计算机联锁接口信息码位安全设计

韩安平,刘 鹏,李红侠

(1.中国铁道科学研究院集团有限公司通信信号研究所,北京 100081； 2.中铁工程设计咨询集团有限公司,北京 100055)

铁路车站计算机联锁系统是以计算机为主要技术手段实现车站联锁的信号系统[1]。传统的计算机联锁系统，以电气传输方式集中操纵动力式道岔及色灯信号机，以软件实现联锁关系[2]，实现站内信号、道岔、进路之间的联锁逻辑运算，并通过继电接口电路实现对室外信号、道岔、轨道区段的状态采集以及对信号、道岔的驱动控制。

计算机联锁系统计算机部分和继电接口电路部分的结合，是通过特定的接口码位信息来采集和驱动相应的接口继电器，通过继电器接点获取现场信号设备的状态，并通过控制继电器的动作接通控制电路来操纵相应设备的动作。这些接口信息一部分是为了实现对信号设备的控制和状态采集功能而设，另一部分是为了提高接口的安全性而设，很有必要对这些接口信息的设置及其排列关系进行相关研究，以实现接口码位信息的安全设计[3]。

1 计算机联锁接口继电器设置及接口实现电路设计分析

道岔转辙机、信号机、轨道电路为信号系统三大主要基础设备[4]，和这些设备相关电路的结合，是传统计算机联锁的主要接口内容。

1.1 道岔控制电路的接口继电器设置及接口实现电路设计分析

图1为道岔控制电路。电路中和计算机接口的继电器有YCJ/SFJ/SJ(不同计算机联锁系统命名不同，以下统一为YCJ)、DCJ、FCJ、DBJ、FBJ。通过YCJ、DCJ、FCJ的接点接通控制电路给道岔转辙机供电以控制道岔的转换。图2为道岔接口继电器驱采电路，YCJ、DCJ、FCJ由计算机联锁驱动。计算机联锁采集表示道岔所处位置的DBJ、FBJ的接点，以完成对道岔位置的采集，另还增设了DBJ和FBJ落下接点的串联采集信息DFBJH[5]，和DBJ、FBJ一起用于对道岔位置的判断。

图1 道岔控制电路

图2 道岔接口继电器驱采电路

1.2 信号点灯控制电路的接口继电器设置及接口实现电路设计分析

虽然进站信号机、出站信号机、调车信号机点灯电路不同，但他们在和计算机联锁的接口设计原理及安全处理原则上是一致的。下面以进站信号机点灯电路为例进行分析。

图3为进站信号机点灯电路，电路中和计算机接口的继电器有DJ、2DJ、LXJ、ZXJ、LUXJ、TXJ、YXJ。除DJ和2DJ外，其余继电器均由计算机驱动以点亮信号机不同的灯光。计算机采集上述所有接口继电器的吸起接点以获取信号机的状态。图4为进站信号机接口继电器的驱采电路，对于部分计算机联锁系统不采集2DJ，则需在YXJ的采集电路中串入2DJ的吸起接点。

图3 进站信号机点灯电路

图4 进站信号机接口继电器驱采电路

1.3 轨道电路的接口继电器设置及接口实现电路设计分析

轨道电路与计算机联锁的接口继电器为GJ，计算机通过采集GJ的前后接点来判断轨道区段的空闲状态。图5为轨道电路接口继电器采集电路。

图5 轨道电路接口继电器采集电路

计算机联锁除了和上述三大主要信号基础设备的接口外，还有一些用于报警、指示、相邻站或场间信息复示等其他功能的零散接口，这些接口也是计算机联锁接口的重要组成部分，相关的电路原理及接口继电器设置在此不做具体分析，仅对其接口信息码位的安全设计做相应研究。

2 接口继电器及接口信息码位安全设计分析

计算机联锁与信号设备的接口电路故障模式主要有断路、短路(包括混线)模式。断路只会导致完成功能的丧失，不会带来安全风险，但短路或混线有可能会带来安全风险，造成不该动的道岔会出现错误转换、不该开放的信号错误开放等。混线是硬件电路中最常发生的随机故障之一，也是最容易出现单一故障造成危险输出的故障之一[6]。在硬件电路中，物理位置相距越近的电路间发生相互混线的可能性越大。例如，计算机联锁中同一个板卡或同一个接插件中相邻采集位、相邻驱动位相互混线的概率，要远大于不同板卡或不同接插件中线缆间混线的概率。在接口设计时，很有必要对混线后带来的风险进行研究。

2.1 道岔接口继电器及接口码位安全设计

(1)驱动继电器及码位的安全分析

由计算机驱动控制道岔动作的继电器有YCJ、DCJ、FCJ[7]。YCJ和DCJ同时吸起或YCJ和FCJ同时吸起接通道岔的启动电路，DCJ和FCJ分别控制道岔定位启动电路和反位启动电路接通[8]，如图6(a)、图6(b)电路虚线所示。YCJ在电路中的位置对应于继电联锁中为SJ位置。继电联锁中锁闭继电器SJ常态吸起，表示道岔处于解锁状态，允许扳动道岔[9]。与继电联锁的SJ不同，YCJ平时处于落下，只有在需要操纵道岔转动时，才随同DCJ或FCJ一并或略微错时吸起，道岔转换到位或需要停止转动时立即落下[10]。计算机联锁对道岔的锁闭并不依赖于YCJ的动作，因为计算机联锁对道岔的锁闭是联锁计算机内部变量的一个状态取值，当这个取值表示“锁闭”的含义时，其便通过程序实现了对道岔的逻辑锁闭，并不需要刻意控制一个真实的继电器以切断启动电路。因此YCJ由计算机联锁驱动，其核心作用是对道岔启动电路进行双断防护，以提高道岔控制电路的安全性。假如不设YCJ，道岔控制电路从实现对道岔的定反位操纵功能上没有问题，但KZ电源会一直供给电路[11]，一旦KF端发生混线，在DCJ或FCJ没有被驱动时会造成道岔错误转动。

假如YCJ和DCJ间发生混线或YCJ和FCJ间发生混线，某个继电器的励磁吸起会造成另一个继电器的吸起而错误接通道岔启动电路，这样电路所设计的双断功能就会失去其作用。因此，为了降低相互间的混线风险，YCJ和DCJ、FCJ的码位排列尽量拉开一定距离，以不设置在同一个板卡或同一个接插件中为宜，这样也可避免由于某一个板卡的故障造成会危及后果的两个继电器同时错误励磁吸起。

假如混线故障发生在DCJ和FCJ间，那么如图6(c)虚线所示的电路将可能被接通，但由于2DQJ为极性保持型继电器，1-2线圈和3-4线圈同时有电流流过，其将不能正常转极，道岔也不会动作，并且该故障还能在使用过程中被发现。所以，DCJ和FCJ间发生混线，造成道岔错误动作的风险可控，DCJ和FCJ驱动码位可以相邻排列，且相邻排列比分开排列更方便维护。计算机联锁的道岔控制电路YCJ端若发生混线，很难被发现，混线故障很可能会长期隐藏下来而让电路的双断功能设计失效，现实中确实也发生过类似情况，一旦DCJ/FCJ端混线的第二个故障叠加发生，道岔将会发生错误转动。因此，这种可能会长期隐藏下来的故障最好要有软件检查的配合以及时发现故障的存在。

图6 道岔启动电路接通图

(2)采集继电器及码位的安全分析

道岔接口被采集的信息有DBJ、FBJ、DFBJH。DBJ、FBJ继电器吸起表示道岔处于定位或反位，当道岔失去表示处于四开位置时，DBJ、FBJ全部落下。如果只对DBJ和FBJ吸起接点做采集即可实现对道岔状态的判断，当道岔处于四开位置时，DBJ、FBJ全部落下使其吸起接点均不能被采集到，倘若此时DBJ和FBJ采集电路之一出现混线而错误采集到吸起状态信息，计算机则有可能误认为道岔处于该位置，并能办理出经过该道岔位置的进路，带来行车安全风险。DFBJH的采集就是为解决该风险而设。在道岔处于四开位置时由于DBJ和FBJ均落下而使DFBJH被计算机所采集到。这样，道岔可能处于的3个状态(定位、反位、四开)均有对应的唯一采集信息指示，万一出现有混线现象，会出现同时有两个信息均被采集到，当计算机发现同时有两个信息被采集到时，则做出导向安全侧的处理，DFBJH的采集提高了对道岔位置状态判断的安全性。表1为DBJ、FBJ、DFBJH各种采集场景下的道岔状态逻辑判断表。

在设计接口码位时，DBJ、FBJ、DFBJH排列一起，即使发生相互混线也能被及时检测到，不会带来安全隐患，而且码位排列在一起也更有利于现场维护。

表1 道岔状态逻辑判断

2.2 信号接口继电器及接口码位安全设计

(1)信号继电器驱采安全分析

对于信号机接口继电器，计算机只采集了吸起接点，通过吸起接点的采集，判断信号机点亮什么灯光。例如采集到LXJ吸起判断信号开放，采不到LXJ吸起判断信号处于关闭状态。实际上LXJ的吸起接点未能采集到并不一定意味着信号关闭，相对于继电联锁通过接点接通电路以形成电流的检查方式，计算机联锁采取的这种非此即彼的判断方式其实理论上并不严谨，但是，计算机具有智能逻辑判断能力，可以通过驱采一致性校验达到准确判断的效果。例如，对LXJ有驱动命令时采集到LXJ吸起判断为信号开放，当没有驱动命令且也没有采集到LXJ吸起，判断为信号关闭。即便有驱动命令但未采集到LXJ吸起接点时，一定时间内软件也会停止其驱动命令以从控制动作上实现对信号的关闭。因此，LXJ的采集状态和驱动状态的协调校验与判断，可以准确判断信号的开放与关闭，因而不一定必须通过采集LXJ的后接点来判断信号关闭。除DJ和2DJ外的其他信号接口继电器的判断逻辑类似。

综上所述，计算机可以对控制信号机点亮允许灯光的相关接口继电器做驱动和采集的一致性校验，以实现对信号机控制的安全性检查[12]。接口电路对接口继电器的驱动和对吸起接点的采集，除了实现点灯功能，也实现了安全检查的目的。

驱动的信号机接口继电器都有对应的采集码位，软件具有的采集和驱动码位信息一致性校验功能，使驱动码位之间或采集码位之间发生混线的故障均能被检测到，所以对于同一信号机相关的接口码位，不需要特殊处理，但同一信号机相关的接口码位排列在一起更方便维护。

(2)DJ码位的安全分析

灯丝继电器DJ常态处于吸起状态，相应DJ采集信息常态可以采集到，这些常态一直能被采集到的信息在设计码位排序时若排在一起，他们相互之间出现混线很难被发现，即若把全站或一个咽喉(或某个区域)的DJ排列一起，倘若出现混线，就会存在很难被及时发现的风险。把常态保持吸起的DJ和其对应常态处于落下状态的信号继电器(LXJ或DXJ等)排列一起，若他们之间发生混线，由于DJ信息常态能采集到，这样势必会在信号继电器没有正常驱动的情况下，计算机采集到信号继电器的错误吸起状态而被计算机所识别到，所以DJ和信号继电器码位排列一起更有利于对混线故障的及时发现。

2.3 轨道电路接口继电器及接口码位安全设计

计算机在联锁运算时主要检查的是GJ的吸起状态(轨道区段空闲状态)，从完成功能的角度讲，只采集GJ的吸起接点即可，实际上早期的计算机联锁有些系统也是这样做的，但万一在轨道区段占用的情况下，GJ吸起接点的采集电路发生混线出现误采集，可能会把处于占用状态的轨道区段错误判断为空闲状态。为避免这种情况发生，计算机对GJ同时采集其前后接点，只有仅采集到GJ吸起才判断轨道区段为空闲状态，其他的采集组合都处理为占用状态。这种同时采集同一个继电器前后接点的目的就是做逻辑合理性校验，一旦发生相互间的混线，势必会破坏其状态的逻辑合理性，软件会做出相应的安全侧处理。增加对GJ落下接点的采集就是为了提高对轨道区段状态判断的安全性。从维护方便的角度，同一轨道区段的GJ前后接点采集码位排列于一起同样会更合理，一旦此相邻的采集线间发生混线也能及时被发现。表2为GJ吸起接点和落下接点各种采集场景下的轨道区段状态逻辑判断表。

表2 轨道区段状态逻辑判断

2.4 其他零散信息码位排列安全设计

零散接口信息主要有相邻站/场(以下简称站)间相互传递的信息和本站必要的一些提示信息或报警信息等。

对于邻站复示到本站供本站使用的信息，首先要确认其是否参与联锁逻辑运算，若参与本站的联锁逻辑运算，其接口信息码位的设计和处理方式和本站的轨道电路接口信息码位处理方式一致。例如，邻站复示过来的会影响本站联锁逻辑处理的信号复示继电器、轨道区段状态复示继电器、照查继电器等。若邻站复示过来的继电器不参与本站的联锁逻辑处理，只是为了起提示或报警作用，即使其采集错误也不会带来安全风险。对于这些信息的处理不需要有特别要求，也不需要考虑混线后的安全处理措施，建议类似信息的码位按类别分组排序，以便于维护查找即可。例如，用来区分对方站排列的是列车进路还是调车进路的调车终端继电器(ZJ)信息就属于此类。

对于本站控制的继电器需要复示到邻站供邻站使用的信息，首先也需要确认其送给邻站是否参与邻站的联锁逻辑运算，若需要参与邻站的联锁逻辑运算，其接口信息码位的设计和处理方式和本站的信号信息码位处理方式一致。例如，复示给邻站的照查继电器等。若复示给邻站只是为了在邻站起提示或报警作用，即使其出现错误也不会带来安全风险，对于这些信息的处理也不需要有特别要求，同样建议类似信息的码位按类别分组排序，考虑维护方便即可。

同理，本站必要的一些提示信息或报警信息等，即使其出现错误也不会带来安全风险，同样建议类似信息的码位不需要做安全防护措施，按类别分组排序。

3 计算机联锁接口码位排列设计示例

计算机联锁接口码位的排列设计思路，主要考虑的因素是提高接口码位信息的安全性，同时兼顾维护的便捷性。基于此原则及上述安全分析，给出计算机联锁采集和驱动接口码位的分组排列设计如表3和表4所示。

表3 采集码位排列设计

3.1 采集信息接口码位示例

零散报警主要排列的是相对固定的通用报警信息，这些信息基本所有站都会有，设计上置于相对固定的位置，后续应用软件处理也相对固定。

道岔表示采集信息、信号表示采集信息、轨道区段表示采集信息为本站信号基础设备的采集信息，码位按类分组排列，每组内的信息码位排序按设备编号顺序排列。邻站复示过来参与本站联锁逻辑处理的信息在联锁处理上和本站的轨道区段处理方式类似，因此其码位紧靠轨道区段表示采集信息码位排列。

表4 驱动码位排列设计

提供邻站参与联锁运算的信息假如和本站信号有关联，可以和这些信号的相关信息码位排列一起，也可以单独分组排列。表3为采用了单独分组排列方式。采集邻站不参与联锁运算的信息以及站联口仅用于报警、提示的表示信息单独分组排列。

3.2 驱动信息接口码位示例

零散驱动主要排列的是相对固定的通用驱动信息，类似控制系统工作状态的事故继电器(SGJ)、故障继电器(GZJ)等(不同计算机联锁系统可能配置不同的信息)，这些信息基本同一型号系统所有站都会有，设计上置于相对固定的位置，后续应用软件处理也相对固定。

道岔驱动信息分两组，一组为DCJ和FCJ控制组，一组为YCJ控制组，两组信息码位分别按上下咽喉和道岔编号顺序排列，两组间要拉开一定距离，以不设置在同一个驱动板和同一个接插件中为宜。

信号驱动信息组尽可能按上下咽喉的调车和列车驱动信息分组顺序排列，排列时也尽量考虑信号编号的顺序。信号驱动信息码位与采集码位排列的顺序一致为宜。

提供邻站参与联锁运算的驱动信息，由于在联锁处理上和本站的信号处理方式类似，因此在信息码位排列时，如和本站信号有相关联系，可以和这些信号的相关信息排列一起，也可以单独分组排列。表4采用了单独分组排列方式。提供邻站不参与联锁运算的信息和本站使用但不参与联锁运算的零散驱动信息单独分组排列。

4 结语

鉴于目前计算机联锁接口信息码位的排列安全设计上没有相关规范，仅从完成功能方面，计算机联锁接口码位的排列顺序不需要强制按规律排列，软件会适应各种排列顺序，目前设计时主要考虑了设计、配线、维护的方便性，这也带来接口信息码位排列的多样性。不同方式的码位排列，对一些混线的抵御能力会有较大差别，为了尽可能减小混线后带来的风险，在信息码位设计时遵循下列原则。

(1)相互混线后不能被及时发现的信息分开排列。

(2)相互混线后有可能带来危险输出的信息分开排列。

(3)相互混线后设备会自动导向安全侧或能被及时校验出的信息相邻排列；

(4)相互混线后会导致逻辑状态相互抵触的信息相邻排列。

(5)为了维护方便，分咽喉按设备编号顺序依次按类别分组排列。

在遵循上述原则的同时，结合考虑各类信息的设置目的，科学优化接口信息码位的排列，这样在不增加任何投入的基础上能够提高系统的整体安全性。铁路信号设备仅要求对室外混线、短路造成危及行车安全的后果采取防护措施，对防室内的混线、短路没有强制要求，但通过根据不同码位信息特点采取相应有效的码位排列措施，对减少影响设备安全的故障发生会起到事半功倍的效果。计算机联锁接口码位的处理和软件的设计思路是息息相关的，软件的不同处理思路对计算机联锁接口码位的安全设计可能会有差异，但一些基本的安全处理原则是相通的。本文所论述的措施和方法，在一些计算机联锁系统的应用中证明了其对系统总体安全起到了促进作用，对其他铁路信号控制系统的接口安全设计也具有重要的借鉴意义。