CN105824273A - 列车运行控制系统中的地面目标控制器 - Google Patents

Abstract

本发明实施例提供了一种列车运行控制系统中的地面目标控制器。该控制器包括双套热备的地面目标控制单元，每套地面目标控制单元包括：主控制电路、信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路；主控制电路包括异构的MCU电路和FPGA电路，MCU电路和FPGA电路发出一致的信号灯控制命令和道岔控制命令后，将经过二取二表决的最终信号灯控制命令传输给信号灯控制回路，将经过二取二表决的最终道岔控制命令传输给道岔控制回路。本发明实施例通过在地面目标控制单元的主控制电路选择异构二取二安全架构，能够保证道岔或者信号机不会错误操作，满足故障‑安全原则，避免了故障的积累，提高了系统的安全性，可以满足极端苛刻安全要求。

Description

列车运行控制系统中的地面目标控制器

技术领域

本发明涉及轨道交通控制技术领域，尤其涉及一种列车运行控制系统中的地面目标控制器。

背景技术

近年来，随着技术的进步和经济的发展，轨道交通得以迅速发展。列车运行控制(以下简称列控)系统，作为轨道交通的安全保障基础，为铁路的客运高速化和货运重载化和城轨高密度化、低间隔化提供了坚实的技术保障。

轨道交通列控车载系统实时监督列车运行速度，并根据列车运行限制条件，自动控制列车制动系统，从而实现列车超速防护，保障列车行车安全、提高列车运行效率。

申请号为201310603679.9的专利《一种简化轨道交通列车运行控制系统的方法》基于分布式处理原则和铁路信号技术、计算机技术以及电力电子技术的不断发展，提出来一种分布式的地面安全计算机的配置方案，将列控系统的地面设备分为核心主机部分和远程外设部分。远程外设部分作为地面目标控制器控制道岔和信号机，设置于轨旁，尽量靠近现场的被控对象—道岔和信号机，确保地面目标控制器和道岔、信号机之间的硬连线尽可能缩短，以达到减少布线成本，降低各种电磁干扰的引入，减少故障点，提高设备运用可靠性之目的。

目前，在铁路信号控制领域，计算机联锁已逐渐普及，但其与室外设备接口部分仍主要基于有机械触点的电磁式重力安全型继电器的继电逻辑电路实现，来控制室外道岔、信号机等设备。同时，轨旁是典型的振动环境，电磁式重力安全型继电器由于结构限制不能用于轨旁设备。因此，从计算机技术、电力电子技术、嵌入式系统开发和安全系统设计的发展现状出发，以微处理器或可编程逻辑器件为基础，基于嵌入式软硬件开发技术和安全系统设计技术实现地面目标控制器非常有必要。

近年来，随着微电子技术、控制技术、信息技术、通信和网络技术的不断发展，以及电子设备的可靠性、安全性和容错技术的提高，出现了与地面目标控制器功能类似的全电子执行单元。全电子执行单元一般按转辙机、信号机等不同的控制和采集对象，通过划分成不同功能模块的形式来设计与实现。综观与全电子执行单元相关的研究成果，可以发现现有的全电子执行单元存在以下不足之处：

(1)目前的全电子执行单元从基于非对称故障模式的电磁式重力安全型继电器为基础的继电逻辑电路，转向对称模式的以微处理器或可编程逻辑器件为基础、基于嵌入式软硬件开发技术设计实现的控制电路，但并未证明其控制逻辑的安全性；

(2)目前的全电子执行单元主控回路开关普遍选择SSR(Solid State Relay,固态继电器)和小触点容量安全继电器，尽管SSR是无触点开关，但其属于不能完全关死的功率器件，即使处于关断状态也会有微弱的漏泄电流的存在，而目前无论是转辙机还是信号机，均属于较高电压较大电流类型被控对象。当SSR与小型安全继电器配合使用时，即使处于关断状态，从电压和电流角度看，仍有超过小触点容量安全继电器使用极限参数的问题；

(3)目前的全电子执行单元仍沿用传统继电联锁所使用的防混连电路，例如双断法、位置法、电源隔离法等，而在目前的使用SSR和小型安全继电器所实现的全电子执行单元中，由于改变了传统的继电逻辑—硬配线的电路构成方式，存在混线而导致危险的可能。

(4)在道岔启动的技术条件中，要求“在道岔启动电路已经动作之后，如果车随后进入该道岔区段，则应保证转辙机能够继续转换到底，不能停转”。在信号机控制的技术条件中要求“信号灯的允许灯光—黄灯或绿灯因故障熄灭时，应该自动改点禁止灯光—红灯”。而目前的全电子执行单元普遍基于2取2安全架构，一旦出现故障会导向安全侧而断开输出，这样就不能满足上述特殊的技术要求而会出现导致影响行车安全的设备故障。

(5)全电子执行单元的控制对象为直接影响行车安全的转辙机和信号机，既有的全电子执行单元普遍基于同构方式实现其安全架构，而相关的最新版本安全标准要求基于差异性异构设计原则实现安全控制系统以达到最高的安全完整性等级。

发明内容

本发明的实施例提供了一种列车运行控制系统中的地面目标控制器，以解决既有的全电子执行单元存在的上述问题。

为了实现上述目的，本发明采取了如下技术方案。

一种列车运行控制系统中的地面目标控制器，包括双套热备的地面目标控制单元，每套所述的地面目标控制单元又包括：主控制电路、信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路；

所述的主控制电路，用于连接所述信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路，包括异构的MCU电路和FPGA电路，所述MCU电路和FPGA电路组成二取二架构，分别根据所述信号灯状态监测电路传输过来的信号灯状态信息、所述道岔状态监测电路传输过来的道岔状态信息，以及外部输入的列控目标控制命令，执行道岔控制电路和信号机点灯电路的控制逻辑，而发出信号灯控制命令和道岔控制命令；当所述MCU电路和FPGA电路发出一致的信号灯控制命令和道岔控制命令后，则将经过二取二表决的最终信号灯控制命令传输给信号灯控制回路，将经过二取二表决的最终道岔控制命令传输给道岔控制回路；

所述的双套热备主控制电路通过通信总线交互双系热备控制逻辑所需要的数据信息，同时通过通信总线获得外部输入的列控目标控制命令；

信号灯控制回路，用于根据所述主控制电路传输过来的信号灯控制命令对列车轨道的信号灯进行控制操作；

道岔控制回路，用于根据所述主控制电路传输过来的道岔控制命令对列车轨道的道岔进行控制操作；

信号灯状态监测电路，用于监测信号灯状态信息，将信号灯状态信息传输给主控制电路；

道岔状态监测电路，用于监测道岔状态信息，将道岔状态信息传输给主控制电路。

进一步地，根据道岔控制电路和信号机点灯电路的工作原理，分析道岔控制电路和信号机点灯电路的控制逻辑，并提取出道岔控制电路和信号机点灯电路的控制逻辑伪代码，利用形式化工具建立所述控制逻辑伪代码的模型，根据所述模型来验证所述道岔控制电路和信号机点灯电路的控制逻辑的安全性。

进一步地，基于道岔控制电路和信号机点灯电路的控制逻辑伪代码的模型来设计所述MCU电路和FPGA电路的软件控制程序。

进一步地，所述信号灯控制回路的开关电路、所述道岔控制回路的开关电路都采用固态继电器、接触器或功率继电器、安全继电器三种异构控制器件串联实现，所述固态继电器用来实现接触器或功率继电器、安全继电器的空载切换。

进一步地，根据负载类型选择直流或交流固态继电器，信号机点灯电路和五线制交流 转辙机动作电路选择SCR型交流固态继电器，四线制直流转辙机时则选用直流型固态继电器；根据负载类型选择接触器或功率继电器，交流负载选交流接触器或功率继电器或功率交流继电器，直流负载选择直流接触器或功率继电器或功率直流继电器；均选用大触点容量安全继电器作为切换元件，用来实现道岔的定/反位转换或信号机所控8个灯位的分组控制和不同灯位的切换。

进一步地，所述信号灯控制回路中的每个信号灯位的控制主回路均采用三个开关，去线上采用固态继电器和安全继电器两种开关进行控制，回线上采用接触器或功率继电器式开关，使得每个信号灯位的控制都构成一个双断的结构；

当需要进行信号灯位的点亮操作时，先控制安全继电器、接触器或功率继电器进行接点切换，等相应接点闭合到位之后，再控制固态继电器开关使所述信号灯位处于导通状态，接通点灯电源，点亮所述信号灯位。

进一步地，所述的主控制电路通过隔离电路向所述道岔控制回路发送道岔控制命令，所述道岔控制回路的开关电路中的电源开关采用固态继电器、接触器或功率继电器来实现，所述道岔控制回路的开关电路中的换相开关采用安全继电器来实现，所述电源开关和所述换相开关之间相互配合来完成电源的输出。

进一步地，所述的地面目标控制器还包括检测电路，该检测电路包括防混线检测电路；

所述的防混线检测电路，从所述安全继电器的常闭接点引入，所述防混线检测电路基于LC振荡原理，首先电源向所述防混线检测电路的电容充电，然后所述电容向道岔电机和信号机变压器绕组进行放电，当所述电容两端的波形为振荡波形，则判断地面目标控制器与道岔或信号机之间的电缆不存在混线故障；当所述电容两端的波形不为振荡波形，则判断所述地面目标控制器与道岔或信号机之间的电缆存在混线故障，并将所述地面目标控制器与道岔或信号机之间的电缆存在的混线故障检测结果发送主控制电路。

进一步地，所述的检测电路还包括；

电源开关状态电压检测电路，用于对所述信号灯控制回路和道岔控制回路中的构成电源开关的固态继电器与接触器或功率继电器进行电压监测，将检测结果发送主控制电路；

安全继电器状态检测电路，用于对道岔控制电流以及信号机点灯电路的安全继电器的复式接点进行检测，以判断安全继电器是否可控，并将检测结果发送主控制电路；

电流检测电路，用于对道岔控制电流以及信号机点灯电路电流进行检测，将检测结果发送主控制电路。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例通过根据道岔控制电路和信号机点灯电路的工作原理，利用形式化工具对道岔控制电路和信号机点灯电路的控制逻辑进行形式化建模，可以验证道岔控制电路和信号机点灯电路的控制逻辑的安全性，为后续的软硬件设计提供更加坚定的依据和基础。

本发明实施例通过在主控制电路选择异构二乘(热备)二取二的安全架构，能够保证道岔或者信号机不会错误操作，满足故障-安全原则，避免了故障的积累，提高了系统的安全性，可以满足极端苛刻安全要求。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领 域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种四线制道岔控制电路原理图；

图2为本发明实施例提供的一种进站信号机的点灯电路示意图；

图3为本发明实施例提供的一种列车运行控制系统中的地面目标控制器结构示意图；

图4为本发明实施例提供的一种信号机控制回路的示意图；

图5为本发明实施例提供的一种五线制道岔控制回路原理示意图；

图6为本发明实施例提供的一种四线制道岔控制回路原理示意图；

图7为本发明实施例提供的一种五线制道岔的道岔状态监测电路的示意图图；

图8为本发明实施例提供的一种检测电路示意图；

图9为本发明实施例提供的四线制道岔的道岔状态监测电路示意图；

图10为本发明实施例提供的一种电源开关的状态检测电路示意图；

图11为本发明实施例提供的一种安全继电器的检测电路示意图；

图12为本发明实施例提供的一种线性电流传感器ACS712的功能原理示意图；

图13为本发明实施例提供的一种防混线检测电路的原理示意图；

图14为本发明实施例提供的一种LC振荡波形示意图；

图15为本发明实施例提供的一种调度子模块软件流程图图；

图16为本发明实施例提供的一种信号机控制子模块软件流程图；

图17为本发明实施例提供的一种信号机点灯状态检测软件流程图；

图18为本发明实施例提供的一种定位操作软件流程图；

图19为本发明实施例提供的一种道岔表示检测子模块的软件流程图；

图20为本发明实施例提供的一种进站信号机的图形符号示意图；

图21为本发明实施例提供的一种调车信号机的图形符号示意图；

图22为本发明实施例提供的一种四显示出站兼调车信号机四显示出站兼调车信号机；

图23为本发明实施例提供的一种指定的图形符号示意图。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

本发明实施例解决既有的全电子执行单元存在的上述问题，实现满足极端苛刻安全要求的列控系统地面目标控制器。

本发明实施例的方案如下：

1.1控制逻辑提取、形式化建模与验证

(1)道岔控制电路逻辑分析

目前车站道岔控制多采用成熟的6502电气集中电路中的道岔控制电路，其必须符合如下技术条件：

(1)道岔区段有车时，道岔不应该转换；

(2)当进路在锁闭状态时，进路上的道岔不应再转换；

(3)在道岔启动电路已经动作之后，如果车随后进入该道岔区段，则应保证转辙机能够继续转换到底，不受(1)的限制而停转；

(4)道岔启动电路接通后，如果因为转辙机内部的电动机或自动开闭器等设备故障或接触不良使得道岔无法动作，则应该自动切断道岔启动电路，从而防止其他外界原因使得故障自动恢复后使得道岔再次动作，可能在车进入道岔所在区段时造成道岔中途转换事故；

(5)道岔转换过程中，若由于外界阻力导致基本轨与尖轨之间无法密贴，道岔无法转换到位时，应该能够使道岔转换回原位；

(6)道岔转换完毕密贴后，应能自动切断电动机电路；

(7)道岔在转换过程中，或者在发生挤岔、停电、断线等故障时应该没有状态表示；

(8)外线发生混线或者混入其他电源时，道岔应该没有表示。

最常见的道岔控制电路为四线制道岔控制电路和五线制道岔控制电路，两者在控制逻辑上有类似之处，此处选取四线制道岔控制电路为例进行分析，提取相应的数字逻辑。

图1为本发明实施例提供的一种四线制道岔控制电路原理图。分析图1所示的四线制道岔控制电路发现，该电路分为启动电路和表示电路两部分，共包含有8个继电器，分别为CAJ、SJ、1DQJ、2DQJ、DCJ、FCJ、DBJ和FBJ。其中用1DQJ和2DQJ完成道岔的启动和转换，用1DQJ来检查联锁条件，2DQJ控制转换方向，校核道岔的位置；用DBJ和FBJ来反映道岔的位置。

假设道岔原在定位，即已知1DQJ在落下状态，2DQJ的极性定位接点(141-142)闭合，若办理进路时需要使道岔由定位向反位转换，即FCJ处在吸起状态，则需要经过三级电路控制。首先是第一道岔启动继电器1DQJ的接通，随后接通第二道岔启动继电器2DQJ的转极电路，第三级为电机的供电电路。由于1DQJ的吸起和2DQJ的转极，连通1DQJ的1-2线圈自保电路向室外电机送电，使得转辙机的直流电动机转动，将道岔由定位转到反位，所以道岔启动电路最终的输出量即为直流电机的状态。同理，分析道岔的表示电路，DBJ和FBJ的最终状态为输出量，相关的控制继电器作为逻辑提取时的输入量，这样分析比较简单和直观。

1DQJ的1-2线圈是通过它的前接点接通电机电路的，该线圈与电机串联，在电机正常工作时，1DQJ能随着道岔的转换而保持在励磁吸起状态。如果电机因故障不通，则1DQJ的自保电路也不会接通，取消了道岔再有转换的可能。

在对四线制道岔控制电路进行逻辑提取时，假设所有线路接通为1，断开为0。所有继电器吸起为状态“1”，失磁落下为状态“0”，则要求当道岔处于定位时，2DQJ＝1，DBJ＝1，FBJ＝0；当道岔处于反位时，2DQJ＝0，DBJ＝0，FBJ＝1。根据1DQJ和2DQJ的主要功能 作用，设置1DQJ在电机转动时为1，电机停转时为0.而将负责转极的2DQJ化简省去，直接去监测道岔转辙机的自动开闭器接点来判断道岔现处于的状态。

根据上述对于传统四线制道岔控制电路控制原理的分析，可以提取地面目标控制器道岔模块的控制逻辑，即在地面目标控制器道岔模块开始运作时，首先获得道岔转辙机的表示，只有当定位表示(DB)(DB为定表的汉语拼音首字母，下同)和反位表示(FB)()相悖时才将道岔状态反馈给联锁计算机，否则根据电动机监测电流来判断道岔是否在动作过程中，如果道岔未动作则接通挤岔报警电路。

然后判断道岔是否在锁闭状态，同时检测是否有混线故障等，判断报警电路是否输出报警信号，只有在道岔未锁闭、没有报警信号输出的情况下才接收命令数据。

当接收到的命令是单操信号(CA)或者是进路反操命令(FC)时，接通道岔启动电路电源。

在接通道岔启动电源时要注意为了保证道岔在四开状态下可以恢复为原位，要另外设置道岔在报警系统有输出，并且有车站值班员办理单操动作信号的时候，道岔启动电源也可以接通，此时定位的控制和表示线X2接通。

在道岔电动机工作过程中，此时DB和FB都没有显示，为了能让道岔继续工作，加入CA或者FC有命令动作使得道岔转动命令继续。

再次检测接收到的命令有单操的信号命令或者是进路反操命令时，控制专用回线X4接通。

只有当X2接通，X4也接通，道岔未锁闭的时候，道岔转辙机电路电源才接通，也就是原本道岔控制继电器接口电路的1DQJ接通，1DQJ＝1。

转辙机工作电流供电时候，同时监测转辙机电路，一旦电流过流或者电流时间超过设定的30秒，则报警电路输出报警信号，一旦有报警信号输出，转辙机工作电源关闭，也就是让1DQJ＝0。

当转辙机定位工作电源有电，报警电路未报警，那么说明此时道岔正在从定位向反位转动。当检测到道岔转辙机自动开闭器接点没有定位表示而有反位表示时，则切断转辙机工作电源，否则给出挤岔报警表示。当转辙机工作电源关闭时，再一次监测自动开闭器接点定位和反位表示，最后监测无误时才反馈给联锁计算机道岔的表示位置。

根据上述对四线制道岔控制电路的逻辑分析，可以提取出目标控制器四线制道岔控制电路的逻辑伪代码。

道岔在正常状态下从定位向反位转换，其启动部分的逻辑伪代码如下所示：

(2)信号机点灯电路逻辑分析

常见的信号机点灯电路有进站信号机点灯电路、出站信号机点灯电路和调车信号机点 灯电路，其必须符合如下技术条件：

(1)信号灯的允许灯光—黄灯或绿灯因故障熄灭时，应该自动改点禁止灯光—红灯；

(2)开放信号时，应该首先检查红灯灯丝完整性，即红灯确实在亮灯状态。在红灯灯丝断丝时，不允许再开放允许灯光；

(3)不允许信号机给出乱显示，凡超出规定的信号显示，都属于乱显示。

信号机点灯电路中的进站信号机点灯电路相对最为复杂，所以这里以进站信号机点灯电路为例，分析信号机点灯电路的逻辑。图2为进站信号机的点灯电路，根据信号继电器及辅助继电器的不同条件，信号点灯电路会形成不同的信号显示控制。

由进站信号机的点灯电路可以看出，进站信号机包含5个灯位，分别为：黄、绿、红、黄、白，可以组成6种显示：绿、黄、红、黄黄、红白、绿黄。用有两种状态的继电器，控制六种信号显示，需要五个继电器。每个信号灯的灯泡都串接有DJ(灯丝继电器)，用来监督灯泡的完整性。点灯电路采用集中供电制，即由信号楼继电器室供给220V交流点灯电源。其中允许信号灯有：U、L、2U，禁止灯为：H，除此之外，YB和H等同时点亮作为引导信号使用。

因为信号点灯电路有室外联系线路，所以在进行设计时，既考虑了断线保护，又考虑了混线保护。信号点灯电路发生断线故障，信号机就要灭灯。允许灯光灭灯则必须使信号显示降级，如黄灯或绿灯灭灯时，要自动改点禁止灯光红灯。禁止灯光红灯灭灯时，不允许信号机再开放其他信号灯光。所以在目标控制器信号点灯模块设计时，要采用电流监测的方式，在每个灯泡的控制电路上都设有电流监测电路，用来取代灯丝继电器，监测灯泡的完整性。

如果点灯电路发生混线故障，将点亮平时不应该点亮的灯位。因此在执行点灯命令之前，要首先检查是否存在混线故障，只有当没有混线故障错误输出时，才能进而监测目前所点亮的灯位是否处于正常状态。

与道岔控制电路分析方法类似，将每个灯泡的显示作为被控量，灯泡被点亮，设置为状态“1”，反之为状态“0”；电路中的各信号继电器条件作为输入量，继电器吸起即为状态“1”，失磁落下为状态“0”，在目标控制器中，上述信号继电器的吸起简化为目标控制器所执行的点灯命令开关，采用相应的电子开关来控制相应需要点亮的灯光。

以进站信号机点绿灯为例进行说明其点灯电路的控制逻辑，在执行点绿灯命令之前，首先要获得红灯的点灯状态HD以及红灯灯丝的完整，通过监测红灯点灯开关以及红灯回路点灯电流进行判断，只有红灯处于正常点亮情况下才能执行点绿灯的命令，否则不允许驱动绿灯点灯开关。

然后进行混线检测，判断是否是因为混线故障而点亮的红灯，只有当不存在混线故障时，才能接收命令数据LDM。若存在混线故障，不允许执行点灯命令。

当红灯处于正常点亮状态且不存在混线故障，且目标控制器本身自检无故障时，才首先关闭红灯驱动开关HXJ，断开红灯点灯回路，然后闭合绿灯点灯驱动开关LXJ，接通绿灯点灯回路去线和回线的点灯电源，点亮绿灯。

点灯结束之后，通过监测绿灯LD点灯回路的控制开关和点灯电流，判断绿灯是否正常点亮，监测无误反馈相应的信息给上层联锁机，参与下次联锁逻辑运算，否则给出点灯电路故障报警信息。

同理，在监测目前点亮的绿灯过程中，发现其点灯开关或点灯电流处于不正常状态，判断绿灯处于灭灯状态，则目标控制器应立即给出报警信息，并控制红灯的点灯开关，使其接通红灯点灯回路电源，并确认点亮禁止灯光红灯，从而使灯光降级显示，避免危险的发生。

根据上述对进站信号机点灯控制逻辑的分析，提取出目标控制器点灯逻辑伪代码。

信号机在正常状态下，开放绿灯信号，其点灯控制部分逻辑伪代码如下所示：

(3)四线制道岔控制模块Event-B建模与验证

四线制道岔控制模块的具体规则描述如下述表1所示。其中控制模块的功能描述采用FUN关键字，设备描述采用ENV关键字，安全特性描述用SAF关键字。建模时，SAF描述的内容可以作为事件发生的卫条件。

表1道岔控制模块的具体规则描述

采用Event-B对其进行建模和验证，主要分为以下步骤：

第一步：建立基本场景和抽象机

point为控制对象道岔，PointPosition为道岔位置集合，pointMove对应道岔转换事件，主要常量Pnormal、Preverse、Ptrailed分别描述道岔的定位、反位、四开状态；变量switch_n和switch_r分别描述道岔向定位、反位转换，swFail_n和swFail_r分别描述向定位、反位转换失败，switch_n和switch_r由道岔控制命令触发，若转换失败，则进入报错状态err，其他变量、常量定义类似。

第二步：将抽取的各个规则非形式化描述转换成Event-B语言描述，即将道岔位置变化的各种控制条件都用卫条件的方式表达出来，加入到各抽象机的事件中。例如道岔的三种位置都属于道岔位置集合，采用在场景中添加公理的方式：

axm1:partition(PointPosition,{Pnormal},{Preverse},{Ptrailed})

道岔不能同时既向定位转换又向反位转换，采用在抽象机中添加不变式：

inv1:(switch_n＝TRUE∧switch_r＝TRUE)

道岔在转换过程中若发生挤岔等故障导致转换失败，则给出四开状态，即：

WHERE

grd1:swFail_r＝TRUE∨swFail_n＝TRUE

THEN

action1:err:＝TRUE

类似可以书写其他控制或功能条件。

第三步，模型构建好之后，采用Event-B Rodin平台自带的Proof Obligation验证模块对模型的逻辑正确性进行验证，对于不能自动验证的，通过手动加入变量的方式完成交互证明。交互证明成功率应为100％。

(4)进站信号机点灯控制模块Event-B建模与验证

进站信号机点灯控制模块的具体规则描述如表2。其中关键字定义与四线制道岔控制模块定义相同。建模时，SAF描述的内容可以作为事件发生的卫条件。

表2进站信号点灯控制模块具体规则描述

采用Event-B方法对信号机控制模块进行建模时，将信号点灯控制分成信号点灯和信号保持两个过程，信号点灯是接收到点灯命令的标志，信号保持则是不断检查开放信号的各个条件，包括灯丝完整性、点灯电流正常等，条件满足则保持信号的点灯状态，否则信号关闭。根据前文对于信号点灯控制逻辑的分析，建立信号点灯控制的Event-B抽象机模型，并加入信号点灯、信号保持和信号关闭等相关事件，并在其中加入信号的状态及其变化，包含加入的各种控制条件。引入新事件和新变量则以模型精化的方式进行。

为了简化模型，建立信号控制相关事件对应的状态机sm_signalControl时，设置的信号状态变量signalState只设置了red和green两个值，分别表示信号的关闭和开放状态。用signalOpen、signalHold、signalShunt分别表示信号点灯事件、信号保持事件和信号关闭事件；用变量redsig和grnsig分别表示红灯和绿灯的点灯控制开关状态，red_normal和grn_normal分别表示红灯和绿灯监测正常。根据前文关于信号开放，也就是点亮绿灯的分析，可知需要首先要监测红灯是否处于正常点亮状态，然后才能控制开关使绿灯顺利点亮，该事件在状态机中的描述如下：

EVENTS

signalOpen

WHERE

grd1:openSignal＝TRUE

grd2:redsig＝TRUE

grd3:grnsig＝FALSE

THEN

act1:redsig:＝FALSE

act2:grnsig:＝FALSE

END

类似可以书写其他控制事件或条件，建立的信号控制状态机图形表示和Event-B语言描述如图4所示。

模型建立好之后，同样采用Event-B Rodin平台自带的Proof Obligation验证工具对模 型的逻辑正确性进行验证，对于不能自动验证的，通过手动加入变量的方式完成交互证明，交互证明成功率应为100％。

通过分析所构建的两个状态机的证明结果发现，在模型精化阶段，相应的事件和变量会相对增多，需要证明的义务就会相应增加，有些机器无法自动验证的义务，若手工验证还存在一些问题，则问题的原因可能在于规范本身的问题或在建模过程中出现的逻辑不一致，则需要对规范本身或模型进行修改，从而保证规范的逻辑正确性和一致性。对目标控制器的控制逻辑进行建模和验证分析，为后续的软硬件设计提供更加坚定的依据和基础。

1.2地面目标控制器结构原理

列控系统地面目标控制器的主要控制对象为四线制直流转辙机、五线制交流转辙机和信号机，基于模块化、强弱电隔离的设计原则，根据申请号为201310603679.9的专利申请《一种简化轨道交通列车运行控制系统的方法》及申请号为CN201410852714.5的专利申请《基于通用COTS软硬件实现列控安全计算机的方法和系统》，选择异构二乘二取二的安全架构。

根据地面目标控制器的功能需求，本发明实施例提供的一种满足道岔和信号机控制要求的列车运行控制系统中的地面目标控制器结构示意图如图3所示，地面目标控制器包括双套热备的地面目标控制单元：地面目标控制单元A系和地面目标控制单元B系，一套地面目标控制单元作为主用，另一套地面目标控制单元作为备用。

其中每套地面目标控制单元包括：主控制电路、信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路；

所述的主控制电路，用于连接所述信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路，包括异构的MCU电路和FPGA电路，所述的异构MCU电路和FPGA电路组成二取二架构，所述MCU电路和FPGA电路分别根据所述信号灯状态监测电路传输过来的信号灯状态信息、所述道岔状态监测电路传输过来的道岔状态信息，以及外部输入的列控目标控制命令，执行道岔控制电路和信号机点灯电路的控制逻辑，而发出信号灯控制命令和道岔控制命令；当所述MCU电路和FPGA电路发出一致的信号灯控制命令和道岔控制命令后，则将经过二取二表决的最终信号灯控制命令传输给信号灯控制回路，将经过二取二表决的最终道岔控制命令传输给道岔控制回路；

所述的双套热备主控制电路通过通信总线交互双系热备控制逻辑所需要的数据信息，同时通过通信总线获得外部输入的列控目标控制命令；

所述的列车运行控制系统中的地面目标控制器，基于道岔控制电路和信号机点灯电路的控制逻辑伪代码的模型来设计所述MCU电路和FPGA电路的软件控制程序；

信号灯控制回路，用于根据所述主控制电路传输过来的信号灯控制命令对列车轨道的信号灯进行控制操作；

道岔控制回路，用于根据所述主控制电路传输过来的道岔控制命令对列车轨道的道岔进行控制操作；

信号灯状态监测电路，用于监测信号灯状态信息，将信号灯状态信息传输给主控制电路；

道岔状态监测电路，用于监测道岔状态信息，将道岔状态信息传输给主控制电路。

进一步地，所述的地面目标控制器还包括检测电路，该检测电路包括防混线检测电路；

所述的防混线检测电路，从所述安全继电器的常闭接点引入，所述防混线检测电路基于LC振荡原理，首先电源向所述防混线检测电路的电容充电，然后所述电容向道岔电机和信号机变压器绕组进行放电，当所述电容两端的波形为振荡波形，则判断地面目标控制器与道岔或信号机之间的电缆不存在混线故障；当所述电容两端的波形不为振荡波形，则判断所述地面目标控制器与道岔或信号机之间的电缆存在混线故障，并将所述地面目标控制器与道岔或信号机之间的电缆存在的混线故障检测结果发送主控制电路。

电源开关状态电压检测电路，用于对所述信号灯控制回路和道岔控制回路中的构成电源开关的固态继电器与接触器或功率继电器进行电压监测，将检测结果发送主控制电路；

安全继电器状态检测电路，用于对道岔控制电流以及信号机点灯电路的安全继电器的复式接点进行检测，以判断安全继电器是否可控，并将检测结果发送主控制电路；

电流检测电路，用于对道岔控制电流以及信号机点灯电路电流进行检测，将检测结果发送主控制电路。

1.3关键部件的选择

(1)核心安全逻辑处理器的选择

主控制电路实现的基础是基于差异性设计原则选择FPGA与安全MCU实现异构的安全逻辑控制，可优选Altera公司的MAX10系列FPGA芯片和TI公司的安全MCU芯片作为本发明设计的处理器。

为了满足极端苛刻安全要求，所有涉及安全的控制电路以及采集电路，在设计时都在异构原则的基础上考虑了双控制方式。

主控制电路作为目标控制器硬件电路模块的核心部分，其安全性直接关系整个电路，本发明采用了异构的MCU(Microcontroller Unit，微控制单元)和FPGA进行双微控制器逻辑“与”控制，即两个异构的微控制器组成一个“二取二”的结构，对于接收到的命令或信号，必须确保一致才能输出相应的控制信号，采用这种方式，能够发现电路中的故障并作出相应的处理，避免了故障的积累，提高了系统的安全性。

电路采用双微处理器的异构冗余方式对电路进行控制，只有当两个微处理器执行相同的命令时，电路才能动作，当接收命令不一致或者电路出现故障时，能够保证道岔或者信号机不会错误操作，满足故障-安全原则。

(2)控制回路开关的选择

考虑差异性设计原则和器件使用限制，道岔和信号灯控制回路开关分别选择固态继电器、接触器或功率继电器、大触点容量安全继电器三种异构控制器件串联使用而实现。

根据负载类型选择直流或交流固态继电器。信号机点灯电路和五线制交流转辙机动作电路选择SCR型交流固态继电器，控制四线制直流转辙机时则选用直流型固态继电器。固态继电器用来实现接触器或功率继电器、大触点容量安全继电器的空载切换，以延长接触器或功率继电器、大触点容量安全继电器的使用寿命。

同样，需要根据负载类型选择接触器或功率继电器。交流负载选交流接触器或功率继电器或功率交流继电器，直流负载选择直流接触器或功率继电器或功率直流继电器。

考虑故障-安全原则，均选用大触点容量安全继电器作为切换元件，用来实现道岔的定/反位转换或信号机所控8个灯位的分组控制和不同灯位的切换。大触点容量安全继电器可选取Mors Smitt公司的具有焊缝无转移(WNT，weld no transfer)特性的安全继电器。

1.4信号机控制回路设计

信号机控制回路的设计是目标控制器信号模块设计的关键，参考6502电气集中信号控制电路，将传统的进站信号机、两方向出站兼调车信号机和进路信号机的控制电路进行模块化、智能化的设计，安全可靠地控制各个灯位的开放和关闭。

从信号模块的通用性出发，控制回路按着8个灯位控制进行设计，分别可以为黄灯(U)、绿灯(L)、红灯(H)、二黄灯(2U)、引导白灯(YB)、二绿灯(2L)、调车白灯(DB)、发车表示白灯(FB)进行控制线路分配。信号机控制回路的示意图如图4所示，每个灯位控制主回路均采用三个开关，去线上采用固态继电器和安全继电器两种开关进行控制，回线上采用接触器或功率继电器式开关，使得每个信号灯位的控制都构成一个双断的结构，能够在一定程度上防止混线故障的发生。

图4中K1-K8为固态继电器式电子开关，用来实现安全继电器和接触器或功率继电器的空载切换，延长后者使用寿命，增加安全可靠性。KM1-KM8为接触器或功率继电器式开关，J1-J8为安全继电器开关。三种开关平时都在关断状态，当需要进行点灯时，先控制安全继电器和接触器或功率继电器进行接点切换，等相应接点闭合到位之后，再控制固态继电器开关使其处于导通状态，接通点灯电源，点亮需要点亮的灯位。例如接收到点灯命令，要点亮灯位L1时，首先控制开关KM1、J1闭合，当检测到两者完全闭合之后，再控制固态继电器开关K1闭合，接通L1的点灯电源，从而点亮灯位。在点灯之前，还要进行点灯电流的采集和监测，用来判断灯丝的完整性和监督灯位的点灯情况。结合调车信号机和四显示出站信号机的原理，对所设计的八个灯位按着不同类型的信号机进行分配，灯位对应表如表3所示。

表3信号机与控制回路灯位对应表

Table 3-1The Corresponding Table of Signal and its Main ControlCircuit

以进站信号机为例，每个信号机从上到下对应的灯位分别为：U、L、H、2U、YB，而设置信号控制回路中的第1、2、3、5、7灯位作为其对应控制灯位，而将第4、6、8灯位空闲。联锁机可向目标控制器信号控制模块下发8种点灯命令：灯n的点灯命令(1≤n≤8)，Kn↑、KMn↑和Jn↑表示点亮第n个灯位。例如进站信号机点红灯时，K3↑、KM3↑和J3↑，Kn↓、KMn↓和Jn↓，其中n＝1、2、4、5、6、7、8；点黄灯时，K1↑、KM1↑和J1↑，Kn↓、KMn↓和Jn↓，其中n＝2、3、4、5、6、7、8。

其他类型信号机的控制原理与此类似。

1.5五线制道岔控制回路设计

根据五线制道岔动作电路的原理，五线制道岔控制回路原理示意图如图5所示。该电路 是通过主控制电路控制电源开关和换相开关之间的相互配合来完成三相电源的正常输出的，以此达到转辙机的定位或反位操作。其中控制驱动电路的信号时由微处理器通过隔离电路发送的，在该隔离电路的作用下，能够减少外界的干扰信号对系统控制电路的影响。

以道岔反位到定位操作为例对电路原理进行说明。当道岔处于反位时，转辙机内部自动开闭器第2、4组反位接点处于闭合状态，主控制电路通过隔离电路向启动电路发出从反位向定位转动的控制信号，首先控制换相开关J9、J11闭合，然后控制电源开关全部闭合，则三相交流电源则通过电源开关、换相开关、电流检测电路以及电缆线X2/X5/X1与电动机线圈构成回路，电动机通电开始转动；转辙机开始转动之后，电缆线中就会有相应的稳定电流，这是电流检测电路就开始实时检测各电缆线中的电流是否正常，如果正常则保持当前的驱动状态，否则应该立刻切断驱动电路；转辙机转动到底后，转辙机内部自动开闭器第3组定位接点和第1组反位表示接点被接通，由于开闭器第2组接点处于断开状态，所以回路中无动作电流。这时主控制电路通过检测电路检测到电流的消失，控制隔离电路断开换相开关J9、J11以及电源开关，撤销三相电源，定位操作动作完毕。当转辙机进行反操动作时，使用的换相开关是J10、J12，电缆线为X3/X4/X1，其工作原理跟定位操作的动作基本一致。

道岔的定/反位操作主要是由电源控制开关和换相开关共同完成的，控制开关能否正常工作直接关系到道岔能否正确动作，如果在没有控制命令的情况下，固态继电器却错误导通，则会导致道岔错误动作，所以在固态继电器的基础上，串联上高性能的安全继电器，则可以防止因为固态继电器错误动作而导致的严重后果，提高了系统的安全性以及各控制开关的使用寿命。同理，若安全继电器发生击穿故障被导通，与其串联的固态继电器还在断开状态，所以道岔不会被错误动作，两者串联，显著提高了系统的安全性。

1.6、四线制道岔控制回路设计

根据四线制道岔动作电路的原理，四线制道岔控制回路原理示意图如图6所示。四线制道岔的动作电路的控制是通过微处理器下发的指令，通过硬件“与”电路对控制开关进行控制，控制开关与五线制道岔动作电路一样，电源开关采用固态继电器和接触器或功率继电器式，换相开关采用安全继电器，用来对四线制道岔的动作实现可靠的控制。

以道岔反位到定位操作为例对电路原理进行说明。当道岔处于反位时，转辙机内部自动开闭器第2、4组反位接点处于闭合状态，主控制电路通过隔离电路向启动电路发出从反位向定位转动的控制信号，首先控制换相开关J13闭合，然后控制电源开关全部闭合，则道岔控制电源则通过电源开关、换相开关、电流检测电路以及电缆线X1/X4与电动机线圈构成回路，电动机通电开始转动；转辙机开始转动之后，电缆线中就会有相应的稳定电流，这是电流检测电路就开始实时检测各电缆线中的电流是否正常，如果正常则保持当前的驱动状态，否则应该立刻切断驱动电路；转辙机转动到底后，转辙机内部自动开闭器第3组定位接点和第1组反位表示接点被接通，由于开闭器第2组接点处于断开状态，所以回路中无动作电流。这时主控制电路通过检测电路检测到电流的消失，控制隔离电路断开换相开关J13以及电源开关，撤销电源，定位操作动作完毕。当转辙机进行反操动作时，使用的换相开关是J14，电缆线为X2/X4，其工作原理跟定位操作的动作基本一致。

1.7、五线制道岔的道岔状态监测电路设计

传统的电气集中五线制道岔的道岔状态监测电路使用110V/50Hz交流电进行表示状态的检测。当道岔在定位时，在正弦交流电的正半周，电流主要经过偏极继电器DBJ，DBJ励磁吸起，表示道岔处于定位表示状态，同时和表示继电器并联的整流二极管支路中，二极管处于反向截止状态，即该支路无电流通过；在交流电的负半周，因为DBJ只能通过正向电流，所以绝大部分电流通过整流二极管支路回到变压器的二次侧，又因为DBJ感抗很大，线圈电压下降过程中有反电势，阻止其失电落下，从而保证DBJ的可靠吸起。道岔在反位时的工作原理与定位相一致。

由上述分析可知，道岔的定位状态由X1、X2和X4确定，反位状态由X1、X3和X5确定，五线制道岔的道岔状态监测电路示意图如图7所示。电路主要由表示电源变压器、功率电阻以及道岔位置检测电路组成。每条电缆线分别设置两个检测模块，以X2为例进行检测模块工作原理的说明，如图8所示，JC1和JC2分别为实时采集到的表示状态检测电压的状态，通过IN输入模块能够将其传送给主控制电路系统，从而完成道岔状态的判断。

具体设计中，先通过BD1型表示变压器将220V的交流电压进行降压，输出110V的交流电源，按着交流电正、负半波对电路进行分析。

(1)当道岔在定位时，分析如下：

1)正弦交流电源正半波时，假设变压II次侧4正，3负，则电流的流向为：II4→JC8→X1线→电机线圈W(1－2)→电机V(2－1)→接点(12－11)→X4→检测模块JC3→R2→II3，这时对应的输出信号JC8，JC3为脉冲信号；同时，另一条支路中，电流的流向为：II4→JC8→X1线→电机线圈W(1－2)→电机U(2－1)→接点(33－34)→R4→Z(1－2)→接点(16－15)→接点(32－31)→X2→检测模块JC1→R1→II3，在这条支路中，整流二极管反向截止，故电流基本为零。所以JC8，JC3为动态脉冲信号，其余电平均为高电平。

2)当正弦交流电为负半波时，即变压器Ⅱ次侧3正、4负，电流的流向为：II3→R1→R2→检测模块JC4→X4线→电机线圈V(1－2)→电机W(2－1)→检测模块JC7→II4，这时对应的输出信号JC4，JC7为脉冲信号；另外一条支路为：II3→R1→检测模块JC2→X2线→接点(31－32)→接点(15－16)→整流二极管Z(2-1)→R4→接点(34－33)→电机线圈U(1－2)→电机W(2－1)→X1→检测模块JC7→II4，这时对应的JC2，JC7为脉冲信号；所以定位时，JC2，JC4，JC7为动态脉冲信号，其余为高电平。

(2)当道岔在反位时，分析如下：

1)正弦交流电源正半波时，假设变压II次侧4正，3负，则电流的流向为：II4→检测模块JC8→X1线→电机线圈W(1－2)→电机V(2－1)→接点(42－41)→X5→检测模块JC5→R3→R1→II3，这时对应的输出信号JC8，JC5为脉冲信号；同时另一条支路中，电流的流向为：II4→检测模块JC8→X1线→电机线圈W(1－2)→电机线圈U(2－1)→接点(23－24)→Z(1－2)→R4→接点(46－45)→接点(22－21)→X3→检测模块JC9→R1→II3，这是对应的JC8，JC9为动态脉冲信号，其余电平均为高电平。所以，道岔在反位时，JC8，JC9，JC5为动态脉冲信号，其余为高电平。

2)当正弦交流电为负半波时，即变压器II次侧3正、4负，电流的流向为：II3→R1→R3→检测模块JC 6→X5线→接点(41-42)→电机线圈V(1－2)→电机线圈W(2－1)→X1线→检测模块JC7→II4，这时对应的JC6，JC7为脉冲信号；所以定位时，JC6，JC7为动态脉冲信号，其余为高电平。

道岔所处位置可以通过定表检测模块和反表检测模块检测线缆中是否有电流通过，即根据JC1—JC10的电平信号来进行判断，并将模块的输出结果反馈到主控制电路中，以判断电路是否正常，并存储相应的结果。模块的输出结果与JC1到JC10之间的关系如表4所示。

表4五线制道岔表示模块输出结果关系表

根据上述分析，电流采集周期完成之后，主控制电路模块对存储结果进行比较，如果检测到定表电流且没有反表电流，则道岔处于定位；如果检测到反表电流且没有定表电流，则道岔处于反位；若同时都采集到或者都没有采集到，则道岔处于四开状态。同时，当发生接线错误时也能根据采集到的数据进行判定，满足故障-安全的原则。

1.8、四线制道岔的道岔状态监测电路设计

四线制道岔表示电路分析方法与五线制道岔类似，根据传统四线制道岔表示电路的工作原理，设计如图9所示的四线制道岔的道岔状态监测电路示意图。其主要完成对四线制道岔的定、反位状态信息的采集。电路主要由电源变压器、电阻、检测模块JC1—JC6组成。其中电阻R1、R2分别模拟表示电路中的DBJ和FBJ线圈阻抗的电阻，检测模块JC1—JC6的输出信号分别为JC1—JC6，并直接与主控制电路相连。

道岔的定位状态由X1和X3确定，反位状态由X2和X3确定，目标控制器通过各检测模块采集各线缆是否有电流信号，并将其转换成电压输出信号，输入给主控制电路，进行道岔位置的判断，并存储相应的结果。

分析可知，道岔在反位时，JC4和JC5所在的回路中有电流通过，对应的输出信号JC4和JC5为脉冲信号，其余检测模块中无电流通过，对应的输出信号为高电平信号。即通过分析JC1—JC6的状态可以判断道岔的位置状态。表示采集电路的输出结果与JC1—JC6之间的关系如表5所示。

表5四线制道岔表示模块输出结果关系表

经过分析可知当检测到定表电流而没有检测到反表电流时，道岔处在定位；如果检测到道岔反位状态且没有定位状态，则道岔处在反位；若同时检测到定、反位电流或者同时没有检测到，则判断道岔处在四开状态。该功能为安全功能，电路中出现元器件故障或者断路等都不会给出道岔的假表示，符合故障-安全原则。

1.9、检测电路设计

检测电路主要完成对安全继电器等回路主控元器件状态的检测，同时实现对转辙机动作电流信息和信号机点灯电流的实时监测。检测电路的存在，使得目标控制器构成一个闭环的控制系统，满足故障-安全的原则。

1.9.1电压检测电路

道岔动作电路和信号机点灯电路中的任何元件故障都可能造成整个控制模块的故障。例如开关的误动作有可能造成道岔的错误动作和信号机的错误点灯，因此对于开关状态的实时可靠的检测非常重要。由上文可知，目标控制器中信号机和道岔控制回路共采用了三种开关，分别为固态继电器、接触器或功率继电器和安全继电器，其中接触器或功率继电器和固态继电器配合使用，作为电源开关，安全继电器作为换相开关，下面就两种情况进行电压检测电路的说明。

(1)电源开关状态检测

在各个控制回路的设计中，固态继电器与接触器或功率继电器的联合使用构成电源开关，是为了实现安全继电器的空载切换，延长后者使用寿命，电源开关的状态检测电路如图10所示。

固态继电器通常处于断开状态，但是由于固态继电器存在漏泄电流，所以与接触器或功率继电器结合使用才能作为电源开关，不工作时其两端是没有电压的，此时两个微处理器读入高电平。电源开关的动作顺序按着对应控制电路的要求进行，其检测结果分析如表6所示。

表6电源开关检测结果分析

(2)安全继电器检测电路

在控制回路给出相应的道岔转换命令或者信号机点灯命令之前，要判断控制回路中的控制开关是否可控，只有在开关可控的情况下才能下达相应的控制命令。安全继电器的检测电路如图11所示。

选用有多组接点的安全继电器，每个继电器留出一组复式接点用于检测它是否可控，包括检测其吸起状态和落下状态。微处理器A采集安全继电器常开接点的状态，微处理器B采集常闭接点的状态，如图11所示。继电器在落下状态，此时微处理器A采集到的是高电平，而微处理器B采集到的是低电平；在微处理器的控制下继电器吸起，则这时微处理器A采集到低电平，微处理器B采集到高电平，才能表示该继电器处在吸起状态，说明该继电器可控，否则说明该继电器不可控。

除了上述对于各开关的检测采用电压检测的方法，对于点灯电流和道岔动作电流的检测，也可以通过结合电阻，构成电压检测电路，跟5.9.2小节采用的电流传感器测电流的方法在功能上构成异构，采用两种不同的方法对电路中的参数进行检测，将其结果进行计算、对比和判断，相对而言，能够增加系统的可靠性和安全性。采用异构原则进行检测电路的设计，还能够避免共因失效的问题。

1.9.2电流检测电路

传统电流检测方法一般采用电流互感器进行，但是电流互感器存在体积大、成本高、绝缘困难、易受电磁干扰等缺点，存在测量精度不高，反应缓慢等问题。新型的线性电流传感器能有效克服这些缺点，为系统中的交流或直流电流检测提供经济实惠的精密解决方案。

在对道岔控制电流以及信号机点灯电路电流的检测电路中，可采用线性电流传感器ACS712。该芯片完全基于霍尔感应的原理设计，由一个精确的低偏移线性霍尔传感器电路与位于接近IC表面的铜箔组成，电流Ip流过铜箔时，产生一个磁场Hp，能够被片内的霍尔IC感应并将其转化为成比例的电压。霍尔元件根据磁场感应出一个线性的电压信号，经过内部的放大、滤波、斩波与修正电路，输出一个电压信号，该信号从芯片的第七脚输出，直接反应出流经电缆电流的大小。图12为线性电流传感器ACS712的功能原理示意图。

考虑到直流转辙机额定电流为2.0A，交流转辙机额定电流为2A，信号机点灯额定电流值在80-120mA之间，因此，针对转辙机电流传感器的电流检测范围在±5A即可，而对于信号机点灯电流检测，需要对点灯去线和回线上的电流信号进行采样后，对采样信号需要进行放大。

1.9.3防混线检测电路

根据传统的继电控制电路的工作原理可知，室外控制线缆发生混线故障有可能会导致道岔错误动作或者信号机错误点灯，给行车安全带来严重的影响。本发明利用LC振荡的原理实现防混线检测功能，防混线检测模块从安全继电器的常闭接点后面引入，其原理示意图如图13所示。

该电路工作时，首先闭合开关K4，给电容C1有一个充电的过程，然后断开K4，依次闭合K2、K6，则电容C2通过电阻R1向被测绕组T1放电，整个控制过程通过分析R1两端的波形进行判断。即依次动作开关K4、K2、K6，如果电路正常，没有发生混线故障，则在被测端R1两端进行波形的检测会发现形成如图14所示的振荡波形，如果波形异常，则判断存在混线故障等。

1.10地面目标控制器软件设计

地面目标控制器软件需要配合上述硬件工作，以实现前述的已经过证明安全的道岔与信号机点灯控制逻辑。

地面目标控制器软件可分为如下模块：初始化子模块、调度子模块、电流检测子模块、道岔驱动子模块和道岔状态采集子模块、信号机控制子模块等。

1.10.1初始化子模块

初始化子模块主要完成系统时钟设置、微处理器端口配置、定时中断的设定和初始化、芯片工作模式的设置等任务。所以微处理器的初始化模块具体包括：

(1)完成芯片的I/O端口配置，将所有的输出端口设置成“OUT”初始化为“无效安全侧电平”，所有的输入端口设置成“IN”初始化为“0”；

(2)完成芯片内部自检，包括固化程序机器码自检、逻辑运算符自检、数据区RAM读写自检、A/D转换自检等；

(3)检测芯片看门狗功能并初始化；

(4)将芯片的串口进行初始化，并设置为中断接收状态；

(5)完成芯片内部定时器和CAN控制器的检测及初始化；

(6)读取、设置和存储该模块所处通信节点地址和转辙机及信号机配置类型信息等。

其中，微处理器的A/D转换模块直接关系到其采集到的模拟量的数据的准确性，即关系到能否正确判断出道岔所处的位置和点亮的信号灯位以及能否正常进行道岔的转换和信号机的点灯操作，所以对其转换端口的初始化设置是十分重要的。本发明采用处理器内嵌ADC，设计硬件电路时当然还需要设计简单的调理电路将模拟信号进行放大或缩小，就能准确实时地采集到相应的电流或电压信号，并通过微处理器的ADC模块转化成数字信号，进而对所采集的状态进行一个合理的判断。

1.10.2调度子模块

目标控制器软件的调度子模块主要实现对各个子功能软件模块的调用功能，如在控制模块商店之后，首先调用微处理器的初始化子模块，初始化完成之后调用微处理器的自检模块，自检完成之后调用通信子模块，通信完成后调用同步信息处理子模块，信息处理完成后控制相应的控制模块执行对应的命令，即调用相应的转辙机驱动子模块或表示采集子模块、信号机的点灯子模块等，执行完操作之后，微处理器根据判断的实际情况进行循环运行程序。同步信息处理模块主要是进行两个微处理器之间信息数据的比较，如果同步信息一致，则调用对应的子功能软件模块执行相应的动作，如不一致，则报警。调度子模块的软件流程图如图15所示。

1.10.3信号机控制子模块

地面目标控制器接收到信号机点灯命令之后，调用信号机点灯子模块控制相应的灯位进行点亮，并通过相应的信号机状态检测模块监测信号机的显示状态。信号机控制子模块软件流程图如图16所示。

根据故障-安全的原则，当模块本身故障时，应该输出安全侧，当两个微处理器模块接收到的点灯命令不一致时，也不能执行点灯命令，即只有当模块非故障且驱采一致时才会按着点灯命令进行执行。在点灯命令执行完成之后，要进行点灯状态的检测，如第三章所 述，信号机控制模块总共控制8组灯位，采用电流互感器器采集点灯电流，并将采集到的模拟信号转换成微处理器ADC模块能够读取的信号，并进行点灯状态的判断。因为在传统继电点灯电路中，当流过灯丝的电流高于100mA时，灯丝继电器吸起，低于40mA时落下，所以对应可以做相应的判断。信号机点灯状态检测软件流程图如图17所示。

1.10.4道岔驱动子模块

其具体的实现过程以四线制道岔控制模块进行定位操作的软件设计为例进行说明：

四线制道岔控制模块定位操作软件流程图如图18所示，模块在接收命令之后，首先进行自检，判断动作电路是否正常，当道岔定位操作命令启动之后，首先要对道岔的位置进行读取，如果道岔在定位，则经过一定的延时进入道岔表示检测模块，若道岔不在定位，则输出定操启动开关信号，时对应的定操控制开关按着一定的顺序闭合吸起，并进行动作电流的检测，如果检测到正确的电流信号，则开启自闭功能知道转辙机转换到位，并持续检测动作电流；如果没有采集到动作电流且延长300ms仍没有检测到道岔动作电流，则输出关断定操开关控制信号，退出本模块转入道岔表示检测模块；如果在转换的过程中，持续有道岔定操动作电流，并且转换时间超过30s，则立刻输出切断定操驱动电源信号，退出本模块，转入采集检测模块，并上传挤岔信号并给出报警信息。

道岔的反位操作流程与定位操作流程的原理是一致的，区别在于道岔位置状态的检测有所不同以及驱动电路控制开关不同。转辙机的反位操作流程和定位操作流程共同组成了道岔的动作子模块软件程序。

1.10.5道岔表示检测子模块

道岔表示检测子模块主要是实现道岔位置状态以及外接二极管电路的检测功能，包括道岔定位状态检测、道岔反位状态检测、道岔表示二极管击穿或反接的检测。道岔表示回路的信号经过放大或缩小之后，通过光耦隔离接到微处理器自带的ADC模/数转换接口，对模拟量进行采集，并求出相应的数值大小对信号波形进行判断，进而对道岔的位置信息进行准确的判断。当目标控制器处于正常工作状态时，且转辙机未处于转动状态，其通过表示检测子模块检测出道岔位置信息的时间应该不大于250ms。由于在硬件电路设计的时候将定位表示检测电路和反位表示电路是独立设计的，两个微处理器的道岔位置状态检测也是独立运行的，只有当两个微处理器的检测结果一致时，才能够认为采集到的道岔位置状态信息为有效信息，并上传相应的信息。

综上所述，本发明实施例通过根据道岔控制电路和信号机点灯电路的工作原理，利用形式化工具对道岔控制电路和信号机点灯电路的控制逻辑进行形式化建模，可以验证道岔控制电路和信号机点灯电路的控制逻辑的安全性，为后续的软硬件设计提供更加坚定的依据和基础。

本发明实施例通过在主控制电路选择异构二乘二取二的安全架构，能够保证道岔或者信号机不会错误操作，满足故障-安全原，避免了故障的积累，提高了系统的安全性，可以满足极端苛刻安全要求。

本发明实施例通过考虑差异性设计原则和器件使用限制，在道岔和信号灯控制回路开关分别选择固态继电器、接触器或功率继电器、大触点容量安全继电器三种异构控制器件串联使用而实现，解决了固态继电器和小触点容量安全继电器即使处于关断状态也会有微弱的漏泄电流的存在的问题。

本发明实施例利用LC振荡的原理设计了专用混线检查电路，可以有效地检测出室外控制线缆的混线故障，保证行车安全。

本发明实施例通过设计相应的软件，配合上述硬件工作，实现了经过证明安全的道岔和信号机点灯控制逻辑。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (9)

1.一种列车运行控制系统中的地面目标控制器，其特征在于，包括双套热备的地面目标控制单元，每套所述的地面目标控制单元又包括：主控制电路、信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路；

所述的主控制电路，用于连接所述信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路，包括异构的MCU电路和FPGA电路，所述MCU电路和FPGA电路组成二取二架构，分别根据所述信号灯状态监测电路传输过来的信号灯状态信息、所述道岔状态监测电路传输过来的道岔状态信息，以及外部输入的列控目标控制命令，执行道岔控制电路和信号机点灯电路的控制逻辑，而发出信号灯控制命令和道岔控制命令；当所述MCU电路和FPGA电路发出一致的信号灯控制命令和道岔控制命令后，则将经过二取二表决的最终信号灯控制命令传输给信号灯控制回路，将经过二取二表决的最终道岔控制命令传输给道岔控制回路；

所述的双套热备主控制电路通过通信总线交互双系热备控制逻辑所需要的数据信息，同时通过通信总线获得外部输入的列控目标控制命令；

信号灯控制回路，用于根据所述主控制电路传输过来的信号灯控制命令对列车轨道的信号灯进行控制操作；

道岔控制回路，用于根据所述主控制电路传输过来的道岔控制命令对列车轨道的道岔进行控制操作；

信号灯状态监测电路，用于监测信号灯状态信息，将信号灯状态信息传输给主控制电路；

道岔状态监测电路，用于监测道岔状态信息，将道岔状态信息传输给主控制电路。

2.根据权利要求1所述的列车运行控制系统中的地面目标控制器，其特征在于，根据道岔控制电路和信号机点灯电路的工作原理，分析道岔控制电路和信号机点灯电路的控制逻辑，并提取出道岔控制电路和信号机点灯电路的控制逻辑伪代码，利用形式化工具建立所述控制逻辑伪代码的模型，根据所述模型来验证所述道岔控制电路和信号机点灯电路的控制逻辑的安全性。

3.根据权利要求2所述的列车运行控制系统中的地面目标控制器，其特征在于，基于道岔控制电路和信号机点灯电路的控制逻辑伪代码的模型来设计所述MCU电路和FPGA电路的软件控制程序。

4.根据权利要求1至3任一项所述的列车运行控制系统中的地面目标控制器，其特征在于，所述信号灯控制回路的开关电路、所述道岔控制回路的开关电路都采用固态继电器、接触器或功率继电器、安全继电器三种异构控制器件串联实现，所述固态继电器用来实现接触器或功率继电器、安全继电器的空载切换。

5.根据权利要求4所述的列车运行控制系统中的地面目标控制器，其特征在于，根据负载类型选择直流或交流固态继电器，信号机点灯电路和五线制交流转辙机动作电路选择SCR型交流固态继电器，四线制直流转辙机时则选用直流型固态继电器；根据负载类型选择接触器或功率继电器，交流负载选交流接触器或功率继电器或功率交流继电器，直流负载选择直流接触器或功率继电器或功率直流继电器；均选用大触点容量安全继电器作为切换元件，用来实现道岔的定/反位转换或信号机所控8个灯位的分组控制和不同灯位的切换。

6.根据权利要求5所述的列车运行控制系统中的地面目标控制器，其特征在于，所述信号灯控制回路中的每个信号灯位的控制主回路均采用三个开关，去线上采用固态继电器和安全继电器两种开关进行控制，回线上采用接触器或功率继电器式开关，使得每个信号灯位的控制都构成一个双断的结构；

当需要进行信号灯位的点亮操作时，先控制安全继电器、接触器或功率继电器进行接点切换，等相应接点闭合到位之后，再控制固态继电器开关使所述信号灯位处于导通状态，接通点灯电源，点亮所述信号灯位。

7.根据权利要求6所述的列车运行控制系统中的地面目标控制器，其特征在于，所述的主控制电路通过隔离电路向所述道岔控制回路发送道岔控制命令，所述道岔控制回路的开关电路中的电源开关采用固态继电器、接触器或功率继电器来实现，所述道岔控制回路的开关电路中的换相开关采用安全继电器来实现，所述电源开关和所述换相开关之间相互配合来完成电源的输出。

8.根据权利要求6所述的列车运行控制系统中的地面目标控制器，其特征在于，所述的地面目标控制器还包括检测电路，该检测电路包括防混线检测电路；

所述的防混线检测电路，从所述安全继电器的常闭接点引入，所述防混线检测电路基于LC振荡原理，首先电源向所述防混线检测电路的电容充电，然后所述电容向道岔电机和信号机变压器绕组进行放电，当所述电容两端的波形为振荡波形，则判断地面目标控制器与道岔或信号机之间的电缆不存在混线故障；当所述电容两端的波形不为振荡波形，则判断所述地面目标控制器与道岔或信号机之间的电缆存在混线故障，并将所述地面目标控制器与道岔或信号机之间的电缆存在的混线故障检测结果发送主控制电路。

9.根据权利要求8所述的列车运行控制系统中的地面目标控制器，其特征在于，所述的检测电路还包括；

电源开关状态电压检测电路，用于对所述信号灯控制回路和道岔控制回路中的构成电源开关的固态继电器与接触器或功率继电器进行电压监测，将检测结果发送主控制电路；

安全继电器状态检测电路，用于对道岔控制电流以及信号机点灯电路的安全继电器的复式接点进行检测，以判断安全继电器是否可控，并将检测结果发送主控制电路；

电流检测电路，用于对道岔控制电流以及信号机点灯电路电流进行检测，将检测结果发送主控制电路。