城市轨道交通数字轨道电路系统可靠性与安全性设计

1 概述

国外轨道交通ATP系统许多都采用轨道电路作为信息传递媒介。轨道电路把控制中心发出的命令传递给列车，同时将列车的位置信息（以轨道电路区段单位）返回给控制中心，控制中心据此形成后续列车的控制命令。轨道电路具备双重作用：即列车检知和信息传递。以轨道电路作为信息媒介可以简化ATP系统设计。随着ATP系统新的控车模式（尤其是一次模式曲线控车方式）的出现，车载系统对信息量的需求显著增加，轨道电路信息数字化应运而生。同时，车载设备对信息连续性、稳定性的要求也相应提高。为此，列控信息安全可靠快速传递成为新型数字轨道电路首要解决的问题。

作为ATP系统的一个子系统，从信息传递的角度看，数字轨道电路（Digital Track Circuit，缩写DTC）在整个系统中起着承上启下的作用，是信息的主要载体，ATP系统信息传递流程如下图。

区域控制中心（ICU）与DTC之间的信息交换是通过现场总线CAN来实现的，DTC与车载系统（On-board system）之间的信息传递通过钢轨线路与车载传感器的配合来完成。 DTC内部结构如下图示，其工作原理如下：通讯板接收列控命令并转发给各个轨道电路发送、接收设备，并把轨道电路状态及各单元电路的工作状态报告给区控中心。发送板根据通讯板送来的列控命令形成DTC信息，调制后送功放，经传输设备、钢轨回送至接收板，接收板对信号解调并判断轨道电路区段是否有列车占用，将此信息报告给通讯板。列车进入轨道区段后，通过装设在前部的传感器接收控制命令。因此，将ATP信息传递系统即DTC系统的安全性与可靠性分为三层设计，即ATP子系统间信息传递、轨道电路系统本身及各个设备单元。

2 ATP子系统间信息传递设计

ATP各子系统设计相对独立，彼此没有任何的直接控制功能，子系统间的联系只有信息交换，因此信息的安全性与可靠性的设计，可局限于通讯信道和端设备的设计。

2.1 通讯信道设计

对于区控中心和DTC信息交换的物理通道——电缆本身来说，其状态可定义为“通”和“断”，“通”是正常工作状态，“断”则是故障状态，因此把“断”作为安全状态（故障输出状态）。在任何导致信息错误接收时，接收端都将视为信息中断，并根据该状态产生相应的输出。同样，在DTC和车载接收设备之间的信息传递通道——钢轨线路（也包括设备）的安全状态也定义在“断”。

为此，需要确定界定故障的条件。区控中心与DTC之间的联系在设计通讯协议（protocol）时，需要确定通讯周期、信息格式，当超出通讯周期时，通讯仍然中断或不能正确接收信息，则视为通讯错误，若连续出现通讯错误，则视为通讯故障，启动相应的故障处理程序。为保证信息正确接收，采用应答方式对信息接收进行确认。

对通道中传递的信息也进行冗余设计，采用三取二方式（2-out-3），即区控中心的每个ICU主机都发送一组列控数据给DTC，由DTC设备对三组数据进行三取二判决，以此保证列控数据的安全。为保证ICU与DTC之间信息交换可靠进行，通讯的物理通道采用双环结构。这种结构的通讯环路任何一处出现电气断路，都不影响其正常工作。并且只要有一个通讯环工作正常，通讯就能正常进行。当环路出现故障时，有正常的检测机制报告其状态，以便及时维修。

DTC与车载设备之间由于信息是单向传递的，因此只有在信息编码调制过程中约定信息格式。防止信息错误接收的唯一办法是对信息进行冗余设计，并且规定接收端只能检错。 [page]

2.2 端设备

信息传递的安全性主要依靠端设备的安全设计来实现。通讯通道的错误、故障的检测与判定以及故障后的输出，全部由端设备来完成。端设备包括ICU通讯模块以及DTC通讯板、车载系统的信息接收设备。ICU通讯模块采用的是三取二结构，以此获得高可靠性和高安全性。DTC通讯板以及车载信息接收设备采用的是双二取二（2-out-2）结构，安全性由单个设备保证，而可靠性则由双系统热备或并行工作实现。

3 轨道电路系统设计

DTC系统在设计时必须兼顾安全性、可靠性。安全性由单元设备及通讯协议、校验互校机制的设置来保证，以系统的备份提高可靠性。

3.1 通讯

DTC内部通讯机制采用与区控中心通讯相同的接口方式，由通讯板完成对下层DTC收发设备的通讯调度，DTC机柜内部采用双环通讯网，通讯板及下层设备的通讯接口均为2-out-2结构。采用与区控中心相类似的通讯协议。信道中的数据分两类，ICU发来的命令是三重冗余数据，DTC收发设备上报的数据采用2-out-2方式。这种方式减少了通讯板的设计复杂性，设计错误随之下降。

3.2 双机系统

DTC系统采用双机系统结构。故障率比较高的电子设备均为双重系，结构简单、失效率（故障率）较低的传输设备则为单一设备。发送设备如发送板、功放板采用热备方式，切换开关为继电器，当设备出现故障时，继电器失磁，转换到备机输出，经维修恢复正常后，工作在备机状态。设备在备机状态下同样具有自检功能。接收板和通讯板采用并行工作方式，两个接收板独立工作，各自向通讯板报告检测到的轨道电路状态及自身工作情况，通讯板只要收到有一个轨道电路区段空闲标志，就认为该区段空闲。通讯板只要有一个工作正常，即可承担起ICU与DTC的信息交换任务。这些设备自身都具备自检功能（功放板的检测由发送板完成）。

3.3 校验、互校机制

在系统设计中，引入了校验和互校的机制。区控中心发出命令经通讯板传递到DTC系统单元设备时，单元设备要对该命令进行检查，首先对收到的三组数据进行三取二处理，然后将结果与预先约定的内容比较，检查是否一致，若出现命令误送（合法的码字，但对象错误）或码错误，都能够及时发现。发送设备向钢轨传递的命令信息，在室内也有一条通路传送至接收设备，接收设备将经轨道传送来的信息与此加以比较，以确定轨道区段的空闲/占用，同时可以判断发送端送出的信息是否有错误。另外，单元电路内部的2-out-2结构，也存在校验和互校机制。

3.4 故障输出

DTC的信息输出有两种工作模式，即正常工作模式和测试模式（或称安全模式）。当发送设备及通讯正常时，DTC工作在正常工作模式。通讯板或发送设备出现故障，包括与区控中心的通讯故障出现时，立即转入测试模式。测试模式只对轨道电路内部检测、调试起作用，不带任何控车信息，车载设备接收到此命令，将立即停车。当接收设备故障时，给出的轨道区段标志为占用状态。

4 单元电路设计

构建一个安全可靠的系统，单元设备的设计尤为关键，将直接影响系统的性能。

4.1 设计原则

1． 故障安全原则

当设备故障时，其输出必须不危及行车安全。设备结构大多采用2-out-2方式。DTC通讯板、发送板、接收板均采用此种结构，输出之前需要相互比较或检查监督，当任一出现故障时，均停止工作，输出倒向安全侧。

2． 易故障模块分离原则

将易故障的模块分离设计，有利于故障设备的维修，从而提高系统的可用性。根据以往的经验，有些模块故障率比较高，例如功放，为了提高发送设备的可靠性，将功放独立设计成板，并针对功放的弱点强化设计，降低了功放的故障率。另一方面为发送设备的故障维修节省了时间，单位时间内可用性也得以提高。

3．模块通用化设计原则

将功能相同（或相近）的部分设计成通用模块，减少了系统设计的复杂性，提高了系统的稳定性。通讯板、发送板和接收板均使用微处理器，而且都采用2-out-2结构，在设计中将2-out-2结构的CPU 板分离出来单独设计，并且采用相同的微处理器。这种方法虽然功能方面不一定是最优的设计，但整体上系统得到了简单化，减少了设计的出错可能。另外，各种带通讯功能的单元板的接口模块也是统一设计的。

4.2 元器件选择

通过对元器件的选择达到优化电路设计、降低设备的复杂度和故障率之目的。一般说来，大规模集成电路的故障率都比较低，而且数字电路比模拟电路的稳定性要好的多。因此尽量采用大规模集成电路，减少集成电路的数量；尽量采用数字信号处理方式，减少模拟集成电路芯片的使用。芯片、元件降额使用可以提高稳定性和延长使用寿命。

4.3 防冲击设计提高可用性

在实际运用中，牵引电流是影响DTC工作稳定性的重要因素之一，除了在一些参数方面进行细致选择外，在电路设计中根据部件的承受能力分级设计防冲击电路，弱化甚至消除大信号对系统的破坏，使系统稳定可靠工作。同时由于冲击和列车的牵引控制电路产生的高频干扰的存在，在信号频带范围内，有一定量的噪声干扰，除增加DTC信号能量以提高信噪比外，采用数字信号处理方式可提高系统的抗干扰能力。

5 总结

DTC系统是个全新的系统，它是在已有的国内信号技术特别是轨道电路技术成功应用经验的基础上，结合数字化技术、通讯技术以及微电子技术自主研制的，在研制过程中，对其安全性和可靠性采取了一定的措施，并考虑了设备的综合成本因素，力求达到最合理的性价比，最终的结果还有待于在实际运用中进一步检验。