計算機聯鎖接口信息碼位安全設計

韓安平,劉 鵬,李紅俠

(1.中國鐵道科學研究院集團有限公司通信信號研究所,北京 100081； 2.中鐵工程設計咨詢集團有限公司,北京 100055)

鐵路車站計算機聯鎖系統是以計算機為主要技術手段實現車站聯鎖的信號系統[1]。傳統的計算機聯鎖系統，以電氣傳輸方式集中操縱動力式道岔及色燈信號機，以軟件實現聯鎖關系[2]，實現站內信號、道岔、進路之間的聯鎖邏輯運算，并通過繼電接口電路實現對室外信號、道岔、軌道區段的狀態采集以及對信號、道岔的驅動控制。

計算機聯鎖系統計算機部分和繼電接口電路部分的結合，是通過特定的接口碼位信息來采集和驅動相應的接口繼電器，通過繼電器接點獲取現場信號設備的狀態，并通過控制繼電器的動作接通控制電路來操縱相應設備的動作。這些接口信息一部分是為了實現對信號設備的控制和狀態采集功能而設，另一部分是為了提高接口的安全性而設，很有必要對這些接口信息的設置及其排列關系進行相關研究，以實現接口碼位信息的安全設計[3]。

1 計算機聯鎖接口繼電器設置及接口實現電路設計分析

道岔轉轍機、信號機、軌道電路為信號系統三大主要基礎設備[4]，和這些設備相關電路的結合，是傳統計算機聯鎖的主要接口內容。

1.1 道岔控制電路的接口繼電器設置及接口實現電路設計分析

圖1為道岔控制電路。電路中和計算機接口的繼電器有YCJ/SFJ/SJ(不同計算機聯鎖系統命名不同，以下統一為YCJ)、DCJ、FCJ、DBJ、FBJ。通過YCJ、DCJ、FCJ的接點接通控制電路給道岔轉轍機供電以控制道岔的轉換。圖2為道岔接口繼電器驅采電路，YCJ、DCJ、FCJ由計算機聯鎖驅動。計算機聯鎖采集表示道岔所處位置的DBJ、FBJ的接點，以完成對道岔位置的采集，另還增設了DBJ和FBJ落下接點的串聯采集信息DFBJH[5]，和DBJ、FBJ一起用于對道岔位置的判斷。

圖1 道岔控制電路

圖2 道岔接口繼電器驅采電路

1.2 信號點燈控制電路的接口繼電器設置及接口實現電路設計分析

雖然進站信號機、出站信號機、調車信號機點燈電路不同，但他們在和計算機聯鎖的接口設計原理及安全處理原則上是一致的。下面以進站信號機點燈電路為例進行分析。

圖3為進站信號機點燈電路，電路中和計算機接口的繼電器有DJ、2DJ、LXJ、ZXJ、LUXJ、TXJ、YXJ。除DJ和2DJ外，其余繼電器均由計算機驅動以點亮信號機不同的燈光。計算機采集上述所有接口繼電器的吸起接點以獲取信號機的狀態。圖4為進站信號機接口繼電器的驅采電路，對于部分計算機聯鎖系統不采集2DJ，則需在YXJ的采集電路中串入2DJ的吸起接點。

圖3 進站信號機點燈電路

圖4 進站信號機接口繼電器驅采電路

1.3 軌道電路的接口繼電器設置及接口實現電路設計分析

軌道電路與計算機聯鎖的接口繼電器為GJ，計算機通過采集GJ的前后接點來判斷軌道區段的空閑狀態。圖5為軌道電路接口繼電器采集電路。

圖5 軌道電路接口繼電器采集電路

計算機聯鎖除了和上述三大主要信號基礎設備的接口外，還有一些用于報警、指示、相鄰站或場間信息復示等其他功能的零散接口，這些接口也是計算機聯鎖接口的重要組成部分，相關的電路原理及接口繼電器設置在此不做具體分析，僅對其接口信息碼位的安全設計做相應研究。

2 接口繼電器及接口信息碼位安全設計分析

計算機聯鎖與信號設備的接口電路故障模式主要有斷路、短路(包括混線)模式。斷路只會導致完成功能的喪失，不會帶來安全風險，但短路或混線有可能會帶來安全風險，造成不該動的道岔會出現錯誤轉換、不該開放的信號錯誤開放等。混線是硬件電路中最常發生的隨機故障之一，也是最容易出現單一故障造成危險輸出的故障之一[6]。在硬件電路中，物理位置相距越近的電路間發生相互混線的可能性越大。例如，計算機聯鎖中同一個板卡或同一個接插件中相鄰采集位、相鄰驅動位相互混線的概率，要遠大于不同板卡或不同接插件中線纜間混線的概率。在接口設計時，很有必要對混線后帶來的風險進行研究。

2.1 道岔接口繼電器及接口碼位安全設計

(1)驅動繼電器及碼位的安全分析

由計算機驅動控制道岔動作的繼電器有YCJ、DCJ、FCJ[7]。YCJ和DCJ同時吸起或YCJ和FCJ同時吸起接通道岔的啟動電路，DCJ和FCJ分別控制道岔定位啟動電路和反位啟動電路接通[8]，如圖6(a)、圖6(b)電路虛線所示。YCJ在電路中的位置對應于繼電聯鎖中為SJ位置。繼電聯鎖中鎖閉繼電器SJ常態吸起，表示道岔處于解鎖狀態，允許扳動道岔[9]。與繼電聯鎖的SJ不同，YCJ平時處于落下，只有在需要操縱道岔轉動時，才隨同DCJ或FCJ一并或略微錯時吸起，道岔轉換到位或需要停止轉動時立即落下[10]。計算機聯鎖對道岔的鎖閉并不依賴于YCJ的動作，因為計算機聯鎖對道岔的鎖閉是聯鎖計算機內部變量的一個狀態取值，當這個取值表示“鎖閉”的含義時，其便通過程序實現了對道岔的邏輯鎖閉，并不需要刻意控制一個真實的繼電器以切斷啟動電路。因此YCJ由計算機聯鎖驅動，其核心作用是對道岔啟動電路進行雙斷防護，以提高道岔控制電路的安全性。假如不設YCJ，道岔控制電路從實現對道岔的定反位操縱功能上沒有問題，但KZ電源會一直供給電路[11]，一旦KF端發生混線，在DCJ或FCJ沒有被驅動時會造成道岔錯誤轉動。

假如YCJ和DCJ間發生混線或YCJ和FCJ間發生混線，某個繼電器的勵磁吸起會造成另一個繼電器的吸起而錯誤接通道岔啟動電路，這樣電路所設計的雙斷功能就會失去其作用。因此，為了降低相互間的混線風險，YCJ和DCJ、FCJ的碼位排列盡量拉開一定距離，以不設置在同一個板卡或同一個接插件中為宜，這樣也可避免由于某一個板卡的故障造成會危及后果的兩個繼電器同時錯誤勵磁吸起。

假如混線故障發生在DCJ和FCJ間，那么如圖6(c)虛線所示的電路將可能被接通，但由于2DQJ為極性保持型繼電器，1-2線圈和3-4線圈同時有電流流過，其將不能正常轉極，道岔也不會動作，并且該故障還能在使用過程中被發現。所以，DCJ和FCJ間發生混線，造成道岔錯誤動作的風險可控，DCJ和FCJ驅動碼位可以相鄰排列，且相鄰排列比分開排列更方便維護。計算機聯鎖的道岔控制電路YCJ端若發生混線，很難被發現，混線故障很可能會長期隱藏下來而讓電路的雙斷功能設計失效，現實中確實也發生過類似情況，一旦DCJ/FCJ端混線的第二個故障疊加發生，道岔將會發生錯誤轉動。因此，這種可能會長期隱藏下來的故障最好要有軟件檢查的配合以及時發現故障的存在。

圖6 道岔啟動電路接通圖

(2)采集繼電器及碼位的安全分析

道岔接口被采集的信息有DBJ、FBJ、DFBJH。DBJ、FBJ繼電器吸起表示道岔處于定位或反位，當道岔失去表示處于四開位置時，DBJ、FBJ全部落下。如果只對DBJ和FBJ吸起接點做采集即可實現對道岔狀態的判斷，當道岔處于四開位置時，DBJ、FBJ全部落下使其吸起接點均不能被采集到，倘若此時DBJ和FBJ采集電路之一出現混線而錯誤采集到吸起狀態信息，計算機則有可能誤認為道岔處于該位置，并能辦理出經過該道岔位置的進路，帶來行車安全風險。DFBJH的采集就是為解決該風險而設。在道岔處于四開位置時由于DBJ和FBJ均落下而使DFBJH被計算機所采集到。這樣，道岔可能處于的3個狀態(定位、反位、四開)均有對應的唯一采集信息指示，萬一出現有混線現象，會出現同時有兩個信息均被采集到，當計算機發現同時有兩個信息被采集到時，則做出導向安全側的處理，DFBJH的采集提高了對道岔位置狀態判斷的安全性。表1為DBJ、FBJ、DFBJH各種采集場景下的道岔狀態邏輯判斷表。

在設計接口碼位時，DBJ、FBJ、DFBJH排列一起，即使發生相互混線也能被及時檢測到，不會帶來安全隱患，而且碼位排列在一起也更有利于現場維護。

表1 道岔狀態邏輯判斷

2.2 信號接口繼電器及接口碼位安全設計

(1)信號繼電器驅采安全分析

對于信號機接口繼電器，計算機只采集了吸起接點，通過吸起接點的采集，判斷信號機點亮什么燈光。例如采集到LXJ吸起判斷信號開放，采不到LXJ吸起判斷信號處于關閉狀態。實際上LXJ的吸起接點未能采集到并不一定意味著信號關閉，相對于繼電聯鎖通過接點接通電路以形成電流的檢查方式，計算機聯鎖采取的這種非此即彼的判斷方式其實理論上并不嚴謹，但是，計算機具有智能邏輯判斷能力，可以通過驅采一致性校驗達到準確判斷的效果。例如，對LXJ有驅動命令時采集到LXJ吸起判斷為信號開放，當沒有驅動命令且也沒有采集到LXJ吸起，判斷為信號關閉。即便有驅動命令但未采集到LXJ吸起接點時，一定時間內軟件也會停止其驅動命令以從控制動作上實現對信號的關閉。因此，LXJ的采集狀態和驅動狀態的協調校驗與判斷，可以準確判斷信號的開放與關閉，因而不一定必須通過采集LXJ的后接點來判斷信號關閉。除DJ和2DJ外的其他信號接口繼電器的判斷邏輯類似。

綜上所述，計算機可以對控制信號機點亮允許燈光的相關接口繼電器做驅動和采集的一致性校驗，以實現對信號機控制的安全性檢查[12]。接口電路對接口繼電器的驅動和對吸起接點的采集，除了實現點燈功能，也實現了安全檢查的目的。

驅動的信號機接口繼電器都有對應的采集碼位，軟件具有的采集和驅動碼位信息一致性校驗功能，使驅動碼位之間或采集碼位之間發生混線的故障均能被檢測到，所以對于同一信號機相關的接口碼位，不需要特殊處理，但同一信號機相關的接口碼位排列在一起更方便維護。

(2)DJ碼位的安全分析

燈絲繼電器DJ常態處于吸起狀態，相應DJ采集信息常態可以采集到，這些常態一直能被采集到的信息在設計碼位排序時若排在一起，他們相互之間出現混線很難被發現，即若把全站或一個咽喉(或某個區域)的DJ排列一起，倘若出現混線，就會存在很難被及時發現的風險。把常態保持吸起的DJ和其對應常態處于落下狀態的信號繼電器(LXJ或DXJ等)排列一起，若他們之間發生混線，由于DJ信息常態能采集到，這樣勢必會在信號繼電器沒有正常驅動的情況下，計算機采集到信號繼電器的錯誤吸起狀態而被計算機所識別到，所以DJ和信號繼電器碼位排列一起更有利于對混線故障的及時發現。

2.3 軌道電路接口繼電器及接口碼位安全設計

計算機在聯鎖運算時主要檢查的是GJ的吸起狀態(軌道區段空閑狀態)，從完成功能的角度講，只采集GJ的吸起接點即可，實際上早期的計算機聯鎖有些系統也是這樣做的，但萬一在軌道區段占用的情況下，GJ吸起接點的采集電路發生混線出現誤采集，可能會把處于占用狀態的軌道區段錯誤判斷為空閑狀態。為避免這種情況發生，計算機對GJ同時采集其前后接點，只有僅采集到GJ吸起才判斷軌道區段為空閑狀態，其他的采集組合都處理為占用狀態。這種同時采集同一個繼電器前后接點的目的就是做邏輯合理性校驗，一旦發生相互間的混線，勢必會破壞其狀態的邏輯合理性，軟件會做出相應的安全側處理。增加對GJ落下接點的采集就是為了提高對軌道區段狀態判斷的安全性。從維護方便的角度，同一軌道區段的GJ前后接點采集碼位排列于一起同樣會更合理，一旦此相鄰的采集線間發生混線也能及時被發現。表2為GJ吸起接點和落下接點各種采集場景下的軌道區段狀態邏輯判斷表。

表2 軌道區段狀態邏輯判斷

2.4 其他零散信息碼位排列安全設計

零散接口信息主要有相鄰站/場(以下簡稱站)間相互傳遞的信息和本站必要的一些提示信息或報警信息等。

對于鄰站復示到本站供本站使用的信息，首先要確認其是否參與聯鎖邏輯運算，若參與本站的聯鎖邏輯運算，其接口信息碼位的設計和處理方式和本站的軌道電路接口信息碼位處理方式一致。例如，鄰站復示過來的會影響本站聯鎖邏輯處理的信號復示繼電器、軌道區段狀態復示繼電器、照查繼電器等。若鄰站復示過來的繼電器不參與本站的聯鎖邏輯處理，只是為了起提示或報警作用，即使其采集錯誤也不會帶來安全風險。對于這些信息的處理不需要有特別要求，也不需要考慮混線后的安全處理措施，建議類似信息的碼位按類別分組排序，以便于維護查找即可。例如，用來區分對方站排列的是列車進路還是調車進路的調車終端繼電器(ZJ)信息就屬于此類。

對于本站控制的繼電器需要復示到鄰站供鄰站使用的信息，首先也需要確認其送給鄰站是否參與鄰站的聯鎖邏輯運算，若需要參與鄰站的聯鎖邏輯運算，其接口信息碼位的設計和處理方式和本站的信號信息碼位處理方式一致。例如，復示給鄰站的照查繼電器等。若復示給鄰站只是為了在鄰站起提示或報警作用，即使其出現錯誤也不會帶來安全風險，對于這些信息的處理也不需要有特別要求，同樣建議類似信息的碼位按類別分組排序，考慮維護方便即可。

同理，本站必要的一些提示信息或報警信息等，即使其出現錯誤也不會帶來安全風險，同樣建議類似信息的碼位不需要做安全防護措施，按類別分組排序。

3 計算機聯鎖接口碼位排列設計示例

計算機聯鎖接口碼位的排列設計思路，主要考慮的因素是提高接口碼位信息的安全性，同時兼顧維護的便捷性。基于此原則及上述安全分析，給出計算機聯鎖采集和驅動接口碼位的分組排列設計如表3和表4所示。

表3 采集碼位排列設計

3.1 采集信息接口碼位示例

零散報警主要排列的是相對固定的通用報警信息，這些信息基本所有站都會有，設計上置于相對固定的位置，后續應用軟件處理也相對固定。

道岔表示采集信息、信號表示采集信息、軌道區段表示采集信息為本站信號基礎設備的采集信息，碼位按類分組排列，每組內的信息碼位排序按設備編號順序排列。鄰站復示過來參與本站聯鎖邏輯處理的信息在聯鎖處理上和本站的軌道區段處理方式類似，因此其碼位緊靠軌道區段表示采集信息碼位排列。

表4 驅動碼位排列設計

提供鄰站參與聯鎖運算的信息假如和本站信號有關聯，可以和這些信號的相關信息碼位排列一起，也可以單獨分組排列。表3為采用了單獨分組排列方式。采集鄰站不參與聯鎖運算的信息以及站聯口僅用于報警、提示的表示信息單獨分組排列。

3.2 驅動信息接口碼位示例

零散驅動主要排列的是相對固定的通用驅動信息，類似控制系統工作狀態的事故繼電器(SGJ)、故障繼電器(GZJ)等(不同計算機聯鎖系統可能配置不同的信息)，這些信息基本同一型號系統所有站都會有，設計上置于相對固定的位置，后續應用軟件處理也相對固定。

道岔驅動信息分兩組，一組為DCJ和FCJ控制組，一組為YCJ控制組，兩組信息碼位分別按上下咽喉和道岔編號順序排列，兩組間要拉開一定距離，以不設置在同一個驅動板和同一個接插件中為宜。

信號驅動信息組盡可能按上下咽喉的調車和列車驅動信息分組順序排列，排列時也盡量考慮信號編號的順序。信號驅動信息碼位與采集碼位排列的順序一致為宜。

提供鄰站參與聯鎖運算的驅動信息，由于在聯鎖處理上和本站的信號處理方式類似，因此在信息碼位排列時，如和本站信號有相關聯系，可以和這些信號的相關信息排列一起，也可以單獨分組排列。表4采用了單獨分組排列方式。提供鄰站不參與聯鎖運算的信息和本站使用但不參與聯鎖運算的零散驅動信息單獨分組排列。

4 結語

鑒于目前計算機聯鎖接口信息碼位的排列安全設計上沒有相關規范，僅從完成功能方面，計算機聯鎖接口碼位的排列順序不需要強制按規律排列，軟件會適應各種排列順序，目前設計時主要考慮了設計、配線、維護的方便性，這也帶來接口信息碼位排列的多樣性。不同方式的碼位排列，對一些混線的抵御能力會有較大差別，為了盡可能減小混線后帶來的風險，在信息碼位設計時遵循下列原則。

(1)相互混線后不能被及時發現的信息分開排列。

(2)相互混線后有可能帶來危險輸出的信息分開排列。

(3)相互混線后設備會自動導向安全側或能被及時校驗出的信息相鄰排列；

(4)相互混線后會導致邏輯狀態相互抵觸的信息相鄰排列。

(5)為了維護方便，分咽喉按設備編號順序依次按類別分組排列。

在遵循上述原則的同時，結合考慮各類信息的設置目的，科學優化接口信息碼位的排列，這樣在不增加任何投入的基礎上能夠提高系統的整體安全性。鐵路信號設備僅要求對室外混線、短路造成危及行車安全的后果采取防護措施，對防室內的混線、短路沒有強制要求，但通過根據不同碼位信息特點采取相應有效的碼位排列措施，對減少影響設備安全的故障發生會起到事半功倍的效果。計算機聯鎖接口碼位的處理和軟件的設計思路是息息相關的，軟件的不同處理思路對計算機聯鎖接口碼位的安全設計可能會有差異，但一些基本的安全處理原則是相通的。本文所論述的措施和方法，在一些計算機聯鎖系統的應用中證明了其對系統總體安全起到了促進作用，對其他鐵路信號控制系統的接口安全設計也具有重要的借鑒意義。