一種基于雙主控冗余的中央控制單元研究與應用

羅欽洋 方博倫

【摘 要】近年來，我國軌道交通行業飛速發展，軌道交通行業需求的不斷增加以及新技術的提出，對網絡控制系統的安全性提出了更高要求。本文設計的雙主控冗余方案采用的是1oo2安全架構，同時，實現了基于以太網和RS485通信的雙主控冗余切換方案，極大提高了網絡控制系統的安全性、可靠性。

【關鍵詞】主控;安全;冗余切換

引言

隨著軌道交通列車控制與服務業務的多樣化發展，列車通信網絡對控制系統的可信性和可靠性等安全性要求不斷提升。為滿足需求，最直接有效的方法是對網絡控制系統采用主控單元冗余技術。[1]傳統的主控冗余方案一般是在單通信機制下實現1oo2的冗余架構，如基于MVB主備冗余的控制網絡。這種方案只能依據主控單元是否正常工作來決定是否進行主權的切換，不能對主控單元的實際運行狀態、外部獲取數據及處理結果的可信度進行判斷，且未提出主控單元對多通信機制（如MVB、以太網和RS485等多種通信機制并存）控制時的安全冗余方法。

本文設計一種基于以太網和RS485通信的雙主控安全冗余架構，同時，兩種通信機制相互監視對方主權和故障狀態，實現雙主控的熱備冗余切換，避免了單點故障導致系統停機的問題。本設計在解決多通信機制主控冗余問題的基礎上，進一步提升網絡控制系統的安全性。

一、系統架構

DTECS-G600平臺是中車株洲所推出的安全型列車控制與監視系統平臺。該平臺主要基于6U 機箱式結構，能全面承載軌道交通列車TCMS系統的安全功能應用需求。G600產品平臺定位于高安全性的列車控制與監視系統（TCMS），其總體架構以中央處理單元為核心，車輛控制單元采用1oo2冗余架構，I/O信號處理單元采用2x2oo2安全計算機架構，兼顧安全與通用兩個核心要素，整體功能安全等級達到SIL2。本文所設計的雙主控安全冗余架構應用于G600平臺中央處理單元中。

1.1.1oo2架構

正如IEC 61508-6中所述，1oo2系統由并聯的兩個通道組成。在正常工作期間，必須兩個通道同時提出安全功能要求，系統安全功能才能得到執行。[2]任何一個通道都能夠通過一種獨立于另一個通道的方式獲取另一個通道的狀態。如圖1所示。

二、雙主控安全冗余架構

本文所設計的的多通信機制下1oo2D雙主控安全冗余架構

安全冗余架構包含2塊PU600控制板也就是2個主控單元A和B，兩種通信介質，RS485總線和以太網還有掛接在RS485總線上和以太網上的PU620（IO網關板）、交換板（以太網設備）。

兩塊PU600控制板與機箱內IO網關板PU620掛接在同一條RS485總線上，主控單元通過RS485總線與IO網關板PU620交互IO數據;同時，兩個主控單元通過以太網連接至機箱內交換板，進行雙主控單元冗余交互和對外以太網通信。

在RS485總線上，主PU600控制板、熱備PU600控制板與PU620（IO網關板）采用半雙工的通信方式，主從應答式交互，即“請求->應答”式交互。在以太網子網中，PU600控制板與交換板以及其他以太網設備以組播形式進行交互。

通信周期為20ms，周期內依次向備PU600控制板和PU620（交換板）發送一個狀態、控制和請求數據，后兩者在本周期內依次立即回應一個狀態和響應數據，實現子網各設備的有序通信;PU620（交換板）不會響應主PU600控制板發送的狀態數據和備PU600控制板發送的所有數據，備PU600控制板監視主PU600控制板和PU620（交換板）發送的所有數據。

三、雙主控冗余切換

G600安全平臺采用雙主控進行冗余，當任意一塊主控故障時，另一塊備用主能夠接管機箱安全任務，提高系統的冗余性和可用性。兩塊主控板通過以太網單播進行交互，機箱作主的PU600板周期性的將安全相關數據計算結果發給機箱從PU600板（默認從Port A，當Port A故障時則改為Port B發送），同時機箱作為從的PU600板接收到數據后將與自身的計算結果進行比對，當一致時則從PU600板發送1個正常的應答報文;當比對的報文編號不一致時，則從PU600板發出1個重發請求報文;當編號一致但計算結果不一致時則從PU600板發送錯誤應答報文，這時主CPU將重新計算并發送。

雙主控通過外部中斷方式進行同步，在同步信號的作用下，雙主控根據自身運行狀態，完成身份的確認，主控板在機箱內定義三種身份，分別為機箱控制主，機箱控制備主，機箱控制主就緒三種狀態。

四、總結與展望

G600平臺按EN50129標準進行開發過程管控，建立了至上而下的可靠性分配與可靠性預計方法，在車載網絡通信技術、平臺診斷與維護技術等方面保持較高水準，在功能安全技術上更是取得突破，已經取得SIL2 DAkks證書，達到行業領先水平，經過安全認證的TCMS平臺是拉開與競爭對手差距、避免同質化競爭的重要手段。

此平臺是國內第1個按照SIL2級要求進行設計開發的安全TCMS平臺，目前領先競爭對手2年以上，德國DB車采用的網絡系統也是G600平臺，這對我司進入海外市場有著非凡的意義，同樣，基于G600平臺的自動駕駛網絡方案獲得北京業主的認可，已經在北京大興機場線項目裝車上線，后續將有巨大示范效應。車輛自動駕駛趨勢下，基于安全架構的網絡控制系統功能越來越多，是業務擴展良機。

參考文獻：

[1]CENELEC.EN50128，Railway application——communications，signalling and processing systems——software for railway control and protection system [S]，2001.

[2]周夏芳.基于二乘二取二平臺的通信設計[J].鐵路通信信號工程技術，2014（11）59-61.

作者簡介：

羅欽洋（1986-），男，江西萍鄉，漢族，工程師，學士，研究方向：列車網絡控制。

（作者單位：株洲中車時代電氣股份有限公司）