巴西圣保罗13号线项目车载ATC设备冗余设计方案

朱云生

（北京全路通信信号研究设计院集团有限公司，北京 100070）

1 概述

巴西圣保罗13号线是圣保罗地铁公司建设与运营的首条线路，是南美洲的第一条机场线，连接着圣保罗市中心和瓜鲁柳斯机场，全长12.2 km，沿线设有3个车站，前期提供8列（64辆）城轨车辆，车载信号系统及电台系统由中国铁路通信信号股份有限公司提供，为车辆安全驾驶保驾护航，为车辆安全调度搭建桥梁。

巴西圣保罗信号系统采用通用安全信号应用（GSSAP）平台，这是一套基于二乘二取二架构的安全冗余系统，是基于轨道电路、无线通信、TAG标签的台阶式列车自动运行控制系统。车载信号系统通过速度传感器、加速度计获取列车的速度及加速度，从而计算出列车的速度位置信息，通过车载TAG读取器获取地面站台TAG定位信息，对列车位置进行建立及校正，通过轨道电路读取器（Track Circuit Reader，TCR）获取地面轨道电路传输的限速信息。车载信号系统根据测速测距单元计算的速度位置信息、地面发送的限速信息进行列车速度防护，根据司机操作，对列车运行进行监控及防护，并将列车相关运行信息通过人机接口设备（DMI）显示给司机，提示司机安全驾驶列车。

2 车载系统介绍

巴西圣保罗13号线车载信号系统设备主要包括车载列车自动控制系统（ATC）、车载列车自动驾驶（Automatic train Operation，ATO）、车载DMI、车载TCR、车载TAG、车载无线访问节点（Access Point，AP）、速度传感器、加速度计等设备以及车辆控制操作器件等，其中车载ATC车载控制单元（On-Board Controller Unit，OBCU)板卡功能如表1所示。

表1 车载ATC各板卡功能Tab.1 Functions of onboard ATC OBCU boards

在巴西圣保罗13号线项目中，车辆编组为8编，车载设备分别在首尾两端各安装1套，硬件上互为独立。由于既有条件限制，只具备速度传感器和加速度计的首尾冗余功能，且采用的是温备切换的方式，即当速度传感器或加速度计发生故障，需要司机在列车停稳后，手动切换冗余开关进行切换。

现阶段车载ATC主控设备不具备冗余功能，车载ATC设备非冗余结构如图1所示。

图1 车载ATC非冗余结构Fig.1 Onboard ATC non redundant structure diagram

3 冗余方案设计

基于既有车载ATC硬件和软件，在不修改既有软件核心控制功能、保证系统安全性的前提下，通过增加硬件板卡、修改接口电路以及适配修改车载ATC、TCR软件，以实现车载ATC冗余功能。

车载ATC冗余的板卡包括：主控板、TCR板、网卡板、输入板、输出板、电源板及通信板。

车载ATC冗余后采用热备冗余的方式监控列车运行，即当车载主控板、输入板、输出板、网卡板、电源板、通信板、车载TCR等任意板卡发生故障时，车载ATC可以不停车自动切换至备系运行，保障系统具有更高的可用性。

当主控板、输入板、输出板、TCR、网卡板、通信板发生故障时，将故障信息传至车辆列车管理系统（Train Control and Management System，TCMS）屏幕显示并记录，在ATC记录数据中也会记录相应板卡故障状态。列车回库后，维护人员需根据记录数据对故障板卡进行及时维护。

速度传感器和加速度计保持既有首尾冗余功能，不做变更。

车载ATC设备冗余结构如图2所示。

图2 车载ATC冗余结构Fig.2 Onboard ATC redundant structure diagram

3.1 热备冗余方案切换原理

车载ATC具备热备冗余功能，下面介绍双系热备基本原理。

3.1.1 主控板热备

车载ATC具备两个主控单元，即主控板-A和主控板-B。当主控板-A和主控板-B上电后，双系主控板协商确定谁是主系，谁是备系。主系和备系同时工作，同时接收来自输入板、通信板、网卡板、TCR设备等数据，并单独处理。主系、备系在工作时的工作状态保持一致，主系、备系同时在比较对系发送过来的关键状态数据，如果双系状态不一致，主系报错，不影响ATC控车，备系宕机。车载ATC在控制输出（输出车辆IO，与外围设备通信等）时，通过主系输出。

当主系发生故障时，主系告知备系自己故障，备系立刻升为主系继续控制列车运行，实现列车控制的无缝不停车切换，处理逻辑见图3所示。

图3 热备冗余工作流程Fig.3 Hot standby redundancy workflow chart

3.1.2 板卡热备

车载ATC的输入板、输出板、通信板、网卡板、TCR板的热备原理一致，下面以输入板为例进行介绍。

当车载ATC上电后，主控板同时接收双系输入板（左输入板和右输入板）的数据，主控板同时监控双系输入板（左输入板和右输入板）状态，如果其中一系输入板（左输入板或右输入板）故障，主控板则直接使用工作正常的输入板的数据，处理逻辑如图4所示。

图4 热备冗余板卡工作流程Fig.4 Hot standby redundant board workflow chart

3.1.3 热备显示与记录

当车载ATC进入冗余状态后，通过DMI提示司机进入冗余状态（显示“RED”），在DMI的右下角显示框内提示司机车载ATC进入冗余状态，如图5所示。

图5 ATC冗余状态显示Fig.5 ATC redundancy status display

当车载ATC进入冗余状态后，车载ATC应通过车载记录单元记录相应板卡故障状态。

3.2 硬件变更

在既有车载硬件基础上，通过增加硬件板卡和修改接口电路实现车载ATC冗余功能，硬件变更如表2所示。

表2 设备冗余变更表Tab.2 Equipment redundancy changes

3.3 软件变更

在既有车载软件基础上，在不修改既有软件核心控制功能、保证系统安全性的前提下，实现车载ATC冗余功能，主要涉及ATC主控板、DMI及TCR的软件修改。

4 结论

在既有系统结构基础上，通过增加硬件板卡、修改接口电路及适配修改车载ATC、TCR、DMI软件，可以实现车载ATC热备冗余，且相对于首尾冗余的车载ATC系统，可以提供更高的设备冗余性及系统可用性。

车载ATC设备采用热备冗余方式，主系设备故障后，可以不停车自动切换到备系运行，提高设备冗余性及系统可用性。