一种站台门控制系统及控制方法

技术领域

本发明的实施例一般涉及站台门控制领域，并且更具体地，涉及一种站台门控制系统及控制方法。

背景技术

随着城市轨道交通行业的发展，越来越多的运营线路，越来越大的客流量，为保证城市轨道交通系统安全平稳运行，保障乘客的生命财产安全，90％以上的轨道交通站台都安装了站台门系统。目前站台门系统主要由站台门控制器PSC(Platform ScreenController)、站台端头控制盘PSL(Platform Screen Local control panel)、就地控制盘IBP(Integrated Backup Panel)、门机控制器DCU(Door Control Unit)等控制设备构成，其中PSC是整个站台门系统控制核心，与信号系统之间存在接口关系，接收来自信号系统开关站台门的命令来控制站台门开启和关闭，并向信号系统发送站台门开关状态。在与信号系统接口故障时，使用PSL、IBP等设备实现手动开关站台门。

目前国内外在运营的地铁线路的站台门控制系统均没有纳入为公共安全设备，更没有对系统进行严格规范的安全认证，也没有定义系统的安全完整性等级。现有PSC系统产品没有冗余架构设计，当出现局部故障时会影响整个系统的运作；故障发生影响到站台门正常联动后才会被发现，不具备实时汇报故障状态的功能，且故障点不易排查，影响运营效率；PSC系统与信号系统之间的接口安全等级较低，不具备安全通信协议，且属于外部接口不受信号系统监控；列车控制站台门开关的数据流冗长，需要通过车载控制器经由联锁系统、继电接口、PSC系统，最后到达DCU，过程繁杂，不仅增加了故障点，而且命令和状态延时较长，对可靠性和运营效率都有影响。

近年来站台门相关的事故时有发生，涉及到影响旅客安全的事故也有多起，国内各地地铁运营方对站台门控制器产品RAMS(Reliability Applicability MaintanabilitySafety)的要求不断提升，需要进一步提升站台门控制器的安全性。

发明内容

根据本发明的实施例，提供了一种站台门控制系统及控制方法。

在本发明的第一方面，提供了一种站台门控制系统，包括：

包括通信层，主控层和执行层；所述通信层与主控层之间通过Powerlink总线进行通信；所述主控层与执行层之间通过CAN总线进行通信；

所述通信层包括两个相同的通信记录板，用于在主控层与外网之间建立通信，并存储通信数据；

所述主控层包括两个相同的主机板，所述主机板，用于在上电状态下，判断对系主机板的状态位是否为主状态，如果是，则本系主机板进入跟随状态；否则，将本系主机板为主系主机板，与备系主机板执行二乘二取二逻辑，输出数据；所述主机板，还用于在本系主机板进入跟随状态后，与主系主机板进行通信，接收主系主机板的同步跟随数据进行跟随，并在达到数据同步后，将本系主机板的状态位置为备状态，与主系主机板执行二乘二取二逻辑；主系主机板与备系主机板之间通过Powerlink总线和脉冲信号进行通信；

所述执行层包括输入输出模块和继电器板组，所述输入输出模块用于建立采集通道，采集继电器板组的状态信息发送至两个主机板；所述输入输出模块用于建立驱动通道，输出主系主机板的驱动信号，驱动继电器板组动作。

进一步地，所述通信记录板，由通信记录板应用层、通信记录板操作系统层、通信记录板驱动层和通信记录板硬件层组成；其中

通信记录板应用层，用于实现通信记录板与外网之间的数据通信业务，以及通信记录板的数据记录业务与数据转发业务；

通信记录板操作系统层，用于提供程序的总体运行框架环境，组织调用所述通信记录板应用层的应用任务及通信记录板驱动层的驱动任务；

通信记录板驱动层，提供驱动接口，用于对通信记录板硬件层进行驱动；

通信记录板硬件层，响应于所述通信记录板驱动层的驱动，执行逻辑计算和/或数据流转。

进一步地，所述硬件层，包括两个独立的CPU，其中第一CPU用于通过以太网或LTE与外网进行数据通信，第二CPU连接电子盘，将接收到的数据和命令记录并存储于电子盘，和/或发送至CAN总线维护网；所述第一CPU、第二CPU分别连接第一Powerlink芯片和第二Powerlink芯片，所述第一Powerlink芯片和第二Powerlink芯片之间从背板进行通信；所述第一Powerlink芯片连接Powerlink总线，通过Powerlink总线与主机板进行通信。

进一步地，所述主机板，由主机板应用层、主机板平台层、主机板驱动层和主机板硬件层组成；其中

主机板应用层，用于实现主机板的业务逻辑；

主机板平台层，用于实现两系主机板之间的二乘二逻辑处理功能以及主机板内两CPU之间的二取二逻辑处理功能；

主机板驱动层，提供驱动接口，用于对主机板硬件层进行驱动；

主机板硬件层，响应于所述主机板驱动层的驱动，执行二乘二取二逻辑计算和/或数据流转。

进一步地，所述主机板硬件层包括执行二乘二取二逻辑的主备系主机板，其中，主系主机板包括两套相互连接的CPU和Powerlink芯片，主系主机板的两个CPU通过SPI同步通信，用于判断两个CPU的同步通信数据是否一致，如果一致，则将数据通过CAN总线控制网发送至输入输出模块，同时将数据发送至备系主机板的CPU进行同步跟随，否则主系主机板的两个CPU宕机，进行切系；

备系主机板包括两套相互连接的CPU和Powerlink芯片，备系主机板的CPU用于接收主系通道CPU发送的同步数据，与主系主机板的CPU进行同步，并在主系主机板宕机时转换为主系主机板的CPU，与该CPU连接的Powerlink芯片通过Powerlink总线与所述通信记录板进行通信。

进一步地，所述输入输出模块采用FSIO-III型板卡，包括32路采集通道和16路驱动通道。

进一步地，所述继电器板组包括输入接口和输出接口，所述输入接口包括安全输入和非安全输入，其中安全输入使用两个安全继电器组采集，非安全输入使用单个继电器采集；所述输出接口包括安全输出和非安全输出，其中安全输出通过两个安全继电器组驱动，非安全输出使用单个继电器采集。

进一步地，所述执行层还包括切系仲裁板，所述切系仲裁板通过CAN总线控制网连接两个主机板，用于在两个主机板之间的Powerlink及脉冲信号同时出现故障时，对两个主机板的主备关系进行仲裁，将仲裁结果发送至对应主机板，更新对应主机板的状态位，并通过状态指示灯显示；所述切系仲裁板，还用于实时接收两个主机板反馈的状态位信息，当两个主机板的状态位均为主状态时，生成宕机命令发送至其中一个主机板，控制其宕机。

进一步地，所述切系仲裁板采用单系二取二架构，包括两个CPU，所述两个CPU之间通过SPI总线通信，执行二取二逻辑；每个CPU通过两路CAN总线与主机板通信；且输出仲裁结果的动态脉冲，驱动状态指示灯。

在本发明的第二方面，提供了一种站台门控制方法，包括：

启动主机板，所述主机板进入上电状态；

在上电状态下，判断对系主机板的状态位是否为主状态，如果是，则本系主机板进入跟随状态；否则，将本系主机板为主系主机板，与备系主机板执行二乘二取二逻辑，输出数据；在本系主机板进入跟随状态后，接收主系主机板的同步跟随数据，进行跟随，并在达到同步后，将本系主机板的状态位置为备状态，执行二乘二取二逻辑。

进一步地，还包括：

当两个主机板之间的通信中断时，通过切系仲裁板仲裁出两个主机板之间的主备关系，发送至对应主机板，用于更新对应主机板的状态位。

进一步地，所述切系仲裁板实时接收两个主机板反馈的状态位信息，当两个主机板的状态位均为主状态时，生成宕机命令发送至其中一个主机板，控制其宕机。

应当理解，发明内容部分中所描述的内容并非旨在限定本发明的实施例的关键或重要特征，亦非用于限制本发明的范围。本发明的其它特征将通过以下的描述变得容易理解。

本发明采用二乘二取二安全计算机平台与安全IO相结合的方式，按照故障导向安全原则，设计安全完整性水平达到SIL4级标准的站台门控制系统，该系统采用分层设计，将安全计算机平台各组成部分模块化指定，兼具可靠性及灵活性；系统内部使用Powerlink总线通信，拓扑结构灵活，网络性能更高，满足实时性和精确性的要求；系统正常运行情况下不使用仲裁机对双系进行主备仲裁，降低仲裁机本身对系统安全性及可靠性的影响，双系使用Powerlink通信和脉冲信号通信双重判断主备关系，使双系在绝大多数情况下均可以进行数据通信，保证了系统的稳定性和连贯性。

附图说明

结合附图并参考以下详细说明，本发明各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了本发明的站台门控制系统的结构示意图；

图2示出了本发明的层级架构示意图；

图3示出了本发明的通信记录板的结构示意图；

图4示出了本发明的通信记录板的层次化设计示意图；

图5示出了本发明的主机板的结构示意图；

图6示出了本发明的主机板的层次化设计示意图；

图7示出了本发明的站台门控制方法的流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的全部其他实施例，都属于本发明保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

本发明中，采用二乘二取二安全计算机平台与安全IO相结合的方式，按照故障导向安全原则，设计安全完整性水平达到SIL4级标准的站台门控制系统，该系统采用分层设计，将安全计算机平台各组成部分模块化指定，兼具可靠性及灵活性；系统内部使用Powerlink总线通信，拓扑结构灵活，网络性能更高，满足实时性和精确性的要求；系统正常运行情况下不使用仲裁机对双系进行主备仲裁，降低仲裁机本身对系统安全性及可靠性的影响，双系使用Powerlink通信和脉冲信号通信双重判断主备关系，使双系在绝大多数情况下均可以进行数据通信，保证了系统的稳定性和连贯性；而当两者均失效时，切系仲裁板介入主备仲裁，确保系统的正常运行和安全输出；通过设计维护记录模块，通过以太网及CAN维护网等多种传输方式，方便对外输出系统状态信息，可实时监测整个系统及各个模块、设备的运行状态，并对故障信息进行记录，为维护人员快速定位故障点提供有力支持。

图1示出了本发明的站台门控制系统的结构示意图。

所述站台门控制系统，如图2所示，包括通信层，主控层和执行层；所述通信层与主控层之间通过Powerlink总线进行通信；所述主控层与执行层之间通过CAN控制总线进行通信。

由于站台门控制系统内部使用Powerlink总线通信，拓扑结构灵活，网络性能更高，满足实时性和精确性的要求。

在所述站台门控制系统中，如图3所示，所述通信层包括两个相同的通信记录板，用于在主控层与外网之间建立通信，并存储通信数据。

作为本发明的一种实施例，通信层与外网之间的通信包括：通信层上传设备监控信息给维护系统PSCM(Power Steering Control Module)，为工作人员提供系统各设备状态的实时监控，记录运行状态信息；通信层接收计算机联锁系统CI(ComputerInterlocking)下发的电源信息，并向CI上传门状态信息和互锁解除信息；通信层接收车载控制器VOBC(Vehicle on-board controller)下发的开门、关门命令及对位隔离命令，并向车载控制器VOBC上传门状态信息和互锁解除信息。

如图4所示，每块通信记录板自上而下由通信记录板应用层、通信记录板操作系统层、通信记录板驱动层和通信记录板硬件层组成；

在通信记录板应用层上，用于实现通信记录板与外网之间的数据通信业务，以及通信记录板的数据存储与转发业务。所述通信记录板与外网之间的数据通信业务包括车载系统的开关门命令和对位隔离命令，发送至主控层。所述通信记录板的数据转发业务包括接收主控层上传的数据以及转发至外网。所述通信记录板的数据记录业务包括接收记录数据后存储到电子盘中，或通过CAN总线将记录数据发送到CAN维护网上。通信记录板的应用运行没有周期概念，主机板发送给通信记录板的数据，通信记录板直接实时转发到外网设备。而外网发送给主机板的数据，通信记录板暂时缓存，等待主机板查询时，将数据发送给主机板。

通信记录板操作系统层，用于提供程序的总体运行框架环境，以及组织调用通信记录板应用层的应用任务和通信记录板驱动层的驱动任务。

通信记录板驱动层，由各个驱动模块组成，用于对通信记录板硬件层进行驱动。

通信记录板硬件层，响应于所述通信记录板驱动层的驱动，执行逻辑计算和/或数据流转。

如图3所示，通信记录板的硬件层包括两个独立的CPU，每块通信记录板上设有两个独立的CPU，其中第一CPU用于通过以太网或LTE(Long Term Evolution)与外网进行数据通信，第二CPU用于负责数据的记录、转存以及系统的在线调试等功能。第二CPU可以将数据记录在电子盘和/或通过CAN总线维护网上传到外网。

作为本发明的一种实施例，第二CPU连接电子盘，将接收到的数据和命令记录并存储于电子盘。

作为本发明的另一种实施例，第二CPU通过以太网或LTE与CAN维护网连接，将接收到的数据通过CAN总线维护网上传到外网。

所述第一CPU通过第一Powerlink芯片与Powerlink总线进行连接，对内通过Powerlink与主机板进行通信。第一CPU通过以太网或LTE与外网进行通信。所述第二CPU通过第二Powerlink芯片与第一CPU建立通信，接收第一CPU发送的记录和存储数据；并且通过以太网或LTE与CAN维护网连接，将记录和存储的数据上传到CAN维护网，并通过CAN维护网上传到外网。

在通信记录板中设计用于维护记录的CPU，通过以太网及CAN维护网多种传输方式，方便对外输出系统状态信息，可实时监测整个系统及各个模块、设备的运行状态，并对故障信息进行记录，为维护人员快速定位故障点提供有力支持。例如，站台门控制系统同时把设备监控信息发给维护系统PSCM，为工作人员提供系统各设备状态的实时监控，记录运行状态信息。

所述第一Powerlink芯片和第二Powerlink芯片之间从背板进行通信。

所述第一CPU还连接DDR(Double Data Rate，双倍速率)内存、FRAM(Ferroelectric RAM，铁电存储器)、温度传感器以及RS232通信串口。所述第二CPU还连接DDR内存、FRAM、温度传感器、RS232通信串口以及USB接口。

通信记录板采用分层设计，将安全计算机平台各组成部分模块化定制，兼具可靠性及灵活性。

列车与站台门之间的联动由原来的经由几个系统间进行传输控制，变为由站台门控制系统直接接收车载系统命令进行站台门的控制，响应时间大大缩短，并且系统间接口的减少将使故障点显著减少，实时的系统状态监测使得故障发生时维护人员发现故障和处理故障的平均时间显著减少，提高了地铁的运营效率。

站台门控制系统使用通过符合EN50159要求的安全通讯网络及安全协议与联锁系统或车载系统通信。使站台门控制系统能够为信号系统的一部分，作为安全设备进行控制，定义系统的安全完整性等级，满足安全认证的要求。

在所述站台门控制系统中，如图5所示，所述主控层包括两个相同的主机板。如图6所示，每个主机板自上而下依次由主机板应用层、主机板平台层、主机板驱动层和主机板硬件层组成。

主机板应用层，用于实现站台门控制系统的业务逻辑，包括信号系统开关站台门控制业务、PSL/IBP开关站台门控制业务、站台门状态采集业务、站台门互锁解除业务、与其他系统数据交互业务等。

主机板平台层，负责提供程序的总体运行框架，组织调用应用任务、平台任务及驱动任务，用于实现两系主机板之间的二乘二逻辑处理功能以及主机板内两CPU之间的二取二逻辑处理功能。

两系主机板之间的二乘二逻辑处理功能包括上电主备表决功能，备系跟随主系功能，周期运行时主备表决功能，系间数据比较功能，系间数据同步功能和系间时间校准功能等。

在本实施例中，所述上电主备表决功能为：

当两个主机板同时上电时，通过以太网和脉冲信号同时进行上电系间通信，根据预设的主系判断规则，判定两个主机板的主备关系；当以太网和脉冲信号之一通信中断，则将备系主机板宕机。

作为本实施例的一种可选实施例，当主机板同时上电时，进行上电系间通信，系间通信分为两种类型，一种为以太网直连数据通信：在使用此种通信时，由于两主机板自身配置的ID号不同，可以预设的主系判断规则，即通过在交互数据时，判断哪个ID号小来决定哪一系为主系，另一系为备系。当无法通过以太网通信时，通过两主机板间直连的硬线脉冲信号进行通信：同样由于两主机板自身配置的ID号不同，两主机板发送的脉冲信号也是不同的，默认使ID号小的为主系，另一系为备系。如果上电时发现以太网无法通信，却可以接收到另一系的脉冲信号，则直接使ID号大的备系宕机，以防止双主系的出现，同时需要检查通信问题。

通过在上电时以及通信存在中断情况时，对两系的主备关系进行区分，使两系能够通过固定逻辑进行主备系区分，防止两系均为主系输出的情况发生，造成重复冗余控制。

当只有一个主机板上电时，该主机板为主系主机板，如果另一个主机板启动，则作为跟随系，根据主系主机板发送的跟随数据进行同步跟随，并在同步后，由跟随系升为备系，与主系执行相同的计算逻辑。

在本实施例中，所述备系跟随主系功能为：

当只有一系上电运行，另一系掉电后重新启动时，默认正在运行的一系为主系，后启动的一系为备系，备系在启动后，需要跟随主系的CPU在运行过程中产生的各种状态数据，以保证备系的CPU可以在启动后和主系的CPU运行状态完全一致。跟随期间主系需要在一个周期内将所有需要跟随的数据全部发送备系(此时叫跟随系)，跟随系将接收到的数据计算CRC后，回传给主系，由主系计算跟随系是否接收到正确的数据，若主系发现连续N个周期(可配置)跟随系回传的数据正常，可让跟系正式升级为备系。跟随系升为备系后，与主系跑同样的逻辑，但不对外进行输出。

在本实施例中，所述周期运行时主备表决功能为：

两系主机板在正常运行时，需要每周期进行双系间的主备系表决，如果在运行过程中发现双系间的以太网通信中断，但本系仍可以接收到另一系的脉冲信号时，使ID号大的备系宕机，此时需要检查两系间的通信故障，以防止出现双主系的情况。如果在运行过程中发现双系间的以太网通信中断，本系无法收到另一系的脉冲信号时，若当前本系是主系则继续运行，若本系是备系，则立即将本系升为主系。

在本实施例中，所述系间数据比较功能为：

主备系主机板将每个周期各自主机板上的两个CPU计算后准备输出的结果交互，在接收到对系主机板上的数据后进行强比较，若两系间计算后的输出数据一致则使主系正常输出，若不一致则对外输出上个周期数据，并记录错误次数，若连续N个周期(可配置)数据都不一致，等待二取的容忍结果，宕掉一系。此时可能是主系备系共四个CPU中，有一个CPU出现了故障，正常情况下系内的两个CPU如果在二取的过程中发现计算结果持续不一致，会容忍几个周期后宕机。此时宕机的一系如果是主系，那么当前的备系升为主系，如果是备系，主系继续运行。

在本实施例中，所述系间数据同步功能为：

当主机板为备系时，不对备系所控制的输入输出模块进行输出，只进行数据的采集和处理。但因为CPU与输入输出模块之间的通信是使用安全通信协议的，安全通信协议要维护链路的通信正常就需要有心跳帧，因为备系无法输出，此时备系与备系所控制的输入输出模块间的链路需要主系来维持，主系只向备系控制的输入输出模块发送心跳帧，不发送命令数据。但为了当主系宕机后备系可以立即升为主系，备系也需要实时获取与备系所控制的输入输出模块的安全协议链路状态，因此需要主系每个周期将协议链路状态同步给备系。

在本实施例中，所述系间时间校准功能为：

当主备系同时运行时，需要保证双方的时间是同步的，具体的方法是通过接收数据，打时间戳的方式，确定校验时的延时时间，完成校准时间补偿处理。使用主系的时间，对备系的时间戳进行同步处理。

作为本发明的一种实施例，所述主机板内两CPU之间的二取二逻辑处理功能，包括：

两个CPU分别为第一CPU(CH1)和第二CPU(CH2)；

第一CPU，接收第一通信记录板的数据Data1。

第二CPU，接收第二通信记录板发送的数据Data2。

第一CPU，接收第二CPU发送的Data2，称为Data2*。

第二CPU，接收第一CPU发送的Data1，称为Data1*。

此时第一CPU有两份数据，分别是直接从第一通信记录板获取的Data1和间接从第二通信记录板获取的Data2*。

此时第二CPU有两份数据，分别是直接从第二通信记录板获取的Data2和间接从第一通信记录板获取的Data1*。

第一CPU将数据Data1和Data2*放到一个数组内，计算整个数据的CRC，结果为CRC1，并将CRC1发送给第二CPU。

第二CPU将数据Data1*和Data2放到一个数组内，计算整个数据的CRC，结果为CRC2，并将CRC2发送给第一CPU。

第一CPU接收第二CPU发送来的CRC2，称为CRC2*，将CRC1与CRC2*作比较，若比较结果为一致则认为此数据有效，若不一致，由认为数据无效，不处理此周期数据，并记录无效次数。

第二CPU接收第一CPU发送来的CRC1，称为CRC1*，将CRC1*与CRC2作比较，若比较结果为一致则认为此数据有效，若不一致，由认为数据无效，不处理此周期数据，并记录无效次数。

若第一CPU和第二CPU认为数据为有效，第一CPU和第二CPU分别使用各自的两份通信记录板的数据，进行应用逻辑的运算，若两份数据计算出的结果一致，则认为计算结果有效，保存和计算结果；若两份数据计算出的结果不一致，则认为计算结果无效，丢弃计算结果，记录数据无效次数，若数据无效次数在容忍范围内，对外输出上周期计算结果，或无效次数持续累加超过容忍范围，对外输出宕机。

第一CPU在计算应用逻辑后，将计算出的结果RET1发送给第二CPU。

第二CPU在计算应用逻辑后，将计算出的结果RET2发送给第一CPU。

第一CPU接收第二CPU发送来的RET2，称为RET2*，将RET1和RET2*作比较，若比较结果一致则向第一输入输出模块发送计算结果RET1；若比较结果不一致则向第一输入输出模块发送上一周期的有效数据，并记录不一致次数，若不一致次数持续累加超过容忍范围，对第一输入输出模块发送宕机命令。

第二CPU接收第二CPU发送来的RET1，称为RET1*，将RET1*和RET2作比较，若比较结果一致则向第二输入输出模块发送计算结果RET2；若比较结果不一致则向第二输入输出模块发送上一周期的有效数据，并记录不一致次数，若不一致次数持续累加超过容忍范围，对第二输入输出模块发送宕机命令。

站台门控制系统设备的驱动由第一输入输出模块与第二输入输出模块共同控制，两个输入输出模块相互之间为&&逻辑，当且仅当两个输入输出模块同时对设备进行驱动时，设备才会动作。

主机板驱动层，由各个驱动模块组成，用于对主机板硬件层进行驱动。

主机板硬件层，响应于所述主机板驱动层的驱动，执行二乘二取二逻辑计算和/或数据流转。

所述主机板硬件层，如图5所示，包括二乘二取二逻辑的主备主机板，主系主机板包括两套相互连接的CPU和Powerlink芯片，构成两个通道。每个通道的CPU通过两个CAN接口连接到CAN总线控制网，输出通过二取二逻辑的驱动信号给执行层的输入输出模块；并且通过CAN总线接收执行层的输入输出模块发送的采集数据。其中二取二逻辑，包括：同步采集本系两个CPU的数据，如果数据一致，则接收输入数据，通过应用层对数据进行处理，输出处理后的数据，将数据通过CAN总线控制网发送至输入输出模块，同时将数据发送至备系主机板的CPU进行同步跟随；如果数据不一致，则主系主机板的两个CPU宕机，自动进行切系，使备系主机板切换为主系主机板进行通信，并更新主机板的CPU的状态位。

备系主机板包括两套相互连接的CPU和Powerlink芯片，构成两个通道。每个通道的CPU都通过两个CAN接口连接CAN总线控制网，通过CAN总线控制网连接到输入输出模块；每个CPU都通过两个以太网接口连接Powerlink总线，通过Powerlink总线连接到通信层的通信控制板CPU。备系主机板的两个CPU之间通过SPI(Serial Peripheral Interface，串行外设接口)进行数据通信。且备系主机板的CPU与主系主机板的CPU之间通过Powerlink总线和脉冲信号进行通信。

备系主机板的CPU用于接收主系主机板的CPU发送的同步数据，与主系主机板的CPU进行同步，并在主系主机板的两个CPU输出数据不一致导致主系主机板出现宕机时，备系主机板转换为主系主机板，并同步采集本系两个CPU的数据，如果数据一致，则使其内部两通道的Powerlink芯片通过Powerlink总线连接所述通信记录板，与所述通信记录板进行通信。接收输入数据，通过应用层对数据进行处理，输出处理后的数据，将数据通过CAN总线控制网发送至输入输出模块。

作为本发明的一种实施例，在主系主机板和备系主机板上电后，需要首选对主机板进行自检，通过自检后的主机板才能正常执行处理逻辑。

主机板采用分层设计，将安全计算机平台各组成部分模块化定制，兼具可靠性及灵活性。

通过使用二乘二取二安全计算机架构能保证系统出现局部故障时，仍然能够稳定运行，不影响地铁正常运营。同时摒弃了通过仲裁机对双系进行主备仲裁的方式，使两个主机板在上电后自动识别自身状态，自动进入主备系控制逻辑，降低了仲裁机本身对系统安全性及可靠性的影响。

列车与站台门之间的联动由原来的经由几个系统间进行传输控制，变为由站台门控制系统直接接收车载系统命令进行站台门的控制，响应时间大大缩短，并且系统间接口的减少将使故障点显著减少，实时的系统状态监测使得故障发生时维护人员发现故障和处理故障的平均时间显著减少，提高了地铁的运营效率。

在所述站台门控制系统中，所述执行层包括输入输出模块和继电器板组。

所述输入输出模块用于建立采集通道，采集继电器板组的状态信息发送至两个主机板；所述输入输出模块用于建立驱动通道，输出主系主机板的驱动信号，驱动继电器板组动作。

作为本发明的一种实施例，所述输入输出模块采用FSIO-III型板卡，构建32路采集通道，实现对32个监控对象状态信息的采集；构建16路驱动通道，实现对16个控制对象的动作驱动。

作为本发明的一种实施例，输入输出模块设计为双系冗余工作，通过4路CAN总线实现驱动采集。

所述继电器板组包括输入接口和输出接口，所述输入接口包括12路安全输入和6路非安全输入，其中安全输入使用两个安全继电器组采集，非安全输入使用单个继电器采集。所述输出接口包括4安全输出和12非安全输出，其中安全输出通过两个安全继电器组驱动，非安全输出使用单个继电器采集。

现有技术中列车控制站台门开关的数据流冗长，需要通过车载控制器经由联锁系统、继电接口、PSC系统，最后到达DCU，过程繁杂。而本发明站台门控制系统直接接收车载系统的开关门命令和对位隔离命令，并通过硬线直连DCU单元，控制站台门开关；通过接口机把对位隔离信息发送给DCU，实现站台门与车门的对位隔离功能。由于直接控制门机控制器DCU能够使响应时间大大缩短，并且系统间接口的减少将使故障点显著减少，实时监测的系统状态，使得故障发生时维护人员发现故障和处理故障的平均时间显著减少，提高了地铁的运营效率。

站台门控制系统通过输入输出模块的采集通道，同时采集站台门关闭且锁闭状态给联锁或车载系统。

站台门控制系统可以接收站台端头控制盘PSL和就地控制盘IBP盘的开关门命令，实现站台门的人工控制。

在所述站台门控制系统中，所述执行层还包括切系仲裁板，所述切系仲裁板通过CAN总线控制网连接两个主机板，用于在两个主机板之间的Powerlink及脉冲信号同时出现故障时，对两个主机板的主备关系进行仲裁，将仲裁结果发送至对应主机板，更新对应主机板的状态位，并通过状态指示灯显示；所述切系仲裁板，还用于实时接收两个主机板反馈的状态位信息，当两个主机板的状态位均为主状态时，生成宕机命令发送至其中一个主机板，控制其宕机。

作为本发明的一种实施例，如果两个主机板之间仅脉冲信号出现中断故障，但Powerlink通信正常，即两个主机板之间能够通过Powerlink通信，则不启动切系仲裁板。

作为本发明的一种实施例，如果两个主机板之间仅Powerlink出现中断故障，但脉冲信号通信正常，即两个主机板之间能够通过脉冲信号通信，则不启动切系仲裁板。

作为本发明的一种实施例，如果两个主机板之间通信中断，此时Powerlink和脉冲信号同时通信故障，则两个主机板之间无法正常通信，会触发两个主机板均认为本系为主系，同时进行主系主机板执行。故需要在两个主机板之间通信中断时，启动切系仲裁板进行主备仲裁，确保系统的正常运行和安全输出。

所述切系仲裁板采用单系二取二架构，包括两个CPU，所述两个CPU之间通过SPI总线通信，执行二取二逻辑；每个CPU通过两路CAN总线与主机板通信；且输出仲裁结果的动态脉冲，驱动状态指示灯。其中切系仲裁板输出仲裁结果后，根据仲裁结果强制执行。

安全执行层能够保证系统出现大规模故障时，输出信息导向安全侧，确保乘客安全。

在所述站台门控制系统中，还包括电源板。所述电源板一共设置4个，为每系中主机板和通信记录板供电。

作为本发明的一种实施例，所述电源板为220AC-12DC电源板，输出12VDC直流电源。

综上所述，本发明的实施例设计为信号系统的一部分，作为安全设备进行控制，采用安全等级达到SIL4标准的二乘二取二安全计算机平台与安全IO相结合的方式，按照故障导向安全原则定义系统的安全完整性等级达到SIL4级标准，满足EN50126/50128/50129认证标准要求满足安全认证的要求。

本方案提出的高安全等级的站台门控制系统不仅解决了传统站台门控制系统存在的缺陷，并且系统的安全性、可靠性和可用性都有很大提升，可达到用户提升产品的安全性，减少运营时的压力和人力成本投入、提高系统可靠性和安全性、降低整体运营能耗的目标，具有广泛的市场前景。

以上是关于系统实施例的介绍，以下通过方法实施例，对本发明所述方案进行进一步说明。

图7示出了本发明的实施例的站台门控制方法。

所述方法，包括：

S701、启动主机板，所述主机板进入上电状态。

在主机板进入上电状态之后，主机板启动自检过程。所述自检过程包括输出自检和安全电源自检。输出自检即为对于输出过程是否正常进行检查；安全电源自检即为检查电源情况是否正常；如果出现异常情况，需要首先对异常情况进行处理。

S702、在上电状态下，判断对系主机板的状态位是否为主状态，如果是，则本系主机板进入跟随状态；否则，将本系主机板的状态位置为主，与备系主机板通信，执行二乘二取二逻辑，输出数据。

所述执行二乘二取二逻辑，输出数据，包括：

主系主机板的两个CPU判断数据是否一致，如果一致，则执行控制过程，并将输出数据同步发送到备系主机板的CPU进行同步跟随；如果不一致，则主系主机板的两个CPU宕机，启动切系处理。

所述控制过程包括主系通信控制板接收通信数据，包括CI下发的电源信息、VOBC下发的开门、关门命令及对位隔离命令等，发送至主系主机板。主系主机板将接收到的命令信息进行处理后输出到输入输出模块，通过输入输出模块的驱动通道发送到继电器板组，对继电器开关进行驱动控制；并通过接口机把对位隔离信息发送给DCU，实现站台门与车门的对位隔离。站台门控制系统中的主系主机板通过输入输出模块的采集通道采集站台门状态和互锁解除信息以及对系统各设备状态实时监控的设备监控信息；将采集到的站台门状态和互锁解除信息通过通信记录板上传到车载控制器VOBC和计算机联锁系统CI，并将设备监控信息上传至维护系统PSCM，为工作人员提供系统各设备状态的实时监控，记录运行状态信息。

所述切系处理，包括：

如果主系主机板的两个CPU宕机，则备系主机板监听到宕机信息后，由备系切换为主系，继续执行主系主机板的控制过程，此时更新CPU的状态位。

在站台门控制系统执行正常时，主系主机板和备系主机板之间持续保持数据通信。此时切系仲裁板实时接收两个主机板反馈的状态位信息，在正常情况下会接收到一个主状态位一个备状态位。而当两个主机板之间的通信中断时，通过切系仲裁板仲裁出两个主机板之间的主备关系，发送至对应主机板，更新对应主机板的状态位。

所述切系仲裁板实时接收两个主机板反馈的状态位信息，当切系仲裁板接收到的两个主机板的状态位均为主状态时，会使两个主机板同时执行控制过程输出控制数据；此时需要切系仲裁板生成宕机命令发送至其中一个主机板，控制其宕机。保证只有一个主机板执行控制过程并输出数据，使继电器开关不会因为重复执行控制命令而造成事故。

S703、在本系主机板进入跟随状态后，接收主系主机板的同步跟随数据，进行跟随，并在达到同步后，将本系主机板的状态位置为备状态，执行二乘二取二逻辑。

由于备系主机板要与主系主机板的数据保持同步，如此才可以在主系主机板异常时进行切系，且保证数据和控制流程的一致和连贯。故本系主机板在进入跟随状态后，通过接收主系主机板发送的同步跟随数据进行同步跟随，使本系主机板的数据与主系保持同步，当同步后，即可将状态位置为备状态。

通过使用二乘二取二安全计算机架构能保证系统出现局部故障时，仍然能够稳定运行，不影响地铁正常运营。

尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。