全电子计算机联锁系统的研发.docx

信 号 技 术全电子计算机联锁系统的研发牛宝明摘 要: 随着计算机联锁系统在高速铁路、地铁系统广泛应用，采用继电器接口控制室外设备的联锁系统也在高速铁路区域联锁、地铁项目集中控制技术中应用，而远距离非集中站室外设备控 制需要大量电缆加芯，同时，由于国内安全型继电器不满足欧洲标准，难于在海外推广，这些都 将迫使计算机联锁系统在结构及控制接口方面进行改进与提高。因 此，研 发 高 可 靠 性、满 足 SIL4 标准、适合远距离安全传输与控制的全电子输入输出接口系统，是计算机联锁系统必须进 行的一次技术变革。关键词: 计算机联锁; 全电子; 故障-安全Abstract: Computer interlocking system had been widely used in high speed railways and metro systems However，relay-based interlocking in area control or central control mode is still used in high speed rail- ways and metro system Since long distance outdoor equipment requires a larger amount of cable cores and China made relays do not be in compliance with the European standards，relay-based computer inter- locking systems are hard to be used oversea So，to develop a highly reliable whole electronic interface subsystem，which is complied with the SIL4 standards and suitable for long distance safety control，is in- dispensable for a technological innovation in computer-based interlocking systemKey words: Computer interlocking; Whole electronic;Fail-safe计算机联锁系统经过多年的应用与改进，其可全电子计算机联锁系统结构全电子计算机联锁系统的结构设计应既能满足 本地室外设备的控制需求，同时又要适应远距离区 域控制的需求。在区域联锁 ( 或集中控制) 模式 下，应充分考虑远距离控制室外设备指令及信息的 安全、可靠传输，因此，系统控制结构可配置主控 站联锁系统与被控站联锁系统。一个主控站根据需 要可以控制多个被控站; 主控站与被控站之间设置 冗余的传输通道，信息的传输除采用铁道部相关协 议外，还应采取更加严密的远程传输的防护措施; 被控站由于不进行联锁逻辑计算，可只设置高可靠 性的通信主机，以及负责输入输出控制的全电子接 口系统。1靠性、可用性、可维护性及安全性( RAMS)已完全满足国内铁路系统的要求，但基于一定安全性的考虑，其室外设备接口部分仍沿用既有 6502 电气 集中继电接口电路，如信号机点灯电路、道岔控制 电路、轨道电路、闭塞接口电路等。该种模式适用 于室外设备的本地控制，而对于室外设备需要远距 离控制的区域联锁 ( 或集中联锁) ，则存在结构上 的问题。因此，有必要研发适用于远距离信息安全 传输的全电子输入输出系统，既可以优化计算机联 锁的系统结构以及提高系统整体性能，又能实现对 计算机联锁系统主机、通信系统、室外设备接口电 路的故障监控，同时又可对接口电路输入输出内 容、控制命令的传递过程实现全过程记录。采用全 电子模式的计算机联锁系统，在满足安全认证的前 提下，能够规避国内安全型继电器不满足欧洲标准 要求的问题，在国内有良好工程业绩的前提下，可 以加快占有海外铁路市场的步伐。1. 1主控站全电子联锁系统结构主控站计算机联锁系统除全电子输入输出部分外，其主要结构仍沿用既有系统结构，联锁主机采用二乘二取二的冗余结构，通过交换机与被控站进 行数据通信，主控站联锁逻辑控制及控显软件不需 要修改，无须改变已经通过验证的联锁软件系统， 1 牛宝明: 通号国际控股有限公司 工程师 100166 北京收稿日期:2012-07-25铁道通信信号 2012 年第 48 卷第 10 期只需对输入输出接口软件及远程通信部分软件进行修改。全电子联锁系统建议结构如图 1 所示。图 2 被控站系统结构双机热备的主、备机同时接收主控站系统控制命令，同时对接收的命令进行比较，验证一致后由 通信主机发送到全电子系统执行。双机热备的主、 备机还同时接收全电子系统采集的室外设备状态信 息，同时对接收的信息进行比较，验证一致后由通 信主机发送到主控站主机系统，不一致时发送安全 侧信息至主控站。通信主机通过检测自身设备状态、与备机通信 状态进行主、备状态自动切换，主、备状态不受全 电子输入输出接口板状态影响。通信主机通过维修 机提供手动主、备切换功能。图 1 主控站全电子联锁系统结构在上述建议的结构中，全电子的接口系统根据功能分别配置，如道岔接口板、信号机接口板、轨 道电路采集接口板以及零散电路接口板等。为保证 系统安全、可靠运行，全电子板采集、驱动电路与 联锁主机通信接口应采用冗余 CAN 总线通信。全 电子接口板电源系统采用 2 + 2 冗余设置，采用集 中供电方式，每块电源板应能满足全电子接口板工 作最大电源容量 ( 不包括室外设备动作电源) 要 求。主控站与被控站之间经交换机通过冗余设置的 光缆通道连接，通信协议采用铁道部通信协议，但 应考虑远距离传输的安全防护。1. 2 被控站系统结构及安全防护措施区域联锁 ( 或集中控制) 模式中主控站联锁 系统负责联锁逻辑计算，被控站只接收主控站室外 设备的控制信息，或将被控站室外设备状态信息发 送至主控站，所以被控站系统建议采用如图 2 所示 系统结构。被控站设置双机热备的通信主机，主机系统 采用高可靠性的工业级计算机，通过冗余的网络接 口与主控站联锁系统通信，同时主机系统提供冗余 的 CAN 总线接口与本地全电子输入输出系统进行 通信; 采用工业级计算机可在降低系统总体造价的 同时满足系统可靠性、可用性需求。室外设备接口 板采用和主控站相同的结构与控制模式。输入输出板控制电路2采用全电子模式控制室外设备动作、室外设备状态的采集，应考虑电子控制设备的电流和电压参 数、可靠性及设备尺寸。本方案输出控制建议采用固态继电器 SSR( solid State Relay)作为输出控制开关。 SSR 输入端要求很小的控制电 流， 能 与TTL、HTL、CMOS 等集成电路较好地兼容; 而输 出回路则采用可控硅或大功率晶体管接通和断开负 载电流。输入与输出之间采用光电耦合，通断没有 可动接触部件，因此具有工作可靠、开关速度快、 无噪音、寿命长、体积小、无火花、耐蚀、防爆、 抗振等特点。室外设备状态采集采用工业级 A / D( 模数转换) 及磁隔离器件，确保室外采集电源与 室内计算机设备的电气隔离，防止雷电、牵引电流 及其他外部电源对联锁主机 或通信主机系统的 影响。 2 RAILWAY SIGNALLING COMMUNICATION Vol. 48 No. 10 2012本方案中电子设备直接与室外电缆连接，除在电缆引入端有防雷器件外，在板级输入输出端也应 增加板级防雷器件。为保证输入输出控制电路能及 时发现板级设备及室外设备故障，采用冗余单片机 ( 如 ARM 系列或 DSP 系列) 为逻辑处理单元，负 责输入输出信息的控制与采集，同时板级 CPU 能 够实时监督板级元器件的工作状态，故障信息通过 CPU 发送到本地维修机; 板级冗余 CPU 对输入输 出信息进行比较计算，双机运算结果比较一致进行 室外设备控制及状态采集，不一致则输出安全侧控 制，确保系统安全、可靠运行。全电子输入输出接口板每个 CPU 均提供 2 路冗余的 CAN 总线接口，确保控制、采集数据的可靠传输。简单) 。 道岔控制电路的 控制与安全防护措施 如下:1采用双 CPU 模式，每个 CPU 分别接收主机发送的控制命令，并比较命令的一致性，命令一致输出控制命令 ( 定位或反位操纵) ，命令不一致 时输出关闭命令。2CPU 接收到主机发送的控制命令立即打开控制开关 ( 定操打开 X1 与 X4 控制开关，反操打开 X2 与 X4 控制开关) ，并采集 X4 道岔动作电流， 当没有电流或电流小于规定电流值时立即关闭开 关，并返回故障状态; 当电流正常时保持开关打开 至道岔转换到位，到位后转辙机切断电源，道岔动 作电流为零，CPU 控制 X1、X4 开关关闭，接通道 岔表示电路 ( X1、X3 或 X2、X3 ) ，CPU 采集三个 冗余的光耦条件，判断道岔处于定位或反位，并返 回至主机。信号机控制电路全电子信号机控制电路原理应按照 6502 电气 集中信号机点灯电路原理进行设计，信号机控制电 路从如下主要方面进行安全防护。2. 13动作线与动作回线采用双断控制，每个控采用双 CPU 模式，每个 CPU 分别接收主制点采用双电子开关冗余配置，提高控制可靠性。1机发送的控制命令，并比较命令的一致性。命令一致时输出控制命令 ( 开放或关闭信号) ，命令不一 致时输出关闭命令。设置紧急控制开关。对每个控制开关状态4进行实时采集，与 CPU 发出的控制状态进行比较，若无输出控制命令 ( 定操或反操) 开关打开，立 即切断信号供电电源，防止道岔误动。信号点灯电源采用双断控制，每个控制点2采用双电子开关冗余配置，提高系统控制可靠性。道岔表示位置采用 3 组光耦组合，当 3 个5设置紧急控制开关。若控制开放信号或关光耦一致时且与另一组光耦状态相反时才用于道岔位置的判断条件，否则道岔则置于四开状态，确保 不出现室内外状态不一致情况。3闭信号机的开关故障 ( 开关短路) ，在发出控制命令后不能关闭信号，应立即切断信号供电电源，将 信号机置于灭灯状态。采用全电子道岔控制电路，在道岔故障失6对每个控制开关状态进行实 时 采 集， 与去表示时必须进行一次道岔定位、反位操作来确认道岔位置并返回道岔表示，防止由于人为封连道岔 表示线出现错误道岔表示，或实际位置与表示位置 不一致而出现危及行车安全的事故。4CPU 发出的控制状态进行比较，若没有控制命令而开关打开，或没有控制命令而有点灯电流时立即 切断供电电源; 若有控制命令而开关没有打开立即 报警，并将故障状态返回至联锁主机。5 采用电子方式采集点灯电流，监督信号机 灯丝状态，允许灯丝断丝时立即将断丝状态返回至 联锁主机，关闭开放的信号，并报警。轨道采集电路 (以 50 Hz 轨道电路为例)全电子轨道电路电压的采集同样采用双 CPU 模式，轨道电压防雷单元、电压调理模块、模数转 换模块电气隔离后，经双 CPU 比较计算将轨道电 路占用空闲状态发送至主机。全电子轨道电路采集 模块结构 ( 一路轨道电压采集) 如图 3 所示。轨 道采集模块的工作原理及故障-安全措施如下。2. 3道岔控制电路 (以四线制直流道岔为例)2. 2直流道岔控制电路采用直流型 SSR( solid staterelay)电子开关，控制模式采用双 CPU，其控制原理参照四线制道岔控制原理进行设计。 ( 目前国内的道岔控制电路考虑节省室外电缆，动作线与表 示回线公用。若不考虑节省室外电缆，将动作线与 表示线分开设计，全电子道岔控制电路逻辑将更加采用双 CPU 模式，每个 CPU 分别计算采1集到的轨道电压，当 2 个 CPU 计算的电压差不大于 1 V ( 可根据需要设定) 且采集值均为 18 V 时 为轨道空 闲， 如 果 2 个 CPU 计算的电压差大于 3 铁道通信信号 2012 年第 48 卷第 10 期3CAN 的直接通信距离最远可达 10 km ( 速率 5 kb / s 以下) ; 通信速率最高可达 1 Mb / s ( 此时通信距离最长为 40 m) 。4CAN 上的节点数主要取决于总线驱动电路，目前可达 110 个。在标准帧的报文标识符有11 位，而在扩展帧的报文标识符 ( 29 位) 个数几 乎不受限制。报文采用短帧格式，传输时间短，受干扰5图 3 全电子轨道电路采集模块结构概率低，保证了数据出错率极低。CAN 的每帧信息都有 CRC 校验及其他检错措施，具有极好的检 错效果。CAN 节点在错误帧的情况下能自动关闭 输出，而总线上其他节点的操作不受影响。2. 4. 2主机与全电子模块 CAN 总线连接方式 主机系统与全电子模块均采用双机与双 CPU，每台主机及每个 CPU 均可提供双路 CAN 总线接 口，因此 CAN 总线采用如下接口方式，以满足系 统安全、可靠运行，如图 4 所示。1 V，或 2 个 CPU 计算的电压小于 5 V 时，则将轨道置于占用状态。轨道电路的占用空闲值根据不同 轨道电路的调整情况在本地 维修机中可以分别 设置。A / D 模块输出端为经编码的串行数据，当2A / D 模块故障时，其编码序列将错误，CPU 不能计算出电压值，轨道将置于占用状态。3磁隔离模块提供室外设备采集与 CPU 之间的电气隔离，保证 CPU 后级及主机系统安全; 同时磁隔离器件采用与 A / D 模块相同的串行编码， 故障时 CPU 不能计算电压，轨道将置于占用状态。 其他类型的接口板采用相同的原理进行开发，不再一一表述。2. 4主机与全电子输入输出系统通信接口方式2. 4. 1CAN 总线的特点全电子输入输出系统通过 CAN( Controller Ar-ea Network) 总线与主机系统进行通信，CAN 总线也称控制器局部网，属于现场总线的范畴，它是一 种有效支持分布控制或实时控制的串行通信网络。 由于采用了许多新技术及独特的设计，CAN 总线 与一般的通信总线相比，它的数据通信具有突出的 可靠性、实时性和灵活性。其特点如下:图 4 CAN 总线系统的工作原理1.主机系统 ( 主控站和被控站) 中主机 A 的CAN 总线 A 和 B 分别与输入输出板 CPU1 的 CAN总线 A 和 B 连接; 主机 B 的 CAN 总线 A 和 B 分别 与输入输出板 CPU2 的 CAN 总线 A 和 B 连接; 主 机 A、B 的 CAN 总线 A、B 互连。2. 主机系统除本机故障或 CAN 总线 A 或 B 均 故障时倒机外，不因输入输出板 CPU 或 CAN 总线 故障而倒机。3. 当 输 入 输 出 板 CPU1 为 主 CPU 时， 通 过 CPU1 的 CAN 总线 A 和 B 发送 ( 或接收) 主机数 据，只有 1 条 CAN 总线 A 或 B 故障时，CPU1 不 倒机，当 CPU1 故障或 CAN 总线 A 和 B 同时故障 时，CPU1 倒机，主机通过 CPU2 的 CAN 总线 A 和CAN 为多主工作方式，网络上任何一个节1点均可在任意时刻主动地向网络上其他节点发送信息，而不分主、从。CAN 上的节点分成不同的优 先级，可满足不同的实时要求，优先级高的数据最 多可在 134 s 内得到传输。2 CAN 采用非破坏总线仲裁技术。当多个节 点同时向总线发送信息出现冲突时，优先级低的节点会主动地退出发送，而优先级高的节点可以不受 影响地继续传输数据，从而大大节省了总线冲突的 仲裁时间。尤其是网络负载很重的情况下，也不会 出现网络瘫痪情况 ( 以太网则可能) 。 4 2012 年 10 月第 48 卷 第 10 期铁 道 通 信 信 号RAILWAY SIGNALLING COMMUNICATIONOctober 2012Vol. 48 No. 10动车基地调度集中系统安全接口机的设计程君曹桂均冯军闫石摘 要: 动车基地调度集中系统实现了列车与调车作业计划管理、列车与调车作业自动进路集中控制、动车组位置自动识别与追踪、动车基地作业计划的优化调整等功能。该系统与计算机联锁 系统、分散自律调度集中系统、管理信息系统及车号自动识别系统等存在大数据量的信息交互， 因此设计开发了一款安全可靠的接口机，实现内外系统的大数据量双向隔离高速传输和协议转换 功能。关键词: 动车基地; 调度集中系统; 接口机; 双机热备; 双口 RAM; 数据隔离Abstract: The Centralized Control System of EMU Maintenance Base provides the functions of train op- eration and shunting scheduling，automatic centralized control of train operation and shunting，automatic EMU identification and tracking The system can communicate with computer interlocking system，CTC， AEI and Information Management System，and large amount of data exchange is generated among them So，it is absolutely necessary to design and develop a safe and reliable interface machine to achieve bi-di- rectional isolated high-speed transmission of large amount of data and protocol conversionKey words: EMU maintenance base; Centralized traffic control system; Interface machine; Dual ma- chine hot standby; Dual-port RAM; Data isolation目前，全路已建成北京、武汉、广州、上海等动车基地，受动车基