列车自动运行系统的双系热备切换方法研究

周 荣，郭 荣，严 敢，李 旭

(1.北京全路通信信号研究设计院集团有限公司，北京 100070；2.北京市高速铁路运行控制系统工程技术研究中心，北京 100070)

1 概述

现有的列车自动运行系统（ATO）双系热备结构主要包括主系、备系、倒切（管理）单元。双系热备的切换方法为当主系故障时，倒切单元切除主系输出，备系升级为主系。但存在当主系、备系与倒切单元的通信均故障而其他功能正常时，倒切（管理）单元切除主备系的输出并退出ATO，或者当切除单元本身通信故障时也会影响系统功能，从而导致退出ATO。本文深入研究一种应用于ATO的双系热备切换方法及系统，无需增加倒切（管理）单元，通过双系热备之间的功能实现主备系切换，从而提升列车自动运行系统的可靠性。

2 ATO结构

如图1 所示，ATO 主要包括本系逻辑单元与对系逻辑单元、输出单元、输入单元、通信单元、接口单元、记录单元以及电源单元，所有单元都连接至接口单元，接口单元包括2 路电源总线、互为冗余的2 路通信总线、板卡标识。

图1 列车自动运行系统结构图Fig.1 Structure diagram of automatic train operation system

其中，1）本系逻辑单元与对系逻辑单元：用于实现双系热备切换方法；

2）输出单元：用于实现本系逻辑单元与对系逻辑单元对外之间的输出；

3）通信单元：用于实现本系逻辑单元与对系逻辑单元对外之间的通信；

4）接口单元：用于实现本系逻辑单元、对系逻辑单元分别与输出单元、通信单元之间的输出、通信；

5）电源单元：用于实现对所述自动运行系统供电；

6）输入单元：用于实现所述自动运行系统的输入采集；

7）记录单元：用于实现所述自动运行系统的数据记录。

3 双系热备系统结构

双系热备系统由互为冗余的本系逻辑单元和对系逻辑单元组成，如图2 所示，其中，本系逻辑单元与对系逻辑单元均包括：

1) 主备系竞争模块：用于本系逻辑单元与对系逻辑单元进行主备系竞争；

2) 信号发生模块：用于本系逻辑单元或对系逻辑单元竞争为主系时，生成、输出主系状态信号；

3) 板卡标识获取模块：用于获取本系逻辑单元、对系逻辑单元的板卡识别号；

4）第一通信模块：用于实现本系逻辑单元和对系逻辑单元与对系之间的通信；

5）第二通信模块：用于实现本系逻辑单元和对系逻辑单元对外之间的输出与通信；

6）自检模块：用于本系逻辑单元与对系逻辑单元进行自检；

7）故障处理模块：用于本系逻辑单元和对系逻辑单元切除输出与通信，并执行宕机。

4 双系热备切换方法

图2 逻辑单元内部结构图Fig.2 Internal structure diagram of logic unit

本研究提出应用于ATO 的双系热备切换的方法，如图3 所示。首先，本系逻辑单元与对系逻辑单元进行主备系竞争；其次，本系逻辑单元或对系逻辑单元竞争为主系时，控制输出与通信，并输出主系状态信号。竞争为主系的逻辑单元控制输出单元与通信单元，实现ATO 的运行控制。

图3 列车自动运行系统的双系热备切换方法图Fig.3 Diagram of dual-system hot standby switching method of automatic train operation system

在主备系竞争之前，本系逻辑单元与对系逻辑单元分别获取本系的以下一种或多种运行信息。

1) 本系逻辑单元与对系逻辑单元分别获取各自的板卡识别号，用于自动运行系统区分本系逻辑单元和对系逻辑单元。

2) 本系逻辑单元与对系逻辑单元分别获取与对系的通信信息，包括主备状态、平台同步周期次数、应用任务周期、应用周期同步数据。通过获取对系的通信信息,既能使双系热备的之间的通信信息保持一致，又可以检测双系热备间的通信是否正常，保证双系热备工作时的可靠性。

3) 本系逻辑单元与对系逻辑单元对本系进行自检，包括FRAM 自检、Flash 自检、RTC 读写自检、对外通信初始化自检、与对系通信初始化自检。当本系逻辑单元和/或对系逻辑单元未通过自检时，则该逻辑单元切断本系与对外之间的通信、输出以及与对系之间的通信，并执行宕机；本系逻辑单元和/或对系逻辑单元通过自检时，则本系逻辑单元与对系逻辑单元进行主备系竞争。

本系逻辑单元与对系逻辑单元的初始化状态均为备系。首先，判断本系逻辑单元的主备系状态，再判断对系逻辑单元的主备系状态。具体的，本系逻辑单元与对系逻辑单元的主备系状态包括以下3 种。

第一种，本系逻辑单元与对系逻辑单元均为备系，本系逻辑单元与对系逻辑单元通过板卡识别号进行主备系竞争。其中，默认本系逻辑单元的板卡识别号对应主系，则本系逻辑单元为主系。当本系逻辑单元和对系逻辑单元插入背板时，通过不同管脚接地对本系逻辑单元和对系逻辑单元进行区分，比如本系的板卡识别号为1110，对系的板卡识别号为1101。系统启动后，当本系逻辑单元的板卡识别号为1110 时，则系统默认本系逻辑单元为主系。

第二种，本系逻辑单元为备系，对系逻辑单元不为备系时，则本系逻辑单元通过判断对系逻辑单元是否为主系进行主备系竞争，包括以下几种情况。

1) 对系逻辑单元为主系，则本系逻辑单元为备系。

2) 对系逻辑单元不为主系，则本系逻辑单元检测与对系逻辑单元之间的通信是否为中断：

若通信未中断，则本系逻辑单元继续获取与对系的之间的通信信息；

若通信中断，则本系逻辑单元检测对系逻辑单元是否输出主系状态信号：若检测到主系状态信号，则本系逻辑单元为备系；若未检测到主系状态信号，则本系逻辑单元升级为主系。

第三种，本系逻辑单元为主系，则本系逻辑单元通过判断对系逻辑单元是否为主系进行主备系竞争，包括以下两种情况：

1) 对系逻辑单元为主系，则所述双系热备为故障状态，所述本系逻辑单元与对系逻辑单元均执行宕机；

2) 对系逻辑单元不为主系，则本系逻辑单元为主系。

当本系逻辑单元或对系逻辑单元作为主系，且发生故障时，则主系执行宕机并切除输出与通信，同时，备系检测主系是否输出主系状态信号，若检测不到主系状态信号，备系升级为主系，控制输出与通信，并输出主系状态信号。

5 结束语

本研究的双系热备仅通过本系逻辑单元与对系逻辑单元的逻辑判断实现双系热备的切换方法，提高了双系热备切换的可靠性，进一步，本系逻辑单元与备系逻辑单元均能够生成主系状态信号，作为主系的逻辑单元输出主系状态信号，备系或宕机的逻辑单元则不输出主系状态信号，从而当双系热备之间的通信状态出现异常时，通过检测主系状态信号进一步确定本系逻辑单元与备系逻辑单元的主备系关系，使得双系热备的切换方法更具有逻辑性，提高了双系热备切换的安全性。