广州地铁3号线信号系统的安全性应用及分析

1 系统环境结构

作为ATP/联锁/ATO中央计算机系统,VCC采用三取二结构,以确保不中断列车正常运行。广州市地铁3号线采用2套VCC,2个相邻VCC之间的通信通道采用双套热备冗余。系统环境结构框图见图1。

图1 系统环境结构框图

2 系统主要安全功能

ATP系统包含了ATC系统中负责安全列车运行的安全性功能。在本ATC系统结构中,ATP功能是集成的列车控制系统的一部分。ATP功能通过VCC、VOBC以及STC来实施。其主要的安全功能有以下几点。

2.1 列车移动授权控制

ATC系统的主要任务是根据列车目的地的属性(目的地、进路号和方向)来安全地移动列车。目的地是指期望的列车位置。当列车到达目的地并停车时,列车将不能被进一步前进,直到目的地被再次改变。目的地可以是轨道区段和车站。进路号指定了进路沿线每个道岔的位置及运行方向。对于列车进路所需的每个列车道岔,如果位置不对,将通过命令使其转到需要的位置。列车将以指令的运行方向移动到目的地。

VCC根据障碍物情况试图前移目标点。一旦确定了安全目标点,就向VOBC发出目标点、最大速度及在目标点的目标速度的指令。

VOBC将VCC命令转换为由速度自动控制运算法则决定的牵引或制动命令,并由速度和距离监督系统监控。

VCC系统以数据通信的方式同每列运行于VCC区域中的通信列车保持联系。VCC监督每一通信列车(ATO/ATP模式)的位置,并通过给每一列车发送一个作为交换信息一部分的目标点,来实现目标点的授权。

对线路扫描的结果决定了是否向自动列车发送移动授权。指挥扫描通过对位于车前和车下的永久性和临时性元素的处理,并根据列车属性(长/短车),永久性元素(道岔、线路终点等),临时性元素(轨道占用、临时限速等),基于列车最大可能速度和最长制动距离的上限等因素决定最大限度的目标点设置。

指挥扫描过程中,VCC系统还确定限速的位置(永久性或临时性)和禁区的位置。在指挥扫描结束时,VCC决定是否应对目标点进行限制,以避免将列车停在禁区;然后由VCC判定根据限速得出的最大限制目标点是否比从指令扫描和禁区测定的目标点更具限制性。如果确实如此,它会进一步限制该目标点。

当限制解除时(道岔置于正确位置,其他列车移动,目的地被更改等等),目标点根据连续的指挥扫描结果向前推进,以允许列车前进。

2.2 安全距离的处理

当VCC由于线路上的障碍物而判定停车点时,安全距离就是在正常的常用制动停车距离上增加的安全余量。如果发生最坏的故障情况(计算基于列车推进系统故障而导致无法控制的最大加速度),安全距离将考虑增加额外的停车距离以避免列车与障碍物相撞。安全制动距离包括正常状况的停车距离加列车可能超出制动性能曲线的最大距离。后者的距离(安全距离)计算包括最不利情况下列车制动失控的距离总和。

安全距离的一些重要要求:许可的最小安全距离指允许列车在前方有另一列车或其他障碍物时立即刹车停下来。这个安全距离的判定需要知道轨道的曲线半径、坡度和超高等轨道环境以及全部车辆的性能。它应当考虑系统反应时间、车轮与轨道间的粘着度和列车刹车老化等最坏情况。

在计算制动距离时前方的障碍应假定为固定的,除非列车朝相反方向移动,并且接近的列车速度应包括在内。

每个安全距离通过下面两个假定停车距离的差额计算(两个假定都在时间t=0时开始)。

假定1:列车以最大允许的推荐速度行驶,随着VCC选定的制动曲线采用常用运营制动在预定时间内停车。因为运营制动通过VOBC提供一个恒定的减速率来调整。这个用恒定列车减速率计算的停车距离不考虑制动列车的坡度,在运营制动启动和关闭期间前冲限制被采用。前冲限制将增加通常的停车距离。

假定2:列车在推进系统故障的严重情况下,以推荐的速度加最大允许的超速公差和速度误差运行。此故障导致列车在最不利牵引力瘫痪延迟时间内遭受最不利的惯性冲力,造成最不利情况下的紧急制动延误,然后确保以一定的紧急制动率停车,从超速点的列车停车距离被定义为在此模式最坏情况下的停车距离。这个距离用来弥补最不利情况下停止列车前部位置的不确定性,并且前面列车的尾部应被纳入停车距离来定义安全制动距离(见图2)。

假定1移动的距离减去假定2的移动距离后计算为安全距离。图2显示两个假定的速度与距离的曲线关系图。

图2 正常和最坏情况下制动曲线说明

2.3 速度检测

VOBC用来自2个车载测速发电机的输入信息监视列车的速度。这两个测速发电机以冗余校验的方式工作。两个测速发电机的输入值不断比较以确保列车速度的精确测量。测速范围为0～150 km/h,显示精度为±1.0 km/h,线性精度至少满足±0.5 km/h的要求。

列车速度由VOBC监督,并报告给VCC。在自动和人工模式下,当列车超过指令限速或两个测速发电机的输入值比较不一致(超过容许偏差),VCC将命令列车实施紧急制动。

2.4 超速防护

在ATO模式下,ATC系统直接控制牵引和制动。在这种模式下,ATC系统会自动控制列车速度到达目标速度,并在列车超出规定限速时实施常用制动。如果常用制动失效,则实施紧急制动。其中常用制动是可逆的。

在ATO模式中,VOBC调整列车速度,使其遵循于VCC发出的指令速度。当所测列车速度超过指令的速度时,VOBC通过常用制动来降低列车的速度。在实施紧急制动前,允许所测列车速度略微超过指令速度,超出值称为“超速误差”(一般小于等于5 km/h)。此误差为速度控制系统对一些非控制因素(例如风或者车辆反应延迟)作出的响应留有余地。在正常运行中,列车速度很少接近超速限制。如果由于任何原因,例如牵引动力失控,造成列车速度超过指令速度加上“超速误差”,VOBC将实施紧急制动。

在保护人工模式中,列车速度指令由VCC发给VOBC,然后VOBC将指令速度显示在列车驾驶员的驾驶台上。实际的列车速度由列车驾驶员来控制。VOBC连续地监督列车速度。如果列车速度超过指令的速度,VOBC将向驾驶员发出听觉和视觉告警,以降低车速。如果列车速度超过指令速度加上“超速误差”,VOBC将实施紧急制动。该模式在ATP保护之下,由车辆上的驾驶员负责制动系统的控制。

在限制人工模式下,VCC不为VOBC提供最大速度和目标停车点。这时,VOBC强制进行超速防护,限制在25 km/h的固定速度以下。当列车超过25 km/h时,VOBC将实施紧急制动。

2.5 倒溜防护

VOBC的ATP功能监督列车的速度和方向,并且防止列车向指令运行方向相反的方向运行。这也叫做“倒溜”。如果VOBC监测到错误的运行方向,它将对列车实施紧急制动。

2.6 紧急停车装置的监控

紧急停车功能监视中央紧急停车按钮(CESB)以及站台和车站紧急停车按钮(PESB),一旦检测到按钮按下,立即做出安全性反应,即封锁与紧急停车按钮相关的轨道,所有部分或全部处于该区域的自动/无人驾驶或保护人工模式列车都将紧急制动。若紧急停车按钮按下,ATC系统将向中央调度员告警。

轨道关闭后,在未经人工取消紧停并重新开放该轨道区段前,任何自动或保护人工列车均不能移动。取消紧停和开放轨道都被视为安全操作,必须由人工确认进行。对于一列接近该关闭轨道的列车,移动授权将在该轨道的一个安全距离之外。

2.7 站台屏蔽门控制

在每个车站,VCC通过STC与站台屏蔽门之间的接口设备实现与站台屏蔽门系统的安全联锁(联动/互锁)。

STC子架配备有与对位环线的接口。对位环线安装在车站站台边(在列车停车时,车上的对位天线刚好处于对位环线的接收范围内),用于车站设备与车载VOBC之间的数据通信,以实现对车门、屏蔽门的开闭同步。VOBC发送开门命令给车辆用于打开车门,同时该命令通过站台对位环线接收并送回STC,再由STC送给屏蔽门控制设备以打开屏蔽门。两者之间的动作时间需考虑一定的延时以达到同步的目的。

为了使VOBC能命令车门和屏蔽门打开,必须满足下列全部条件:开启的车门和站台屏蔽门必须符合站台位置和运行方向;VCC正命令车门打开;列车速度是零;列车在它的目标地点;已命令执行停车制动;已命令禁止牵引。

当VOBC从列车门和屏蔽门收到“门已关闭”状态,确认车门和屏蔽门已安全地关闭后,向VCC报告。VCC只有在确认车门和屏蔽门都已关闭的条件下,才命令将列车目标点前移,并允许列车出发。否则,列车将只能以人工驾驶驶离车站。

如果在列车进站前或进站过程中屏蔽门“门已关闭”状态丢失,STC的监督屏蔽门状态的安全继电电路将检测到该状态,并将该信息发送给VCC。VCC一旦检测到该信息将会命令列车在站外一个安全距离外停车或命令列车紧急制动。

2.8 关闭的轨道

ATC系统的软件对物理线路进行了描述。物理线路被划分成许多逻辑单元,其中之一被称做“轨道”。轨道的特性如下:不会跨越道岔;它的长度总是小于等于与之相关联的感应环线的长度(轨道的边界是由感应环线的边界决定的,一个完整的感应环线可以包括一个或多个轨道,感应环线的长度一般在2～3 km);且在VCC线路数据库中,与相邻的轨道连在一起。

轨道可对自动列车的运行开放或关闭。只有当造成轨道关闭的非安全条件不再存在时,中央调度员才可以为自动列车开放该轨道。轨道也可人工关闭或开放。

当一个轨道被关闭时,自动列车将不具备进入该轨道的移动授权,它们将停在至少一段安全距离之外。如果自动列车已经获得该轨道的移动授权,列车将被命令实施紧急制动。同样,一列全部或部分进入被关闭轨道的列车将被命令实施紧急制动。

2.9 对运行列车采取紧急制动措施

当发生牵引故障(任何)、制动故障(任何)、定位故障(测速仪故障)、VOBC失电、VOBC发现未经授权的列车移动、列车完整性丢失、运行中车门意外打开、运行中出现模式意外转换等情况,将导致列车紧急制动,列车也会根据VCC发出命令采取紧急制动。

3 系统安全分析

3.1 系统安全性

系统运行的安全性是广州地铁3号线信号系统设计时需要考虑的首要任务。列车的安全运行将由列车分隔,移动授权控制和安全距离处理等,道岔锁闭时根据考虑列车的位置锁闭道岔,强加列车限速,超速防护、倒溜防护、紧急停车装置的监控、关闭的轨道和采取紧急制动措施等,屏蔽门和车门控制等功能来保证。

安全性功能是通过在车上、轨旁控制区、每个远程道岔联锁区以及运营控制中心使用的安全型(冗余校验)计算机子系统来完成的。

广州地铁3号线信号系统的设计和开发始终严格执行对于冗余以及故障-安全的原则。

列车命令停车点的不断循环前进,需要确认前车的位置的确已经前进或者其它安全限制已经被清除。该移动闭塞系统被设计成为在VCC、VOBC、远程联锁或者数据通信系统发生故障的情况下,在确认安全之前,列车停车点将不再前移。

在VCC的控制级别上,将产生并发送控制报文以保证安全列车分隔。一个独立的VCC系统包括三个互连的CPU(三取二计算机系统)。每个CPU从列车和轨旁设备上接收相同的输入信息。在检验了输入信息的有效性后,每个CPU将生成适当的命令报文。该命令报文以安全方式发送给VOBC。

在该移动闭塞信号系统中,系统控制中心(SMC)将负责整个系统列车的进路安排。因此,SMC向VCC发送进路要求。该要求负责所有线路道岔的控制和进路安排。VCC还接收来自STC系统的道岔状态信息,同时VCC通过STC控制道岔的位置变化。通过使用列车和轨旁相关信息,VCC将根据状态、道岔预留和道岔区段占用信息完成联锁功能。在VCC失效的情况下,STC将承担后备模式下的联锁功能。一旦VCC接收到了道岔设定并锁闭就位的确认时,列车将被允许穿过道岔(如:目标停车点将前行穿过该道岔)。

在车辆的控制级别上,VOBC(2×二取二)将保证列车的特定功能被安全控制在VCC设定的限制范围内(如:速度极限和车门控制)。VOBC的冗余校验微处理器负责对来自VCC的报文进行测试以发现错误。当这些测试通过后,VOBC将解释并执行命令信息。

VOBC内的双套微处理器为车辆系统生成同样的命令,同时生成同样的状态报文以传输至轨旁。每个处理器的输出将同时在其它处理器上做比较。任一个处理器上的比较出错时,该VOBC将放弃对列车控制。如果故障发生,系统将由VCC发起,自动地切换至后备VOBC单元工作。在VOBC的切换过程中,系统首先将基于安全的前提,同时在可能的情况下不使列车停车,确保VOBC的切换不影响列车的正常运行。

3.2 数据通信的安全措施

以车-地信息传输为基础的信号系统要求准确可靠的数据通信。以下方法可用于检验车辆、地面和中央之间的数据通信的完整性:

1)通过感应环进行传输的数据带有冗余校验位,以确保拒绝接收被电磁干扰的数据。通过对所有运输安全性信息的数据传输进行循环冗余校验(CRC)可实现该功能。

2)传送的数据会得到周期性地更新。从VCC传送到VOBC和STC的命令将在每个新电文中得到更新或确认。

3)对于接收到的信息,将做合理性和持续一致性检查。子系统会根据以前的电报、物理规则以及设计限制所期望的信息来检验收到的数据。

车-地通信使用感应环线为基础的传输系统来实现。精确的位置参数是通过感应环线交叉信息来建立的。感应环线交叉点之间的位置则由车轴上附带的转速计来确定。这样通过转速计和环线交叉相结合的方式建立列车位置信息。

感应环线电缆可持续探测列车占用和空闲状态,列车定位的分辨率为6.25 m。对列车是否被占用的探测是安全的和可靠的,符合“故障-安全”原则的要求。

感应环线电缆和VOBC之间可实现双向数据传输,信息的传送是安全和可靠的。

4 结语

通过对广州地铁3号线信号系统在安全性功能的介绍和安全性设计原则进行的一些分析认为,不论是准移动闭塞还是移动闭塞信号系统,也不论是哪个国际厂商的信号系统,其所必须遵循的安全原则都是一致的,即“故障导向安全”。此外,今后应更好地将系统的安全性冗余和系统可用性进一步结合,在保证安全的前提下,最大限度地降低信号系统的故障率。

[1]黄天印,赵时旻,刘循.基于通信的列车控制系统数据通信子系统可靠性分析[J].城市轨道交通研究,2009(5):33.