一种列控车载系统的优化与实现

卢瑞冰

（中国铁路南宁局集团有限公司，南宁 530029）

1 概述

CTCS-3 级列控系统是中国列车运行控制系统的重要组成部分[1]，它根据列车的实际运行情况，对列车运行速度、制动方式等进行监督和控制，以保证行车安全和提高行车效率，列控系统的可靠性是列车运行安全的重要保证。为提高列控系统可靠性和可用性，冗余技术（主动冗余和备份冗余）广泛应用于系统设计[2]，众多文献也对此进行了建模和分析。文献[3]针对列控车载子系统利用贝叶斯网络建立了考虑共因失效的可靠性分析模型，实现对列控车载子系统的可靠性评估。文献[4]采用Markov 模型分别对列控系统和列控中心进行可靠性分析。贝叶斯网络从概率推理的角度出发表达随机变量之间的关系，易于表达和推理复杂多态系统，目前该方法已被广泛应用于各个领域，文献[5-8]使用该方法对铁路信号领域的相关问题进行了研究。文献[9]则使用动态故障树的方法在设计阶段对CTCS-3 车载系统进行可靠性评估。文献[10]阐述了利用机器学习对铁路信号设备进行故障检测与预测的相关技术。上述文献对于如何定量评估和提高列控车载系统的可靠性具有很大的参考价值，但均偏重于理论分析计算，对工程实践涉及较少。

CTCS3-300T 列控车载系统核心控制模块采用双套冗余方式，在列车接口环节，系统使用单套DX/DI接口单元，形成单一失效节点，会直接导致黏著性故障。为解决单套DX/DI 对CTCS3-300T 系统可用性的影响，提出了使用冗余列车接口的CTCS3-300T 系统优化设计方案，并据此实现DX-TH 模块。使用双套冗余DX-TH 替代单套DX/DI 模块，不占用额外安装空间，不破坏既有CTCS3-300T 其他子模块的安装空间完整性。可靠性模型分析表明，CTCS3-300T系统使用冗余DX-TH 模块后可有效降低故障率。

2 CTCS3-300T系统可靠性分析

2.1 CTCS3-300T系统结构

CTCS3-300T 列控车载系统与列车接口分为总线接口和继电器接口两种，后者主要应用于CRH2、CRH380A、CR400AF、CR400BF 等列车型号，采用继电器接口方式的系统框如图1 所示。系统核心部件均采用冗余冷备结构，单套设备/单元故障后不影响系统运用，列车接口通过DX/DI 单元共同实现。DX 单元为高可靠输入/输出单元，DI 单元为高可靠输入单元。当前CTCS3-300T 系统中DX/DI 单元为单套配置，DX/DI 单元中任意一个故障都将导致系统不可用。

图1 CTCS3-300T系统Fig.1 CTCS3-300T system

2.2 可靠性计算方法

可靠性模型是用以预计或估计产品可靠性的一种模型。通过建立产品系统级、分系统级或设备级的可靠性模型，可便于定量分配、估计和评价产品的可靠性。参考GJB/Z 299C-2006 标准，典型的可靠性模型有串联模型和并联模型两种。其中，串联模型是指组成产品的所有单元中任一单元发生故障都会导致整个产品故障的模型；并联模型是指组成产品所有单元同时工作时，只要还有一个单元不发生故障，产品就不会发生故障，也称工作贮备模型（冗余模式）。串联模型的数学模型如下。

1）产品可靠度是产品各单元可靠度的积，如公式（1）所示：

式中，Rs(t)表示整个产品的可靠度；Ri(t)表示产品各个单元的可靠度。

2）产品故障率是产品各单元故障率的和，如公式（2）所示：

式中，λs(t)表示整个产品的故障率；λi(t)表示产品各个单元的故障率。

产品可靠度与产品故障率之间的计算公式如公式（3）所示：

并联模型考虑的是冗余系统，因此考察的是所有单元都发生故障的概率，即总的不可靠度。在考虑各单元相互独立情况下，并联模型的数学模型如公式（4）所示：

式中，Fs(t)表示整个并联系统的失效概率；Fi(t)表示各个单元的失效概率；Ri(t)表示各个单元的可靠度。

2.3 可靠性建模与计算

按照结构框图和功能模块，CTCS3-300T 列控系统的可靠性模型如图2所示。该可靠性模型由Part1-Part3 组成，Part1 和Part3 为冗余并联结构，Part2 为串联结构。

图2 CTCS3-300T可靠性模型Fig.2 CTCS3-300T reliability model

根据可靠性计算方法，对于串联模块，直接计算其失效率λsp，然后相加即可。对于两个相同模块所组成的并联冗余模块，则需要考虑其共模失效因子，其计算如公式（5）所示：

式中，MDTs为单个模块的平均停机时间；MTBFs为单个模块的平均故障间隔时间；MDT为并联系统的平均停机时间；MTBF为并联系统的平均故障间隔时间。

假设设备故障率不变，单个模块故障发生时间为平均分布，两个模块发生故障的概率重叠为50%，可得MDT＝MDTs/2，将其代入式（5）如公式（6）、（7）所示：

公式中，λp表示并联系统的失效率；λsp表示单个模块的失效率。

根据公式（7），并联结构的失效率λp正比于单个模块失效率λsp的平方，单个模块失效率一般为10-6～10-5量级，因此λp一般为10-12～10-10量级。根据公式（2），串联结构的失效率为单个模块失效率的累加，其失效率为10-6～10-5量级。据此可知，Part1 和Part3 是并联结构，其失效率低，可靠性指标高。Part2 是串联结构，其故障率较高。为降低Part2 的故障率，需将其组件由单点串联改为冗余并联模式。综合考虑工程实现难度以及可行性，选择将列车接口部件由单套转换为多套冗余方式。

3 DX-TH模块设计与实现

为提升系统的可靠性，选择将列车接口部件由单套转换为多套冗余的方式。CTCS3-300T 的主控单元采用双套冗余架构，因此列车接口部件也可采用双套冗余方式。

DX/DI 作为两个单独的模块，共同组成了列车的接口部件。如果使用双套DX/DI 设备，存在如下弊端。

1）占用原本拥挤的ATP 设备安装空间。使用双套DX/DI 会由原先的2 个盒体模块，增加为4 个盒体模块，占用原本就拥挤的机柜安装空间。

2）破坏既有其他模块的安装空间完整性。CTCS3-300T 设备各个模块的安装位置是按照功能进行空间划分，各自占据最为合理的安装位置。若将增加的DX/DI 两个模块随意安装，则破坏了原机柜的空间完整性。若为了保持这种空间完整性，则需要对既有其他模块的位置进行调整，工作量较大不便于工程实施。

3）使用双套DX/DI 会增加MVB 总线的负载。增加的DX/DI 单元需接入到CTCS3-300T 系统内部MVB 总线，增加了总线的电气负载，可能会降低总线的通信质量。

基于上述分析，确定设计新的列车接口模块DX-TH，用于代替DX/DI 的功能，即使用单套DX-TH 模块实现DX/DI 两个模块的全部功能。DX-TH 的设计考虑了如下几点。

1）DX-TH 模块与单个DX 或DI 模块的尺寸和安装方式完全兼容，可在既有DX 和DI 模块的位置分别安装1 套DX-TH 模块，构成双DX-TH 冗余系统，无需占用既有CTCS3-300T 的额外安装空间。

2）DX-TH 模块占用既有DX 和DI 的安装位置，无需改变其他既有模块的安装位置，也没有破坏CTCS3-300T 各模块的安装空间完整性。

3）新增的双套DX-TH 挂载在CTCS3-300T 内部MVB 总线上，取代了既有DX 和DI 模块的位置，内部MVB 总线上挂载的设备数保持一致，没有增加电气负载。

4）DX-TH 替代既有DX 和DI 的功能，与外部继电器连接。模块与外部继电器的连接电路充分借鉴既有DX 和DI 的设计，充分利用已有成熟设计方案经验，确保硬件接口电气性能一致性。

DX-TH 模块的硬件架构如图3 所示，整个硬件分为4 大部分。主CPU 与DDR 主存储器模块、FPGA 构成核心控制单元，执行模块的软件代码。MVB 接口电路和接口芯片用于实现MVB 总线通信。DI 功能接口电路参考既有DI 模块的硬件设计，通过列车继电器接口读取获得输入I/O 信号。DX功能接口电路参考既有DX 模块的硬件设计，用于向外输出I/O 信号控制外部继电器动作，也通过继电器接口读取外部输入信号。电源转换模块用于给各硬件电路提供所需的各种二次电源。

图3 DX-TH模块硬件架构Fig.3 Block diagram of DX-TH module hardware architecture

图4 使用冗余DX-TH的CTCS3-300T可靠性模型Fig.4 CTCS3-300T reliability model using redundant DX-THs

4 优化效果分析与验证

使用冗余DX-TH 替代既有单套DI/DX 后，CTCS3-300T 系统的可靠性框如图 4 所示。对比图2 可知，新框图的Part1 增加了DX-TH 部件，该部分是并联结构，因此对整体故障率的影响较小。串联结构的Part2 减少了DI、DX 部件，预计可大幅降低该部分的故障率，进而提高整个CTCS3-300T系统的可靠性。

5 总结和展望

为降低失效率提高可用性，CTCS3-300T 列控车载系统核心部件采用双套冗余方式，但在与列车接口环节仍采用单套DX/DI 单元，对系统可用性造成负面影响。新研制的DX-TH 模块可替代DX/DI单元，CTCS3-300T 系统可在不破坏既有模块安装空间完整性的情况下安装双套DX-TH，构成冗余列车接口。可靠性模型分析表明，使用双套冗余DXTH，CTCS3-300T 系统的故障率可明显降低。