全电子计算机联锁系统的研发

1、摘要:随着计算机联锁系统在高速铁路、地铁系统广泛应用，采用继电器接口控制室外设备的联锁系统也在 高速铁路区域联锁、地铁项目集中控制技术中应用，而远距离非集中站室外设备控制需要大量电缆加芯， 同时，由于国内安全型继电器不满足欧洲标准，难于在海外推广，这些都将迫使计算机联锁系统在结构及 控制接口方面进行改进与提高。因此，研发高可靠性、满足SIL4标准、适合远距离安全传输与控制的全 电子输入输出接口系统，是计算机联锁系统必须进行的一次技术变革。关键词:计算机联锁；全电子；故障-安全计算机联锁系统经过多年的应用与改进，其可靠性、可用性、可维护性及安全性（RAMS）已完全满 足国内铁路系统的要求，但基于

2、一定安全性的考虑，其室外设备接口部分仍沿用既有6502电气集中继电 接口电路，如信号机点灯电路、道岔控制电路、轨道电路、闭塞接口电路等。该种模式适用于室外设备的 本地控制，而对于室外设备需要远距离控制的区域联锁（或集中联锁），则存在结构上的问题。因此，有 必要研发适用于远距离信息安全传输的全电子输入输出系统，既可以优化计算机联锁的系统结构以及提高 系统整体性能，又能实现对计算机联锁系统主机、通信系统、室外设备接口电路的故障监控，同时又可对 接口电路输入输出内容、控制命令的传递过程实现全过程记录。采用全电子模式的计算机联锁系统，在满 足安全认证的前提下，能够规避国内安全型继电器不满足欧洲标准要求

3、的问题，在国内有良好工程业绩的 前提下，可以加快占有海外铁路市场的步伐。1全电子计算机联锁系统结构全电子计算机联锁系统的结构设计应既能满足本地室外设备的控制需求，同时又要适应远距离区域 控制的需求。在区域联锁（或集中控制）模式下，应充分考虑远距离控制室外设备指令及信息的安全、可 靠传输，因此，系统控制结构可配置主控站联锁系统与被控站联锁系统。一个主控站根据需要可以控制多 个被控站；主控站与被控站之间设置冗余的传输通道，信息的传输除采用铁道部相关协议外，还应采取更 加严密的远程传输的防护措施;被控站由于不进行联锁逻辑计算，可只设置高可靠性的通信主机，以及负责 输入输出控制的全电子接口系统。1主控

4、站全电子联锁系统结构主控站计算机联锁系统除全电子输入输出部分外，其主要结构仍沿用既有系统结构，联锁主机采用 二乘二取二的冗余结构，通过交换机与被控站进行数据通信，主控站联锁逻辑控制及控显软件不需要修改， 无须改变已经通过验证的联锁软件系统，只需对输入输出接口软件及远程通信部分软件进行修改。全电子 联锁系统建议结构如图1所示。卜位机雄修机:m机彼控站冗奈通逍联微五机直找接曰板信号机接板轨道电路柱口板*散电烙接口板ill 源图1主控站全电子联锁系统结构在上述建议的结构中，全电子的接口系统根据功能分别配置，如道岔接口板、信号机接口板、轨道 电路采集接口板以及零散电路接口板等。为保证系统安全、可靠运行

5、，全电子板采集、驱动电路与联锁主 机通信接口应采用冗余CAN总线通信。全电子接口板电源系统采用2 + 2冗余设置，采用集中供电方式， 每块电源板应能满足全电子接口板工作最大电源容量（不包括室外设备动作电源）要求。主控站与被控站 之间经交换机通过冗余设置的光缆通道连接，通信协议采用铁道部通信协议，但应考虑远距离传输的安全 防护。2被控站系统结构及安全防护措施区域联锁（或集中控制）模式中主控站联锁系统负责联锁逻辑计算，被控站只接收主控站室外设备 的控制信息，或将被控站室外设备状态信息发送至主控站，所以被控站系统建议采用如图2所示系统结构。逍信主机 通信主机H道也援I根信号机接口板轨道电路授口板 再

6、敝电路槌口旋电电电源源源源图2被控站系统结构被控站设置双机热备的通信主机，主机系统采用高可靠性的工业级计算机，通过冗余的网络接口与 主控站联锁系统通信，同时主机系统提供冗余的CAN总线接口与本地全电子输入输出系统进行通信；采 用工业级计算机可在降低系统总体造价的同时满足系统可靠性、可用性需求。室外设备接口板采用和主控 站相同的结构与控制模式。双机热备的主、备机同时接收主控站系统控制命令，同时对接收的命令进行比较，验证一致后由通 信主机发送到全电子系统执行。双机热备的主、备机还同时接收全电子系统采集的室外设备状态信息，同 时对接收的信息进行比较，验证一致后由通信主机发送到主控站主机系统，不一致时

7、发送安全侧信息至主 控站。通信主机通过检测自身设备状态、与备机通信状态进行主、备状态自动切换，主、备状态不受全电 子输入输出接口板状态影响。通信主机通过维修机提供手动主、备切换功能。2输入输出板控制电路采用全电子模式控制室外设备动作、室外设备状态的采集，应考虑电子控制设备的电流和电压参数、 可靠性及设备尺寸。本方案输出控制建议采用固态继电器SSR ( solid State Relay)作为输出控制开关。SSR 输入端要求很小的控制电流，能与TTL、HTL、CMOS等集成电路较好地兼容；而输出回路则采用可控硅或 大功率晶体管接通和断开负载电流。输入与输出之间采用光电耦合，通断没有可动接触部件，

8、因此具有工 作可靠、开关速度快、无噪音、寿命长、体积小、无火花、耐蚀、防爆、抗振等特点。室外设备状态采集 采用工业级A/D(模数转换)及磁隔离器件，确保室外采集电源与室内计算机设备的电气隔离，防止雷电、 牵引电流及其他外部电源对联锁主机或通信主机系统的影响。本方案中电子设备直接与室外电缆连接，除在电缆引入端有防雷器件外，在板级输入输出端也应增 加板级防雷器件。为保证输入输出控制电路能及时发现板级设备及室外设备故障，采用冗余单片机（如 ARM系列或DSP系列）为逻辑处理单元，负责输入输出信息的控制与采集，同时板级CPU能够实时监 督板级元器件的工作状态，故障信息通过CPU发送到本地维修机；板级冗

9、余CPU对输入输出信息进行比 较计算，双机运算结果比较一致进行室外设备控制及状态采集，不一致则输出安全侧控制，确保系统安全、 可靠运行。全电子输入输出接口板每个CPU均提供2路冗余的CAN总线接口，确保控制、采集数据的 可靠传输。2. 1信号机控制电路全电子信号机控制电路原理应按照6502电气集中信号机点灯电路原理进行设计，信号机控制电路 从如下主要方面进行安全防护。采用双CPU模式，每个CPU分别接收主机发送的控制命令，并比较命令的一致性。命令一 致时输出控制命令（开放或关闭信号），命令不一致时输出关闭命令。信号点灯电源采用双断控制，每个控制点采用双电子开关冗余配置，提高系统控制可靠性。 设

10、置紧急控制开关。若控制开放信号或关闭信号机的开关故障（开关短路），在发出控制命令 后不能关闭信号，应立即切断信号供电电源，将信号机置于灭灯状态。 对每个控制开关状态进行实时采集，与CPU发出的控制状态进行比较，若没有控制命令而开关 打开，或没有控制命令而有点灯电流时立即切断供电电源；若有控制命令而开关没有打开立即报警，并将 故障状态返回至联锁主机。采用电子方式采集点灯电流，监督信号机灯丝状态，允许灯丝断丝时立即将断丝状态返回至联 锁主机，关闭开放的信号，并报警。2道岔控制电路（以四线制直流道岔为例）直流道岔控制电路采用直流型SSR （ solid staterelay）电子开关，控制模式采用双

11、CPU，其控制原 理参照四线制道岔控制原理进行设计。（目前国内的道岔控制电路考虑节省室外电缆，动作线与表示回线 公用。若不考虑节省室外电缆，将动作线与表示线分开设计，全电子道岔控制电路逻辑将更加简单）。道 岔控制电路的控制与安全防护措施如下：采用双CPU模式，每个CPU分别接收主机发送的控制命令，并比较命令的一致性，命令一 致输出控制命令（定位或反位操纵），命令不一致时输出关闭命令。CPU接收到主机发送的控制命令立即打开控制开关（定操打开X1与X4控制开关，反操打 开X2与X4控制开关），并采集X4道岔动作电流，当没有电流或电流小于规定电流值时立即关闭开关， 并返回故障状态；当电流正常时保持开

12、关打开至道岔转换到位，到位后转辙机切断电源，道岔动作电流为 零，CPU控制X1、X4开关关闭，接通道岔表示电路（X1、X3或X2、X3），CPU采集三个冗余的光耦 条件，判断道岔处于定位或反位，并返回至主机。动作线与动作回线采用双断控制，每个控制点采用双电子开关冗余配置，提高控制可靠性。 设置紧急控制开关。对每个控制开关状态进行实时采集，与CPU发出的控制状态进行比较， 若无输出控制命令（定操或反操）开关打开，立即切断信号供电电源，防止道岔误动。 道岔表示位置采用3组光耦组合，当3个光耦一致时且与另一组光耦状态相反时才用于道岔 位置的判断条件，否则道岔则置于四开状态，确保不出现室内外状态不一致

13、情况。采用全电子道岔控制电路，在道岔故障失去表示时必须进行一次道岔定位、反位操作来确认道 岔位置并返回道岔表示，防止由于人为封连道岔表示线出现错误道岔表示，或实际位置与表示位置不一致 而出现危及行车安全的事故。3轨道采集电路（以50 Hz轨道电路为例）全电子轨道电路电压的采集同样采用双CPU模式，轨道电压防雷单元、电压调理模块、模数转换模 块电气隔离后，经双CPU比较计算将轨道电路占用空闲状态发送至主机。全电子轨道电路采集模块结构 （一路轨道电压采集）如图3所示。轨道采集模块的工作原理及故障-安全措施如下。图3 全电子轨道电路采集模块结构 采用双CPU模式，每个CPU分别计算采集到的轨道电压，

14、当2个CPU计算的电压差不大 于1 V （可根据需要设定）且采集值均为18 V时为轨道空闲，如果2个CPU计算的电压差大于1 V， 或2个CPU计算的电压小于5 V时，则将轨道置于占用状态。轨道电路的占用空闲值根据不同轨道电 路的调整情况在本地维修机中可以分别设置。 A / D模块输出端为经编码的串行数据，当A / D模块故障时，其编码序列将错误，CPU不能 计算出电压值，轨道将置于占用状态。磁隔离模块提供室外设备采集与CPU之间的电气隔离，保证CPU后级及主机系统安全；同时 磁隔离器件采用与A/D模块相同的串行编码，故障时CPU不能计算电压，轨道将置于占用状态。其他类型的接口板采用相同的原理

15、进行开发，不再一一表述。2. 4主机与全电子输入输出系统通信接口方式2. 4. 1 CAN总线的特点全电子输入输出系统通过CAN （ Controller Ar-ea Network）总线与主机系统进行通信，CAN总线也 称控制器局部网，属于现场总线的范畴，它是一种有效支持分布控制或实时控制的串行通信网络。由于采 用了许多新技术及独特的设计，CAN总线与一般的通信总线相比，它的数据通信具有突出的可靠性、实时 性和灵活性。其特点如下：CAN为多主工作方式，网络上任何一个节点均可在任意时刻主动地向网络上其他节点发送信息， 而不分主、从。CAN上的节点分成不同的优先级，可满足不同的实时要求，优先级高

16、的数据最多可在134 街内得到传输。CAN采用非破坏总线仲裁技术。当多个节点同时向总线发送信息出现冲突时，优先级低的节点 会主动地退出发送，而优先级高的节点可以不受影响地继续传输数据，从而大大节省了总线冲突的仲裁时 间。尤其是网络负载很重的情况下，也不会出现网络瘫痪情况（以太网则可能）。 CAN的直接通信距离最远可达10 km （速率5 kb/s以下）;通信速率最高可达1 Mb/s （此 时通信距离最长为40 m）。CAN上的节点数主要取决于总线驱动电路，目前可达110个。在标准帧的报文标识符有11位， 而在扩展帧的报文标识符（29位）个数几乎不受限制。报文采用短帧格式，传输时间短，受干扰概率

17、低，保证了数据出错率极低。CAN的每帧信息都 有CRC校验及其他检错措施，具有极好的检错效果。CAN节点在错误帧的情况下能自动关闭输出，而总 线上其他节点的操作不受影响。2. 4. 2主机与全电子模块CAN总线连接方式主机系统与全电子模块均采用双机与双CPU，每台主机及每个CPU均可提供双路CAN总线接口， 因此CAN总线采用如下接口方式，以满足系统安全、可靠运行，如图4所示。图4 CA总线系统的工作原理主机系统（主控站和被控站）中主机A的CAN总线A和B分别与输入输出板CPU1的 CAN总线A和B连接；主机B的CAN总线A和B分别与输入输出板CPU2的CAN总线A和B 连接；主机A、B的CAN总线A、B互连。主机系统除本机故障或CAN总线A或B均故障时倒机外，不因输入输出板CPU或CAN总 线故障而倒机。当输入输出板CPU1为主CPU时，通过CPU1的CAN总线A和B发送（或接收）主机数 据，只有1条CAN总线A或B故障时，CPU1不倒机，当CPU1故障或CAN总线A和B同时故 障时，CPU 1倒机，主机通过CPU2的CAN总线A和