新一代列車運(yùn)行監(jiān)控裝置的設(shè)計(jì)研究

侯大山 鄭理華

列車運(yùn)行監(jiān)控裝置（LKJ）是安裝在機(jī)車、動(dòng)車組上用于防止冒進(jìn)信號(hào)和超速事故，輔助機(jī)車、動(dòng)車組司機(jī)操縱列車的重要運(yùn)行控制設(shè)備［1］。目前國(guó)內(nèi)約2.1萬(wàn)輛機(jī)車和1 000多列運(yùn)行時(shí)速為250 km的動(dòng)車組列車裝備了LKJ，運(yùn)行范圍十分廣泛［2-3］。隨著我國(guó)鐵路網(wǎng)的不斷完善，鐵路運(yùn)營(yíng)和管理技術(shù)不斷提升，對(duì)鐵路運(yùn)營(yíng)的高效性和安全性要求也不斷提高，原有LKJ的硬件和軟件架構(gòu)已經(jīng)很難通過(guò)擴(kuò)充和修改來(lái)滿足日益復(fù)雜的鐵路運(yùn)輸條件。為此，在充分考慮不同運(yùn)行場(chǎng)景、不同線路條件和不同類型列車對(duì)列控系統(tǒng)的需求下，新一代LKJ系統(tǒng)在安全性和功能性方面采取了多種措施，進(jìn)行了全面升級(jí)。

1 現(xiàn)狀分析

1.1 存在的問(wèn)題

目前LKJ系統(tǒng)在應(yīng)用過(guò)程中存在以下問(wèn)題。

1）雖然考慮并滿足了列車運(yùn)行安全的功能需求，但并未明確安全完整性等級(jí)要求。目前國(guó)內(nèi)CTCS-2、CTCS-3級(jí)列車運(yùn)行控制相關(guān)系統(tǒng)均已采用安全計(jì)算機(jī)技術(shù)，應(yīng)用三取二或二乘二取二安全冗余架構(gòu)［4-6］，其安全完整性等級(jí)達(dá)到了SIL4級(jí)。因此，新一代LKJ系統(tǒng)也應(yīng)采用安全冗余架構(gòu)。

2）控車主要依靠LKJ數(shù)據(jù)完成，主要包括基礎(chǔ)數(shù)據(jù)和臨時(shí)限速數(shù)據(jù)。目前LKJ數(shù)據(jù)更新主要通過(guò)人工換裝，在時(shí)效性、安全性上難以保證，存在錯(cuò)裝和漏裝的風(fēng)險(xiǎn)［7-10］。而且換裝過(guò)程涉及多個(gè)部門間的溝通協(xié)調(diào)，應(yīng)急換裝時(shí)效性不高。

3）LKJ控車過(guò)程對(duì)司機(jī)的控制水平依賴較高。隨著鐵路網(wǎng)的不斷擴(kuò)張和運(yùn)力不斷增強(qiáng)，貨運(yùn)機(jī)車、動(dòng)車組列車、重載列車和中歐班列等不同類型的列車，在不同線路大范圍運(yùn)行和周轉(zhuǎn)，存在著人工辦理進(jìn)站時(shí)間長(zhǎng)、列車平均速度低和對(duì)標(biāo)停車不準(zhǔn)等問(wèn)題，影響鐵路運(yùn)輸效率。

1.2 設(shè)計(jì)思路

針對(duì)以上問(wèn)題，新一代LKJ系統(tǒng)主機(jī)單元采用二乘二取二安全平臺(tái)架構(gòu)，以滿足系統(tǒng)安全完整性等級(jí)SIL4級(jí)的要求；在確保安全、可靠的前提下，新一代LKJ系統(tǒng)通過(guò)無(wú)線通信網(wǎng)絡(luò)與地面服務(wù)器連接，并進(jìn)行數(shù)據(jù)交互，實(shí)現(xiàn)數(shù)據(jù)遠(yuǎn)程無(wú)線升級(jí)，解決現(xiàn)有數(shù)據(jù)換裝存在的問(wèn)題；基于LKJ輔助駕駛系統(tǒng)，可輔助司機(jī)操縱列車的牽引與制動(dòng)，司機(jī)負(fù)責(zé)監(jiān)視并確保列車的安全運(yùn)行狀態(tài)。在保障列車運(yùn)行安全、平穩(wěn)的條件下，實(shí)現(xiàn)列車正點(diǎn)、節(jié)能運(yùn)行，減輕司機(jī)勞動(dòng)強(qiáng)度。

2 系統(tǒng)架構(gòu)設(shè)計(jì)

新一代LKJ系統(tǒng)由主機(jī)單元、擴(kuò)展單元、DMI單元、應(yīng)答器信息接收單元、無(wú)線換裝地面系統(tǒng)、測(cè)速雷達(dá)、司法記錄器、速度傳感器、壓力傳感器和輔助駕駛單元等構(gòu)成，其系統(tǒng)架構(gòu)見圖1。

主機(jī)單元采用二乘二取二（D2V2）安全計(jì)算機(jī)，由2個(gè)二取二（2V2）單元組成，每個(gè)2V2獨(dú)立采集速度、管壓和工況等信息，分別計(jì)算結(jié)果并比較，最后輸出執(zhí)行命令。

擴(kuò)展單元由熱備冗余和非冗余部分構(gòu)成，通過(guò)安全通信插件與地面系統(tǒng)通信，實(shí)現(xiàn)遠(yuǎn)程數(shù)據(jù)換裝（揭示數(shù)據(jù)、基礎(chǔ)數(shù)據(jù)、運(yùn)行記錄）；通過(guò)接口模塊與輔助駕駛單元進(jìn)行數(shù)據(jù)交互，在LKJ安全防護(hù)下，實(shí)現(xiàn)列車啟動(dòng)、區(qū)間運(yùn)行、停車及運(yùn)行調(diào)整等輔助駕駛功能。擴(kuò)展單元同時(shí)采集鳴笛、電喇叭等IO量信號(hào)、平面調(diào)車編碼信號(hào)，并傳輸給主機(jī)單元。

3 功能實(shí)現(xiàn)

3.1 二乘二取二安全平臺(tái)

新一代LKJ系統(tǒng)主機(jī)采用二乘二取二架構(gòu)，見圖2。

3.1.1 二乘設(shè)計(jì)

新一代LKJ系統(tǒng)的二乘邏輯遵循雙系熱備的設(shè)計(jì)原則；雙系的A系和B系是結(jié)構(gòu)和功能完全相同的2套運(yùn)算和執(zhí)行單元，通過(guò)相互隔離的通信通道輸出計(jì)算結(jié)果，互不影響；考慮單套系統(tǒng)所能達(dá)到的所有功能需求，以及軟件維護(hù)的成本和工作量，安全邏輯單元同時(shí)滿足單系和雙系系統(tǒng)；安全驅(qū)動(dòng)單元根據(jù)接收到的制動(dòng)信息，輸出對(duì)應(yīng)的驅(qū)動(dòng)信號(hào)，控制安全執(zhí)行單元；安全執(zhí)行單元包括2路獨(dú)立的得電和失電制動(dòng)輸出電路，系統(tǒng)的兩系都能各自輸出得電或失電緊急制動(dòng)，但只有當(dāng)兩系同時(shí)輸出得電或失電緊急制動(dòng)時(shí)才有效；如果其中任意一系出現(xiàn)故障，則該系進(jìn)入安全狀態(tài)并切換到另一系工作。

3.1.2 二取二設(shè)計(jì)

每一系又由2套完全相同的CPU構(gòu)成，只有當(dāng)2個(gè)CPU的運(yùn)算結(jié)果比較一致后，才對(duì)外輸出，否則不輸出并且將系統(tǒng)導(dǎo)向安全狀態(tài)。新一代LKJ系統(tǒng)的安全邏輯單元CPU之間能夠進(jìn)行通信和時(shí)鐘同步，將采集到的信號(hào)進(jìn)行處理、交互同步和邏輯運(yùn)算，計(jì)算的結(jié)果比較一致后，安全邏輯單元將制動(dòng)控制命令通過(guò)隔離的CAN通信方式，傳輸給安全驅(qū)動(dòng)單元，安全驅(qū)動(dòng)單元根據(jù)CAN總線接收到的信號(hào)數(shù)據(jù)進(jìn)行同步處理，輸出邏輯電平信號(hào)給安全執(zhí)行單元。安全執(zhí)行單元通過(guò)硬件電路實(shí)現(xiàn)“二取二”功能，將邏輯電平信號(hào)轉(zhuǎn)換為繼電器動(dòng)作，實(shí)現(xiàn)相應(yīng)的控制功能。這種設(shè)計(jì)符合組合式故障-安全架構(gòu)。另外，安全檢測(cè)電路通過(guò)觸點(diǎn)回采信號(hào)，對(duì)安全執(zhí)行單元的執(zhí)行動(dòng)作進(jìn)行回讀和反饋，一旦其中任意1個(gè)CPU檢測(cè)到反饋的執(zhí)行動(dòng)作與系統(tǒng)輸出指令不一致，則判斷不可信，輸出禁止?fàn)顟B(tài)。此外，速度、管壓和工況采集以及CAN通信報(bào)文均為二取二設(shè)計(jì)，滿足信息采集和數(shù)據(jù)通信的二取二需求。

圖1 新一代LKJ系統(tǒng)架構(gòu)

圖2 新一代LKJ系統(tǒng)安全計(jì)算機(jī)平臺(tái)架構(gòu)

3.2 LKJ無(wú)線換裝系統(tǒng)

LKJ無(wú)線換裝系統(tǒng)由車載系統(tǒng)（包括LKJ主機(jī)、擴(kuò)展單元安全通信插件）、無(wú)線通信網(wǎng)絡(luò)和地面系統(tǒng)構(gòu)成，其架構(gòu)見圖3。系統(tǒng)的關(guān)鍵節(jié)點(diǎn)都采用冗余設(shè)計(jì)，以提高換裝業(yè)務(wù)的可靠性。其中車載換裝設(shè)備為雙套冗余，實(shí)現(xiàn)故障態(tài)下主備機(jī)無(wú)縫切換；地面核心網(wǎng)絡(luò)節(jié)點(diǎn)采用雙套熱備冗余（防火墻、交換機(jī)），消除單點(diǎn)故障帶來(lái)的影響；內(nèi)、外網(wǎng)通信服務(wù)器及應(yīng)用服務(wù)器等采用雙機(jī)熱備，實(shí)現(xiàn)操作系統(tǒng)或監(jiān)管軟件出現(xiàn)故障時(shí)，自動(dòng)遷移至備機(jī)運(yùn)行。

由于車地通信采用無(wú)線方式（公用移動(dòng)網(wǎng)絡(luò)和WLAN相結(jié)合），為避免在數(shù)據(jù)無(wú)線換裝過(guò)程中可能出現(xiàn)數(shù)據(jù)被篡改、地面網(wǎng)絡(luò)和主機(jī)服務(wù)器被攻擊等安全問(wèn)題，需要重點(diǎn)考慮數(shù)據(jù)安全設(shè)計(jì)和網(wǎng)絡(luò)安全防護(hù)設(shè)計(jì)。

3.2.1 數(shù)據(jù)安全設(shè)計(jì)

LKJ無(wú)線換裝系統(tǒng)車地通信在WLAN覆蓋區(qū)域，采用WLAN通道與地面服務(wù)器通信；在無(wú)WLAN覆蓋區(qū)域，通過(guò)授權(quán)的公用移動(dòng)網(wǎng)絡(luò)（3G/4G）與地面服務(wù)器進(jìn)行通信。車地之間利用IPSec VPN技術(shù)建立通信隧道，采用國(guó)密SM4算法對(duì)數(shù)據(jù)進(jìn)行加密，實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性，并采用CRC48校驗(yàn)機(jī)制和斷點(diǎn)續(xù)傳等技術(shù)，對(duì)LKJ車載數(shù)據(jù)進(jìn)行校驗(yàn)、解壓、緩存，防止LKJ數(shù)據(jù)完整性受到破壞。

3.2.2 網(wǎng)絡(luò)安全防護(hù)設(shè)計(jì)

LKJ無(wú)線換裝系統(tǒng)網(wǎng)絡(luò)安全防護(hù)由LKJ車載換裝設(shè)備、車地防火墻、內(nèi)網(wǎng)防火墻、堡壘機(jī)、入侵檢測(cè)系統(tǒng)、CA證書服務(wù)器，以及虛擬化平臺(tái)（包含內(nèi)網(wǎng)通信服務(wù)器、數(shù)據(jù)服務(wù)器、應(yīng)用服務(wù)器、防病毒服務(wù)器、時(shí)鐘服務(wù)器、證書服務(wù)器）等組成。

鐵路內(nèi)網(wǎng)各計(jì)算機(jī)終端與地面系統(tǒng)服務(wù)器間信息交互，采用內(nèi)網(wǎng)防火墻進(jìn)行防護(hù)，實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)終端計(jì)算機(jī)網(wǎng)絡(luò)邊界的安全防護(hù)和訪問(wèn)控制；地面系統(tǒng)內(nèi)網(wǎng)與外網(wǎng)通信服務(wù)器間的信息交互，基于鐵路安全傳輸平臺(tái)進(jìn)行隔離，采用CA證書授權(quán)，實(shí)時(shí)對(duì)車載進(jìn)行身份鑒別，通過(guò)Http/Https加密方式進(jìn)行信息內(nèi)外網(wǎng)交互，實(shí)現(xiàn)對(duì)鐵路內(nèi)外網(wǎng)網(wǎng)絡(luò)的訪問(wèn)控制，以及LKJ車載數(shù)據(jù)文件和重要信息內(nèi)外透?jìng)鳎辉诘孛嫦到y(tǒng)與無(wú)線通信網(wǎng)絡(luò)邊界處，部署車地防火墻，通過(guò)網(wǎng)絡(luò)控制、包過(guò)濾、協(xié)議深度解析等策略，實(shí)現(xiàn)對(duì)地面系統(tǒng)網(wǎng)絡(luò)邊界的實(shí)時(shí)防護(hù)。

虛擬化平臺(tái)采用超融合架構(gòu)，它作為L(zhǎng)KJ無(wú)線數(shù)據(jù)換裝系統(tǒng)的核心，為應(yīng)用服務(wù)器、數(shù)據(jù)服務(wù)器、通信服務(wù)器及信息安全防護(hù)產(chǎn)品，提供相應(yīng)的運(yùn)行環(huán)境。超融合架構(gòu)的計(jì)算、存儲(chǔ)和網(wǎng)絡(luò)安全均為虛擬化設(shè)計(jì)，由軟件控制，擺脫了傳統(tǒng)服務(wù)器、網(wǎng)絡(luò)和存儲(chǔ)孤立的架構(gòu)，CPU、內(nèi)存和硬盤統(tǒng)一管理和分配，提升LKJ數(shù)據(jù)接收、解析、處理、管理的效率，提供高可靠、高可用的應(yīng)用服務(wù)。

圖3 LKJ無(wú)線換裝系統(tǒng)架構(gòu)

超融合架構(gòu)基本配置為4個(gè)節(jié)點(diǎn)，每個(gè)節(jié)點(diǎn)的LKJ數(shù)據(jù)采用3個(gè)副本實(shí)時(shí)存儲(chǔ)，當(dāng)某一個(gè)節(jié)點(diǎn)故障時(shí)，仍然可以通過(guò)其他節(jié)點(diǎn)的數(shù)據(jù)繼續(xù)進(jìn)行換裝業(yè)務(wù)，保障了業(yè)務(wù)連續(xù)性和安全性。網(wǎng)絡(luò)設(shè)備采用冗余的萬(wàn)兆交換機(jī)管理超融合架構(gòu)服務(wù)器，可滿足網(wǎng)絡(luò)轉(zhuǎn)發(fā)靈活調(diào)度。虛擬化平臺(tái)可實(shí)現(xiàn)計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)、安全一體化，資源動(dòng)態(tài)調(diào)度，集群業(yè)務(wù)負(fù)載自動(dòng)均衡，降低集群內(nèi)高負(fù)載的主機(jī)資源利用率，在滿足業(yè)務(wù)系統(tǒng)及信息安全管理系統(tǒng)運(yùn)行的前提下，有效提升系統(tǒng)的可靠性和可用性。

3.3 LKJ輔助駕駛單元

LKJ輔助駕駛單元通過(guò)輔助司機(jī)操縱列車的牽引與制動(dòng)，實(shí)現(xiàn)列車的運(yùn)行控制功能，不改變列車原有安全控制邏輯和安全監(jiān)控設(shè)備防護(hù)功能。

3.3.1 輔助駕駛設(shè)計(jì)方案

輔助駕駛單元通過(guò)新一代LKJ系統(tǒng)擴(kuò)展單元接口模塊與LKJ主機(jī)單元進(jìn)行通信，接收LKJ主機(jī)發(fā)送的移動(dòng)授權(quán)、測(cè)速測(cè)距、目標(biāo)速度、目標(biāo)距離、控制相關(guān)數(shù)據(jù)以及線路數(shù)據(jù)等信息，綜合列車運(yùn)行時(shí)間和限速要求，進(jìn)行乘務(wù)區(qū)段的行程在線規(guī)劃，采取相應(yīng)的速度控制策略來(lái)控制列車運(yùn)行速度及牽引制動(dòng)狀態(tài)，在保障列車運(yùn)行安全、平穩(wěn)的條件下，實(shí)現(xiàn)列車正點(diǎn)、節(jié)能運(yùn)行。

3.3.2 設(shè)計(jì)原則

輔助駕駛單元在自動(dòng)駕駛控車模式下，實(shí)時(shí)對(duì)列車運(yùn)行數(shù)據(jù)進(jìn)行回采，控制過(guò)程保證列車安全、平穩(wěn)，同時(shí)針對(duì)各種故障進(jìn)行導(dǎo)向安全的防護(hù)控制。總體設(shè)計(jì)原則如下。

1）不越過(guò)LKJ限速曲線［11］。

2）不改變LKJ的安全控車邏輯。

3）列車輔助駕駛單元無(wú)法繼續(xù)進(jìn)行自動(dòng)駕駛控制時(shí)，導(dǎo)向安全側(cè)控制。

4）需人工接管而人工未接管時(shí)，導(dǎo)向安全側(cè)控制。

5）列車出現(xiàn)故障后，輔助駕駛單元需根據(jù)故障狀況，決定是否提示司機(jī)退出自動(dòng)駕駛。

6）輔助駕駛單元在提示退出自動(dòng)駕駛模式的同時(shí)，需要將列車導(dǎo)向安全運(yùn)行。

3.3.3 功能實(shí)現(xiàn)

1）LKJ主機(jī)單元發(fā)送臨時(shí)限速運(yùn)行揭示，輔助駕駛單元按照臨時(shí)限速要求進(jìn)行行程規(guī)劃。

2）列車在分相無(wú)電區(qū)前，根據(jù)分相里程確定分相位置，控制列車在斷電前切除牽引力，按照不低于過(guò)分相最低速度的要求合理規(guī)劃行程。

3）根據(jù)LKJ主機(jī)單元的支線、側(cè)線信息，自動(dòng)選擇相應(yīng)數(shù)據(jù)進(jìn)行行程規(guī)劃。

4）根據(jù)機(jī)車信號(hào)以及LKJ的控制模式進(jìn)行行程規(guī)劃，控制列車以不超過(guò)側(cè)線限速要求的速度通過(guò)。

5）列車在半自閉區(qū)間運(yùn)行時(shí)，可按照進(jìn)站信號(hào)機(jī)關(guān)閉指導(dǎo)列車運(yùn)行，在接收到進(jìn)站信號(hào)機(jī)的機(jī)車信號(hào)后，按照信號(hào)和LKJ主機(jī)單元控制模式要求進(jìn)行行程規(guī)劃。

6）列車在長(zhǎng)大坡道運(yùn)行時(shí)，可根據(jù)列車“安全、正點(diǎn)、平穩(wěn)、減負(fù)、節(jié)能”運(yùn)行要求進(jìn)行行程規(guī)劃。

4 結(jié)束語(yǔ)

針對(duì)目前LKJ系統(tǒng)存在的問(wèn)題，新一代LKJ系統(tǒng)采用二乘二取二的安全計(jì)算機(jī)平臺(tái)進(jìn)行開發(fā)，能夠滿足SIL4級(jí)安全完整性等級(jí)要求；采用LKJ無(wú)線換裝系統(tǒng)，解決了人工換裝數(shù)據(jù)在時(shí)效性、安全性上的問(wèn)題；新一代LKJ輔助駕駛單元與LKJ主機(jī)相互配合，共同完成控車任務(wù)，可提高列車運(yùn)行效率，降低列車能耗和司機(jī)勞動(dòng)強(qiáng)度，實(shí)現(xiàn)列車正點(diǎn)、平穩(wěn)、節(jié)能、高效運(yùn)行。