CN102945221A - 一种全电子安全计算机联锁系统 - Google Patents

Abstract

本发明公开了一种全电子安全计算机联锁系统，包括铁路专用安全计算机、联锁机、控显机和电子执行单元子系统，前者包括作为主机和备机的两台安全计算机，安全计算机包括CPU板和多个通信板；CPU板的第一、第二CPU模块之间的数据传递及同步通过双口RAM和中断操作完成，CPU板和同一系当中的通信板之间通过双口RAM和中断操作交换数据。系统运行期间，第一、第二CPU模块输出用于驱动总控继电器的控制信号，总控继电器的常开触点用于控制所有通信板的板载安全继电器的动作电源。通过本发明的工作方法，该铁路专用安全计算机可实现二乘二取二架构平台的功能安全性，并实现本系和双系的短周期任务级同步，可在故障情况下无缝切换。

Description

一种全电子安全计算机联锁系统

技术领域

本发明涉及通信技术领域，尤其涉及一种全电子安全计算机联锁系统的铁路专用安全计算机。

背景技术

近些年来，随着运输市场竞争的日趋激烈，各国铁路为实现提速、高速和重载运输，积极采用新技术，大幅度提高了通信信号设备的现代化水平，新技术不断涌现。基于软件周期同步或硬件时钟同步的，具有“三取二”或“二乘二取二”冗余结构形式的安全计算机，由于其高安全性和高可靠性在铁路信号控制领域得到了广泛的应用。图1是铁路信号控制系统的经典架构，安全计算机工作在联锁运算层，是信号控制系统的核心运算设备。

欧洲国家的信号控制设备遵循统一的技术标准，该标准采用基于风险管理的系统保障方法，通过定量和定性技术手段证明系统的安全性和可靠性，其三重冗余的信号控制系统在全球范围内受到了广泛认可和推广应用。日本的铁路信号控制系统由于其出众的抗灾性，也备受关注，我国正线铁路应用的绝大多数设备是从日本引进的二乘二取二冗余系统。但是，日本的铁路信号控制系统标准没有类似于欧洲铁路标准的严格理论根据，需要通过大量的试验、测试来证明系统的安全性。虽然欧洲和日本的信号系统执行的技术标准不一样，但是为了提高设备安全性，它们不约而同的采用了铁路专用安全计算机作为信号控制系统的核心运算设备。

安全是铁路运输永恒的主题，我国经济在近二十年中快速发展，铁路运输为了适应经济的发展速度，通过各种方式提高运量，不断提速，我国十一五和十二五规划都做了大量投入，但这期间也发生了多次安全事故，引起了全社会对铁路安全的反思。应用成熟的技术和安全机制，不断提高信号设备的安全性，特别是核心安全平台的安全性是经济建设和社会发展必然的需求。我国铁路虽然取得了长足的发展，但是面临缺乏核心技术，特别是安全平台核心技术的窘境。现在欧洲铁路标准和安全评估机制作为世界通用标准受到认可，这也是我国铁路发展核心技术的契机。

发明内容

本发明的目的在于解决我国铁路信号控制核心运算设备发展落后的现状，提供一种具有针对性设计的铁路专用安全计算机的全电子安全计算机联锁系统。

本发明采用的技术方案为：一种全电子安全计算机联锁系统，包括联锁机、控显机、铁路专用安全计算机和电子执行单元子系统，所述铁路专用安全计算机包括两台安全计算机，分别作为主机和备机，所述安全计算机包括CPU板，以及至少包括双系切换通信板、双系通信板、与电子执行单元子系统进行通信的电子单元通信板和与控显机进行通信的控显机通信板在内的多个通信板；

所述CPU板包括由不同电源模块供电的第一、第二CPU模块，第一、第二CPU模块间的数据传递及同步通过二者所在的双口RAM和内部中断操作完成，所述通信板包括第一、第二通信控制器，第一CPU模块所在的第一双口RAM和第二CPU模块所在的第二双口RAM，以及第一通信控制器所在的第一通信双口RAM和第二通信控制器所在的第二通信双口RAM均挂在背板总线上；

CPU板和通信板之间通过各自所在的双口RAM和板间中断操作交换数据，当CPU板向作为接收方的通信板输出一类数据时，第一CPU模块将所述一类数据通过背板总线直接写入作为接收方的通信板的第一、第二通信控制器所在的第一、第二通信双口RAM中，同时，第一CPU模块通知作为接收方的通信板的第一和第二通信控制器已发送所述一类数据；第二CPU模块将所述一类数据通过背板总线直接写入作为接收方的通信板的第一、第二通信控制器所在的第一、第二通信双口RAM中，同时，第二CPU模块通知作为接收方的通信板的第一和第二通信控制器已发送所述一类数据；

当一作为发送方的通信板的第一通信控制器收到二类数据后，直接将二类数据通过背板总线写入第一、第二CPU模块所在的第一第二双口RAM中，之后向第一、第二CPU模块触发数据到达的板间中断；当一作为发送方的通信板的第二通信控制器收到二类数据后，直接将二类数据通过背板总线写入第一、第二CPU模块所在的第一、第二双口RAM中，之后向第一、第二CPU模块触发数据到达的板间中断；

系统运行期间，第一、第二CPU模块输出用于驱动总控继电器的控制信号，使总控继电器在第一及/或第二CPU模块出现故障的情况下失电；所述总控继电器的常开触点用于控制所有通信板的板载安全继电器的动作电源，当CPU板正常时，总控继电器的常开触点通过背板总线输出驱动所有通信板的板载继电器得电的工作电压，当CPU板出现异常时，总控继电器的常开触点切断电源输出，使所有通信板的板载继电器失电，切断各通信板的输出；

主机和备机分别通过各自的双系切换通信板接收联锁机下发的主备切换信息，以实现主机与备机间的切换；

主机和备机通过各自的双系通信板实现二者之间的同步通信，以在接收到主备切换信息时实现故障情况下的无缝切换，主机和备机的双系通信板之间采用双冗余的逻辑或通信方式；

主机和备机的电子单元通信板与电子执行单元子系统之间采用双冗余的逻辑或通信方式；

主机和备机的控显机通信板与控显机之间采用双冗余的逻辑或通信方式。

本发明的有益效果为：

1.实现了二乘二取二架构平台的功能安全性，具体为：

二乘二取二系统架构经理论计算具备很高的安全性和可靠性；该架构由两台二取二安全计算机构成热备关系，实现故障情况下的主备切换，另外，安全计算机实现了单机内双CPU和双机之间的安全同步运行，具备故障-安全功能，做到了安全平台自身功能的安全。

2.实现了本系和双系的短周期任务级同步，可在故障情况下无缝切换，具体为：

单机中双CPU做到短周期任务级同步运行，双系之间四个CPU做到了周期任务同步，主机和备机保持同周期同步运行，可实现故障情况下的无缝切换。

附图说明

图1示出了铁路信号控制系统的经典架构；

图2为根据本发明的铁路专用安全计算机的一种实施构架；

图3为图1中CPU板的结构示意图；

图4为图1中通信板的结构示意图。

具体实施方式

本发明的全电子安全计算机联锁系统包括联锁机、控显机、如图2所示的铁路专用安全计算机和电子执行单元子系统。本发明涉及的铁路专用安全计算机包括两台安全计算机，分别作为主机和备机，二者为热备关系，该安全计算机包括CPU板和至少包括双系切换通信板、双系通信板、电子单元通信板和控显机通信板在内的多个通信板，另外，该安全计算机还可包括至少一个扩展通信板，用于实现两台安全计算机与外系统间的通信，在本实施例中，该安全计算机包括三个扩展通信板，分别为第一、第二和第三扩展通信板，三者通过外系统通信网络与外系统进行通信。

如图3所示，CPU板包括第一第二CPU模块A、B，第一、第二CPU模块间的数据传递及同步通过二者所在的双口RAM（即第一第二CPU模块均可以对其进行随机性访问的SRAM存储器）和内部中断操作完成。该CPU板包括由不同电源模块供电的第一、第二CPU模块，以避免共模故障。如图4所示，该通信板包括第一、第二通信控制器2A、2B，第一CPU模块A所在的第一双口RAM1和第二CPU模块B所在的第二双口RAM2，以及第一通信控制器2A所在的第一通信双口RAM3和第二通信控制器2B所在的第二通信双口RAM4均挂在背板总线上，即CPU板与通信板之间通过双口RAM和中断操作，经由背板总线进行数据交换。

在以上平台的基础上，本发明的铁路专用安全计算机的工作方法为：

CPU板和通信板之间通过各自所在的双口RAM和板间中断操作交换数据，当CPU板向作为接收方的通信板输出一类数据时，第一CPU模块A将所述一类数据通过背板总线直接写入作为接收方的通信板的第一、第二通信控制器2A、2B所在的第一、第二通信双口RAM3、4中，同时，第一CPU模块A通知作为接收方的通信板的第一和第二通信控制器2A、2B已发送所述一类数据；第二CPU模块B将所述一类数据通过背板总线直接写入作为接收方的通信板的第一、第二通信控制器2A、2B所在的第一、第二通信双口RAM3、4中，同时，第二CPU模块B通知作为接收方的通信板的第一和第二通信控制器2A、2B已发送所述一类数据。这样，第一、第二通信双口RAM在每个联锁周期都会存储同一系CPU板的第一、第二CPU模块的双份输出数据。

当一作为发送方的通信板的第一通信控制器2A收到二类数据后，直接将二类数据通过背板总线写入第一、第二CPU模块A、B所在的第一、第二双口RAM1、2中，之后向第一、第二CPU模块A、B触发数据到达的板间中断；当一作为发送方的通信板的第二通信控制器2B收到二类数据后，直接将二类数据通过背板总线写入第一、第二CPU模块A、B所在的第一、第二双口RAM1、2中，之后向第一、第二CPU模块A、B触发数据到达的板间中断。以上一类数据和二类数据分别代表CPU板向通信板和通信板向CPU板发送的数据。这样，当第一、第二通信控制器收到二类数据（外部数据）后，也会将二类数据写入CPU板所在的第一、第二双口RAM中。

如图3所示，系统运行期间，第一、第二CPU模块A、B分别输出用于驱动总控继电器的控制信号，使总控继电器在第一及/或第二CPU模块出现故障的情况下失电，即二者输出的控制信号可采用“逻辑与”的结构控制总控继电器（具体为总控继电器的线圈）；该总控继电器的常开触点用于控制所有通信板的板载安全继电器的动作电源，当CPU板正常（即第一、第二CPU模块均正常）时，总控继电器的常开触点通过背板总线输出驱动所有通信板的板载继电器得电的工作电压，当CPU板出现异常（即第一、第二CPU模块中只要有一个出现异常）时，总控继电器的常开触点切断电源输出，使所有通信板的板载继电器失电，切断各通信板的输出，在此，通过板载继电器的常开触点控制第一通信控制器2A对外部设备的通讯网A，及第二通信控制器2B对外部设备的通讯网B的通断来实现。另外，第一通信控制器可对板载继电器的用于控制通讯网A的通断的常开触点进行闭环检测，第二通信控制器可对板载继电器的用于控制通讯网B的通断的常开触点进行闭环检测，以实时调整通信工作状态。

在本实施例中，第一第二通信控制器由独立的隔离电源供电。

主机和备机分别通过各自的双系切换通信板接收联锁机下发的主备切换信息，以实现主机与备机间的切换。在本实施例中，如图2所示，两台二取二安全计算机之间的切换由双系切换及状态显示模块实现，该双系切换及状态显示模块和联锁机之间通过RS232/422总线连接，通信总线为双冗余设置，并采用逻辑或的通信模式，双系切换及状态显示模块将主备切换信息发送到两台二取二安全计算机的双系切换通信板，同时两台二取二安全计算机的双系切换通信板将软件切换信息发送到该模块更新热备工作状态显示（即双系切换通信板的上述通讯网A和B为RS232/422总线）。

主机和备机通过各自的双系通信板利用光纤（即双系通信板的上述通讯网A和B为光纤）实现二者之间的同步通信，以在接收到主备切换信息时实现故障情况下的无缝切换，主机和备机的双系通信板之间采用双冗余的逻辑或通信方式；主机和备机的电子单元通信板与全电子安全计算机联锁系统的电子执行单元子系统之间通过光纤或CAN总线（即电子单元通信板的上述通讯网A和B为光纤或CAN总线）实现双冗余的逻辑或通信方式。主机和备机的控显机通信板与控显机之间通过以太网（即控显机通信板的上述通讯网A和B为以太网）实现双冗余的逻辑或通信方式。

以上提及的电子执行单元子系统包括的各电子执行单元为专利号是ZL201010234491.8、ZL201010234463.6、ZL201010234575.1和ZL201010234447.7的发明专利，以及专利号为ZL201020268482.6、ZL201020268497.2、ZL201020268485.X的实用新型专利申请中记载的道岔、信号、轨道执行单元，以及零散执行单元等，其中的道岔执行单元负责控制转辙机带动道岔进行定操和反操定位；信号执行单元用于控制调车信号机、进出站信号机显示，即控制各类信号灯的显示；轨道执行单元是最底层的轨道状态采集单元，主要用于从轨道电路受电端采集轨道电路的状态信息和轨面上的电压值；零散执行单元负责其余部分，如64D半自动电路、照查电路和场间联系电路的控制。联锁机借助本发明的安全计算机平台将控制命令下达给各执行单元，执行单元通过控制电路控制终端设备执行相应的动作，执行单元同时将表示电路采集到的状态信息借助本发明的安全计算机平台上传给联锁机。

本发明的安全计算机的主机和备机均可设计一冗余电源模块，二者除可通过联锁机电源供电外，还可分别通过该冗余电源模块供电。

以上所述仅为本发明较佳的实施方式，并非用来限定本发明的实施范围，但凡在本发明的保护范围内所做的等效变化及修饰，皆应认为落入了本发明的保护范围内。

Claims (2)

1.一种全电子安全计算机联锁系统，其特征在于：包括联锁机、控显机、铁路专用安全计算机和电子执行单元子系统，所述铁路专用安全计算机包括两台安全计算机，分别作为主机和备机，所述安全计算机包括CPU板，以及至少包括双系切换通信板、双系通信板、与电子执行单元子系统进行通信的电子单元通信板和与控显机进行通信的控显机通信板在内的多个通信板；

所述CPU板包括由不同电源模块供电的第一、第二CPU模块，第一第二CPU模块间的数据传递及同步通过二者所在的双口RAM和内部中断操作完成，所述通信板包括第一、第二通信控制器，第一CPU模块所在的第一双口RAM和第二CPU模块所在的第二双口RAM，以及第一通信控制器所在的第一通信双口RAM和第二通信控制器所在的第二通信双口RAM均挂在背板总线上；

CPU板和通信板之间通过各自所在的双口RAM和板间中断操作交换数据，当CPU板向作为接收方的通信板输出一类数据时，第一CPU模块将所述一类数据通过背板总线直接写入作为接收方的通信板的第一、第二通信控制器所在的第一、第二通信双口RAM中，同时，第一CPU模块通知作为接收方的通信板的第一和第二通信控制器已发送所述一类数据；第二CPU模块将所述一类数据通过背板总线直接写入作为接收方的通信板的第一、第二通信控制器所在的第一、第二通信双口RAM中，同时，第二CPU模块通知作为接收方的通信板的第一和第二通信控制器已发送所述一类数据；

当一作为发送方的通信板的第一通信控制器收到二类数据后，直接将二类数据通过背板总线写入第一、第二CPU模块所在的第一、第二双口RAM中，之后向第一、第二CPU模块触发数据到达的板间中断；当一作为发送方的通信板的第二通信控制器收到二类数据后，直接将二类数据通过背板总线写入第一、第二CPU模块所在的第一、第二双口RAM中，之后向第一、第二CPU模块触发数据到达的板间中断；

系统运行期间，第一、第二CPU模块输出用于驱动总控继电器的控制信号，使总控继电器在第一及/或第二CPU模块出现故障的情况下失电；所述总控继电器的常开触点用于控制所有通信板的板载安全继电器的动作电源，当CPU板正常时，总控继电器的常开触点通过背板总线输出驱动所有通信板的板载继电器得电的工作电压，当CPU板出现异常时，总控继电器的常开触点切断电源输出，使所有通信板的板载继电器失电，切断各通信板的输出；

主机和备机分别通过各自的双系切换通信板接收联锁机下发的主备切换信息，以实现主机与备机间的切换；

主机和备机通过各自的双系通信板实现二者之间的同步通信，以在接收到主备切换信息时实现故障情况下的无缝切换，主机和备机的双系通信板之间采用双冗余的逻辑或通信方式；

主机和备机的电子单元通信板与电子执行单元子系统之间采用双冗余的逻辑或通信方式；

主机和备机的控显机通信板与控显机之间采用双冗余的逻辑或通信方式。

2.根据权利要求1所述的全电子安全计算机联锁系统，其特征在于：所述电子执行单元子系统包括道岔、信号、轨道执行单元，以及零散执行单元。

Images