Bezpieczeństwo i funkcjonalność nowych systemów sterowania ruchem kolejowym produkcji KOMBUD S.A.

Bezpieczeństwo i funkcjonalność nowych systemów sterowania ruchem kolejowym produkcji KOMBUD S.A. ANDRZEJ LEWIŃSKI Wydział Transportu i Elektrotechniki Politechniki Radomskiej 1. WPROWADZENIE Współczesne systemy sterowania ruchem kolejowym w transporcie są systemami komputerowymi, komunikującymi się za pomocą standardów kablowych i bezprzewodowych. W układach tych mamy do czynienia ze współpracą systemu dyspozytorskiego, systemu zdalnego sterowania ruchem oraz systemu zależnościowego z systemami sygnalizacji przejazdowej i blokady liniowej, a także z systemami automatycznego prowadzenia pociągu. Systemy takie, z punktu widzenia bezpieczeństwa i niezawodności, są realizowane poprzez tworzenie specjalnych struktur. Wszystkie obecnie produkowane komputerowe systemy srk posiadają poprzez swoje interfejsy możliwość komunikowania się pomiędzy sobą. Dotyczy to również współpracy w ramach projektu ERTMS, który łączy w sobie dotychczasowe systemy sterowania nadrzędnego i scentralizowanego sterowania zależnościowego oraz systemy automatycznego prowadzenia pociągu (ATP/ATC) z wymaganiami interoperacyjności, realizowanymi między innymi przez bezprzewodowe struktury GSM-R. Przekaźnikowe systemy srk projektowane były jako systemy bezpieczne oparte na regule fail-safe żadne pojedyncze uszkodzenie nie może prowadzi do błędnego wysterowania urządzeń zewnętrznych (sygnalizatora, zwrotnicy). Podstawowo bezpieczeństwo obwodów elektrycznych osiągane było przez: zastosowanie odpowiednich elementów konstrukcyjnych obwodów (np. przekaźniki zabezpieczeniowe określonej klasy) oraz przez odpowiednie ukształtowanie obwodu elektrycznego, zgodnie z opracowanymi przez uprawnione jednostki kolejowe albumy (typowe układy dla poszczególnych systemów srk. Komputerowe systemy srk również opierały się o zasadę fail-safe. Ponieważ uszkodzenie komputerów (0 1, 1 0) były jednakowo prawdopodobne, bezpieczne konfiguracje opierały się na redundancji (układy 2 z 2 lub 2 z 3 ). W związku z wejściem Polski do struktur unijnych obowiązujące stały się normy oznaczone odpowiednio: PN-EN 50126 [1], PN-EN 50128 [2] oraz PN-EN 50129 [3]. W normie PN-EN 50126 określono niezawodność, gotowość, dostępność i bezpieczeństwo (RAMS Reliability, Availability, Maintainability and Safety), jako pro- 17

ces oparty o cykl życia systemu (ang. system life-cycle). W procesie tym zdefiniowano poszczególne etapy systemu i procedury związane z zatwierdzaniem przed przejściem do następnego etapu. (specyfikacja wymagań, projekt., implementacja, itp.). Norma PN-EN 50128 określa procedury i wymagania techniczne dla projektowania oprogramowania bezpiecznego systemu elektronicznego dla sterowania i zabezpieczenia na kolei (norma ta nie jest w pełni obligatoryjna). Norma PN-EN 50129 definiuje wymagania dotyczące projektowania, testowania, odbioru i zatwierdzania elektronicznych systemów, podsystemów i urządzeń sygnalizacji związanych z bezpieczeństwem w zastosowaniach kolejowych. Od ponad 20 lat w kolejnictwie polskim wprowadzane są komputerowe srk. Dosyć interesujące rozwiązania, oparte na oryginalnych, polskich rozwiązaniach proponuje firma KOM- BUD S.A. Są to głównie systemy stacyjne typu MOR obejmujące: komputerowe sterowanie zależnościowe (MOR-3), systemy nadrzędne zdalnego sterowania i kierowania ruchem (MOR-2zs i będący w końcowej fazie prób eksploatacyjnych MOR-2lcsr) współpracujące z komputerowymi i przekaźnikowymi urządzeniami zależnościowymi. Systemy te mogą współpracować z nadrzędnymi systemami innych firm, takich jak ILTOR-2 (Siemens) czy EBISCREEN (Bombardier). Do innych systemów firmy KOMBUD S.A. należy zaliczyć rodzinę sygnalizacji przejazdowych typu RASP. Wszystkie te systemy są realizowane w strukturze dwukanałowej ( 2 z 2 ), przy spełnieniu wszystkich wspomnianych obowiązujących w UE wymagań. Zapewniają też bezpieczną transmisję pomiędzy rozproszonymi komponentami systemu oraz do innych systemów (nadrzędnych, zdalnej kontroli, itp.). W artykule zostanie przedstawiona ogólna charakterystyka wspomnianych wcześniej systemów, oraz analiza ich bezpieczeństwa w oparciu o obowiązujące normy i regulacje prawne. 2. NOWA GENERACJA KOMPUTEROWYCH SYSTE- MÓW SRK FIRMY KOMBUD S.A. 2.1. Systemy stacyjne Komputerowy system urządzeń stacyjnych MOR-3 jest stacyjnym systemem zależnościowym i wraz ze współpracującymi systemami i urządzeniami zapewnia sprawne i bezpieczne sterowanie ruchem pociągów i manewrami (rys. 2). System MOR-3 jest przystosowany do: sterowania z miejscowego komputerowego pulpitu nastawczego, sterowania zdalnego, współpraca z systemem zdalnego sterowania i kierowania ruchem (rys. 1), nastawiania zwrotnic i wykolejnic trójfazowymi napędami zwrotnicowymi, nastawiania sygnałów na sygnalizatorach przytorowych sygnalizacji świetlnej, powiązania z innymi systemami współpracującymi za pośrednictwem wejść/wyjść przekaźnikowych i elektronicznych. System MOR-3 realizuje: nastawianie przebiegów pociągowych i manewrowych, automatyczne zwalnianie przebiegów, doraźne zwalnianie przebiegów, nastawianie sygnałów, Rysunek 1. Współczesne centrum sterowania ruchem kolejowym MOR-2lcsr 18

Rys. 2 Schemat powiązań systemu MOR-3 automatyczną zmianę sygnału zezwalającego na zabraniający po przejeździe taboru lub zmiany stanu urządzeń, indywidualne polecenia nastawcze (np. nastawienie zwrotnicy, nastawienie sygnału zastępczego, skasowanie sygnalizacji rozprucia zwrotnicy i inne), nastawianie zwrotnic przy wyłączonej kontroli niezajętości odcinka izolowanego, sterowanie blokadą (np. zmiana kierunku blokady liniowej). W systemie zaimplementowane są funkcje rejestracyjne, zapewniające gromadzenie i zapisywanie danych zgodnie z przyjętymi zasadami tworzenia dokumentacji archiwalnej. Rejestracja obejmie (w okresie 2 tygodni) wszystkie polecenia przyjęte do realizacji przez komputer oraz występujące zdarzenia alarmowe. System MOR-3 jest wyposażony w urządzenia diagnostyczne realizujące: prezentację bieżącego stanu wybranego elementu systemu, przeglądania danych zarchiwizowanych, prezentacji stanów pracy zasadniczych komponentów systemu oraz elementów infrastruktury, prezentacji wersji oprogramowania i danych aplikacyjnych użytkowanych na danym obiekcie kolejowym oraz kontrolę prądów i napięć w obwodach świateł. Struktura logiczna urządzeń przedstawiona została na rysunku 2. Na prezentowanym schemacie wyróżnione zostały podstawowe warstwy funkcjonalne: poziom interfejsu użytkownika (MOR-2zs lub MOR-1), komputerowych urządzeń stacyjnych oraz obwodów wykonawczych (MOR-3). W systemie wyróżniamy warstwy funkcjonalne: Interfejs użytkownika elektroniczny pulpit nastawczy urządzenia warstwy obsługi i wizualizacji służą do zobrazowania stanu urządzeń srk oraz sytuacji ruchowej w nadzorowanym okręgu. W praktyce sys- 19

tem MOR-3 dostosowany jest do współpracy z dowolnym elektronicznym pulpitem nastawczym. (Podstawowo system MOR-3 współpracuje z pulpitem MOR-1, MOR-2zs lub MOR-2lcsr). Interfejs użytkownika umożliwia współpracę z systemami nadrzędnymi zdalnego sterowania i kierowania ruchem, a w tym z systemami wspomagającymi zarządzaniem ruchem kolejowym, np. SEPE. System zależnościowy odpowiedzialny za bezpieczne nastawianie i zwalnianie przebiegów, oraz kontrolę stanu urządzeń sterowanych. Komunikuje się z urządzeniami przytorowymi poprzez zespół wejść i wyjść oraz z warstwą interfejsu użytkownika (pulpitem nastawczym) za pośrednictwem technik komputerowej transmisji danych. W skład systemu MOR-3 wchodzą komputery zależnościowe oraz zespół wejść wyjść. Urządzenia i systemy przytorowe (napędy zwrotnicowe, obwody torowe, sygnalizatory, itp.). Bezpieczeństwo systemu MOR-3 oparte jest na szeregu zabiegach zapewniających bezbłędne przetwarzanie informacji krytycznych: dwukanałowe przetwarzanie informacji (tylko identyczny rezultat przetwarzania umożliwia przekazanie polecenia do urządzeń zewnętrznych), galwaniczne oddzielenie obwodów zasilania komputerów, obwodów sygnałów meldunkowych, obwodów sygnałów poleceniowych, dynamiczna (niezależnie przez kanał A i B) kontrola stanu zestyków urządzeń srk stanowiących źródło meldunków, kontrola stanu świateł semaforów przez układy pomiarowe typu SENS, meldunki krytyczne o stanie urządzeń odczytywane są na podstawie stanu zestyków biernych jak i czynnych przez każdy komputer zależnościowy. Każdy z komputerów zależnościowych kontroluje inną parę zestyków (zabezpieczenie przed błędami wynikającymi ze zwarć lub przerw w obwodach sygnałów meldunkowych), dynamiczny sposób przekazywania poleceń na wyjściu komputera A i B generowana jest fala o ściśle określonym kształcie, wypełnieniu, amplitudzie i fazie o napięciu 24 V. Sygnały te przekazywane są na wejścia komparatora bezpiecznego (uszkodzenie jednego z komputerów zależnościowych lub jego układu wyjściowego jest wykrywane przez komparator), zgodność stanu przekaźników wykonawczych komparatora kontrolowana jest przez komputery zależnościowe dzięki zwrotnemu odczytywaniu stanu ich zestyków umożliwia to wykrycie uszkodzenia każdego z przekaźników komparatora. Rysunek 3. Dwukanałowa realizacja samoczynnej sygnalizacji przejazdowej RASP-4F Zastosowane rozwiązania są zgodne z zaleceniami i normami UE oraz reprezentują wysoki poziom rozwiązań technicznych. 2.2. Systemy przejazdowe Systemy SSP realizowane są w strukturze dwukanałowej ( 2 z 2 ), co można zauważyć w przypadku systemu RASP 4F produkowanego przez KOMBUD S.A. (rys. 3). Sterowniki PLC zbudowane są w oparciu o dwa identyczne zestawy zbudowane na kasetach tworząc dwa niezależnie działające sterowniki ze wzajemną wymianą danych i synchronizacją pracy poprzez magistralę Ethernet. Schemat systemu z podziałem na moduły i bloki funkcjonalne przedstawia rys. 4. W skład pojedynczego sterownika wchodzą: kaseta bazowa IC695CHS012, zasilacz prądu stałego IC695PSD140, jednostka centralna typu IC695CPU310, interfejs komunikacyjny IC695ETM001, moduł wejść dyskretnych IC694MDL660, moduł wyjść dyskretnych IC694MDL754. W układzie zastosowano bezpieczne sterowanie wyjść oraz bezpieczne czytanie wejść. 20

t di gdzie: λ i intensywność uszkodzeń dla kanału i, 1 czas reakcji systemu na błąd dla kanału i. Dopuszczalne wartości THR dla poziomów bezpieczeństwa SIL przedstawia tabela I. Tabela I. Dopuszczalne wartości THR THR (na godzinę na funkcję) 10 10 10 10 9 8 7 6 THR < 10 THR < 10 THR < 10 THR < 10 8 7 6 5 SIL (Safety Integrity Level) 4 3 2 1 Z bezpieczeństwem systemów srk zakwalifikowanych do poziomu SIL-4 wiąże się również czas diagnostyki usterek pojedynczych: T sf k = 1000 λ (2) Rysunek 4. Schemat blokowy samoczynnej sygnalizacji przejazdowej RASP-4F 3. BEZPIECZEŃSTWO NOWYCH SYSTEMÓW PRODUKOWANYCH PRZEZ KOMBUD S.A. 3.1. Zasady analizy bezpieczeństwa w komputerowych systemach srk Koncepcja bezpiecznych systemów komputerowych stosowanych w kolejnictwie zakłada bardzo małą intensywność usterek, co przy całkowitej niezależności kanałów przetwarzania gwarantuje znikome prawdopodobieństwo wystąpienia usterki podwójnej lub wielokrotnej decydującej o uszkodzeniu katastroficznym (krytycznym). Koncepcja bezpiecznych systemów komputerowych stosowanych w kolejnictwie zakłada bardzo małą intensywność usterek, co przy całkowitej niezależności kanałów przetwarzania gwarantuje znikome prawdopodobieństwo wystąpienia usterki podwójnej lub wielokrotnej decydującej o uszkodzeniu katastroficznym (krytycznym). Podstawą analizy jest akceptowalny, dopuszczalny poziom ryzyka (THR Tolerable Hazard Rate), określony z zależności (bezpieczeństwo systemu zależy nie tylko od intensywności uszkodzeń, ale od czasu detekcji uszkodzeń pojedynczych i podwójnych): n n = λi 1 THR t 1 d i t (1) i= 1 d i= 1 i oraz usterek podwójnych: T2 sf = gdzie: k współczynnik nadmiarowości równy 1 dla systemów 2 z 2 i 0.5 dla systemów 2 z 3, λ suma średnich intensywności uszkodzeń elementów, których jednoczesne uszkodzenie może prowadzić do zagrożenia. 3.2. Bezpieczeństwo systemów produkowanych Dla omawianego wcześniej systemu MOR-3 został oszacowany na podstawie charakterystyk niezawodnościowych producenta modułów sprzętu wskaźnik THR decydujący o bezpieczeństwie zastosowanego (zgodnie z normą PN-EN 50129). Przy założeniu najgorszego przypadku, to jest szeregowego połączenia wszystkich zastosowanych modułów otrzymano następujące średnie wartości czasu pomiędzy uszkodzeniami dla komputera kanału A w sterowniku KFZ MTBF_KFZ_A = 1 / (1/129888 + 1/153000) = 70 249h dla komputera kanału B w sterowniku KFZ MTBF_KFZ_B = 1 / (1/102325 + 1/153000) = 61 319h dla przykładowej konfiguracji komputera kanału A i B w sterowniku KBIO MTBF_KBIO_A/B = 1/(1/132877 + 10* (1/951000) + 8*(1/653000) +6*(1/968804) +1/956204 + 1/160000 +1/165000) = 20 623 [h] 2 λ (3) 21

Przy założeniach czas cyklicznego testowania wejść/wyjść 500ms czas reakcji na błąd wejścia 1s czas reakcji na błąd wyjścia 1s (Czasy te są jednakowe dla kanałów A i B zarówno w sterownikach KFZ i KBIO) Obliczony tolerowany poziom ryzyka THR dla systemu 2 z 2 wynosi dla sterownika KFZ THRS_KFZ = 2,579e-12 dla sterownika KBIO THRS_KBIO = 2,612e-12 Według normy PN-EN 50129:2003 (U) wartość parametru THR powinna się dla poziomu SIL4 zawierać w przedziale 10-9 <= THR < 10-8, tak więc obliczone wartości spełniają wymagania normy. Podobnie zgodnie z normą PN-EN 50129:2003 (U) należy określić czas wykrywania pojedynczego uszkodzenia spełniający warunek, tsf <= k/(1000 * a), gdzie k = 1.0 dla systemów 2 z 2, a 1/MTBF. Analiza tsf dla komputera funkcji zależnościowych KFZ Kanał A tsf_max_kfz_a = 1/(1000 * 1/70249) = 70,3 [h] Kanał B tsf_max_kfz_b = (1/(1000 * 61319) = 61,3 [h] Ponieważ dla obu kanałów tsf_kfz_a/b jest na poziomie 1.25 [s], to dla obu kanałów spełniony jest powyższy warunek tsf_kfz_a < tsf_max_kfz_a tsf_kfz_b < tsf_max_kfz_b Podobna analiza parametru tsf dla komputera KBIO dla obu kanałów daje wartość tsf_max_kbio_a/b = 1/(1000 * 1/20623) = 20,6 [h] co przy założeniu tsf_kbio_a/b = 1.25 [s] w obu kanałach prowadzi do spełnienia warunku tsf_kbio_a/b < tsf_max_kbio_a/b Uszkodzenia komputera wybierającego mogłyby być niebezpieczne, gdyby wystąpiło uszkodzenie wielokrotne. Autorzy zapewnili dostatecznie krótki czas wykrywania pojedynczego uszkodzenia, po którym następuje przejście do stanu bezpiecznego. Dla obecnie produkowanego systemu RASP4-4ft do wyznaczenia wartości THR autorzy podali następujące wartości MTBF (średni czas pomiędzy wystąpieniem uszkodzeń) na podstawie danych producenta/dystrybutora sprzętu (firma Astor Kraków): a) kaseta bazowa IC695CHS012 761 000 [h] b) zasilacz prądu stałego IC695PSD140 1 092 000 [h] c) jednostka centralna IC695CPU310 638 000 [h] d) interfejs komunikacyjny IC695ETM001 992 000 [h] e) moduł wejść dyskretnych IC694MDL660 6 393 000 [h] f) moduł wyjść dyskretnych IC694MDL754 553 000 [h] Konfiguracja sterowników zawiera różne ilości modułów, co przy założeniu najgorszego przypadku (szeregowa struktura niezawodnościowa) prowadzi do wypadkowej wartości MTBF dla poszczególnych zestawów: 1 zestaw z 2 modułami e) i 1 modułem f) 144 374.4267 [h] 2 zestaw z 3 modułami e) i 1 modułem f) 141 185.9945 [h] 3 zestaw z 4 modułami e) i 1 modułem f) 138 135.3490 [h] 4 zestaw z 6 modułami e) i 2 modułami f) 106 832.6186 [h] Autorzy zapewnili dostatecznie krótki czas wykrywania pojedynczego uszkodzenia i przejście do stanu bezpiecznego. (Czas ten, tsf, jest znacznie krótszy niż oczekiwany średni czas między uszkodzeniami obu komputerów). Zgodnie z normą PN-EN 50129 czas wykrywania pojedynczego uszkodzenia spełniający warunek, tsf <= k/(1000 *a), gdzie k = 1.0 dla systemów 2 z 2, a 1/MTBF. Analizę czasu detekcji uszkodzeń i bezpiecznych reakcji systemu przedstawiono w załączniku. Autorzy przyjęli do obliczeń współczynnika THR następujące wartości: czas cyklicznego testowania wejść/wyjść (T) 250ms czas reakcji na błąd (NT) 1s, co daje wartość czasu reakcji na błąd (SDT) równą 0.0003125 [h] i w efekcie wartość THR równą 2.19e-13, zgodnie z normą PN-EN 50129 dla poziomu SIL4. Obliczony czas wykrycia bledów pojedynczych (TSF) spełnia kryterium wynikające z granicznej wartości odniesionej do oszacowanej wartości MTBF dla systemu 2 z 2 podane w normie PN-EN 50129. 3.3. Bezpieczeństwo systemów eksploatowanych Na podstawie danych eksploatacyjnych możliwe było oszacowanie wartości intensywności uszkodzeń. Na rys. 5 pokazano wykaz uszkodzeń dla badanych systemów w założonym przedziale czasu 27000 godzin (każdy przedział po 4500h). Razem zarejestrowano 16 usterek. Oszacowana globalna wartość współczynnika uszkodzeń λ wyniosła: λ = 7,40741 10-5 h -1 Do obliczenia współczynnika THR użyto danych z prognozowania (4.5). Korzystając z zależności (4.1), do obliczeń przyjęto następujące wartości: czas cyklicznego testowania wejść/wyjść T = 500ms czas reakcji na błąd wejścia NTwe = 1s czas reakcji na błąd wyjścia NTwy = 1s Ponieważ czasy dla kanału A i B są jednakowe: 500ms td = td = + 1s = 1, 25s A B 2 obliczony wskaźnik THR wyniósł 5,56 10-12. 3.4. Bezpieczeństwo systemów projektowanych W przypadku analizy systemu o nieznanych charakterystykach niezawodnościowych elementów, możliwe jest wstępne oszacowanie wskaźników poprzez obliczenie wypadkowych intensywności uszkodzeń systemu na podstawie ilości (4) 22

Ilość uszkodzeń 4,5 4 3,5 3 2,5 2 1,5 1 0,5 0 4500 9000 13500 18000 22500 27000 Czas w godzinach Rys. 5. Wykaz uszkodzeń w przedziale czasu i struktury niezawodnościowej zastosowanych elementów dyskretnych oraz scalonych o różnej skali integracji. Ogólna postać dla szacowania niezawodności eksploatacyjnej dyskretnych elementów półprzewodnikowych wynosi: λ p = λ b ( π ) T A R gdzie: λ bazowa intensywność uszkodzeń, b = λ 0 ST zależna od parametru oraz obciążenia temperaturowego i elektrycznego π ST, λ p intensywność uszkodzeń podczas eksploatacji, π E współczynnik uwzględniający oddziaływanie czynników środowiskowych innych niż temperatura, π A współczynnik uwzględniający rodzaj aplikacji, π S współczynnik uwzględniający obciążenia napięciowe, π T współczynnik temperaturowy, π R współczynnik uwzględniający maksymalne dopuszczalne parametry elementu, π Q współczynnik jakościowy, π C współczynnik uwzględniający wpływ obecności kilku złącz w jednej obudowie lub konstrukcje elementu. Na podstawie otrzymanej dokumentacji technicznej dokonano wstępnego studium analizy bezpieczeństwa w celu wyznaczenia wskaźnika intensywności uszkodzeń λ oraz wyznaczenia współczynnika THR. Wyniki z szacowania pokazano w tabeli II: Tabela II. Prognozowana niezawodność L.p. Element Wartość współczynnika λ 1 Sterownik czujników i tarcz 8,8E-05 2 Sterownik radiowy 1 4,09558E-05 3 Sterownik radiowy 2 1,50242E-05 4 Układ decyzyjny 2,54E-04 SUMA 3,98E-04 S C Q E (5) W oparciu o wynik z tabeli II (przy czasie t d rzędu 1,25s) wartość THR jest równa 1,1 10-10. 4. TENDENCJE ROZWOJOWE, PODSUMOWANIE Aktualne kierunki rozwoju systemów firmy KOMBUD S.A. to z jednej strony wprowadzanie rozwiązań ekonomicznych, tańszych w produkcji i budowie, a z drugiej strony rozwój produkowanych systemów w rytm europejskich tendencji rozwojowych w technice sterowania ruchem kolejowym. Przykładem tego ostatniego jest system zdalnego sterowania i kierowania ruchem MOR-2lcsr. Niższe koszty instalacji osiągać się będzie m. innymi poprzez wprowadzanie technik transmisji radiowej. Zastosowanie transmisji radiowej w systemach sterowania ruchem niesie w sobie znaczący potencjał innowacyjności. Bezpieczna transmisja w systemach sterowania ruchem kolejowym musi spełniać wymagania i zalecenia określone w obowiązujących właściwych normach PN-EN 50159: 2010 [4]. Bezpieczeństwo transmisji jest analizowane na poziomie systemu sterowania jako jego element (norma PN-EN50126) oraz jest istotnie związana ze sprzętem i oprogramowaniem, co uwzględniają obowiązujące dla systemów kolejowych normy PN-EN 50129, PN-EN 50128. Wprowadzany system transmisji otwartej wykorzystującej publiczne sieci radiowe powinien zapewnić dotychczasowy poziom bezpieczeństwa (zgodny z klasyfikacją SIL, wynikający z norm PN-EN 5012x) oraz nie gorszy od poziomu funkcjonalności w istniejących systemach (dotyczy to zwłaszcza opóźnień i przerw w transmisji). W firmie KOMBUD S.A. opracowano kanał radiowy wykorzystywany do przekazywania informacji między sterownikami współpracującymi z czujnikami koła a sterownikami systemu ssp umieszczonymi w kontenerze. Taka konfiguracja pozwala na wyeliminowanie konieczności wykonywania połączeń kablowych od oddalonych od przejazdu punktów oddziaływania (czujników). W rozpatrywanym 23

Rys. 6. Przykład łączności radiowej pomiędzy podsystemami przypadku kanał transmisji otwartej oparty został na wydzielonej radiolinii, co zapewnia m.in. kontrolę autoryzacji dostępu (rys. 6). W telegramach zastosowano typ transmisji B0 [4], techniki kryptograficzne z kluczem tajnym oraz szyfrowanie danych w całości łącznie z kodem integralności danych (standard AES z kluczem 128-bitowym oraz kod CRC32). W pracy pokazano, że rozwiązania zastosowane przez firmę KOMBUD S..A. reprezentują aktualnie obowiązujące standardy i zarówno pod względem funkcjonalnym, jak też bezpieczeństwa w niczym nie ustępują analogicznym systemom produkowanym obecnie w UE. Spełniają wszystkie obowiązujące normy w zakresie projektowania i eksploatacji komputerowych systemów srk, zaś przytoczone wartości THR podstawowego kryterium bezpieczeństwa komputerowych systemów srk są znacznie lepsze niż wynika to z zaleceń normy. Dotyczy to systemów już eksploatowanych (gdzie wyniki analiz teoretycznych i badań laboratoryjnych poparto analizą statystyczną danych eksploatacyjnych), systemów aktualnie produkowanych (gdzie do analizy zastosowano charakterystyki niezawodnościowe producenta stosowanych komponentów] oraz systemów aktualnie projektowanych i testowanych (gdzie zastosowano prognozowanie niezawodności). LITERATURA 1. Norma PN-EN 50126:2002 (U) Zastosowania kolejowe. Specyfikowanie i wykazywanie Nieuszkadzalności, Gotowości, Obsługiwalności i Bezpieczeństwa (RAMS). Część 1: Wymagania podstawowe i procesy ogólnego przeznaczenia. 2. Norma PN-EN 50128:2002 (U) Zastosowania kolejowe. Łączność, sygnalizacja i systemy sterowania. Oprogramowanie dla kolejowych systemów sterowania i zabezpieczenia. 3. Norma PN-EN 50129:2007 Zastosowania kolejowe. Systemy łączności, przetwarzania danych i sterowania ruchem. Elektroniczne systemy sygnalizacji związane z bezpieczeństwem. 4. Norma PN-EN 50159: 2010. Zastosowania kolejowe. Łączność, sygnalizacja i systemy sterowania. 5. Norma PN-IEC 60300-3-9:1999 Analiza ryzyka w systemach technicznych, 6. Instrukcja, konserwacji, przeglądów oraz napraw bieżących urządzeń sterowania ruchem kolejowym Ie-12 (E-24) PKP PLK S.A. Warszawa, 2005r. 7. Dyduch J., Kornaszewski M.: Systemy sterowania ruchem kolejowym, Wydawnictwo Politechniki Radomskiej, Radom 2003 8. Dyduch J. (red.) Innowacyjne systemy sterowania ruchem, monografia nr 147, Wydawnictwo Politechniki Radomskiej, Radom 2010 9. Lewiński A., Perzyński T.: Akceptowalny poziom ryzyka jako kryterium bezpieczeństwa w transporcie kolejowym, prace konferencji Wydziału Transportu Politechniki Radomskiej LogiTrans 2007 10. Materiały Zakładu Automatyki KOMBUD S.A. w Radomiu 11. Materiały Kontron East Europe sp. z o.o 24