一种故障排除与安全态保持的轨道交通装置及方法

技术领域

本发明涉及轨道交通信号设备领域，具体涉及一种故障排除与安全态保持的轨道交通装置。

背景技术

安全轨道交通信号设备，所采用的安全架构，多为双通道加故障导向安全的比较器。系统在线运行期间，如果单个通道发生故障，依据相关安全标准要求：系统发生第一个故障后，下一个故障不应导致退出安全态，系统一般需要通过硬熔丝，进入永久性切断状态，系统需要返厂维护。

但是部分故障并非永久性故障，比如硬件自身的软错误，重新上电后，该类异常就会消失。该类可恢复的故障，发生概率是硬件永久性失效的50～500倍；另一类故障原因为外部干扰，部分外部干扰只是短暂使得系统丧失了功能，但是系统本身并未发生故障失效，因此干扰过后，系统仍然正常安全工作。

如果因为非永久性故障，使得系统进入永久性切断，并返厂维护。虽然保证了安全性，但是系统丧失了再次投入运行的机会，从而使得系统可用性会受到较大影响，尤其对于车载设备，将会极大影响乘客出行与行车效率。

发明内容

本发明的目的是解决目前的轨道交通装置在发生非永久性故障而进入不可恢复安全态的问题。

为实现上述目的，本发明提出了一种故障排除与安全态保持的轨道交通装置，包括采集单元、处理单元和驱动单元；所述采集单元采集外部对象状态，并将采集数据发送给处理单元；所述处理单元接收采集单元的采集数据和外部安全通信数据并进行处理，并发送驱动控制命令至所述驱动单元；所述驱动单元根据该驱动控制命令驱动外部驱动对象。

其中，所述采集单元包括脉冲通道、第一采集通道、第二采集通道和第一通信单元；所述脉冲通道向采集对象发送采集脉冲，经过采集对象后进入两个采集通道；两个采集通道均接收所述采集脉冲并对其进行滤波处理，接受其中符合采集脉冲特性的脉冲作为采集数据并记录；当处理单元需要采集数据时，两个采集通道将所述采集数据发给第一通信单元，该第一通信单元直接将采集数据发送给处理单元。

其中，所述采集单元还包括第一通信单元供电模块，其为第一通信单元供电；所述第一采集通道、第二采集通道和脉冲通道控制对第一通信单元的安全供电。

其中，所述第一采集通道、第二采集通道和脉冲通道具有自检和互检功能，在上电时、以及运行期间进行完整自检并将结果发给其他通道；

上电时，当各通道均无异常，分别向第一通信单元供电模块提供驱动脉冲；运行期间，当检测到任一通道异常时，各个通道对第一通信单元供电模块的驱动脉冲被切断。

其中，所述处理单元包括第一处理通道、第二处理通道、调度单元以及第二通信单元；

所述第一处理通道和第二处理通道同时接受采集单元的采集数据以及外部安全通信数据，并同时运行平台处理程序和其他应用程序对该些数据进行处理，并生成驱动控制命令和安全数据发送给第二通信单元；所述调度单元根据任务量对第一处理通道和第二处理通道的任务进行协调和调度；所述第二通信单元转发所述两个处理通道发送的数据至驱动单元和外部安全通信对象。

其中，所述处理单元还包括第二通信单元供电模块，其为第二通信单元提供电源；

所述第一处理通道、第二处理通道对第二通信单元供电模块进行供电电源控制，所述调度单元对第二通信单元供电模块提供供电脉冲；所述第二通信单元供电模块在两个处理通道的供电电源控制正常并收到第二通信单元供电模块的供电脉冲时对第二通信单元供电。

其中，所述第一处理通道、第二处理通道和调度单元具有自检和互检功能，所述第一处理通道和第二处理通道在上电时及运行期间，对自身功能进行完整自检，并将自检结果交给其他处理通道以及调度单元；所述调度单元在上电及运行期间，对自身的互检功能及发送供电脉冲功能进行完整自检，并将自检结果交给两个处理通道；

上电时，当两个处理通道和调度单元均无异常时，对第二通信单元供电模块提供供电电源和供电脉冲；所述第二通信单元供电模块接收到该供电脉冲且有供电电源时，对第二通信单元提供电源；在正常运行期间，当两个处理通道或调度单元出现异常时，两个处理通道切断对第二通信单元供电模块的供电电源，调度单元切断供电脉冲，从而第二通信单元供电模块切断对第二通信单元的供电。

其中，所述第二通信单元在接收第一处理通道和第二处理通道的数据后，对两个处理通道的数据进行融合，当两个处理通道的数据一致且该第二通信单元供电正常时，第二通信单元对外发送符合安全协议的有效数据。

其中，所述驱动单元包括第一脉冲驱动通道、第二脉冲驱动通道、脉冲源通道以及动态驱动电路；第一脉冲驱动通道和第二脉冲驱动通道分别从处理单元的第二通信单元获得驱动控制命令并解码，并向所述脉冲源通道请求发送源脉冲；所述脉冲源通道在一定时间内同时接受到两个脉冲驱动通道的源脉冲请求且各通道正常的时候，分别向两个脉冲驱动通道发送驱动源脉冲。

其中，所述第一脉冲驱动通道和第二脉冲驱动通道解码得到“驱动”命令且收到所述脉冲源通道发送的驱动源脉冲后，对动态驱动电路发送最终驱动脉冲；所述动态驱动电路同时获取到两个脉冲驱动通道的最终驱动脉冲时，驱动外部的驱动对象。

其中，在上电时和运行期间，两个脉冲驱动通道对自身功能进行完整自检，并将自检结果交给其他脉冲驱动通道以及脉冲源通道；在上电时和运行期间，所述脉冲源通道对自身功能进行完整自检，并将自检结果交给两个脉冲驱动通道。

其中，所述驱动单元还包括驱动电源控制模块，其为动态驱动电路提供电源；当第一脉冲驱动通道、第二脉冲驱动通道和脉冲源通道在自检和互检中均未发现问题时，则均向驱动电源控制模块发送电源脉冲；当驱动电源控制模块同时获得两个脉冲驱动通道和脉冲源通道的电源脉冲时，该驱动电源控制模块对所述动态驱动电路提供驱动电源。

其中，在运行期间，若两个脉冲驱动通道和脉冲源通道的自检或互检发现问题，则停止发送电源脉冲，驱动电源控制模块停止向所述动态驱动电路供给驱动电源。

本发明还公开了一种故障排除与安全态保持的方法，采用上述的轨道交通装置实现，包括以下步骤：

S1、上电时，采集单元、处理单元和驱动单元进行功能自检；

S2、采集单元对采集对象进行采集，处理后发送给处理单元；

S3、处理单元对采集数据进行处理，并生成驱动命令发送给驱动单元；

S4、驱动单元根据第二通信单元发送来的驱动命令驱动外部的驱动对象。

其中，所述步骤S1进一步包括以下步骤：

S11、采集单元的第一采集通道、第二采集通道和脉冲通道进行功能自检和互检，并对第一通信单元供电；

S12、处理单元的第一处理通道、第二处理通道和调度单元进行功能自检和互检，并对第二通信单元供电；

S13、驱动单元的第一脉冲驱动通道、第二脉冲驱动通道和脉冲源通道进行功能自检和互检，并给动态驱动电路提供驱动电源。

其中，所述步骤S2进一步的包括以下步骤：

S21、采集单元的脉冲通道向采集对象发送采集脉冲；

S22、采集脉冲经过采集对象后进入第一采集通道和第二采集通道；第一采集通道和第二采集通道对进入的采集脉冲滤波，接受其中符合采集脉冲特性的脉冲作为采集数据并记录；

S23、第一采集通道和第二采集通道将采集数据发给第一通信单元，该第一通信单元直接将采集数据发送给处理单元。

其中，所述步骤S3进一步包括以下步骤：

S31、所述第一处理通道和第二处理通道同时接受第一通信单元发送的采集数据以及外部安全通信数据；

S32、所述第一处理通道和第二处理通道同时运行平台处理程序和其他应用程序对采集数据和外部安全通信数据进行处理，并生成驱动控制命令和安全数据，通过安全协议打包后进行裁剪，最后发送给第二通信单元；

S33、第二通信单元处理通信链路层协议并转发所述两个处理通道发送的数据至驱动单元和外部安全通信对象。

其中，所述步骤S4进一步包括以下步骤：

S41、第一脉冲驱动通道和第二脉冲驱动通道分别从处理单元的第二通信单元获得驱动控制命令并向所述脉冲源通道发送源脉冲请求；

S42、所述脉冲源通道在一定时间内同时接受到两个脉冲驱动通道的源脉冲请求时，分别向两个脉冲驱动通道发送驱动源脉冲；

S43、当两个所述脉冲驱动通道通过解码得到“驱动”命令且均收到了所述脉冲源通道发送的驱动源脉冲后，对动态驱动电路发送最终驱动脉冲；

S44、动态驱动电路同时获取到两个脉冲驱动通道的最终驱动脉冲后，驱动外部的驱动对象。

现有技术中安全系统通常为二取二产品，被外部干扰或者发生软错误后，系统参照相关安全标准，系统为保证安全，只能维持在安全态，从而丧失了可用性；而本发明的三取二系统，结构相对复杂，且在用户需要完整双套可靠冗余时，系统复杂度和成本进一步上升。

1)本方案在系统架构上，保留了系统整体双通道的安全架构，在局部功能实现三取三架构；

2)通过本方案的实施，运行系统在发生单个安全相关故障时候，还可以安全可控地进行重启，从而增强了系统的可用性。

3)系统在实现局部三取三架构方面，尽可能降低新增安全部件，而是复用产品既有组件，不增加产品硬件成本，不降低系统固有可用性。

4)输出切断方式差异化设计，采集单元切断方式，包括切断数据通路与采集脉冲源；处理单元切断方式，包括破坏数据传输协议与物理通道；驱动单元切断方式，包括切断驱动电源与驱动脉冲。

附图说明

图1为本发明的结构示意图；

图2为本发明的采集单元的结构与各部分功能示意图；

图3为本发明的处理单元的结构与各部分功能示意图；

图4为本发明的驱动单元的结构与各部分功能示意图。

具体实施方式

以下将结合本发明实施例中的图1～图4，对本发明实施例中的技术方案、构造特征、所达成目的及功效予以详细说明。

需要说明的是，附图采用非常简化的形式且均使用非精准的比例，仅用以方便、明晰地辅助说明本发明实施方式的目的，并非用以限定本发明实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容能涵盖的范围内。

需要说明的是，在本发明中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括明确列出的要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。

本实施例提出了一种故障排除与安全态保持的轨道交通装置，防止系统发生非永久性故障时进入不可恢复安全态，如图1所示，该装置包括采集单元、处理单元和驱动单元；所述采集单元采集外部对象状态，并将采集的数据发送给处理单元；所述处理单元对采集单元的采集数据和外部安全通信数据(由外部安全通信对象产生)进行处理后，发送驱动控制命令至所述驱动单元；所述驱动单元根据该驱动控制命令驱动外部驱动对象。

如图2所示，所述采集单元包括脉冲通道、第一采集通道、第二采集通道和第一通信单元；在外部的采集对象闭合时，所述脉冲通道产生采集脉冲并向外部的采集对象发送，经过外部的采集对象后分别进入两个采集通道；两个采集通道同时接收所述经过采集对象的采集脉冲，并对该采集脉冲进行滤波处理后，接受其中符合采集脉冲特性的脉冲作为采集数据并记录；当处理单元需要采集数据时，两个采集通道将各自的采集数据发给第一通信单元，该第一通信单元直接将全部采集数据发送给处理单元。

两个采集通道的采集数据均发送给处理单元，因此在功能上构成二取二加安全比较器的架构，安全比较器由处理单元担任。

所述采集单元还包括第一通信单元供电模块，其为第一通信单元供电。

所述脉冲通道、第一采集通道、第二采集通道和第一通信单元供电模块构成三取三加安全表决器的架构，所述第一通信单元供电模块为安全表决器，该架构具体通过以下通道功能实现：

两个采集通道的功能相同，均具有自检和互检功能；每个采集通道在上电时、以及运行期间，对自身的采集功能、互检功能以及切断功能进行完整自检，并将自检结果发送给另外的采集通道以及脉冲通道。所述互检功能为第一采集通道、第二采集通道、脉冲通道之间的互相检查功能。

所述脉冲通道也具有自检和互检功能，在上电时、以及运行期间，该脉冲通道对自身的互检功能以及切断功能进行完整自检，并将自检结果发送给两个采集通道。

所述第一采集通道、第二采集通道和脉冲通道还控制对第一通信单元的安全供电：在上电初始化过程中，若各个通道均通过自检，且判断其他通道均无异常时，则分别对第一通信单元供电模块提供驱动脉冲，从而该第一通信单元供电模块对第一通信单元供电；在正常运行期间，各个通道进行自检和互检，当检测到任一通道异常时，各个通道对第一通信单元供电模块的驱动脉冲被切断，从而第一通信单元供电模块对第一通信单元的供电被切断。

如图3所示，所述处理单元包括第一处理通道、第二处理通道、调度单元、第二通信单元以及第二通信单元供电模块，所述第二通信单元供电模块为第二通信单元提供电源；所述第一处理通道和第二处理通道同时接受采集单元的采集数据以及外部安全通信数据，并同时运行平台处理程序和其他应用程序对该些数据进行处理，从而生成驱动控制命令和安全数据，进行安全协议打包后对打包的数据进行裁剪；所述第一处理通道和第二处理通道将打包裁剪后的数据发送给第二通信单元，该第二通信单元处理通信链路层协议并转发所述两个处理通道发送的打包裁剪数据至驱动单元和外部安全通信对象，所述两个处理通道发送的打包裁剪数据包括通过安全协议打包的驱动控制命令和安全数据。所述调度单元根据任务量对第一处理通道和第二处理通道的任务进行协调和调度。

所述第一处理通道、第二处理通道和调度单元还控制第二通信单元供电模块对第二通信单元的供电，具体的：所述第一处理通道、第二处理通道对第二通信单元供电模块进行供电电源控制，所述调度单元对第二通信单元供电模块提供供电脉冲；所述第二通信单元供电模块在两个处理通道的供电电源控制正常并收到第二通信单元供电模块的供电脉冲时对第二通信单元供电。

所述第一处理通道和第二处理通道对输入的数据并行处理后，在第二通信单元处进行安全比较，从而构成二取二加安全比较器的架构。在故障处理和输出控制方面，所述第一处理通道、第二处理通道、调度单元和第二通信单元供电模块还构成三取三加安全表决器的架构，所述第二通信单元供电模块为安全表决器。

为实现上述架构功能，各处理通道及调度单元、第二通信单元具有以下功能：

两个所述处理通道均具有自检和互检功能：每个处理通道在上电时及运行期间，对本身通道的输入、计算处理、输出、供电电源控制、互检等功能进行完整自检，并将自检结果交给其他处理通道以及调度单元；

所述调度单元在上电及运行期间，对自身的互检功能及发送供电脉冲功能进行完整自检，并将自检结果交给两个处理通道；

在上电初始化时，当两个处理通道和调度单元通过自检及互检功能判断两个处理通道和调度单元均无异常时，对第二通信单元供电模块提供供电电源和供电脉冲；所述第二通信单元供电模块接收到该供电脉冲且有供电电源时，对第二通信单元提供电源；在正常运行期间，当两个处理通道和调度单元通过自检及互检功能检测到两个处理通道或调度单元出现异常时，两个处理通道切断对第二通信单元供电模块的供电电源，调度单元切断供电脉冲，从而第二通信单元供电模块切断对第二通信单元的供电。

所述第二通信单元在接收两个处理通道的数据后，对两个处理通道的数据进行融合，当两个处理通道的数据一致且该第二通信单元供电正常时，第二通信单元对外发送符合安全协议的有效数据。

如图4所示，所述驱动单元包括第一脉冲驱动通道、第二脉冲驱动通道、脉冲源通道、驱动电源控制模块以及动态驱动电路；两个脉冲驱动通道分别独立从处理单元的第二通信单元获得打包裁剪的数据，解码后获得驱动控制命令，并向所述脉冲源通道请求发送源脉冲；所述脉冲源通道在一定时间内同时接受到两个脉冲驱动通道的源脉冲请求且各通道正常的时候，该脉冲源通道分别向两个脉冲驱动通道发送驱动源脉冲。

当两个所述脉冲驱动通道对处理单元的驱动控制命令解码得到的命令为“驱动”且收到了所述脉冲源通道发送的驱动源脉冲后，两个所述脉冲驱动通道均向动态驱动电路发送最终驱动脉冲，当动态驱动电路同时获取到两个脉冲驱动通道的最终驱动脉冲时，驱动外部的驱动对象。

具体的，所述两个脉冲驱动通道、脉冲源通道还具有驱动电源控制功能，当该些通道在自检和互检中均未发现问题时，则均向驱动电源控制模块发送电源脉冲；当驱动电源控制模块同时获得两个脉冲驱动通道和脉冲源通道的电源脉冲时，该驱动电源控制模块对所述动态驱动电路提供电源，从而使驱动电源控制模块收到最终驱动脉冲时，动态驱动电路能够驱动外部的驱动对象。

在上电时和运行期间，两个脉冲驱动通道、脉冲源通道及驱动电源控制模块执行以下操作：

在上电时和运行期间，两个脉冲驱动通道对解码驱动控制命令、发送最终驱动脉冲、发送源脉冲请求、互检功能以及驱动电源控制功能进行完整自检，并将自检结果交给其他脉冲驱动通道以及脉冲源通道；在上电时和运行期间，所述脉冲源通道对互检功能及驱动电源控制功能进行完整自检，并将自检结果交给两个脉冲驱动通道。

在上电初始化时，若两个脉冲驱动通道和脉冲源通道的自检和互检均未发现问题，则均向驱动电源控制模块发送电源脉冲，使驱动电源控制模块给动态驱动电路提供驱动电源，运行期间，当动态驱动电路同时获取到两个脉冲驱动通道的最终驱动脉冲时，则驱动外部的驱动对象；在运行期间，若两个脉冲驱动通道和脉冲源通道的自检或互检发现问题，则停止发送电源脉冲，驱动电源控制模块停止向所述动态驱动电路供给驱动电源；若动态驱动电路没有同时获取两个脉冲驱动通道的最终驱动脉冲，则不驱动外部的驱动对象。

采用上述轨道交通装置应用于采集对象和驱动对象中的故障排除与安全态保持的方法，在上电及运行期间中，包括以下步骤：

S1、上电时，采集单元、处理单元和驱动单元进行功能自检和互检，具体包括以下步骤：

S11、采集单元的第一采集通道、第二采集通道和脉冲通道进行功能自检和互检，并对第一通信单元供电；

采集单元的第一采集通道和第二采集通道对自身的采集功能、互检功能以及切断功能进行完整自检，并将自检结果发送给另外的采集通道以及脉冲通道；所述脉冲通道对自身的互检功能以及切断功能进行完整自检，并将自检结果发送给两个采集通道；

若第一采集通道、第二采集通道和脉冲通道均通过自检，且通过互检判断其他通道均无异常时，则每个通道分别对第一通信单元供电模块提供驱动脉冲，使该第一通信单元供电模块对第一通信单元供电。

S12、处理单元的第一处理通道、第二处理通道和调度单元进行功能自检和互检，并对第二通信单元供电；

处理单元的第一处理通道和第二处理通道对自身通道的输入、计算处理、输出、供电电源控制、互检等功能进行完整自检，并将自检结果交给其他处理通道以及调度单元；所述调度单元对自身的互检功能及发送供电脉冲功能进行完整自检，并将自检结果交给两个处理通道；

当第一处理通道、第二处理通道和调度单元通过自检和互检功能判断两个处理通道和调度单元均无异常时，第一处理通道和第二处理通道对第二通信单元供电模块提供供电电源，调度单元对第二通信单元供电模块提供供电脉冲；所述第二通信单元供电模块接收到该供电脉冲且有供电电源时，对第二通信单元提供电源。

S13、驱动单元的第一脉冲驱动通道、第二脉冲驱动通道和脉冲源通道进行功能自检和互检，并给动态驱动电路提供驱动电源；

两个脉冲驱动通道对解码驱动控制命令、发送最终驱动脉冲、发送源脉冲请求、互检功能以及驱动电源控制功能进行完整自检，并将自检结果交给其他脉冲驱动通道以及脉冲源通道；所述脉冲源通道对互检功能及驱动电源控制功能进行完整自检，并将自检结果交给两个驱动通道；

当两个脉冲驱动通道和脉冲源通道的自检和互检均未发现问题，则均向驱动电源控制模块发送电源脉冲，使驱动电源控制模块给动态驱动电路提供驱动电源。

S2、采集单元对采集对象进行采集，处理后发送给处理单元，具体包括以下步骤：

S21、采集单元的脉冲通道向采集对象发送采集脉冲；

S22、采集脉冲经过采集对象后分别进入第一采集通道和第二采集通道；第一采集通道和第二采集通道对进入的采集脉冲滤波，接受其中符合采集脉冲特性的脉冲作为采集数据并记录；

S23、第一采集通道和第二采集通道将采集数据发给第一通信单元，该第一通信单元直接将采集数据发送给处理单元。

S3、处理单元对采集数据进行处理，并生成驱动命令发送给驱动单元，具体包括以下步骤：

S31、所述第一处理通道和第二处理通道同时接受第一通信单元发送的采集数据以及外部安全通信数据；

S32、所述第一处理通道和第二处理通道同时运行平台处理程序和其他应用程序对采集数据和外部安全通信数据进行处理，并生成驱动控制命令和安全数据，通过安全协议打包后进行裁剪，最后发送给第二通信单元；

S33、第二通信单元处理通信链路层协议并转发所述两个处理通道发送的数据至驱动单元和外部安全通信对象；

其中，所述调度单元根据任务量对第一处理通道和第二处理通道的任务进行协调和调度。

S4、驱动单元根据第二通信单元发送来的驱动命令驱动外部的驱动对象，具体包括以下步骤：

S41、第一脉冲驱动通道和第二脉冲驱动通道分别从处理单元的第二通信单元获得打包裁剪的数据，解码后获得驱动控制命令，并向所述脉冲源通道发送源脉冲请求；

S42、所述脉冲源通道在一定时间内同时接受到两个脉冲驱动通道的源脉冲请求时，分别向两个脉冲驱动通道发送驱动源脉冲；

S43、当两个所述脉冲驱动通道通过解码得到“驱动”命令且均收到了所述脉冲源通道发送的驱动源脉冲后，对动态驱动电路发送最终驱动脉冲；

S44、动态驱动电路同时获取到两个脉冲驱动通道的最终驱动脉冲后，驱动外部的驱动对象。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。