列控联锁一体化系统多层次结构化设计实现

路 飞

（卡斯柯信号有限公司，北京 100070）

1 概述

在目前的CTCS-2 和CTCS-3 列车运行控制系统中，列控中心和计算机联锁是重要组成部分，也是核心地面安全设备，对列车的高效安全运行起着至关重要的作用。其中计算机联锁通过软件实现站内联锁关系，并且可控制信号机、操动道岔等轨旁电子单元（LEU），列控中心控制轨道电路向车载设备发送编码信息，并通过应答器向车载设备发送报文数据信息。列控联锁一体化设备集成了列控中心和计算机联锁的功能，减少现场设备数量，解决了设备间信息共享延时、信息冗余以及接口复杂等问题，减少现场设备接口，降低信息冗余性，提升了系统可靠性，同时也提升了设备的可维护性。

2 列控联锁一体化系统（TIS）结构化设计

列控中心系统由逻辑处理子系统以及维护终端子系统构成。逻辑处理子系统的硬件采用二乘二取二设计，满足故障-安全原则。计算机联锁系统由逻辑处理子系统、控显机子系统以及维护终端子系统构成，逻辑处理子系统硬件以采用二乘二取二结构设计，满足故障-安全原则。因此，列控中心和计算机联锁的既有结构和安全要求是相同的。

2.1 接口部分设计

与既有列控中心设备的外部接口和计算机联锁的外部接口相比，列控联锁一体化系统的外部接口设备有所减少，列控联锁一体化系统的外部接口对象包括相邻站列控联锁一体化、相邻站联锁、相邻站列控中心、无线闭塞中心（RBC）、临时限速服务器（TSRS）、调度集中（CTC）、集中监测（CSM）、轨道电路、道岔转辙机和信号机等轨旁设备。既有列控中心与LEU 接口为外部设备接口，可通过网络或串口通信，通过LEU 向有源应答器发送报文数据，在列控联锁一体化系统中可直接通过目标控制器向有源应答器发送报文数据。

CTCS-2 级与CTCS-3 级模式下对于列控中心和计算机联锁的外部接口形式基本一致，接口层面与既有CTCS-2 级或CTCS-3 级模式可保证完全一致，安全通信协议、连接方式、继电接口采集等均无变化。且相比传统CTCS-2 级或CTCS-3 级列控系统设备，列控联锁一体化系统的外部设备接口进一步减少，更加便于现场维护。软件层面仅涉及到部分系统的应用层协议变化，影响范围较小。

2.2 系统结构设计

为实现列控联锁一体化的功能，需要对系统结构进行合理设计。系统结构包括系统预处理单元、外部信息接口单元，逻辑运算单元和信息维护单元。系统结构设计如图1 所示。

图1 系统结构设计示意Fig.1 System structure design diagram

从功能角度划分，可分为CTCS-0 级功能和CTCS-2 级/CTCS-3 级功能。从系统设计角度可分为软件管理和数据配置管理。

CTCS-2 级系统主要基于轨道电路和应答器传输列车行车许可信息，CTCS-3 级系统为基于GSM-R 无线通信实现车-地信息双向传输，通过无线闭塞中心形成行车许可。对于既有列控中心设备，在CTCS-2 级系统和CTCS-3 级系统中功能基本一致。对于计算机联锁设备，除在CTCS-3 级系统上增加与无线闭塞中心接口外，其余功能与CTCS-2级系统功能基本一致。作为列控联锁一体化设备，可将CTCS-2 级系统功能和CTCS-3 级系统功能进行统一管理。

2.2.1 系统预处理单元

系统预处理层主要负责应用数据和配置的读取，为主运算逻辑单元读入运算所需的配置信息、站场数据、线路数据等，并开始进行系统初始化，分配内存地址，设置内存变量，同时对系统进行上电自检。如果系统预处理时发生读取数据配置失败、系统内存初始化失败或者上电自检失败等，系统则无法正常启动。

2.2.2 外部信息接口单元

外部信息接口单元主要负责一体化系统与外部设备的接口功能，包括继电采驱接口和通信接口数据交互，接口方式与既有列控中心或计算机联锁系统相似，列控中心和计算机联锁系统集成对外部设备接口无影响。且设备集成后，各个功能模块可以统一综合处理外部设备接口信息，针对既有列控中心和计算机联锁两套系统共用的输入信息，有效解决由于输入信息不一致或者信息延时所带来的问题。从设计实现以及后期运营维护方面，均不存在技术和管理上的障碍。

2.2.3 逻辑运算单元

逻辑运算单元为系统的核心处理单元，作为列控联锁一体化设备最为重要的组成部分，用来实现一体化系统的功能逻辑计算。逻辑层通过二乘二取二安全平台主机实现。软件的功能实现按照CTCS-0 级列控系统线路和CTCS-2/CTCS-3 级列控系统线路功能分开设计独立模块的原则，定义模块1 负责CTCS-0 级功能逻辑，定义模块2 负责CTCS-2 级/CTCS-3 级功能逻辑。其中CTCS-0 级功能包括站内联锁逻辑、区间及站内编码功能，区间信号机控制功能和区间方向控制功能等，不包括线路数据相关功能。CTCS-2 级/CTCS-3 级主要功能为线路临时限速处理和报文数据处理功能。定义模块3 负责系统内部模块间数据交互，作为内部模块接口，各模块间运算结果系统充分共享，有效组织各个功能模块协调运行。

模块1 主要实现站内联锁逻辑，包括进路建立、锁闭、解锁，信号机控制和道岔控制。该处理方式与既有计算机联锁系统一致。另外还会处理既有列控中心相关的不涉及线路数据功能，包括区段编码功能、编码方向控制功能、区间信号机控制功能，区间方向控制功能和区间占用逻辑检查功能等。该模块不依赖于线路数据，且该功能的输入相对稳定，各个子功能间关联紧密，采取模块集成的方式处理。

在CTCS-2 或CTCS-3 级列控系统线路上，系统功能应包括临时限速处理和报文功能处理。临时限速处理和报文数据处理作为列控中心系统中十分重要控车功能，逻辑运算较为复杂，且依赖于线路数据，会随线路数据调整而调整，实际应用中有可能会出现修改较为频繁的情况，故单独设计功能模块2 来实现临时限速处理和报文数据处理。

目前CTCS-2/CTCS-3 级线路中，临时限速命令由CTC 下发，由临时限速服务器负责临时限速的管理，列控联锁一体化系统或列控中心系统负责限速执行，通过应答器报文的方式向车载设备输出。列控联锁一体化系统作为集成设备，亦可考虑将临时限速的管理纳入到列控联锁一体化系统的模块2中一并处理，进一步减少现场设备维护强度。接口处理与CTC 和列控中心接口方式保持一致。

两个不同功能的模块虽然功能方面互不影响，独立运算，但各模块的内部计算结果在模块间可以相互复用，这就需要通过设计内部关联接口模块，即系统通过模块3 实现实时传输模块间的共享信息。例如模块1 在处理编码功能时需要临时限速数据作为输入，模块2 应答器报文数据处理时需要进路信息，接口模块3 作为信息传输介质，负责内部模块运算结果信息的充分共享，将模块3 设计为共享内存区，功能模块可直接访问共享内存区获取需要的输入信息。

站内和区间线路之间的信息交互无需再通过外部接口传输，有效解决了信息传输延时、设备集成调试等问题。逻辑运算单元模块间数据交互流程如图2 所示。

图2 逻辑运算单元模块间数据交互流程Fig.2 Flow chart of data interaction between logical operation unit modules

图3 系统功能模块结构Fig.3 System function module structure

针对现场线路复杂，不同线路存在不同功能需求的情况，可通过功能模块、配置数据以及接口的裁剪和组合满足现场各种线路场景，应用于CTCS-0、CTCS-2 或者CTCS-3 级列控系统线路。根据实际线路所需需求功能对系统的功能模块和配置数据进行裁剪、拆分组合。系统通过合理的结构分层设计来实现适配不同的线路场景需求。

2.2.4 信息维护单元

信息维护层的主要功能为对设备运行情况，系统报警和数据查询等维护功能的实现。一体化系统将列控中心和计算机联锁集成，对设备的维护需求也随之提升。信息维护层通过多个维护信息数据处理方式进行展示，通过列表、图形、曲线描述、文字显示等多态组合，可使维护人员清晰地了解设备运行状态。

信息维护层还应针对系统不同功能模块运行数据，建立起系统统一的信息拓扑关系，动态分析关联的信息之间相互影响，使数据信息之间能够相融合，进行集成性的联动分析，以形成整体设备运行情况综合状态。

2.3 安全性分析

列控联锁一体化系统采用模块化分层设计管理，对于该设计的安全性进行分析。该系统的设计通过模块化分层思想实现，系统的安全性分析也应更加注重模块层级的安全性评估。根据模块实现的不同功能进行划分，将系统模块划分为非安全功能模块和安全功能模块，其中安全功能模块又可分为安全关键等级低和安全关键等级高的模块。系统模块安全分析流程如图4 所示。

图4 系统模块安全分析流程Fig.4 System module safety analysis flow chart

1）非安全功能模块：模块本身无安全逻辑运算功能，考虑模块的输出数据相对于安全功能模块的影响，确保其数据结果不对其他安全功能模块造成影响。例如信息维护单元模块不参与系统逻辑运算，只作为维护数据输出记录。

2）安全关键等级低的模块：不参与系统核心逻辑运算，负责系统内部模块接口数据流控制。例如系统内部接口单元，内部建立模块间的安全通信协议，负责安全功能模块间的数据信息交互，确保模块间交互数据完整可靠。

3）安全关键等级高的模块：负责处理系统功能逻辑运算，输出数据为直接影响列车运行的安全功能模块。对其模块内部进行逻辑结合安全需求进行分析，同时针对模块间运算时序、边界值，模块间数据流交互以及模块间耦合度进行安全分析。

对于系统的安全分析应先选取功能模块，确定模块安全关键等级，建立安全分析模型和系统失效模型，并设计相应安全防护措施防止失效发生或降低失效发生的危害，使系统达到SIL4 的安全等级。

对于系统的安全性，同样采用功能模块分层的方式进行具有针对性的安全分析，既确保系统安全性又可提高系统安全分析效率。

3 总结与展望

列控联锁一体化作为今后的重要发展方向，有效减少地面信号系统设备数量及系统间外部接口，降低地面信号系统复杂度，充分根据当前系统功能以及当前多种系统之间的复杂接口导致难以解决的问题进行系统集成。具有功能结构划分明确、可维护性强、实时性高等优点。在当前列控联锁一体化系统除实现了客专模式下的计算机联锁和列控中心的基础功能外，还新增了适配新型列控系统的闭塞切换、点/灭灯控制等功能。并且已在新型列控系统上进行仿真试验。

本文利用模块化设计思想将各个子功能有序地结合在一起，针对客专线路功能需求，充分考虑了设计开发、现场需求以及现场运营维护等方面。结构设计清晰，实现信息有序的共享和逻辑处理，并对模块化结构进行安全性分析。为列控联锁一体化系统在客专上的应用提供了有效的技术方案。