1发展轨道交通的前景
　　
　　2007年11月14日,国家发改委批准了《北京市城市快速轨道交通近期建设规划》。
　　
　　根据规划,北京将在2007年至2015年间,规划建设轨道交通项目19项,施工线路长度447公里,连同2007年以前投入运营的三条线路114公里,最终形成19条线路561公里的轨道交通线网规模。建设运量大、速度快的轨道交通已成为现代城市的必然选择。
　　
　　以大城市为典型的发展私人轿车来拉动经济的实践表明,现已出现了难以忍受的交通拥堵、事故频繁、燃油短缺、空气恶化、温室效应等诸多问题。事实上,轨道交通在许多大城市公共交通中已担负起主导作用。如纽约、伦敦、巴黎、东京、莫斯科等城市地铁的总长度都有200至400公里,这些城市地铁的年客运量高达几十亿人次,平均日载客量有几百万人次,有的在千万人次以上。这种大运量、快速的轨道交通,是现代化大城市最强有力的干线交通。北京地铁是我国最早修建的地铁,目前总长已达55.5公里,每天运量达150万人次,已成为北京公共交通的骨干。上海建成的地铁1号线和2号线,为缓和紧张的城市交通作出卓越的贡献。值得一提的是香港地铁效益十分显著,运行以来,已运载乘客70多亿人次,大大缓解了紧张的地面交通,在公共交通市场占有率达47%,已成为香港居民生活中不可缺少的交通工具。
　　
　　我国的地铁与轻轨最早在北京建成,但因上世纪80年代采取了发展私人轿车的政策而停顿了很长时间,直到引发上述弊端,而重新回到轨道交通。近年来，由于信息和电力电子等技术的发展,广州地铁采用了多项先进技术,在中国轨道交通领域处于前列地位,继而深圳地铁也将迎头赶上。
　　
　　2大城市的轨道交通与高
　　
　　技术产业切入点
　　
　　在经济全球化中,集中了全国经济总量70%的地域就是巨城市带(Megalopolis),2006年前按国际公认的条件(由法国地理学家在20世纪上半叶提出)评定为世界级巨城市带的有纽约、芝加哥、伦敦、巴黎、东京,2006年后增加了上海。那么这些城市带如何解决交通的呢?只能靠轨道交通来解决,为此必须实现交通的现代化和自动化。
　　
　　商业自动化、计算机、互联网、移动通信等IT/NT技术促进了经济发展,但更重要的是实现交通的自动化,即用IT/NT技术改造自动化。因前者是信息到信息的传递,后者是用信息控制人流、物流、能流。如今,局面正在改变,珠三角的制造业已超过长三角,但高新技术产业仍远落后于长三角。要升级的关键是大力发展IT/NT化的通信,那么除了信息流外,用IT/NT技术推进与控制人流、物流、能流,达到城市带的标准。那么,就目前的经验而论,是以核电、再生能源为动力的轨道交通就是最优选择。而轨道交通中的关键点就是用IT/NT改造其自动化系统与通信系统。事实上,这是轨道交通系统中的“高科技”亮点。例如,上海磁浮列车的全线自动测控系统，其电力电子学与IT/NT系统是由西门子(Siemens)公司承包的。
　　
　　3系统集成的风险及其解
　　
　　决的国际标准
　　
　　2003年,美国与加拿大东部11个州停电,纽约的28条地铁乘客困在地铁中;2005年6月25日莫斯科地铁停电,动用战备应急电源(见图1)。今天轨道交通的大工程在环长三角、珠三角、勃海湾地区将是一个星罗棋布的大网络,保证电力不中断是一专门要研究的课题。
　　
　　在工程上分,有三大产业:一是设备制造商,二是系统运营商，三是系统集成商。按照IEC61508标准，在系统集成时,必须有三方面的基本数据:设备制造商应该提供其产品平均无故障时间等的基本数据;系统运营商应该提供运行历史记录中的各种事故记录；系统集成商应根据以上两类数据，运用IEC61508标准来作风险分析。在这里分析一下这三类产业的现状,在近20多年中国从计划经济转型到市场经济过程中，这三类产业的进展是很不相同的。
　　
　　(1)设备制造商:基本上已从国营、国有转变到私营、合资、外资、上市公司的市场经济,能提供平均无故障时间等的基本数据,但大多被动地做OEM,缺乏提出国际标准等的主动研发能力,更缺乏市场建设能力,如制造商主导的标准(standard)、规则(rule)、法规(regulation)与法律(law)等建设,许多方面与WTO规范的运作有较大的差距。其特色是流通(商业)成本比发达国高很多,而技术成本反而比发达国低很多,这是导致落后的基本原因。
　　
　　(2)系统运营商:运营商在中国从计划经济转制到市场经济的程度不如设备制造商那么深,但已有很大的进展，在轨道交通方面仍是国营的，但标准、规则、法规、法律等在计划经济时代积累下来，有一定的深度与广度，同时轨道交通面对航空公司的竞争，就会有动力。但是，系统运营商提供运行历史记录中的各种事故记录往往不全。
　　
　　(3)系统集成商:过去是由政府部门直属的设计院承担,但如今也转向国有企业,问题就复杂了。系统集成要面对系统运营商,也要面对设备制造商,更要面对政府部门。投资方是政府,包含的技术、经济、政策、公关等等,这些是一个大系统工程。然而,这方面的标准、规则、法规、法律最不完善,也没有从计划经济转制到市场经济的国外经验,在欧美等发达国家已经深入到生产、工程、运行的《电气、电子、可编程控制安全措施》的IEC61508标准在我国尚未普及。
　　
　　2007年4月,全国工业过程测量与控制标准化技术委员会SAC/TC124顾问组在北京开会。全国知名的电气、电子、可编程控制的自动化装备制造商的总工、自动化研究所的副所长、知名大学副校长、集团总裁、各设计院的资深专家与会,讨论的重要议题是IEC61508这一《电气、电子、可编程控电子系统的功能安全措施》内容及IEC的重要标准怎么应用到具体的工程中去,目前大都不会应用。甚至出现这样的情况,有的专家甚至认为IEC61508没有实用价值。
　　
　　2007年5月,IEC/TC65顾问组在中国西安与SAC/TC124顾问组开联席会议。来自德国、法国、美国、英国、丹麦、瑞士的专家与中国专家进行讨论,他们的观点是把IEC61508作为第一个议题,讨论升级版的步骤与进程,这充分反映了中国在这方面与发达国家的差距。本文作者之一沈经研究员参加了这两次会议,事实上,沈经与徐永福已经把IEC61508标准用于广州地铁3、4号线的EPS系统集成。也曾与欧盟委派负责对中国出口的欧盟企业按IEC61508标准对企业进行监督的TÜV专家讨论过。他们说在德国100年前就杜绝了矿难与交通事故的高发现象，关键是IEC标准起了很大作用。而2007年11月第6届工业自动化与标准化国际论坛上IEC61508专家组组长HartmutvonKrosigk的报告成为了热点，并准备在2010年升级。轨道交通的“强电与弱电系统”正是IEC61508所界定的标准,对于系统集成是特别有用的。如今已有企业开始生产这类系统产品。
　　
　　4基于IEC61508的UPS/
　　
　　EPS系统设计与风险等
　　
　　级分担配置
　　
　　过去我国的系统运营商由于没有国际与国家标准的依托,规则、法规又不健全,于是出现两种局面:
　　
　　(1)请国外公司从提供产品到系统工程全部集成,如Siemens、ABB等跨国公司来负责,但这在价格上往往无法承受,于是转嫁由设计院来承担风险。由于在系统集成方面的标准、规则、法规、法律的配合尚不健全,这个风险就相当大。
　　
　　这类风险,在发达国家是从生产活动的底层到市场运作的上层,由标准、规则、法规,到法律一步一步都有保证,各级负责人都有依据来签发或拒签。而目前在中国尚未完善,于是责任人在事故发生后往往直接面对法律来服刑。典型案例是2007年国家生产安全局公布对5大矿难事件中负责人的判刑与2006年对2002年重庆井喷事故的有关责任人从工人、工程师到副总的判刑。事实上仔细分析重庆井喷事故的每一个环节,都有关键的技术问题,特别是标准不全、管理不力、逐级向上报告的规则、法规都不健全,令负责人最后锒铛入狱。
　　
　　基于IEC61508的UPS/EPS系统设计的前提风险等级如表1所示。其中用户事故历史记录是主要的。
　　
　　基于IEC61508的UPS/EPS的系统设计与风险分担的关系如图2所示。
　　
　　5“安全措施完整性”等级SIL的选择
　　
　　在图2中,关键是“安全措施完整性”等级SIL的选择。如果没有用户事故历史记录的情况下,那么由IEC61508的原理来选SIL。
　　
　　1907年,俄国数学家安德烈·安德烈耶维奇·马尔科夫提出链式理论,称做马尔科夫链,该理论表述了一种事件影响另一种事件的可能性问题。IEC61508的理论基础是马尔科夫提出的离散时间随机过程。在该过程中,在给定当前信息的情况下,过去信息对于预测将来信息是无关的,即过去、现在、将来的故障概率分布都是正态的。马尔科夫的离散时间随机过程,与1905年爱因斯坦发表的布朗运动统计理论以及上世纪50年代证明的19世纪统计物理的各态遍历(Ergodic)假说这两个20世纪初期物理学重要课题是相联系的。
　　
　　马尔科夫链(离散时间随机过程)的特点是:对目前的事,其前面的事只与最近的事相关,与过去的事无关。马尔科夫链是对于统计事件的泊松(Poison)分布、大数法则、正态(Gauss)分布的扩展。
　　
　　而根据运营商对事故历史记载的档案,运用IEC61508标准,对轨道交通的UPS/EPS系统,选择“安全措施完整性等级”,见表2。
　　
　　表中的失效是Failure。对于具体工程的责任人根据国标法规、法律来首先设定本工程的SIL等级,由上级批准后再来设计与选型。这样,只要设计得合理,责任也是量化的,就可使工程责任人可以放心地考虑其系统的最优化。
　　
　　这在用户的事故历史记录的数据上,以马尔科夫链的事故随机规律,过去、现在、将来出事故的概率都是正态分布。那么按“6σ管理”来决定SIL。σ是决定制造精度(precision)误差函数正态(Gauss)分布的rms误差,令公称值是μ,产品实际值是X,其分布函数是P(X)。
　　
　　P(μ-σ<X<μ+σ)=0.6827(标准公差σ标准)
　　
　　P(μ-3σ<X<μ+3σ)=0.9973(全面质量管理3σ标准)
　　
　　P(μ-6σ<X<μ+6σ)=0.999999998(Motolora6σ标准,轨道交通SIL3)(见图3)
　　
　　6σ比3σ提高的原因在考虑到误差函数正态(Gauss)分布的漂移(drift),有时也称位移(displacement)和偏移(shift),即长时间后功称值(平均值)不可避免地发生变化。美国学者Bender和Gilson花了近30年的时间独立研究生产流程中的漂移,获得的结果是1.49个σ,为了方便,人们把这种漂移看成1.5个σ的位移。因此,6σ质量水准是对流程减去1.5σ后所得,即6σ-1.5σ=4.5σ。在正态分布的4.5σ处,可以查得的概率值正好是3.4ppm。传统的“3σ原则”下,质量标准的合格率为99.73%。即使在没有任何漂移的情况下,也意味着2700ppm的不合格率。考虑到漂移时是66807ppm。
　　
　　轨道交通的安全权重,必须依照摩托罗拉(Motolora)的6σ标准,远高于目前国标中大量的放射性的环境安全标准。更应当从标准化的角度重新评估核电站设计的物理安全、测量与控制的安全、系统的功能安全、运行的安全规范,从强化标准的设计理念来组织技术组织措施。德国、法国、日本、加拿大工业专家在讨论中国的事故时说早在100年前他们就开始重视生产安全了,到1998年才形成IEC61508标准。
　　
　　6UPS/EPS系统集成的风险分析与三代冗余
　　
　　UPS/EPS系统集成的安全措施——是IEC61508的一个基本手段,分三个阶段:
　　
　　6.1第一代冗余
　　
　　IEC61508在1998年发布之前,主要采取的冗余是整机冗余,主要有两类:
　　
　　(1)串联冗余(见图4);
　　
　　(2)并联冗余(功率均分)(见图5)。
　　
　　6.2第二代冗余
　　
　　IEC61508在1998年发布之初,采取的冗余是部件之间的互通冗余,冗余UPS/EPS之间的通信连接,不在整机输入与输出之间,而在整流、逆变、静态开关之间(见图6)。这种冗余的措施是增加了通信信道,这是根据TÜV数据,在所有节点的网络中的失效率<1%,远小于传感器、E/E/PE、执行器的失效率(见图7)。
　　
　　这一技术方案在成本上最合理，监控上最方便,上传参数更容易。而每台DC-TypeUPS的可用性能达到最高(见图8)[见参考文献2～4]，同时降低了UPS集成系统的风险，达到最高的安全性，并已有应用案例,而进一步的风险分析见参考文献[5]。
　　
　　6.3第三代冗余
　　
　　IEC61508在1998年发布之后,采取的冗余是器件之间的互通冗余,传感器、ADC、DSP、ROM-RAM、CPU、I/O、DAC、DDC、执行器等,以及其相关的软件、通信协议、应用软件、诊断元件之间的冗余(见图9)。
　　
　　三种冗余系统在安全等级要求为AK1-6时的可用性如表3所示。
　　
　　7轨道交通UPS/EPS的具体实现
　　
　　用IEC61508的观点来指导集成系统设计。
　　
　　7.1系统集成设计的第一步
　　
　　系统集成设计第一步已由本文作者之一刘卡丁完成,中心思想是把轨道交通一个车站中的各种电气/电子/可编程电子系统的各个UPS/EPS系统集中,采用一台集中型的UPS/EPS系统,替代每一个站中的各种电子系统设计师各自分散提出的不同功率的UPS，该方案为一台集中型的UPS/EPS,大大节约了成本。
　　
　　7.2系统集成设计的第二步
　　
　　(1)采用沈经与徐永福为广州地铁3号线与部分4号线设计的对蓄电池组单体电池实行内阻监测方案，站内现场总线与全线的局域网集中监控的方案。
　　
　　(2)DC-TypeUPS/“N+1”或DC-TypeUPS/EPS/“N+X”的第2代冗余的高可用性供电。
　　
　　(3)全线各站的UPS/EPS/电池监控通过局域网LAM(如以太网),实现统一监控。
　　
　　7.3系统集成设计的第三步
　　
　　采取的冗余是器件件之间的互通冗余,传感器、ADC、DSP、ROM-RAM、CPU、I/O、DAC、DDC、执行器等,及其相关的软件、通信协议、应用软件、诊断原件之间的冗余。在IEC61508的2010年的升级版上进行微电子学的系统集成。