1  前言

质子治疗系统是一个大型分布式系统，由控制系统、采集系统、分析系统等近40套分系统组成（包括，临床治疗系统、治疗计划系统、诊断系统、校准系统、临床患者信息系统、患者定位系统、补偿块制作机床系统等），因为医疗设备面对的是具体人，怎样保证整个系统的可靠、安全、有效是系统设计时必须考虑的因素。

系统可靠性、有效性及安全性是系统设计的CTQ（质量关键点）。怎样来达到这个目标与系统规模及系统应用场合有最为密切的关系。

一般情况下，一个小型单系统可能只有几十或几百点的控制IO，这样的系统设计相对来说对可靠性、有效性、安全性等方面可以通过人为被动把控；但是,如果系统的规模上升到几千点、几万点的分布式系统时，每个字系统可能分布于不同的环境,人为的被动控制能力是极其有限的，这时系统是不是有自动监测/检测能力是决定一个系统可靠性、有效性及安全性的必要条件。

对系统可靠性、有效性及安全性要求与应用场合密切相关，在航空、轨道、医疗及核电等行业应用中对安全性、可靠性的要求始终是系统设计首考虑的因素。在轨道交通行业IEC61508；在航空行业的DO178B；在核电行业的IEC615132001，在医疗行业的IEC62304等，这些安全标准严格规范了这些行业相关分布式系统设计，换句话说，就是怎样使自己设计的系统能够满足这些安全标准是系统设计框架,系统级BIT(System build In Test系统内装测试)设计就是其中一种最为常见的解决办法。

2   系统级BIT

系统BIT也称系统级内装测试——高可靠工程项目设计的必要条件。

BIT 是指系统或设备内部提供的检测和隔离故障的自动测试能力。在不同行业中有不同的称谓，例如系统标定、系统故障检测、系统自愈等，所有这些概念与BIT设计原理大同小异，所以在这里以BIT作为统一概念贯穿全文。

系统BIT设计是监控系统关键功能、检测隔离系统级故障的主要手段和方法，应按系统测试性要求和技术规范进行系统级BIT设计。而系统级BIT相对于板级BIT、芯片级BIT而言，信息分析工作更加冗繁复杂，需要考虑的因素更加广泛，既有芯片级、硬件级、系统级架构检测能力的支持，也要有相关固件、软件算法保证。

系统级BIT是保证系统安全的关键，但是系统级BIT设计复杂，成本比较高，因此在国内的以前很多大型项目中并没有使用，但BIT的重要性已经逐步被企业认识，未来的BIT需求必将是以上升趋势。

2.1 系统安全可靠——现代大型分布式控制工程的新挑战

随着国内形势的发展，各种大型工程项目此起彼伏的出现，但针对这些工程项目的维护，检测、维修等不同方面都对工程的设计及实现提出了新的挑战。现在大型工程的特点：

l工程规模越来越大，项目越来越多，竞争越来越激烈。这样的工程控制系统动辄上万控制IO点数，怎么来维护和检测这些系统、特别是定位故障点已经成为挑战。

l种类多、涉及范围越来越广。新的应用领域不断出现，产品应用领域进一步拓宽；高精尖是现代工程项目的必然要求，技术先进性也带来问题的潜在性，怎样避免新技术的潜在风险也是一种必须面对的挑战。

l控制越来越复杂 项目要求越来越高。产品研发过程中，要求多学科技术越来越密切的结合在一起以实现更复杂的功能，在复杂系统中完成BIT分析与诊断也是一个不能回避的挑战。

l故障定位要快要准。时间的重要性在当下更为苛刻，怎样在工程系统中更好的定位故障点，特别是快速定位大型系统中的故障点也是非常紧迫的挑战。

现代工程项目,尤其是实时控制系统项目，涉及到机、电、液、磁、热、控制等多学科复杂的理论上和实际中的技术问题，其系统性能的好坏在很大程度上直接影响总体系统的性能，可谓重中之重。我们传统采用的设计方法是经验设计配合现场实验，这种方法的明显缺点就是在工程的后期应用及维护中低效率、高成本、长周期，而且优化效果也不令人满意，满足不了灵活的分析测试需要。无系统内置检测设计已经越来越不满足新的形势要求。

2.2  怎样保证系统安全可靠

——系统级BIT。

为了保持技术的先进性，并保障承担项目的顺利完成，采用先进的设计测试手段和工具，适应现代科学技术的发展是我各科研究院当前亟待解决的课题，其中计算机系统BIT设计技术已成为当今科技发展的必然要求，其作用包括设计前的可行性分析、原理样机设计和设计后期的计算机辅助优化设计、分析测试。

系统级BIT设计在国外已经非常普遍，在飞机、核电、医疗等安全性要求极高的工程项目中有忧设计。

现在半导体集成工艺的发展导致但系统集成度越来越高，功能越来越复杂。而且现在的工程项目自动化程度远来越高，控制要求也越来越靠近现场，大量的传感器、仪表、控制设备被使用，所以一般的工程系统设计中动辄几十、数百套系统同时工作，怎样保证这些系统无误运行，或者及时定位/隔离故障时系统设计中的一个必须包含的单元，也是保证系统安全运行的设计难点之一。

在大型系统设计中都涵盖了BIT设计，系统BIT可以说是一种自动化ATE系统，可以辅助系统标定、检测、验证，甚至自愈。

BIT具有如下特点：

•   故障诊断，通过系统本身完成故障诊断，避免过多人为干预；

•   故障精确定位，通过系统本身精确定位故障，甚至可以定位到具体通道，如果通过人为定位一个复杂分布式系统通道故障，通过工程师精确定位是很难实现的，一般要一周或几周时间；

•   故障隔离，发现故障并隔离故障时BIT功能之一；

•   故障自愈，在设计中甚至可以考虑通过BIT的主动控制完成故障自愈；

•   远距离操作，降低工作危险度，特别想高危现场，认为操作基本是不可能的；

•   易于扩展，现在BIT设计更多基于模块化完成，所以便于根据系统的复杂度来动态裁减及扩展。

•   ……

2.3  系统BIT目标

系统的诊断测试方案是系统的机内测试和外部测试的总体设计，应根据使用与维修要求和测试性要求，通过BIT，ATE和人工测试的权衡分析来设计并确定系统的诊断方案

系统BIT设计一般框图

系统BIT设计是监控系统关键功能、检测隔离系统级故障的主要手段和方法，应按系统测试性要求和技术规范进行系统级BIT设计。

系统BIT设计需要注意的几方面内容：

•    确定系统BIT功能特性

•    确定系统BIT工作模式和类型

•    确定BIT测试产品等级和测试程度

•    系统BIT/BITE软件与硬件的权衡

•    联机BIT与脱机BIT

•    合理的系统BIT方案

2.4  BIT 系统设计模型

根据使用要求和诊断方案确定系统BIT要测试的对象、测量参数和测试功能（检测、检查或隔离）。一般情况，系统BIT应完成下列三种功能：

1)  系统检测－检测系统关键特性参数

2)  系统检查－检查系统是否正常，检测故障

3)  故障隔离－将系统故障隔离到LRU(或SRU)

系统和分系统都可以设计BIT。针对系统具体特点和诊断方案要求，应确定组成系统的各级产品是否都设计BIT；如果设计BIT，还应确定各个BIT测试的程度，即检测还是检测加隔离。BIT测试程度一般分为三种：

性能检测

故障检测

故障隔离

2.5  系统BIT技术要求

系统BIT是用于数学分析和硬件检测的关键设备，而要对复杂大系统进行实时的、实物检测，则对控制器的运算速度、接口、实时性能等提出了更为苛刻的要求。根据BIT控制器应完成的任务特点及项目的具体情况，一般的控制器硬件平台选型应以下指标来衡量。

l运算速度

运算速度必须满足系统的数学实时解算的要求，即根据实际分析对象的要求在一定时间步长内（如100ms）完成一次解算，并留有一定的时间裕度。

l接口性能

接口性能是控制字的最重要指标之一。由于系统诊断时，控制器必须和被测试对象实物以及多种设备实时通讯并交换数据，这就要求控制器系统必须具有各种模拟、数字以及标准的串、并行通讯接口。

l处理器（CPU）

处理器应为64位的RISC处理器，工作主频应大于等于1000MHz。这对于提高性能，保持一定时间内的技术领先，保护投资是非常必要的。

l体系结构及总线

为适应未来技术发展的趋势，保护投资，并便于升级和扩展，系统BIT控制系统总线和体系结构应采用新型的高性能的标准总线，如VME64x，以及可裁剪性（Scalability）的、支持多CPU的体系结构。尽量避免选用非标准的专有体系结构的机器，或带宽小、正在逐渐淘汰的总线结构（如PCI)。

l应用软件支持

支持由第三方软件厂商开发的建模和实时应用开发工具软件包，如MATLAB等。

l优良的性能价格比

在满足使用要求并保证一定的性能裕量的情况下，尽可能减少投资，包括一次性的硬件、软件投资，和必需的二次开发投资。

l技术支持与服务

选择具有良好信誉的厂商，提供系列化的产品，可靠的零配件来源、软件版本更新、硬件升级能力，强有力的技术支持和售后服务。

系统级BIT，从设计角度来考虑主要来自以下几个方面

1），系统架构的选择。采用什么样的硬件对系统BIT实现更为方便

2），硬件功能模块选择。硬件功能模块主要分为控制器及接口模块。因为是系统级BIT，所以所有的硬件都必须提供在板的故障检测电路。

3），操作系统的选择。操作系统在很大程度上决定了最终系统的执行效率。商用实时操作系统应该是比较好的选择，既可以满足常用的功能扩展，也可以提供BIT系统必须的在线/离线检测对操作系统的要求。

2.6  BIT 系统软件实现与硬件实现的权衡

一个完整的系统BIT应该由两部分组成：软件系统BIT和硬件系统BIT

软件BIT的优点

当系统计算机或控制器可以与功能测试分享时，采用软件BIT可以使费用减到最少

ü当系统改形时，可以通过重新编程得到不同的BIT

ü将BIT门限、测试容差存储在存储器中，易于 软件修改

ü可以对功能区进行故障隔离

ü可方便的控制激励和监控UUT输出

ü综合测试程度更大，仅使用少量硬件

硬件BIT的优点

硬件BIT在信号变换（A/D和D/A）非常有用和必要的，其最大特点就是在软件BIT不适用时而发挥重要作用。

ü不能由计算机控制的区域，如电源检测区

ü有计算机，但存储容量不足以满足故障检测和隔离需求的情况

所以一个真正的系统BIT应该包含软件和硬件两部分。只有两部分紧密地配合才能达到对系统级BIT的完整设计

在本设计中，下图是子系统或称之为IOC系统作为系统BIT设计的基础。IOC控制器是一套完整的智能IOC控制器系统。其突出特点分为两个方面，1， 所有的硬件平台能够提供板级BIT电路；2，同时提供主机软件协助诊断系统故障状态及故障隔离。

在使用IOC的基础上，还可以扩展单独的系统处理器，来配合IOC控制的处理实现整套系统的系统级BIT设计，同时满足于第三方应用软件的接口兼容。

在扩展的控制器中运行VxWork操作系统，满足对处理的是实时性要求。