杨磊

摘  要：铁路微机联锁控制系统是保障铁路安全高效运行的重要部分，文章以铁路微机联锁控制系统的可靠性为研究对象，分别讨论了联锁系统中软件可靠性设计技术基础以及进入死循环、联锁运算错误、数据去向错误等故障的软件检测技术，为更进一步熟知铁路微机联锁控制系统的工作过程提供参考。

关键词：微机联锁;控制;可靠性;铁路

中图分类号：U284 文献标志码：A         文章编号：2095-2945（2020）36-0049-02

Abstract： The railway microcomputer interlocking control system is an important part to ensure the safe and efficient operation of the railway. this paper takes the reliability of the railway microcomputer interlocking control system as the research object. the technical basis of software reliability design in the interlocking system and the software detection techniques for entering the dead loop， interlocking operation errors and data destination errors are discussed respectively， which provides a reference for further understanding the working process of the railway microcomputer interlocking control system.

Keywords： microcomputer interlocking; control; reliability; railway

鐵路信号的准确稳定关系着列车运行安全，微机联锁控制系统是保障信号高可靠性与安全性的关键，设计应考虑系统的高可靠性、高稳定性和故障导向安全原则，要求系统在设计和制作过程中，采用系列化的行之有效的技术措施[1-2]。联锁系统可靠性是硬件系统和软件系统共同作用的结果，本文将对铁路联锁系统中的软件可靠性技术相关内容进行论述。

1 铁路微机联锁控制系统可靠性分析概述

铁路微机联锁控制系统结构较为复杂（图1），对其软件系统的可靠性设计技术主要包含了四方面的内容：即系统的管理、软件程序的设计、系统软件的可靠性分析以及软件验证等技术。软件可靠性设计技术中包含软件管理主要的原因是因为软件属于无形产品，其管理难度往往超过了一些有形产品。政策、法律与标准化是软件管理最为直接的问题，具体的一个软件项目，需要有确定的开发总目标，每个阶段的目标，以及软件的验收标准。在软件系统管理工作完善的基础上，才可以进一步使编辑的软件具备可靠性。

软件设计技术指的是对开发软件的功能进行规范性说明，包含了软件核心设计方法与软件程序的变换方法与技术[2]。通过运用这些技术，能够使软件结构更便于理解与验证，很大程度上提升了软件的可靠性。软件可靠性分析是通过对软件的定量评价来实现的，以软件的可靠性模型为基础，采用数学方法评价软件的可靠性。验证过程是测试和验证程序正确性的过程。以上提到的技术方法，是软件设计中极为重要的。不过这些技术多处于理论研究阶段，实践过程仍存在一些问题。铁路的联锁软件而言，采取何种技术来指导联锁软件的设计，仍需要一段实践经验。

缺陷多是由于软件开发人员在设计软件和测试验证软件过程中忽略一些关键性、细节性问题所带来的。因此，严格进行软件的设计、修正和测试验过程，能够提升软件的可靠性。铁路的联锁软件而言，因为软件主要是为了实现逻辑运算，只能够有限的输入逻辑变量，这些中间结果、最终结果在逻辑运算阶段能够得以验证。因此验证软件的可靠性是容易实现的，但是不能确保软件的绝对可靠。需要指出的是，假如软件验证可以达到完全可靠，也会由于硬件方面的故障和干扰，破坏软件的正常运行，进而出现发生故障。

因此，在保证硬件可靠的措施同时，也要确保软件系统的可靠性。二者协同提升保障可靠性和安全性。事实上，软件措施只能够验证微机联锁控制系统的功能性故障，对于系统中的硬件物理缺陷难以直接发现。检测验证知道软件的功能性故障后，需要再采取对应的软件和硬件措施才能够提升系统的可靠性与安全性。

2 联锁软件可靠性设计技术基础

2.1 功能规范化说明

程序设计的目的在于解决具体问题。对于问题的提出，一般是由用户以自然语言表述的，这种自然语言的表述往往存在着不完备，过于冗长而且有二义性。因此在软件开发阶段，首要的任务是用一种严谨的语言或符号将问题表述清楚。即要对问题作出规范化（或形式化）的说明。在规范化说明中，一是要有功能性说明，即要做什么;二是要有逻辑性说明，即如何做[3]。

对于进路控制的功能性说明最好以电气集中联锁系统的功能为参考。这样可使新的微机联锁系统的功能至少能满足既有联锁系统功能要求，而不致有所遗漏。在此基础上再考虑如何发挥计算机的特点，使系统的功能进一步丰富和完善。

根据上述规范方法，可按共性设计一个各条进路共享的通用联锁程序，向该联锁程序提供不同的进路数据表，就实现了不同进路的控制。实际上在一个车站范围内，同时需要办理的进路数量不过几条乃至几十条而已。利用现代计算机的快速处理能力，使一个联锁程序为多条进路服务而不影响作业效率是可能的，而且实践证明是可行的。

这种通用联锁程序至少有下列优点：第一，不需针对每条具体进路设计程序，提高了标准化程度，能适应不同规模车站的需要：第二，由于程序为各条进程所共享，如果程序中隐含着某种缺陷，则在调试过程中，即在模拟各条进路的控制过程中易于暴露出来，可以及时克服，提高了程序的可靠性和安全性;第三，便于联锁系统的设计、生产和维护，对于不同的车站，联锁程序是通用的，只是提供不同的进路数据表就可以了;第四，适应车站的改建和扩建。

2.2 好的程序设计方法

程序设计就是把问题的规范化说明转换成某种计算机语言程序。对于这种转换有不同的方法和技巧。人们希望得到一个好的程序。评价一个程序的质量，很难制定定量的標准，但根据现在流行的观点，一个好程序需具有如下素质：（1）能够正确安全地工作，在此前提下再考虑节省存储空间和机时（效率）;（2）清晰易懂，易于调试;（3）易于维护;（4）易于修改;（5）简洁;（6）高效[4]。

理论上已经证明，任何形式的程序结构总是可以用以上四种基本结构来代换。如果在设计程序时，一开始就采用这种基本结构，则有利于实现程序结构模块化，便于阅读和理解，有利于调试和分段验证，是提高程序可靠性的重要技术。

3 检测故障的软件技术

在讨论联锁微机的结构时曾经指出，对于三模冗余（静态屏蔽）联锁微机来说，它的可靠性是建立在三取二的机理上，它的安全性是建立在双机输出比较的机理上。因此，这种结构的微机，在工作期间，原则上不需以软件方法对微机内的故障进行检测。对于二模动态冗余的联锁微机来说，则以软件方法检测微机内部故障是必需的。联锁微机在工作期间也必须进行检测，常称这种检测为动态检测。动态检测不同于静态检测，它要受到时间和条件的限制。检测任务主要是在执行联锁程序的过程中检测故障的外在现象，而不是直接检查硬件的物理失效，软件的缺陷以及故障的位置。故障现象表现为：进入死循环;联锁运算错误;数据去向错误。

3.1 死循环检测

检测死循环的方法比较简单，因为机器进入死循环时，其故障现象较多，例如工作周期受到破坏，某些程序模块得不到执行等。通过检测这些故障现象可以发现机器是否进入死循环。机器进入死循环时，最严重的情况是在形成开放信号命令之后无休止地执行信号控制命令输出程序模块。如果此时又发生了双机不能切换的故障，那么有导致信号长期无条件开放的危险。因此，当故障继电器落下时，应切断信号控制命令的输出（切断有关电源或电路）。

3.2 运算错误检测

比较法是检测运算错误的有效方法。在动态冗余双机结构中，采用功能相同而编制风格、存储空间和执行时各异的双份软件比较法，是检测运算错误的强有力的技术。这是因为：第一，由于编制的风格（指令、流程等）不同，两个程序中潜在着同样缺陷的可能性极小，如存在缺陷则通过运算比较就能暴露出来;第二，由于两套程序和数据存于不同的空间，如果发生硬件故障而使两份软件产生相同的错误的可能性极小，因此通过运算结果的比较是能发现硬件故障的;第三，由于两套软件的执行时间不同（只能顺序执行），如果出现了瞬间的或间歇的故障而使双程序产生同样错误的可能性也极小，所以也是能够发现的。

双软件比较法不是对运算的最终结果进行比较，而是在程序的子模块级进行比较。如果一个程序包括了m个子模块，那么应进行m次比较，在任何一次测得结果不一致时就给出一个“运算错误”的信息，总检程序测得“运算错误”信息时就停止输出脉冲串，使故障继电器落下。这种按子模块级进行比较的优点是可防止因多次故障积累而导致故障不被检出的可能[5]。

3.3 数据去向错误检测

在微机中，有多种译码器，其功能各不相同，不同功能的译码器发生故障时，其后果是不一样的。例如指令译码器的故障将导致程序的混乱，而地址译码器故障将把数据引向错误的去处，而数据本身并未遭到破坏。对于数据的去向错误不一定在双份软件比较中能得到检测，特别是对于输入/输出口的地址译码器故障尤应进行深入细致的分析，以便采取有效对策。

在联锁微机中，如果存在某些数据和某些程序段无法用比较法进行故障检测（例如，一段轨道区段的状态信息，仅由一个输入口输入时，那么该状态信息的安全侧就不能确切反映是车辆占用造成的还是电路故障造成的，也就无法用比较法检测出来），则需在两个微机间进行互检，测得故障后同样需进行双机切换以提高系统的可靠性。

4 结束语

联锁系统是一种实时控制系统，它必须具有非常高的可靠性，才能保证车站技术作业的安全与效率。就机械的和电气的联锁系统而论，系统的可靠性主要是靠高可靠的器材来实现的，联锁系统的故障-安全性，本质上也属于可靠性理论的范畴。为了能定量地分析系统的故障-安全性能，也需要可靠性基础知识。

参考文献：

[1]闫昊鹏.铁道信号计算机联锁控制系统探究[J].通讯世界，2016（22）：57.

[2]王洪，赵峻松.TYJL-Ⅱ型计算机联锁系统在火车编组站的应用[C].第六届全国石油和化学工业仪表及自动化技术交流研讨会，2008.

[3]李剑峰.计算机连锁系统在发电厂火车站的应用[J].煤矿机械，2011（2）：228.

[4]安亚松.铁道信号联锁设备的故障诊断探讨[J].中国新通信，2019，21（5）：156.

[5]张彦青.铁路信号微机联锁仿真系统分析[J].工程技术（全文版），2017（1）：300-300.