基于全电子的有轨电车正线道岔控制系统研究

贾 斌

（北京全路通信信号研究设计院集团有限公司，北京 100070）

有轨电车因其环保、节能、廉价以及大运量等优良特性，成为全球范围内许多城市作为公共交通发展的对象。在国内已有不少城市规划和在建有轨电车，但信号系统多采用国外设备。国内大铁和地铁信号系统技术发展的非常成熟，可以借鉴其技术应用到有轨电车信号系统中，实现有轨电车信号系统的国产化。有轨电车信号系统中安全防护范围仅在道岔区段，正线道岔控制系统实现道岔区段内信号设备的安全控制，是有轨电车信号系统中唯一涉及安全的子系统，因此有必要对其进行研究。

1 有轨电车信号系统

有轨电车信号系统如图1 所示，包括运营控制中心子系统、平交路口控制子系统、车载子系统、正线道岔控制子系统及车辆段联锁子系统。运营控制中心子系统实现对全线列车运行的管理和监视功能；平交路口信号控制子系统实现与道路交通信号控制系统接口，对有轨电车与其他社会车辆混行路口区域进行管理；车载控制子系统处理司机操作指令，完成车辆位置定位、车地信息传输等功能；正线道岔控制子系统实现道岔区域控制，完成信号设备之间正确的联锁关系控制[1]；车辆段联锁子系统实现车辆段信号设备控制。

图1 有轨电车信号系统基本结构图Fig.1 Diagram of basic structure of tram signaling system

2 正线道岔控制系统功能及结构

相比传统的轨道交通信号控制采用中心控制方式，所有进路控制由调度中心发起，有轨电车信号系统中正线道岔系统采用轨旁优先控制方式，运营中心仅对轨旁设备进行监视，信号设备的控制在轨旁完成[2-3]。正线道岔控制系统能够实现以下几种方式的控制。

1) 自动控制方式：当列车到达接近区段，列车将自身信息(车次号、线路信息)通过车地无线通信传递给正线道岔控制系统，根据收到的信息，实现对转辙机、信号机的控制。

2) 司控方式：当发生故障，自动控制方式失效时，司机通过操作车载设备将控制信息通过车地无线通信传送给正线道岔控制系统，根据收到的信息，实现对转辙机、信号机的控制。

3) 地控方式：当发生故障，自动控制方式、司控方式都失效时，按压轨旁人工操作盘的道岔控制按钮，控制命令传输给正线道岔控制系统，根据收到的信息，实现对转辙机、信号机的控制。

4) 手控方式：当以上3 种方式都失效时，司机可以人工搬动道岔，此时设备安全由人工保证。

正线道岔控制系统结构如图2 所示，由轨旁道岔控制柜、车地通信系统感应环线、列车占用检查计轴设备、转辙机、信号机等组成。轨旁道岔控制柜中有正线道岔控制主机(简称控制主机)、各种类型的电子执行单元、电源、防雷分线单元等。

图2 正线道岔控制系统结构图Fig.2 Diagram of structure of main switch control system

由于正线道岔控制采用轨旁控制方案，所有的设备都在轨旁，并埋于地下，所有的设备要求体积小、可靠性高[4-5]。因此相比大多数轨道交通中道岔、信号机驱动采集设备采用继电器方式，应该采用电子化方式的全电子执行单元代替，1 个道岔控制单元可以控制1 台转辙机，1 个信号控制单元可以控制8 个灯位，有轨电车的信号显示只有直向行驶、侧向行驶、禁止信号3 种显示，因此信号控制单元可以同时控制两架信号机[6-7]。

正线道岔控制系统中的核心是控制主机，通过CAN 总线方式与全电子执行单元连接。控制主机接收车载设备或轨旁人工操作盘的命令信息，并采集道岔、信号、区段的实际状态信息，根据设备状态及操作命令进行联锁关系运算，输出道岔、信号灯控制命令，控制道岔转动及信号灯显示。

3 正线道岔控制系统设计

正线道岔控制系统的安全完整性等级为SIL3，系统设计时必须按EN 系列标准要求，采用相应的安全防护技术及措施保证系统的安全。本文只针对正线道岔室内控制设备进行研究，主要有控制主机、全电子执行单元及安全通信，控制主机又分安全平台和道岔控制逻辑软件两部分。

系统设计需符合故障导向安全原则，在故障发生时导向安全侧，不应危及行车安全。系统不能接收有效输入数据或自身发生故障时，输出必须导向安全。

3.1 安全平台

在欧标EN50129 中对于采用电子技术实现轨道交通信号系统，推荐了3 种安全性设计技术，分别为本原故障安全、组合式故障安全和反应式故障安全。本原故障安全技术，就是利用原器件固有特性，实现故障安全设计原则。组合式故障安全，就是重叠使用器件以获得更低的失效率。反应式故障安全是指在故障发生时，启动系统内的故障反应功能，对影响加以限制的技术[8-9]。

安全平台设计策略复合使用以上3 种技术，对故障进行防护处理，保证系统的安全及可靠性。

安全平台硬件采用二取二冗余结构，双套CPU处理结果一致后表决输出。每个CPU 通过软件对硬件及软件进行周期监测，一旦发现故障，所有输出导向安全侧[10-11]。每个CPU 中的应用软件采用异构设计，并对两套软件每个周期的运算结果进行比较，比较一致则输出。否则导向安全侧。

安全平台具有以太网、光纤接口，可通过安全通信板与其他设备相连。安全平台采用独立的冗余双电源供电，任何一路电源故障时，备用电源继续工作。当两路电源都故障时，才停止工作。

3.2 道岔逻辑控制软件

3.2.1 安全设计策略

为保证软件质量，按欧标EN50128 中对软件各生命周期的要求进行，其中软件安全设计策略主要有[12]以下几项。

1) 设计时将安全功能和非安全功能隔离开，或者将非安全功能按安全功能的标准设计。

2) 清晰各功能模块执行的先后顺序及处理流程，不能应用多线程处理的方式。

3) 所有的输入、输出需实现二取二比较，并且对输入在容许范围内进行容错处理。

4) 保证所有模块功能清楚、精确、无二义性；模块内部功能关联紧密，模块之间的接口清晰、无歧义；具有高内聚、低耦合的特性。

5) 采用防御性编程、故障检测和诊断、失效断言编程、多版本程序设计。

6) 采用结构化的程序设计方法，并且编译器已经被认证过。

7) 统一的编码标准和风格。

3.2.2 道岔控制逻辑

为保证列车在道岔区段安全通行，必须对道岔实施安全有效的控制。道岔控制的关键是对道岔控制权的处理，道岔控制权同一时间只能授予唯一的一辆列车。列车接近道岔区段时，若道岔控制权未被占用，则授予道岔控制权。列车通过后收回控制权，当下一辆列车接近时，再次授予控制权。具体控制逻辑为：正线道岔控制系统内存有各个线路数据，列车车载设备存有当前运行的线路数据。当列车道岔正线道岔区段接近区段时，通过车载设备将车次号及线路号发送给正线道岔控制系统。若道岔控制权未被占用，正线道岔控制系统通过数据匹配及道岔目前的位置，确定道岔是否需要转动。如果需要则转动道岔，待道岔转动到需要位置，并检查相应的轨道区段空闲，则锁闭道岔即授予道岔控制权。之后开放信号，司机依据信号进入信号内方后，信号关闭。待列车完全出清道岔区段，道岔解锁，即此道岔控制权被释放，在此期间不再给别的车辆授权道岔控制权 。道岔控制流程如图3 所示。

3.3 电子执行单元

正线道岔控制系统室外设备有道岔、信号、计轴设备、人工操作盘、车地通信单元，通过全电子执行单元与道岔控制主机相连，相应的有道岔控制单元、信号控制单元、计轴设备接口单元、人工操作盘接口单元、车地通信接口单元。

图3 道岔控制流程Fig.3 Switch control process

电子执行单元基于具有故障—安全比较双电子结构，采用二取二的“与”控制电路结构，实现控制、监督、监测一体化[13]。电子执行单元通过冗余通道接收控制主机发送的控制命令，通过二取二比较一致后输出。同时采集室外设备的状态并通过二取二比较一致后向控制主机发送，并对控制输出进行闭环检测反馈，一旦监测到过流，则切断输出实现过流保护，实现故障—安全输出；设计有独立的监测电路，对设备的启动电流及状态信息进行监测，可监测到芯片级的故障信息，将监测信息实时发送给维修监测机。电子执行单元结构如图4 所示。

3.4 安全通信

通信接口示意如图5 所示，网络拓扑结构固定，且连接设备数量已知，因此为封闭式网络。接口分类为外部通信接口和系统内部通信接口。外部接口有正线道岔控制主机与运营控制中心之间的以太网通信接口。内部接口有正线道岔控制主机主板与光转CAN 通信板之间的光通信接口，光转CAN 通信板与电子执行单元之间的CAN 通信接口，以太网光通信板与车载通信接口单元之间的以太网接口，控制主机内部主板与光转CAN 通信板、以太网通信板之间的光通信接口。所有通信通道采用两条冗余通道，任意一条通道故障不影响正常通信。

图4 电子执行单元结构图Fig.4 Diagram of structure of electronic execution unit

图5 通信接口图Fig.5 Communication interface diagram

封闭式传输系统存在的危害有数据包重复、丢失、插入、乱序和传输超时，因此数据接收端要对接收数据的真实性、完整性、实时性、有序性进行检查。可采取的具体措施有序列号、时间戳、超时、源标识、反馈消息、双重校验，通信危害/防御矩阵如表1 所示[14-15]。

表1 通信危害/防御矩阵Tab.1 Matrix of communication hazard/defense

序列号为一个32 位顺序增加的整数，可采用系统的周期序号。时间戳基于32 位的线性反馈移位寄存器值，按系统周期移位并使用固定多项式做附加干扰输入，与本地周期同步增加。双重校验，是指对用户数据包的安全校验和对整个安全数据报文的CRC 校验。

数据发送端将数据序列号、当前周期时间戳、通信源地址及目的地址、双重校验码及用户应用数据组包后一起发送。接收端对接收到的报文，首先进行源地址和目的地址的校验。若为有效地址，则进行数据CRC 校验，校验正确，则进行时效校验。若在有效时间范围内，则处理用户数据包，并更新最后一次接收数据报文的序列号及时间戳。若超出容忍范围，则发送时序校正请求，发送端收到请求后，发送时序校正应答报文，接收端接收到时序校正应答报文后，校正本地时序，之后又开始正常通信。

3.5 列车定位技术

由于有轨电车车道不是封闭车道，为半封闭车道或混合车道，因此列车定位方式有别于传统的轨道电路定位方式，多采用计轴、感应环线、信标、GPS/BD、DR 航迹推算等方式。正线道岔控制系统的列车定位设备实现列车占用出清检查，需满足故障-安全原则，平交道口处列车定位的连续性及设备安全性满足市政交通规范即可，其他线路的列车定位需满足运营控制中心行车调度及行驶跟踪要求。考虑投资成本及定位要求，道岔接近区段采用感应环线（同时可作为车地通信的方式），在道岔区段采用计轴方式或GPS/BD 与信标组合定位方式，其他线路区段采用GPS/BD + DR 组合方式。

4 系统测试

在系统设计的每个阶段都有相应测试来保证功能的准确完善，测试主要分软件测试、硬件测试、软硬件集成测试、系统确认测试。应按照EN 系列标准对SIL3 级系统的要求采取相应措施进行测试，并将测试结果进行记录，对照测试计划检查是否达到要求。若未达到要求，则对设计进行修改，修改完成后再进行测试，直到测试计划中的所有测试项都达到要求。

5 结束语

基于全电子的正线道岔控制系统按EN 系列标准要求采用相应的措施及技术进行开发测试，能够达到SIL3 安全完整性等级要求，保证其安全性及可靠性。全电子化执行单元技术、列车定位技术、安全计算平台技术、感应环线通信技术、计算机联锁技术等在国内都已成熟应用，完全可以集成有轨电车信号系统装备，所以有轨电车信号系统，不应依赖于国外设备，应走国产化道路，降低成本，促进现代有轨电车的推广应用。