应用于轨道交通系统的安全导向装置及轨道交通信号系统的制作方法

1.本发明涉及轨道交通领域，特别是涉及一种应用于轨道交通系统的安全导向装置及轨道交通信号系统。


背景技术：

2.轨道交通信号系统是轨道交通工程系统的重要组成部分，它保证列车安全、有序、快速、舒适的运行，是控制列车运行的关键系统设备。目前，轨道交通信号系统通常具有sil2级安全性要求（sil：safety integrity level，安全完整性等级，sil2是其中一个等级级别），如ato（automatic train operation，列车自动驾驶）系统、dmi（device machine interface，人机接口单元）系统、有轨电车车载系统等轨道交通信号系统。
3.对于每个sil2级安全性要求的轨道交通信号系统，都有一个安全侧的定义，即系统输出非安全时切断系统输出，以使系统导向安全侧。现有技术中，轨道交通信号系统大都采用单cpu（中央处理器）架构，基于单cpu架构，系统输出安全性的检测方法通常为：cpu对自身外围接口电路和内部模块进行检测，并根据检测结果判断自身输出是否安全，若否，则切断自身输出，以使系统导向安全侧。但是，现有的检测方法存在如下问题：1）当cpu因硬件失效或软件错误导致软件时序异常时，无法实现故障检测，导致系统检测覆盖不全面。
4.2）在现有的检测方法下，为了达到sil2级安全性要求，系统往往只能选择失效率很低的器件，以通过器件的质量来保证系统安全。但是，这种方式较依赖器件的质量等级，使得因器件的离散特性以及不同批次导致的质量波动情况无法得到有效防护。
5.因此，如何提供一种解决上述技术问题的方案是本领域的技术人员目前需要解决的问题。


技术实现要素：

6.本发明的目的是提供一种应用于轨道交通系统的安全导向装置及轨道交通信号系统，可实现系统级检测全覆盖；而且不需要严格要求系统器件的失效率，同时因器件的离散特性以及不同批次导致的质量波动情况，对系统安全性也不会造成影响；另外，实现了独立于系统处理器的软件和硬件失效模式的安全机制，即实现了固有失效
‑
安全机制，有效保证系统安全。
7.为解决上述技术问题，本发明提供了一种应用于轨道交通系统的安全导向装置，包括：分别与系统的处理器外围的各接口电路连接的自检电路；与所述自检电路连接的所述处理器，用于对自身内部模块进行检测及利用所述自检电路对各接口电路进行检测，并根据检测结果判断自身输出是否安全，若是，则输出动态脉冲信号；若否，则停止输出所述动态脉冲信号；其中，所述处理器在自身软件时序异常时不输出所述动态脉冲信号；
分别与所述处理器和所述处理器外围的输出接口电路的供电端连接的安全电路，用于在接收到所述动态脉冲信号时，将所述动态脉冲信号转换为供所述输出接口电路供电使用的直流信号，以保证所述处理器的输出；在未接收到所述动态脉冲信号时，停止为所述输出接口电路提供所述直流信号，以切断所述处理器的输出。
8.优选地，所述动态脉冲信号包括两路相位相差180
°
的动态方波信号；所述安全电路包括：包含双原边绕组和一个副边绕组，且双原边绕组的两个信号接入端一一接入两路动态方波信号及其两个接地端接地的变压器，用于将两路动态方波信号进行整合，得到一路交流信号；输入端与所述变压器的副边绕组连接、输出端与所述输出接口电路的供电端连接的整流电路，用于将所述交流信号进行整流处理，得到供所述输出接口电路供电使用的直流信号。
9.优选地，所述安全电路还包括：输入端与所述整流电路的输出端连接、输出端与所述输出接口电路的供电端连接的滤波电路，用于将所述直流信号进行滤波处理，以将滤波处理后的直流信号供至所述输出接口电路的供电端。
10.优选地，所述处理器外围的接口电路包括用于输入模拟信号的输入接口电路和用于输出模拟信号的输出接口电路；所述自检电路包括：分别与所述输入接口电路和所述处理器连接的输入自检电路；分别与所述输出接口电路和所述处理器连接的输出自检电路；所述处理器具体用于在自身上电期间，对自身内部模块进行上电自检及触发各自检电路相应对各接口电路进行上电自检，并在自身运行期间，对自身内部模块进行周期性检测及利用各自检电路相应对各接口电路进行周期性检测，且根据检测结果判断自身输出是否安全，若是，则输出动态脉冲信号；若否，则停止输出所述动态脉冲信号。
11.优选地，所述处理器外围的接口电路还包括用于传输数字信号的通信接口电路；所述通信接口电路的通信安全由安全通信协议进行保障。
12.优选地，所述处理器的内部模块包括定时器；所述处理器具体用于在自身上电初始化完成后，对所述定时器进行设置和使能以使所述定时器运行，并根据所述定时器的计数值在固定时间间隔下生成高低电平交替变化的信号，以得到供输出至所述安全电路使用的动态脉冲信号；其中，所述处理器在上电时尚未对所述定时器进行设置和使能，不生成所述动态脉冲信号。
13.优选地，所述处理器还用于：为所述定时器设置独立于处理器软件运行、且用于每隔预设中断时间均触发中断，并累计中断次数作为所述定时器的计数值的定时器中断服务函数；在所述处理器软件正常运行时，每隔预设软件周期均将所述定时器中断服务函数中累计的中断次数清零；利用所述定时器中断服务函数检测其内累计的中断次数是否超过预设门限值；若是，则确定所述处理器软件时序异常，并停止所述动态脉冲信号的生成，以实现在处理器软
件时序异常时不输出所述动态脉冲信号；其中，预设门限值等于软件周期对应的最大值。
14.为解决上述技术问题，本发明还提供了一种轨道交通信号系统，包括上述任一种应用于轨道交通系统的安全导向装置。
15.本发明提供了一种应用于轨道交通系统的安全导向装置，包括自检电路、系统处理器及安全电路。本申请可检测出系统处理器因硬件失效或软件错误导致软件时序异常的情况，并及时切断处理器的输出以使系统导向安全侧，从而实现系统级检测全覆盖。而且，本申请的系统安全导向方法不依赖于通过器件的质量来保证系统的安全，所以不需要严格要求系统器件的失效率，只需要满足系统因环境条件所需的工业等级器件即可，同时因器件的离散特性以及不同批次导致的质量波动情况，对系统安全性也不会造成影响。另外，本申请对系统处理器的输出接口电路设计供电使能信号，并通过安全电路将处理器输出的动态脉冲信号转换为供输出接口电路使用的供电使能信号，实现了独立于系统处理器的软件和硬件失效模式的安全机制，即实现了固有失效
‑
安全机制，有效保证系统安全。
16.本发明还提供了一种轨道交通信号系统，与上述安全导向装置具有相同的有益效果。
附图说明
17.为了更清楚地说明本发明实施例中的技术方案，下面将对现有技术和实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
18.图1为本发明实施例提供的一种应用于轨道交通系统的安全导向装置的结构示意图；图2为本发明实施例提供的一种安全电路的结构示意图；图3（a）为本发明实施例提供的一种变压器输入的第一路动态方波信号示意图；图3（b）为本发明实施例提供的一种变压器输入的第二路动态方波信号示意图；图3（c）为本发明实施例提供的一种变压器的输入信号整合后的示意图；图4为本发明实施例提供的一种应用于轨道交通系统的安全导向装置的具体结构示意图。
具体实施方式
19.本发明的核心是提供一种应用于轨道交通系统的安全导向装置及轨道交通信号系统，可实现系统级检测全覆盖；而且不需要严格要求系统器件的失效率，同时因器件的离散特性以及不同批次导致的质量波动情况，对系统安全性也不会造成影响；另外，实现了独立于系统处理器的软件和硬件失效模式的安全机制，即实现了固有失效
‑
安全机制，有效保证系统安全。
20.为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
21.请参照图1，图1为本发明实施例提供的一种应用于轨道交通系统的安全导向装置的结构示意图。
22.该应用于轨道交通系统的安全导向装置包括：分别与系统的处理器2外围的各接口电路连接的自检电路1；与自检电路1连接的处理器2，用于对自身内部模块进行检测及利用自检电路1对各接口电路进行检测，并根据检测结果判断自身输出是否安全，若是，则输出动态脉冲信号；若否，则停止输出动态脉冲信号；其中，处理器2在自身软件时序异常时不输出动态脉冲信号；分别与处理器2和处理器2外围的输出接口电路的供电端连接的安全电路3，用于在接收到动态脉冲信号时，将动态脉冲信号转换为供输出接口电路供电使用的直流信号，以保证处理器2的输出；在未接收到动态脉冲信号时，停止为输出接口电路提供直流信号，以切断处理器2的输出。
23.具体地，本申请的应用于轨道交通系统的安全导向装置包括自检电路1、处理器2（如cpu）及安全电路3，其工作原理为：处理器2对自身内部模块进行检测，同时利用自检电路1对处理器2外围的各接口电路进行检测，并根据内部模块检测结果及接口电路检测结果，判断自身输出是否安全，若自身输出安全，则处理器2输出动态脉冲信号至安全电路3；若自身输出不安全，则处理器2主动停止输出动态脉冲信号至安全电路3（此情况下说明处理器2自身软件时序无异常，仍有故障检测功能）。需要说明的是，处理器2在自身软件时序异常时不输出动态脉冲信号至安全电路3。
24.安全电路3在接收到处理器2输出的动态脉冲信号时，将接收的动态脉冲信号转换为供处理器2外围的输出接口电路供电使用的直流信号，然后将直流信号供至处理器2外围的输出接口电路的供电端，从而保证处理器2外围的输出接口电路处于工作状态，即保证处理器2的输出。
25.安全电路3在未接收到处理器2输出的动态脉冲信号时，就无法供给处理器2外围的输出接口电路其供电所需的直流信号，处理器2外围的输出接口电路就无法工作，从而切断处理器2的输出。也就是说，在处理器2的内部模块及外围各接口电路故障导致处理器2输出不安全或是处理器2本身因硬件失效或软件错误导致软件时序异常的情况下，处理器2外围的输出接口电路均不工作，系统导向安全侧。
26.可见，本申请可检测出系统处理器因硬件失效或软件错误导致软件时序异常的情况，并及时切断处理器的输出以使系统导向安全侧，从而实现系统级检测全覆盖。而且，本申请的系统安全导向方法不依赖于通过器件的质量来保证系统的安全，所以不需要严格要求系统器件的失效率，只需要满足系统因环境条件所需的工业等级器件即可，同时因器件的离散特性以及不同批次导致的质量波动情况，对系统安全性也不会造成影响。另外，本申请对系统处理器的输出接口电路设计供电使能信号，并通过安全电路将处理器输出的动态脉冲信号转换为供输出接口电路使用的供电使能信号，实现了独立于系统处理器的软件和硬件失效模式的安全机制，即实现了固有失效
‑
安全机制，有效保证系统安全。
27.在上述实施例的基础上：请参照图2，图2为本发明实施例提供的一种安全电路的结构示意图。
28.作为一种可选的实施例，动态脉冲信号包括两路相位相差180
°
的动态方波信号；安全电路3包括：包含双原边绕组和一个副边绕组，且双原边绕组的两个信号接入端一一接入两路动态方波信号及其两个接地端接地的变压器t，用于将两路动态方波信号进行整合，得到一路交流信号；输入端与变压器t的副边绕组连接、输出端与输出接口电路的供电端连接的整流电路31，用于将交流信号进行整流处理，得到供输出接口电路供电使用的直流信号。
29.具体地，本申请的处理器2输出至安全电路3的动态脉冲信号具体是两路动态方波信号（即固定频率、占空比为50%的动态脉冲信号），且两路动态方波信号的相位相差180
°
。基于此，本申请的安全电路3包括变压器t和整流电路31，其工作原理为：变压器t包括双原边绕组和一个副边绕组l3，双原边绕组由第一原边绕组l1和第二原边绕组l2组成。第一原边绕组l1的信号接入端接入处理器2输出的其中一路动态方波信号，第一原边绕组l1的接地端接地；第二原边绕组l2的信号接入端接入处理器2输出的另一路动态方波信号，第二原边绕组l2的接地端接地，则变压器t具体用于将两路动态方波信号进行整合，得到一路交流信号供至整流电路31。比如，用“0”表示低电平、“1”表示高电平，处理器2输出的第一路动态方波信号表示为“0、1、0、1、0、1
……”
，如图3（a）所示；处理器2输出的第二路动态方波信号表示为“1、0、1、0、1、0
……”
，如图3（b）所示；变压器t将两路动态方波信号进行整合，得到一路交流信号，表示为
“‑
1、1、
‑
1、1、
‑
1、1
……”
，如图3（c）所示。
30.整流电路31在接收到变压器t输出的交流信号后，将接收的交流信号进行整流处理，以得到供处理器2外围的输出接口电路供电使用的直流信号，然后将直流信号供至处理器2外围的输出接口电路的供电端。
31.作为一种可选的实施例，安全电路3还包括：输入端与整流电路31的输出端连接、输出端与输出接口电路的供电端连接的滤波电路32，用于将直流信号进行滤波处理，以将滤波处理后的直流信号供至输出接口电路的供电端。
32.进一步地，本申请的安全电路3还包括滤波电路32，其工作原理为：滤波电路32先将整流电路31输出的直流信号进行滤波处理，以得到更稳定的直流信号，然后再将更稳定的直流信号供至输出接口电路的供电端。
33.请参照图4，图4为本发明实施例提供的一种应用于轨道交通系统的安全导向装置的具体结构示意图。
34.作为一种可选的实施例，处理器2外围的接口电路包括用于输入模拟信号的输入接口电路和用于输出模拟信号的输出接口电路；自检电路1包括：分别与输入接口电路和处理器2连接的输入自检电路11；分别与输出接口电路和处理器2连接的输出自检电路12；处理器2具体用于在自身上电期间，对自身内部模块进行上电自检及触发各自检电路1相应对各接口电路进行上电自检，并在自身运行期间，对自身内部模块进行周期性检测及利用各自检电路1相应对各接口电路进行周期性检测，且根据检测结果判断自身输出是否安全，若是，则输出动态脉冲信号；若否，则停止输出动态脉冲信号。
35.具体地，本申请的处理器2外围的接口电路包括输入接口电路和输出接口电路（用于模拟量输入输出），相应的，本申请的自检电路1包括输入自检电路11和输出自检电路12，其工作原理为：处理器2在自身上电期间，对自身内部模块进行上电自检，同时触发输入自检电路11对输入接口电路进行上电自检、输出自检电路12对输出接口电路进行上电自检。并且，处理器2在自身运行期间，对自身内部模块进行周期性检测，同时利用输入自检电路11对输入接口电路进行周期性检测、输出自检电路12对输出接口电路进行周期性检测。与此同时，处理器2根据自检结果或者周期性检测结果判断自身输出是否安全，若自身输出安全，则输出动态脉冲信号；若自身输出不安全，则停止输出动态脉冲信号。
36.作为一种可选的实施例，处理器2外围的接口电路还包括用于传输数字信号的通信接口电路；通信接口电路的通信安全由安全通信协议进行保障。
37.进一步地，本申请的处理器2外围的接口电路还包括用于传输数字信号的通信接口电路。本申请虽然没有为通信接口电路专门设置自检电路1，但通信接口电路的通信安全可经由安全通信协议进行保障。
38.作为一种可选的实施例，处理器2的内部模块包括定时器；处理器2具体用于在自身上电初始化完成后，对定时器进行设置和使能以使定时器运行，并根据定时器的计数值在固定时间间隔下生成高低电平交替变化的信号，以得到供输出至安全电路3使用的动态脉冲信号；其中，处理器2在上电时尚未对定时器进行设置和使能，不生成动态脉冲信号。
39.具体地，本申请的处理器2的内部模块包括定时器，则处理器2生成动态脉冲信号的原理为：处理器2在自身上电初始化完成后，对定时器进行设置和使能，以使定时器运行，然后根据定时器的计数值在固定时间间隔下生成高低电平交替变化的信号，即固定频率、占空比为50%的动态方波信号，以供在自身输出安全时提供给安全电路3使用。需要说明的是，处理器2在上电时尚未对定时器进行设置和使能，不会生成动态脉冲信号，因此系统在上电时默认导向安全侧。
40.作为一种可选的实施例，处理器2还用于：为定时器设置独立于处理器软件运行、且用于每隔预设中断时间均触发中断，并累计中断次数作为定时器的计数值的定时器中断服务函数；在处理器软件正常运行时，每隔预设软件周期均将定时器中断服务函数中累计的中断次数清零；利用定时器中断服务函数检测其内累计的中断次数是否超过预设门限值；若是，则确定处理器软件时序异常，并停止动态脉冲信号的生成，以实现在处理器软件时序异常时不输出动态脉冲信号；其中，预设门限值等于软件周期对应的最大值。
41.进一步地，本申请的处理器2为定时器设置独立于处理器软件运行的定时器中断服务函数，独立于处理器软件运行指的是处理器软件时序异常不影响定时器中断服务函数的运行。定时器中断服务函数具体用于每隔预设中断时间（如1ms）均触发中断，并累计中断次数作为定时器的计数值。
42.处理器2根据定时器的计数值在固定时间间隔下生成高低电平交替变化的信号，
具体可以是每10ms电平变化一次，即定时器中断服务函数每中断10次，电平变化一次。
43.在处理器软件正常运行时，每隔预设软件周期（如100ms）均将定时器中断服务函数中累计的中断次数清零，因此定时器中断服务函数中累计的中断次数值不会超过软件周期对应的最大值。
44.基于此，本申请设定一个门限值，其设置原理为：当处理器软件时序异常时，处理器软件无法维持原周期方式运行，从而不能将定时器中断服务函数中累计的中断次数清零，导致定时器中断服务函数中累计的中断次数超过设定的门限值（可设为等于软件周期对应的最大值）。因此，处理器2利用定时器中断服务函数检测其内累计的中断次数是否超过预设门限值；若超过预设门限值，则确定处理器软件时序异常，并停止动态脉冲信号的生成，目的是实现在处理器软件时序异常时不输出动态脉冲信号。
45.本申请还提供了一种轨道交通信号系统，包括上述任一种应用于轨道交通系统的安全导向装置。
46.本申请提供的轨道交通信号系统的介绍请参考上述系统安全导向装置的实施例，本申请在此不再赘述。
47.还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
48.对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其他实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。