CXGKA型站间安全信息传输设备说明书810Word文档格式.docx

1、2011年3月，COMPEX站间安全信息传输设备通过中国铁道部的产品检测，取得上道运用许可，并正式命名为CXG-KA型站间安全信息传输设备。1.1 设备用途CXG-KA型站间安全信息传输设备是以计算机技术和光通信技术为基础，利用光纤或光通道取代传统的电缆或架空明线作为站间信息的传输媒介，同时采用信息安全传输保障技术构成的铁路站间信息安全传输的专用设备。CXG-KA型站间安全信息传输设备可传输但不限于以下信息：1. 64D继电半自动闭塞站间信息；2. 自动站间闭塞站间信息；3. 站、场间联系信息；4. 自动闭塞区间改变运行方向控制信息（四个方向）。1.2 设计遵循的标准及原则CXG-KA型站间安

2、全信息传输设备的设计遵循以下标准及原则：1. 符合铁路信号“故障-安全”原则。2. 按照铁道部运基信号【2010】537号文基于光通信的站间安全信息传输设备应用技术条件（暂行）的要求设计。3. 站间通信协议执行铁道部运基信号【2010】267号文铁路信号安全通信协议技术规范中铁路信号安全通信协议-I（RSSP-I）的规定。4. 设计遵循的其它相关标准：1）. GB/T 21562 轨道交通 可靠性、可用性、可维修性和安全性（RAMS）规范及示例；2）. GB/T 24339.1 轨道交通 通信、信号和处理系统第1部分：封闭式传送系统中的安全性相关通信；3）. EN 50128 铁路应用铁路控制

3、和防护系统软件；4）. EN 50129 铁路应用通信、信号和处理系统安全相关电子系统。1.3 主要功能与特点CXG-KA型站间安全信息传输设备具有以下功能与特点： 1. 系统双系冗余功能 设备采用双系并联冗余结构（2乘二取二），两系间做到“无缝”切换，保证系统的高可靠性。同时，每系的主控单元采用二取二结构，保证单系的安全性。2. 故障安全的继电器接点条件采集功能 基本配置可采集48路安全型继电器接点条件，最多可扩展至96路。3. 故障安全的继电器驱动功能 基本配置可驱动24个安全型继电器，最多可扩展至48个。4. 监测功能 设备具备自诊断与辅助维护功能，可将驱动采集状态信息、设备工作状态信息

4、及报警信息通过RS232接口发送给信号微机监测系统，监测内容符合运基信号2006317号中的相关要求。5. LED状态指示及故障显示功能 设备各单元电路面板设有LED状态指示及故障显示指示灯，可随时显示设备的工作状态及故障信息，为设备的现场安装调试及维护提供直观的窗口，实现对设备运行状况的实时监测及管理，准确定位各类故障，提高系统的运用质量和维护效率。6. 中继站功能 设备可作为中继站使用。用作中继站时，既可转发源站的信息，也可正常采集本站继电器接点条件及驱动相关继电器。7. 设备其它特点1）. 采用CAN总线技术实现设备内部的数据交换。2）. 可采用双机热备工作方式。3）. 采用模块化设计，

5、所有相同型号板件可互换。4）. 双路电源设计，保障设备供电的可靠性。5）. 各种板件均安装有鉴别销，能够避免设备安装或维护时将板件插错位置。1.4 主要技术指标1. 工作环境1）. 大气压力：不低于70.1kPa （海拔高度不超过3000m）。2）. 周围空气温度：-5+40。3）. 周围空气相对湿度：不大于90%（温度为25时）。2. 供电与电源设备1）. 设备供电采用信号电源屏交流稳压电源单相220V。输入电压范围 220（110%）V，频率范围 50Hz1Hz。2）. 设备的供电应保证不间断，否则系统自配置UPS电源，以保证系统正常工作。UPS电源采用在线式，输入交流断电后其供电的时间应

6、不少于30min。3. 设备平均故障间隔时间（MTBF）：不小于106h。4. 设备平均危险侧输出间隔时间（MTTF）：不小于109h。5. 站间传输延迟时间：不大于3s（两车站间设有2个中继站）。6. 输入（采集）接口数量：基本配置48路，可扩展至96路。7. 输出（驱动）接口数量：基本配置24路，可扩展至48路。8. 通信速率：9600 bps115200 bps，8个数据位，1个停止位，无奇偶校验位。9. 传输设备间数据交互周期：250 ms。10. 电磁兼容和雷电防护1）. 设备在电源入口、采集电路接口和驱动电路接口处均采取电磁兼容及雷电防护措施，并符合TB/T 3073、TB/T 3

7、074、铁运200626号和铁建设200739号的相关要求；2）. 机柜整体屏蔽，防雷地与屏蔽地分设，接地电阻值不大于4。11. 设备功耗：不大于200W（最大配置）。2 系统组成及工作原理2.1 系统组成站间安全信息传输系统主要由CXG-KA型站间安全信息传输设备与传输通道构成，系统采用双系冗余结构，如图2.1所示。系统组成主要包括以下部分：1 双主控单元；2 双输入输出单元；3 双通信及接口单元；4 双传输通道。甲站 乙站传输设备 传输设备图2.1 站间安全信息传输系统组成框图2.2 工作原理CXG-KA型站间安全信息传输设备由源站设备采集本地站间信息继电器接点条件后，把采集到的开关量信息

8、转化成数字信号，同时站间信息传输设备对此数字信号进行编码处理，然后通过传输通道传送给目的站。目的站的站间信息传输设备根据接收到的站间信息进行译码后，将源站的继电器状态信号还原成相应的开关量并驱动相关继电器动作，从而完成站间信息的传递和电路控制。2.3 中继站方式CXG-KA型站间安全信息传输设备可作为中继站设备使用。多车站带中继传输设备连接如图2.2所示。车站CCXG-KA中继站车站B车站ACXG- KA 接 口图2.2 多车站带中继传输设备连接示意图3 设备硬件结构3.1 主控单元结构主控单元结构如图3.1所示。主控CPU1和主控CPU2组成二取二冗余结构，两主控电路的硬件结构及原理完全相同

9、，两个主控电路分别进行自检和互检，当任何一个发生故障或状态异常时，设备导向安全。源站主控单元的功能如下：1 采集源站站间信息继电器接点条件。2 通过CAN总线将信息传送给通信单元。3 给出设备状态及故障报警信息。4 通过监测单元向信号微机监测系统传送设备状态及故障信息。目的站主控单元的功能如下：1 通过CAN总线接收通信单元传来的源站信息。2 根据解码后的源站站间信息继电器的状态，驱动相应执行继电器。3 采集执行继电器状态，以判断继电器的动作是否正确。4 给出设备状态及故障报警信息。5 通过监测单元向信号微机监测系统传送设备状态及故障信息。监测单元状态或故障显示1 CAN1-2输入输出 本系通

10、信单元 CPU1CAN1-1 另系 CPU2CAN2-1状态或故障显示2CAN2-2图3.1 主控单元原理框图3.2 输入输出单元结构输入输出单元包括输入（采集）电路和输出（驱动）电路两部分，原理框图如图3.2所示。输入（采集）电路为故障安全电路，电路中任一部件的故障均能导致输入信息脉冲的中断。输出（驱动）电路是由AC/DC转换技术构造的、并且由两个主控CPU以“与”的方式共同控制的故障安全电路,电路中任一元器件的故障均能导致电路无输出。站间安全信息传输设备目的站输出执行继电器采用安全型偏级继电器JPXC-1000，将系执行继电器（ZJ）的一组上接点和系执行继电器（ZJ）的一组上接点并联后，接

11、入总执行继电器（ZJ）的励磁回路，如图3.3所示。主控单元I/O接口1（采集）电路 8路采集入 8路继电器接点 8路采集出 I/O接口2（驱动） 8路采集出 4路驱动 4个执行继电器ZJx 图3.2 输入输出单元原理框图KF ZJ ZJ KZ ZJ图3.3 总执行继电器原理图3.3 通信单元结构通信单元结构如图3.4所示，其主要功能如下：1 通过CAN1/CAN2接收本系/另系主控单元采集的继电器状态信息并进行信息编码；2 将编码后的信息通过串行口1（RS232）传送给邻站；3 通过串行口1（RS232）接口接收邻站传来的继电器状态信息并进行信息解码；4 通过CAN1/CAN2将解码后的邻站继

12、电器状态信息传送给本系/另系主控单元；5 通过串行口2（RS232）实现中继连接；6 状态及故障信息显示。状态或故障显示 CPUCAN1串行口1 本系主控单元 通道接口 CAN2串行口2 另系主控单元 中继接口 图3.4 通信单元原理框图3.4 监测单元结构监测单元结构如图3.5所示，其主要功能如下：1通过CAN总线接收各主控单元的状态及故障信息；2. 通过检测接口对电源报警等进行监测；3. 通过串行接口将设备状态及故障信息上传至信号微机监测系统；3. 故障显示及声光报警。LED显示屏 监测CPU串行口CAN 主控单元 微机监测系统报警接口检测接口 故障检测 声光报警装置 图3.5 监测单元结

13、构框图4 软件4.1 软件设计遵循标准CXG-KA型站间安全信息传输设备软件设计严格遵循欧洲标准EN 50128铁道应用铁路控制和防护系统软件规定的软件生命周期，制定并遵循统一的编码标准，软件编码做到模块化、结构化、标准化；建立详细完善的测试系统，对软件进行详细全面的测试。系统软件（传输部分）设计参照国家标准GB/T 24339.1 轨道交通 通信、信号和处理系统第1部分：封闭式传送系统中的安全性相关通信要求设计。4.2 软件总体结构按照CXG-KA型站间安全信息传输设备总体结构，软件分为三部分，即主控单元软件、通信单元软件和监测单元软件，如图4.1所示。站间安全信息传输设备软件监测单元软件通

14、信单元软件主控单元软件陷阱处理程序中断程序主程安全信息接收及解析程形成及发送程主陷阱处理数据接收输出驱动图4.1 软件总体结构4.3 主控单元软件主控单元软件根据硬件结构分为主控CPU1软件和主控CPU2软件，两软件功能完全相同，主要包括以下功能：1 通过输入（采集）电路读取本站站间信息继电器状态；2 通过CAN通信电路向通信单元发送本站继电器状态信息；3 通过CAN通信电路接收通信单元传来的邻站继电器状态信息；4 根据接收到的邻站继电器状态信息形成动作本站相应执行继电器的指令；5 驱动本站相应执行继电器；6 采集执行继电器接点状态，以检查执行继电器的动作是否正确。4.4 通信单元软件4.4.

15、1 RSSP-I铁路信号安全通信协议（V1.0）概述通信单元软件的主要任务就是按照RSSP-I铁路信号安全通信协议（V1.0）的要求进行站间信息的传送，包括以下5个方面的要求。1 通信问题的识别防范对于封闭式传输系统中的安全通信问题，按照EN 50159-1中的规定对以下安全威胁进行识别和防范：1）. 数据帧重复；2）. 数据帧丢失；3）. 数据帧插入；4）. 数据帧次序混乱；5）. 数据帧错误；6）. 数据帧传输超时。2 接收信息检查按照RSSP-I的规定，采用从接收方角度设计的保护算法，要求接收方必须对接收到的信息做出以下检查：1）. 发送方的身份信息（真实性）；2）. 信息帧的正确性（完

16、整性）；3）. 信息帧的时效性（时限性）；4）. 信息帧序列的正确性（次序性）。3 安全防御技术按照RSSP-I的规定，主要采用下列安全防御技术：1）. 时间戳；2）. 超时检查；3）. 源标识符SID识别；4）. 接收错误反馈消息；5）. CRC和系统校验字双重校验。4 安全信息帧类型在安全通信交互中需使用到以下三种帧类型，如表4-1所示。表4-1 安全信息帧类型名称传播类型频率性实时安全数据帧（RSD）点对点周期性时序校正请求帧（SSE）触发式时序校正答复帧（SSR）5 帧格式1）. 实时安全数据帧（RSD）RSD用于节点间相互实时传送安全数据（含应用需求的数据域），参见表4-2。表4-2

17、 RSD帧格式域类型字段名称大小取值备注帧头协议交互类别1字节0x01或0x02适用于实时周期性传输交互的情形帧类型0x80或0x810x80表示A机发送的；0x81表示B机发送的；源地址2字节保留0x0000目地址预留0xFFFF数据体TC本地周期计数器4字节n用于预测故障检测,有无超出预定校时范围安全数据的大小应用层字节总数+8CRCM_1安全校验通道1CRC_1SID_1T_1（n）SysChk_1CRC_1仅对应用数据域部分计算CRC32CRCM_2安全校验通道2CRC_2SID_2T_2（n）SysChk_2CRC_2仅对应用数据域部分计算CRC32 ,应用数据域字节总数480本周期

18、所需传输的全部应用数据要求必须为偶数字节长度帧尾CRC162 字节根据帧头和数据体生成，CRC16生成多项式为G（x）=X16+X11+X4+1，计算初始值为02）. 时序校正请求帧（SSE）当接收方检验到当前安全数据帧的时序已超过所预定的容忍范围时，就需向发送方发送时序校正请求帧（SSE），用于请求时序同步校正，参见表4-3。表4-3 SSE帧格式0x010x90时序请求通道 1SEQENQ_1SID_1T_1（n）节点标识与时戳信息综合时序请求通道2SEQENQ_2SID_2T_2（n）CRC帧CRC同RSD帧3）. 时序校正应答帧（SSR）时序校正应答帧（SSR）用于回应时序校正请求帧（

19、SSE），参见表4-4。表4-4 SSR帧格式0x91数据域TC1本地周期计数器n1应答回复方的TC2它方周期计数器n2请求应答方的，即SSE中的n值时序初始化通道1SEQENQ_1SID_1T_1（n）DataVer_1SEQENQ_1为SSE中值时序初始化通道2SEQENQ_2SID_2T_2（n）DataVer_2SEQENQ_2为SSE中值数据版本号预留4.4.2 通信单元软件的主要功能通信单元软件的主要功能是：1. 通过CAN电路接收本站主控单元传来的继电器状态信息；2. 对继电器状态信息进行编码，形成安全信息帧；3. 通过通道接口向邻站发送本站安全信息；4. 通过通道接口接收邻站发

20、来的安全信息；5. 对邻站安全信息进行解析并形成相应的继电器状态信息；6. 通过CAN电路向本站主控单元传送邻站继电器状态信息。4.5 监测单元软件监测单元软件的主要功能是：1 实时监测和记录设备各部分的状态及故障信息；2 给出设备故障声光报警信息；3 通过RS232接口将设备工作状态及故障信息发送给信号微机监测系统。5 可靠性保障措施5.1 硬件可靠性设计对于一个计算机控制系统而言，其硬件设备的可靠性是整个系统可靠性的基础，构成硬件设备的各种芯片、电子元器件、电路板、接插件等的质量，电路设计的合理性、布线的合理性、工艺结构设计等决定了系统的硬件素质，任何一个出了问题，都会使系统可靠性降低，甚

21、至产生不安全因素。CXG-KA站间安全信息传输设备在硬件设计上采取以下措施来保证其可靠性。5.2.1 采用工业级微控制器资料表明，现在工业级微控制器的平均无故障时间可达107h-108h，也就是说，如果在额定的运行环境下，不计线路板、接插件等元器件的影响，可以连续运行几十年不出现任何故障。5.2.2 电子电路采取降额设计对于电路中使用的功率元器件，包括功率要求、电压要求、电流要求等，均采取降额设计，其降额系数小于0.5，以确保电路低负荷运转。5.2.3 硬件的其它抗干扰措施1. 集成电路全部采用CMOS器件，以提高其抗扰度；2. 采用电磁兼容式机箱，以良好解决屏蔽、搭接、接地等问题；3. 采用

22、光电隔离器件将微控制器同外设全部隔离开；4. 对于0.5m以上长度的交流信号线，均采用双绞线配线。5.2 软件可靠性设计利用计算机实现对铁路信号控制的设备，其整体可靠性需要由硬件和软件两部分共同保证。在系统的硬件结构选定之后，硬件本身对系统可靠性贡献就被决定了。然而，利用软件容错技术，还可以进一步提高系统的可靠性。CXG-KA站间安全信息传输设备采取以下软件容错技术提高系统可靠性。5.2.1 功能循环设置对在整个程序执行过程中不会改变的微控制器内部控制寄存器设定，如中断优先级设定、开中断、输入输出口功能定义等进行功能设定冗余， 即将有关的设定指令放在主程序循环体中，这样，即使干扰已造成功能设置

23、的改变，但在主程序的下一循环执行过程中马上能得以纠正。5.2.2 对程序执行过程进行监督为了保证程序按预定“轨道”执行，每段功能程序设执行标志，往下执行一段程序要回头检查前面程序的运行标志是否正常。若发生程序非正常跳转，则能将程序“拉回”原执行处（前提是有用信息未被破坏）。5.2.3 指令冗余在双字节指令和三字节指令之后插入两条N0P指令，可保护其后的指令不被拆散。或者说，某指令前如果插入两条NOP指令 ，则这条指令就不会被前面冲下来的失控程序拆散，并将被完整执行，从而使程序走上正轨。5.2.4 软件陷阱所谓软件陷阱，就是一条引导指令，强行将扑获的程序引向一个指定的地址，在那里有一段专门对程序

24、出错进行处理的程序。软件陷阱安排在下列三种地方：1. 未使用的中断向量区；2. 未使用的大片ROM区；3. 程序的断裂点。5.2.5 程序运行软件监视在软件的主程序和中断程序中分别建立程序流程软监视器，当程序没有按照预定流向运行时，程序流程软监视器就会及时发现并引导程序执行硬复位。5.2.6 程序运行硬件监视当程序弹飞到一个临时构成的死循环中，而且程序运行软件监视器也失效时，系统将完全瘫痪。解决这个问题的方法就是设立程序运行硬件监视器（WATCHDOG）。本系统的每个微控制器均设有WATCHDOG。5.3 双系冗余设计上面阐述的设备可靠性和安全性设计是基于单套系统考虑的。然而，在完成站间信息传输时，如果只采用单套设备，一旦发生故障，将导致站间信息传输失败而影响行车。因此，CXG-KA站间安全信息传输设备采用“1+1” 双系冗余方案，其主要特点是：1. 两系各自独立工作（并联），只要一系工作正常系统就正常工作。2. 两系主控单元以“或”的方式驱动执行继电器ZJ，只要有一系送出ZJ的工作电源ZJ就吸起。只有二系均未送出ZJ的工作电源ZJ才落下。3. 当两系中一系正常工作，而另一系在故障修复后，可通过读取正常系的状态后在线投入正常运行。6 安全性保障措施CXG-KA型站间安全信息传输设备的安全性保障措施包括三方面，硬件安全性设计