ICS 45. 020 S 60 TB 中华人民共和国铁道行业标准 TB/T 2615—2018 代替TB/T2615—1994 铁路信号故障一安全原则 信息服务平台 Fail-safe principle of +ailway signalling 2018-04-12 发布 2018-11-01实施 国家铁路局 发布 TB/T 2615—2018 目 次 前言 范围 2术语和定义 3主要技术原则 3.1一般规定 3.2 故障假设 3.3 故障发现 防止危险故障的方法 3. 5 采用防止危险故障方法的原则 业标准信息服务平台 参考文献 TB/T 2615—2018 前言 本标准按照GB/T1.1一2009给出的规则起草。 本标准代替TB/T2615一1994《铁路信号故障一安全原则》。与TB/T2615一1994相比，除编辑 性修改外，本标准主要技术变化如下： 修改了标准的范围（见第1章，1994年版的第1章）； 删除了故障率的术语和定义（见1994年版的2.4）； 修改了可靠性定义（见2.6，1994年版的2.7）； 增加了失效、风险、安全状态、安全4个术语和定义（见2.8～2.11）； 修改了一般规定（见3.1，1994年版的3.1）； 一修改了故障设的基础（见3.2.2，1994年版的3.2.2）； 修改了电子元件的故障后果包含范围（见3.2.3d)i)，1994年版的3.2.3d)i)）； 一修改了系统电路设时的要求（见3.2.4，1994年版的3.2.4）； -增加了信号安全软件的故障假设内容（见3.2.5）； 增加了信号设备安全通信的故障假设内容（见3.2.6）； -增加了具备允余措施的信号设备在如换过程中不能出现危险侧输出的内容（见3.2.8）； 修改了当组成微电子设备的元件数量多且相当复表寸的故障假设方法（见3.2.11，1994年版 的3.2.8)； 修改了安全状态中的故障报警（见3.3.7c），1994年版的3.3.7c)）： 修改了考虑故障法（见3.4.4，1994年版的3.4.4）； -增加了采用成熟的硬件、软件模块、新技术应谨慎使用的内容（见3.4.ca）） -增加了安全相关和非安全相关模块划分、软件编写、通信协议、接口和通道设计采用的方法 （见3.4.6b)、e)、f)、g)); 修改设备穴余为结构穴余（见3.4.7a），1994年版的3.4.4.3a）)）； 一删除了计算机联锁双套编码的要求（见1994年版3.4.4.3）； 一增加了信息允余的方法（见3.4.7e））； 修改了采用监督方法间接防止故障危险后果的适用范围（见3.4.8，见1997年版的 3.4.4.4)。 本标准由中国铁道科学研究院标准计量研究所提出并归口。 本标准起草单位：北京全路通信信号研究设计院集团有限公司。 本标准主要起草人：张利峰、邱兆阳、岳朝鹏、杨光伦。 本标准所代替标准的历次版本发布情况：TB/T2615一1994。 I TB/T 2615—2018 铁路信号故障一安全原则 1范围 本标准规定了铁路信号故障一安全的术语和定义及主要技术原则。 2术语和定义 下列术语和定义适用于本文件。 2. 1 故障fault 在规定的时间内和规定的条件下，信号设备规定的功能（部分或全部）受到限制或丧失。 2. 2 primay fault 标准信息服务平台 一次故障 信号设备的原发性故障。 2. 3 二次故障 secondaryfault 信号设备的继发性故障。 2. 4 安全性safety 在规定的时间内和规定的条件下，有关设备不发生危险状态 2. 5 故障一安全fail-safe 故障以后导向安全。 2. 6 可靠性reliability 信号设备在规定的时间内和规定的条件下，完成规定功能的能力。 2.7 余redundancy 某一规定的功能用多于一种的方法完成。 2.8 失效failure 与规定的系统行为产生偏差，失效是系统错误或故障的结果。 [GB/T28809—2012,定义3.1.16] 2. 9 风险risk 危险事件发生的频度或概率与其后果的组合。 ［GB/T28809—2012.定义3.1.41] 2. 10 安全状态safestate 继续保持安全的状况。 1 TB/T2615—2018 ［GB/T28809—2012,定义3.1.42] 2. 11 安全 safety 不存在不可接受的风险。 ［GB/T20438.4—2006，定义3.1.8］ 3主要技术原则 3.1一般规定 3.1.1铁路信号设备应具有必要的安全性和可靠性。 3.1.2当信号设备发生故障时，应以特殊的方式做出反应并导向安全。但安全性是一种概率参数，信 号设备不可能具备排除了任何危险的绝对安全。 3.1.3对故障一安全的要求，应是从技术上能够实现的。铁路信号设备的研究和设计均应遵循故 障一安全的原则， 3.1.4安全程度的高低受经济的制约。为适应信号技术的发展和经济合理的安全要求，应对信号设 备满足安全的程度进行定性和定量的分析。 3.2故障假设 3.2.1研究和设计电路结构及设备时，应对设备可能发生的故障进行假设，并根据假设采取具体的防 护措施。 3.2.2故障假设的基础是对铁路信号设冬己发生的故障的总结和可能发生的故障的正确估计。 3.2.3组成电路的元器件性能和环境条件应根据品标准或生产厂家的规定，结合电路的安全要求 正确选用，并应考虑故障后果，包括但不限于： a) 务平台 b) 继电器接点不能闭合或断开(N型继电器不考虑前接点不华断开)： c) 信号机灯泡断丝； (p 熔断器熔断、断路器断路； 整流元件断线或被击穿： f) 电容器短路、断线及容量的变化； g) 电阻断线、线绕电阻短路； h) 变压器线圈短路； 电子元件的击穿、截止和参数漂移； 微电子设备中的门级、门开关级故障和各种集成芯片的故障； k) 电源瞬间停电或电压波动超限等。 3.2.4 系统电路设计时应考虑故障后果，包括但不限于： a) 室内线路断线； b) 室外线路混线、断线、短路、接地； 轨道电路瞬间失去分路； (p 强电线路（高压输电线路、电力牵引接触网)对信号设备的电磁影响及迷流、雷电感应过电压 的影响。 3.2.5 信号安全软件设计时应考虑故障后果，包括但不限于： a) 程序运行超时； b) 软件接口版本错误； c) 程序改写其他程序数据； d) 通信接口版本错误； 2 TB/T 26152018 e）输人数据错误或输人信息中断； f) 输出数据错误； g) 驱动与采集信息不一致； 操作系统错误； 硬件故障。 3.2.6 信号设备安全信息传输应考虑故障后果，包括但不限于： a) 信息重复； b) 信息丢失； c) 信息插人； d) 信息乱序； e) 信息损坏； (} 信息延时； g) 信息伪装。 3.2.7 下列情况下，信号设备不应导致危及行车安全状态： a) 一个故障； b) 一次故障及其二次故障的叠加； c) 一次故障及其二次故障和过负荷故障； d) 当故障不能立即被发现时，应考虑累另一个故障。 3.2.8 具备穴余措施的信号设备在切换时，下应出现货及行车安全的状态。 3.2.9过负荷防护元件动作应属于故障，如防雷元件、熔断器电子安全设备等。 3.2.10在正常环境条件下，信号设备及其元器件处于规定的参数节围内，电源处于规定的波动范围 内，应视为无故障。 3.2.11当组成微电子设备的元件数量多且相当复杂时，宜按功能失效对真进行故障假设， 3.3故障发现 3.3.1信号设备应具备必要的自诊断功能及必要的检（监）测设备发现故障。检（监）测设备工作或故 障时，不得影响主设备的正常工作和功能 3.3.2信号设备的故障可分为未发现的故障和发现的故障。 未发现的故障不易引起有关人员的注意，并可导致危及行车安全的状态，应尽最大努力消除。 故障可通过使用或检（监）测设备发现。 3.3.3假设故障一般应以很高的概率发现，发现故障不应引起危险状态或导致运行的危险状态。 3.3.4发现故障的时间应力求最短，在此时间内可以不考虑出现另一个独立故障。 由于各种原因，故障出现后不能立即被发现，当不危及行车安全时，此种故障可最迟在下次使用该 设备或对其进行人工检查时予以发现。 3.3.5对设备确保安全有威胁或有限制的故障（包括二次故障），应以很高的概率导致暂停或部分暂 停运行状态，并通过暂停运行或部分暂停运行状态发现故障。 故障。 当故障发生的概率很小，或故障及随之产生的故障对安全没有影响，且设备还能工作，又没有条件 给出故障表示时，可以不设故障表示。无表示的故障不应导致危险状态。 对操作人员的误操作应尽可能予以防止和给出故障表示。 3.3.7设备发生故障导向安全后，应具有下列任何一种状态： a）暂停运行或部分暂停运行； 3 TB/T 2615—2018 b）降级使用； c）故障报警（声、光、文字和图符报警）； d）误操作表示。 3.3.8当设备对某些故障不具备自动发现的功能时，可通过人工检查发现故障。 3.4防止危险故障的方法 3.4.1铁路信号设备防止危险故障的方法可采用排除故障法和考虑故障法 3.4.2排除故障法是通过对元器件的选择、采用合理的材料、高强度的连接线、专门结构、相应的物理 方法、特定的生产一检查工艺、元件间安装上保持足够距离以及合理的配线、适当的工作环境等，使设 备在使用中具备排除故障的条件。 必要时还应辅以维护人员的周期检查。 考虑可能出现的故障的目的是找出防止危险故障后果的方法，保证设备保持在一定的安全状态。 3.4.5防止故障危险后果的方法可分为直接防止故障危险后果和间接防止故障危