2007年第6期
2007年11月10日
机 车 电 传 动ELECTRIC DRIVE FOR LOCOMOTIVES
№6, 2007Nov. 10, 2007
综述与评论
摘
电子产品的可靠性分析和评估
严云升１，张潮东２
（1. 株洲南车时代电气股份有限公司技术中心, 湖南株洲
2. 洛阳机务段, 河南洛阳
471002）
作者简介：严云升（1940－），
412001；
要：针对目前可靠性数据统计中遇到的一些问题，阐述了可靠性数据统计和评估的基本对
男，高级工程师(教授级), 从事电力机车微机控制系统
象，怎样得到一个子系统的可靠性要求以及该要求在子系统内部各部件中的分配，新产品取代老产品的开发设计工作。
的必要条件以及冗余系统的可靠性统计和评估方法。其目的在于促进新产品的可靠性设计和现有产品的可靠性数据统计。
关键词：电子产品；可靠性要求；分配；数据统计；评估；冗余；铁道机车车辆
中图分类号：TB114.3；U26 文献标识码：A 文章编号：1000-128X(2007)06-0006-04
Reliability Analysis and Evaluation of Electronic Products
YAN Yun-sheng 1 , ZHANG Chao-dong 2
(1. Technology Center, Zhuzhou CSR Times Electric Co., Ltd., Zhuzhou, Hunan 412001, China ;
2. Luoyang Locomotive Depot, Luoyang , Henan 471002 , China)
Abstract: In the light of some problems occurred during the existing reliability statistics, the basic objects of the reliability statistics andevaluation are listed, as well as how to get the reliability requirement in a subsystem and how this requirement is assigned to the componentsinside the subsystem, the necessary conditions for the new products to take the place of old products, and reliability statistics and evaluationmethod of the redundant system. The intention is to improve the reliability design of new products and the reliability statistics of existingproducts.
Key words: electronic product; reliability requirement; assignment; data statistics; evaluation; redundancy; railway vehicle
0引言
《轨道交通 可靠性 可用性 可维护IEC 62278：2002性和安全性规范及示例》定义了产品RAMS 的可靠性、可用性、可维护性和安全性4个因素及其相互作用，它以系统生命周期及其任务为基础的流程来管理RAMS 。
《铁道机车车辆电子产品的可靠性、可用TB/T3133-2006
性、可维护性和安全性（RAMS ）》则针对铁道机车车辆电子产品这个特定的应用，定量地规定了故障频度等级的划分，并对电子产品故障造成的危害进行了界定。危害事件出现的频度分成：频繁、经常、有时、很少、极少和几乎不可能6级。各级的实际平均无故障时间（AMTBF ）要求以2的倍数递增，最高级的AMTBF 为2万
相当于4年以上才出现一次故障。产品故障造h 以上，
成的危害后果的严酷等级分为4级：特大、重大、次要
收稿日期：2006-08-10；收修改稿日期：2007-07-26—6—
和轻微。国内在铁道电子产品的可靠性数据统计方面
也做了大量的工作，对提高产品质量起到了一定的作用，但在统计中也遇到了一些感到困惑的问题。本文将从可靠性要求及其分配、可靠性评估等方面阐述解决这些问题的意见，希望能促进新产品的可靠性设计。
1可靠性统计中遇到的困惑问题
现在的可靠性统计主要统计该产品的实际平均无故障时间AMTBF 。一般以更换主要零部件为依据，每更换一次为一次故障。统计时间一般为一年（根据需要可采用不同的统计时间），一年内预期运行时间按
设该型产品总台数为N ，一年内故障的总0.5万h 计算，
次数为F ，则
AMTBF=5000×N /F (h)这样的统计方法比较直观、容易，便于在各机务段分别进行统计。目前感到困惑的几个问题是
：
第6期严云升，张潮东：电子产品的可靠性分折和评估
①变流器的发展趋向是将控制系统与主系统集成在一个装置中，而目前交直传动机车上控制装置与主变流器（硅机组）是分别安装的，它们应作为一个对象合起来统计，还是应作为2个对象分别统计？这里涉及到可靠性数据统计的基本对象问题。
②单就AMTBF 指标，还难于说明产品质量的优劣程度。例如微机柜与传感器相比较，目前微机柜的
传感器的AMTBF 在10万h ，但不能说AMTBF 在1万h ，
传感器的质量已经比较好了，从后文分析中可看到传感器还的确是目前质量的薄弱环节。这是因为各个部件复杂程度是不同的，这涉及到可靠性指标在子系统内部各部件间的分配问题。
③有些部件虽然AMTBF 不低、很少出现故障，但一旦出现故障后，经济损失和社会影响都比较大，怎样来评估这些部件的AMTBF 呢？例如，机车上的硅机组，尤其是采用127mm （5英寸）大元件的硅机组，以往每个桥臂上有2个元件并联，损坏一个元件尚可降功运行，不致产生机破；而采用大元件后每个桥臂上只有
一旦某个元件损坏，引发其他桥臂的元件损1个元件，
坏的机率较高，因而引起机破的可能性较大。这里涉及对这种部件的可靠性指标分配，也涉及到新产品要取代老产品的必要条件问题。
④单从AMTBF 来说，采用冗余以后，由于元器件数量成倍地增加，其故障率也可能成倍增加，导致
这样就易产生一种错AMT BF 的统计数据反而下降，
觉，冗余只增加可用性，反而降低了可靠性。就单台产品而言，其AMTBF 应保持不变，与是否冗余无关。冗余以后的可靠性应根据公式计算，在同样的AMTBF 下，冗余以后可靠性肯定要提高。
多项）安全相关功能的子系统，这些子系统由若干可靠性数据统计的基本对象组成。从安全角度考虑，每
一项安全相关功能若失效的话，势必带来一定的后果。有的后果是特大的，如发生在两列车相撞、列车出轨、火灾以及高压触电时；有的后果是重大的，如造成机破、晚点30 min以上；有的后果是次要的，如空调失灵、造成旅客环境恶化、舒适度下降。这些安全相关功能失效的后果不同，因而对其可靠性要求也就不同。进行可靠性评估时，也只能对承担安全相关功能的各个子系统分别评估。
及列车运行安全装置是防AT P （自动列车防护）
止超速和冒进信号的安全设备，超速有可能引起列车出轨，冒进信号有可能造成两列车碰撞。空气制动系统（包括制动控制单元BCU 及各种电磁阀）如果失灵，将使列车不能及时降速，可能引起超速冒进信号，这两类子系统都应按后果为特大等级来考虑可靠性要求。
火灾属特大事故。防火和不产生有毒气体是各个部件需要考虑的共同问题。为防止电气部件引发火灾，要求导线具有一定的截面积，在短路发生时应能短时承受短路电流而不致起火，导线绝缘应为无卤材料，不应产生有害气体。对灭弧部件的结构、材料的选择以及喷弧距离都应从安全角度进行复核。
机车上的主断路器是各种重大电气故障的总保护，如果主断路器“卡分”（卡在分位上），列车就没有牵引力；如果在电气故障时主断路器“卡合”（卡在合位上），则有可能产生重大设备的损伤，甚至引起火灾及上一级变电所保护动作，使电网供电中断造成多列车停运、交通阻塞的严重事故。所以在运行中对主断路器动作的可靠性要求极高。基本上要求“万无一失”，因而不能简单地用AMTBF 来衡量。每个司机在接班时都需对主断进行分、合试验，确认动作正常后，方能使机车投入运行；每次交班时也需对主断进行分、合试验，如果发现动作不正常，则应“报活”提请修理，以免影响机车再次投入运行。
牵引系统（包括各种传感器、控制装置、主变流器等）根据司机指令产生所需的牵引力/电制动力，并承担机车的多项保护功能。牵引力/电制动力功能的部分损失会造成列车晚点，全部丧失会造成机破。辅助系统为各种辅机提供电源，如果它发生故障有可能造成牵引力/电制动力的部分损失或全部丧失。列车控制网络系统故障也可能造成牵引力/电制动力的部分损失或全部丧失，这些子系统都应按后果为重大等级来考虑可靠性要求。
车门控制系统如果失灵将造成旅客上下车不方便。如果在行进中车门被打开，有可能将使旅客摔到车外而伤亡。轴温报警装置和轴承故障检测装置，如果误报，会影响运行，如果在轴温超温或轴承损伤时不能
—7—
2可靠性统计和评估的基本对象
系统的可靠性取决于组成系统的各个部件的可靠
性。可靠性数据统计的基本对象首先是独立安装的部件或市场上可以单独购买的部件。对这些部件单独进行可靠性数据的统计，便于发现它的质量问题以及把意见反馈给制造商或供应商。对于一个复杂的大设备，还应进一步细分，最好能细到备件更换这一级。例如：微机柜中有2个相同的插件箱，正常时它们分别对2个转向架进行独立控制，只在一个插件箱故障时，才改为集中控制。统计时不仅要统计微机柜，还应统计插件箱的AMTBF 。插件箱中可有多块插件，在运行中如果插件箱有故障，处理时以更换插件来解决，所以还必须统计每块插件的AMTBF 。这样就可针对故障率高的插件进行质量攻关，同时在备件贮备的数量上也可有的放矢。
对于前面所提问题，不仅要统计整个装置，而且要细分下去，分层次地统计AMTBF 。
可靠性数据评估的基本对象应为能承担一项（或
机 车 电 传 动
2007年
报出故障，则有可能造成走行部分的严重事故，这些子系统也应按后果为重大等级来考虑可靠性要求。
列车供电照明及空调系统的故障会使人身环境条件恶化，影响舒适性，这些子系统可按后果为次要等级来考虑可靠性要求。
3可靠性要求及其分配
3.1可靠性要求
各个子系统的可靠性要求可从2种途径得到：第一种是按该子系统功能失效后果的严酷等级从
机车车TB/T3133-2006中查到允许的平均无故障时间。辆上的子系统（电子产品）绝大部分的AMTBF 应达到
1万h ；对列车运行安全装置和空气制动系统应力求达到2万h ，少数子系统如空调电源可放宽到0.5万h 。第二种是根据运行部门对整车的可靠性要求再分配到相关的子系统，下文将举例说明。
电子产品的失效函数λ（t ），在开始阶段λ（t ）呈较快的下降现象，称为早期失效期，一般大致为3个月左右。其后一段时期内λ（t ）基本稳定，称为偶然失效期，在λ（t ）小于规定的λ这段时间就是产品的使用寿命。超过使用寿命后λ（t ）迅速上升，称为耗损失效期。这种现象称为浴盆效应。在使用寿命期间λ（t ）可靠=λ，
λ
性函数R （t ）在电子产品的可靠性分析中，都假=e-t 。设可靠性函数按指数分布。对不可修理产品而言，1/λ为其平均使用寿命；对可修理产品而言，1/λ=AMTBF即为实际平均无故障时间。机车车辆上的电子产品一般都是可修理的，统计得到的AMTBF 代表了该产品可靠性的实际水平。
下面的数据是某客运机务段2005年对SS 8电力机车可靠性的要求：
机破率：3件/1000万km
已知每台机车日运行公里为1 000～1 100 km，年平均运行34.3万km 。
每台机车年运行时间按0.5万h 计，则运行1 000万km 需时14.577万h 。
产生机破的原因有电气系统的方面（如牵引系统、辅助系统等），也有机械系统的方面（如走行部分、空气制动系统等）。如果按各占一半来考虑，则要求电气部分的机破率为1件/10万h 。
由于电气系统中各部分都考虑到故障后的补救措施（如冗余、应急驾驶、故障切换等），另外也不是所有故障都会引起功能完全丧失，真正由电气部分故障而引发机破的比率小于10%。因而得到，相关子系统的平均无故障时间达到1万h 以上就可满足该机务段的机破率要求。这个结论与TB/T3133-2006的要求是一致的。目前货运机务段的机破率要求大概为0.1件/10万km 。货运机车日运行公里数约为300~400 km。这样对电气子系统的AMTBF 大致上有与客运机车相同的要求。
—8—
3.2可靠性要求在子系统内部的分配
可靠性要求在子系统内部各部件间的分配原则根据：部件的复杂性、技术的新颖性、失效的临界性以及现有的可靠性水平（可行性）。构成子系统的各部件其复杂程度是不同的，应将复杂的部件分解成子部件，使各子部件大致有相同的可比性。技术新颖的部件，由于经验不足技术上可能还不够成熟，在设计阶段要多留余量，以保证运行中的可靠性不会比老产品低。对于失效后果很严重的部件其可靠性要加权提高，当然为了实际可行，不能完全脱离既有水平，但可以在现有水平上改进提高。
一般可编程电子安全相关系统可由3部分组成：传感器子系统、逻辑控制子系统和最终部件子系统，这3个部分互相串联，见图1。
图1可编程电子安全相关系统的组成
对某个安全相关功能来说，整个系统按需要的每小时失效概率可按下式计算：
PFH sys =PFHs +PFHL +PFHFE
式中：P F H s y s 是安全相关系统的每小时失效概率；
逻辑控制子PFH s ，PFH L ，PFH FE 分别为传感器子系统、
系统和最终部件子系统该安全功能按需要的每小时失效概率。
现在已知
，需将此要求分
配到各个子部件。现以SS 8微机控制系统为例来说明分配过程。1个插件箱控制1个转向架。
其输入信号中有2个电枢电压传感器，2个电枢电流传感器，1个励磁传感器，2个速度传感器再加上司机给定电位器，至少有8路信号。1个插件箱中大概有10块插件。最终部件为1台硅机组。主桥为桥式整流，接在2段牵引绕组上。
目前各传感器的AMTBF 在10万h 左右，1个插件箱的AMTBF 在2万h ，如果不考虑诊1台硅机组在10万h 。断和软件对传感器失效影响的防止措施，则该系统
PFH sys =8×10-5+5×10-5+10-5=1.4×10-4
该系统的
，达不到1万h
的要求。
从该系统PFH sys 组成看，失效率最高的是传感器子系统。
由于系统采用诊断措施，在1个电压传感器、1个电流传感器以及1个速度传感器失效时不会影响系统运行，即可少计算3个传感器的失效率。
PFH sys =5×10-5+5×10-5+10-5=1.1×10-4这样AMTBF 约为0.9万h ，接近1万h 的要求。从插件箱来说要求各插件的AMTBF 为20万h ，有
第6期严云升，张潮东：电子产品的可靠性分折和评估
的插件基本不坏，有的插件故障率较高，但平均能达到这个水平。硅机组这样的大部件要求达到10万h ，对一段牵引绕组的整流桥而言已达到20万h ，如要再提高，尤其对大元件硅机组可能是一件难事。所以要进一步提高该系统可靠性水平，主要应从传感器入手。如果将传感器用1个插件的可靠性指标来要求，即为20万h ，则
PFH sys =8×5×10-6+5×10-5+10-5=10-4
此时AMTBF=1万h ，满足该子系统的要求。如果考虑到传感器失效时的诊断作用，则PFH sys =5×5×10-6+5×10-5+10-5=8.5×10-5此时AMTBF=1.176万h 。
从以上分析可见，传感器的可靠性是目前的薄弱环节，应对传感器制造厂提出AMTBF 为20万h 的要求。当然各个子系统的复杂程度是不同的，各个子系统需要具体分析，只要把可靠性要求分配落实到部件，在设计阶段就可以对薄弱环节采取措施，对现有产品统计的可靠性数据作出评估。
由于不同子系统的可靠性要求可能有所不同，同样的部件用于A 子系统中可以满足可靠性要求，而在B 子系统中可能达不到可靠性要求。因而要根据具体使用场合来核查产品的可靠性指标是否满足要求。对AMTBF 20万h 的要求，电压传感器一般都远远超过该指标，速度传感器已接近这一指标，只是电流传感器还有一定差距。这也可能与其工作条件有关。电流传感器与电压传感器相比，其工作条件比较恶劣，主要有以下2个方面。
①电压传感器一般安装在低压柜中，信号通过双绞屏蔽线引入，其周围没有大电流母排的强电磁干扰，且易于散热。而电流传感器与大电流母排直接相连，其周围大电流母排多，电磁干扰大，散热相对困难。
②电压信号的变化相对较缓慢，且运行中长期保持在额定值。超过额定值的机会很少，在达到1.1U H 时保护动作。而电流信号变动快且多变，运行中超过额定电流的机率较多，尤其在低速启动中，一般达到
经常性出现的大于额1.6~1.7倍I H 时才进行过流保护。
定值的电流，会对电流传感器元器件带来不利的影响，
这涉及电流传感器的设计选型问题。
存在的意义。
现在硅机组的发展趋势是用大元件取代原来需要并联的元件，这样就没有均流的问题。但另一方面却带来更大风险，以往2个元件并联时，1个硅元件的损坏不致引起机破。现在桥臂上由于只有1个大元件，元件损坏引起机破的风险大大增加，这就要求大元件硅机组设计时应留有足够的电压和电流余量，平均无故障时间AMTBF 不得低于现在的10万h 。在电流参数计算中，一方面是不需考虑均流问题; 另一方面要考虑由于风险增大的裕量，合起来应比小元件有更大的裕度。
5冗余系统可靠性数据统计和评估
对由2台相同设备构成的热备冗余系统，其
（即故障次数应除以AMT BF 的统计应以单台为对象
，单台的AMTBF 应与是否冗余无关。2）
热备冗余系统的AMTBF 按下式计算
式中：n 为并联的设备数。
则2台热备冗余系统的平均无故障时间为单台的1.5倍。2台冷备冗余系统的平均无故障时间在不考虑切换设备的失效及产品非工作状态失效时为单台的2倍。
6小结
①可靠性数据统计的基本对象是独立安装的部
件，对复杂的部件应进一步细分。而可靠性评估的基本对象是承担某一安全相关任务的子系统。
②根据该子系统功能失效导致的后果的严酷等级从TB/T3133-2006标准可获得该子系统的可靠性要求，而且该要求可以满足当前对整车的可靠性要求。
③子系统的可靠性要求需在子系统各组成部件间根据复杂性、新颖性、临界性以及现有水平来进行分配。
④同一产品用在不同的子系统中，它的可靠性有可能只满足某一子系统，但不满足另外的子系统。⑤新产品要取代老产品，不增加风险，不降低可靠性是其重要的条件。
⑥冗余系统的可靠性数据统计应以单台为对象。双份热备冗余系统的AMBTF 是单台的1.5倍；双份冷备冗余系统的AMBTF 是单台的2倍。参考文献：
［1］TB/T3133-2006, 铁道机车车辆电子产品的可靠性、可用性、
可维护性和安全性（RAMS ）［S ］.
［2］IEC62278：2002, 轨道交通 可靠性、可用性、可维护性和安
全性规范及示例［S ］.
［3］EN50129：2003, 轨道交通 通信、信号传输和处理系统 信
号传输用安全相关电子系统［S ］.
［4］周桂法, 严云升. 产品的风险和安全完整性［J ］. 机车电传动,
2006（4）.
—9—
4新产品取代老产品的必要条件
用于更新换代的新产品除了在功能上、可维护性
及经济效益方面比老产品有所提高外，还必须考虑安全可靠性。
风险评估三大原理之一的GAMAB （在法国实施）表述如下：
“新的导向运输系统应提供一个风险等级，它整体上至少与现有的任何等效的系统一样好”。这个表述隐含着要求新系统在现有系统基础上有所进步，至少其风险不会增加，可靠性不应降低。否则就失去新产品
2007年第6期
2007年11月10日
机 车 电 传 动ELECTRIC DRIVE FOR LOCOMOTIVES
№6, 2007Nov. 10, 2007
综述与评论
摘
电子产品的可靠性分析和评估
严云升１，张潮东２
（1. 株洲南车时代电气股份有限公司技术中心, 湖南株洲
2. 洛阳机务段, 河南洛阳
471002）
作者简介：严云升（1940－），
412001；
要：针对目前可靠性数据统计中遇到的一些问题，阐述了可靠性数据统计和评估的基本对
男，高级工程师(教授级), 从事电力机车微机控制系统
象，怎样得到一个子系统的可靠性要求以及该要求在子系统内部各部件中的分配，新产品取代老产品的开发设计工作。
的必要条件以及冗余系统的可靠性统计和评估方法。其目的在于促进新产品的可靠性设计和现有产品的可靠性数据统计。
关键词：电子产品；可靠性要求；分配；数据统计；评估；冗余；铁道机车车辆
中图分类号：TB114.3；U26 文献标识码：A 文章编号：1000-128X(2007)06-0006-04
Reliability Analysis and Evaluation of Electronic Products
YAN Yun-sheng 1 , ZHANG Chao-dong 2
(1. Technology Center, Zhuzhou CSR Times Electric Co., Ltd., Zhuzhou, Hunan 412001, China ;
2. Luoyang Locomotive Depot, Luoyang , Henan 471002 , China)
Abstract: In the light of some problems occurred during the existing reliability statistics, the basic objects of the reliability statistics andevaluation are listed, as well as how to get the reliability requirement in a subsystem and how this requirement is assigned to the componentsinside the subsystem, the necessary conditions for the new products to take the place of old products, and reliability statistics and evaluationmethod of the redundant system. The intention is to improve the reliability design of new products and the reliability statistics of existingproducts.
Key words: electronic product; reliability requirement; assignment; data statistics; evaluation; redundancy; railway vehicle
0引言
《轨道交通 可靠性 可用性 可维护IEC 62278：2002性和安全性规范及示例》定义了产品RAMS 的可靠性、可用性、可维护性和安全性4个因素及其相互作用，它以系统生命周期及其任务为基础的流程来管理RAMS 。
《铁道机车车辆电子产品的可靠性、可用TB/T3133-2006
性、可维护性和安全性（RAMS ）》则针对铁道机车车辆电子产品这个特定的应用，定量地规定了故障频度等级的划分，并对电子产品故障造成的危害进行了界定。危害事件出现的频度分成：频繁、经常、有时、很少、极少和几乎不可能6级。各级的实际平均无故障时间（AMTBF ）要求以2的倍数递增，最高级的AMTBF 为2万
相当于4年以上才出现一次故障。产品故障造h 以上，
成的危害后果的严酷等级分为4级：特大、重大、次要
收稿日期：2006-08-10；收修改稿日期：2007-07-26—6—
和轻微。国内在铁道电子产品的可靠性数据统计方面
也做了大量的工作，对提高产品质量起到了一定的作用，但在统计中也遇到了一些感到困惑的问题。本文将从可靠性要求及其分配、可靠性评估等方面阐述解决这些问题的意见，希望能促进新产品的可靠性设计。
1可靠性统计中遇到的困惑问题
现在的可靠性统计主要统计该产品的实际平均无故障时间AMTBF 。一般以更换主要零部件为依据，每更换一次为一次故障。统计时间一般为一年（根据需要可采用不同的统计时间），一年内预期运行时间按
设该型产品总台数为N ，一年内故障的总0.5万h 计算，
次数为F ，则
AMTBF=5000×N /F (h)这样的统计方法比较直观、容易，便于在各机务段分别进行统计。目前感到困惑的几个问题是
：
第6期严云升，张潮东：电子产品的可靠性分折和评估
①变流器的发展趋向是将控制系统与主系统集成在一个装置中，而目前交直传动机车上控制装置与主变流器（硅机组）是分别安装的，它们应作为一个对象合起来统计，还是应作为2个对象分别统计？这里涉及到可靠性数据统计的基本对象问题。
②单就AMTBF 指标，还难于说明产品质量的优劣程度。例如微机柜与传感器相比较，目前微机柜的
传感器的AMTBF 在10万h ，但不能说AMTBF 在1万h ，
传感器的质量已经比较好了，从后文分析中可看到传感器还的确是目前质量的薄弱环节。这是因为各个部件复杂程度是不同的，这涉及到可靠性指标在子系统内部各部件间的分配问题。
③有些部件虽然AMTBF 不低、很少出现故障，但一旦出现故障后，经济损失和社会影响都比较大，怎样来评估这些部件的AMTBF 呢？例如，机车上的硅机组，尤其是采用127mm （5英寸）大元件的硅机组，以往每个桥臂上有2个元件并联，损坏一个元件尚可降功运行，不致产生机破；而采用大元件后每个桥臂上只有
一旦某个元件损坏，引发其他桥臂的元件损1个元件，
坏的机率较高，因而引起机破的可能性较大。这里涉及对这种部件的可靠性指标分配，也涉及到新产品要取代老产品的必要条件问题。
④单从AMTBF 来说，采用冗余以后，由于元器件数量成倍地增加，其故障率也可能成倍增加，导致
这样就易产生一种错AMT BF 的统计数据反而下降，
觉，冗余只增加可用性，反而降低了可靠性。就单台产品而言，其AMTBF 应保持不变，与是否冗余无关。冗余以后的可靠性应根据公式计算，在同样的AMTBF 下，冗余以后可靠性肯定要提高。
多项）安全相关功能的子系统，这些子系统由若干可靠性数据统计的基本对象组成。从安全角度考虑，每
一项安全相关功能若失效的话，势必带来一定的后果。有的后果是特大的，如发生在两列车相撞、列车出轨、火灾以及高压触电时；有的后果是重大的，如造成机破、晚点30 min以上；有的后果是次要的，如空调失灵、造成旅客环境恶化、舒适度下降。这些安全相关功能失效的后果不同，因而对其可靠性要求也就不同。进行可靠性评估时，也只能对承担安全相关功能的各个子系统分别评估。
及列车运行安全装置是防AT P （自动列车防护）
止超速和冒进信号的安全设备，超速有可能引起列车出轨，冒进信号有可能造成两列车碰撞。空气制动系统（包括制动控制单元BCU 及各种电磁阀）如果失灵，将使列车不能及时降速，可能引起超速冒进信号，这两类子系统都应按后果为特大等级来考虑可靠性要求。
火灾属特大事故。防火和不产生有毒气体是各个部件需要考虑的共同问题。为防止电气部件引发火灾，要求导线具有一定的截面积，在短路发生时应能短时承受短路电流而不致起火，导线绝缘应为无卤材料，不应产生有害气体。对灭弧部件的结构、材料的选择以及喷弧距离都应从安全角度进行复核。
机车上的主断路器是各种重大电气故障的总保护，如果主断路器“卡分”（卡在分位上），列车就没有牵引力；如果在电气故障时主断路器“卡合”（卡在合位上），则有可能产生重大设备的损伤，甚至引起火灾及上一级变电所保护动作，使电网供电中断造成多列车停运、交通阻塞的严重事故。所以在运行中对主断路器动作的可靠性要求极高。基本上要求“万无一失”，因而不能简单地用AMTBF 来衡量。每个司机在接班时都需对主断进行分、合试验，确认动作正常后，方能使机车投入运行；每次交班时也需对主断进行分、合试验，如果发现动作不正常，则应“报活”提请修理，以免影响机车再次投入运行。
牵引系统（包括各种传感器、控制装置、主变流器等）根据司机指令产生所需的牵引力/电制动力，并承担机车的多项保护功能。牵引力/电制动力功能的部分损失会造成列车晚点，全部丧失会造成机破。辅助系统为各种辅机提供电源，如果它发生故障有可能造成牵引力/电制动力的部分损失或全部丧失。列车控制网络系统故障也可能造成牵引力/电制动力的部分损失或全部丧失，这些子系统都应按后果为重大等级来考虑可靠性要求。
车门控制系统如果失灵将造成旅客上下车不方便。如果在行进中车门被打开，有可能将使旅客摔到车外而伤亡。轴温报警装置和轴承故障检测装置，如果误报，会影响运行，如果在轴温超温或轴承损伤时不能
—7—
2可靠性统计和评估的基本对象
系统的可靠性取决于组成系统的各个部件的可靠
性。可靠性数据统计的基本对象首先是独立安装的部件或市场上可以单独购买的部件。对这些部件单独进行可靠性数据的统计，便于发现它的质量问题以及把意见反馈给制造商或供应商。对于一个复杂的大设备，还应进一步细分，最好能细到备件更换这一级。例如：微机柜中有2个相同的插件箱，正常时它们分别对2个转向架进行独立控制，只在一个插件箱故障时，才改为集中控制。统计时不仅要统计微机柜，还应统计插件箱的AMTBF 。插件箱中可有多块插件，在运行中如果插件箱有故障，处理时以更换插件来解决，所以还必须统计每块插件的AMTBF 。这样就可针对故障率高的插件进行质量攻关，同时在备件贮备的数量上也可有的放矢。
对于前面所提问题，不仅要统计整个装置，而且要细分下去，分层次地统计AMTBF 。
可靠性数据评估的基本对象应为能承担一项（或
机 车 电 传 动
2007年
报出故障，则有可能造成走行部分的严重事故，这些子系统也应按后果为重大等级来考虑可靠性要求。
列车供电照明及空调系统的故障会使人身环境条件恶化，影响舒适性，这些子系统可按后果为次要等级来考虑可靠性要求。
3可靠性要求及其分配
3.1可靠性要求
各个子系统的可靠性要求可从2种途径得到：第一种是按该子系统功能失效后果的严酷等级从
机车车TB/T3133-2006中查到允许的平均无故障时间。辆上的子系统（电子产品）绝大部分的AMTBF 应达到
1万h ；对列车运行安全装置和空气制动系统应力求达到2万h ，少数子系统如空调电源可放宽到0.5万h 。第二种是根据运行部门对整车的可靠性要求再分配到相关的子系统，下文将举例说明。
电子产品的失效函数λ（t ），在开始阶段λ（t ）呈较快的下降现象，称为早期失效期，一般大致为3个月左右。其后一段时期内λ（t ）基本稳定，称为偶然失效期，在λ（t ）小于规定的λ这段时间就是产品的使用寿命。超过使用寿命后λ（t ）迅速上升，称为耗损失效期。这种现象称为浴盆效应。在使用寿命期间λ（t ）可靠=λ，
λ
性函数R （t ）在电子产品的可靠性分析中，都假=e-t 。设可靠性函数按指数分布。对不可修理产品而言，1/λ为其平均使用寿命；对可修理产品而言，1/λ=AMTBF即为实际平均无故障时间。机车车辆上的电子产品一般都是可修理的，统计得到的AMTBF 代表了该产品可靠性的实际水平。
下面的数据是某客运机务段2005年对SS 8电力机车可靠性的要求：
机破率：3件/1000万km
已知每台机车日运行公里为1 000～1 100 km，年平均运行34.3万km 。
每台机车年运行时间按0.5万h 计，则运行1 000万km 需时14.577万h 。
产生机破的原因有电气系统的方面（如牵引系统、辅助系统等），也有机械系统的方面（如走行部分、空气制动系统等）。如果按各占一半来考虑，则要求电气部分的机破率为1件/10万h 。
由于电气系统中各部分都考虑到故障后的补救措施（如冗余、应急驾驶、故障切换等），另外也不是所有故障都会引起功能完全丧失，真正由电气部分故障而引发机破的比率小于10%。因而得到，相关子系统的平均无故障时间达到1万h 以上就可满足该机务段的机破率要求。这个结论与TB/T3133-2006的要求是一致的。目前货运机务段的机破率要求大概为0.1件/10万km 。货运机车日运行公里数约为300~400 km。这样对电气子系统的AMTBF 大致上有与客运机车相同的要求。
—8—
3.2可靠性要求在子系统内部的分配
可靠性要求在子系统内部各部件间的分配原则根据：部件的复杂性、技术的新颖性、失效的临界性以及现有的可靠性水平（可行性）。构成子系统的各部件其复杂程度是不同的，应将复杂的部件分解成子部件，使各子部件大致有相同的可比性。技术新颖的部件，由于经验不足技术上可能还不够成熟，在设计阶段要多留余量，以保证运行中的可靠性不会比老产品低。对于失效后果很严重的部件其可靠性要加权提高，当然为了实际可行，不能完全脱离既有水平，但可以在现有水平上改进提高。
一般可编程电子安全相关系统可由3部分组成：传感器子系统、逻辑控制子系统和最终部件子系统，这3个部分互相串联，见图1。
图1可编程电子安全相关系统的组成
对某个安全相关功能来说，整个系统按需要的每小时失效概率可按下式计算：
PFH sys =PFHs +PFHL +PFHFE
式中：P F H s y s 是安全相关系统的每小时失效概率；
逻辑控制子PFH s ，PFH L ，PFH FE 分别为传感器子系统、
系统和最终部件子系统该安全功能按需要的每小时失效概率。
现在已知
，需将此要求分
配到各个子部件。现以SS 8微机控制系统为例来说明分配过程。1个插件箱控制1个转向架。
其输入信号中有2个电枢电压传感器，2个电枢电流传感器，1个励磁传感器，2个速度传感器再加上司机给定电位器，至少有8路信号。1个插件箱中大概有10块插件。最终部件为1台硅机组。主桥为桥式整流，接在2段牵引绕组上。
目前各传感器的AMTBF 在10万h 左右，1个插件箱的AMTBF 在2万h ，如果不考虑诊1台硅机组在10万h 。断和软件对传感器失效影响的防止措施，则该系统
PFH sys =8×10-5+5×10-5+10-5=1.4×10-4
该系统的
，达不到1万h
的要求。
从该系统PFH sys 组成看，失效率最高的是传感器子系统。
由于系统采用诊断措施，在1个电压传感器、1个电流传感器以及1个速度传感器失效时不会影响系统运行，即可少计算3个传感器的失效率。
PFH sys =5×10-5+5×10-5+10-5=1.1×10-4这样AMTBF 约为0.9万h ，接近1万h 的要求。从插件箱来说要求各插件的AMTBF 为20万h ，有
第6期严云升，张潮东：电子产品的可靠性分折和评估
的插件基本不坏，有的插件故障率较高，但平均能达到这个水平。硅机组这样的大部件要求达到10万h ，对一段牵引绕组的整流桥而言已达到20万h ，如要再提高，尤其对大元件硅机组可能是一件难事。所以要进一步提高该系统可靠性水平，主要应从传感器入手。如果将传感器用1个插件的可靠性指标来要求，即为20万h ，则
PFH sys =8×5×10-6+5×10-5+10-5=10-4
此时AMTBF=1万h ，满足该子系统的要求。如果考虑到传感器失效时的诊断作用，则PFH sys =5×5×10-6+5×10-5+10-5=8.5×10-5此时AMTBF=1.176万h 。
从以上分析可见，传感器的可靠性是目前的薄弱环节，应对传感器制造厂提出AMTBF 为20万h 的要求。当然各个子系统的复杂程度是不同的，各个子系统需要具体分析，只要把可靠性要求分配落实到部件，在设计阶段就可以对薄弱环节采取措施，对现有产品统计的可靠性数据作出评估。
由于不同子系统的可靠性要求可能有所不同，同样的部件用于A 子系统中可以满足可靠性要求，而在B 子系统中可能达不到可靠性要求。因而要根据具体使用场合来核查产品的可靠性指标是否满足要求。对AMTBF 20万h 的要求，电压传感器一般都远远超过该指标，速度传感器已接近这一指标，只是电流传感器还有一定差距。这也可能与其工作条件有关。电流传感器与电压传感器相比，其工作条件比较恶劣，主要有以下2个方面。
①电压传感器一般安装在低压柜中，信号通过双绞屏蔽线引入，其周围没有大电流母排的强电磁干扰，且易于散热。而电流传感器与大电流母排直接相连，其周围大电流母排多，电磁干扰大，散热相对困难。
②电压信号的变化相对较缓慢，且运行中长期保持在额定值。超过额定值的机会很少，在达到1.1U H 时保护动作。而电流信号变动快且多变，运行中超过额定电流的机率较多，尤其在低速启动中，一般达到
经常性出现的大于额1.6~1.7倍I H 时才进行过流保护。
定值的电流，会对电流传感器元器件带来不利的影响，
这涉及电流传感器的设计选型问题。
存在的意义。
现在硅机组的发展趋势是用大元件取代原来需要并联的元件，这样就没有均流的问题。但另一方面却带来更大风险，以往2个元件并联时，1个硅元件的损坏不致引起机破。现在桥臂上由于只有1个大元件，元件损坏引起机破的风险大大增加，这就要求大元件硅机组设计时应留有足够的电压和电流余量，平均无故障时间AMTBF 不得低于现在的10万h 。在电流参数计算中，一方面是不需考虑均流问题; 另一方面要考虑由于风险增大的裕量，合起来应比小元件有更大的裕度。
5冗余系统可靠性数据统计和评估
对由2台相同设备构成的热备冗余系统，其
（即故障次数应除以AMT BF 的统计应以单台为对象
，单台的AMTBF 应与是否冗余无关。2）
热备冗余系统的AMTBF 按下式计算
式中：n 为并联的设备数。
则2台热备冗余系统的平均无故障时间为单台的1.5倍。2台冷备冗余系统的平均无故障时间在不考虑切换设备的失效及产品非工作状态失效时为单台的2倍。
6小结
①可靠性数据统计的基本对象是独立安装的部
件，对复杂的部件应进一步细分。而可靠性评估的基本对象是承担某一安全相关任务的子系统。
②根据该子系统功能失效导致的后果的严酷等级从TB/T3133-2006标准可获得该子系统的可靠性要求，而且该要求可以满足当前对整车的可靠性要求。
③子系统的可靠性要求需在子系统各组成部件间根据复杂性、新颖性、临界性以及现有水平来进行分配。
④同一产品用在不同的子系统中，它的可靠性有可能只满足某一子系统，但不满足另外的子系统。⑤新产品要取代老产品，不增加风险，不降低可靠性是其重要的条件。
⑥冗余系统的可靠性数据统计应以单台为对象。双份热备冗余系统的AMBTF 是单台的1.5倍；双份冷备冗余系统的AMBTF 是单台的2倍。参考文献：
［1］TB/T3133-2006, 铁道机车车辆电子产品的可靠性、可用性、
可维护性和安全性（RAMS ）［S ］.
［2］IEC62278：2002, 轨道交通 可靠性、可用性、可维护性和安
全性规范及示例［S ］.
［3］EN50129：2003, 轨道交通 通信、信号传输和处理系统 信
号传输用安全相关电子系统［S ］.
［4］周桂法, 严云升. 产品的风险和安全完整性［J ］. 机车电传动,
2006（4）.
—9—
4新产品取代老产品的必要条件
用于更新换代的新产品除了在功能上、可维护性
及经济效益方面比老产品有所提高外，还必须考虑安全可靠性。
风险评估三大原理之一的GAMAB （在法国实施）表述如下：
“新的导向运输系统应提供一个风险等级，它整体上至少与现有的任何等效的系统一样好”。这个表述隐含着要求新系统在现有系统基础上有所进步，至少其风险不会增加，可靠性不应降低。否则就失去新产品