廣州地鐵3號線信號系統的安全性應用及分析

1 系統環境結構

作為ATP/聯鎖/ATO中央計算機系統,VCC采用三取二結構,以確保不中斷列車正常運行。廣州市地鐵3號線采用2套VCC,2個相鄰VCC之間的通信通道采用雙套熱備冗余。系統環境結構框圖見圖1。

圖1 系統環境結構框圖

2 系統主要安全功能

ATP系統包含了ATC系統中負責安全列車運行的安全性功能。在本ATC系統結構中,ATP功能是集成的列車控制系統的一部分。ATP功能通過VCC、VOBC以及STC來實施。其主要的安全功能有以下幾點。

2.1 列車移動授權控制

ATC系統的主要任務是根據列車目的地的屬性(目的地、進路號和方向)來安全地移動列車。目的地是指期望的列車位置。當列車到達目的地并停車時,列車將不能被進一步前進,直到目的地被再次改變。目的地可以是軌道區段和車站。進路號指定了進路沿線每個道岔的位置及運行方向。對于列車進路所需的每個列車道岔,如果位置不對,將通過命令使其轉到需要的位置。列車將以指令的運行方向移動到目的地。

VCC根據障礙物情況試圖前移目標點。一旦確定了安全目標點,就向VOBC發出目標點、最大速度及在目標點的目標速度的指令。

VOBC將VCC命令轉換為由速度自動控制運算法則決定的牽引或制動命令,并由速度和距離監督系統監控。

VCC系統以數據通信的方式同每列運行于VCC區域中的通信列車保持聯系。VCC監督每一通信列車(ATO/ATP模式)的位置,并通過給每一列車發送一個作為交換信息一部分的目標點,來實現目標點的授權。

對線路掃描的結果決定了是否向自動列車發送移動授權。指揮掃描通過對位于車前和車下的永久性和臨時性元素的處理,并根據列車屬性(長/短車),永久性元素(道岔、線路終點等),臨時性元素(軌道占用、臨時限速等),基于列車最大可能速度和最長制動距離的上限等因素決定最大限度的目標點設置。

指揮掃描過程中,VCC系統還確定限速的位置(永久性或臨時性)和禁區的位置。在指揮掃描結束時,VCC決定是否應對目標點進行限制,以避免將列車停在禁區;然后由VCC判定根據限速得出的最大限制目標點是否比從指令掃描和禁區測定的目標點更具限制性。如果確實如此,它會進一步限制該目標點。

當限制解除時(道岔置于正確位置,其他列車移動,目的地被更改等等),目標點根據連續的指揮掃描結果向前推進,以允許列車前進。

2.2 安全距離的處理

當VCC由于線路上的障礙物而判定停車點時,安全距離就是在正常的常用制動停車距離上增加的安全余量。如果發生最壞的故障情況(計算基于列車推進系統故障而導致無法控制的最大加速度),安全距離將考慮增加額外的停車距離以避免列車與障礙物相撞。安全制動距離包括正常狀況的停車距離加列車可能超出制動性能曲線的最大距離。后者的距離(安全距離)計算包括最不利情況下列車制動失控的距離總和。

安全距離的一些重要要求:許可的最小安全距離指允許列車在前方有另一列車或其他障礙物時立即剎車停下來。這個安全距離的判定需要知道軌道的曲線半徑、坡度和超高等軌道環境以及全部車輛的性能。它應當考慮系統反應時間、車輪與軌道間的粘著度和列車剎車老化等最壞情況。

在計算制動距離時前方的障礙應假定為固定的,除非列車朝相反方向移動,并且接近的列車速度應包括在內。

每個安全距離通過下面兩個假定停車距離的差額計算(兩個假定都在時間t=0時開始)。

假定1:列車以最大允許的推薦速度行駛,隨著VCC選定的制動曲線采用常用運營制動在預定時間內停車。因為運營制動通過VOBC提供一個恒定的減速率來調整。這個用恒定列車減速率計算的停車距離不考慮制動列車的坡度,在運營制動啟動和關閉期間前沖限制被采用。前沖限制將增加通常的停車距離。

假定2:列車在推進系統故障的嚴重情況下,以推薦的速度加最大允許的超速公差和速度誤差運行。此故障導致列車在最不利牽引力癱瘓延遲時間內遭受最不利的慣性沖力,造成最不利情況下的緊急制動延誤,然后確保以一定的緊急制動率停車,從超速點的列車停車距離被定義為在此模式最壞情況下的停車距離。這個距離用來彌補最不利情況下停止列車前部位置的不確定性,并且前面列車的尾部應被納入停車距離來定義安全制動距離(見圖2)。

假定1移動的距離減去假定2的移動距離后計算為安全距離。圖2顯示兩個假定的速度與距離的曲線關系圖。

圖2 正常和最壞情況下制動曲線說明

2.3 速度檢測

VOBC用來自2個車載測速發電機的輸入信息監視列車的速度。這兩個測速發電機以冗余校驗的方式工作。兩個測速發電機的輸入值不斷比較以確保列車速度的精確測量。測速范圍為0～150 km/h,顯示精度為±1.0 km/h,線性精度至少滿足±0.5 km/h的要求。

列車速度由VOBC監督,并報告給VCC。在自動和人工模式下,當列車超過指令限速或兩個測速發電機的輸入值比較不一致(超過容許偏差),VCC將命令列車實施緊急制動。

2.4 超速防護

在ATO模式下,ATC系統直接控制牽引和制動。在這種模式下,ATC系統會自動控制列車速度到達目標速度,并在列車超出規定限速時實施常用制動。如果常用制動失效,則實施緊急制動。其中常用制動是可逆的。

在ATO模式中,VOBC調整列車速度,使其遵循于VCC發出的指令速度。當所測列車速度超過指令的速度時,VOBC通過常用制動來降低列車的速度。在實施緊急制動前,允許所測列車速度略微超過指令速度,超出值稱為“超速誤差”(一般小于等于5 km/h)。此誤差為速度控制系統對一些非控制因素(例如風或者車輛反應延遲)作出的響應留有余地。在正常運行中,列車速度很少接近超速限制。如果由于任何原因,例如牽引動力失控,造成列車速度超過指令速度加上“超速誤差”,VOBC將實施緊急制動。

在保護人工模式中,列車速度指令由VCC發給VOBC,然后VOBC將指令速度顯示在列車駕駛員的駕駛臺上。實際的列車速度由列車駕駛員來控制。VOBC連續地監督列車速度。如果列車速度超過指令的速度,VOBC將向駕駛員發出聽覺和視覺告警,以降低車速。如果列車速度超過指令速度加上“超速誤差”,VOBC將實施緊急制動。該模式在ATP保護之下,由車輛上的駕駛員負責制動系統的控制。

在限制人工模式下,VCC不為VOBC提供最大速度和目標停車點。這時,VOBC強制進行超速防護,限制在25 km/h的固定速度以下。當列車超過25 km/h時,VOBC將實施緊急制動。

2.5 倒溜防護

VOBC的ATP功能監督列車的速度和方向,并且防止列車向指令運行方向相反的方向運行。這也叫做“倒溜”。如果VOBC監測到錯誤的運行方向,它將對列車實施緊急制動。

2.6 緊急停車裝置的監控

緊急停車功能監視中央緊急停車按鈕(CESB)以及站臺和車站緊急停車按鈕(PESB),一旦檢測到按鈕按下,立即做出安全性反應,即封鎖與緊急停車按鈕相關的軌道,所有部分或全部處于該區域的自動/無人駕駛或保護人工模式列車都將緊急制動。若緊急停車按鈕按下,ATC系統將向中央調度員告警。

軌道關閉后,在未經人工取消緊停并重新開放該軌道區段前,任何自動或保護人工列車均不能移動。取消緊停和開放軌道都被視為安全操作,必須由人工確認進行。對于一列接近該關閉軌道的列車,移動授權將在該軌道的一個安全距離之外。

2.7 站臺屏蔽門控制

在每個車站,VCC通過STC與站臺屏蔽門之間的接口設備實現與站臺屏蔽門系統的安全聯鎖(聯動/互鎖)。

STC子架配備有與對位環線的接口。對位環線安裝在車站站臺邊(在列車停車時,車上的對位天線剛好處于對位環線的接收范圍內),用于車站設備與車載VOBC之間的數據通信,以實現對車門、屏蔽門的開閉同步。VOBC發送開門命令給車輛用于打開車門,同時該命令通過站臺對位環線接收并送回STC,再由STC送給屏蔽門控制設備以打開屏蔽門。兩者之間的動作時間需考慮一定的延時以達到同步的目的。

為了使VOBC能命令車門和屏蔽門打開,必須滿足下列全部條件:開啟的車門和站臺屏蔽門必須符合站臺位置和運行方向;VCC正命令車門打開;列車速度是零;列車在它的目標地點;已命令執行停車制動;已命令禁止牽引。

當VOBC從列車門和屏蔽門收到“門已關閉”狀態,確認車門和屏蔽門已安全地關閉后,向VCC報告。VCC只有在確認車門和屏蔽門都已關閉的條件下,才命令將列車目標點前移,并允許列車出發。否則,列車將只能以人工駕駛駛離車站。

如果在列車進站前或進站過程中屏蔽門“門已關閉”狀態丟失,STC的監督屏蔽門狀態的安全繼電電路將檢測到該狀態,并將該信息發送給VCC。VCC一旦檢測到該信息將會命令列車在站外一個安全距離外停車或命令列車緊急制動。

2.8 關閉的軌道

ATC系統的軟件對物理線路進行了描述。物理線路被劃分成許多邏輯單元,其中之一被稱做“軌道”。軌道的特性如下:不會跨越道岔;它的長度總是小于等于與之相關聯的感應環線的長度(軌道的邊界是由感應環線的邊界決定的,一個完整的感應環線可以包括一個或多個軌道,感應環線的長度一般在2～3 km);且在VCC線路數據庫中,與相鄰的軌道連在一起。

軌道可對自動列車的運行開放或關閉。只有當造成軌道關閉的非安全條件不再存在時,中央調度員才可以為自動列車開放該軌道。軌道也可人工關閉或開放。

當一個軌道被關閉時,自動列車將不具備進入該軌道的移動授權,它們將停在至少一段安全距離之外。如果自動列車已經獲得該軌道的移動授權,列車將被命令實施緊急制動。同樣,一列全部或部分進入被關閉軌道的列車將被命令實施緊急制動。

2.9 對運行列車采取緊急制動措施

當發生牽引故障(任何)、制動故障(任何)、定位故障(測速儀故障)、VOBC失電、VOBC發現未經授權的列車移動、列車完整性丟失、運行中車門意外打開、運行中出現模式意外轉換等情況,將導致列車緊急制動,列車也會根據VCC發出命令采取緊急制動。

3 系統安全分析

3.1 系統安全性

系統運行的安全性是廣州地鐵3號線信號系統設計時需要考慮的首要任務。列車的安全運行將由列車分隔,移動授權控制和安全距離處理等,道岔鎖閉時根據考慮列車的位置鎖閉道岔,強加列車限速,超速防護、倒溜防護、緊急停車裝置的監控、關閉的軌道和采取緊急制動措施等,屏蔽門和車門控制等功能來保證。

安全性功能是通過在車上、軌旁控制區、每個遠程道岔聯鎖區以及運營控制中心使用的安全型(冗余校驗)計算機子系統來完成的。

廣州地鐵3號線信號系統的設計和開發始終嚴格執行對于冗余以及故障-安全的原則。

列車命令停車點的不斷循環前進,需要確認前車的位置的確已經前進或者其它安全限制已經被清除。該移動閉塞系統被設計成為在VCC、VOBC、遠程聯鎖或者數據通信系統發生故障的情況下,在確認安全之前,列車停車點將不再前移。

在VCC的控制級別上,將產生并發送控制報文以保證安全列車分隔。一個獨立的VCC系統包括三個互連的CPU(三取二計算機系統)。每個CPU從列車和軌旁設備上接收相同的輸入信息。在檢驗了輸入信息的有效性后,每個CPU將生成適當的命令報文。該命令報文以安全方式發送給VOBC。

在該移動閉塞信號系統中,系統控制中心(SMC)將負責整個系統列車的進路安排。因此,SMC向VCC發送進路要求。該要求負責所有線路道岔的控制和進路安排。VCC還接收來自STC系統的道岔狀態信息,同時VCC通過STC控制道岔的位置變化。通過使用列車和軌旁相關信息,VCC將根據狀態、道岔預留和道岔區段占用信息完成聯鎖功能。在VCC失效的情況下,STC將承擔后備模式下的聯鎖功能。一旦VCC接收到了道岔設定并鎖閉就位的確認時,列車將被允許穿過道岔(如:目標停車點將前行穿過該道岔)。

在車輛的控制級別上,VOBC(2×二取二)將保證列車的特定功能被安全控制在VCC設定的限制范圍內(如:速度極限和車門控制)。VOBC的冗余校驗微處理器負責對來自VCC的報文進行測試以發現錯誤。當這些測試通過后,VOBC將解釋并執行命令信息。

VOBC內的雙套微處理器為車輛系統生成同樣的命令,同時生成同樣的狀態報文以傳輸至軌旁。每個處理器的輸出將同時在其它處理器上做比較。任一個處理器上的比較出錯時,該VOBC將放棄對列車控制。如果故障發生,系統將由VCC發起,自動地切換至后備VOBC單元工作。在VOBC的切換過程中,系統首先將基于安全的前提,同時在可能的情況下不使列車停車,確保VOBC的切換不影響列車的正常運行。

3.2 數據通信的安全措施

以車-地信息傳輸為基礎的信號系統要求準確可靠的數據通信。以下方法可用于檢驗車輛、地面和中央之間的數據通信的完整性:

1)通過感應環進行傳輸的數據帶有冗余校驗位,以確保拒絕接收被電磁干擾的數據。通過對所有運輸安全性信息的數據傳輸進行循環冗余校驗(CRC)可實現該功能。

2)傳送的數據會得到周期性地更新。從VCC傳送到VOBC和STC的命令將在每個新電文中得到更新或確認。

3)對于接收到的信息,將做合理性和持續一致性檢查。子系統會根據以前的電報、物理規則以及設計限制所期望的信息來檢驗收到的數據。

車-地通信使用感應環線為基礎的傳輸系統來實現。精確的位置參數是通過感應環線交叉信息來建立的。感應環線交叉點之間的位置則由車軸上附帶的轉速計來確定。這樣通過轉速計和環線交叉相結合的方式建立列車位置信息。

感應環線電纜可持續探測列車占用和空閑狀態,列車定位的分辨率為6.25 m。對列車是否被占用的探測是安全的和可靠的,符合“故障-安全”原則的要求。

感應環線電纜和VOBC之間可實現雙向數據傳輸,信息的傳送是安全和可靠的。

4 結語

通過對廣州地鐵3號線信號系統在安全性功能的介紹和安全性設計原則進行的一些分析認為,不論是準移動閉塞還是移動閉塞信號系統,也不論是哪個國際廠商的信號系統,其所必須遵循的安全原則都是一致的,即“故障導向安全”。此外,今后應更好地將系統的安全性冗余和系統可用性進一步結合,在保證安全的前提下,最大限度地降低信號系統的故障率。

[1]黃天印,趙時旻,劉循.基于通信的列車控制系統數據通信子系統可靠性分析[J].城市軌道交通研究,2009(5):33.