数字轨道电路系统可靠性与安全性设计

1、    数字轨道电路系统可靠性与安全性设计            1 概述       国外轨道交通ATP系统许多都采用轨道电路作为信息传递媒介。轨道电路把控制中心发出的命令传递给列车，同时将列车的位置信息（以轨道电路区段单位）返回给控制中心，控制中心据此形成后续列车的控制命令。轨道电路具备双重作用：即列车检知和信息传递。以轨道电路作为信息媒介可以简化ATP系统设计。随着ATP系统新的控车模式（尤

2、其是一次模式曲线控车方式）的出现，车载系统对信息量的需求显著增加，轨道电路信息数字化应运而生。同时，车载设备对信息连续性、稳定性的要求也相应提高。为此，列控信息安全可靠快速传递成为新型数字轨道电路首要解决的问题。       作为ATP系统的一个子系统，从信息传递的角度看，数字轨道电路（Digital Track Circuit，缩写DTC）在整个系统中起着承上启下的作用，是信息的主要载体。       区域控制中心（ICU）与DTC之间的信息交换是通过现场总线CAN来实现的

3、，DTC与车载系统（On-board system）之间的信息传递通过钢轨线路与车载传感器的配合来完成。 DTC内部结构如下图示，其工作原理如下：通讯板接收列控命令并转发给各个轨道电路发送、接收设备，并把轨道电路状态及各单元电路的工作状态报告给区控中心。发送板根据通讯板送来的列控命令形成DTC信息，调制后送功放，经传输设备、钢轨回送至接收板，接收板对信号解调并判断轨道电路区段是否有列车占用，将此信息报告给通讯板。列车进入轨道区段后，通过装设在前部的传感器接收控制命令。因此，将ATP信息传递系统即DTC系统的安全性与可靠性分为三层设计，即ATP子系统间信息传递、轨道电路系统本身及各个设备单元。&

4、#160;      2 ATP子系统间信息传递设计       ATP各子系统设计相对独立，彼此没有任何的直接控制功能，子系统间的联系只有信息交换，因此信息的安全性与可靠性的设计，可局限于通讯信道和端设备的设计。       2.1 通讯信道设计       对于区控中心和DTC信息交换的物理通道电缆本身来说，其状态可定义为“通”和“断”，“通”是正常工作状态，“断

5、”则是故障状态，因此把“断”作为安全状态（故障输出状态）。在任何导致信息错误接收时，接收端都将视为信息中断，并根据该状态产生相应的输出。同样，在DTC和车载接收设备之间的信息传递通道钢轨线路（也包括设备）的安全状态也定义在“断”。       为此，需要确定界定故障的条件。区控中心与DTC之间的联系在设计通讯协议（protocol）时，需要确定通讯周期、信息格式，当超出通讯周期时，通讯仍然中断或不能正确接收信息，则视为通讯错误，若连续出现通讯错误，则视为通讯故障，启动相应的故障处理程序。为保证信息正确接收，采用应答方式对信息接收进行确

6、认。       对通道中传递的信息也进行冗余设计，采用三取二方式（2-out-3），即区控中心的每个ICU主机都发送一组列控数据给DTC，由DTC设备对三组数据进行三取二判决，以此保证列控数据的安全。为保证ICU与DTC之间信息交换可靠进行，通讯的物理通道采用双环结构。这种结构的通讯环路任何一处出现电气断路，都不影响其正常工作。并且只要有一个通讯环工作正常，通讯就能正常进行。当环路出现故障时，有正常的检测机制报告其状态，以便及时维修。       DTC与车载设备之间由于信

7、息是单向传递的，因此只有在信息编码调制过程中约定信息格式。防止信息错误接收的唯一办法是对信息进行冗余设计，并且规定接收端只能检错。       2.2 端设备       信息传递的安全性主要依靠端设备的安全设计来实现。通讯通道的错误、故障的检测与判定以及故障后的输出，全部由端设备来完成。端设备包括ICU通讯模块以及DTC通讯板、车载系统的信息接收设备。ICU通讯模块采用的是三取二结构，以此获得高可靠性和高安全性。DTC通讯板以及车载信息接收设备采用的是双二取二（2-out-

8、2）结构，安全性由单个设备保证，而可靠性则由双系统热备或并行工作实现。       3 轨道电路系统设计       DTC系统在设计时必须兼顾安全性、可靠性。安全性由单元设备及通讯协议、校验互校机制的设置来保证，以系统的备份提高可靠性。       3.1 通讯       DTC内部通讯机制采用与区控中心通讯相同的接口方式，由通讯板完成对下层DTC收发设

9、备的通讯调度，DTC机柜内部采用双环通讯网，通讯板及下层设备的通讯接口均为2-out-2结构。采用与区控中心相类似的通讯协议。信道中的数据分两类，ICU发来的命令是三重冗余数据，DTC收发设备上报的数据采用2-out-2方式。这种方式减少了通讯板的设计复杂性，设计错误随之下降。       3.2 双机系统        DTC系统采用双机系统结构。故障率比较高的电子设备均为双重系，结构简单、失效率（故障率）较低的传输设备则为单一设备。发送设备如发送板、功放板采用热备方式，切

10、换开关为继电器，当设备出现故障时，继电器失磁，转换到备机输出，经维修恢复正常后，工作在备机状态。设备在备机状态下同样具有自检功能。接收板和通讯板采用并行工作方式，两个接收板独立工作，各自向通讯板报告检测到的轨道电路状态及自身工作情况，通讯板只要收到有一个轨道电路区段空闲标志，就认为该区段空闲。通讯板只要有一个工作正常，即可承担起ICU与DTC的信息交换任务。这些设备自身都具备自检功能（功放板的检测由发送板完成）。        3.3 校验、互校机制       在系统设计中

11、，引入了校验和互校的机制。区控中心发出命令经通讯板传递到DTC系统单元设备时，单元设备要对该命令进行检查，首先对收到的三组数据进行三取二处理，然后将结果与预先约定的内容比较，检查是否一致，若出现命令误送（合法的码字，但对象错误）或码错误，都能够及时发现。发送设备向钢轨传递的命令信息，在室内也有一条通路传送至接收设备，接收设备将经轨道传送来的信息与此加以比较，以确定轨道区段的空闲/占用，同时可以判断发送端送出的信息是否有错误。另外，单元电路内部的2-out-2结构，也存在校验和互校机制。       3.4 故障输出 

12、0;     DTC的信息输出有两种工作模式，即正常工作模式和测试模式（或称安全模式）。当发送设备及通讯正常时，DTC工作在正常工作模式。通讯板或发送设备出现故障，包括与区控中心的通讯故障出现时，立即转入测试模式。测试模式只对轨道电路内部检测、调试起作用，不带任何控车信息，车载设备接收到此命令，将立即停车。当接收设备故障时，给出的轨道区段标志为占用状态。       4 单元电路设计       构建一个安全可靠的系统，单元设备的设计尤

13、为关键，将直接影响系统的性能。       4.1 设计原则        1 故障安全原则       当设备故障时，其输出必须不危及行车安全。设备结构大多采用2-out-2方式。DTC通讯板、发送板、接收板均采用此种结构，输出之前需要相互比较或检查监督，当任一出现故障时，均停止工作，输出倒向安全侧。       2 易故障模块分离原则 

14、0;     将易故障的模块分离设计，有利于故障设备的维修，从而提高系统的可用性。根据以往的经验，有些模块故障率比较高，例如功放，为了提高发送设备的可靠性，将功放独立设计成板，并针对功放的弱点强化设计，降低了功放的故障率。另一方面为发送设备的故障维修节省了时间，单位时间内可用性也得以提高。       3模块通用化设计原则       将功能相同（或相近）的部分设计成通用模块，减少了系统设计的复杂性，提高了系统的稳定性。通讯板、发送板和

15、接收板均使用微处理器，而且都采用2-out-2结构，在设计中将2-out-2结构的CPU 板分离出来单独设计，并且采用相同的微处理器。这种方法虽然功能方面不一定是最优的设计，但整体上系统得到了简单化，减少了设计的出错可能。另外，各种带通讯功能的单元板的接口模块也是统一设计的。       4.2 元器件选择       通过对元器件的选择达到优化电路设计、降低设备的复杂度和故障率之目的。一般说来，大规模集成电路的故障率都比较低，而且数字电路比模拟电路的稳定性要好的多。因此尽量

16、采用大规模集成电路，减少集成电路的数量；尽量采用数字信号处理方式，减少模拟集成电路芯片的使用。芯片、元件降额使用可以提高稳定性和延长使用寿命。       4.3 防冲击设计提高可用性       在实际运用中，牵引电流是影响DTC工作稳定性的重要因素之一，除了在一些参数方面进行细致选择外，在电路设计中根据部件的承受能力分级设计防冲击电路，弱化甚至消除大信号对系统的破坏，使系统稳定可靠工作。同时由于冲击和列车的牵引控制电路产生的高频干扰的存在，在信号频带范围内，有一定量的噪声干扰，除增加DTC信号能量以提高信噪比外，采用数字信号处理方式可提高系统的抗干扰能力。