DISTRIBUOVANÉ ZABEZPEČOVACÍ ZAŘÍZENÍ SIRIUS Ing. Jaroslav Mládek, Ing. Jiří Holinger Starmon s.r.o. Choceň 1. ÚVOD Systémové řešení SIRIUS (jak už z jeho názvu vyplývá - Starmon Innovative Railway Interlocking Universal Solution) bylo vyvinuto jako nová platforma firmy Starmon pro univerzální modulární objektově orientovanou výstavbu všech běžných infrastrukturních typů zabezpečovacích zařízení. K vývoji nové platformy nás vedla skutečnost, že naše současné řešení pro K-2002 a PNS-03 je již více než 13 let staré a začíná vznikat problém s dostupností některých typů elektronických součástek a to hlavně procesorů a pamětí. Platforma SIRIUS umožňuje budoucí použití nejen pro výstavbu SZZ, TZZ, PZZ, ale i jako systém na poli detekce drážních vozidel tj. kolejových obvodů či počítačů náprav. Univerzálnost HW i SW řešení umožňuje kombinaci všech těchto typů zabezpečovacích zařízení v jednom celku s možností rychlé adaptace na různé národní podmínky. 2. POPIS SYSTÉMU Jádro systému tvoří dvojice dvoukanálových technologických počítačů CPU pracujících v režimu horké zálohy 2 x 2 ze 2. Komunikaci s jednotlivými objektovými kontroléry zajišťují speciálně vyvinuté switche a dále koncentrátory NDC. Páteřní komunikace k jednotlivým venkovním prvkům je zajišťována po sběrnici ETHERNET a to primárně optickým spojem. Pro některé případy lze využít i metalický ETHERNET. Poslední míle od NDC k jednotlivým objektovým kontrolérům je zajišťována pomocí sběrnice RS485 a to také volitelně po optickém nebo metalickém vedení. Vnitřní prvky jsou napájeny z akumulátorové baterie 24 V DC a venkovní prvky přes dvojici DC/DC konvertorů s výstupním napětím 400 V DC. Pro některé typy aplikací je také možné zřídit dislokované místní napájení. Všechny přenosové prvky a všechny komunikační a napájecí linky odcházející k objektovým kontrolérům jsou striktně redundantní z důvodu zajištění vysoké dostupnosti systému při poruše nebo přerušení vedení. Napájecí vedení a všechny metalické komunikační linky jsou také důsledně opatřeny ochranami proti přepětí. Platforma je kompletně navržena na řadě výkonných procesorů ARM. CPU využívá procesory s jádrem Cortex M4, které zajišťují vysoký výkon pro obsluhu komunikačních linek a samozřejmě pro obsluhu složitých algoritmů. Objektové kontroléry využívají jednotné systémové jádro založené na dvojici procesorů s jádrem Cortex M3, které také oplývá dostatkem výpočetního výkonu. Platforma SIRIUS je navržena tak, aby pomocí jednoho jádra CPU (dvojice kazet CPU) a potřebného množství (objektových kontrolérů) byla schopna výstavby jak malých, tak i velmi rozsáhlých řešení v rámci železniční stanice a přilehlých traťových úseků. Na jedno jádro lze připojit až 512 objektových kontrolérů (návěstidel, výhybek, počítacích bodů, KO atd.). Pro rozsáhlejší systémy je možné řetězit jádra CPU, které lze spojit bezpečnou ovou vazbou. Řízení a povelování systému je zajištěno pomocí již v předešlých letech vyvinutého řešení MaDOS. Toto umožňuje lokální, vzdálené a dálkové řízení platformy SIRIUS a také systému K-2002, proto je nespornou výhodou možná kombinace a kompatibilita právě se systémem K-2002 na ovládací úrovni. Základem řešení MaDOS je dvojice komunikačních počítačů KP, které koncentrují a směrují komunikaci mezi ovládacími počítači (lokální a dispečerské), údržbářskými počítači (diagnostické), počítači pro evidenci dopravní dokumentace (GRADO) a technologickými počítači (CPU). Komunikační počítače také mohou sloužit jako generátor a dynamické úložiště čísla vlaků a jako překladač bezpečnostně nerelevantních povelů z jiných nástavbových systémů (ASDŘ, ASVC, GRADO aj.). Síť takových systémů musí být oddělena bezpečným oddělovačem sítě OS1, 73
který má taktéž hodnocení bezpečnosti s integritou bezpečnosti SIL4. Nutnou samozřejmostí takové platformy je kompletní sofistikovaná diagnostika všech prvků a objektových kontrolérů. Diagnostická a se ve většině případů generují v časovém rastru 100 ms a v tomto rastru se i ukládají. Vizualizace je zajištěna pomocí nástrojů GRADIG a METODIG, jenž jsou opět univerzální napříč všemi našimi zařízeními. Všechny prvky systému jsou navrhovány dle norem CENELEC. Začátkem roku 2016 připravujeme zahájení procesu hodnocení bezpečnosti u některé z notifikovaných osob a to z pohledu technické i funkční bezpečnosti s úrovní bezpečnosti funkce SIL4. První aplikace systému SIRIUS bude použita jako liniový automatický blok na jednokolejné banalizované trati UkrZaliznice (Ukrajinské státní železnice) ve Lvovské oblasti v západní části Ukrajiny poblíž města Užhorod mezi stanicemi Kamjanica a Domanynci s označením EABT-UA. Systém je připraven ke spuštění a čeká se na dokončení legislativních procesů nutných k uvedení do provozu. V následujících letech plánujeme zařízení postupně doplnit i o další objektové kontroléry a tento systém bychom rádi uplatnili v některé z aplikací i na síti SŽDC. Celá platforma SIRIUS je navržena tak, aby umožňovala kompletní decentralizaci ovládacích prvků jednotlivých objektů () a také aby umožňovala částečnou centralizaci vazebních obvodů na jiné systémy zabezpečovacího zařízení. Proto prvky mají konstrukci kazet 3U a umožňují i modifikaci umístění na DIN lištu. Principiální schéma je na následujícím obrázku: DOP LOP A KP A KP B 100 Mbit Ethernet do 100 metrů 100 Mbit optický Ethernet do 100 kilometrů RS-485 stovky metrů RS-422 lokální spoj stejné jako K-2002 s MaDOS OS1 CPU A CPU B OS1 nové pro SIRIUS DOP - dálkový ovládací počítač NDC1 A 1 NDC1 B - Ethernet switch / router LOP - lokální ovládací počítač NDC2 A 2 3 NDC2 B KP - komunikační počítač TP - technologický počítač NDC - koncentrátor 4 - objektový kontrolér Obrázek 1: Blokové schéma systému SIRIUS a MaDOS Jádro systému SIRIUS, jak už bylo výše popsáno, tvoří dvojice kazet CPU pracující v horké záloze. Dalšími podpůrnými komunikačními prvky jsou následující komponenty: NDC koncentrátor mezi CPU a univerzální konfigurovatelný komunikační prvek (switch, router) OS1 bezpečný SIL4 oddělovač ETH-ETH 74
Pro systém SIRIUS jsou již vyvinuty nebo se pracuje na vývoji následujících typů objektových kontrolérů: i objektový kontrolér kontaktních (16 ) o objektový kontrolér (8 ) si objektový kontrolér ovládání návěstidla (až 8 ks světel led) led objektový kontrolér světla návěstidla s LED zdrojem světla can objektový kontrolér vazby na K-2002 a PNS-03 ac objektový kontrolér počítacího bodu (ve vývoji) sw objektový kontrolér výhybky (ve vývoji) stc objektový kontrolér snímání KO (ve vývoji) ptc objektový kontrolér napájení KO (ve vývoji) ctc objektový kontrolér kódování KO (ve vývoji) sbr objektový kontrolér snímání detekce lomu kolejnice (ve vývoji) pbr objektový kontrolér napájení detekce lomu kolejnice (ve vývoji) rs objektový kontrolér světla Č/B výstražníku (ve vývoji) rbr objektový kontrolér závory (ve vývoji) sic objektový kontrolér návěstidla si ve funkci přejezdníku V následujících bodech jsou popsány základní elektronické komponenty a některé jejich vybrané technické vlastnosti. 2.1 CPU Kazeta CPU je hlavním řídicím prvkem celého systému. Uvnitř této kazety se nachází dvě nezávislé procesorové struktury řízené výkonnými jádry s mikroprocesory ARM Cortex M4, které jsou v každém kanále doplněny o interní komparační kanál, dvě komunikační rozhraní typu ETHERNET a jednu sériovou linku RS422. První ETHERNET slouží ke komunikaci s objektovými kontroléry. Druhý ETHERNET slouží ke komunikaci s komunikačními počítači KP. Sériová duplexní linka RS422 slouží k přenosu komparačních mezi technologickými počítači. Aplikační a adresný SW se do jednotlivých kanálů zavádí pomocí USB rozhraní. Aplikační SW je vystavěn modulárně s jednoznačně definovaným rozhraním. To umožňuje rychlé aplikování změn či doplnění systému o další funkce. Adresný SW je oddělený od aplikační části a zavádí se samostatně do separátní části paměti FLASH. Konstrukčně je kazeta určena do panelové rackové zástavby 3U a je vyráběna v celokrytovém provedení. To zajišťuje splnění požadavků na elektromagnetickou kompatibilitu a zabraňuje vniknutí cizích předmětů. Na čelní straně kazety jsou umístěny indikační prvky pro každý kanál zvlášť. Pro instalaci do systému je součástí výrobku také zadní konektorový díl, jenž zajišťuje zakončení vodičů instalace a do něhož se následně zasune kazeta CPU. Podobný systém používá i většina ostatních prvků systému SIRIUS. To umožňuje snadnou a rychlou výrobu interních instalačních skříní nebo boxů umístěných v kolejišti. Obrázek 2: Kazeta CPU Vývoj modulárního SW pro CPU a pro ostatní části platformy SIRIUS je prováděn pomocí jazyka C++ tak, že jsou nejdříve všechny algoritmy modelovány a odladěny na počítačích řady PC a následně přeloženy pro instrukční sadu procesorů ARM. Kazeta CPU je z hlediska všech použitých funkcí navržena 75
takovým způsobem, aby vyhověla požadavkům na integritu bezpečnosti funkce SIL4 dle ČSN EN 50129. 2.2 NDC NDC je komunikační prvek nevztahující se k bezpečnosti určený k přenosu informací v rámci páteřní komunikační sítě a k adresnému přesměrování paketů od/do TP k/z jednotlivým. Pro komunikaci v rámci páteřní sítě je vybaven dvěma ETH porty pro SFP moduly. To umožňuje výběr typu přenosového média. Je možné použít metalický ETHERNET nebo optický jednovláknový přenos WDM. Kazeta NDC dále disponuje pěti komunikačními linkami RS485, které slouží k přenosu informací do/z objektových kontrolérů. Linku RS485 lze pomocí převodníku RS485/OPTO převést na optické vlákno a komunikaci k jednotlivým tak zajistit pomoci tohoto média. Na každou linku je možné připojit až šest objektových kontrolérů. Jednou kazetou NDC tak lze obsloužit až 30 ks. Kazeta je určena pro použití do vnitřního i venkovního prostředí. Typicky se umísťuje buď v RM nebo ve venkovní skříni NDC. Jak je znázorněno na obrázku č. 1, tak z důvodu zvýšení dostupnosti při poruše jsou v systému pro každý přípojný bod použity vždy dva NDC a zdvojeny jsou i všechny komunikační linky ETH a RS485. Nastavení pozice v systému se provádí pomocí DIP switchů. Kazeta NDC generuje při každém komunikačním cyklu diagnostické informace, které popisují nejen stav vlastní Obrázek 3: Kazeta NDC kazety, ale také všech komunikačních linek a SFP modulů. Aplikační SW se do kazety zavádí pomocí USB rozhraní. 2.3 je speciálně vyvinutý ethernetový komunikační prvek, který pomocí dvou portů s SFP moduly a pomocí pěti portů ETH RJ45 zajišťuje komunikaci jednotlivých prvků systému MaDOS a platformy SIRIUS pomocí sběrnice ETHERNET mezi sebou. Jedná se o prvek, na který nejsou kladeny žádné bezpečnostní požadavky. V základní verzi SW pracuje ve dvou režimech. První režim je switch, při kterém je umožněna přímá komunikace mezi všemi sedmi porty. Druhý režim je MaDOS router. V tomto režimu probíhá WAN komunikace na dvou portech opatřených SFP moduly (metalický nebo optický ETH) a do/z LAN strany se přeposílají jen pakety, které dle konfiguračně nastavitelného filtru odpovídají požadovanému paketu na uživatelské úrovni. Aplikační i konfigurační software se do kazety zavádí pomocí USB portu. Na čelní straně kazety jsou umístěny indikační prvky a na zadní straně jsou umístěny příslušné konektory RJ45 a SFP sloty, do kterých se přímo připojují ETH kabely nebo do SFP modulů optické Obrázek 4: Kazeta patchcordy. Tento prvek je použit i ve starším systému K-2002. 2.4 OS1 OS1 je další z řady komunikačních prvků. Tento však je na rozdíl od a NDC určen k plnění bezpečnostní funkce a to k bezpečnému oddělení dvou ETH sítí. Vždy jedna je bezpečnostně relevantní (BR) a jedna bezpečnostně irelevantní (BI). HW dvoukanálová koncepce a SW výbava umožňuje dva režimy použití. Při prvním režimu JPD 76
(jednosměrného přenosu ) je umožněn přenos libovolných z BR sítě do BI sítě. Přenos z BI sítě do BR sítě je zakázán. Typické použití je u přenosu diagnostických informací do serverů umístěných na TDS. Druhý režim OPD (oboustranný přenos ) umožňuje přenos libovolných z BR sítě do BI sítě a dále přenos přesně definovaných paketů z BI sítě do BR sítě. Definice paketů je dána konfigurací, která je uložena v identifikátoru, jenž je umístěn mimo OS1 v konektorovém dílu. Konfiguraci je možné měnit pomocí SW konfiguračního nástroje. Typickým příkladem použití režimu OPD je oddělení sítě systému K-2002 nebo SIRIUS od sítě Intranet, TDS a systémů GRADO či ASVC. OS1 je navržen a již certifikován tak, že splňuje požadavky na integritu bezpečnosti funkce SIL4. Konstrukce kazety OS1 je shodná s kazetou CPU. Aplikační SW se do kazety zavádí pomocí USB rozhraní. Součástí konektorového dílu OS1 je již zmiňovaný dvoukanálový identifikátor, který obsahuje konfigurační SW. Tento si OS1 za běhu programu čte a používá k plnění bezpečnostních funkcí. OS1 má dostatečně výkonné jádro s procesory ARM a proto do budoucna připravujeme třetí režim použití a to je přenos mezi dvěma BR sítěmi pomocí dvou OS1 po otevřených BI sítích. Obrázek 5: Kazeta OS1 2.5 i Pro připojení obecných potenciálových a kontaktních do platformy SIRIUS je určena kazeta i. Tento objektový kontrolér obsahuje bezpečnou dvoukanálovou strukturu s použitím univerzálního jádra s mikroprocesory ARM Cortex M3, která umožňuje bezpečnou detekci až 16-ti. Kazeta i je navržena s úrovní bezpečnosti funkce SIL4 dle ČSN EN 50129. Kazeta je opět konstruována jako prvek 3U, na čelní straně má indikační prvky pro oba kanály a podobně jako CPU používá k připojení vodičů do systému konektorový díl. Součástí tohoto konektorového dílu, je odnímatelný a plombovatelný procesorový dvoukanálový identifikátor. Každá větev identifikátoru má za úkol přenášet konfigurační informace do jednotlivých větví i. Tímto je zajištěna globální jednoznačná adresná identifikace umístění kazety. Na základě těchto informací se kazeta i hlásí do systému a řídicí kazeta CPU dokáže rozlišit zdroj vstupních informací. Tento systém je použit u všech. To umožňuje rychlou a bezpečnou výměnu jakéhokoliv prvku () v rámci systému při údržbě či servisním zásahu. Aplikační software se do kazety zavádí pomocí USB portu. Obrázek 6: Kazeta i 77
2.6 o Kazeta o je konstrukčně i vlastním zapojením velmi podobná i. Hlavním rozdílem je jejich funkce. Vstupní obvody zde byly zaměněny na výstupní. Tudíž kazeta o je schopna ovlá 8 ks relé. Celá kazeta o a výstupní obvody jsou navrženy s úrovní bezpečnosti funkce SIL4. Z pohledu úrovně bezpečnosti dané funkce se může použít relé třídy N nebo třídy C. Tato se mohou umístit buď do panelu volné vazby nebo do speciálních reléových kazet. Aplikační software se do kazety zavádí pomocí USB portu. Obrázek 7: Kazeta o 2.7 si si je objektový kontrolér pro ovládání funkce návěstidla. Má speciální konstrukci na DIN lištu určenou pro použití ve venkovním prostředí a zpravidla se instaluje do skříně, která se umístí na stožár návěstidla nebo vedle návěstidla. Pro určité typy návěstidel je možné jej umístit i do prostoru v patě návěstidla. si je tvořen bezpečnou dvoukanálovou strukturou s již známým univerzálním jádrem ARM Cortex M3, které je použito i u ostatních. Zajišťuje komunikaci s CPU a dále s až osmi světly, jenž jsou tvořeny pomocí led (popsán dále). si opět využívá dvoukanálový identifikátor pro zajištění identifikace adresy návěstidla a konfigurace vlastností daného objektu. Na základě informací z identifikátoru si zajišťuje ovládání světel led a to povelů ke svícení a zhasnutí. U svícení je možné definovat úroveň svícení denní nebo noční. si také určuje frekvenci kmitání kmitavých návěstí a umožňuje měnit poměr svícení ku zhasnutí. Vše je konfigurovatelné a nezávislé na aplikačním SW v si. Aplikační software se do kazety zavádí pomocí USB portu. Objektový kontrolér si je navržen s úrovní bezpečnosti funkce SIL4. 2.8 led Objektový kontrolér led je výjimečný svou konstrukcí oproti ostatním. Je bezpečným zdrojem bodového světla (obdoba žárovky) a je navržen tak, aby se dal umístit do stávajících optických systémů využívaných v postsovětských zemích a v ČR tj. i do návěstidel typu AŽD70. Jako jediný nekomunikuje přímo z CPU, ale se svým příslušným si. Zdrojem vlastního světla je čtveřice čipů LED, které jsou organizovány do dvou větví. Každá větev samostatně je schopna zajistit požadovanou úroveň svitu. Dvoukanálová struktura s jádrem ARM Cortex M3 komunikuje s si, bezpečným způsobem generuje napětí pro každou větev LED, provádí dohled svícení pomocí napěťového a proudového dohledu a speciálním algoritmem, který kontroluje V-A charakteristiku každé větve, kontroluje odchylky od definované křivky. Elektronika je univerzální pro použití všech barev a LED čipy jsou umístěny na separátní hliníkové desce umístěné na chladiči, který zajišťuje účinné chlazení. Moduly světel jsou vyvinuty v červené, žluté Obrázek 8: Konstrukce led pro UA návěstidlo (horní a dolní), zelené, bílé a modré variantě zdroje světla. led má životnost 20 let. 78
Zdroje LED světla mají životnost nejméně 50.000 hodin. Diagnostika světla eviduje dobu svícení. Při dosažení deklarované doby svícení je nutné vyměnit desku s LED čipy. Což je jednoduchý a i finančně dostupný úkon. Jelikož však musí dojít ke kalibraci a k testu intenzity světla, tak není možné, aby takový úkon prováděl pracovník údržby. Proto bude muset tento úkon provádět výrobce, specializovaná laboratoř provozovatele dráhy nebo jiná k tomuto úkonu pověřená smluvní organizace. Výměna led v návěstidle je jednoduchá a není o nic náročnější než dnešní výměna žárovky. Pro zamezení záměny barev v rámci návěstidla je každý typ světla opatřen identifikačními kolíčky, které mechanicky zamezí umístění led do místa, kde by mohla být taková záměna fatální pro bezpečnost provozu. Aplikační software se do kazety zavádí pomocí USB portu. Objektový kontrolér led je navržen s úrovní bezpečnosti funkce SIL4. 2.9 can Posledním již vyvinutým typem objektového kontroléru je can. Kazeta can opět obsahuje univerzální dvoukanálovou strukturu založenou na Cortex M3. Obsahuje linky RS485 pro komunikaci v platformě SIRIUS a linky sběrnice CAN pro komunikaci se staršími typy našich zařízení. Má podobné konstrukční řešení jako i a o i s využitím zadního konektorového dílu a dvoukanálového identifikátoru. Jejím úkolem je připojení na CAN sběrnici starších typů zabezpečovacích zařízení firmy STARMON, jako jsou K-2000, K-2002 a PNS-03. Na straně RS 485 komunikuje s CPU platformy SIRIUS a na straně CAN sběrnice can simuluje vstupní a výstupní periferie CANi30 a CANo24 v systému K-2002 a PNS-03 a CANDI, CANDO a CANTDO v systému K-2000. Aplikační SW se také zavádí pomocí rozhraní USB. Také objektový kontrolér can zajišťuje bezpečnostně relevantní funkce a je navržen s úrovní bezpečnosti funkce SIL4. can s kazetou NDC jsou mimo SIRIUS použity také jako součást našeho systému CANDAT, který umožňuje ovou vazbu mezi dvěma systémy K-2002 nebo mezi K-2002 a Obrázek 9: Kazeta can PNS-03. 79
3. PŘ ÍKLAD POUŽITÍ Schéma zapojení autobloku Kamjanica - Domanynci Řízení PZZ Návěstní bod Návěstní bod Logika přejezdu návěstidla návěstidla návěstidla návěstidla Optická vlákna Technologické počítače + síťové prvky CAN CAN Kolejové obvody Napájení SZZ K-2002 Domanynci Reléová místnost Kamjanica Reléová místnost Domanynci 4. ZÁVĚ R Platforma SIRIUS byla komplexně navržena z pohledu modularity, komunikačních rozhraní a komunikačních protokolů tak, aby byla co nejvíce univerzální a také co nejvíce modifikovatelná a doplnitelná do budoucna. U jednotlivých prvků jsou jasně definována rozhraní, která také umožňují jednodušší proces hodnocení bezpečnosti v případě doplnění či změny. Celý systém je navržen dle nejnovějších norem CENELEC a v mnohých parametrech i se zvýšenými nároky, které nařizují i jiné normy, jenž využívají železniční správy v jiných než eurozoních zemích. Výhodami takových modulárních distribuovaných řešení je významná úspora kabelizace, nízká spotřeba, vyšší dostupnost a úspora místa, pro některé druhy aplikace není třeba ani speciálních RM. Nevýhodou řešení je vyšší nárok na vývoj a umístění prvků v kolejišti a tím zvýšené nároky na odolnost vlivů prostředí a vyšší nároky na elektromagnetickou kompatibilitu. 80