CN110758489A

CN110758489A - 一种列车自动防护系统

Info

Publication number: CN110758489A
Application number: CN201911108166.4A
Authority: CN
Inventors: 杨浩; 郑志军; 尹嵘; 吴亮; 王磊; 马新成; 高泰
Original assignee: CRSC Urban Rail Transit Technology Co Ltd
Current assignee: CRSC Urban Rail Transit Technology Co Ltd
Priority date: 2019-11-13
Filing date: 2019-11-13
Publication date: 2020-02-07

Abstract

本发明实施例提供一种列车自动防护系统，包括：由第一主控单元、第一功能单元和第一表决单元组成的第一系统，由第二主控单元、第二功能单元和第二表决单元组成的第二系统，切换单元；第一主控单元分别与第一表决单元、第一功能单元和第二功能单元连接；第二主控单元分别与第二表决单元、第一功能单元和第二功能单元连接；切换单元分别与第一表决单元和第二表决单元连接；第一主控单元和第二主控单元相连接。本发明实施例提供的列车自动防护系统，双系主控板与双系功能板交叉互联实时通信，一个主控板可选择任一系统的功能板组成一套完整的单系进行工作，提高了列车自动防护系统的安全性和可靠性，保证行车安全。

Description

一种列车自动防护系统

技术领域

本发明涉及轨道交通技术领域，尤其涉及一种列车自动防护系统。

背景技术

在列车运行中，特别是在“设备优先”的列车控制系统中，列车自动防护系统ATP的安全性决定整个列车运行的安全，它自身必须要具备故障-安全的功能，即在一般故障下可正常运行而不影响列车运行安全，在严重故障时能够交出控制权，实施人工控制，确保不因本身故障发出错误控制命令，因此铁路信号设备必须经过特殊的架构设计，以保证其为一种高安全性、高可靠性的故障-安全计算机控制系统。

现有技术中，城市轨道交通ATP系统结构主要为双机热备或二乘二取二，这两种ATP结构的主控板和功能板在同一系统中相联，如果单一系统中出现某一单机故障，都将整体切换到备用系统。其中，功能板包括通信单元，输入单元，输出单元，如果主系统中通信板的任一路通道发生故障或者输入输出单元的任一IO接口发生故障，都将整体切换到备用系统。

但是，现有车载ATP系统采用的冗余结构方案均存在一定的安全风险。如果主控板和任一功能板的任一通道或接口发生故障，都将整体切换到备用系统，这将大大增加切换几率，降低了系统的可靠性和安全性，同时减损了板卡的寿命，同时ATP宕机的概率也大大增加。

发明内容

本发明实施例提供一种列车自动防护系统，用于解决现有技术中列车自动防护系统可靠性和安全性低的技术问题。

为了解决上述技术问题，一方面，本发明实施例提供一种列车自动防护系统，包括：

由第一主控单元、第一功能单元和第一表决单元组成的第一系统，由第二主控单元、第二功能单元和第二表决单元组成的第二系统，以及切换单元；

第一主控单元分别与第一表决单元、第一功能单元和第二功能单元连接；

第二主控单元分别与第二表决单元、第一功能单元和第二功能单元连接；

切换单元分别与第一表决单元和第二表决单元连接；

第一主控单元和第二主控单元相连接。

进一步地，第一主控单元和第二主控单元通过串行总线连接，第一主控单元和第二主控单元运行相同的程序，执行相同的任务。

进一步地，系统上电后，第一系统和第二系统通过竞争机制确定主从关系。

进一步地，第一主控单元和第二主控单元均包括两个功能相同的处理器，两个处理器以二取二的方式完成逻辑运算。

进一步地，第一功能单元包括第一输入单元和第二输入单元，第二功能单元包括第三输入单元和第四输入单元；

第一主控单元分别与第一输入单元、第二输入单元、第三输入单元和第四输入单元连接；

第二主控单元分别与第一输入单元、第二输入单元、第三输入单元和第四输入单元连接；

第一输入单元和第三输入单元采集相同的数据，第二输入单元和第四输入单元采集相同的数据，第一输入单元和第二输入单元分别采集不同的数据。

进一步地，第一功能单元还包括第一输出单元和第二输出单元，第二功能单元还包括第三输出单元和第四输出单元；

第一主控单元分别与第一输出单元、第二输出单元、第三输出单元和第四输出单元连接；

第二主控单元分别与第一输出单元、第二输出单元、第三输出单元和第四输出单元连接；

第一输出单元和第三输出单元输出相同的数据，第二输出单元和第四输出单元输出相同的数据，第一输出单元和第二输出单元分别输出不同的数据。

进一步地，第一功能单元还包括第一通信单元，第二功能单元还包括第二通信单元；

第一主控单元分别与第一通信单元和第二通信单元连接；

第二主控单元分别与第一通信单元和第二通信单元连接。

进一步地，第一通信单元和第二通信单元均至少设置有一个多功能车辆MVB总线接口。

进一步地，第一通信单元和第二通信单元均至少设置有三个控制器局域网络CAN总线接口。

进一步地，第一通信单元和第二通信单元均至少设置有两个串行通信接口SCI总线接口。

本发明实施例提供的列车自动防护系统，基于二乘二取二安全冗余热备架构，互为校核，互为备用，双系主控板与双系功能板交叉互联实时通信，主控板可选择两系统中的任一功能板组成一套完整的单系统进行工作，任何一套模块故障都不会影响系统的功能，提高了列车自动防护系统的安全性和可靠性，保证行车安全。

附图说明

图1为本发明实施例提供的列车自动防护系统示意图；

图2为本发明实施例提供的输入数据校验流程示意图；

图3为本发明实施例提供的输出数据校验流程示意图；

图4为本发明实施例提供的数据发送逻辑流程示意图；

图5为本发明实施例提供的数据接收逻辑流程示意图。

具体实施方式

为了使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

随着城市轨道交通信号控制技术的快速发展，列车自动防护系统(简称ATP)在保证行车安全方面得到了很好的应用。ATP负责列车的安全运行，具有识别列车位置，制动防护，超速防护，与司机人机交互，故障检测和记录等功能，用来完成列车运行的间隔控制、进路控制、超速防护，其工作原理是：地面ATP系统(简称ZC)以数字形式传送停车点的位置信息，由列车确定自身位置，不断计算列车到停车点的距离，并考虑曲线、坡度等线路条件，计算出制动曲线，然后把计算出的制动曲线与列车实际运行速度进行比较，实施制动。

现有车载ATP系统采用的冗余结构方案均存在一定的安全风险。如果主控板(或称主控单元)和任一功能板(或称功能单元)的任一通道或接口发生故障，都将整体切换到备用系统，这将大大增加切换几率，降低了系统的可靠性和安全性，同时减损了板卡的寿命，同时ATP系统宕机的概率也大大增加。

为了解决上述技术问题，图1为本发明实施例提供的列车自动防护系统示意图，如图1所示，本发明实施例提供一种列车自动防护系统。该系统包括：由第一主控单元、第一功能单元和第一表决单元组成的第一系统，由第二主控单元、第二功能单元和第二表决单元组成的第二系统，以及切换单元；

切换单元分别与第一表决单元和第二表决单元连接；

第一主控单元和第二主控单元相连接。

具体来说，本发明实施例提供的列车自动防护系统包括第一系统和第二系统和切换单元。第一系统和第二系统(简称双系)之间互为冗余，每一套系统都有主控单元、通信单元、输入单元、输出单元、电源单元和表决单元构成。

其中，第一系统由第一主控单元、第一功能单元和第一表决单元，以及第一电源单元组成，第二系统由第二主控单元、第二功能单元和第二表决单元，以及第二电源单元组成。

第一主控单元分别与第一表决单元、第一功能单元和第二功能单元连接；第二主控单元分别与第二表决单元、第一功能单元和第二功能单元连接；切换单元分别与第一表决单元和第二表决单元连接；第一主控单元和第二主控单元相连接。

第一系统和第二系统中的任一主控单元同时分别与两个系统中的功能单元，通过串行通信SBP交叉互联，两系之间可以构成交叉冗余的关系。双系主控单元与双系功能单元实时通信，任何一个主控单元可自由选择双系中的一个功能单元组成一套完整的单系进行工作，其中一个系统作为主系统，另一个系统作为备系统，主系统每个周期需要发送同步控制信息，控制备系统及其它功能单元的同步工作。

基于上述任一实施例，进一步地，第一主控单元和第二主控单元通过串行总线连接，第一主控单元和第二主控单元运行相同的程序，执行相同的任务。

具体来说，第一主控单元和第二主控单元通过同步通道互连，该同步通道为串行总线。第一主控单元和第二主控单元相互独立，互为热备，各自运行相同的程序，执行相同的任务，当其中一个系统发生故障时，可以无缝切换到另外一个系统。

基于上述任一实施例，进一步地，系统上电后，第一系统和第二系统通过竞争机制确定主从关系。

具体来说，第一主控单元和第二主控单元通过同步通道互连，该同步通道为串行总线。第一主控单元和第二主控单元相互独立，互为热备，各自运行相同的程序，执行相同的任务，两主控单元之间通过同步通道互连，上电后通过竞争机制确定主从系统，该竞争机制可以主控单元的开机启动时间或者CPU运行速率等指标来确定。当主系发生故障时，备系能无缝切换为主系。

基于上述任一实施例，进一步地，第一主控单元和第二主控单元均包括两个功能相同的处理器，两个处理器以二取二的方式完成逻辑运算。

具体来说，第一主控单元和第二主控单元均包括两个功能相同的处理器CPU，两CPU之间以二取二的方式完成逻辑运算比较功能，比较一致时输出，反之则不输出，从而保证输出数据的可靠性。

基于上述任一实施例，进一步地，第一功能单元包括第一输入单元和第二输入单元，第二功能单元包括第三输入单元和第四输入单元；

具体来说，本发明实施例中的第一系统和第二系统中的输入单元同样采用冗余设计，第一功能单元包括第一输入单元和第二输入单元，第二功能单元包括第三输入单元和第四输入单元。

两个系统中的主控单元与四个输入单元交叉互联，两系之间构成交叉冗余的关系。第一主控单元分别与第一输入单元、第二输入单元、第三输入单元和第四输入单元连接；第二主控单元分别与第一输入单元、第二输入单元、第三输入单元和第四输入单元连接。

图2为本发明实施例提供的输入数据校验流程示意图，如图2所示，ATP系统每隔一定周期，例如，100ms，向底层平台发送数据查询帧，防止输入单元第一帧数据不全。主系主控单元采集四个输入单元的数据，对每个输入单元的数据进行正反码校验，优先使用输入单元工作正常且正反码校验通过的编号为1的输入单元和编号为2的输入单元的数据(不区分第一系统和第二系统，第一输入单元和第三输入单元的编号都为1，第二输入单元和第四输入单元的编号都为2)，对未通过正反码校验且工作不正常的输入板记录故障；如果四块输入板均工作正常且数据均校验通过，则默认使用第一系统的输入单元的数据；如果三块输入单元工作正常且数据校验通过，则默认使用同一系统中的输入单元的数据；如果四块输入板均工作不正常或数据均未校验通过，或未采集到数据，则确定宕机并记录故障。之后进行IO输入量防抖处理，以供系统应用层调用解析。

基于上述任一实施例，进一步地，第一功能单元还包括第一输出单元和第二输出单元，第二功能单元还包括第三输出单元和第四输出单元；

具体来说，本发明实施例中的第一系统和第二系统中的输出单元同样采用冗余设计，第一功能单元包括第一输出单元和第二输出单元，第二功能单元包括第三输出单元和第四输出单元。

两个系统中的主控单元与四个输出单元交叉互联，两系之间构成交叉冗余的关系。第一主控单元分别与第一输出单元、第二输出单元、第三输出单元和第四输出单元连接；第二主控单元分别与第一输出单元、第二输出单元、第三输出单元和第四输出单元连接。

图3为本发明实施例提供的输出数据校验流程示意图，如图3所示，第一系统和第二系统各两块输出单元，输出单元1和输出单元2(不区分第一系统和第二系统，第一输出单元和第三输出单元的编号都为1，第二输出单元和第四输出单元的编号都为2)分别输出不同的信号数据，双系主控单元与四块输出单元交叉互联，构成交叉冗余的关系，主系主控单元可自由选择任一输出单元1和输出单元2构成一套完整的单系工作。ATP系统每隔一定周期，例如，10ms，向底层硬件平台输出IO数据，必须保证双系输出单元1和输出单元2分别至少有一块工作正常，如果输出IO数据失败，表示输出单元故障，此时宕机，并记录故障。

基于上述任一实施例，进一步地，第一功能单元还包括第一通信单元，第二功能单元还包括第二通信单元；

第一主控单元分别与第一通信单元和第二通信单元连接；

第二主控单元分别与第一通信单元和第二通信单元连接。

第一通信单元和第二通信单元均至少设置有一个多功能车辆MVB总线接口。

第一通信单元和第二通信单元均至少设置有三个控制器局域网络CAN总线接口。

第一通信单元和第二通信单元均至少设置有两个串行通信接口SCI总线接口。

具体来说，第一系统和第二系统各包括一个通信单元，其中，第一系统的第一功能单元包括第一通信单元，第二系统的第二功能单元包括第二通信单元。

每个通信单元均至少设置有一个多功能车辆MVB总线接口，三个控制器局域网络CAN总线(CAN0,CAN1,CAN2)接口和两个串行通信接口SCI总线(SCI0,SCI1)接口。ATP系统通过MVB总线与车辆TCMS通信，通过CAN总线分别与HMI，BTM和车载ATP首尾进行通信，通过SCI总线分别与调试串口和雷达通信。

第一主控单元分别与第一通信单元和第二通信单元连接；第二主控单元分别与第一通信单元和第二通信单元连接。

双系主控单元与两块通信单元交叉互联，构成交叉冗余的关系，主系主控单元可自由选择任一通信单元的任一路MVB，CAN和SCI构成一套完整的单系工作，任何一路通信故障都不会影响系统的功能。

图4为本发明实施例提供的数据发送逻辑流程示意图，如图4所示，ATP系统通过1路MVB，3路CAN和2路SCI每隔一定周期，例如，200ms，发送通信数据，两块通信单元的MVB，CAN和SCI通道构成冗余热备关系，在一块通信单元的通道故障的情况下保证数据可以从另一块发送出去，如果两块通信单元均故障，则ATP系统宕机，并记录故障。

图5为本发明实施例提供的数据接收逻辑流程示意图，如图5所示，ATP系统通过1路MVB，3路CAN和2路SCI每隔一定周期，例如，10ms，接收通信数据。如果两块通信单元的MVB，CAN和SCI通道均工作正常，则默认使用第一系统中的通信单元；如果任何一路通信通道故障，则使用另一块通信单元中的通信通道；如果MVB或CAN0,CAN1,CAN2或SCI0,SCI1任何一路两块通信单元中的通道均故障，不能组成完整通信单元，则ATP系统宕机，并记录故障。

正常工作时，双系主控单元都加电工作，但只有一个主控单元输出能经过切换控制器去控制被控对象，即其输出是有效的，处于工作状态，称为主系。另一主控单元的输出是无效的，称为备系。双系主控单元同时上电后，通过竞争抢权获得控制权者为主系，另者为备系。非同时上电，先上电者为主系，后上电者为备系。

主系主控单元发生故障，则死机，备系立刻无缝升为主系，与功能单元组成一套单系系统，保证系统稳定运行。

第一系统的输入单元1和第二系统的输入单元2发生故障，则第一系统的输入单元2和第二系统的输入单元1，与主系主控单元组成一套完整的输入单元，保证系统稳定运行。

第一系统的输出单元2和第二系统的输出单元2发生故障，则ATP系统宕机，记录故障。第一系统的输出单元2和第二系统的输出单元1发生故障，则第一系统的输出单元1和第二系统的输出单元2，与主系主控单元组成一套完整输出单元，保证系统稳定运行。

第一系统的通信单元的CAN0通道和第二系统的通信单元的SCI1通道发生故障，则主控单元立刻采用第二系统的通信单元的CAN0通道和第一系统的通信单元的SCI1通道的数据，做到通信单元的某一通道传输任务的迅速接管，整个通信单元依然完整，稳定运行。

本发明实施例提供的列车自动防护系统，双系主控单元与功能单元交叉互联，任何一套功能单元故障都不会影响系统的功能，具有双机比较的安全性和双重系统的可靠性。ATP系统中的两套系统处于完全平等的地位，没有主次之分，不存在一系系统故障引起启动时间及其系统转换等相关技术问题，保证系统的稳定运行。ATP列车自动防护系统保证系统每个单元具有自检测能力。整个系统满足SIL4级安全完整性等级，在可用性和安全性上都满足设计需要。双系输入单元，输出单元，通信单元多种组合方式，最大限度避免故障对系统的影响，保证系统稳定运行。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种列车自动防护系统，其特征在于，包括：

切换单元分别与第一表决单元和第二表决单元连接；

第一主控单元和第二主控单元相连接。

2.根据权利要求1所述的列车自动防护系统，其特征在于，第一主控单元和第二主控单元通过串行总线连接，第一主控单元和第二主控单元运行相同的程序，执行相同的任务。

3.根据权利要求1所述的列车自动防护系统，其特征在于，系统上电后，第一系统和第二系统通过竞争机制确定主从关系。

4.根据权利要求1所述的列车自动防护系统，其特征在于，第一主控单元和第二主控单元均包括两个功能相同的处理器，两个处理器以二取二的方式完成逻辑运算。

5.根据权利要求1所述的列车自动防护系统，其特征在于，第一功能单元包括第一输入单元和第二输入单元，第二功能单元包括第三输入单元和第四输入单元；

6.根据权利要求1所述的列车自动防护系统，其特征在于，第一功能单元还包括第一输出单元和第二输出单元，第二功能单元还包括第三输出单元和第四输出单元；

7.根据权利要求1-6任一项所述的列车自动防护系统，其特征在于，第一功能单元还包括第一通信单元，第二功能单元还包括第二通信单元；

第一主控单元分别与第一通信单元和第二通信单元连接；

第二主控单元分别与第一通信单元和第二通信单元连接。

8.根据权利要求7所述的列车自动防护系统，其特征在于，第一通信单元和第二通信单元均至少设置有一个多功能车辆MVB总线接口。

9.根据权利要求7所述的列车自动防护系统，其特征在于，第一通信单元和第二通信单元均至少设置有三个控制器局域网络CAN总线接口。

10.根据权利要求7所述的列车自动防护系统，其特征在于，第一通信单元和第二通信单元均至少设置有两个串行通信接口SCI总线接口。