铁路自动控制系统计算机联锁系统的研究

铁路自动控制系统计算机联锁系统的研究

随着计算机锁技术的发展，计算机锁作为信号设备，在铁路信号控制系统的运行下得到了迅速发展。现在它已经开始发展，并已进入完善和改进，并逐步进入更高级别的智能控制。从总的发展趋势看,计算机联锁必将逐步取代传统的继电联锁设备,这是科学技术进步的必然结果。要求计算机联锁系统与继电联锁一样具备故障-安全的功能,保证运输生产安全,计算机联锁主要采用避错技术和容错技术来提高系统的可靠性,实现故障导向安全的。避错技术就是采用高可靠性的芯片,以减少故障的概率,但是它不能保证系统绝对可靠,因为芯片可靠性的提高是有限度的,要想进一步提高系统的可靠性,就要用到容错技术。容错技术的基本出发点是承认故障不可避免的事实,进而考虑解除故障影响的措施。其主要手段是投入更多的资源,如硬件冗余、软件冗余、时间冗余等,主要的是硬件冗余和软件冗余。所谓冗余设计技术,是采用额外增加系统的硬件、软件、信息和时间的冗余方式来掩盖故障造成的影响,使系统中即使某部分发生故障,整个系统仍能正常工作。冗余设计是提高系统可靠性和安全性的有效途径,它也是容错技术的核心。本文就铁路目前广泛使用的计算机联锁系统的冗余方式及其安全性进行初步的探讨。1.故障设计心理特征计算机联锁使用电子元件构成故障—安全电路时,必须考虑到元件级、门级、集成芯片级故障,并按照故障—安全原则进行设计。计算机联锁系统的硬件冗余涉及到了元件级、电路级、功能单元级、部件级和系统级五个级别之间的冗余。1.1冗余技术的基本概念1.1.1保证了系统的可靠性如图1所示,模块A和模块B经或门输出,两个模块只要有一个模块正常输出即可保证整个系统不停机,提高了系统工作的可靠性。在实际应用中,对安全性要求不高的处理人机对话信息的上位机一般采用可靠性冗余结构。1.1.2保证个模块输出的一致性如图2所示,模块A和模块B经与门输出,两个模块同步工作,只有两个模块输出一致才能保证整个系统不停机,只要有一个模块故障,系统将不能正常输出。这样,提高了系统工作的安全性,减少了危险侧输出的概率。在实际应用中,对安全性要求较高的联锁控制机采用安全性冗余结构。1.2双机热备系统1.2.1主机输出热压图中的A、B是两台完全相同的计算机,其中一台处于在线运行状态,它的输出通过切换开关引向外部,称之为主机;另一台处于待命接替状态,称为备机。由故障检测机构对系统的运行进行检测,当主机运行发生故障时,通过控制切换开关切除主机,并将备用机状态输出。1.2.2备机假输出双机热备是指主、备机输入相同的信息,两机同时独立运行相同的程序,定期同步,主机经输出口输出,备机假输出。系统运行前,先打开的联锁机为主机,当主机发生故障时,自动切换到备机输出。这样故障切换时,可不影响系统工作,理想的系统可以实现“无缝切换”。采用双机热备方式的计算机联锁系统,各子系统之间一般采用局域网的通信方式,为保证系统的通信及时可靠,一般均采用双重冗余网络结构。1.2.3模块a无故障时的检测,把两个模块都双机热备系统的核心是故障检测环节。故障监测设备一般采用软件和硬件结合的方式,比较法既是较为常见的故障监测的方式,如图4所示。这种结构的基本思路是对两个模块的输出进行比较,通过比较发现故障,再进一步判断是哪一个模块发生了故障,然后控制切换开关工作。当两个模块均无故障时,比较器输出高电平“1”,使控制与门“1”导通,将模块A的输出作为系统的输出。当某一模块发生故障时,比较器输出电平“0”,一次电平作为两个模块的中断信号,使两个模块各自执行故障检测程序,并给出相应的检测信号。由无故障模块的检测信号使控制与门“1或2”导通,将无故障模块的输出作为系统的输出。这种由双机动态切换实现冗余的方式,称为动态冗余。采用双机动态冗余方式的关键是A、B机传送给比较器的信息应当同时送到,因此,要求A、B机必须同步工作,只有同步才能及时交换信息。1.33、获取2个系统1.3.1主机的结构框图三机表决系统也称三取二系统,如图5所示是三机表决系统的结构框图,系统共有A、B、C三个相同的主机,每个主机可以把它看成是系统中的一个模块。三个模块执行相同的操作,其输出送到表决器的输入端,将表决器的输出作为系统的输出。1.3.2承认“多数模块的输出是正确的”系统的输入、CPU及输出三大环节采用“三取二”模式,三机表决系统首先承认“多数模块的输出是正确的”,按照“少数服从多数”的原理,用三取二的表决结果作为系统的正确输出,不存在不存在整机切换问题。这样有一个模块发生故障,不影响系统的输出。可以屏蔽任一个模块的故障对系统的影响。1.3.3静态冗余技术三机表决系统是利用故障屏蔽技术组成的冗余结构,称这种冗余方式为静态冗余。所谓静态冗余技术就是在故障效应达到模块输出之前,通过隔离或校正来消除它们的影响。通过冗余资源来隔离或校正故障,使故障不能在系统输出中造成差错,这种技术不能改变电路或系统的结构,所以称为静态冗余。它的基本原理是通过表决来隔离发生的故障。三机表决系统中,当某一模块出现故障时,虽然可以被掩盖过去,但系统已失去了容错的能力。若不及时修复,当另一模块再发生故障时,将使表决失误。为此,三机表决系统必须具有故障检测能力。如图6所示是三机系统模块故障检测示意图,检测电路将系统最后的输出与各模块进行“异或”比较,不一致时输出为“1”给出故障指示。这样,可以发现故障机,并及时报警。要保证三机表决系统工作可靠,A、B、C三机必须同步工作,在系统软件或硬件设计时,必须采取相应的措施,实现同步。1.42乘2取2系1.4.1双系热备及双网冗余工作双系外部接收点二乘二是指Ⅰ系、Ⅱ系每系分别有两台联锁计算机,取二是指取其中一系的两台联锁计算机作为最后的控制输出。各系内部为二取二结构,双系互为热备;即联锁机及驱采机均为双系(双硬件体系)冗余工作,双系中每一单系均包括双套计算机实时校核工作。双套系统严格同步,实时比较,每一单系中必须双机工作一致才能对外输出,实现全系统的高安全性。工作框图见图7所示。1.4.2系或系联锁控制单元Ⅰ系或Ⅱ系全部为三级二取二双系冗余模式,确保系统出现硬件故障能保证系统不间断运行;Ⅰ系或Ⅱ系中的联锁控制单元作为一个整体,如果有一个故障,则整系停止工作。两重系有两种工作方式:同步工作方式、模拟测试工作方式。同步工作方式:两重系分别工作于主系和从系。模拟测试工作方式:两重系分别工作,相互隔离。1.4.3实现两个系联锁的同步系统采用软硬件结合完成二取二表决的容错机制和硬件完成双机热备的冗余机制来实现故障安全型计算机联锁系统。正常工作时,Ⅰ系、Ⅱ系的计算机全部处于工作状态,两系之间通过高速信息通道实时交换信息,实现两系同步工作。Ⅰ系、Ⅱ系联锁计算机(每系两台)输入相同的信息,执行同样的程序,完成同样的任务,每系的两台联锁计算机结果比较一致后,由其中一系作为最后的控制输出,另一系作为备用。当工作系其中一台计算机发生故障或者输出结果比较不一致时,自动切换到从另一系作为控制输出,且不影响系统的正常工作,故障系自动脱机。2.控制程序外在程序间相互独立软件冗余就是用几种不同的软件处理数据,对处理结果进行比较产生输出。在结构上可按“比较”的范围分2种,一种是把系统按功能划分成小段,各段之间进行比较,另一种是采用几个系统功能相同的软件相比较,如图8、9所示。这种软件冗余关键在各个软件的独立性,相互独立的程序,即使程序中可能存在故障,也可以通过表决将其屏蔽,如果程序间相互不独立,故障可能同时存在于各个程序,则无法提高系统的可靠性。由于采用了几种不同的相互独立的处理软件,因此防止了某种软件由于设计错误而产生的故障,还可以屏蔽硬件的某些故障,确保了系统安全。最常见的是采用2种不同的软件处理数据,同时结合硬件冗余共同提高系统的可靠性。例如,在二冗余系统中,主机和备机都采用2种软件,平时主机工作,此时2种软件同时对数据进行处理,对结果进行比较,如果