系統(tǒng)關(guān)聯(lián)的接口出現(xiàn)問(wèn)題，同時(shí)會(huì)產(chǎn)生隨機(jī)錯(cuò)誤，加之系統(tǒng)各組成部件的隨機(jī)失效造成的隨機(jī)錯(cuò)誤，都將會(huì)衍生為非系統(tǒng)性故障。

降低或消除系統(tǒng)性故障的有效手段是建立質(zhì)量與安全管理保障體系。

2.2 質(zhì)量管理

質(zhì)量管理體系的目的是將系統(tǒng)/產(chǎn)品生命周期中每一階段的人為錯(cuò)誤減小到最少，從而降低系統(tǒng)、子系統(tǒng)或產(chǎn)品的系統(tǒng)性故障的風(fēng)險(xiǎn)。

按照EN50129標(biāo)準(zhǔn)要求，滿足系統(tǒng)/產(chǎn)品安全驗(yàn)收的第一個(gè)條件是：在整個(gè)生命周期內(nèi)，系統(tǒng)、子系統(tǒng)或產(chǎn)品的質(zhì)量已經(jīng)而且持續(xù)被一個(gè)有效的質(zhì)量管理體系所控制。

作為鐵路信號(hào)電子系統(tǒng)/產(chǎn)品的供應(yīng)商，需不斷改進(jìn)完善其質(zhì)量管理體系、提升其質(zhì)量管理體系的成熟度。北京鐵路信號(hào)有限公司（簡(jiǎn)稱北信公司）順應(yīng)時(shí)勢(shì)發(fā)展，在2010年底導(dǎo)入IRIS國(guó)際鐵路行業(yè)標(biāo)準(zhǔn)，IRIS標(biāo)準(zhǔn)結(jié)合鐵路產(chǎn)品的特殊應(yīng)用，強(qiáng)調(diào)風(fēng)險(xiǎn)管理、可靠性、可用性、可維護(hù)性、安全性以及全生命周期管理的核心理念。北信公司依據(jù)標(biāo)準(zhǔn)要求，結(jié)合公司組織架構(gòu)及部門職能分工，以“顧客為關(guān)注焦點(diǎn)”和“過(guò)程的方法”，策劃公司IRIS管理體系為顧客導(dǎo)向過(guò)程、支持性過(guò)程、管理性過(guò)程3大過(guò)程。

顧客導(dǎo)向過(guò)程包括5個(gè)子過(guò)程：即市場(chǎng)營(yíng)銷及合同管理、設(shè)計(jì)和開(kāi)發(fā)、生產(chǎn)制造、產(chǎn)品交付、項(xiàng)目管理和售后服務(wù)。

支持性過(guò)程是指支持顧客導(dǎo)向過(guò)程的功能過(guò)程，是產(chǎn)品實(shí)現(xiàn)所需要的由輸入轉(zhuǎn)化為輸出的相互關(guān)聯(lián)或相互作用的增值活動(dòng)過(guò)程，具體包括9個(gè)子過(guò)程：即文件和知識(shí)管理、資源提供和管理、人力資源管理、采購(gòu)管理、產(chǎn)品防護(hù)管理、監(jiān)測(cè)和測(cè)量設(shè)備管理、技術(shù)狀態(tài)管理、監(jiān)測(cè)和測(cè)量管理、不合格管理。

管理性過(guò)程是指顧客導(dǎo)向過(guò)程的輸入和輸出交接處的過(guò)程，具體包括5個(gè)子過(guò)程。即經(jīng)營(yíng)管理、管理評(píng)審、溝通和數(shù)據(jù)管理、體系內(nèi)審、改進(jìn)管理。

北信公司于2012年1月，以優(yōu)秀的成績(jī)通過(guò)了IRIS認(rèn)證審核，獲得了認(rèn)證證書(shū)，意味著企業(yè)質(zhì)量管理體系成熟度達(dá)到了一定的水準(zhǔn)，并將在此良好的基礎(chǔ)上，繼續(xù)改進(jìn)和提高。

2.3 安全管理

安全管理的目的是在質(zhì)量管理的基礎(chǔ)上進(jìn)一步減少在整個(gè)生命周期中的與安全相關(guān)的人為錯(cuò)誤，從而使安全相關(guān)系統(tǒng)故障殘留風(fēng)險(xiǎn)最小化。

按照EN50129標(biāo)準(zhǔn)要求，滿足系統(tǒng)/產(chǎn)品安全驗(yàn)收的第二個(gè)條件是：系統(tǒng)、子系統(tǒng)或設(shè)備的安全性已經(jīng)而且持續(xù)通過(guò)一個(gè)有效的安全管理程序來(lái)管理。

安全管理過(guò)程貫穿若干個(gè)階段和活動(dòng)，這些階段與活動(dòng)組成安全生命周期；其與EN50126中所定義的系統(tǒng)/產(chǎn)品生命周期相一致。安全生命周期的設(shè)計(jì)和驗(yàn)證部分（安全活動(dòng)）可被視為一個(gè)“V”形圖，如圖2所示。

2.4 質(zhì)量與安全的關(guān)系

質(zhì)量和安全有著必然的關(guān)系，安全的前提是質(zhì)量；同時(shí)衡量質(zhì)量的標(biāo)準(zhǔn)之一是安全，沒(méi)有安全的產(chǎn)品必定是質(zhì)量不合格的產(chǎn)品，兩者之間是統(tǒng)一的，如圖3所示。

在產(chǎn)品的整個(gè)生命周期過(guò)程，始終貫穿著質(zhì)量管理活動(dòng)，以降低系統(tǒng)、子系統(tǒng)或設(shè)備的系統(tǒng)性故障的風(fēng)險(xiǎn)；在質(zhì)量管理的基礎(chǔ)上，實(shí)施安全管理，進(jìn)一步減少在整個(gè)生命周期中與安全相關(guān)的人為錯(cuò)誤，從而使安全相關(guān)系統(tǒng)故障殘留風(fēng)險(xiǎn)最小化。

北信公司于2010年開(kāi)展了“ZPW-2000A無(wú)絕緣軌道電路設(shè)備產(chǎn)業(yè)化安全技術(shù)的研究”項(xiàng)目，ZPW-2000A無(wú)絕緣軌道電路設(shè)備產(chǎn)業(yè)化通過(guò)勞氏鐵路安全認(rèn)定后，進(jìn)一步掌握了EN相關(guān)標(biāo)準(zhǔn)對(duì)安全產(chǎn)品的管理要求，嘗試建立了企業(yè)的CTCS列控產(chǎn)品產(chǎn)業(yè)化安全保障體系框架。2011年起，公司立項(xiàng)開(kāi)展 “CTCS列控產(chǎn)品產(chǎn)業(yè)化安全保障體系的建立”項(xiàng)目，目的是針對(duì)安全相關(guān)的CTCS產(chǎn)品在產(chǎn)業(yè)化設(shè)計(jì)、生產(chǎn)制造、安裝、維護(hù)過(guò)程中所采用安全技術(shù)及其管理模式進(jìn)行研究，建立專用的保障體系，并通過(guò)獨(dú)立第三方（ISA）對(duì)安全保障體系的評(píng)估。產(chǎn)業(yè)化安全保障體系建立后，將融入到IRIS管理體系中，成為IRIS管理體系的組成部分，如圖4所示。

2012年初，北信公司成立了安全技術(shù)測(cè)試部、設(shè)立了安全總監(jiān)，完成安全組織框架的搭建。安全技術(shù)/測(cè)試部將作為項(xiàng)目組外的獨(dú)立測(cè)試確認(rèn)方，對(duì)設(shè)計(jì)開(kāi)發(fā)項(xiàng)目實(shí)施監(jiān)視及確認(rèn)活動(dòng)，必要時(shí)請(qǐng)獨(dú)立第三方進(jìn)行安全評(píng)估，如圖5所示。

3 功能與技術(shù)安全

按照EN50129標(biāo)準(zhǔn)要求，滿足系統(tǒng)/產(chǎn)品安全驗(yàn)收的第三個(gè)條件是：在設(shè)計(jì)上采用可靠的按術(shù)安全原理(如故障導(dǎo)向安全設(shè)計(jì))以及子系統(tǒng)/產(chǎn)品依據(jù)EN50129標(biāo)準(zhǔn)所聲明的安全完善度等級(jí)，包括以下內(nèi)容。

1）設(shè)計(jì)上采用系統(tǒng)的安全技術(shù)措施、設(shè)計(jì)原理和計(jì)算、完整的測(cè)試規(guī)范、安全和風(fēng)險(xiǎn)分析。

2）分析故障的影響，即在發(fā)生隨機(jī)的硬件故障時(shí)，系統(tǒng)/產(chǎn)品持續(xù)滿足指定的安全需求，包括量化的安全目標(biāo)。包含：個(gè)別故障的影響、多個(gè)故障的影響、各個(gè)項(xiàng)目的獨(dú)立性、系統(tǒng)故障的防御，以降低隨機(jī)失效故障的影響。

3）規(guī)定了正確的操作以及操作安全需求，確保正確功能的實(shí)現(xiàn)。

4）規(guī)定了外部影響的范圍和界限，限定安全的應(yīng)用條件。

5）安全資格測(cè)試：證實(shí)在正常操作情況下能夠順利完成質(zhì)量安全測(cè)試。

在EN50129標(biāo)準(zhǔn)中對(duì)安全完整性水平作了詳細(xì)的解釋和定義、列舉了用于識(shí)別硬件組件的故障模式、提出了安全相關(guān)系統(tǒng)/產(chǎn)品詳細(xì)的技術(shù)要求，為執(zhí)行標(biāo)準(zhǔn)提供了可操作性的依據(jù)。

4 結(jié)束語(yǔ)

任何系統(tǒng)/產(chǎn)品的安全首先是由設(shè)計(jì)決定的，必須保證所設(shè)計(jì)的功能及采用的技術(shù)是安全的，質(zhì)量安全管理體系將保證所設(shè)計(jì)的規(guī)范性，以及系統(tǒng)/產(chǎn)品全生命周期的系統(tǒng)性安全。

北信公司作為鐵路信號(hào)電子系統(tǒng)/產(chǎn)品的供應(yīng)商，質(zhì)量安全管理是企業(yè)的立企之本，需要透徹理解EN標(biāo)準(zhǔn)要求，實(shí)施鐵路信號(hào)電子產(chǎn)品產(chǎn)業(yè)化質(zhì)量安全管理，保證質(zhì)量安全體系在實(shí)踐過(guò)程中的持續(xù)改進(jìn)與完善。

[1] EN 50129：2003 signaling and processing systems -Safety related electronic systems for signaling[S]．鐵路應(yīng)用——通信、信號(hào)和處理系統(tǒng)—— 信號(hào)的安全相關(guān)電子處理系統(tǒng)

[2] GB/T 21562-2008 軌道交通 可靠性、可用性、可維修性和安全性規(guī)范及示例[S]．