列车运行控制系统中的地面目标控制器的制造方法
【专利摘要】本发明实施例提供了一种列车运行控制系统中的地面目标控制器。该控制器包括双套热备的地面目标控制单元，每套地面目标控制单元包括：主控制电路、信号灯控制回路、道岔控制回路、信号灯状态监测电路和道岔状态监测电路；主控制电路包括异构的MCU电路和FPGA电路，MCU电路和FPGA电路发出一致的信号灯控制命令和道岔控制命令后，将经过二取二表决的最终信号灯控制命令传输给信号灯控制回路，将经过二取二表决的最终道岔控制命令传输给道岔控制回路。本发明实施例通过在地面目标控制单元的主控制电路选择异构二取二安全架构，能够保证道岔或者信号机不会错误操作，满足故障?安全原则，避免了故障的积累，提高了系统的安全性，可以满足极端苛刻安全要求。
【专利说明】
列车运行控制系统中的地面目标控制器
技术领域
[0001] 本发明设及轨道交通控制技术领域，尤其设及一种列车运行控制系统中的地面目 标控制器。
【背景技术】
[0002] 近年来，随着技术的进步和经济的发展，轨道交通得W迅速发展。列车运行控制 (W下简称列控)系统，作为轨道交通的安全保障基础，为铁路的客运高速化和货运重载化 和城轨高密度化、低间隔化提供了坚实的技术保障。
[0003] 轨道交通列控车载系统实时监督列车运行速度，并根据列车运行限制条件，自动 控制列车制动系统，从而实现列车超速防护，保障列车行车安全、提高列车运行效率。
[0004] 申请号为201310603679.9的专利《一种简化轨道交通列车运行控制系统的方法》 基于分布式处理原则和铁路信号技术、计算机技术W及电力电子技术的不断发展，提出来 一种分布式的地面安全计算机的配置方案，将列控系统的地面设备分为核屯、主机部分和远 程外设部分。远程外设部分作为地面目标控制器控制道岔和信号机，设置于轨旁，尽量靠近 现场的被控对象一道岔和信号机，确保地面目标控制器和道岔、信号机之间的硬连线尽可 能缩短，W达到减少布线成本，降低各种电磁干扰的引入，减少故障点，提高设备运用可靠 性之目的。
[0005] 目前，在铁路信号控制领域，计算机联锁已逐渐普及，但其与室外设备接口部分仍 主要基于有机械触点的电磁式重力安全型继电器的继电逻辑电路实现，来控制室外道岔、 信号机等设备。同时，轨旁是典型的振动环境，电磁式重力安全型继电器由于结构限制不能 用于轨旁设备。因此，从计算机技术、电力电子技术、嵌入式系统开发和安全系统设计的发 展现状出发，W微处理器或可编程逻辑器件为基础，基于嵌入式软硬件开发技术和安全系 统设计技术实现地面目标控制器非常有必要。
[0006] 近年来，随着微电子技术、控制技术、信息技术、通信和网络技术的不断发展，W及 电子设备的可靠性、安全性和容错技术的提高，出现了与地面目标控制器功能类似的全电 子执行单元。全电子执行单元一般按转徹机、信号机等不同的控制和采集对象，通过划分成 不同功能模块的形式来设计与实现。综观与全电子执行单元相关的研究成果，可W发现现 有的全电子执行单元存在W下不足之处：
[0007] (1)目前的全电子执行单元从基于非对称故障模式的电磁式重力安全型继电器为 基础的继电逻辑电路，转向对称模式的W微处理器或可编程逻辑器件为基础、基于嵌入式 软硬件开发技术设计实现的控制电路，但并未证明其控制逻辑的安全性；
[000引（2)目前的全电子执行单元主控回路开关普遍选择SSR(Solid S化te Relay,固态 继电器)和小触点容量安全继电器，尽管SSR是无触点开关，但其属于不能完全关死的功率 器件，即使处于关断状态也会有微弱的漏泄电流的存在，而目前无论是转徹机还是信号机， 均属于较高电压较大电流类型被控对象。当SSR与小型安全继电器配合使用时，即使处于关 断状态，从电压和电流角度看，仍有超过小触点容量安全继电器使用极限参数的问题；
[0009] (3)目前的全电子执行单元仍沿用传统继电联锁所使用的防混连电路，例如双断 法、位置法、电源隔离法等，而在目前的使用SSR和小型安全继电器所实现的全电子执行单 元中，由于改变了传统的继电逻辑一硬配线的电路构成方式，存在混线而导致危险的可能。
[0010] (4)在道岔启动的技术条件中，要求"在道岔启动电路已经动作之后，如果车随后 进入该道岔区段，则应保证转徹机能够继续转换到底，不能停转"。在信号机控制的技术条 件中要求"信号灯的允许灯光一黄灯或绿灯因故障焰灭时，应该自动改点禁止灯光一红 灯"。而目前的全电子执行单元普遍基于2取2安全架构，一旦出现故障会导向安全侧而断开 输出，运样就不能满足上述特殊的技术要求而会出现导致影响行车安全的设备故障。
[0011] (5)全电子执行单元的控制对象为直接影响行车安全的转徹机和信号机，既有的 全电子执行单元普遍基于同构方式实现其安全架构，而相关的最新版本安全标准要求基于 差异性异构设计原则实现安全控制系统W达到最高的安全完整性等级。
【发明内容】
[0012] 本发明的实施例提供了一种列车运行控制系统中的地面目标控制器，W解决既有 的全电子执行单元存在的上述问题。
[OOU]为了实现上述目的，本发明采取了如下技术方案。
[0014] -种列车运行控制系统中的地面目标控制器，包括双套热备的地面目标控制单 元，每套所述的地面目标控制单元又包括:主控制电路、信号灯控制回路、道岔控制回路、信 号灯状态监测电路和道岔状态监测电路；
[0015] 所述的主控制电路，用于连接所述信号灯控制回路、道岔控制回路、信号灯状态监 巧陆路和道岔状态监测电路，包括异构的MCU电路和FPGA电路，所述MCU电路和FPGA电路组 成二取二架构，分别根据所述信号灯状态监测电路传输过来的信号灯状态信息、所述道岔 状态监测电路传输过来的道岔状态信息，W及外部输入的列控目标控制命令，执行道岔控 制电路和信号机点灯电路的控制逻辑，而发出信号灯控制命令和道岔控制命令;当所述MCU 电路和FPGA电路发出一致的信号灯控制命令和道岔控制命令后，则将经过二取二表决的最 终信号灯控制命令传输给信号灯控制回路，将经过二取二表决的最终道岔控制命令传输给 道岔控制回路；
[0016] 所述的双套热备主控制电路通过通信总线交互双系热备控制逻辑所需要的数据 信息，同时通过通信总线获得外部输入的列控目标控制命令；
[0017] 信号灯控制回路，用于根据所述主控制电路传输过来的信号灯控制命令对列车轨 道的信号灯进行控制操作；
[0018] 道岔控制回路，用于根据所述主控制电路传输过来的道岔控制命令对列车轨道的 道岔进行控制操作；
[0019] 信号灯状态监测电路，用于监测信号灯状态信息，将信号灯状态信息传输给主控 制电路；
[0020] 道岔状态监测电路，用于监测道岔状态信息，将道岔状态信息传输给主控制电路。
[0021] 进一步地，根据道岔控制电路和信号机点灯电路的工作原理，分析道岔控制电路 和信号机点灯电路的控制逻辑，并提取出道岔控制电路和信号机点灯电路的控制逻辑伪代 码，利用形式化工具建立所述控制逻辑伪代码的模型，根据所述模型来验证所述道岔控制 电路和信号机点灯电路的控制逻辑的安全性。
[0022] 进一步地，基于道岔控制电路和信号机点灯电路的控制逻辑伪代码的模型来设计 所述MCU电路和FPGA电路的软件控制程序。
[0023] 进一步地，所述信号灯控制回路的开关电路、所述道岔控制回路的开关电路都采 用固态继电器、接触器或功率继电器、安全继电器Ξ种异构控制器件串联实现，所述固态继 电器用来实现接触器或功率继电器、安全继电器的空载切换。
[0024] 进一步地，根据负载类型选择直流或交流固态继电器，信号机点灯电路和五线制 交流转徹机动作电路选择SCR型交流固态继电器，四线制直流转徹机时则选用直流型固态 继电器;根据负载类型选择接触器或功率继电器，交流负载选交流接触器或功率继电器或 功率交流继电器，直流负载选择直流接触器或功率继电器或功率直流继电器;均选用大触 点容量安全继电器作为切换元件，用来实现道岔的定/反位转换或信号机所控8个灯位的分 组控制和不同灯位的切换。
[0025] 进一步地，所述信号灯控制回路中的每个信号灯位的控制主回路均采用Ξ个开 关，去线上采用固态继电器和安全继电器两种开关进行控制，回线上采用接触器或功率继 电器式开关，使得每个信号灯位的控制都构成一个双断的结构；
[0026] 当需要进行信号灯位的点亮操作时，先控制安全继电器、接触器或功率继电器进 行接点切换，等相应接点闭合到位之后，再控制固态继电器开关使所述信号灯位处于导通 状态，接通点灯电源，点亮所述信号灯位。
[0027] 进一步地，所述的主控制电路通过隔离电路向所述道岔控制回路发送道岔控制命 令，所述道岔控制回路的开关电路中的电源开关采用固态继电器、接触器或功率继电器来 实现，所述道岔控制回路的开关电路中的换相开关采用安全继电器来实现，所述电源开关 和所述换相开关之间相互配合来完成电源的输出。
[0028] 进一步地，所述的地面目标控制器还包括检测电路，该检测电路包括防混线检测 电路；
[0029] 所述的防混线检测电路，从所述安全继电器的常闭接点引入，所述防混线检测电 路基于LC振荡原理，首先电源向所述防混线检测电路的电容充电，然后所述电容向道岔电 机和信号机变压器绕组进行放电，当所述电容两端的波形为振荡波形，则判断地面目标控 制器与道岔或信号机之间的电缆不存在混线故障；当所述电容两端的波形不为振荡波形， 则判断所述地面目标控制器与道岔或信号机之间的电缆存在混线故障，并将所述地面目标 控制器与道岔或信号机之间的电缆存在的混线故障检测结果发送主控制电路。
[0030] 进一步地，所述的检测电路还包括；
[0031] 电源开关状态电压检测电路，用于对所述信号灯控制回路和道岔控制回路中的构 成电源开关的固态继电器与接触器或功率继电器进行电压监测，将检测结果发送主控制电 路；
[0032] 安全继电器状态检测电路，用于对道岔控制电流W及信号机点灯电路的安全继电 器的复式接点进行检测，W判断安全继电器是否可控，并将检测结果发送主控制电路；
[0033] 电流检测电路，用于对道岔控制电流W及信号机点灯电路电流进行检测，将检测 结果发送主控制电路。
[0034] 由上述本发明的实施例提供的技术方案可W看出，本发明实施例通过根据道岔控 制电路和信号机点灯电路的工作原理，利用形式化工具对道岔控制电路和信号机点灯电路 的控制逻辑进行形式化建模，可W验证道岔控制电路和信号机点灯电路的控制逻辑的安全 性，为后续的软硬件设计提供更加坚定的依据和基础。
[0035] 本发明实施例通过在主控制电路选择异构二乘(热备)二取二的安全架构，能够保 证道岔或者信号机不会错误操作，满足故障-安全原则，避免了故障的积累，提高了系统的 安全性，可W满足极端苛刻安全要求。
[0036] 本发明附加的方面和优点将在下面的描述中部分给出，运些将从下面的描述中变 得明显，或通过本发明的实践了解到。
【附图说明】
[0037] 为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用 的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本 领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可W根据运些附图获得其他 的附图。
[0038] 图1为本发明实施例提供的一种四线制道岔控制电路原理图；
[0039] 图2为本发明实施例提供的一种进站信号机的点灯电路示意图；
[0040] 图3为本发明实施例提供的一种列车运行控制系统中的地面目标控制器结构示意 图；
[0041] 图4为本发明实施例提供的一种信号机控制回路的示意图；
[0042] 图5为本发明实施例提供的一种五线制道岔控制回路原理示意图；
[0043] 图6为本发明实施例提供的一种四线制道岔控制回路原理示意图；
[0044] 图7为本发明实施例提供的一种五线制道岔的道岔状态监测电路的示意图图；
[0045] 图8为本发明实施例提供的一种检测电路示意图；
[0046] 图9为本发明实施例提供的四线制道岔的道岔状态监测电路示意图；
[0047] 图10为本发明实施例提供的一种电源开关的状态检测电路示意图；
[0048] 图11为本发明实施例提供的一种安全继电器的检测电路示意图；
[0049] 图12为本发明实施例提供的一种线性电流传感器ACS712的功能原理示意图；
[0050] 图13为本发明实施例提供的一种防混线检测电路的原理示意图；
[0051 ]图14为本发明实施例提供的一种IX振荡波形示意图；
[0052] 图15为本发明实施例提供的一种调度子模块软件流程图图；
[0053] 图16为本发明实施例提供的一种信号机控制子模块软件流程图；
[0054] 图17为本发明实施例提供的一种信号机点灯状态检测软件流程图；
[0055] 图18为本发明实施例提供的一种定位操作软件流程图；
[0056] 图19为本发明实施例提供的一种道岔表示检测子模块的软件流程图； 图20为本发明实施例提供的一种进站信号机的图形符号示意图； 图21为本发明实施例提供的一种调车信号机的图形符号示意图； 图22为本发明实施例提供的一种四显示出站兼调车信号机四显示出站兼调车信号机； 图23为本发明实施例提供的一种指定的图形符号示意图。
【具体实施方式】
[0057]下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始 至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参 考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。 [005引本技术领域技术人员可W理解，除非特意声明，运里使用的单数形式"一"、"一 个"、"所述"和"该"也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措 辞"包括"是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加 一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元 件被"连接"或"禪接"到另一元件时，它可W直接连接或禪接到其他元件，或者也可W存在 中间元件。此外，运里使用的"连接"或"禪接"可W包括无线连接或禪接。运里使用的措辞 "和/或"包括一个或更多个相关联的列出项的任一单元和全部组合。
[0059] 本技术领域技术人员可W理解，除非另外定义，运里使用的所有术语(包括技术术 语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该 理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意 义一致的意义，并且除非像运里一样定义，不会用理想化或过于正式的含义来解释。
[0060] 为便于对本发明实施例的理解，下面将结合附图W几个具体实施例为例做进一步 的解释说明，且各个实施例并不构成对本发明实施例的限定。
[0061] 本发明实施例解决既有的全电子执行单元存在的上述问题，实现满足极端苛刻安 全要求的列控系统地面目标控制器。
[0062] 本发明实施例的方案如下：
[0063] 1.1控制逻辑提取、形式化建模与验证
[0064] (1)道岔控制电路逻辑分析
[0065] 目前车站道岔控制多采用成熟的6502电气集中电路中的道岔控制电路，其必须符 合如下技术条件：
[0066] (1)道岔区段有车时，道岔不应该转换；
[0067] (2)当进路在锁闭状态时，进路上的道岔不应再转换；
[0068] (3)在道岔启动电路已经动作之后，如果车随后进入该道岔区段，则应保证转徹机 能够继续转换到底，不受(1)的限制而停转；
[0069] (4)道岔启动电路接通后，如果因为转徹机内部的电动机或自动开闭器等设备故 障或接触不良使得道岔无法动作，则应该自动切断道岔启动电路，从而防止其他外界原因 使得故障自动恢复后使得道岔再次动作，可能在车进入道岔所在区段时造成道岔中途转换 事故；
[0070] (5)道岔转换过程中，若由于外界阻力导致基本轨与尖轨之间无法密贴，道岔无法 转换到位时，应该能够使道岔转换回原位；
[0071] (6)道岔转换完毕密贴后，应能自动切断电动机电路；
[0072] (7)道岔在转换过程中，或者在发生挤岔、停电、断线等故障时应该没有状态表示；
[0073] (8)外线发生混线或者混入其他电源时，道岔应该没有表示。
[0074] 最常见的道岔控制电路为四线制道岔控制电路和五线制道岔控制电路，两者在控 制逻辑上有类似之处，此处选取四线制道岔控制电路为例进行分析，提取相应的数字逻辑。
[0075] 图1为本发明实施例提供的一种四线制道岔控制电路原理图。分析图1所示的四线 制道岔控制电路发现，该电路分为启动电路和表示电路两部分，共包含有8个继电器，分别 为CAJ、SJ、1DQJ、2DQJ、DCJ、FCJ、DBJ和FBJ。其中用1DQJ和2DQJ完成道岔的启动和转换，用 1DQJ来检查联锁条件，2DQJ控制转换方向，校核道岔的位置；用DBJ和FBJ来反映道岔的位 置。
[0076] 假设道岔原在定位，即已知1DQJ在落下状态，2DQJ的极性定位接点（141-142)闭 合，若办理进路时需要使道岔由定位向反位转换，即FCJ处在吸起状态，则需要经过Ξ级电 路控制。首先是第一道岔启动继电器1DQJ的接通，随后接通第二道岔启动继电器2DQJ的转 极电路，第Ξ级为电机的供电电路。由于1DQJ的吸起和2DQJ的转极，连通1DQJ的1-2线圈自 保电路向室外电机送电，使得转徹机的直流电动机转动，将道岔由定位转到反位，所W道岔 启动电路最终的输出量即为直流电机的状态。同理，分析道岔的表示电路，DBJ和FBJ的最终 状态为输出量，相关的控制继电器作为逻辑提取时的输入量，运样分析比较简单和直观。
[0077] 1DQJ的1-2线圈是通过它的前接点接通电机电路的，该线圈与电机串联，在电机正 常工作时，1DQJ能随着道岔的转换而保持在励磁吸起状态。如果电机因故障不通，则1DQJ的 自保电路也不会接通，取消了道岔再有转换的可能。
[0078] 在对四线制道岔控制电路进行逻辑提取时，假设所有线路接通为1，断开为0。所有 继电器吸起为状态"Γ，失磁落下为状态"0"，则要求当道岔处于定位时，2DQJ= 1，DBJ= 1， FBJ = 0;当道岔处于反位时，2DQJ = 0，DBJ = 0，FBJ=1。根据1DQJ和2DQJ的主要功能作用， 设置IDQJ在电机转动时为1，电机停转时为0.而将负责转极的2DQJ化简省去，直接去监测道 岔转徹机的自动开闭器接点来判断道岔现处于的状态。
[0079] 根据上述对于传统四线制道岔控制电路控制原理的分析，可W提取地面目标控制 器道岔模块的控制逻辑，即在地面目标控制器道岔模块开始运作时，首先获得道岔转徹机 的表示，只有当定位表示(DBKDB为定表的汉语拼音首字母，下同）和反位表示(FB)()相惇 时才将道岔状态反馈给联锁计算机，否则根据电动机监测电流来判断道岔是否在动作过程 中，如果道岔未动作则接通挤岔报警电路。
[0080] 然后判断道岔是否在锁闭状态，同时检测是否有混线故障等，判断报警电路是否 输出报警信号，只有在道岔未锁闭、没有报警信号输出的情况下才接收命令数据。
[0081] 当接收到的命令是单操信号(CA)或者是进路反操命令(FC)时，接通道岔启动电路 电源。
[0082] 在接通道岔启动电源时要注意为了保证道岔在四开状态下可W恢复为原位，要另 外设置道岔在报警系统有输出，并且有车站值班员办理单操动作信号的时候，道岔启动电 源也可W接通，此时定位的控制和表示线X2接通。
[0083] 在道岔电动机工作过程中，此时DB和FB都没有显示，为了能让道岔继续工作，加入 CA或者FC有命令动作使得道岔转动命令继续。
[0084] 再次检测接收到的命令有单操的信号命令或者是进路反操命令时，控制专用回线 X4接通。
[0085] 只有当X2接通，X4也接通，道岔未锁闭的时候，道岔转徹机电路电源才接通，也就 是原本道岔控制继电器接口电路的1DQJ接通，1DQJ = 1。
[0086] 转徹机工作电流供电时候，同时监测转徹机电路，一旦电流过流或者电流时间超 过设定的30秒，则报警电路输出报警信号，一旦有报警信号输出，转徹机工作电源关闭，也 就是让1DQJ = 0。
[0087] 当转徹机定位工作电源有电，报警电路未报警，那么说明此时道岔正在从定位向 反位转动。当检测到道岔转徹机自动开闭器接点没有定位表示而有反位表示时，则切断转 徹机工作电源，否则给出挤岔报警表示。当转徹机工作电源关闭时，再一次监测自动开闭器 接点定位和反位表示，最后监测无误时板馈给联锁计算机道岔的表示位置。
[0088] 根据上述对四线制道岔控制电路的逻辑分析，可W提取出目标控制器四线制道岔 控制电路的逻辑伪代码。
[0089] 道岔在正常状态下从定位向反位转换，其启动部分的逻辑伪代码如下所示：
[0090]
[0091]
[0092] (2)信号机点灯电路逻辑分析
[0093] 常见的信号机点灯电路有进站信号机点灯电路、出站信号机点灯电路和调车信号 机点灯电路，其必须符合如下技术条件：
[0094] (1)信号灯的允许灯光一黄灯或绿灯因故障焰灭时，应该自动改点禁止灯光一红 灯；
[00M] (2)开放信号时，应该首先检查红灯灯丝完整性，即红灯确实在亮灯状态。在红灯 灯丝断丝时，不允许再开放允许灯光；
[0096] (3)不允许信号机给出乱显示，凡超出规定的信号显示，都属于乱显示。
[0097] 信号机点灯电路中的进站信号机点灯电路相对最为复杂，所W运里W进站信号机 点灯电路为例，分析信号机点灯电路的逻辑。图2为进站信号机的点灯电路，根据信号继电 器及辅助继电器的不同条件，信号点灯电路会形成不同的信号显示控制。
[0098] 由进站信号机的点灯电路可W看出，进站信号机包含5个灯位，分别为:黄、绿、红、 黄、白，可W组成6种显示:绿、黄、红、黄黄、红白、绿黄。用有两种状态的继电器，控制六种信 号显示，需要五个继电器。每个信号灯的灯泡都串接有DJ(灯丝继电器），用来监督灯泡的完 整性。点灯电路采用集中供电制，即由信号楼继电器室供给220V交流点灯电源。其中允许信 号灯有:U、L、2U，禁止灯为:Η，除此之外，YB和Η等同时点亮作为引导信号使用。
[0099] 因为信号点灯电路有室外联系线路，所W在进行设计时，既考虑了断线保护，又考 虑了混线保护。信号点灯电路发生断线故障，信号机就要灭灯。允许灯光灭灯则必须使信号 显示降级，如黄灯或绿灯灭灯时，要自动改点禁止灯光红灯。禁止灯光红灯灭灯时，不允许 信号机再开放其他信号灯光。所W在目标控制器信号点灯模块设计时，要采用电流监测的 方式，在每个灯泡的控制电路上都设有电流监测电路，用来取代灯丝继电器，监测灯泡的完 整性。
[0100] 如果点灯电路发生混线故障，将点亮平时不应该点亮的灯位。因此在执行点灯命 令之前，要首先检查是否存在混线故障，只有当没有混线故障错误输出时，才能进而监测目 前所点亮的灯位是否处于正常状态。
[0101] 与道岔控制电路分析方法类似，将每个灯泡的显示作为被控量，灯泡被点亮，设置 为状态"Γ，反之为状态"0";电路中的各信号继电器条件作为输入量，继电器吸起即为状态 "Γ，失磁落下为状态"0"，在目标控制器中，上述信号继电器的吸起简化为目标控制器所执 行的点灯命令开关，采用相应的电子开关来控制相应需要点亮的灯光。
[0102] W进站信号机点绿灯为例进行说明其点灯电路的控制逻辑，在执行点绿灯命令之 前，首先要获得红灯的点灯状态HDW及红灯灯丝的完整，通过监测红灯点灯开关W及红灯 回路点灯电流进行判断，只有红灯处于正常点亮情况下才能执行点绿灯的命令，否则不允 许驱动绿灯点灯开关。
[0103] 然后进行混线检测，判断是否是因为混线故障而点亮的红灯，只有当不存在混线 故障时，才能接收命令数据LDM。若存在混线故障，不允许执行点灯命令。
[0104] 当红灯处于正常点亮状态且不存在混线故障，且目标控制器本身自检无故障时， 才首先关闭红灯驱动开关HXJ，断开红灯点灯回路，然后闭合绿灯点灯驱动开关LXJ，接通绿 灯点灯回路去线和回线的点灯电源，点亮绿灯。
[0105] 点灯结束之后，通过监测绿灯LD点灯回路的控制开关和点灯电流，判断绿灯是否 正常点亮，监测无误反馈相应的信息给上层联锁机，参与下次联锁逻辑运算，否则给出点灯 电路故障报警信息。
[0106] 同理，在监测目前点亮的绿灯过程中，发现其点灯开关或点灯电流处于不正常状 态，判断绿灯处于灭灯状态，则目标控制器应立即给出报警信息，并控制红灯的点灯开关， 使其接通红灯点灯回路电源，并确认点亮禁止灯光红灯，从而使灯光降级显示，避免危险的 发生。
[0107] 根据上述对进站信号机点灯控制逻辑的分析，提取出目标控制器点灯逻辑伪代 码。
[0108] 信号机在正常状态下，开放绿灯信号，其点灯控制部分逻辑伪代码如下所示：
[0109]
[0110]
[0111] (3)四线制道岔控制模块Event-B建模与验证
[0112] 四线制道岔控制模块的具体规则描述如下述表1所示。其中控制模块的功能描述 采用即N关键字，设备描述采用ENV关键字，安全特性描述用SAF关键字。建模时，SAF描述的 内容可w作为事件发生的卫条件。
[0113] 表1道岔控制模块的具体规则描述
[0114]
[0115] 采用Event-B对其进行建模和验证，主要分为W下步骤：
[0116] 第一步:建立基本场景和抽象机
[0117] point为控制对象道岔，Poin巧osition为道岔位置集合，pointMove对应道岔转换 事件，主要常量化ormal、Preverse、Ptrailed分别描述道岔的定位、反位、四开状态；变量 3讯；[1：油_]1和3*；[1：油_1'分别描述道岔向定位、反位转换，3*。日；[1_]1和3*化；[1_1'分别描述向定 位、反位转换失败，switch_n和switch_;r由道岔控制命令触发，若转换失败，则进入报错状 态err,其他变量、常量定义类似。
[0118] 第二步:将抽取的各个规则非形式化描述转换成Event-B语言描述，即将道岔位置 变化的各种控制条件都用卫条件的方式表达出来，加入到各抽象机的事件中。例如道岔的 Ξ种位置都属于道岔位置集合，采用在场景中添加公理的方式：
[0119] axml:partition(PointPosition,{Pnormal},{Preverse},{Ptrailed})
[0120]道岔不能同时既向定位转换又向反位转换，采用在抽象机中添加不变式：
[0121 ] invl: ^(switch_n = TR肥八switch_r = TR肥）
[0122]道岔在转换过程中若发生挤岔等故障导致转换失败，则给出四开状态，即：
[012引 W 肥 RE
[0124] grd1:SwFa il_r = TR肥 V SwFa il_n = TR肥
[0125] THEN
[0126] actionl :err: =TRUE
[0127] 类似可W书写其他控制或功能条件。
[01巧]第Ξ步，模型构建好之后，采用Event-B Rodin平台自带的Proof Obligation验证 模块对模型的逻辑正确性进行验证，对于不能自动验证的，通过手动加入变量的方式完成 交互证明。交互证明成功率应为100 %。
[0129] (4)进站信号机点灯控制模块Event-B建模与验证
[0130] 进站信号机点灯控制模块的具体规则描述如表2。其中关键字定义与四线制道岔 控制模块定义相同。建模时，SAF描述的内容可W作为事件发生的卫条件。
[0131 ]表2进站信号点灯控制模块具体规则描述 [01321
[0133]
[0134] 采用Event-B方法对信号机控制模块进行建模时，将信号点灯控制分成信号点灯 和信号保持两个过程，信号点灯是接收到点灯命令的标志，信号保持则是不断检查开放信 号的各个条件，包括灯丝完整性、点灯电流正常等，条件满足则保持信号的点灯状态，否则 信号关闭。根据前文对于信号点灯控制逻辑的分析，建立信号点灯控制的Event-B抽象机模 型，并加入信号点灯、信号保持和信号关闭等相关事件，并在其中加入信号的状态及其变 化，包含加入的各种控制条件。引入新事件和新变量则W模型精化的方式进行。
[0135] 为了简化模型，建立信号控制相关事件对应的状态机sm_signalCon化〇1时，设置 的信号状态变量signalState只设置了 red和green两个值，分别表示信号的关闭和开放状 态。用signal化en、signa化old、signal Shunt分别表示信号点灯事件、信号保持事件和信号 关闭事件；用变量redsig和grnsig分别表示红灯和绿灯的点灯控制开关状态，red_no;rmal 和grn_normal分别表示红灯和绿灯监测正常。根据前文关于信号开放，也就是点亮绿灯的 分析，可知需要首先要监测红灯是否处于正常点亮状态，然后才能控制开关使绿灯顺利点 亮，该事件在状态机中的描述如下：
[0136] EVENTS
[0137] signalOpen
[013 引 W 肥 RE
[0139] grdl :openSi即al = TRUE
[0140] grd2: reds ig = TRUE
[0141] grd3:grnsig=FALSE
[0142] Ι?ΕΝ
[0143] actl :redsig: =FALSE
[0144] act2: grnsig: =FALSE
[0145] END
[0146] 类似可W书写其他控制事件或条件，建立的信号控制状态机图形表示和Event-B 语言描述如图4所示。
[0147] 模型建立好之后，同样采用Event-B Rodin平台自带的Proof Obligation验证工 具对模型的逻辑正确性进行验证，对于不能自动验证的，通过手动加入变量的方式完成交 互证明，交互证明成功率应为100 %。
[0148] 通过分析所构建的两个状态机的证明结果发现，在模型精化阶段，相应的事件和 变量会相对增多，需要证明的义务就会相应增加，有些机器无法自动验证的义务，若手工验 证还存在一些问题，则问题的原因可能在于规范本身的问题或在建模过程中出现的逻辑不 一致，则需要对规范本身或模型进行修改，从而保证规范的逻辑正确性和一致性。对目标控 制器的控制逻辑进行建模和验证分析，为后续的软硬件设计提供更加坚定的依据和基础。
[0149] 1.2地面目标控制器结构原理
[0150] 列控系统地面目标控制器的主要控制对象为四线制直流转徹机、五线制交流转徹 机和信号机，基于模块化、强弱电隔离的设计原则，根据申请号为201310603679.9的专利申 请《一种简化轨道交通列车运行控制系统的方法》及申请号为CN201410852714.5的专利申 请《基于通用COTS软硬件实现列控安全计算机的方法和系统》，选择异构二乘二取二的安全 架构。
[0151] 根据地面目标控制器的功能需求，本发明实施例提供的一种满足道岔和信号机控 制要求的列车运行控制系统中的地面目标控制器结构示意图如图3所示，地面目标控制器 包括双套热备的地面目标控制单元:地面目标控制单元A系和地面目标控制单元B系，一套 地面目标控制单元作为主用，另一套地面目标控制单元作为备用。
[0152] 其中每套地面目标控制单元包括:主控制电路、信号灯控制回路、道岔控制回路、 信号灯状态监测电路和道岔状态监测电路；
[0153] 所述的主控制电路，用于连接所述信号灯控制回路、道岔控制回路、信号灯状态监 测电路和道岔状态监测电路，包括异构的MCU电路和FPGA电路，所述的异构MCU电路和FPGA 电路组成二取二架构，所述MCU电路和FPGA电路分别根据所述信号灯状态监测电路传输过 来的信号灯状态信息、所述道岔状态监测电路传输过来的道岔状态信息，W及外部输入的 列控目标控制命令，执行道岔控制电路和信号机点灯电路的控制逻辑，而发出信号灯控制 命令和道岔控制命令；当所述MCU电路和FPGA电路发出一致的信号灯控制命令和道岔控制 命令后，则将经过二取二表决的最终信号灯控制命令传输给信号灯控制回路，将经过二取 二表决的最终道岔控制命令传输给道岔控制回路；
[0154] 所述的双套热备主控制电路通过通信总线交互双系热备控制逻辑所需要的数据 信息，同时通过通信总线获得外部输入的列控目标控制命令；
[0155] 所述的列车运行控制系统中的地面目标控制器，基于道岔控制电路和信号机点灯 电路的控制逻辑伪代码的模型来设计所述MCU电路和FPGA电路的软件控制程序；
[0156] 信号灯控制回路，用于根据所述主控制电路传输过来的信号灯控制命令对列车轨 道的信号灯进行控制操作；
[0157] 道岔控制回路，用于根据所述主控制电路传输过来的道岔控制命令对列车轨道的 道岔进行控制操作；
[0158] 信号灯状态监测电路，用于监测信号灯状态信息，将信号灯状态信息传输给主控 制电路；
[0159] 道岔状态监测电路，用于监测道岔状态信息，将道岔状态信息传输给主控制电路。
[0160] 进一步地，所述的地面目标控制器还包括检测电路，该检测电路包括防混线检测 电路；
[0161] 所述的防混线检测电路，从所述安全继电器的常闭接点引入，所述防混线检测电 路基于LC振荡原理，首先电源向所述防混线检测电路的电容充电，然后所述电容向道岔电 机和信号机变压器绕组进行放电，当所述电容两端的波形为振荡波形，则判断地面目标控 制器与道岔或信号机之间的电缆不存在混线故障；当所述电容两端的波形不为振荡波形， 则判断所述地面目标控制器与道岔或信号机之间的电缆存在混线故障，并将所述地面目标 控制器与道岔或信号机之间的电缆存在的混线故障检测结果发送主控制电路。
[0162] 电源开关状态电压检测电路，用于对所述信号灯控制回路和道岔控制回路中的构 成电源开关的固态继电器与接触器或功率继电器进行电压监测，将检测结果发送主控制电 路；
[0163] 安全继电器状态检测电路，用于对道岔控制电流W及信号机点灯电路的安全继电 器的复式接点进行检测，W判断安全继电器是否可控，并将检测结果发送主控制电路；
[0164] 电流检测电路，用于对道岔控制电流W及信号机点灯电路电流进行检测，将检测 结果发送主控制电路。
[01化]1.3关键部件的选择
[0166] (1)核屯、安全逻辑处理器的选择
[0167] 主控制电路实现的基础是基于差异性设计原则选择FPGA与安全MCU实现异构的安 全逻辑控制，可优选Altera公司的MAX10系列FPGA忍片和TI公司的安全MCU忍片作为本发明 设计的处理器。
[0168] 为了满足极端苛刻安全要求，所有设及安全的控制电路W及采集电路，在设计时 都在异构原则的基础上考虑了双控制方式。
[0169] 主控制电路作为目标控制器硬件电路模块的核屯、部分，其安全性直接关系整个电 路，本发明采用了异构的MClKMicrocontroller化it,微控制单元)和FPGA进行双微控制器 逻辑"与"控制，即两个异构的微控制器组成一个"二取二"的结构，对于接收到的命令或信 号，必须确保一致才能输出相应的控制信号，采用运种方式，能够发现电路中的故障并作出 相应的处理，避免了故障的积累，提高了系统的安全性。
[0170] 电路采用双微处理器的异构冗余方式对电路进行控制，只有当两个微处理器执行 相同的命令时，电路才能动作，当接收命令不一致或者电路出现故障时，能够保证道岔或者 信号机不会错误操作，满足故障-安全原则。
[0171] (2)控制回路开关的选择
[0172] 考虑差异性设计原则和器件使用限制，道岔和信号灯控制回路开关分别选择固态 继电器、接触器或功率继电器、大触点容量安全继电器Ξ种异构控制器件串联使用而实现。
[0173] 根据负载类型选择直流或交流固态继电器。信号机点灯电路和五线制交流转徹机 动作电路选择SCR型交流固态继电器，控制四线制直流转徹机时则选用直流型固态继电器。 固态继电器用来实现接触器或功率继电器、大触点容量安全继电器的空载切换，W延长接 触器或功率继电器、大触点容量安全继电器的使用寿命。
[0174] 同样，需要根据负载类型选择接触器或功率继电器。交流负载选交流接触器或功 率继电器或功率交流继电器，直流负载选择直流接触器或功率继电器或功率直流继电器。
[0175] 考虑故障-安全原则，均选用大触点容量安全继电器作为切换元件，用来实现道岔 的定/反位转换或信号机所控8个灯位的分组控制和不同灯位的切换。大触点容量安全继电 器可选取Mors Smitt公司的具有焊缝无转移(WNT，weld no transfer)特性的安全继电器。
[0176] 1.4信号机控制回路设计
[0177] 信号机控制回路的设计是目标控制器信号模块设计的关键，参考6502电气集中信 号控制电路，将传统的进站信号机、两方向出站兼调车信号机和进路信号机的控制电路进 行模块化、智能化的设计，安全可靠地控制各个灯位的开放和关闭。
[0178] 从信号模块的通用性出发，控制回路按着8个灯位控制进行设计，分别可W为黄灯 (U)、绿灯化）、红灯化）、二黄灯(2U)、引导白灯(YB)、二绿灯(2L)、调车白灯(DB)、发车表示 白灯(FB)进行控制线路分配。信号机控制回路的示意图如图4所示，每个灯位控制主回路均 采用Ξ个开关，去线上采用固态继电器和安全继电器两种开关进行控制，回线上采用接触 器或功率继电器式开关，使得每个信号灯位的控制都构成一个双断的结构，能够在一定程 度上防止混线故障的发生。
[0179] 图4中K1-K8为固态继电器式电子开关，用来实现安全继电器和接触器或功率继电 器的空载切换，延长后者使用寿命，增加安全可靠性。KM1-KM8为接触器或功率继电器式开 关，J1-J8为安全继电器开关。Ξ种开关平时都在关断状态，当需要进行点灯时，先控制安全 继电器和接触器或功率继电器进行接点切换，等相应接点闭合到位之后，再控制固态继电 器开关使其处于导通状态，接通点灯电源，点亮需要点亮的灯位。例如接收到点灯命令，要 点亮灯位L1时，首先控制开关KMUJ1闭合，当检测到两者完全闭合之后，再控制固态继电器 开关K1闭合，接通L1的点灯电源，从而点亮灯位。在点灯之前，还要进行点灯电流的采集和 监测，用来判断灯丝的完整性和监督灯位的点灯情况。结合调车信号机和四显示出站信号 机的原理，对所设计的八个灯位按着不同类型的信号机进行分配，灯位对应表如表3所示。
[0180] 表3信号机与控制回路灯位对应表
[0181] Table 3-lThe Corresponding Table of Signal and its Main Control Circuit
[0182]
[0183] W进站信号机为例，每个信号机从上到下对应的灯位分别为:U、L、H、2U、YB，而设 置信号控制回路中的第1、2、3、5、7灯位作为其对应控制灯位，而将第4、6、8灯位空闲。联锁 机可向目标控制器信号控制模块下发8种点灯命令:灯η的点灯命令(1如含8)，Κη?、ΚΜηΤ和 JnT表示点亮第η个灯位。例如进站信号机点红灯时，Κ3?、ΚΜ3巧日J3T，KrU、KMni和化L其中η =1、2、4、5、6、7、8;点黄灯时，Κ1Τ、ΚΜ1Τ和 11丫，陆丄、謂11丄和化丄，其中11 = 2、3、4、5、6、7、8。
[0184] 其他类型信号机的控制原理与此类似。
[01化]1.5五线制道岔控制回路设计
[0186] 根据五线制道岔动作电路的原理，五线制道岔控制回路原理示意图如图5所示。该 电路是通过主控制电路控制电源开关和换相开关之间的相互配合来完成Ξ相电源的正常 输出的，W此达到转徹机的定位或反位操作。其中控制驱动电路的信号时由微处理器通过 隔离电路发送的，在该隔离电路的作用下，能够减少外界的干扰信号对系统控制电路的影 响。
[0187] W道岔反位到定位操作为例对电路原理进行说明。当道岔处于反位时，转徹机内 部自动开闭器第2、4组反位接点处于闭合状态，主控制电路通过隔离电路向启动电路发出 从反位向定位转动的控制信号，首先控制换相开关J9、J11闭合，然后控制电源开关全部闭 合，则Ξ相交流电源则通过电源开关、换相开关、电流检测电路W及电缆线X2/X5/X1与电动 机线圈构成回路，电动机通电开始转动;转徹机开始转动之后，电缆线中就会有相应的稳定 电流，运是电流检测电路就开始实时检测各电缆线中的电流是否正常，如果正常则保持当 前的驱动状态，否则应该立刻切断驱动电路;转徹机转动到底后，转徹机内部自动开闭器第 3组定位接点和第1组反位表示接点被接通，由于开闭器第2组接点处于断开状态，所W回路 中无动作电流。运时主控制电路通过检测电路检测到电流的消失，控制隔离电路断开换相 开关J9、J11W及电源开关，撤销Ξ相电源，定位操作动作完毕。当转徹机进行反操动作时， 使用的换相开关是Jl〇、J12,电缆线为X3/X4/X1，其工作原理跟定位操作的动作基本一致。
[0188] 道岔的定/反位操作主要是由电源控制开关和换相开关共同完成的，控制开关能 否正常工作直接关系到道岔能否正确动作，如果在没有控制命令的情况下，固态继电器却 错误导通，则会导致道岔错误动作，所W在固态继电器的基础上，串联上高性能的安全继电 器，则可W防止因为固态继电器错误动作而导致的严重后果，提高了系统的安全性W及各 控制开关的使用寿命。同理，若安全继电器发生击穿故障被导通，与其串联的固态继电器还 在断开状态，所W道岔不会被错误动作，两者串联，显著提高了系统的安全性。
[0189] 1.6、四线制道岔控制回路设计
[0190] 根据四线制道岔动作电路的原理，四线制道岔控制回路原理示意图如图6所示。四 线制道岔的动作电路的控制是通过微处理器下发的指令，通过硬件"与"电路对控制开关进 行控制，控制开关与五线制道岔动作电路一样，电源开关采用固态继电器和接触器或功率 继电器式，换相开关采用安全继电器，用来对四线制道岔的动作实现可靠的控制。
[0191] W道岔反位到定位操作为例对电路原理进行说明。当道岔处于反位时，转徹机内 部自动开闭器第2、4组反位接点处于闭合状态，主控制电路通过隔离电路向启动电路发出 从反位向定位转动的控制信号，首先控制换相开关J13闭合，然后控制电源开关全部闭合， 则道岔控制电源则通过电源开关、换相开关、电流检测电路W及电缆线X1/X4与电动机线圈 构成回路，电动机通电开始转动;转徹机开始转动之后，电缆线中就会有相应的稳定电流， 运是电流检测电路就开始实时检测各电缆线中的电流是否正常，如果正常则保持当前的驱 动状态，否则应该立刻切断驱动电路;转徹机转动到底后，转徹机内部自动开闭器第3组定 位接点和第1组反位表示接点被接通，由于开闭器第2组接点处于断开状态，所W回路中无 动作电流。运时主控制电路通过检测电路检测到电流的消失，控制隔离电路断开换相开关 J13W及电源开关，撤销电源，定位操作动作完毕。当转徹机进行反操动作时，使用的换相开 关是J14,电缆线为X2/X4,其工作原理跟定位操作的动作基本一致。
[0192] 1.7、五线制道岔的道岔状态监测电路设计
[0193] 传统的电气集中五线制道岔的道岔状态监测电路使用110V/50HZ交流电进行表示 状态的检测。当道岔在定位时，在正弦交流电的正半周，电流主要经过偏极继电器DBJ，DBJ 励磁吸起，表示道岔处于定位表示状态，同时和表示继电器并联的整流二极管支路中，二极 管处于反向截止状态，即该支路无电流通过;在交流电的负半周，因为DBJ只能通过正向电 流，所W绝大部分电流通过整流二极管支路回到变压器的二次侧，又因为DBJ感抗很大，线 圈电压下降过程中有反电势，阻止其失电落下，从而保证DBJ的可靠吸起。道岔在反位时的 工作原理与定位相一致。
[0194] 由上述分析可知，道岔的定位状态由XI、X2和X4确定，反位状态由XI、X3和X5确定， 五线制道岔的道岔状态监测电路示意图如图7所示。电路主要由表示电源变压器、功率电阻 W及道岔位置检测电路组成。每条电缆线分别设置两个检测模块，WX2为例进行检测模块 工作原理的说明，如图8所示，JC1和JC2分别为实时采集到的表示状态检测电压的状态，通 过IN输入模块能够将其传送给主控制电路系统，从而完成道岔状态的判断。
[01M]具体设计中，先通过抓1型表示变压器将220V的交流电压进行降压，输出110V的交 流电源，按着交流电正、负半波对电路进行分析。
[0196] (1)当道岔在定位时，分析如下：
[0197] 1)正弦交流电源正半波时，假设变压II次侧4正，3负，则电流的流向为：II4^JC8 一 XI 线一电机线圈 W(l_2) 一电机 V(2_l) 一接点（12-11) 一 X4 一检测模块 JC3 一 R2 一 113， 运时对应的输出信号JC8，JC3为脉冲信号；同时，另一条支路中，电流的流向为：II4^JC8^ XI 线一电机线圈 W(l-2) 一电机 U(2-l) 一接点（33-34) 一 R4 一 Z(l-2) 一接点（16-15) 一 接点（32-31)^X2^检测模块JC1^R1^II3,在运条支路中，整流二极管反向截止，故电流 基本为零。所WJC8，JC3为动态脉冲信号，其余电平均为高电平。
[0198] 2)当正弦交流电为负半波时，即变压器Π 次侧3正、4负，电流的流向为 R2 一检测模块JC4 一 X4线一电机线圈￥(1-2)一电机胖(2-1)一检测模块1〔7一114，运时对 应的输出信号JC4，JC7为脉冲信号；另外一条支路为：II3^R1^检测模块JC2^X2线^接点 (31 -32)一接点（15 -16)一整流二极管Z( 2-1)一 R4 一接点（34 -33)一电机线圈U( 1 - 2)一 电机W(2-1)^X1^检测模块JC7^II4,运时对应的JC2，JC7为脉冲信号;所W定位时JC2， JC4JC7为动态脉冲信号，其余为高电平。
[0199] (2)当道岔在反位时，分析如下：
[0200] 1)正弦交流电源正半波时，假设变压II次侧4正，3负，则电流的流向为：114^检测 模块JC8 一 XI线一电机线圈W(l-2) 一电机V(2-l) 一接点（42-41) 一 X5 一检测模块JC5 一 R3^R1^II3,运时对应的输出信号JC8，JC5为脉冲信号；同时另一条支路中，电流的流向 为：114 一检测模块JC8 一 XI线一电机线圈W(l-2) 一电机线圈U(2-l) 一接点（23-24) 一 Z (1-2) 一 R4 一接点（46-45) 一接点（22-21) 一 X3 一检测模块JC9 一 R1 一 113,运是对应的 JC8，JC9为动态脉冲信号，其余电平均为高电平。所W，道岔在反位时，JC8，JC9，J巧为动态 脉冲信号，其余为高电平。
[0201] 2)当正弦交流电为负半波时，即变压器II次侧3正、4负，电流的流向为 R3一检测模块JC 6一X5线一接点(41-42)一电机线圈V(l-2)一电机线圈W(2-l)一XI线一 检测模块JC7^II4，运时对应的JC6，JC7为脉冲信号;所W定位时，JC6，JC7为动态脉冲信 号，其余为高电平。
[0202] 道岔所处位置可W通过定表检测模块和反表检测模块检测线缆中是否有电流通 过，即根据JC1-JC10的电平信号来进行判断，并将模块的输出结果反馈到主控制电路中， W判断电路是否正常，并存储相应的结果。模块的输出结果与JC1到JC10之间的关系如表4 所示。
[0203] 表4五线制道岔表示模块输出结果关系表
[0204]
[0205] 根据上述分析，电流采集周期完成之后，主控制电路模块对存储结果进行比较，如 果检测到定表电流且没有反表电流，则道岔处于定位;如果检测到反表电流且没有定表电 流，则道岔处于反位;若同时都采集到或者都没有采集到，则道岔处于四开状态。同时，当发 生接线错误时也能根据采集到的数据进行判定，满足故障-安全的原则。
[0206] 1.8、四线制道岔的道岔状态监测电路设计
[0207] 四线制道岔表示电路分析方法与五线制道岔类似，根据传统四线制道岔表示电路 的工作原理，设计如图9所示的四线制道岔的道岔状态监测电路示意图。其主要完成对四线 审雌岔的定、反位状态信息的采集。电路主要由电源变压器、电阻、检测模块JC1-JC6组成。 其中电阻R1、R2分别模拟表示电路中的DBJ和FBJ线圈阻抗的电阻，检测模块JC1-JC6的输 出信号分别为JC1 一 JC6,并直接与主控制电路相连。
[0208] 道岔的定位状态由XI和X3确定，反位状态由X2和X3确定，目标控制器通过各检测 模块采集各线缆是否有电流信号，并将其转换成电压输出信号，输入给主控制电路，进行道 岔位置的判断，并存储相应的结果。
[0209] 分析可知，道岔在反位时，JC4和JC5所在的回路中有电流通过，对应的输出信号 JC4和JC5为脉冲信号，其余检测模块中无电流通过，对应的输出信号为高电平信号。即通过 分析JC1-JC6的状态可W判断道岔的位置状态。表示采集电路的输出结果与JC1-JC6之间 的关系如表5所示。
[0210] 表5四线制道岔表示模块输出结果关系表
[0211]
[0213] 经过分析可知当检测到定表电流而没有检测到反表电流时，道岔处在定位;如果 检测到道岔反位状态且没有定位状态，则道岔处在反位;若同时检测到定、反位电流或者同 时没有检测到，则判断道岔处在四开状态。该功能为安全功能，电路中出现元器件故障或者 断路等都不会给出道岔的假表示，符合故障-安全原则。
[0214] 1.9、检测电路设计
[0215] 检测电路主要完成对安全继电器等回路主控元器件状态的检测，同时实现对转徹 机动作电流信息和信号机点灯电流的实时监测。检测电路的存在，使得目标控制器构成一 个闭环的控制系统，满足故障-安全的原则。
[0216] 1.9.1电压检测电路
[0217] 道岔动作电路和信号机点灯电路中的任何元件故障都可能造成整个控制模块的 故障。例如开关的误动作有可能造成道岔的错误动作和信号机的错误点灯，因此对于开关 状态的实时可靠的检测非常重要。由上文可知，目标控制器中信号机和道岔控制回路共采 用了 Ξ种开关，分别为固态继电器、接触器或功率继电器和安全继电器，其中接触器或功率 继电器和固态继电器配合使用，作为电源开关，安全继电器作为换相开关，下面就两种情况 进行电压检测电路的说明。
[021引（1)电源开关状态检测
[0219] 在各个控制回路的设计中，固态继电器与接触器或功率继电器的联合使用构成电 源开关，是为了实现安全继电器的空载切换，延长后者使用寿命，电源开关的状态检测电路 如图10所示。
[0220] 固态继电器通常处于断开状态，但是由于固态继电器存在漏泄电流，所W与接触 器或功率继电器结合使用才能作为电源开关，不工作时其两端是没有电压的，此时两个微 处理器读入高电平。电源开关的动作顺序按着对应控制电路的要求进行，其检测结果分析 如表6所示。
[0221 ]表6电源开关检测结果分析
[0222]
[0223] (2)安全继电器检测电路
[0224] 在控制回路给出相应的道岔转换命令或者信号机点灯命令之前，要判断控制回路 中的控制开关是否可控，只有在开关可控的情况下才能下达相应的控制命令。安全继电器 的检测电路如图11所示。
[0225] 选用有多组接点的安全继电器，每个继电器留出一组复式接点用于检测它是否可 控，包括检测其吸起状态和落下状态。微处理器A采集安全继电器常开接点的状态，微处理 器B采集常闭接点的状态，如图11所示。继电器在落下状态，此时微处理器A采集到的是高电 平，而微处理器B采集到的是低电平;在微处理器的控制下继电器吸起，则运时微处理器A采 集到低电平，微处理器B采集到高电平，才能表示该继电器处在吸起状态，说明该继电器可 控，否则说明该继电器不可控。
[0226] 除了上述对于各开关的检测采用电压检测的方法，对于点灯电流和道岔动作电流 的检测，也可W通过结合电阻，构成电压检测电路，跟5.9.2小节采用的电流传感器测电流 的方法在功能上构成异构，采用两种不同的方法对电路中的参数进行检测，将其结果进行 计算、对比和判断，相对而言，能够增加系统的可靠性和安全性。采用异构原则进行检测电 路的设计，还能够避免共因失效的问题。
[0227] 1.9.2电流检测电路
[0228] 传统电流检测方法一般采用电流互感器进行，但是电流互感器存在体积大、成本 高、绝缘困难、易受电磁干扰等缺点，存在测量精度不高，反应缓慢等问题。新型的线性电流 传感器能有效克服运些缺点，为系统中的交流或直流电流检测提供经济实惠的精密解决方 案。
[0229] 在对道岔控制电流W及信号机点灯电路电流的检测电路中，可采用线性电流传感 器ACS712。该忍片完全基于霍尔感应的原理设计，由一个精确的低偏移线性霍尔传感器电 路与位于接近1C表面的铜锥组成，电流Ip流过铜锥时，产生一个磁场化，能够被片内的霍尔 1C感应并将其转化为成比例的电压。霍尔元件根据磁场感应出一个线性的电压信号，经过 内部的放大、滤波、斩波与修正电路，输出一个电压信号，该信号从忍片的第屯脚输出，直接 反应出流经电缆电流的大小。图12为线性电流传感器ACS712的功能原理示意图。
[0230] 考虑到直流转徹机额定电流为2.0A，交流转徹机额定电流为2A，信号机点灯额定 电流值在80-120mA之间，因此，针对转徹机电流传感器的电流检测范围在±5A即可，而对于 信号机点灯电流检测，需要对点灯去线和回线上的电流信号进行采样后，对采样信号需要 进行放大。
[0231] 1.9.3防混线检测电路
[0232] 根据传统的继电控制电路的工作原理可知，室外控制线缆发生混线故障有可能会 导致道岔错误动作或者信号机错误点灯，给行车安全带来严重的影响。本发明利用LC振荡 的原理实现防混线检测功能，防混线检测模块从安全继电器的常闭接点后面引入，其原理 示意图如图13所示。
[0233] 该电路工作时，首先闭合开关K4,给电容C1有一个充电的过程，然后断开K4,依次 闭合Κ2、Κ6,则电容C2通过电阻R1向被测绕组T1放电，整个控制过程通过分析R1两端的波形 进行判断。即依次动作开关Κ4、Κ2、Κ6，如果电路正常，没有发生混线故障，则在被测端R1两 端进行波形的检测会发现形成如图14所示的振荡波形，如果波形异常，则判断存在混线故 障等。
[0234] 1.10地面目标控制器软件设计
[0235] 地面目标控制器软件需要配合上述硬件工作，W实现前述的已经过证明安全的道 岔与信号机点灯控制逻辑。
[0236] 地面目标控制器软件可分为如下模块:初始化子模块、调度子模块、电流检测子模 块、道岔驱动子模块和道岔状态采集子模块、信号机控制子模块等。
[0237] 1.10.1初始化子模块
[0238] 初始化子模块主要完成系统时钟设置、微处理器端口配置、定时中断的设定和初 始化、忍片工作模式的设置等任务。所W微处理器的初始化模块具体包括：
[0239] (1)完成忍片的I/O端口配置，将所有的输出端口设置成"OUT"初始化为"无效安全 侧电平"，所有的输入端口设置成"IN"初始化为"0";
[0240] (2)完成忍片内部自检，包括固化程序机器码自检、逻辑运算符自检、数据区RAM读 写自检、A/D转换自检等；
[0241] (3)检测忍片看口狗功能并初始化；
[0242] (4)将忍片的串口进行初始化，并设置为中断接收状态；
[0243] (5)完成忍片内部定时器和CAN控制器的检测及初始化；
[0244] (6)读取、设置和存储该模块所处通信节点地址和转徹机及信号机配置类型信息 等。
[0245] 其中，微处理器的A/D转换模块直接关系到其采集到的模拟量的数据的准确性，即 关系到能否正确判断出道岔所处的位置和点亮的信号灯位W及能否正常进行道岔的转换 和信号机的点灯操作，所W对其转换端口的初始化设置是十分重要的。本发明采用处理器 内嵌ADC，设计硬件电路时当然还需要设计简单的调理电路将模拟信号进行放大或缩小，就 能准确实时地采集到相应的电流或电压信号，并通过微处理器的AD对莫块转化成数字信号， 进而对所采集的状态进行一个合理的判断。
[0246] 1.10.2调度子模块
[0247] 目标控制器软件的调度子模块主要实现对各个子功能软件模块的调用功能，如在 控制模块商店之后，首先调用微处理器的初始化子模块，初始化完成之后调用微处理器的 自检模块，自检完成之后调用通信子模块，通信完成后调用同步信息处理子模块，信息处理 完成后控制相应的控制模块执行对应的命令，即调用相应的转徹机驱动子模块或表示采集 子模块、信号机的点灯子模块等，执行完操作之后，微处理器根据判断的实际情况进行循环 运行程序。同步信息处理模块主要是进行两个微处理器之间信息数据的比较，如果同步信 息一致，则调用对应的子功能软件模块执行相应的动作，如不一致，则报警。调度子模块的 软件流程图如图15所示。
[024引1.10.3信号机控制子模块
[0249] 地面目标控制器接收到信号机点灯命令之后，调用信号机点灯子模块控制相应的 灯位进行点亮，并通过相应的信号机状态检测模块监测信号机的显示状态。信号机控制子 模块软件流程图如图16所示。
[0250] 根据故障-安全的原则，当模块本身故障时，应该输出安全侧，当两个微处理器模 块接收到的点灯命令不一致时，也不能执行点灯命令，即只有当模块非故障且驱采一致时 才会按着点灯命令进行执行。在点灯命令执行完成之后，要进行点灯状态的检测，如第Ξ章 所述，信号机控制模块总共控制8组灯位，采用电流互感器器采集点灯电流，并将采集到的 模拟信号转换成微处理器AD对莫块能够读取的信号，并进行点灯状态的判断。因为在传统继 电点灯电路中，当流过灯丝的电流高于100mA时，灯丝继电器吸起，低于40mA时落下，所W对 应可W做相应的判断。信号机点灯状态检测软件流程图如图17所示。
[0251] 1.10.4道岔驱动子模块
[0252] 其具体的实现过程W四线制道岔控制模块进行定位操作的软件设计为例进行说 明：
[0253] 四线制道岔控制模块定位操作软件流程图如图18所示，模块在接收命令之后，首 先进行自检，判断动作电路是否正常，当道岔定位操作命令启动之后，首先要对道岔的位置 进行读取，如果道岔在定位，则经过一定的延时进入道岔表示检测模块，若道岔不在定位， 则输出定操启动开关信号，时对应的定操控制开关按着一定的顺序闭合吸起，并进行动作 电流的检测，如果检测到正确的电流信号，则开启自闭功能知道转徹机转换到位，并持续检 测动作电流;如果没有采集到动作电流且延长300ms仍没有检测到道岔动作电流，则输出关 断定操开关控制信号，退出本模块转入道岔表示检测模块;如果在转换的过程中，持续有道 岔定操动作电流，并且转换时间超过30s，则立刻输出切断定操驱动电源信号，退出本模块， 转入采集检测模块，并上传挤岔信号并给出报警信息。
[0254] 道岔的反位操作流程与定位操作流程的原理是一致的，区别在于道岔位置状态的 检测有所不同W及驱动电路控制开关不同。转徹机的反位操作流程和定位操作流程共同组 成了道岔的动作子模块软件程序。
[0巧5] 1.10.5道岔表示检测子模块
[0256]道岔表示检测子模块主要是实现道岔位置状态W及外接二极管电路的检测功能， 包括道岔定位状态检测、道岔反位状态检测、道岔表示二极管击穿或反接的检测。道岔表示 回路的信号经过放大或缩小之后，通过光禪隔离接到微处理器自带的ADC模/数转换接口， 对模拟量进行采集，并求出相应的数值大小对信号波形进行判断，进而对道岔的位置信息 进行准确的判断。当目标控制器处于正常工作状态时，且转徹机未处于转动状态，其通过表 示检测子模块检测出道岔位置信息的时间应该不大于250ms。由于在硬件电路设计的时候 将定位表示检测电路和反位表示电路是独立设计的，两个微处理器的道岔位置状态检测也 是独立运行的，只有当两个微处理器的检测结果一致时，才能够认为采集到的道岔位置状 态信息为有效信息，并上传相应的信息。
[0 巧 7]
[0258] 综上所述，本发明实施例通过根据道岔控制电路和信号机点灯电路的工作原理， 利用形式化工具对道岔控制电路和信号机点灯电路的控制逻辑进行形式化建模，可W验证 道岔控制电路和信号机点灯电路的控制逻辑的安全性，为后续的软硬件设计提供更加坚定 的依据和基础。
[0259] 本发明实施例通过在主控制电路选择异构二乘二取二的安全架构，能够保证道岔 或者信号机不会错误操作，满足故障-安全原，避免了故障的积累，提高了系统的安全性，可 W满足极端苛刻安全要求。
[0260] 本发明实施例通过考虑差异性设计原则和器件使用限制，在道岔和信号灯控制回 路开关分别选择固态继电器、接触器或功率继电器、大触点容量安全继电器Ξ种异构控制 器件串联使用而实现，解决了固态继电器和小触点容量安全继电器即使处于关断状态也会 有微弱的漏泄电流的存在的问题。
[0261] 本发明实施例利用IX振荡的原理设计了专用混线检查电路，可W有效地检测出室 外控制线缆的混线故障，保证行车安全。
[0262] 本发明实施例通过设计相应的软件，配合上述硬件工作，实现了经过证明安全的 道岔和信号机点灯控制逻辑。
[0263] 本领域普通技术人员可W理解:附图只是一个实施例的示意图，附图中的模块或 流程并不一定是实施本发明所必须的。
[0264] 通过W上的实施方式的描述可知，本领域的技术人员可W清楚地了解到本发明可 借助软件加必需的通用硬件平台的方式来实现。基于运样的理解，本发明的技术方案本质 上或者说对现有技术做出贡献的部分可软件产品的形式体现出来，该计算机软件产品 可W存储在存储介质中，如R0M/RAM、磁碟、光盘等，包括若干指令用W使得一台计算机设备 (可W是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些 部分所述的方法。
[0265] 本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部 分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或 系统实施例而言，由于其基本相似于方法实施例，所W描述得比较简单，相关之处参见方法 实施例的部分说明即可。W上所描述的装置及系统实施例仅仅是示意性的，其中所述作为 分离部件说明的单元可W是或者也可W不是物理上分开的，作为单元显示的部件可W是或 者也可W不是物理单元，即可W位于一个地方，或者也可W分布到多个网络单元上。可W根 据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术 人员在不付出创造性劳动的情况下，即可W理解并实施。
[0266] W上所述，仅为本发明较佳的【具体实施方式】，但本发明的保护范围并不局限于此， 任何熟悉本技术领域的技术人员在本发明掲露的技术范围内，可轻易想到的变化或替换， 都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该W权利要求的保护范围 为准。
【主权项】
1. 一种列车运行控制系统中的地面目标控制器，其特征在于，包括双套热备的地面目 标控制单元，每套所述的地面目标控制单元又包括:主控制电路、信号灯控制回路、道岔控 制回路、信号灯状态监测电路和道岔状态监测电路； 所述的主控制电路，用于连接所述信号灯控制回路、道岔控制回路、信号灯状态监测电 路和道岔状态监测电路，包括异构的Μ⑶电路和FPGA电路，所述MCU电路和FPGA电路组成二 取二架构，分别根据所述信号灯状态监测电路传输过来的信号灯状态信息、所述道岔状态 监测电路传输过来的道岔状态信息，以及外部输入的列控目标控制命令，执行道岔控制电 路和信号机点灯电路的控制逻辑，而发出信号灯控制命令和道岔控制命令;当所述MCU电路 和FPGA电路发出一致的信号灯控制命令和道岔控制命令后，则将经过二取二表决的最终信 号灯控制命令传输给信号灯控制回路，将经过二取二表决的最终道岔控制命令传输给道岔 控制回路； 所述的双套热备主控制电路通过通信总线交互双系热备控制逻辑所需要的数据信息， 同时通过通信总线获得外部输入的列控目标控制命令； 信号灯控制回路，用于根据所述主控制电路传输过来的信号灯控制命令对列车轨道的 信号灯进行控制操作； 道岔控制回路，用于根据所述主控制电路传输过来的道岔控制命令对列车轨道的道岔 进行控制操作； 信号灯状态监测电路，用于监测信号灯状态信息，将信号灯状态信息传输给主控制电 路； 道岔状态监测电路，用于监测道岔状态信息，将道岔状态信息传输给主控制电路。2. 根据权利要求1所述的列车运行控制系统中的地面目标控制器，其特征在于，根据道 岔控制电路和信号机点灯电路的工作原理，分析道岔控制电路和信号机点灯电路的控制逻 辑，并提取出道岔控制电路和信号机点灯电路的控制逻辑伪代码，利用形式化工具建立所 述控制逻辑伪代码的模型，根据所述模型来验证所述道岔控制电路和信号机点灯电路的控 制逻辑的安全性。3. 根据权利要求2所述的列车运行控制系统中的地面目标控制器，其特征在于，基于道 岔控制电路和信号机点灯电路的控制逻辑伪代码的模型来设计所述MCU电路和FPGA电路的 软件控制程序。4. 根据权利要求1至3任一项所述的列车运行控制系统中的地面目标控制器，其特征在 于，所述信号灯控制回路的开关电路、所述道岔控制回路的开关电路都采用固态继电器、接 触器或功率继电器、安全继电器三种异构控制器件串联实现，所述固态继电器用来实现接 触器或功率继电器、安全继电器的空载切换。5. 根据权利要求4所述的列车运行控制系统中的地面目标控制器，其特征在于，根据负 载类型选择直流或交流固态继电器，信号机点灯电路和五线制交流转辙机动作电路选择 SCR型交流固态继电器，四线制直流转辙机时则选用直流型固态继电器;根据负载类型选择 接触器或功率继电器，交流负载选交流接触器或功率继电器或功率交流继电器，直流负载 选择直流接触器或功率继电器或功率直流继电器;均选用大触点容量安全继电器作为切换 元件，用来实现道岔的定/反位转换或信号机所控8个灯位的分组控制和不同灯位的切换。6. 根据权利要求5所述的列车运行控制系统中的地面目标控制器，其特征在于，所述信 号灯控制回路中的每个信号灯位的控制主回路均采用三个开关，去线上采用固态继电器和 安全继电器两种开关进行控制，回线上采用接触器或功率继电器式开关，使得每个信号灯 位的控制都构成一个双断的结构； 当需要进行信号灯位的点亮操作时，先控制安全继电器、接触器或功率继电器进行接 点切换，等相应接点闭合到位之后，再控制固态继电器开关使所述信号灯位处于导通状态， 接通点灯电源，点亮所述信号灯位。7. 根据权利要求6所述的列车运行控制系统中的地面目标控制器，其特征在于，所述的 主控制电路通过隔离电路向所述道岔控制回路发送道岔控制命令，所述道岔控制回路的开 关电路中的电源开关采用固态继电器、接触器或功率继电器来实现，所述道岔控制回路的 开关电路中的换相开关采用安全继电器来实现，所述电源开关和所述换相开关之间相互配 合来完成电源的输出。8. 根据权利要求6所述的列车运行控制系统中的地面目标控制器，其特征在于，所述的 地面目标控制器还包括检测电路，该检测电路包括防混线检测电路； 所述的防混线检测电路，从所述安全继电器的常闭接点引入，所述防混线检测电路基 于LC振荡原理，首先电源向所述防混线检测电路的电容充电，然后所述电容向道岔电机和 信号机变压器绕组进行放电，当所述电容两端的波形为振荡波形，则判断地面目标控制器 与道岔或信号机之间的电缆不存在混线故障；当所述电容两端的波形不为振荡波形，则判 断所述地面目标控制器与道岔或信号机之间的电缆存在混线故障，并将所述地面目标控制 器与道岔或信号机之间的电缆存在的混线故障检测结果发送主控制电路。9. 根据权利要求8所述的列车运行控制系统中的地面目标控制器，其特征在于，所述的 检测电路还包括； 电源开关状态电压检测电路，用于对所述信号灯控制回路和道岔控制回路中的构成电 源开关的固态继电器与接触器或功率继电器进行电压监测，将检测结果发送主控制电路； 安全继电器状态检测电路，用于对道岔控制电流以及信号机点灯电路的安全继电器的 复式接点进行检测，以判断安全继电器是否可控，并将检测结果发送主控制电路； 电流检测电路，用于对道岔控制电流以及信号机点灯电路电流进行检测，将检测结果 发送主控制电路。
【文档编号】G05B9/03GK105824273SQ201610147926
【公开日】2016年8月3日
【申请日】2016年3月15日
【发明人】马连川, 唐涛, 李开成, 曹源, 胡瑞
【申请人】北京交通大学