铁路信号控制计算机联锁系统.docx

1、铁路信号控制计算机联锁系统铁路信号控制计算机联锁系统:SMILE摘要：本文提出了铁路信号控制计算机联锁系统的概念，并对该系统针对安全性高、可靠性好和灵活性杰出的整体架构进行了设计。本文对无论系统的核心是“故障-安全”的微机子系统，还是系统总线结构的多微机子系统的基本体系结构进行了研究。基于定量评价的结论，给出了系统的安全性和可靠性，该系统有助于车站列车交通控制技术的改进。1 简介近来，在非常重要的区域增加了计算机系统的应用。面对这方面的需求，已经开发了一些使用容错计算技术的高可靠计算机系统1。另外，在某些区域，要求计算机系统不仅要可靠性高而且要安全性高。铁路信号控制系统就是其中的一个典型，特别

2、是，控制信号和道岔的联锁设备不仅要可靠性高(它运行的中断会引起列车交通堵塞)，且为了防止碰撞和脱轨，它必须具有“故障-安全”特性。在铁路信号系统中, 每当系统失效，安全侧信息就会促使一个“禁止信号”产生。目前，以继电器联锁为主, 因为电磁继电器有不对称的失效模式(“故障-安全”特性)，所以采用电磁继电器作为它的逻辑部分。日本国家铁路(JNR)曾多次尝试将计算机应用于联锁当中。最近一次是在1966年,由变参数元件组成了一个“故障-安全”计算机2。该系统运转良好,但运用于实际当中过于昂贵。 最近，我们已着手研究基于通用计算机的联锁系统3，因为电子元件如电脑的基本元件晶体管，没有不对称失效模式，所以

3、用它去构造一个“故障-安全”的计算机系统很困难。尽管需求很大，但很少有这样的系统应用于实际当中4。本文提出了一种微机控制联锁系统，它更容易处理和维护，而且更便宜，有比传统的电气集中更灵活的扩展功能。本系统名为SMILE (联锁设备的安全多处理器系统)，SMILE由不同层次和不同功能地独立多微机组成。该系统由一个三模冗余(TMR)“故障-安全”微机确保其安全性，而不需要故障-安全特性的辅助功能被分配到其他微机。2 SMILE的层次结构列车交通控制系统有四个层次等级。最高的是列车运行时刻计划级(等级1)。第二个是列车交通管理级(等级2)，它监督整个铁路线路的列车运行，其计划被修改使列车延迟最小以防

4、列车交通障碍。接下来是控制级(等级3)，它控制列车路线设置和管理乘客信息供给。最低的是安全级(等级4)，它确保列车安全运行。前三个等级(等级1-3)的功能提高了列车运行控制效率和客运服务，许多类型的列车交通控制系统在实际使用当中。然而，到目前为止, 通过电气集中，人们已经意识到最低等级(等级4)的功能。通过利用计算机的智慧，在高级别任务中，计算机联锁能够实现各种功能。 因此，在一个具有复杂调车工作的大站上，对于负责监控整个铁路线路的中心调度员来说，掌控铁路运行的细节太难。为了适用于像这样的站以及小规模站，我们开发了SMILE。于是，在大站除了等级3和等级4的功能外，SMILE还有交通管理功能，

5、而且属本地控制范围内。包含SMILE的列车交通控制系统的结构如图1所示。为了与中央计算机系统的交通规则保持一致，SMILE将从中央系统配备一个列车时刻表。为了应用于小型车站，拥有最低等级(等级4)功能的SMILE，将被毗邻的小站SMILE或者集中控制计算机系统远程控制。图1 运用SMILE的列车交通控制系统层次结构SMILE的目标是以最小的总成本实现以下功能，而这些功能不包含在传统的电气集中内：a)基于列车运行计划的自动路由控制。b)一个调车试点语音通过使用无线电发射器直接向SMILE发送命令的调车进路设置，或基于一系列预先储存的进路设置数据进行调车进路自动设置。c)向乘客提供列车运行信息。d

6、)SMILE自身和外部信号装置的监控与故障检测。 为了保证拥有多种功能的SMILE系统具有高安全性、高可靠性和高灵活性，我们采用分层结构，该结构中，需要保证安全的某些功能从那些不需要“故障-安全”特性的功能中分离出去。SMILE由功能分布式的多微机构成。联锁功能由带有三模冗余“故障-安全”微机(TMR)结构的“故障-安全”微机子系统(FSM)来执行，而辅助功能分配到其他带有简易的或双工(热备)结构的微机中，这取决于它们的可靠性要求。SMILE系统结构如图2所示。每个SMILE与一个名为SMILE-BUS(后面介绍)的复制的系统总线连接。图2 SMILE的分层结构3“故障-安全”微机子系统3.1

7、“故障-安全”结构基本概念当“故障-安全”计算机系统由一个基于冗余和错误检测电路的通用计算机组成时,就有一个问题：双重故障会造成安全性丢失。有两种方法来克服：依赖软件的多样性和硬件冗余。然而，考虑到电子元件将会一年比一年便宜, 在软件复杂性和系统成本方面, 发现前者不是很好。所以在硬件冗余方面，需增加数据对比的频率从而减少双重故的障概率。用该方法，一个需要注意的地方就是关于总线水平。要满足这种情况，就必须加载另一个完全相同的软件。因为比较发生在总线上，所以在元件使用前就可以检测到它的缺陷。如此一来，一个故障在它扩散前就可以被处理掉。这是减小双重故障概率行之有效的方法。联锁系统要求高可靠性以及高

8、安全性。从这个角度来看，我们的系统应选择TMR结构。最近，在微机系统中，TMR的一些应用程序出现了。其中有一个是Siewiorek提出的总线级别的表决系统5。总线级别表决方法有以下优点：1)因为在每个微指令执行期间，数据表决是在总线级别上，所以，发生于一个模块上的错误将立即得到纠正。2)当故障发生时，故障不扩散到包含故障部分的领域以外。尽管该结构对一个高可靠性系统来说可能行之有效，但它们不满足一个安全系统的要求。一个仅仅检测和纠正错误的系统迟早会导致双重故障和不安全的控制输出。为了避免这种情况发生，系统添加了一个表决分歧检测电路，以便通过监测多数表决复位器(MVR)每次表决操作发生的输入和输出

9、，来发现MVR的分歧。因此，该电路被设计为具有“故障-安全”功能，并命名为“故障-安全”比较器(FSC)。整个系统几乎所有组件的故障，均表现为三条总线的分歧，因为当它们访问处理器时，必定通过MVR。因此，通过观察这三个MVR，FSC可以检测整个系统的故障。如此一来，一个使用“故障-安全”逻辑元件的输出表决电路(OVC)被用作系统输出电路，而FSC无法处理它们的故障。FSC的结构如图3所示。图3 “故障-安全”微机子系统的结构3.2 故障检测和模式控制1)故障检测：在本系统中，三个完全相同的处理器由一个主时钟同步，这也是采用了TMR结构，每次处理器发送或接收信息时，数据总线、地址总线，和几个控制

10、信号一步步的进行表决。本系统还提供了比较三个MVR的输入-输出对的六个两输入FSC。FSC每次都会检查MVR处理器对总线的访问，因此，FSC必须要高速运行。为了满足这一需求，FSC采用使用移位寄存器和微型继电器的动态观察方法。该方法的概念如图4所示。图4 故障-安全比较器(FSC)正常情况下，被给电路周期性交替输出“1”和“0”，它输出的是一种交流波形，整流后驱动直流继电器。当使用这种方法时，无论电路的任何地方或电路任何部分发生故障，都不会引起交替输出，且直流继电器不会动作。因此,它属于“故障-安全”电路。实际电路中，提供了一个2-b双向移位寄存器。当处理器发出“读”或“写”的控制信号时，FS

11、C进行总线比较，总线数据被锁存。每一个比较周期内，FSC保留一个向移位寄存器发送脉冲(左移信号)的内部时钟。紧随着，一对锁存的数据被拿出，通过异或(EOR)部分，以连续形式给向移位寄存器。该操作与FSC的内部时钟同步。该软件在系统初始化或系统重新启动时，对移位寄存器进行初始化。此外，定期将存储区和寄存器内的数据放置在总线上，经诊断软件，以便FSC尽早发现这些组件的故障。2)基于FSC结果的故障定位：是通过有“故障-安全”特性的继电器电路实现的，该继电器电路控制着OVD中相应部分的电源开关。就是说，故障模块的外部输出将从表决系统中清除，即使当它参与内部总线级别的表决。然后，在AND运算中，该系统

12、犹如由双重系统构成。此后，如果另一分歧发生在两个均被视为正常的总线上，那么继电器电路会判断该系统中存在两个故障，然后封杀整个系统。当然，在这种情况下，来自该系统的外部输出均导向安全侧。3)瞬时误差测量：对瞬时故障来说吗，该系统设计的非常强大。有硬件协作的软件给出处理瞬时故障的措施。该方法的理念如下。该系统提供与图4所示的FSC有关的循环冗余代码检查(CRCC)。给向FSC中移位寄存器的串行数据同样给向CRCC，在每个对比周期中，CRCC预测使用预定算法串行数据的残余部分。每一个Ts秒，三个处理器读取六个循环冗余代码检查(CRCC)内容，并判断数据总线之间是否发生分歧。总线上的错误反应在CRCC

13、的内容上。如果检测到分歧，处理器就会确认故障模块，并初始化FSC中所有的移位寄存器，假定分歧由先前Ts秒中的瞬时误差引起。Ts期间，会考虑普通脉冲噪声的平均时间。如果其他总线之间的另一分歧在这个时期发生，那么，处理器将通过终止向看门狗计时器提供与错误模块相同输出的方法,封锁所有系统功能。因此，向输出表决电路的电源输出也将终止。如果另一分歧发生在相同总线（一个分歧已发生）的下一个Ts秒内，处理器将认为是一个永久性故障，并通过终止向看门狗计时器提供输出来分离该故障模块。4)模式选择和系统恢复：MVR有另一种操作模式，除表决运算外，指定的三个总线上的信号允许没有表决通过。在该模式下，没有停止该功能的

14、系统维护可能存在。控制台上有个开关来进行该模式的选择。整个系统从关机中恢复(同步恢复)是从按下控制台上的按钮开始的。该操作模式下,在初始化过程中，各个区域初始化和输出端口清0明确执行，以防不安全数据输出。相比之下，从一个双重系统恢复到一个三重系统，若要三台处理器优化计算机的随机存取存储器达到与正常计算机的随机存取存储器一致，需通过从内存区域执行读取操作和向内存区域执行写入操作，之后，初始化所有FSC。因此，在该系统中没有额外的软硬件的情况下，很容易从一个双重系统恢复到一个三重系统。3.3 “故障-安全”输出表决控制外部信号设备的系统输出由OVC产生。OVC通过三个相同的输出端口接收三台微机数据

15、，并通过表决生产1-b信号。FSC不能检测电路输出端口后的任何故障，因此，OVC必须具有“故障-安全”特性。输出表决电路的结构电路如图5所示。A元件(相当于与)和AB元件(相当于正值和负值输入和)是由Tsuchiya6开发的C类“故障-安全”逻辑部分的薄膜集成电路版本。因为该电路逻辑电平为15 V，电平变换器(LVC)为插入式。表决功能由三个A元件输出进行OR运算实现。AB元件检测是否同时输入0。如果A和AB元件均输出0，该情况被认为存在分歧。分歧发生时，固定输出一对0，意味着安全可靠状态。最后，无错误的OR输出当作是特定位的输出。此外，当在内部电路中如III-B部分描述的那样，检测到永久失效

16、时，模块维持控制功能，实现电路的电源开关控制。图5 输出表决电路的结构4 可靠和“故障-安全”FSM软件4.1 可靠软件 考虑到SMILE的安全性和可靠性，软件可靠性与硬件同等重要。特别地，要求FSM软件的安全性一定要高度可靠。软件可靠性，即正确性，可通过结构化设计和软件测试达到。铁路信号联锁是一个典型时序机器，它的设计与测试非常困难。计算机联锁系统中，在软件方面如何实现这样复杂的逻辑是一个主要的问题。作者提出的方法之一是联锁软件可以分成许多简单的基本组合，因此，它的生产和测试可以轻松完成7。FSM软件就是基于该方法组成的。 普遍用于所有车站的FSM程序可分为许多简单的功能模块，它们存在于不同

17、层次结构。最高级别的模块相互连接于一个单线程上。该线程每300毫秒连续不断受到扫描，它没有复杂的操作系统的程序结构，因此，可确保非常可靠处理数据。对个别车站来说，同一情况下特有的联锁条件给向作为一个车站轨道布置的FSM，它们和所有程序一起放在只读存储器(ROM)中。因为联锁功能的任何改变，都可以通过改变或添加数据完成，所以，该软件结构是非常可靠和灵活的。在SMILE中，联锁功能测试流程的概念如图6所示。物理地址（图表）存放在FSM中，而这些图表形式给向一个测试子系统。这些数据是基于相同的规范生成的。功能测试子系统中，生成的测试数据流向SMILE，由功能测试子系统检测其响应。尽管这些测试是在所有

18、联锁条件的组合中执行，但通过利用组合电路测试，可以使它们简化。这种双重路径的测试方法非常有利于验证软件的完整性。图6 SMILE基于双轨道方法的功能测试4.2 “故障-安全”软件基本上，FSM的安全性依赖于硬件。然而，为了尽可能安全甚至当FSM面临一个如硬件故障或错误数据的预期情况，FSM的软件采用的安全方法如下：1)安全侧信息分配：首先，我们必须考虑到在该系统中什么是安全侧状态，并分配安全侧状态或危险侧状态到信息数据。例如，“禁止信号”是安全侧信息。在FSM中，“0”总是代表安全侧状态，“1”代表危险侧状态。2)非对称程序：“故障-安全”逻辑部分有一个不对称的故障模式。在软件中也采用了同样的

19、不对称故障模式。生成危险侧信息的程序应该有许多检测点，并且该程序生成安全侧信息应该很简单。例如，对“清除信号”来说，该程序包括很多检查模块，并且在它产生“清除信号”输出之前必须通过该程序所有模块的检查。3)时间冗余程序：应采用定期处理，以便可以纠正在最坏情况下的危险侧输出故障。4)输入数据的完整性检查：输入数据的完整性检查应该同时基于其他输入数据和内部状态。例如, 轨道电路标志的完整性检查是通过列车追踪程序，错误输入数据被更改为“不确定状态”并经处理成为安全侧状态信息。5)恢复到安全侧状态：一个“故障-安全”系统应恢复到安全侧状态，以防硬件失效或错误数据。当软件检测到一个严重的错误，软件应该恢

20、复到内部状态并输出信号转到安全侧。5 SMILE-BUS结构5.1 SMILE-BUS的概念在如SMILE的多计算机系统内，该系统总线结构作为计算机简单链接的方法之一。在一个具有像这种结构的系统内 , 有自己局部的存储器和相互独立操作的计算机连接到一个系统总线上，通过该总线实现信息交换。该方法的优点如下：1)计算机之间的接口实行简化和标准化。2)通过添加一个新计算机(在它里面安装新功能)到系统总线，功能扩展很容易实现。3)在电脑之间的故障检测和定位可以很容易地执行，因为在相互监视的基础上计算机操作受到监督。在一个由带有冗余结构的计算机组成的系统中，从整个系统可靠性的角度出发，系统总线必需也要采

21、用冗余结构。在一个由复制的(热备)计算机组成的系统中,可以有两种系统总线的冗余结构方法。其中之一是主计算机是只连接到两个系统总线的其中一个,从属计算机被连接到另一个。另一种方法是主、从计算机同时连接到两个总线。在前一种方法中，一旦任何主计算机有故障发生，那么会马上引起主从开关与其他计算机一道。该方法很简单，但是从容错的角度来看它不是有利的。在后者中，即使可能发生多次故障，但只要故障不同时发生在具有相同功能的两个电脑上，那么不会导致系统瘫痪。我们已经开发出名为SMILE-BUS结构的容错系统总线结构，它是基于后一种方法产生的并应用于SMILE中。SMILE-BUS 复制了公共存储信息，通过它，公

22、共存储区的仲裁电路和计算机总线之间的接口电路，能彼此独立的交换信息。SMILE-BUS的配置结构如图7所示。5.2 故障检测和故障定位对于SMILE-BUS结构的容错要求如下：1)一个正常操作模块不应受一个故障影响。2)应确保故障模块的识别与分离。图7 SMILE-BUS结构表1 SMILE-BUS结构中诊断矩阵的概念IFC-1IFC-2PPM-1PPM-2CCM-1CCM-2DTM-1DTM-2TCM-1TCM-2 IFC-1/00X000000IFC-20/0X000000PPM-10X/0000000PPM-2XXX/0XXXXXCCM-1000X/000X0CCM-2000X0/000

23、0DTM-1000X00/000DTM-2000X0X0/00TCM-1000X0000/0TCM-2000X00000/FSV000X000000MSVMSMSSMMSMS当计算机A检测计算机B的故障时，计算机B并非总是故障的。也可能是另一种状态，即B是正确的，A是故障的。考虑到这些问题,我们使用下面的方法。每个计算机监督其他计算机的运行，并相互检测故障。带有TMR结构的FSM(在SMILE中这是最可靠的)是基于由所有计算机执行的故障检测结果来识别故障计算机。最终判断取决于FSM的原因是，如果超过两台计算机作异步独立判定,那么结果并非总是一致，最合适作为故障定位监测的系统是FSM，因为从外观

24、上看，它犹如一个单一计算机。在软件基础上执行这些功能。对于每台计算机SMILE-BUS接口的特殊软件，在一对公共存储器(A)和(B)上都有它自己的看门狗计数器区域，并在共公存储器(A)和(B)上，在每个Tw秒对WDC加1。在其他计算机的(A)和(B)上读取WDC数据，在过去的 Tw 期间，在模块化的基础上判断它们是否已经增加。在公共存储器(A)和(B)上，在自己的判断行向量(JRV)中做一个出错标记“X”，在几个Tw秒，如果发现WDC一直没有增加。FSM中在阈值判断的基础上通过使用这个基于JRV软件的矩阵去识别故障计算机，并标记SMILE中所有计算机故障状态向量。矩阵和FSV的概念如表1所示。

25、作为硬件计数器进行故障检测时，计算机和SMILE-BUS之间的接口电路会监督来自于公共存储器的响应，在Tr秒内如果没有响应反馈时，则从SMILE-BUS 断开计算机系统以防SMILE-BUS 锁闭。此外,每个公共存储器被分成若干区域与每台计算机对应，每个区域受到保护以防其他计算机破坏。5.3 复制计算机的模块控制对有热备结构的复制计算机的独立操作要求如下：1)如果可以，主从计算机应有一个松散耦合，这样正常运行的计算机不会受到一个故障影响。2)每台计算机应保持正确运作，即使输入时间上可能存在差异。 3)就算主计算机故障，从属计算机必须维持正确操作。为了满足这些要求，我们采取了以下方法：1)两台计

26、算机同时采用输入数据。2)主计算机产生控制输出，从属计算机仅输出数据用作诊断。3)从属计算机常处理需要转向主模块的数据。4)当主计算机故障时，从属计算机将成为主模块，使用存放在公共存储器中的数据。当FSM检测到主计算机故障时，对复制的计算机来说，主从模块控制由FSM执行。基于JRV使用矩阵，FSM做了一个涉及所有复制计算机模块的状态矢量。6 系统安全性和可靠性评估在SMILE电路设计中，通过对每个电路进行故障模式和应用安全评估，我们尝试着将危险部分从该系统中移除，标准电路建成以后，通过安全测试，从而保证将FMFA运用其中。此外，执行基于马尔可夫过程模型的定量评估：评价因素是不安全故障率，安全故

27、障率，以及两者的比例。如图2所示，SMILE包括四个子系统，即具有“故障安全”特性的FSM，一个自动子系统可进行自动路由设置，一个备份自动子系统如操作员控制台，和一个FSM预处理子系统。因为FSC和其他处理部分包括MVR是结构独立的，如图3所示，FSM可以划分为三个部分对应于一个三重系统结构。图8 SMILE的转换图在图8中，每个状态有以下意义：N：常态(非故障)Al：不同于FSC的单一故障A2：不同于FSC的多重故障B1：FSC双系统运行B2：在 FSC双系统运行中发生分歧B3：FSC双系统运行(可能包含故障)B4：备份子系统中的单一故障B5：预处理子系统中的单一故障B6：自动子系统中的单一

28、故障C：自动子系统失效(通过备份子系统备份)D：FSM中的双重故障(导致不安全输出)E：备份子系统失效F：系统失效故障率，恢复率，和分歧检出率假定成指数分布，那么，参数规定如下：不包含FSC的三个相同FSM中每一个单一系统故障率：三个相同FSM中每一个单一系统故障率：两个相同自动子系统中每一个单一系统故障率：单工自动子系统故障率：两个相同备份子系统中每一个单一系统故障率：两个相同FSM预处理子系统中每一个单一系统故障率：单位时间内分歧检测能力：每个状态的恢复率：影响因子*平均故障率(/门限总数)这儿假设在非安全状态下，系统失效的唯一时机是同一模式下的双重故障同时发生。对于一个如FSM结构的系统

29、来说，该假定有效。非恒等模式下的双重故障导致系统失效。假定对于一个给定的门限，在同一模式下，可能失效的门限数量至多为K（影响因子）。X是平均门限故障率和带有这些假设的K的乘积，可以通过变换微分方程得到。基于该方程，可以获得稳态概率。在稳定状态下， ，由于，因此： (1) (2) (3) (4) (5) (6) (7) (8) (9) (10) (11) (12)可得上述结论，当来源于系统组件(表2)的数值和一起嵌入时，可靠性可由，得到，稳态非对称故障率()是。表2 基线参数值a)故障率 恢复率 影响因子2.80.32.60.32.60.010.40.30.80.12.6K100表3 基线参数值

30、b)高可靠系统元件的可靠性LSI30fitR3fitMSI,SSI20D8.3C1其它10这些数值表明计算机联锁比如今称作“故障-安全”控制系统的电气集中好两个数量级以上。进一步，SMILE产生故障时，维持预定功能的概率为，备份子系统的使用率为。 7 实验系统1981年3月在日本国有铁路上越市的常规线上，始于Ishiuch车站的计算机联锁系统经由实验和实地测验产生。该系统由三个相同的联锁微机(i-8085)，两个预处理微机(NPU)，和一个如图9(a)所示的硬板式操作员控制台组成。该系统涵盖了106条线路，25组道岔和36个轨道电路。在该系统中程序大小为25阶，18个项目模块，数据大小为6 kb。 本试验的目的是根据现场情况确认硬件的安全可靠性，并提高和确保软件的完整性。在实际使用中，该系统与常规电气集中并行工作，从轨道电路、信号机、道岔等接收相同输入。该系统不控制外部信号设备，与电气集中相比，我们对它的输出做了简单的记录。 该系统工作稳定，输出数据之间没有危险侧分歧，并且可以检测电气集中相关数据。进一步，带有TMR结构的联锁微处理器不会造成任何故障。(a) Ishiuch站经现场试验后的第一代实验系