CN208953906U - 用于铁路信号系统的安全冗余系统 - Google Patents

Abstract

本实用新型提供一种用于铁路信号系统的安全冗余系统，包括：第一监控机；第一联锁机和第二联锁机，所述第一联锁机和第二联锁机分别与所述第一监控机耦合通信，并配置成可从所述第一监控机接收操作命令以及产生控制命令和向所述监控机上传状态信息；和第一执行单元和第二执行单元，所述第一执行单元和第二执行单元均与所述第一联锁机和第二联锁机耦合通信，并配置成可从所述第一联锁机和第二联锁机接收所述控制命令和向所述第一联锁机和第二联锁机上传状态信息；和切换装置，所述切换装置与所述第一执行单元和第二执行单元耦合以在所述第一执行单元和第二执行单元之间进行切换。

Description

用于铁路信号系统的安全冗余系统

技术领域

本实用新型属于交通信息工程及控制领域，涉及一种铁路信号系统的安全冗余系统。

背景技术

随着电力电子技术、安全计算机技术和信号技术的快速发展，以及对信号控制系统可靠性和可用性的要求不断提高，采用高可靠性和安全型的二乘二取二安全联锁计算机与具有智能化的电子执行单元的结合，实现了电子化计算机联锁控制系统。本实用新型为一种应用于铁路信号系统的安全冗余系统，该系统在二乘二取二安全联锁计算机系统的基础上增加了执行表示层的冗余模式及其自切换系统。

现有的计算机联锁控制系统多为：联锁计算机采用冗余系统，执行表示层为继电结构而非电子结构，并且执行结构为单套，没有冗余结构，缺乏冗余保障；部分计算机联锁控制系统表示执行层采用冗余电子结构，其前置通信机与电子执行单元通道没有冗余结构。

背景技术部分的内容仅仅是实用新型人所知晓的技术，并不当然代表本领域的现有技术。

实用新型内容

针对现有技术存在问题中的一个或多个，例如现有的计算机联锁控制系统中的执行结构缺少冗余保障，本实用新型提供一种用于铁路信号系统的安全冗余系统，包括：第一监控机；第一联锁机和第二联锁机，所述第一联锁机和第二联锁机分别与所述第一监控机耦合通信，并配置成可从所述第一监控机接收操作命令以及产生控制命令和向所述监控机上传状态信息；和第一执行单元和第二执行单元，所述第一执行单元和第二执行单元均与所述第一联锁机和第二联锁机耦合通信，并配置成可从所述第一联锁机和第二联锁机接收所述控制命令和向所述联锁机上传状态信息，所述第一执行单元和第二执行单元分别可以与被控制设备耦合以控制所述被控制设备并收集所述状态信息。

根据本实用新型的另一个方面，还包括第一通信前置机，所述第一通信前置机连接在所述第一执行单元、第二执行单元与所述第一联锁机、第二联锁机之间。

根据本实用新型的另一个方面，还包括第二通信前置机，其中所述第一通信前置机、第二通信前置机均与所述第一联锁机、第二联锁机、所述第一执行单元、第二执行单元相耦合通讯。

根据本实用新型的另一个方面，还包括第二监控机，所述第二监控机分别与所述第一联锁机和第二联锁机耦合通讯。

根据本实用新型的另一个方面，还包括维修监测机，所述维修监测机与所述第一联锁机、第二联锁机、第一执行单元、第二执行单元耦合通讯。

根据本实用新型的另一个方面，所述第一联锁机和第二联锁机之间通过通信通道进行同步。

根据本实用新型的另一个方面，所述第一通信前置机和第二通信前置机之间通过通信通道进行同步。

根据本实用新型的另一个方面，所述第一执行单元和第二执行单元之间通信通道互送主备工作状态信息。

根据本实用新型的另一个方面，还包括切换装置，所述切换装置与所述第一执行单元和第二执行单元耦合以在所述第一执行单元和第二执行单元之间进行切换。

根据本实用新型的另一个方面，所述第一联锁机和第二联锁机中的一个为主联锁机，另一个为备联锁机，所述主联锁机发送控制指令给所述第一和第二通信前置机，第一和第二联锁机均从第一和第二通信前置机接收状态信息，均发送信息给第一和第二监控机。

根据本实用新型的另一个方面，所述第一通信前置机和第二通信前置机中的一个为主通信前置机，另一个为备通信前置机，由所述主通信前置机给所述第一和第二执行单元I系、II系发送控制指令，所述第一和第二通信前置机均从所述第一和第二执行单元接收状态信息。

根据本实用新型的另一个方面，所述第一执行单元和第二执行单元中的一个为主执行单元，另一个为备执行单元，由所述主执行单元控制所述被控制设备，所述第一和第二执行单元均采集所述被控制设备的数据作为状态信息，同时将所述状态信息传输给所述维修监测机。

本实用新型还提供一种用于安全冗余系统的操作方法，包括：

当所述第一联锁机和第二联锁机中的一个发生故障时，切换至所述第一联锁机和第二联锁机中的另一个；

当所述第一执行单元和第二执行单元中的一个发生故障时，切换至所述第一执行单元和第二执行单元中的另一个。

根据本实用新型的一个方面，其中当所述第一联锁机和第二联锁机中的一个发生故障时切换至所述第一联锁机和第二联锁机中的另一个包括：将所述第一联锁机和第二联锁机中的所述一个与所述另一个进行同步，然后切换至所述另一个；

当所述第一执行单元和第二执行单元中的一个发生故障时切换至所述第一执行单元和第二执行单元中的另一个包括：将所述第一执行单元和第二执行单元中的所述一个与所述另一个进行同步，然后切换至所述另一个。

通过本实用新型的各个实施例，可以获得以下优点。

1.监控机与联锁计算机通信时通过双路工业总线网络，总线网络为冗余。

2.联锁机I系与II系之间通过同步高速通信通道交换信息，2系联锁机均为正常工作时，则安全联锁计算机以冗余热备方式工作；若联锁主系故障失效，则系统自动切换，备系升为主系控制输出。失效的联锁机修复后，经过系间主动跟随同步机制，快速与正常工作的联锁主系同步，重新参与在线运算，使系统的各种状态始终保持一致。

3.整个系统自上而下采用多重冗余交叉结构，联锁、通信前置机、电子执行单元均为二取二安全冗余结构，确保不会因单点故障和交叉故障而导致整个系统的非正常工作，将集中式控制带来的风险分散，既能够协同工作，又使系统满足更高的安全性和可用性。

4.电子执行单元可以根据站场规模来配置相应的模块数量和类型。例如，将道岔、信号、轨道、电码化等不同类型的执行单元，根据现场不同信号设备的实际采集需求和控制需求来灵活配置电子执行单元。

5.通信前置机I系与II系之间通过通信通道进行同步数据的交换，采用专门设计的冗余通信电路和安全通信协议，以保证通信链路具有故障自动切换的功能。

6.电子执行单元I系、II系与通信前置机I系、II系之间通过冗余二取二总线完成数据交换，电子执行单元采用“二取二”与逻辑控制结构，具有完善的自检功能、容错功能、动态冗余功能。另外，执行单元通过监测总线将设备各种状态参数传送给维修监测机。

7.为提高安全性和可靠性，电子执行单元模块增加切换电路，执行单元 I系与II系在系统上电时，争抢主备状态，当一系升为主系时，另一系自动成为备系(两系互为主备)。主系故障时，电子执行单元模块内部的切换电路通过切换机制将备系工作状态转变为主工作状态，提高安全性和可用性

附图说明

附图用来提供对本实用新型的进一步理解，并且构成说明书的一部分，与本实用新型的实施例一起用于解释本实用新型，并不构成对本实用新型的限制。在附图中：

图1是根据本实用新型的一个实施例的铁路信号系统的安全冗余系统的示意图；和

图2是根据本实用新型的另一个实施例的铁路信号系统的安全冗余系统的示意图。

具体实施方式

在下文中，仅简单地描述了某些示例性实施例。正如本领域技术人员可认识到的那样，在不脱离本实用新型的精神或范围的情况下，可通过各种不同方式修改所描述的实施例。因此，附图和描述被认为本质上是示例性的而非限制性的。

在本实用新型的描述中，需要理解的是，术语"中心"、"纵向"、"横向"、 "长度"、"宽度"、"厚度"、"上"、"下"、"前"、"后"、"左"、"右"、"竖直"、 "水平"、"顶"、"底"、"内"、"外"、"顺时针"、"逆时针"等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本实用新型和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本实用新型的限制。此外，术语"第一"、"第二"仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有"第一"、"第二"的特征可以明示或者隐含地包括一个或者更多个所述特征。在本实用新型的描述中，" 多个"的含义是两个或两个以上，除非另有明确具体的限定。

在本实用新型的描述中，需要说明的是，除非另有明确的规定和限定，术语"安装"、"相连"、"连接"应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接:可以是机械连接，也可以是电连接或可以相互通讯；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通或两个元件的相互作用关系。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本实用新型中的具体含义。

在本实用新型中，除非另有明确的规定和限定，第一特征在第二特征之" 上"或之"下"可以包括第一和第二特征直接接触，也可以包括第一和第二特征不是直接接触而是通过它们之间的另外的特征接触。而且，第一特征在第二特征"之上"、"上方"和"上面"包括第一特征在第二特征正上方和斜上方，或仅仅表示第一特征水平高度高于第二特征。第一特征在第二特征"之下"、" 下方"和"下面"包括第一特征在第二特征正上方和斜上方，或仅仅表示第一特征水平高度小于第二特征。

下文的公开提供了许多不同的实施方式或例子用来实现本实用新型的不同结构。为了简化本实用新型的公开，下文中对特定例子的部件和设置进行描述。当然，它们仅仅为示例，并且目的不在于限制本实用新型。此外，本实用新型可以在不同例子中重复参考数字和/或参考字母，这种重复是为了简化和清楚的目的，其本身不指示所讨论各种实施方式和/或设置之间的关系。此外，本实用新型提供了的各种特定的工艺和材料的例子，但是本领域普通技术人员可以意识到其他工艺的应用和/或其他材料的使用。

以下结合附图对本实用新型的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本实用新型，并不用于限定本实用新型。

下面参考图1描述根据本实用新型第一实施例的用于铁路信号系统的安全冗余系统1。

如图1所示，根据本实用新型的安全冗余系统1包括操作表示层、逻辑联锁层和执行层。操作表示层包括人机接口，主要实现整个系统的操作、显示和维护。逻辑联锁层通常例如基于二乘二取二安全联锁计算机实现各种联锁逻辑运算、同步和控制。执行层例如是全电子执行层，实现对底层信号基础设备的控制和监测。

操作表示层包括第一监控机10和第二监控机12。逻辑联锁层包括第一联锁机20和第二联锁机22，所述第一联锁机20和第二联锁机22分别与所述第一监控机10和第二监控机12耦合通信，并配置成可从所述第一监控机 10和第二监控机12接收操作命令并产生控制命令，并将状态信息传送至所述第一监控机10和第二监控机12。执行层例如包括第一执行单元40和第二执行单元42，所述第一执行单元40和第二执行单元42均与所述第一联锁机20和第二联锁机22耦合通信，并配置成可从所述第一联锁机20和第二联锁机22接收所述控制命令并上传状态信息。所述第一执行单元40和第二执行单元42分别可以与被控制设备(例如车站信号设备)耦合以控制所述被控制设备并收集所述状态信息。上面描述中包括了第一监控机和第二监控机，但本领域技术人员能够理解，仅包括第一监控机也是可行的。这些都在本实用新型的保护范围内。

安全冗余系统1还可包括切换装置，所述切换装置与所述第一执行单元 40和第二执行单元42耦合以在所述第一执行单元40和第二执行单元42之间进行切换。

联锁机是整个系统的逻辑运算核心，负责整个系统的逻辑运算和控制输出。联锁机根据监控机下发的操作命令和执行单元传送的站场状态信息进行联锁运算，根据运算结果产生控制命令，并将控制命令传送到执行单元；将站场状态信息、提示信息、故障信息等传送给监控机。除了二乘二取二型，联锁机还可以有双机热备、三取二等多种配置，这些都在本实用新型的保护范围内。

图1所示的实施例中，操作表示层包括第一和第二监控机10和20。监控机例如由冗余热备的工业控制计算机A机和B机组成，通过双路工业总线网络与联锁机通信。两套监控机同时工作，物理上互相独立，都具有人工操作功能，通过双路工业总线网络向联锁计算机发送操作命令，并接收来自联锁机的命令执行情况以及站场中各信号设备的表示信息，完成值班员的各种执行任务，并将执行结果实时显示在控制台或显示屏上。简言之，监控机完成人机接口功能，实现与联锁机的信息交换。但本实用新型的保护范围不限于双监控机，也可以仅包括第一监控机10。

根据本实用新型的一个优选实施例，根据本实用新型的安全冗余系统1 的执行层还包括第一通信前置机30和第二通信前置机32，所述第一通信前置机30和第二通信前置机32连接在所述第一执行单元40、第二执行单元42 与所述第一联锁机20、第二联锁机22之间。第一通信前置机30和第二通信前置机32可实现联锁机与执行单元之间的数据交换，并对来自联锁机的联锁命令和来自执行单元的设备状态进行相应的校核和检验。例如可以采用软硬件安全冗余热备结构，主备机同步运行。第一通信前置机30和第二通信前置机32可通过通信信道进行同步。

根据本实用新型的一个优选实施例，安全冗余系统1还包括维修监测机 14，所述维修监测机与所述第一联锁机20、第二联锁机22、第一执行单元 40、第二执行单元42、第一通信前置机30、第二通信前置机32耦合通讯。维修监测机完成执行单元第三通道开关量、模拟量等数据和信号设备状态的实时监测。维修监测系统是保证行车安全、加强信号设备结合部管理、监测铁路信号设备运用质量的重要行车设备。维修监测系统融合了计算机通信、自动检测和网络等技术，将维修与监测功能合为一体，通过监测并记录信号设备的主要运行状态，为维护部门掌握设备的当前状态和进行事故分析提供科学依据。维修监测机可接入局域网，实现与其他系统的信息交换。监测计算机主要监测两方面的数据：(1)执行单元第三通道的模拟量；(2)监听联锁与上位机之间的以太网，获取开关量信息。联锁I、II上位机I、II都在以太网总线上。通信前置机与监测机软件通过以太网来进行数据交互，执行单元I、II系都与监测软件相连。

第一执行单元和第二执行单元可以是继电器执行电路，也可以是电子执行单元。电子执行单元目前可替代电气集中的继电器执行组电路，完成对现场设备的驱动和状态采集。电子执行单元是整个系统的执行控制核心，负责整个系统底层信号设备的控制和状态采集，电子执行单元是一个具有逻辑与 (二取二)安全控制的电子执行单元。它是否安全可靠对整个系统的安全性和可靠性有着非常重要的影响，包括道岔控制单元模块、信号控制单元模块、轨道电路采集模块及其他控制/采集模块。其中，道岔转辙机控制单元模块例如分为直流转辙机(四/六线制)道岔控制单元模块和交流转辙机(五线制) 道岔控制单元模块；信号控制单元模块分为列车信号控制单元模块和调车信号控制单元模块；轨道电路采集单元模块分为交流轨道电路采集单元模块和 25Hz相敏轨道电路采集单元模块；其他模块有：场间联系控制采集单元模块、电码化接口控制单元模块、零散控制采集单元模块和开关量采集与驱动单元控制模块。所述第一执行单元和第二执行单元之间可通过通信通道互送主备工作状态信息。

监控机的操作命令通过冗余的工业总线网络同时下发给2系联锁机中各系的2套CPU处理系统进行运算处理。为了确保输入信息的可靠和系统运算的同步，2系联锁机通过冗余同步高速通信通道交换信息，通过2系联锁机间的同步机制，同时执行操控命令、进行运算处理，并且通过高速通信网络将比较结果发送给冗余热备的通信前置机，主工作通信前置机通过通信总线将控制命令发送给电子执行单元，电子执行单元根据接收到的命令向车站信号设备输出相应的动作电流。另外，电子执行单元为主备冗余工作状态，在模块故障时进行主备自切换，保障行车安全。联锁的故障切换例如可以通过动态电路来实现。主机故障后释放动态电路权限，备机获取到动态脉冲后，在满足其他正常工作所需条件时，即可升为主机工作。

I、II系上电，哪个先进入正常工作状态时，作为主机工作。此时，直接将对方的升为主的电路断开。

I/II系由主机工作状态转为故障时，将自身的升主电路切断，接通对方的升主电路，此时对方升为主。

联锁机I、II之间的通信主要是为了交换系间同步数据，保证两系处于相同状态运行，确保主系故障时，备系升主后运行状态的衔接。通信协议可根据具体的需要而制定。为了进行透明传输，也可以采取通用的协议。通信协议中包含了帧头、帧尾、数据长度、CRC校验、数据等。

根据一个优选实施方式，第一联锁机和第二联锁机之间(I系与II系之间的同步)通过两根光通道来实现同步，第一通信前置机和第二通信前置机之间例如通过CAN来进行通信，当然本实用新型的保护范围不限于通过CAN 总线来进行通信，第一通信前置机和第二通信前置机可以通过其他任何方式来进行通信。

在包括两个通信前置机的情况下，通信前置机故障切换是一样的，也可以通过动态电路来实现。

如图1中所示，切换装置包括分别设置在所述第一执行单元40和第二执行单元42中的两个子切换单元。图2中所示是切换装置独立于所述第一执行单元40和第二执行单元42的实施例。

下面描述单系时I系的工作原理。

第一联锁机20接收监控机的操作信息，进行逻辑运算后，下发操作命令给第一通信前置机30进行传输，同时发给维修监测机通信操作记录；

第一联锁机20接收到第一通信前置机30返回的状态信息，进行逻辑运算后，发送给监控机进行显示，同时发送新的命令给第一通信前置机进行传输，同时发给维修监测机通信数据记录；

第一电子执行单元40接收到第一通信前置机30传输的操作命令，控制外设进行相应的动作；第一电子执行单元40同时采集外设数据作为状态信息返回给第一通信前置机，同时将监测数据传输给维修监测机，同时发给维修监测机设备状态记录。

下面描述I系、II系工作原理。

第一和第二监控机A、B互为主备，由主监控机进行人机交互，监控机A、 B均接收第一和第二联锁机I、II系信息；

第一和第二联锁机I系、II系互为主备，由主联锁机进行发送操作命令给第一和第二通信前置机I系、II系，第一和第二联锁机I系、II系均接收第一和第二通信前置机状态信息，均发送信息给第一和第二监控机A、B；

第一和第二通信前置机I系、II系互为主备，由主通信前置机给第一和第二执行单元I系、II系发送操作命令，第一和第二通信前置机I系、II系均接收第一和第二执行单元I系、II系状态信息；

第一和第二执行单元I系、II系互为主备，由主执行单元控制外设执行操作命令，第一和第二执行单元I系、II系均采集外设数据作为状态信息，同时将监测数据传输给维修监测机；

以上监控层、联锁层、执行层及层间通信中任意I系、II系的主系故障 (互为主备)，均可通过层间通信交叉同步通道交互后，自动切换至备系，由备系升为主系后继续工作。

例如，本实用新型还提供一种所述的安全冗余系统的操作方法，包括：

当所述第一联锁机和第二联锁机中的一个发生故障时，切换至所述第一联锁机和第二联锁机中的另一个；

当所述第一执行单元和第二执行单元中的一个发生故障时，切换至所述第一执行单元和第二执行单元中的另一个。

根据本实用新型的一个优选实施例，其中当所述第一联锁机和第二联锁机中的一个发生故障时切换至所述第一联锁机和第二联锁机中的另一个包括：将所述第一联锁机和第二联锁机中的所述一个与所述另一个进行同步，然后切换至所述另一个；

当所述第一执行单元和第二执行单元中的一个发生故障时切换至所述第一执行单元和第二执行单元中的另一个包括：将所述第一执行单元和第二执行单元中的所述一个与所述另一个进行同步，然后切换至所述另一个。

而对于通信前置机、监控机，也可以通过类似的方式进行切换。

通过本实用新型的各个实施例，可以获得以下优点。

1.监控机与联锁计算机通信时通过双路工业总线网络，总线网络为冗余。

2.联锁机I系与II系之间通过同步高速通信通道交换信息，2系联锁机均为正常工作时，则安全联锁计算机以冗余热备方式工作；若联锁主系故障失效，则系统自动切换，备系升为主系控制输出。失效的联锁机修复后，经过系间主动跟随同步机制，快速与正常工作的联锁主系同步，重新参与在线运算，使系统的各种状态始终保持一致。

3.整个系统自上而下采用多重冗余交叉结构，联锁、通信前置机、电子执行单元均为二取二安全冗余结构，确保不会因单点故障和交叉故障而导致整个系统的非正常工作，将集中式控制带来的风险分散，既能够协同工作，又使系统满足更高的安全性和可用性。

4.电子执行单元可以根据站场规模来配置相应的模块数量和类型。例如，将道岔、信号、轨道、电码化等不同类型的执行单元，根据现场不同信号设备的实际采集需求和控制需求来灵活配置电子执行单元。

5.通信前置机I系与II系之间通过通信通道进行同步数据的交换，采用专门设计的冗余通信电路和安全通信协议，以保证通信链路具有故障自动切换的功能。

6.电子执行单元I系、II系与通信前置机I系、II系之间通过冗余二取二总线完成数据交换，电子执行单元采用“二取二”与逻辑控制结构，具有完善的自检功能、容错功能、动态冗余功能。另外，执行单元通过监测总线将设备各种状态参数传送给维修监测机。

7.为提高安全性和可靠性，电子执行单元模块增加切换电路，执行单元 I系与II系在系统上电时，争抢主备状态，当一系升为主系时，另一系自动成为备系(两系互为主备)。主系故障时，电子执行单元模块内部的切换电路通过切换机制将备系工作状态转变为主工作状态，提高安全性和可用性。

硬件安全冗余全电子计算机联锁系统结构(见图1)中，两套(系)冗余通信前置机通过交叉冗余总线与下层两套(系)冗余电子执行单元模块实施传输。这种系统传输结构方式可以防止出现同两系中的通信前置机与电子执行单元模块交叉故障产生的设备系统停用，系统中任意一台单套设备或任一总线故障仍能保持系统正常运行。同时监测装置可以监测到故障并及时报警，提高了可用性。

硬件安全冗余全电子计算机联锁系统中的电子执行单元模块是一种均带有切换电路的硬件安全冗余系统结构，能做到硬件安全冗余模块间的主备 (系)自切换。

最后应说明的是：以上所述仅为本实用新型的优选实施例而已，并不用于限制本实用新型，尽管参照前述实施例对本实用新型进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本实用新型的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本实用新型的保护范围之内。

Claims (12)

1.一种用于铁路信号系统的安全冗余系统，其特征在于，包括：

第一监控机；

第一联锁机和第二联锁机，所述第一联锁机和第二联锁机分别与所述第一监控机耦合通信，并配置成可从所述第一监控机接收操作命令以及产生控制命令和向所述监控机上传状态信息；和

第一执行单元和第二执行单元，所述第一执行单元和第二执行单元均与所述第一联锁机和第二联锁机耦合通信，并配置成可从所述第一联锁机和第二联锁机接收所述控制命令和向所述联锁机上传状态信息，所述第一执行单元和第二执行单元分别可以与被控制设备耦合以控制所述被控制设备并收集所述状态信息。

2.根据权利要求1所述的安全冗余系统，其特征在于，还包括第一通信前置机，所述第一通信前置机连接在所述第一执行单元、第二执行单元与所述第一联锁机、第二联锁机之间。

3.根据权利要求2所述的安全冗余系统，其特征在于，还包括第二通信前置机，其中所述第一通信前置机、第二通信前置机均与所述第一联锁机、第二联锁机、所述第一执行单元、第二执行单元相耦合通讯。

4.根据权利要求1-3中任一项所述的安全冗余系统，其特征在于，还包括第二监控机，所述第二监控机分别与所述第一联锁机和第二联锁机耦合通讯。

5.根据权利要求3所述的安全冗余系统，其特征在于，还包括维修监测机，所述维修监测机与所述第一联锁机、第二联锁机、第一执行单元、第二执行单元耦合通讯。

6.根据权利要求1-3中任一项所述的安全冗余系统，其特征在于，所述第一联锁机和第二联锁机之间通过通信通道进行同步。

7.根据权利要求3所述的安全冗余系统，其特征在于，所述第一通信前置机和第二通信前置机之间通过通信通道进行同步。

8.根据权利要求1-3中任一项所述的安全冗余系统，其特征在于，所述第一执行单元和第二执行单元之间通信通道互送主备工作状态信息。

9.根据权利要求1-3中任一项所述的安全冗余系统，其特征在于，还包括切换装置，所述切换装置与所述第一执行单元和第二执行单元耦合以在所述第一执行单元和第二执行单元之间进行切换。

10.根据权利要求5所述的安全冗余系统，其特征在于，所述第一联锁机和第二联锁机中的一个为主联锁机，另一个为备联锁机，所述主联锁机发送控制指令给所述第一和第二通信前置机，第一和第二联锁机均从第一和第二通信前置机接收状态信息，均发送信息给第一和第二监控机。

11.根据权利要求10所述的安全冗余系统，其特征在于，所述第一通信前置机和第二通信前置机中的一个为主通信前置机，另一个为备通信前置机，由所述主通信前置机给所述第一和第二执行单元I系、I I系发送控制指令，所述第一和第二通信前置机均从所述第一和第二执行单元接收状态信息。

12.根据权利要求11所述的安全冗余系统，其特征在于，所述第一执行单元和第二执行单元中的一个为主执行单元，另一个为备执行单元，由所述主执行单元控制所述被控制设备，所述第一和第二执行单元均采集所述被控制设备的数据作为状态信息，同时将所述状态信息传输给所述维修监测机。