CN107187465A - 一种单元级热备冗余的ato系统架构 - Google Patents

Abstract

本发明提供了一种单元级热备冗余的ATO系统架构以及单元级热备冗余的列车自动驾驶系统，该系统包括：作为主系运行的第一子系统，该第一子系统具有第一主控单元以及第一组功能单元；以及作为备系运行的第二子系统，该第二子系统具有第二主控单元以及与第一组功能单元中的各个功能单元一一对应的第二组功能单元，其中当第一子系统的第一组功能单元中的功能单元发生故障时，系统激活第二子系统的第二组功能单元中的与发生故障的功能单元对应的功能单元，使得第一子系统中的未发生故障的功能单元与第二子系统中被激活的功能单元一起继续工作。

Description

一种单元级热备冗余的ATO系统架构

技术领域

本发明涉及列车运行控制系统领域，具体涉及一种单元级热备冗余的列车自动驾驶系统。

背景技术

列车自动驾驶系统(Automatic Train Operation，简称ATO)，其主要功能是利用车载及地面信息对列车运行进行自动控制，实现列车自动调整运行速度并保持在最佳运行状态，完成定时、定点停车、自动开关门控制等功能，可以降低司机的劳动强度，并最大限度地节约能源。

随着我国轨道交通事业的发展，ATO在城市轨道交通、城际轨道交通信号系统等领域大量运用，其重要程度日渐凸显，特别是对其系统安全性、可靠性和可用性提出了更高的要求。

对于系统安全性，ATO是安全等级为2的车载信号设备，其与安全等级为4(最高安全等级)的列车超速防护系统(Automatic Train Protection，简称ATP)共同保证了列车的安全运行。

对于系统可靠性和可用性，现有ATO系统主要采用双机热备冗余的架构来保证，系统架构如图1所示。在图1的现有双机热备冗余的架构中，A系与B系的各单元冗余对称。正常工作时，A系作为主系对列车进行控制，B系则作为备系。当主系故障时，备系将接替主系工作，主系所有单元变为不可用。采用此架构的系统，主控单元A仅对A系功能单元有控制权，主控单元B仅对B系功能单元有控制权，其缺点是当主系中某单元故障后，主系中其它未故障单元也变为不可用。同时，当主系中存在故障单元而切换到备系时，如果备系中的某个单元(无论是否与主系中的故障单元对称)故障，整个系统将不可用。

发明内容

提供本发明内容以便以简化形式介绍将在以下具体实施方式中进一步描述的一些概念。本发明内容并非旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

考虑到ATO系统的安全性、可靠性和可用性，本发明提供了一种具备单元级热备冗余的系统架构，该架构能够在系统安全性不变的情况下提高ATO系统的可靠性和可用性，减少ATO系统故障对列车运营的影响，提高列车运营效率。当主系某个单元(或多个单元)发生故障后，可直接将主系故障单元切换至备系对应单元继续工作，故障单元则停止工作(或结果不被采信)，而主系中其它未发生故障的单元，则继续作为主系单元工作。使用该架构的ATO系统，只要冗余对称单元不同时故障，则系统始终可用，其系统可靠性和可用性较现有冗余架构的ATO系统更高。

根据本发明的一个实施例，提供了一种单元级热备冗余的列车自动驾驶系统，系统包括：

作为主系运行的第一子系统，所述第一子系统具有第一主控单元以及第一组功能单元；以及

作为备系运行的第二子系统，所述第二子系统具有第二主控单元以及与所述第一组功能单元中的各个功能单元一一对应的第二组功能单元，

其中当所述第一子系统的第一组功能单元中的功能单元发生故障时，系统激活所述第二子系统的第二组功能单元中的与发生故障的功能单元对应的功能单元，使得所述第一子系统中的未发生故障的功能单元与所述第二子系统中被激活的功能单元一起继续工作。

根据本发明的又一实施例，还提供了一种用于列车自动驾驶系统的单元级热备冗余方法，方法包括：

在所述系统的多个子系统中确定主备关系，其中所述多个子系统中的每一个具有主控单元和功能单元；

激活主系各功能单元；

检测所述主系各功能单元以及备系各功能单元的状态；

响应于检测到主系功能单元故障且对应于故障的主系功能单元的备系功能单元正常，激活所述对应于故障的主系功能单元的备系功能单元，使得所述主系各功能单元中的未发生故障的功能单元与所激活的备系功能单元一起继续工作。

与现有技术中的双机热备冗余架构的ATO系统相比，本发明所提供的单元级热备冗余的ATO系统至少具有以下优点：

1)通过使用系统内部双总线架构，实现了系统内部各单元的互联互通。主系主控单元不仅可对主系各功能单元进行状态检测和控制，还能对备系各单元进行控制状态检测和控制。在系统运行过程中，除非双系对称冗余单元同时故障，否则系统始终可用。使用该架构的ATO系统，提高了ATO系统的现场可用性，从而提高了系统的现场运用效率；

2)系统主备系建立过程中，由于引入了设备单元识别号，当出现“双主”情况时，可通过设备单元识别号进行主备关系建立，提高了系统的可靠性和可用性。

通过阅读下面的详细描述并参考相关联的附图，这些及其他特点和优点将变得显而易见。应该理解，前面的概括说明和下面的详细描述只是说明性的，不会对所要求保护的各方面形成限制。

附图说明

为了能详细地理解本发明的上述特征所用的方式，可以参照各实施例来对以上简要概述的内容进行更具体的描述，其中一些方面在附图中示出。然而应该注意，附图仅示出了本发明的某些典型方面，故不应被认为限定其范围，因为该描述可以允许有其它等同有效的方面。

图1是现有技术的ATO系统的系统架构图。

图2是根据本发明的一个实施例的ATO系统的系统架构图。

图3是根据本发明的一个实施例的ATO系统的各单元的连接示意图。

图4是根据本发明的一个实施例的ATO系统的状态转移图。

具体实施方式

下面结合附图详细描述本发明，本发明的特点将在以下的具体描述中得到进一步的显现。

图2是根据本发明的一个实施例的ATO系统的系统架构图。在图2中，示出的是一个双机热备冗余系统，其中一个可作为主系运行，另一个可作为备系运行。然而，本发明也适用于更多系的冗余系统，例如系统含有三个或更多个系的主控单元及功能单元，其中一个系为主系，其余的系均为备系。为了便于说明，以下均以双机冗余系统为例进行描述。

如图2所示，主控单元A、主控单元B及所有的功能单元通过总线连接，实现各单元的互联互通。主控单元A不仅可以对A系各功能单元进行通信和控制，也能对B系各功能单元进行通信和控制。当然，如本领域技术人员可以理解的，当且仅当主控单元A作为主系主控单元时，主控单元A才对系统内各功能单元具备控制权。类似的，主控单元B也可以对A系、B系各功能单元进行通信和控制。类似地，当且仅当主控单元B作为主系主控单元时，主控单元B才对系统内各功能单元具备控制权。系统中A系与B系的各对称单元互为冗余关系。根据本发明的一个实施例，A系与B系的各单元可对称安装在一个设备机笼中。A系与B系所有单元可接入机笼中的背板，并通过背板上的印制线实现各单元的连接。替代的，各单元也可以是物理上分开的，例如各单元也可以分布在多个设备机笼中。另外，功能单元可以是单一插件实现某一功能，也可以是不同插件相互组合实现某一功能，可以根据实际需要进行组合和搭配，达到实现本发明方案的目的。

图3是根据本发明的一个实施例的ATO系统的各单元的连接示意图。如图3所示，A系与B系各单元通过两路总线互联(分别为总线0和总线1)。根据本发明的一个实施例，总线0将A系主控单元与B系主控单元互联，用于双系主控单元间状态的检测、以及系间数据的同步。总线1将A系主控单元、A系所有功能单元、B系主控单元、B系所有功能单元互联，用于主控单元对其它功能单元进行检测、控制和管理。作为一个示例，总线可以用以太网来实现。另外，总线也可采用其它总线来实现，例如RS232/422/485总线、CAN总线、Profibus总线、MVB总线、FlexRay总线等。两路总线可以采用相同的总线实现方式，也可以采用不同的总线实现方式。

进一步的，系统中所有单元，均具备独立且唯一的单元识别号。根据本发明的一个实施例，各单元可通过采集背板提供的电平组合信号，来获取自身的单元识别号。通过背板方式提供单元识别号，可以方便各冗余对称单元间设备的互换。主控单元的单元识别号，用于上电时主系主控单元和备系主控单元的确立。功能单元的识别号，则用于被主控单元检测、控制和管理。作为替代，也可以通过其它编码/解码单元来提供单元识别号，只要能够为各个单元提供独立且唯一的单元识别号，就落在本发明的保护范围之内。

系统中的各单元当其自身故障时(这里的“故障”指的是根据实际需求定义的可被检测的故障)，将主动断开自身与外界的总线通信。当主控单元检测到无法与故障单元进行正常通信时，则可以知晓该单元处于故障状态。在系统自检过程中，如果系统中某单元无法正常获取自身的单元识别号，由于单元无法被其它单元识别，即使该单元自检正常，那么该单元也将断开自身与外界总线通信，进入故障状态。

图4是根据本发明的一个实施例的ATO系统的状态转移图。如图4中所示，本发明的单元级热备冗余ATO系统的工作状态如下：

(a)系统上电自检，双系确立主备关系后，进入正常运行状态。系统正常工作时，主系各单元被激活，执行系统应用处理任务，备系各单元作为主系的热备冗余单元继续工作，但不被激活。

(b)系统正常运行时将对各单元状态进行周期性检测，如果系统中各单元周期性检测结果正常，则系统继续保持正常运行(状态①)，如果系统检测到备系某单元故障(状态转移条件1)，则系统将故障信息同步至备系单元，同时，系统将继续使用主系单元，保持正常运行状态(状态①)。

(c)在状态①运行过程中，当系统检测到主系某单元故障时(状态转移条件2)，则系统将激活主系故障单元对应的备系冗余单元(状态②)。

(d)在状态②运行过程中，如果系统发现备系需要被激活的冗余单元处于故障状态(状态转移条件7)，则由于主备系对称冗余单元同时故障，系统宕机(状态④)，进入并保持故障状态。

(e)在状态②运行过程中，如果系统中备系需要被激活的冗余单元状态正常(状态转移条件3)，则系统将故障信息同步至备系单元。同时，系统将使用主系未故障单元及备系被激活的冗余单元继续保持运行(状态③)。此时，系统仍然将对各单元状态进行周期性检测，备系未被激活的单元仍然作为主系热备冗余单元继续工作。

(f)在状态③运行过程中，当系统检测到备系未被激活的单元出现故障时(状态转移条件4)，则系统将故障信息同步至备系单元。同时，系统将继续使用主系未故障单元及备系被激活的冗余单元继续保持运行(状态③)。

(g)在状态③运行过程中，当系统检测到主系某未故障单元发生故障时(状态转移条件5)，则系统将激活该主系故障单元对应的备系冗余单元(状态②)。系统处于状态②时，重复上述的(d)、(e)。

(h)在状态③运行过程中，当系统检测到备系被激活的冗余单元故障时(状态转移条件6)，则由于主备系对称冗余单元同时故障，系统将宕机(状态④)，进入并保持故障状态。

进一步的，在系统正常运行及冗余单元激活等整个过程中，需要防止“双主”情况出现。如上文提到的，在本发明的ATO系统中，双系主控单元通过单元识别号及系间同步通信(总线0)来进行主备关系的确立。为防止“双主”情况出现，采用本发明所述架构的系统通过如下方法进行“双主”防护：

(a)主备关系的确立，通过双系主控单元间通信，最终存在如下几种结果：

序号	A系主控单元	B系主控单元
			1	主系	备系
2	备系	主系
			3	主系	主系
4	备系	备系

表1

(b)对于表1中情况1，系统将以A系主控单元为主系主控单元，B系主控单元为备系主控单元，其工作方式按图4所示进行；

(c)对于表1中情况2，系统将以B系主控单元为主系主控单元，A系主控单元为备系主控单元，其工作方式按图4所示进行；

(d)对于表1中情况3，系统将出现“双主”情况。此时，双系主控单元将通过比较A系主控单元与B系主控单元的作为主系主控单元的运行周期以及单元识别号，进一步选择出主系和备系主控单元，例如：

1)当A系主控单元作为主系主控单元的运行周期数大于B系主控单元作为主系主控单元的运行周期数时，则以A系主控单元为主系主控单元，执行系统应用处理任务，B系主控单元则作为A系主控单元热备冗余单元；

2)当B系主控单元作为主系主控单元的运行周期数大于A系主控单元作为主系主控单元的运行周期数时，则以B系主控单元为主系主控单元，执行系统应用处理任务，A系主控单元则作为B系主控单元热备冗余单元；

3)当A系主控单元作为主系主控单元的运行周期数等于B系主控单元作为主系主控单元的运行周期数时，则通过单元识别号，选择系统默认的主系单元识别号对应的主控单元作为系统主系主控单元，并通过双系系间同步信号，将另外一系主控单元置为备系主控单元。

(e)对于表1情况4，系统中将不存在主系主控单元，无需进行“双主”防护处理。

以上所已经描述的内容包括所要求保护主题的各方面的示例。当然，出于描绘所要求保护主题的目的而描述每一个可以想到的组件或方法的组合是不可能的，但本领域内的普通技术人员应该认识到，所要求保护主题的许多进一步的组合和排列都是可能的。从而，所公开的主题旨在涵盖落入所附权利要求书的精神和范围内的所有这样的变更、修改和变化。

Claims (10)

1.一种单元级热备冗余的列车自动驾驶系统，其特征在于，所述系统包括：

作为主系运行的第一子系统，所述第一子系统具有第一主控单元以及第一组功能单元；以及

作为备系运行的第二子系统，所述第二子系统具有第二主控单元以及与所述第一组功能单元中的各个功能单元一一对应的第二组功能单元，

其中当所述第一子系统的第一组功能单元中的功能单元发生故障时，系统激活所述第二子系统的第二组功能单元中的与发生故障的功能单元对应的功能单元，使得所述第一子系统中的未发生故障的功能单元与所述第二子系统中被激活的功能单元一起继续工作。

2.如权利要求1所述的列车自动驾驶系统，其特征在于，所述第一子系统和第二子系统通过第一总线和第二总线互联，其中：

所述第一总线将所述第一主控单元与所述第二主控单元互联，用于所述第一主控单元和所述第二主控单元之间状态的检测、以及所述第一子系统和所述第二子系统之间数据的同步；以及

所述第二总线将所述第一主控单元、所述第一组功能单元中的各个功能单元、第二主控单元以及所述第二组功能单元中的各个功能单元互联，用于所述第一主控单元和所述第二主控单元对各个功能单元进行检测、控制和管理。

3.如权利要求2所述的列车自动驾驶系统，其特征在于：所述第一总线和所述第二总线能够通过以太网、RS232/422/485总线、CAN总线、Profibus总线、MVB总线、或FlexRay总线来实现。

4.如权利要求1所述的列车自动驾驶系统，其特征在于，所述第一子系统和所述第二子系统的主控单元和功能单元可对称安装在一个设备机笼中，并且每一个主控单元和功能单元接入所述设备机笼中的背板。

5.如权利要求4所述的列车自动驾驶系统，其特征在于，所述主控单元和功能单元通过采集所述背板提供的电平组合信号来获取自身的单元识别号，其中所述主控单元的单元识别号用于上电时主系和备系的确立，所述功能单元的单元识别号用于被所述主控单元检测、控制和管理。

6.一种用于列车自动驾驶系统的单元级热备冗余方法，其特征在于，所述方法包括：

在所述系统的多个子系统中确定主备关系，其中所述多个子系统中的每一个具有主控单元和功能单元；

激活主系各功能单元；

检测所述主系各功能单元以及备系各功能单元的状态；

响应于检测到主系功能单元故障且对应于故障的主系功能单元的备系功能单元正常，激活所述对应于故障的主系功能单元的备系功能单元，使得所述主系各功能单元中的未发生故障的功能单元与所激活的备系功能单元一起继续工作。

7.如权利要求6所述的方法，其特征在于，所述方法还包括：

重复所述检测所述主系各功能单元以及备系各功能单元的状态的步骤；以及

响应于检测到主系功能单元故障且对应于故障的主系功能单元的备系功能单元也故障，系统宕机。

8.如权利要求6所述的方法，其特征在于，确定主备关系包括：

当出现双主情况时，通过各系主控单元作为主系主控单元运行的周期以及单元识别号来确定主备关系。

9.如权利要求8所述的方法，其特征在于，通过各系主控单元的运行周期以及单元识别号来确定主备关系进一步包括：

将主控单元作为主系主控单元运行的周期数大的主控单元对应的子系统确定为主系；以及

当主控单元作为主系主控单元运行的周期数相等时，将系统默认的主系单元识别号对应的主控单元所属的子系统确定为主系。

10.如权利要求6所述的方法，其特征在于，所述方法还包括：通过第一总线和第二总线将所述多个子系统互联，其中：

通过所述第一总线将所述多个子系统的主控单元互联，用于所述主控单元之间状态的检测、以及所述多个子系统之间数据的同步；以及

通过所述第二总线将所述多个子系统的主控单元中的每一个以及所述多个子系统的各个功能单元中的每一个互联，用于所述子系统的主控单元对所述多个子系统的各个功能单元进行检测、控制和管理。