Выключатель мёртвого человека: принцип действия и применение

Введение

Оборудование, которое активируется или деактивируется при потере дееспособности оператора – это устройство безопасности, используемое на транспортных средствах и оборудовании.

Выключатель контроля присутствия (или «выключатель мёртвого человека») – это устройство, предназначенное для активации или деактивации в случае, если оператор становится недееспособным, например, вследствие смерти, потери сознания или физического отстранения от управления. Изначально применявшийся к переключателям на транспортном средстве или машине, он впоследствии стал использоваться для описания других, нематериальных применений, например, в компьютерном программном обеспечении. Такие выключатели обычно используются как элемент системы безопасности, предотвращающий выполнение потенциально опасных действий машиной без оператора или выводящий устройство из строя в случае аварии, неисправности или неправильного использования. Они широко распространены в локомотивах, самолетах, грузовых лифтах, газонокосилках, тракторах, персональных водных судах, лодочных моторах, бензопилах, снегоуборочных машинах, беговых дорожках, снегоходах, аттракционах и многих медицинских приборах для визуализации. На некоторых машинах эти выключатели просто приводят машину в безопасное состояние, например, снижают обороты до холостого хода или активируют тормоза, при этом машина остаётся включённой и готовой к возобновлению нормальной работы после восстановления управления. Выключатели контроля присутствия не всегда используются для остановки машин и предотвращения вреда; они также могут использоваться как элемент системы преднамеренного вывода из строя, поскольку пружинный выключатель может замыкать цепь, а не только размыкать её. Это позволяет использовать выключатель контроля присутствия для активации опасного устройства, такого как бомба или самодельное взрывное устройство. Выключатель, который активирует устройство, удерживается в положении «выключено» только при постоянном нажатии рукой пользователя. Устройство активируется при отпускании выключателя, так что если пользователь будет выведен из строя или убит, удерживая выключатель, бомба взорвётся. Система экстренного разделения боеголовок – это применение этой концепции в области ядерного оружия. Более радикальным примером является российская программа «Периметр», которая позволяет осуществлять автоматический или полуавтоматический запуск ядерных ракет при выполнении ряда условий, даже если всё руководство России будет уничтожено. Схожая концепция реализована в виде собственноручно написанных писем премьер-министра Великобритании командирам четырех британских подводных лодок с баллистическими ракетами. В этих письмах содержатся инструкции о том, какие действия следует предпринять в случае уничтожения британского правительства в результате ядерной атаки. После ухода премьер-министра с поста письма уничтожаются, не вскрываясь. Эта концепция также применяется к компьютерным данным, когда конфиденциальная информация предварительно шифруется и публикуется, а «выключателем» является публикация ключа дешифрования, как в случае с Vault 7. Связанным устройством является выключатель блокировки.

A dead man's switch is a switch that is designed to be activated or deactivated if the human operator becomes incapacitated, such as through death, loss of consciousness, or being bodily removed from control. Originally applied to switches on a vehicle or machine, it has since come to be used to describe other intangible uses, as in computer software. These switches are usually used as a form of fail safe where they stop a machine with no operator from a potentially dangerous action or incapacitate a device as a result of accident, malfunction, or misuse. They are common in such applications in locomotives, aircraft refuelling, freight elevators, lawn mowers, tractors, personal watercraft, outboard motors, chainsaws, snowblowers, treadmills, snowmobiles, amusement rides, and many medical imaging devices. On some machines, these switches merely bring the machines back to a safe state, such as reducing the throttle to idle or applying brakes while leaving the machines still running and ready to resume normal operation once control is reestablished. Dead man's switches are not always used to stop machines and prevent harm; such switches can also be used as a fail deadly, since a spring operated switch can be used to complete a circuit, not only to break it. This allows a dead man's switch to be used to activate a harmful device, such as a bomb or improvised explosive device. The switch that arms the device is only kept in its "off" position by continued pressure from the user's hand. The device will activate when the switch is released, so that if the user is knocked out or killed while holding the switch, the bomb will detonate. The Special Weapons Emergency Separation System is an application of this concept in the field of nuclear weapons. A more extreme version is Russia's Dead Hand program, which allows for either automatic or semiautomatic launch of nuclear missiles should a number of conditions be met, even if all Russian leadership were to be killed. A similar concept is the handwritten letters of last resort from the Prime Minister of the United Kingdom to the commanding officers of the four British ballistic missile submarines. They contain orders on what action to take if the British government is destroyed in a nuclear attack. After a prime minister leaves office, the letters are destroyed unopened. This concept has been employed with computer data, where sensitive information has been previously encrypted and released to the public, and the "switch" is the release of the decryption key, as with Vault 7. A related device is a kill switch.

Предыстория

Интерес к системам контроля состояния машиниста возрос с появлением электрических трамваев (в Северной Америке – стриткар) и особенно электрифицированных поездов повышенной проходимости. Первое широкое распространение они получили с внедрением массово производимого трамвая Birney One Man Safety, хотя устройства контроля состояния машиниста были довольно редки на американских трамваях до успешной модели PCC, которая оснащалась педалью контроля состояния машиниста, управляемой левой ногой, в сочетании с педалями тормоза и управления, управляемыми правой ногой. Эта схема до сих пор используется на некоторых современных трамваях по всему миру. В традиционных паровозных поездах всегда был второй человек – помощник машиниста (пожарный), который почти всегда мог остановить поезд при необходимости. На протяжении многих десятилетий к электрическим и дизельным локомотивам также назначались два человека, хотя теоретически ими мог управлять один машинист. В современных городских и пригородных железнодорожных системах машинист обычно работает один в закрытой кабине. Автоматические устройства уже начали внедряться в новых участках системы метро Нью-Йорка в начале 20-го века. Катастрофа на Малбоун-стрит в Бруклинской системе скоростного транспорта в 1918 году, хотя и не была вызвана неспособностью машиниста управлять поездом, стимулировала необходимость повсеместного внедрения таких устройств для остановки поездов в случае недееспособности машиниста. По словам историка Манхэттена, было зафиксировано как минимум три случая успешного использования системы контроля состояния машиниста – в 1927, 1940 и 2010 годах. Информация о состоянии и работе систем контроля бдительности и контроля состояния машиниста может регистрироваться в бортовом самописце (обычно известном как «черный ящик»). Современная практика управления локомотивами заключается в объединении функций контроля состояния машиниста и контроля бдительности под управлением системы оповещения или бортового самописца.

Ручка

Многие выключатели мёртвого человека установлены в рукоятке управления транспортным средством или машиной и срабатывают, если оператор теряет хватку.

Транспортные средства

Ручные выключатели всё ещё используются в современных трамваях и поездах. Пневматические или электрические системы контроля «мёртвого человека» включают относительно простые модификации ручки контроллера – устройства, регулирующего мощность тяги. Если на контроллер не оказывается постоянного давления, автоматически включаются аварийные тормоза поезда. Обычно рукоятка контроллера представляет собой горизонтальный стержень, который вращается для подачи необходимой мощности. К нижней части ручки прикреплён шток, который при нажатии замыкает контакты соленоида или выключателя внутри корпуса управления. Ручка возвращается в исходное положение при снятии давления, размыкая контакты с внутренним выключателем, мгновенно отключая питание и активируя тормоза. Несмотря на теоретическую возможность отказа этой системы контроля, на практике она доказала свою высокую надёжность. В некоторых более ранних конструкциях давление поддерживалось не на всём контроллере, а на большой кнопке, выступающей из ручки контроллера. Эту кнопку также необходимо было постоянно нажимать, как правило, ладонью, чтобы она была заподлицо с верхней частью ручки. Другой метод, особенно с рычажными контроллерами, которые вращаются, а не нажимаются или тянутся, требует поворота рукоятки рычага на 90 градусов и удержания её в этом положении во время движения поезда. Некоторые системы контроля «мёртвого человека» работают только в среднем положении и не реагируют на полное давление (см. пилотный клапан). Например, в современных поездах Нью-Йоркского метро система контроля «мёртвого человека» встроена в систему управления скоростью. На вагоне R142A машинист должен постоянно удерживать рычаг в определённом положении, чтобы поезд двигался. Примером использования системы контроля «мёртвого человека» в пассажирском транспорте является электромобиль Tesla. Когда водитель активирует полуавтономную систему управления «Автопилот», он должен держать руки на рулевом колесе. Если водитель убирает руки с руля более чем на 30 секунд, в салоне автомобиля звучит громкий сигнал, чтобы разбудить заснувших водителей; если руки остаются на рулевом колесе менее чем на минуту, автомобиль включает аварийную сигнализацию и останавливается. Это необходимо, поскольку система «Автопилот» не способна к полностью автономному управлению и требует, чтобы водитель мог немедленно взять управление на себя в случае возникновения проблемы, которую автомобиль не может решить самостоятельно. Эта система использует датчик крутящего момента на рулевом колесе: когда водитель просто держит руль, он всё равно оказывает небольшое усилие, подтверждая автомобилю, что он внимателен; если водитель поворачивает руль с большей силой, управление автомобилем немедленно возвращается водителю.

Handle switches are still used on modern trams and trains. Pneumatically or electrically linked dead man's controls involve relatively simple modifications of the controller handle, the device that regulates traction power. If pressure is not maintained on the controller, the train's emergency brakes are applied. Typically, the controller handle is a horizontal bar, rotated to apply the required power for the train. Attached to the bottom of the handle is a rod that when pushed down contacts a solenoid or switch inside the control housing. The handle springs up if pressure is removed, releasing the rod's contact with the internal switch, instantly cutting power and applying the brakes. Though there are ways that this type of dead man's control could conceivably fail, in practice they have proven highly reliable. On some earlier equipment, pressure was not maintained on the entire controller, but on a large button protruding from the controller handle. This button also had to be pressed continuously, typically with the palm of the hand so that the button was flush with the top of the handle. Another method used, particularly with some lever type controllers, which are rotated rather than pushed or pulled, requires that the handle on the lever be turned through 90 degrees and held in that position while the train is in operation. Some dead man's controls only work in the mid position and not with full pressure (see pilot valve). In modern New York City Subway trains, for example, the dead man's switch is incorporated into the train's speed control. On the R142A car, the train operator must continually hold the lever in place in order for the train to move. An example of a passenger vehicle using a dead man's switch is on Tesla electric vehicles. When the driver has engaged the semi autonomous driving system "Autopilot", they must keep their hands on the steering wheel. If the driver takes their hands off the steering wheel for more than 30 seconds, a loud alarm will sound inside the car to wake sleeping drivers; if the driver leaves their hands off for more than a minute, then the car will engage its hazard warning lights and bring the car to a stop. This is done because the Autopilot system is not capable of full self driving, and requires that the driver be able to take over operation of the vehicle without warning, should the car encounter a problem it does not know how to solve. This system uses a torque sensor on the steering wheel of the vehicle: when a driver is simply holding the wheel, they are still applying a small amount of torque to the wheel, confirming for the car that the driver is being attentive; if the driver turns the wheel with more force, all vehicle controls are handed back to the driver immediately.

Машины

Переключатели «мертвеца», установленные на рукоятке, также используются на многих ручных инструментах и оборудовании для ухода за газонами, как правило, на тех, которые вращаются или имеют режущие элементы, таких как пилы, дрели, снегоуборщики и газонокосилки. Например, на пилах они включают в конструкцию рукоятки курок управления с пружинным возвратом. Если пользователь теряет контроль над пилой, пружины в курке управления возвращают его в положение выключения или холостого хода, останавливая вращение лезвия. Некоторые инструменты идут дальше и имеют предохранитель курка, встроенный в рукоятку, аналогичный предохранителям огнестрельного оружия. Пользователь может нажать на курок только после предварительного нажатия на предохранитель, который освобождает курок. Обычно предохранитель можно нажать только при надежном удержании рукоятки. Каждая самоходная газонокосилка, продаваемая в США с 1982 года, оснащена переключателем «мертвеца», называемым «контролем присутствия оператора», который в соответствии с законом должен останавливать вращение лезвий в течение трех секунд после отпускания элементов управления. На рукоятке закреплен механический рычаг, соединенный гибким тросом с выключателем двигателя. Во время работы оператор должен постоянно прижимать рычаг к рукоятке. Если оператор теряет контроль над рукояткой, лезвие отключается или двигатель останавливается, прекращая вращение лезвий и (при наличии) вращение приводных колес. На газонокосилках, где двигатель останавливается, эта конструкция переключателя также служит главным выключателем двигателя; оператор может намеренно отключить переключатель «мертвеца» для остановки двигателя.

сенсорный датчик

На некоторых транспортных средствах, включая дизель-электрические железнодорожные локомотивы в Канаде и транспортные средства Nottingham Express Transit, контроллер скорости трамвая оснащен емкостным сенсором касания для определения наличия руки машиниста. Если рука убирается с сенсора более чем на короткое время, автоматически включаются тормоза. Для работы сенсора необходимо использовать перчатки без пальцев. В качестве резервного решения предусмотрена кнопка "мертвец" на корпусе контроллера, которая используется в случае неисправности сенсора или когда слишком холодно, чтобы снимать перчатки.

Педаль

Педаль может использоваться вместо ручки. Хотя некоторые педальные переключатели требуют лишь удержания для работы машины (эта система часто встречается на аттракционах, где оператор, вероятно, будет оставаться в стоячем положении в течение длительного времени во время движения аттракциона), этот метод имеет свои недостатки. В результате железнодорожной катастрофы у "Водопада" в 2003 году к югу от Сиднея, Австралия, машинист внезапно умер от сердечного приступа, и его обессилевшее тело продолжало удерживать педаль нажатой. Существуют решения этой проблемы, которые сейчас используются в современных педальных системах. Педаль может быть оснащена функцией контроля бдительности (устройство контроля бдительности машиниста, или DVD), требующей от машиниста отпускать и повторно нажимать педаль в ответ на звуковой сигнал. Это предотвращает её случайное удержание в подобных ситуациях и является стандартной функцией большинства британских систем DSD. Если время ожидания истекает, подается визуальное и звуковое предупреждение. В случае игнорирования предупреждения включается штрафное торможение. Некоторые типы локомотивов оснащены трехпозиционной педалью, которая обычно должна находиться в среднем положении. Это снижает вероятность случайного отключения, хотя преднамеренное отключение все еще возможно. Добавление функции контроля бдительности к этому типу педали обеспечивает высокую безопасность системы. Однако, предусмотрены устройства изоляции на случай отказа оборудования, позволяющие преднамеренно отключить систему. Эти устройства изоляции обычно оснащены пломбами, предотвращающими несанкционированный доступ.

Выключатели сидений

Выключатель мёртвого человека также может быть расположен под сиденьем транспортного средства или машины и срабатывает, если оператор не сидит на сиденье, удерживая выключатель нажатым. На современных тракторах выключатель отключает двигатель при включённой трансмиссии или работающем вале отбора мощности. На райдерных газонокосилках выключатель часто более жёсткий: он отключает двигатель даже если косилка стоит на месте и ножи не вращаются. Выключатели, активируемые сиденьем, также могут предотвратить запуск транспортного средства маленькими детьми, поскольку им не хватит веса, чтобы полностью нажать на выключатель, настроенный на вес подростка или взрослого.

Ключевые выключатели

На рекреационных транспортных средствах, таких как лодки, гидроциклы и снегоходы, а также на панели управления многих аттракционов, пользователь или оператор имеет шнур или темляк, прикрепленный к запястью или спасательному жилету, который, в свою очередь, прикреплен к ключу, установленному на выключателе контроля присутствия (или «мертвого человека»). Если водитель упадет с транспортного средства или оператор хотя бы отойдет от органов управления, шнур будет выдернут из выключателя контроля присутствия, что приведет к остановке двигателя или установке дроссельной заслонки в положение «холостой ход». На моторных лодках этот шнур часто называют «шнуром аварийной остановки» (для моторных лодок не рекомендуется использовать его на запястье, так как он может соскользнуть, не отключив двигатель). Если рулевой упадет за борт или будет вынужден отойти от органов управления, двигатель автоматически выключится. Это предотвращает дальнейшее движение лодки с работающим двигателем, но без управления, что может привести к травмам людей в воде или рядом с ней, включая пассажиров, которые могли выпасть за борт или все еще находятся в лодке, а также к повреждению имущества, находящегося на пути неуправляемой лодки; в свою очередь, это предотвращает или ограничивает повреждения самой лодки при столкновении с другими объектами. Распространенной и опасной практикой является обход шнура аварийной остановки путем его крепления к части лодки вместо оператора – для удобства. Это стало причиной несчастных случаев, некоторые из которых привели к летальному исходу или потере конечностей. Некоторые багажные тележки в аэропортах и беговые дорожки также оснащены этой функцией. В случае беговых дорожек, выключатель контроля присутствия обычно представляет собой внешний магнит, прикрепленный к шнуру, который крепится к пользователю. Если пользователь упадет или отойдет, не выключив беговую дорожку, выключатель отключит питание бегового полотна. В сфере информационной безопасности шнуры аварийной остановки также используются в компьютерах для выключения машины, если пользователь от нее отходит.

Высотомерные выключатели

Стратегическое авиационное командование разработало для своих ядерных бомбардировщиков систему аварийного разделения специального оружия (SWESS), представляющую собой «переключатель мертвеца», который гарантировал детонацию ядерного заряда в случае потери экипажем боеспособности из-за действий противника. В отличие от других подобных систем, цель этого устройства заключалась в гарантированном взрыве, а не в обеспечении безопасности. После активации система приводила бы в действие бортовое ядерное оружие, если бы самолет опускался ниже заданного уровня, обычно в результате поражения.

Контроль надлежащей безопасности

Основным недостатком базовой системы "мертвый человек" является возможность постоянного удержания управляющего устройства в активном состоянии, преднамеренно или случайно. Контроль бдительности был разработан для выявления этой ситуации, требуя кратковременного отпускания и повторного включения устройства "мертвый человек" через заданные интервалы времени. Также было предложено внедрить аналогичную систему в автомобильные круиз-контроли.

Программное обеспечение

Программные реализации "мертвых переключателей" обычно используются людьми, обладающими техническими знаниями, и могут выполнять различные функции, такие как отправка сохраненного сообщения, уведомление контактов или удаление и шифрование данных. Триггером для активации может случиться практически любое событие, например, отсутствие входа в систему в течение 7 последовательных дней, отсутствие ответа на автоматическое электронное письмо, ping-запрос, неподвижность телефона с GPS в течение определенного времени или просто не ввод кода в течение нескольких минут после загрузки компьютера. Примером программного "мертвого переключателя" является программа, запускающаяся при загрузке компьютера и способная шифровать или удалять данные, указанные пользователем, в случае несанкционированного доступа к защищенному компьютеру. Сервис Google Inactive Account Manager позволяет пользователю назначить доверенное лицо для доступа к его сервисам, если учетная запись не используется в течение продолжительного периода времени (по умолчанию – три месяца). Некоторые общедоступные решения используют растущую популярность мобильных устройств. Вместо отправки автоматического электронного письма они отправляют push-уведомление непосредственно на мобильное устройство, что позволяет более оперативно оповестить семью и друзей.

Космический корабль

Многие космические аппараты используют разновидность устройства, предотвращающего сбои в командной системе. Устанавливается таймер, который обычно сбрасывается при получении любой корректной команды (включая команду, единственной функцией которой является сброс таймера). Если таймер истекает, космический аппарат переходит в алгоритм обработки "потери команд", который последовательно выполняет заранее заданную последовательность аппаратных или программных режимов (например, выбор резервного приемника команд) до получения корректной команды. Космический аппарат также может перейти в безопасный режим для самозащиты в ожидании дальнейших команд. Хотя этот тип устройства имеет некоторое сходство с переключателем "мертвого человека", он фактически им не является, поскольку предназначен для восстановления после аппаратного сбоя, а не для реагирования на отсутствие операторов. Обычно его называют сторожевым таймером, и он также широко используется в системах управления ядерной энергетикой. Компоненты системы космического аппарата, которые переводят его в безопасный режим или заставляют выполнять действия по умолчанию при отсутствии команды в течение заданного промежутка времени, можно рассматривать как переключатель "мертвого человека", но аппаратное или программное обеспечение, которое пытается получить команду от операторов по альтернативному каналу, является системой автоматического восстановления или адаптивной связи, а не переключателем "мертвого человека". "Вояджер-2" восстановился после отказа приемника команд с помощью таймера обработки потери команд.

Поезд

В большинстве поездов базовая степень защиты обеспечивается педалью или рукояткой, известной как "ручка мертвеца". Если машинист почувствует себя плохо и отпустит её, питание будет отключено и автоматически включится экстренное торможение для остановки поезда. Более современные стандарты безопасности считают это недостаточным, поскольку машинист может облокотиться на "ручку мертвеца" и продолжать удерживать её, даже если он не способен управлять поездом. Современные поезда решают эту проблему, добавляя к системе "ручки мертвеца" систему контроля бдительности. Каждую минуту или около того звучит звуковой сигнал, чтобы предупредить машиниста. Если он не реагирует, перемещая контроллер, или отпуская и затем снова нажимая "ручку мертвеца", система автоматически активирует экстренное торможение. Большинство крупных железнодорожных систем мира используют это оборудование как в грузовых, так и в пассажирских перевозках. Оно также используется на поездах R143 и других вагонах Нью-Йоркского метрополитена при работе в системе CBTC. В США старые локомотивы, выпущенные до 1995 года, изначально не оснащались этой функцией, но благодаря модульной конструкции системы их часто модернизируют.

Самолет

Некоторые самолеты используют систему контроля состояния пилота для минимизации риска гипоксии, снижаясь до меньшей высоты, если пилот не реагирует. В 2019 году Garmin G3000 стал первым комплексом авионики общего назначения, способным автоматически направить самолет на ближайший аэропорт и посадить его в случае, если пилот не взаимодействует с органами управления самолетом или не отвечает на запросы системы. Эта возможность автоматизации стала результатом прогресса в вычислительной технике, системах управления и навигации и особенно важна в общем авиационном секторе, поскольку частные самолеты часто управляются одним пилотом.

Шантаж

Термин "переключатель мертвеца" иногда используется для описания разновидности оборонительного шантажа или "страховочного досье", в котором угрожают публикацией компрометирующих материалов в случае чего-либо, происходящего с человеком.