2.3　核心單元技術與設備

2.3.1　安全計算機平臺技術

隨著計算機應用技術迅速發展，其在工控、鐵路、交通等和人們生活息息相關的領域得到了廣泛的應用。特別是隨著鐵路行業的大發展，對計算機技術依賴越來越高。另一方面，計算機系統的故障將會造成重大的人員和經濟損失，因此對計算機系統的安全性和可靠性要求也越來越高[18]。信號設備是用來保證列車高效安全運行的控制設備，因此對其安全性要求十分苛刻，歐標要求其系統安全完整性必須達到SIL4等級，即危險失效率＞1.0×10-9，國內也對其有同等要求。因此計算機必須有完備的故障檢測手段，以保證能夠及時發現故障并使控制設備導向安全側，即故障—安全原則。

安全計算機平臺是為信號設備提供安全輸入、輸出執行、數據安全及安全運行環境。作為信號設備的核心，承載著保證鐵路信號設備安全和可靠運行的重要任務。根據鐵路特有特點，安全計算機主要功能包括提供安全的IO輸入接口、安全的IO輸出接口、安全的通信接口、應用數據安全性保證、應用軟件處理過程的安全性保證等。

安全計算機系統的主要要求包括兩個方面：

①與安全相關的電路必須符合故障—安全原則；

②系統應按照安全完整性等級SIL4級的要求設計，危險失效率THR≤10-9次/h。

目前比較主流的安全平臺主要有二乘二取二和三取二結構。由于三取二的實現成本過高，國內一般采用二乘二取二的冗余結構，如聯鎖設備、列控設備、既有線的站間傳輸設備均采用此結構。

安全計算機處理器系統包括處理器、內存及觸發器等數字時序電路器件。這些器件系統復雜，瞬時失效風險高，并且存在著不確定性，其發生和消失都具有隨機性。特別其運行環境惡劣，如電磁干擾、惡劣的散熱條件或工作溫度影響、振動等，任何器件不可能百分之百地可靠運行，總是存在失效可能。即使是小概率事件，當其出現故障，沒有完備檢測方法和有效的控制手段，就有可能造成嚴重后果。當然并不是所有器件的失效都會產生嚴重后果，并且對每一個器件的失效都制定防護手段也不現實，因此需要對器件進行失效分析，確定其產生后果是否是可接受的，從而決定是否需要制定防護手段。

如表2-2和表2-3所示，根據ALARP原則，可以將風險等級歸類為下面三類：（a）風險不可接受區域（R1和R2區域）；（b）風險可容忍區域（R3區域，也稱ALARP區域）；（c）風險可廣泛接受區域（R4區域）。針對風險不可接受的R1和R2區域，必須采取必要的風險降低措施，使風險等級降低到R4或R3區域。針對風險可廣泛接受得R4區域，可以不需要采取任何風險降低措施就可以接受。針對落入ALARP區域的R3風險，需要能夠證明增加額外的風險降低措施帶來的成本大于取得的風險收益才能被接受。

《Engineering Safety Management（The Yellow Book）Issue 4》規定的七步風險分析方法，一般選取其中四步進行風險分析，即危害識別、后果分析、原因分析和選項分析。

①使用FMECA方法分析功能失效模式（即危害）。

②使用事件樹對危害進行后果分析，將對應危險失效（R1、R2、R3失效模式）納入安全平臺的危害列表。

③使用故障樹對危害列表的危害進行原因分析。

④針對危害發生的原因，進行選項分析，提出設計改進措施和補償措施。

一個產品的失效主要由系統失效和隨機失效組成。通過對其控制能夠使產品的可靠性和安全性達到安全產品的要求。

2.3.1.1　系統失效控制

系統失效主要由于人的錯誤、工具BUG、誤操作等原因產生，其控制手段主要由管理流程及設計異構。通過管理流程制度的建立來避免和控制由設計錯誤、環境條件、誤操作或人為因素引起的故障。主要采用三組完全獨立的人員對各個設計環節進行確認和驗證，如圖2-11所示。驗證人員檢驗每一環節的設計是否滿足上一環節要求，確認人員通過測試驗證設計實現是否滿足軟件需求和系統需求。

設計異構指的是兩組背景完全獨立的設計人員，對同一功能進行設計，產生兩種實現，對輸出進行相互校驗，來控制系統失效。

2.3.1.2　隨機失效控制

隨機失效主要采用故障—安全技術進行控制。通過確定功能的安全側，當隨機失效發生時，采取措施使其處于安全側。故障—安全技術包括反應故障—安全法、組合故障—安全法（復合式）和固有故障—安全法等。

①反應故障—安全法由安全相關功能單一項完成，通過快速故障檢測和對任何危險失效進行避錯控制來確保其操作安全性，如圖2-12所示，控制與防護部分完全獨立，軟硬件各不相同，例如運算單元檢測、數據安全性檢測、IO輸出回采等。運算單元檢測一般通過執行基礎運算邏輯語句，使其遍歷所有處理模塊，如算術運算單元、邏輯單元等，對執行結果與預期比較，達到檢測目的；數據安全性檢測對于狀態性數據采用最大碼距的方法進行檢測，對于運算數據則采用數據編碼方式進行檢測，如CRC校驗和反碼比對方式；IO輸出回采是對IO輸出的中間執行信號和輸出結果進行回采，當發現執行動作與輸出不一致時，立刻采取控制措施，切斷輸出。

②組合故障—安全檢測法指的是安全相關功能由兩個或以上項來執行，通過之間的判決來進行故障檢測（圖2-13）。如二取二結構，對同一功能采用兩套硬件和軟件，分別進行獨立處理，兩套處理模塊進行比較，只有執行一致時才對外輸出。

③固有故障—安全檢測方法是指安全相關功能由單一單元執行，當其實現電路任意器件出現故障時，其輸出都處于安全狀態。如IO數據采集電路，采用動態采集方法，這種動態采集的工作原理遵守了故障導向安全的原則。例如：在國內鐵路行業應用中，繼電器接點狀態原來為斷開（“0”）但是采集為閉合（“1”）的做法稱為危險側。這種危險側的發生，常見于采集電路的器件失效。如圖2-14所示，通過動態采集，即“變化”為“1”、“不變化”為“0”的原理，可以有效避免采集電路器件失效后，采集結果導向危險側的發生，即遵守了故障—安全原則。

對于如圖2-15所示的二取二安全結構，其中的監督電路、動態驅動使能電路等基于固有故障—安全模式，自檢采用反應故障—安全模式，驅動模塊與功能電路和CPU間互檢采用組合式故障—安全模式。只有當自檢和互檢都通過后，監督電路才允許輸出，否則拒絕輸出。通過三種方法的結合使用，使系統具有更高的安全性。

2.3.2　計算機聯鎖系統

計算機聯鎖是采用微型計算機對車站值班人員的操作命令與現場實際狀態的表示信息進行邏輯運算，從而實現對信號機、道岔及進路進行集中控制和聯鎖的車站聯鎖設備，是保證車站內列車和調車作業安全，提高車站通過能力的一種信號設備[19-20]。其主要功能包括聯鎖控制功能（進路控制、信號開放與關閉、道岔控制等）、顯示功能（站場圖、現場信號設備狀態、值班員按鈕動作、系統狀態及故障報警等）、記錄存儲和故障檢測與診斷功能以及數據交換功能。

典型的計算機聯鎖系統結構包括集中式控制（通常由室內和室外兩部分構成，各層功能均由一臺計算機完成）和分散式控制結構（按結構層次劃分成若干相對獨立又有一定聯系的功能模塊，由相應計算機處理）。下面結合安全計算機平臺技術介紹一下幾種典型的計算機聯鎖系統。

2.3.2.1　雙機熱備型計算機聯鎖

（1）TYJL-Ⅱ型計算機聯鎖

TYJL-Ⅱ型計算機聯鎖系統是鐵道科學院研制的雙機熱備結構交換機聯鎖控制系統；是一個分布式多處理系統，系統采用模塊化結構，可根據站場的實際需要，進行拼裝連接，構成大小不一的系統。系統主要由五部分組成，即控制臺、監控機、聯鎖機、執表機和電務維修機，如圖2-16所示。

（2）DS6-11型計算機聯鎖

DS6-11型計算機聯鎖是由通號集團研制，采用高可靠的工控機，運用網絡通信技術構成多微機分布式控制系統。系統由控制臺系統、監測子系統、聯鎖子系統、輸入輸出接口等部分組成，如圖2-17所示。各子系統采用的計算機統一為PC總線工控機，機箱和電源為整體結構，具有良好的適應工業現場環境和抗干擾性能。系統所有輸入輸出接口均經過光電耦合器件實現計算機設備與現場設備的電氣隔離，能夠有效防止來自現場方面的電氣干擾。

（3）JD-IA型計算機聯鎖

JD-IA型計算機聯鎖系統是由交大微聯科技有限公司開發研制的計算機聯鎖系統，保留了6502電氣集中的執行電路，其他電路則由計算機聯鎖系統代替。系統的關鍵部分均采用雙機熱備，保證故障時不間斷使用。

（4）VPI型計算機聯鎖

VPI型計算機聯鎖系統是卡斯柯信號有限公司（CASCO）引進阿爾斯通集團信號公司（ALSTOM Signaling）的VPI（Vitalprocessor Interlocking，安全型計算機聯鎖）專利技術，結合通過鐵路運營技術要求進行二次開發，滿足鐵路專用要求的高可靠安全型信號聯鎖系統。

VPI型計算機聯鎖系統在采用了從ALSTOM引進國際認證的核心安全技術的基礎上，在功能上、網絡結構上做了較大改進，將系統功能分散到網絡上的人機接口子系統、聯鎖處理、系統維護等節點上，由每個功能節點來完成一種或多種功能，而每個功能節點就是一個完整的計算機系統，彼此通過冗余網絡交換信息并協調運行。

2.3.2.2　二乘二取二計算機聯鎖

（1）EI32-JD型計算機聯鎖

EI32-JD型計算機聯鎖是由日本信號株式會社和交大微聯科技有限公司聯合開發研制的計算機聯鎖系統，采用日本信號株式會社研制的硬件系統（EI32電子聯鎖系統）和交大微聯研制的軟件系統。EI32-JD型計算機聯鎖是二乘二取二系統，遵守故障—安全原則，其關鍵部分均采用雙套熱備，保證故障時不間斷運行。該聯鎖系統屬于分布式計算機控制系統，其特點是分散控制和集中信息管理。系統包括人機會話層（操作表示層）、聯鎖運算層、執行層。

（2）DS6-K5B型計算機聯鎖

DS6-K5B型計算機聯鎖系統是通號公司與日本京三公司聯合開發的計算機聯鎖系統。聯鎖計算機和輸入輸出電路采用日本京三公司的K5B型產品（K5B型系統是日本京三制作所在K5型系統上采用32位處理器的升級系統），所有涉及到安全信息處理和傳輸的部件均按照故障—安全原則采取了二重系統結構設計，如圖2-18所示。在軟件中保留了K5B的管理程序，刪除了K5B原理的聯鎖程序，而將DS6-11型計算機聯鎖的聯鎖程序移植到K5B系統中。

聯鎖處理部件采取雙CPU共用時鐘，對數據母線信號執行同步比較，發生錯誤時使輸出倒向安全，遵守故障—安全原則，如圖2-19所示。聯鎖2重系為主從式熱備冗余，通過高速通道進行數據交換，保證2重系同步運行，可實現不間斷的雙系切換。

DS6-K5B系統的上位機是在DS6-11系統基礎上進行了新的開發，軟件平臺上升到WINDOWSNT，使得操作界面得到改善，功能進一步提高。控制臺操作表示設備提供屏幕顯示器、表示盤、鼠標和按鈕操作臺燈等多種選擇。DS6-K5B系統與傳統雙機熱備系統相比，安全可靠性上升到一個新的水平，與K5B系統相比，造價大幅度降低。

（3）iLOCK型計算機聯鎖

iLOCK型計算機聯鎖系統是卡斯柯信號有限公司引進法國ALSTOM公司SMARTLOCK系統核心技術，并進行了國產化開發的二乘二取二系統[21]。該系統在一般二取二硬件冗余結構基礎上，采用NISAL專利技術，增加了獨立的“故障—安全”校驗用CPU模塊，使系統比一般的二取二結構具有更高的安全性。iLOCK綜合運用了反應故障—安全、組合故障—安全和固有故障—安全技術。比采用單一安全技術的系統具備更高的安全性。系統中的VPS板（安全校驗板）、VIIB板（雙采安全型輸入板）、VOOB板（安全型雙斷輸出板）以及安全輸出板中的AOCD元器件，均像安全型繼電器一樣具有“固有故障—安全”特性，如圖2-20所示。

安全邏輯運算（VLE）板采用雙CPU進行運算，對同一功能，在CPU1和CPU2中采用了獨立相異的二組編碼來表示，運行各自獨立的軟件，使聯鎖機從硬件到軟件均構成二取二的組合故障—安全體系結構；在聯鎖運算采用二取二模式的基礎上，CPU1和CPU2每執行一行程序，均分別構成校核字被實時地送到以VPS板為核心的獨立的安全防護（校驗）部分進行校核，以監督系統完好，且每行程序均得到正確執行。安全校驗（VPS）板對各安全型輸出端口進行實時動態校核（校核周期為50ms），確保防護電路能在系統可能發生錯誤輸出之前即切斷輸出通道的電流，以實現故障—安全目的。

（4）TYJL-ADX型計算機聯鎖

TYJL-ADX型計算機聯鎖系統是鐵科院通號所基于日本日立公司的ADX1000聯鎖系統開發而成。系統在引進日本日立公司以時鐘同步、總線級比較技術的基礎上，采用二乘二取二安全冗余結構的ADX-1000型計算機聯鎖系統的核心硬件及其專用軟件平臺上，按照我國鐵路信號的技術需求，結合TYJL-TR9型計算機聯鎖系統的軟件進行系統集成。外圍系統進行了重新配置和進一步優化，完善了系統功能。

2.3.3　無線閉塞中心

無線閉塞中心（RBC）硬件采用冗余安全結構，主要設備包括無線閉塞單元（Radio Block Unit，RBU）、協議適配器（Versatile Interface Adapter，VIA）、RBC維護終端、司法記錄單元（Judical Recorder Unit，JRU）、綜合數字服務網（Integrate Services Digital Network，ISDN）服務器、操作控制終端和交換機等設備組成，如圖2-21所示[7，8，22]。

2.3.3.1　RBC設備功能和結構

RBC采用安全計算機平臺，遵循安全性原則，由不同的故障安全處理單元和操作系統構成。應用軟件采用N版本冗余技術，對運算和表決采用不同的策略。RBC操作控制終端由服務器和工作站組成，主要可完成站場圖形顯示、進路及列車運行情況顯示、列車的登記與注銷、緊急操作以及RBC系統的維護與診斷等功能。典型的設備結構（通號公司RBC-TH）如圖2-22所示。

RBC柜內包括兩臺內部交換機（DSW）和三臺外部交換機（ESW），其中DSW用于RBU中各服務器之間的通信；ESW用于實現無線閉塞單元的對外通信，以及無線閉塞單元和ISDN服務器到VPC的通信。VPC_A、VPC_B和VPC_C是ISDN服務器。

司法記錄單元將RBC所有狀態以及列車報告的數據和狀態均記錄下來，以備分析檢查，通過ISDN服務器為RBC提供通話路由。

CTCS-3級車載設備與RBC之間使用GSM-R交換信息，為了保證通信安全（對發送端/接收端以及數據完整性的認證），CTCS-3級車載設備與RBC之間需要使用密鑰。在通信開始時，發送端和接收端通過認證（自動識別和認證程序），交換的數據通過使用信息認證碼受到保護。密鑰管理中心（KMC）負責密鑰的生成和分配。

2.3.3.2　RBC設備外部接口

（1）RBC與車站聯鎖接口

RBC和聯鎖系統將站間線路劃分為若干個信號授權SA區段，然后以此為基本單位進行信息交互，以對象的方式傳遞信息，對象包括列車狀態、信號授權和緊急停車區。

RBC通過列車狀態對象向聯鎖發送列車相關信息，包括列車信息、行車許可狀態、列車位置信息、列車長度信息以及列車速度信息。

聯鎖通過信號授權對象向RBC發送進路狀態相關信息，包括進路類型、進路狀態、降級狀態、SA區段的ID號、危險點信息、列車溜入檢測標志以及開口速度。

聯鎖中可設置緊急停車區，其狀態可通過緊急區對象傳遞給RBC。如果緊急停車區被激活，那么RBC將向該區域內以及將要進入該區域的列車發送無條件或有條件緊急停車消息，并在撤銷該緊急停車區前不會對該區域下發新的行車許可。

RBC與聯鎖系統通過冗余配置的TCP/IP信號專用安全通信網連接，采用安全通信協議，實現信息安全傳輸。

（2）RBC與CTC接口

CTC向RBC發送登錄信息和注銷信息，登錄信息包括操作ID號、操作員ID號、操作員用戶名和密碼，操作號用于操作反饋，用戶名和密碼在登錄時使用，操作員ID將在其他指令下使用以驗證操作員。注銷信息只包括操作號和操作員ID號。

CTC可以通過RBC向列車下發無條件緊急停車命令，也能夠撤銷下發的緊急停車命令。對于CTC發來的命令，RBC將無條件執行。

時間同步信息由CTC向RBC發送，CTC系統采用NTP時間同步協議。

當RBC與CTC通信連接建立后，RBC需要向CTC發送所有的列車狀態信息。隨著列車運行，當列車狀態發送變化時，RBC需要主動向CTC發送更新的列車狀態信息。CTC系統也可以根據需要，主動要求RBC向CTC發送指定列車的狀態信息。列車狀態信息包括列車狀態請求消息和列車狀態消息。RBC系統應周期向CTC發送其工作狀態信息，包括VIA-RBC連接狀態、RBC設備在線信息和VIA設備在線信息。RBC系統內部如發生需要通知調度員的報警信息時，如GSM-R無線單元內列車數量超限的報警，可通過接口傳送至CTC系統。

在CTC系統調度中心設置CTC/RBC接口服務器，CTC/RBC接口服務器通過以太網通信端口一端接入RBC網絡，另一端接入CTC調度中心局域網。CTC系統通過協議轉換器（VIA）設備和RBC系統進行數據交換。CTC-RBC接口服務器為雙套配置，同時和多套VIA相連。

（3）RBC與臨時限速服務器接口

臨時限速信息包括臨時限速命令和臨時限速狀態。臨時限速服務器/RBC間交換的所有數據均采用安全通信協議，保證數據交換的安全[23]。RBC通過信號專用安全數據通信網直接與臨時限速服務器連接，傳輸臨時限速相關信息。

（4）RBC與集中監測設備接口

RBC向集中監測站機傳送的主要信息包括RBC設備的運行狀態信息、維護診斷信息等。在控制中心設置信號監測終端系統，終端計算機一端接入RBC的非安全局域網，一端接入監測局域網。RBC本地終端將所有RBC的維護和診斷信息匯總并處理，然后按照規定的應用層通信協議，將RBC的監測信息發送給信號集中監測的終端計算機，通過信號集中監測網絡，將RBC監測信息發送給各級維修中心。

（5）RBC與GSM-R網絡之間接口

RBC通過ISDNPRI接口與GSM-R網絡移動交換機（MSC）連接。一個RBC與MSC的PRI接口必須冗余配置，MSC為這些接口分配統一的ISDN呼入號碼，并按照負荷分擔原則將車載臺對某個RBC的呼叫路由到一個可用的PRI接口上。

2.3.4　列控中心

列控中心作為設置于各車站或中繼站的列控安全設備，與軌道電路、計算機聯鎖、臨時限速服務器、其他站列控中心、應答器地面電子單元、CTC和信號集中監測等連接，實現對軌道電路、有源應答器、區間方向和閉塞控制等功能。列控中心根據調度命令、進路狀態、線路參數等產生進路及臨時限速等相關信息，通過有源應答器及軌道電路向列車動態傳送，從而實現對列車運行的動態控制[24-28]。

2.3.4.1　列控中心接口

列控中心適用于高速鐵路上的聯鎖車站、信號中繼站以及有客運作業的無岔車站，與之對應的列控中心被稱為車站列控中心、中繼站列控中心和無岔站列控中心。其中車站列控中心與聯鎖、軌道電路、臨時限速服務器、LEU、CTC設備和集中監測設備直接接口，并管轄其范圍內的中繼站列控中心；中繼站列控中心與軌道電路、臨時限速服務器、LEU和集中監測設備直接接口，從屬于車站列控中心，從車站列控中心接收線路方向信息，并將相應的軌道區段狀態信息發送給其從屬的車站列控中心；無岔站列控中心與軌道電路、臨時限速服務器、LEU、CTC和集中監測設備直接接口。

通常列控中心需要與ZPW-2000系列軌道電路、車站聯鎖、臨時限速服務器、相鄰列控中心、地面電子單元、集中監測和CTC通信配置接口。實際應用中不同類型的列控中心與其他外部設備的接口配置如圖2-23所示。

2.3.4.2　列控中心功能

①根據列車進路狀態和軌道區段狀態，實現站內和區間軌道電路的載頻、低頻信息編碼功能，并控制軌道電路的發送方向。

②根據臨時限速服務器發送的臨時限速命令、車站聯鎖設備發發送的列車進路狀態，實現應答器報文的實時組幀、編碼和發送等功能。

③實現站間安全信息傳輸，實時傳輸區間軌道電路狀態、低頻碼、區間方向等安全信息。

④實現區間運行方向與閉塞控制；區間信號機點燈控制，以及無岔站信號機與進路控制。

⑤與安全防災系統接口，實現部分災害的自動防護。

⑥具備診斷與維護功能，實現列控中心各模塊、通信接口的故障自診斷和輔助維護，同時把監測狀態信息發送給集中監測設備。

隨著高速鐵路的發展，實際列控中心還可以融合落物災害防護等功能。作為CTCS系統地面設備的核心系統，列控中心技術日益成熟，服務于高速鐵路的可靠性與安全性提升。

2.3.4.3　列控中心設備組成

列控中心設備按照故障—安全原則，采用二乘二取二安全冗余計算機平臺結構，由安全主機單元、通信接口單元、驅動采集單元、輔助維護單元、站間安全數據網通信單元以及冗余電源單元等組成，系統結構如圖2-24所示。其中的輔助維護單元實現相關設備狀態和應用場景數據的監測和記錄、維護報警、界面顯示以及與集中監測系統接口等功能。

車站列控中心設備分為列控中心主機設備柜和LEU設備柜，LEU電子單元配置在LEU設備柜中并單獨配置電源，其他設備配置在列控中心主機設備柜中；中繼站和無岔站列控中心的LEU電子單元和列控中心設備則統一配置在列控中心設備柜中。

2.3.4.4　列控中心通信異常處理

為了保證控制安全，列控中心按照以下原則對不同情況下的通信異常進行處理。

①列控中心與軌道電路通信連續中斷2s后，列控中心判定與軌道電路通信中斷，所有軌道狀態導向安全側（軌道占用），列控中心按照軌道占用編碼及控制區間信號機點燈，并向監測維護單元及集中監測報警。

②列控中心與聯鎖通信連續中斷3s后，列控中心判定與聯鎖通信中斷。通信中斷后，列控中心按照車站無進路，進站信號機紅燈斷絲，無改方命令處理。同時控制進站口及到發線有源應答器發送默認報文，出站口應答器發送正常限速報文。

③列控中心間通信連續中斷3s后，列控中心判定列控站間通信中斷。通信中斷后，列控中心按照邊界區段占用，紅燈燈絲斷絲（正向口且列控中心控制區間信號機點燈情況下），鄰站無改方命令處理。

④列控中心與臨時限速服務器通信連續中斷3s后，列控中心判定與臨時限速服務器通信中斷。通信中斷后，列控中心按照無新的臨時限速命令，維持原臨時限速信息處理。

⑤列控中心設備連續檢測各個通道上的通信狀態，連續3s不能從某個通道上接收到正確數據時，即判斷該通道故障，向集中監測設備發送報警。

⑥當列控中心設備和外部設備的所有通道中斷6s后，則判斷通信完全中斷，列控中心執行相應的安全措施。

⑦列控中心設備和聯鎖通信中斷后，列控中心控制有源應答器發送列控中心默認報文，站內軌道電路按無進路發碼。

⑧列控中心設備和鄰站列控中心通信中斷時，邊界區段發送HU碼。

⑨當列控中心與臨時限速服務器通信中斷后，列控中心應保持原臨時限速信息，臨時限速服務器不能在該車站列控中心管轄范圍內增設臨時限速信息。