现代铁路车辆、车厢和其他车辆都配备了先进的列车控制和管理系统(TCMS)。TCMS负责安全关键任务，如紧急制动和紧急发动机关闭，以及乘客舒适系统，如供暖和通风。
由于TCMS软件的安全性非常重要，因此它必须满足严格的要求。该软件必须通过认证，符合EN 50128等功能安全标准，该标准涵盖了铁路控制和保护系统的软件。全面和持续的测试是成功认证过程的关键。然而，在传统的开发过程中，测试不能在硬件完成之前开始
在PESA，我们使用基于模型的设计(Model-Based Design)为机车、电动多单元(emu)和柴油多单元(dmu)开发实时TCMS软件(图1)。我们的工程师在Simulink中模拟低级软件需求金宝app®和Stateflow®，运行模拟来验证他们
图1所示。为德国联邦铁路和NEB建造的PESA柴油多单元铁路车辆，配备了基于模型设计开发的TCMS。
TCMS软件的建模与仿真
我们从定义ALM软件Polarion的初始系统需求开始。这些要求包括安全功能，如紧急制动、牵引力控制和柴油发动机关闭，以及非安全关键功能，如照明、加热、通风和其他乘客舒适系统的控制。
然后我们用Simulink和statflow对低级软件需求建模。金宝app状态转换图Stateflow清楚显示系统中所有的州以及条件检查和行动执行(图2)。只要有可能,我们从自定义模型重用组件库,它包含一个监管机构,调整柴油机速度根据当前电力需求。金宝app
图2。电池管理系统的状态流程图。
除了开发控制模型，我们还开发列车硬件部件的工厂模型。在原型硬件可用之前，我们使用这些工厂模型在Simulink中运行闭环仿真，以验证我们的控制设计的功能。金宝app即使在硬件可用,我们继续使用模拟来验证特性,将困难或耗费时间来验证实际的火车上(图3)。例如,需要好几天的时间才能够放电电池和小时乘用车内的温度增加到一组特定点。在Si金宝appmulink中，我们可以在几分钟内模拟电压下降或温度变化，以快速验证电气和乘客舒适度系统在各种运行条件下的功能。
图3。金宝app利用Simulink模型对辅助变换器的开关进行验证。
生成和测试结构化文本
通过仿真验证设计后，我们使用Simulink PLC Coder™从Simulink和statflow模型生成结构化文本。金宝app因为生成的代码永远不会被手工修改，所以我们100%确信它与模型中捕获的需求和设计相匹配。然后，我们在PLC集成开发环境(IDE)中编译结构化文本，在部署到实际PLC进行实时测试之前，我们运行有限的测试。在过去，这些测试是我们验证设计的第一次机会。使用基于模型的设计，我们在达到这一点之前运行广泛的模拟。因此，我们可以更早地检测到问题，并且在开发后期的问题明显更少。我们的测试现在集中在那些不容易通过模拟验证的设计方面，使我们能够减少30%以上的测试时间。
从我们的模型中生成结构化文本的能力不仅消除了手工编码引入的缺陷，而且还使我们能够灵活地针对不同的PLC硬件。我们目前使用三家供应商的plc。我们可以使用相同的Simulink模型来金宝app生成结构化文本，甚至是C代码，以便在任何plc上实现。
我们的测试流程基于EN 50128标准。在这个过程中，我们基于我们的软件组件设计规范(SCDS)创建软件组件测试。本文档介绍了软件组件的数据类型、取值范围、安全完整性级别以及软件组件之间的交互。因为SCDS定义了输入变量如何影响输出状态，测试工程师可以使用一个黑箱模型来测试每个软件组件，该黑箱模型包括一个PLC功能块，其中包含用Simulink PLC Coder生成的结构化文本(图4)。金宝app
图4。用于测试发电机控制组件的黑盒模型。
我们的测试环境由一个PLC控制器组成，该控制器具有与轨道车辆相同的处理器和输入/输出模块，模拟设备和测试软件。测试软件包括一组模拟开关和led，以及用于指定和显示模拟值的元件，例如车速和冷却剂温度(图5)。测试工程师使用该软件根据已建立的组件测试场景设置输入，然后验证软件显示的输出与场景中定义的输出匹配。
图5。用于组件测试的软件。
执行EN 50128认证和下一步
我们正在通过TÜV SÜD认证我们的安全相关软件符合en50128安全完整性等级(SIL) 2标准。我们希望在记录、模拟和验证软件时使用基于模型的设计来加快这个过程。如果认证机构审核人员想要比较我们系统的两个版本，我们可以使用模型和文档来显示设计更改是完全按照我们所描述的那样实现的。在过去，评审人员必须依赖于对源代码的检查。
作为下一步，我们将进一步简化认证过程，将我们在Polarion中的系统需求与在Simulink中实现它们的模型组件连接起来。金宝app我们还计划将基于模型的设计应用扩大到先进的驾驶辅助系统的开发。例如，我们正在探索图像处理和机器学习技术的结合，以处理来自热感摄像机和其他传感器的输入，以实现碰撞避免系统，该系统将检测轨道上的障碍物并自动制动。
