0 引言
随着科学技术的不断进步，传统的控制系统渐趋被复杂电子组件、计算机系统所组成的控制系统所替代，并广泛应用于航空航天、核应用、采矿、轨道交通、机械设备等高风险行业和领域。为了提高安全相关系统的安全性，国际电工技术标准化委员会（IEC）自1998年颁布并于修订了国际标准IEC61508《电气/电子/可编程电子（E/E/PE）安全相关系统的功能安全》。针对轨道交通信号系统安全，欧盟欧洲电工技术标准化委员会基于IEC61508标准，制定了EN50126、EN50128和EN50129等适用于轨道交通信号系统安全相关标准。为确保信号系统的安全性，在EN50129中规定采用组合式、反应式和内在式故障-安全体系结构降低随机失效的概率，以达到规定的可容忍危害率（THR）要求。
“一开始，大家都是往前冲，以最快的速度收割市场和用户，这期间各家其实也都在寻求成本和收入之间的平衡点，除了用户收费，也在尝试广告等其他方式。遗憾的是，大家都没有找到答案。虽然ofo和摩拜价格战打得比较厉害的时候，几块钱的月卡，几乎是免费给用户骑的。但即使没有价格战，也很难盈利。”ofo离职员工李笑（化名）告诉《中国经济周刊》记者。
本文对反应式和组合式故障-安全结构系统进行分析研究，采用概率图法识别危害及其导致的系统危险输出，获得了反应式和2oo2组合式故障-安全结构安全性框图，导出了2种结构危害率精确计算和工程实用化计算方法，并给出了仿真计算实例及其分析。
1 故障-安全结构类型
为了确保信号系统的技术安全，EN50129中给出了反应式、组合式和内在式故障-安全结构等3种不同的故障-安全结构。在内在式故障-安全结构中，应用时应考虑每个随机故障模式必定导致安全模式，即对输出的限制状态。构成内在式故障-安全结构的电子电路主要由分立元件组成，可以识别所有随机故障模式，故障时可处于安全状态而不会造成危险，部分常用分立元件及其固有的随机故障模式可参照EN50129附录C，本文不再详述，主要研究反应式和组合式故障-安全结构。
1.1 反应式故障-安全结构
反应式故障-安全结构是由单个逻辑处理单元执行一个安全相关功能，它由故障检测单元通过快速故障检测和拒绝来确保功能安全。这种结构一般由1个逻辑处理单元和1个故障检测单元组成。其中，逻辑处理单元接收输入经逻辑运算形成一定的安全相关功能并输出，故障检测单元负责检查/测试/检测功能，其检查/测试/检测时间应比安全功能反应时间短。这2个功能应该是相互独立的，以避免产生共因失效。反应式故障-安全结构如图1所示。
图1 反应式故障-安全结构
1.2 组合式故障-安全结构
组合式故障-安全结构是以冗余功能单元（主要是硬件冗余）为基础，每个安全相关功能应至少由2个功能单元来执行，各单元之间应相互独立，以避免产生共因失效。只有当必要数量的功能单元输出取得一致时，才允许非限制输出行为。这种结构能够检测出1个功能单元中的危害所导致的潜在风险，并在足够的时间内加以拒绝，以避免第2个功能单元发生相同的故障。
轨道交通信号系统中采用的组合式故障-安全结构一般包括2取2（2oo2）、2乘2取2（2×2oo2）和3取2（2oo3）。在2oo2结构中，只有2个功能单元输出一致时，才允许其输出。在2oo3结构中，只要3个功能单元中任意2个功能单元输出一致时，就允许其输出，2oo3结构可以等效为3组并行运行的2oo2结构。而2×2oo2结构通常是由二系完全相同的2oo2结构构成的热备冗余结构。当运行过程中一系故障时能够切换至另一系，并不间断运行。3种结构均是可以等效为2oo2结构的组合，因此，本文仅研究2oo2组合式故障-安全结构，如图2所示。
图2 2oo2 组合式故障-安全结构
2 故障-安全结构危害分析和危害率计算
2.1 反应式故障-安全结构危害分析和危害率计算
由图1可知，反应式故障-安全结构由逻辑处理单元（F）和故障检测单元（D）组成，只有当逻辑处理单元（F）和故障检测单元（D）同时失效，且逻辑处理单元输出为危险输出时，方才使得输出为不安全状态。反应式故障-安全结构安全性框图如图3所示。分析反应式故障-安全结构安全性框图可知，逻辑处理单元（F）和故障检测单元（D）工作状态组合形成以下4种输出。
(6) 从原电机配套冷却器风机来看，计算最大风机电机功率15 kW 2P ，但实际配了22 kW 2P，实际风压约达3 000 Pa左右。但电机系统最大也不到2 000 Pa。总配用电机功率88 kW，功耗大，造成系统效率降低。
（1）当故障检测单元正常时，逻辑处理单元正常，逻辑处理单元输出为正确的，则结构输出为安全输出。
（2）当故障检测单元正常时，逻辑处理单元异常，故障检测单元能够检测出逻辑处理单元输出异常，则结构输出由故障导入安全输出。
（3）当故障检测单元故障时，逻辑处理单元正常输出仍为正常输出，则为安全输出。
法国剧作家布鲁诺曾经指出：死刑的本质就是活人祭祀，而活人祭祀的真正价值在于它的社会心理作用，这就是打开发散个人不安和罪责及共同社会普遍的不快感的安全阀的作用[3]190。布鲁诺从一个宏观的角度分析了死刑的本质，这也说明了死刑问题不是一个纯粹的刑罚问题，它关乎政治，关乎社会，关乎文化。所以死刑的废除并不是单纯地只需要立法上废除或者司法上不再适用。死刑制度若想真正地废除，必须制度变革与观念变革同行。
（4）当故障检测单元故障时，逻辑处理单元故障，则结构输出可能存在危害。
图3 反应式故障-安全结构安全性框图
若QF、QD分别表示逻辑处理单元和故障检测单元的输出，其输出正常和输出异常分别用1和0表示，反应式故障-安全结构输出存在潜在风险用0表示，不存在潜在风险用1表示，则反应式故障-安全结构概率图如图4所示。
图4 反应式故障-安全结构概率图
为了推导反应式故障-安全结构危害率计算公式，作如下假设：
（1）功能实现单元和故障检测单元的失效率函数满足指数分布；
（2）只要故障检测单元正常，均能完全正确检测逻辑处理单元的输出；
（3）所识别的危害均为安全相关危害。
跨文化意识不是单纯指了解不同的国家文化，而是指在跨文化交际时能够良好地运用所学语言对象的思维思考问题，并进行各类交流活动。不同的国家、民族由于不同的历史渊源和社会习俗，形成了特定的文化背景，特定的文化背景有形成了不同的价值取向、思维方式和语用规则等，给跨文化交际带来了潜在的障碍和低效率的交流，相互间的误解及其他方面的交际障碍，都可能导致文化冲突、心理障碍。因此，从事商务交际的工作者要认识商务沟通中的跨文化交际本质，培养自身跨文化的意识，掌握如何避免和解决跨文化商务交际中产生的障碍、冲突等问题。
同时，假定逻辑处理单元和故障检测单元所服从指数分布的参数分别为λF和λD，故障检测单元对逻辑处理单元输出检测时间与检测到故障后拒绝时间之和为TF，故障检测单元自检时间与自检到故障后其拒绝时间之和为TD，则其失效分布函数分别为：
因此，由图4可得反应式故障-安全结构的失效分布函数QS（t）为：
则反应式故障-安全结构的可靠度分布函数RS（t）为：
承灾体的时空概率PS∶T主要由承灾体本身的性质决定，土地资源及道路工程均为固定型承灾体，其时空概率PS∶T=1；人员时空概率主要计算在坡脚道路过往车辆中的人员，AGS给出了过往车辆在坡脚道路中行驶的时空概率计算公式：
1.3.1 疗效评定标准 显效为动脉血气恢复正常，症状及体征消失，病情逐渐恢复，不需要辅助治疗；有效为动脉血气显著好转，症状及体征显著改善，病情改善但仍需要辅助治疗；无效为无达到有效标准甚或病情、动脉血气恶化。
而反应式故障-安全结构失效密度函数fS（t）（危害率FRS（Reactive））为：
则上式（5）可作为反应式故障-安全结构危害率准确计算数学公式。
华中师大杨道麟教授在提交的《文字作品中的“美丽中国”解读——学习十八大精神的一点体会》论文中论述了文字作品呈现的中国的自然美、社会美、艺术美和科学美，指出，党的十八大报告提出的“美丽中国”这一热词，是一个十分精当的美学表述，从美学的意义上阐发“美丽中国”，不仅有助于对“美丽中国”的准确把握，还有助于对“美丽中国”的深刻理解。
经简化后，可得：
通常，逻辑处理单元和故障检测单元检测到故障后拒绝所需时间远小于检测时间，同时，由于TF＞TD，则反应式故障-安全结构危害率为：
则式（7）可作为反应式故障-安全结构危害率工程实用化计算公式。
2.2 2oo2 组合式故障-安全结构危害分析和危害率计算
在2oo2组合式故障-安全结构中，只有A单元和B单元同时出现失效且两单元输出相同，才会导致危险侧输出，因此其安全性模型如图5所示。
分析2oo2组合式故障-安全结构安全性框图可知，在2取2表决单元正常情况下，A单元和B单元工作状态组合形成4种输出，即：
在列车的行驶过程中，轮轨之间滚动接触产生的振动，并以噪声形式向外辐射.如图3所示，车轮滚动过程中产生的车轮噪声和钢轨噪声合成后形成轮轨噪声并向车厢内部辐射.当列车运行速度加快时，轮轨的粗糙度和机车车辆行走部各组件和线路上的各构件振动将引起高强度噪声.
（1）当A、B单元工作正常时，结构输出正常；
图5 2 取 2 组合式故障-安全结构安全性框图
（2）当A单元工作正常、B单元故障时，结构由故障导向安全状态，输出安全状态信息；
（3）当B单元工作正常、A单元故障时，结构由故障导向安全状态，输出安全状态信息；
（4）当A、B单元均故障且输出危害一致时，则结构输出可能存在危害。
2.3 两组产妇近期并发症发生情况比较 阴道分娩组产褥感染、下肢静脉血栓的发生率显著低于剖宫产组，且产后出血量、平均住院时间、住院费用、乳汁分泌时间显著少于剖宫产组，差异有统计学意义(P<0.05)。两组产妇近期并发症发生情况比较见表3。
若QA、QB分别表示A、B单元输出，其输出正常和输出异常分别用1和0表示，2oo2组合式结构输出存在潜在风险用0表示，不存在潜在风险用1表示，则其概率图如图6所示。
图6 2oo2 组合式故障-安全结构概率图
为了推导出2oo2组合式故障-安全结构危害率计算公式，作如下假设：
（1）A、B单元的失效率函数满足指数分布，参数通常均相同，为λ；
与一般企业相比，跨国经营企业中的员工具有不同文化背景和知识结构，其形成的价值观使他们的需求、理念、思维方式、行为方式、学习方式、期望和愿景也会不同.在这样一种状态下，不仅增加了管理的复杂性和艰巨性，也很难形成新的企业文化.哪怕是初步建立了新的企业文化，企业员工仍然会保留着各自文化所代表的基本价值观和基本理念的痕迹.
（2）2取2表决单元可靠性为1；
2.2 不同分组的胃癌患者术前NLR、PLR、MLR、NWR、LWR、MWR与预后 全组患者257例，总的5年生存率是42.4%。其中高 NLR组患者为23.8%，低NLR组患者为55.2%；高PLR组患者为25.0%，低PLR组患者为51.7%；高MLR组患者为30.6%，低MLR组患者为65.5%；高NWR组患者为33.6%，低NWR组患者为53.5%；高LWR组患者为54.6%，低LWR组患者为21.3%；高MWR组患者为50.0%，低MWR组患者为32.4%。以下为分析比较结果：
（3）所识别的危害均为安全相关危害；
（4）A、B单元故障检测时间均相同，其和为T。
则A、B单元失效分布函数均为：
其中，t为A、B单元故障检测时间与故障检测到后拒绝时间之和。
因此，由图6可得2oo2组合式故障-安全结构失效分布函数为：
则2oo2组合式故障-安全结构的可靠度分布函数RS（2oo2）（t）为：
而2oo2组合式故障-安全结构失效密度函数fS（2oo2）（t）为（危害率为HRS（2oo2）（t））：
化简后得：
综上所述,溶血对多项生化项目检测准确性均带来不良影响,所以医护人员在临床检验过程中应严格执行相关操作予以采血,并做好样本运送和分离工作,减少或避免样本溶血现象发生,进而保证检测结果准确。
通常A、B单元故障检测到故障后拒绝所需时间远小于检测时间，因此2oo2组合式故障-安全结构的危害率为：
则式（13）可作为A、B单元参数均为λ的2oo2组合式故障-安全结构危害率工程实用化计算公式。
当A、B单元的参数不同，分别为λA和λB，检测时间分别为TA和TB时，式（13）为：
我国银行进行信贷业务风险分析时，主要方法还是以客户自身信用情况分析为主，对企业所属产业的风险评价重视程度不够，虽然已经有一些银行着手将产业风险分析结合到风险管理工作当中，但对其的认识依旧不够深入，当前的产业风险评价体系还存在着许多问题。
则式（14）可作为A、B单元参数不同的2oo2组合式故障-安全结构危害率工程实用化计算公式。
假设
，式（13）变换为：
式（15）中，SDRA、SDRB分别为A、B单元的宕机率。
则式（15）也可作为A、B单元参数不同的2oo2组合式故障-安全结构危害率工程实用化计算公式。
3 故障-安全结构危害率仿真分析
3.1 反应式故障-安全结构危害率仿真分析
图1所示的反应式故障-安全结构中，选择逻辑处理单元和故障检测单元所服从指数分布的参数λF和λD分别为5×10-6h-1和1×10-6h-1，则依据公式（5）和（7）得到反应式故障-安全结构危害率fs（t）和FRS（Reactive）随着检测时间TF的变化曲线如图7所示。
从图7所示反应式故障-安全结构危害率曲线，可以得到以下结论。
（1）当T≤10000h时，公式（7）中所呈现危害率-时间关系为线性关系，与公式（5）基本接近。
（2）公式（5）中危害率随着时间的增加而增加，逐渐呈现收敛趋势。
（3）当检测和拒绝时间很长时，公式（7）的计算值偏离公式（5）计算所得的准确值越来越大，而公式（5）更加接近实际值。
3.2 2oo2 组合式故障-安全结构危害率仿真分析
图2所示的2oo2组合式故障-安全结构中，选择A、B所服从指数分布的参数λ均为1×10-6h-1，则依据公式（11）和（13）得到2oo2组合式故障-安全结构危害率fS（2oo2）（t）和HRS（2oo2）随着检测时间T的变化曲线如图8所示。
图7 反应式故障-安全结构危害率
图8 2oo2 组合式故障-安全结构危害率
从图8所示2oo2组合式故障-安全结构危害率曲线，可以得到以下结论。
（1）当T≤10000h时，公式（13）中所呈现的危害率-检测时间为线性关系，且与公式（11）基本接近。
（2）公式（11）中危害率随着检测时间的增加而增加，并逐渐呈现收敛趋势。
（3）当检测和拒绝时间很长时，公式（13）的计算值偏离公式（11）计算所得的准确值越来越大，而公式（11）更加接近实际值。
4 结束语
本文所推导出的反应式和2oo2组合式故障-安全结构的危害率计算公式，不仅能够对安全相关系统或产品的设计参数选择（如检测时间等）、参数匹配设计及其可维护指标性确定提供理论依据，也为安全关键产品/系统的安全性预计提供了有效计算方法，具有较好的指导性和实用性。
参考文献
[1] 曹晋华. 程侃著可靠性数学引论（修订版）[M]. 北京：高等教育出版社，.
[2] 马文 · 劳沙德. 系统可靠性理论：模型、统计方法及应用[M]. 郭强，王秋芳，刘树林，译. 2版. 北京：国防工业出版社，.
[3] Jirí Konecny. Hazard rate of redundant structure 2oo2[D]. Pardubice ：University of Pardubice，.
[4] IEC 61508： Functional safety of electrical/electronic/programmable electronic safety-related systems[S]. .
[5] GB/T 28809- 轨道交通 通信、信号和处理系统信号用安全相关电子系统[S]. .
[6] GB/T 28809- 轨道交通 通信信号及处理系统-安全电子信号系统[S]. .
[7] GB/T 28808- 轨道交通 通信信号及处理系统 控制和防护系统软件[S]. .
[8] CLC/TR 50506-1 : 轨道交通 通信、信号和处理系统-EN 50129的应用指南第1部分：相互认可[S]..
[9] GB/T 20438.1- 电气/电子/科编程电子安全相关系统的功能安全 第1部分：一般要求（IEC 61508-1：，IDT）[S]. .
[10] GB/T 20438.2- 电气/电子/科编程电子安全相关系统的功能安全 第2部分：电气/电子/科编程电子安全相关系统的要求（IEC 61508-2：，IDT）[S]..
[11] GB/T 20438.3- 电气/电子/科编程电子安全相关系统的功能安全 第3部分：软件要求（IEC 61508-3：，IDT）[S]. .
[12] GB/T 20438.4- 电气/电子/科编程电子安全相关系统的功能安全 第4部分：定义和缩略语（IEC 61508-4：，IDT）[S]. .
[13] GB/T 20438.5- 电气/电子/科编程电子安全相关系统的功能安全 第5部分：确定安全完整性等级的方法示例（IEC 61508-5：，IDT）[S]. .
[14] GB/T 20438.6- 电气/电子/科编程电子安全相关系统的功能安全 第6部分：[10] GB/T 20438.2和GB/T20438.3的应用指南（IEC 61508-6：，IDT）[S]. .
[15] GB/T 20438.7- 电气/电子/科编程电子安全相关系统的功能安全 第7部分：技术和措施概述（IEC 61508-7：，IDT）[S]. .
