現(xiàn)代化的鐵路車(chē)輛、車(chē)廂及其他運(yùn)輸車(chē)輛大都裝配了先進(jìn)的列車(chē)控制與管理系統(tǒng)（train control and management systems, TCMS）。TCMS負(fù)責(zé)像是緊急煞車(chē)、緊急關(guān)閉引擎等安全攸關(guān)任務(wù)，也負(fù)責(zé)暖器、通風(fēng)等乘客舒適系統(tǒng)。

由於TCMS安全攸關(guān)的特性，其軟體必須遵守相當(dāng)嚴(yán)格的要求。首先，軟體必須符合像是EN 50128等功能安全標(biāo)準(zhǔn)，其中涵蓋了鐵路控制與保護(hù)系統(tǒng)的軟體。嚴(yán)密而且持續(xù)不斷的測(cè)試是成功完成驗(yàn)證程序的關(guān)鍵所在。然而在傳統(tǒng)的開(kāi)發(fā)流程中，必須先有硬體才能開(kāi)始進(jìn)行測(cè)試，使得軟體缺陷的修正起來(lái)相當(dāng)昂貴且可能被省略。

在本公司PESA，我們利用模型化基礎(chǔ)設(shè)計(jì)（以MathWorks公司的MATLAB/Simulink軟體為基礎(chǔ)）來(lái)開(kāi)發(fā)車(chē)頭、電聯(lián)車(chē)（electric multiple units, EMUs）、柴聯(lián)車(chē)（diesel multiple units, DMUs）的即時(shí)TCMS軟體（圖1）。工程師在Simulink與Stateflow建立了低階的軟體需求模型，並執(zhí)行模擬以驗(yàn)證設(shè)計(jì)，也能產(chǎn)生IEC 61131-3 結(jié)構(gòu)式文件編程語(yǔ)言（Structured Text），之後則轉(zhuǎn)檔佈署到可編程邏輯控制器中（programmable logic controller, PLC）。

透過(guò)這樣的方式，我們可以確保所執(zhí)行的軟體皆符合設(shè)計(jì)規(guī)格、及早發(fā)現(xiàn)缺陷、縮短測(cè)試時(shí)間，還可以提供更完善的文件給認(rèn)證機(jī)構(gòu)，讓認(rèn)證過(guò)程更為流暢。

圖1 : PESA公司為德國(guó)鐵路（Deutsche Bahn）與NEB（一間德國(guó)私鐵公司）建造的柴聯(lián)車(chē)鐵路車(chē)輛，裝配了一組以模型化基礎(chǔ)設(shè)計(jì)開(kāi)發(fā)出來(lái)的TCMS。

TCMS軟體的建模與模擬

一開(kāi)始，透過(guò)ALM軟體Polarion來(lái)定義最初始的系統(tǒng)規(guī)格，這些規(guī)格包含了安全功能，例如緊急煞車(chē)、牽引控制、柴油引擎關(guān)閉，以及非安全攸關(guān)的功能，例如照明、暖器、通風(fēng)、及其他乘客舒適系統(tǒng)等等的控制。

接下來(lái)，我們利用Simulink與Stateflow來(lái)建立低階軟體的設(shè)計(jì)規(guī)格模型。從Stateflow的事件轉(zhuǎn)變圖，可以非常清楚地看到系統(tǒng)中的所有事件，以及需要確認(rèn)的條件與待執(zhí)行的動(dòng)作（圖2），我們?cè)诖吮M可能重複利用Simulink特製函式庫(kù)內(nèi)的元件，其中包含了可依照當(dāng)下電力需求來(lái)調(diào)整柴油引擎速度的調(diào)節(jié)器。

圖2 : 電池管理系統(tǒng)內(nèi)的Stateflow圖表

除了開(kāi)發(fā)控制模型之外，我們也為火車(chē)的硬體元件開(kāi)發(fā)了受控體模型，並利用這些受控體模型在Simulink中執(zhí)行閉迴路模擬（closed-loop），以在硬體原型完成之前去驗(yàn)證控制設(shè)計(jì)的功能性。即使已經(jīng)有了硬體，我們?nèi)匀焕^續(xù)利用模擬來(lái)驗(yàn)證那些可能難以在真實(shí)火車(chē)上進(jìn)行驗(yàn)證或驗(yàn)證起來(lái)很費(fèi)時(shí)的功能（圖3）；舉例來(lái)說(shuō)，電池的放電可能會(huì)耗上數(shù)天的時(shí)間，或者讓乘客車(chē)箱升高到特定溫度將花上幾個(gè)小時(shí)等。而透過(guò)Simulink，我們可以在幾分鐘之內(nèi)模擬電壓的下降或溫度的變化，能快速驗(yàn)證電氣及乘客舒適系統(tǒng)功能在各種條件下的運(yùn)作。

圖3 : 用來(lái)驗(yàn)證輔助轉(zhuǎn)換器切換的Simulink模型

產(chǎn)生及測(cè)試結(jié)構(gòu)式文件編程語(yǔ)言

透過(guò)模擬完成設(shè)計(jì)驗(yàn)證之後，接著利用Simulink PLC Coder從Simulink與Stateflow模型來(lái)產(chǎn)生結(jié)構(gòu)式文件編程語(yǔ)言（Structured Text）。因?yàn)楫a(chǎn)生的程式碼從未經(jīng)過(guò)手動(dòng)修改，可以100%確定程式碼符合模型抓出來(lái)的規(guī)格與設(shè)計(jì)。我們接著將結(jié)構(gòu)式文件編程語(yǔ)言編譯到PLC整合開(kāi)發(fā)環(huán)境（integrated development environment, IDE），這是用來(lái)在轉(zhuǎn)檔佈署到實(shí)體PLC進(jìn)行即時(shí)的測(cè)試之前，可以先執(zhí)行有限制測(cè)試的環(huán)境。以前，這些測(cè)試是能夠驗(yàn)證設(shè)計(jì)的第一次機(jī)會(huì)，然而透過(guò)模型化基礎(chǔ)設(shè)計(jì)，我們可以在進(jìn)行到這個(gè)階段之前，就已經(jīng)可以先執(zhí)行大規(guī)模的模擬了，這樣的好處是，我們可在更早的階段便發(fā)現(xiàn)問(wèn)題，在開(kāi)發(fā)後期發(fā)現(xiàn)到的問(wèn)題數(shù)量也明顯減少；所以，我們現(xiàn)在的測(cè)試著重於那些尚未準(zhǔn)備好進(jìn)行模擬驗(yàn)證的設(shè)計(jì)面向，這使得花在測(cè)試上的時(shí)間也因此減少了至少30%。

模型化基礎(chǔ)設(shè)計(jì)所提供的從模型產(chǎn)生結(jié)構(gòu)式文件編程語(yǔ)言的功能，不僅可以避免手動(dòng)編寫(xiě)程式碼產(chǎn)生的錯(cuò)誤，也提供了選擇不同的PLC目標(biāo)硬體的彈性。我們目前使用了三家供應(yīng)商的PLCs，可以利用相同的Simulink模型產(chǎn)生結(jié)構(gòu)式文件編程語(yǔ)言，或甚至是C程式碼，來(lái)執(zhí)行在任何一種PLCs上。

我們採(cǎi)用的測(cè)試流程是以EN 50128標(biāo)準(zhǔn)為基礎(chǔ)。在這套流程，根據(jù)我們的軟體元件設(shè)計(jì)規(guī)範(fàn)（software component design specification, SCDS）建立軟體元件測(cè)試。該文件描述了元件的資料類型、資料值範(fàn)圍、安全完整性等級(jí)（safety integrity levels）、以及軟體元件之間的交互作用。由於SCDS定義了輸入變量如何影響輸出狀態(tài)，測(cè)試工程師可以利用以Simulink PLC Coder產(chǎn)生的結(jié)構(gòu)式文件編程語(yǔ)言內(nèi)的一個(gè)包含了PLC函式模塊的黑盒子模型來(lái)測(cè)試每一個(gè)軟體元件（圖4）。

圖4 : 用來(lái)測(cè)試發(fā)電機(jī)控制元件的黑盒子模型

我們的測(cè)試環(huán)境包含了一個(gè)與真實(shí)使用在鐵路車(chē)輛的處理器與輸入/輸出模組相同的PLC控制器，以及模擬裝置、與測(cè)試軟體組合而成。測(cè)試軟體包含一組模擬過(guò)的開(kāi)關(guān)與LEDs，以及用來(lái)說(shuō)明及顯示類比數(shù)值的元件，像是車(chē)速與冷卻劑溫度（圖5）。測(cè)試工程師利用這個(gè)軟體，依據(jù)已建立好的元件測(cè)試情境設(shè)定輸入值，接著對(duì)顯示於軟體的輸出與定義相符的情境進(jìn)行驗(yàn)證。

圖5 : 用來(lái)進(jìn)行元件測(cè)試的軟體

繼續(xù)進(jìn)行EN 51028認(rèn)證與下一步

我們正在與TUV SUD合作進(jìn)行安全相關(guān)軟體驗(yàn)證的流程，以遵守符合EN 51028安全完整性等級(jí)2（safety integrity level, SIL）的標(biāo)準(zhǔn)。期待使用模型化基礎(chǔ)設(shè)計(jì)來(lái)提供文件、模擬、驗(yàn)證軟體，以加速認(rèn)證流程。當(dāng)認(rèn)證機(jī)構(gòu)的審核人員想要比較我們系統(tǒng)的兩種版本，在過(guò)去，審核人員必須仔細(xì)檢視原始程式碼，而現(xiàn)在只要利用模型及文件就可以證明設(shè)計(jì)變更的執(zhí)行完全符合我們的敘述。

接下來(lái)，我們打算把Polarion的系統(tǒng)規(guī)格與Simulink執(zhí)行的模型元件連結(jié)起來(lái)，讓認(rèn)證流程更加順暢，也計(jì)畫(huà)將模型化基礎(chǔ)設(shè)計(jì)的使用延伸到先進(jìn)駕駛輔助系統(tǒng)的開(kāi)發(fā)。舉例來(lái)說(shuō)，我們正在研究結(jié)合影像處理與機(jī)器學(xué)習(xí)技巧，處理從熱顯像攝影機(jī)及其他感測(cè)器取得的輸入，進(jìn)而建立一個(gè)能夠偵測(cè)軌道上的障礙物並自動(dòng)啟用煞車(chē)的防撞系統(tǒng)。

（本文由鈦思科技提供；作者M(jìn)agdalena Kowalska、Micha? Grzonka任職於PESA Bydgoszcz SA公司）