一种列车控制与管理系统及列车系统

摘要

本发明提供了一种列车控制与管理系统及列车系统，涉及城市轨道交通列车的网络控制技术领域，所述列车控制与管理系统包括：第一中央控制单元和输入输出单元；所述第一中央控制单元包括多个主控板，不同的所述主控板之间相互独立，且在不同的所述主控板上运行的功能模块具有不同的安全等级；所述输入输出单元与每个所述主控板分别连接。本发明提供的技术方案，能够极大地减少认证工作量，从而降低认证成本。

权利要求

1.一种列车控制与管理系统，其特征在于，所述系统包括：第一中央控制单元和输入输出单元；所述第一中央控制单元包括多个主控板，不同的所述主控板之间相互独立，且在不同的所述主控板上运行的功能模块具有不同的安全等级；所述输入输出单元与每个所述主控板分别连接；在同一个所述主控板上运行的功能模块具有相同的安全等级。

2.根据权利要求1所述的列车控制与管理系统，其特征在于，所述功能模块的安全等级包括：安全性依次减小的SIL4级、SIL3级、SIL2级和SIL0级；运行具有所述安全等级的功能模块的主控板依次为：SIL4主控板、SIL3主控板、SIL2主控板和SIL0主控板；

所述SIL4主控板、所述SIL3主控板和所述SIL2主控板用于将各自的状态信息发送给所述SIL0主控板；

所述SIL0主控板用于接收所述状态信息，并基于所述状态信息监控列车的整车状态。

3.根据权利要求2所述的列车控制与管理系统，其特征在于，所述SIL4主控板、所述SIL3主控板和所述SIL2主控板均通过以太网或MVB将各自的所述状态信息发送给所述SIL0主控板。

4.根据权利要求1所述的列车控制与管理系统，其特征在于，不同的所述主控板具有不同的通信端口；所述输入输出单元通过每个所述主控板的所述通信端口与该主控板连接。

5.根据权利要求1所述的列车控制与管理系统，其特征在于，所述多个主控板位于同一机箱中；或者，每个所述主控板分别位于不同的机箱中。

6.根据权利要求1所述的列车控制与管理系统，其特征在于，所述输入输出单元包括多个输入输出板卡，不同的所述输入输出板卡之间相互独立，且在不同的所述输入输出板卡上运行的功能模块具有不同的安全等级；所述多个输入输出板卡均连接至每个所述主控板。

7.根据权利要求6所述的列车控制与管理系统，其特征在于，所述多个输入输出板卡位于同一机箱中；或者，每个所述输入输出板卡分别位于不同的机箱中。

8.根据权利要求1‑7中任一项所述的列车控制与管理系统，其特征在于，所述系统还包括：第二中央控制单元；所述第二中央控制单元为所述第一中央控制单元的冗余配置。

9.根据权利要求8所述的列车控制与管理系统，其特征在于，所述第一中央控制单元安装于列车车头处，所述第二中央控制单元安装于列车车尾处。

10.一种列车系统，其特征在于，包括：权利要求1‑9中任一项所述的列车控制与管理系统，以及多个子系统；每个所述子系统均连接至所述列车控制与管理系统；每个所述子系统用于实现不同的列车控制功能。

11.根据权利要求10所述的列车系统，其特征在于，每个所述子系统通过以太网或MVB连接至所述列车控制与管理系统。

说明书

一种列车控制与管理系统及列车系统

技术领域

[0001] 本发明涉及城市轨道交通列车的网络控制技术领域，特别地涉及一种列车控制与管理系统及列车系统。

背景技术

[0002] 在城市轨道交通领域，对车载设备安全性的要求越来越高，要求车载设备必须获得安全认证的证书(包括软、硬件)。现有的列车控制与管理系统(Train Control and Management System,TCMS)的控制程序通常只运行在一个CPU中，即现有的TCMS中的各种功能模块均在同一个CPU中运行，若装车后的软件已获得安全认证证书，一旦软件发生变更，需将该程序全部内容进行变更影响分析，例如，当TCMS与车载其它子系统通信时，一旦某个子系统的端口、协议等内容有修改，涉及该子系统的TCMS中的功能模块则需要重新进行认证、测试、确认。

[0003] 可见，现有的列车控制与管理系统在对其功能模块的安全认证方面，操作复杂、工作量大、认证成本高。

发明内容

[0004] 针对上述现有技术中的问题，本申请提出了一种列车控制与管理系统及列车系统，能够极大地减少认证工作量，从而降低认证成本。

[0005] 为达到上述目的，本发明的技术方案是这样实现的：

[0006] 第一方面，本发明实施例提供了一种列车控制与管理系统，所述系统包括：第一中央控制单元和输入输出单元；所述第一中央控制单元包括多个主控板，不同的所述主控板之间相互独立，且在不同的所述主控板上运行的功能模块具有不同的安全等级；所述输入输出单元与每个所述主控板分别连接。

[0007] 进一步地，在同一个所述主控板上运行的功能模块具有相同的安全等级。

[0008] 优选地，所述功能模块的安全等级包括：安全性依次减小的SIL4级、SIL3级、SIL2级和SIL0级；运行具有所述安全等级的功能模块的主控板依次为：SIL4主控板、SIL3主控板、SIL2主控板和SIL0主控板；

[0009] 所述SIL4主控板、所述SIL3主控板和所述SIL2主控板用于将各自的状态信息发送给所述SIL0主控板；

[0010] 所述SIL0主控板用于接收所述状态信息，并基于所述状态信息监控列车的整车状态。

[0011] 优选地，所述SIL4主控板、所述SIL3主控板和所述SIL2主控板均通过以太网或MVB将各自的所述状态信息发送给所述SIL0主控板。

[0012] 优选地，不同的所述主控板具有不同的通信端口；所述输入输出单元通过每个所述主控板的所述通信端口与该主控板连接。

[0013] 可选地，所述多个主控板位于同一机箱中；或者，每个所述主控板分别位于不同的机箱中。

[0014] 进一步地，所述输入输出单元包括多个输入输出板卡，不同的所述输入输出板卡之间相互独立，且在不同的所述输入输出板卡上运行的功能模块具有不同的安全等级；所述多个输入输出板卡均连接至每个所述主控板。

[0015] 可选地，所述多个输入输出板卡位于同一机箱中；或者，每个所述输入输出板卡分别位于不同的机箱中。

[0016] 进一步地，所述系统还包括：第二中央控制单元；所述第二中央控制单元为所述第一中央控制单元的冗余配置。

[0017] 优选地，所述第一中央控制单元安装于列车车头处，所述第二中央控制单元安装于列车车尾处。

[0018] 第二方面，本发明实施例提供了一种列车系统，包括：上述实施例中任一项所述的列车控制与管理系统，以及多个子系统；每个所述子系统均连接至所述列车控制与管理系统；每个所述子系统用于实现不同的列车控制功能。

[0019] 优选地，每个所述子系统通过以太网或MVB连接至所述列车控制与管理系统。

[0020] 本发明实施例提供的一种列车控制与管理系统及列车系统，将列车控制与管理系统中的中央控制单元划分为多个主控板，不同的主控板之间相互独立，且在不同的主控板上运行的功能模块具有不同的安全等级，即本发明实施例将列车控制与管理系统中不同安全等级的功能模块放在不同的主控板中处理，使得对一种安全等级的功能模块的变更不会影响其它安全等级的功能模块，因此能够极大地减少认证工作量，从而降低认证成本。

附图说明

[0021] 通过结合附图阅读下文示例性实施例的详细描述可更好地理解本发明公开的范围。其中所包括的附图是：

[0022] 图1为本发明实施例中的列车控制与管理系统结构图；

[0023] 图2为本发明实施例中的列车系统结构图。

具体实施方式

[0024] 为了使本发明的目的、技术方案和优点更加清楚，以下将结合附图及实施例来详细说明本发明的实施方法，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。

[0025] 在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

[0026] 实施例一

[0027] 根据本发明的实施例，提供了一种列车控制与管理系统，如图1所示，本实施例所述的系统包括：

[0028] 第一中央控制单元和输入输出单元；所述第一中央控制单元包括多个主控板，不同的所述主控板之间相互独立，且在不同的所述主控板上运行的功能模块具有不同的安全等级；所述输入输出单元与每个所述主控板分别连接。

[0029] 具体地，第一中央控制单元的硬件由多个独立的主控板组成，即由多个独立的CPU组成。所述第一中央控制单元包括多个功能模块，每个功能模块具有各自的安全等级，每个功能模块根据其自身的安全等级运行于不同的主控板，各主控板之间相互独立。并且，在同一个主控板上运行的功能模块具有相同的安全等级，以进一步简化软件认证操作。

[0030] 本实施例中，所述列车控制与管理系统不仅包括上述第一中央控制单元和输入输出单元，还可以包括交换中继单元、显示器等功能模块。

[0031] 本实施例中，所述第一中央控制单元中的功能模块的安全等级包括：安全性依次减小的SIL4级、SIL3级、SIL2级和SIL0级，即，SIL4级安全性最高，具有最高的安全等级；SIL0级安全性最低，具有最低的安全等级，其对应的功能模块为非安全功能模块。SIL4级、SIL3级和SIL2级对应的功能模块为安全功能模块。例如，第一中央控制单元中的安全功能模块包括：牵引封锁模块、电制动管理模块、限速模块等；第一中央控制单元中的非安全功能模块包括：控制空调模块、照明模块等。

[0032] 需要说明的是，上述第一中央控制单元中哪些功能模块为安全功能模块、哪些功能模块为非安全功能模块、各安全功能模块的安全等级如何，均可根据实际的业务需求自行定义和设置。

[0033] 基于上述安全等级的划分，本实施例中，运行具有所述安全等级的功能模块的主控板依次为：SIL4主控板、SIL3主控板、SIL2主控板和SIL0主控板，即，SIL4主控板上运行安全等级为SIL4级的功能模块，SIL3主控板上运行安全等级为SIL3级的功能模块……以此类推，将第一中央控制单元中的各个功能模块分别运行于不同的主控板上，如此，在进行软件认证时能够互不干扰，极大地简化认证操作。

[0034] 在实际应用中，假设将功能模块A和功能模块B设置为SIL4级，功能模块C和功能模块D设置为SIL2级，功能模块E和功能模块F设置为SIL0级(即设置为非安全功能模块)，那么，将功能模块A和功能模块B放在一个主控板上运行，该主控板为SIL4主控板；将功能模块C和功能模块D放在另一个主控板上运行，该主控板为SIL2主控板；将功能模块E和功能模块F放在另一个主控板上运行，该主控板为SIL0主控板。

[0035] 本实施例中，SIL4主控板、SIL3主控板和SIL2主控板之间没有相互的控制逻辑，也没有执行的先后顺序。并且，所述SIL4主控板、所述SIL3主控板和所述SIL2主控板用于将各自的状态信息发送给所述SIL0主控板；所述SIL0主控板用于接收所述状态信息，并基于所述状态信息监控列车的整车状态。

[0036] 本实施例中，所述SIL4主控板、所述SIL3主控板和所述SIL2主控板均通过以太网(Ethernet,ETH)或MVB(Multifunction Vehicle Bus，多功能车辆总线)将各自的所述状态信息发送给所述SIL0主控板。

[0037] 本实施例中，不同的所述主控板具有不同的通信端口，即SIL4主控板、SIL3主控板、SIL2主控板和SIL0主控板具有各自的通信端口，且这些通信端口基于上述安全等级互不相同，所述输入输出单元通过每个所述主控板的所述通信端口与该主控板连接。

[0038] 以通过以太网通信为例，SIL4主控板、SIL3主控板、SIL2主控板和SIL0主控板具有不同的通信端口具体指的是具有不同的以太网通信端口，即trdp端口号不同。例如，第一中央控制单元要实现A功能和B功能，其中，A功能对应安全等级较高的功能模块，即安全等级为SIL4级或SIL3级或SIL2级的功能模块，B功能对应安全等级较低的功能模块，即安全等级为SIL0级的功能模块。这两个功能模块均需要用到C设备发送过来的同一份数据，这个时候我们需要保证实现A功能的数据链路是安全的，就为A功能对应的功能模块所在的主控板定义一个安全端口，采用安全传输协议，保证C设备发来的数据到第一中央控制单元实现A功能的过程是安全的。而B功能对应的功能模块所在的主控板就不需要定义安全端口，只需要为其定义普通通信端口即可，在数据传输过程中也不需要采用安全传输协议。可见，虽然A功能对应的功能模块和B功能对应的功能模块接收的是同一数据源，但其二者的通信端口不同，通信协议不同，二者之间相互独立，互不干涉。

[0039] 在实际的程序运行过程中，不同的安全等级的主控板进行控制逻辑处理时，可能采用同一信号源，但是不同安全等级的主控板从各自不同的端口获取同一份数据，进行各自的控制逻辑处理。即对于不同安全等级的主控板配置不同的通信端口，主控板之间相互独立。

[0040] 本实施例中，所述多个主控板位于同一机箱中；或者，每个所述主控板分别位于不同的机箱中，即，可以将上述不同安全等级的主控板设置于同一机箱中，也可以将每个主控板分别设置于不同的机箱中。当每个主控板分别位于不同的机箱中时，不同的机箱可以位于同一个中央控制单元中，本领域技术人员可以理解，在实际应用中，也可设置多个中央控制单元，将不同的机箱设置于不同的中央控制单元中，以使TCMS中的各功能更加独立。本实施例中，所述输入输出单元包括多个输入输出板卡，不同的所述输入输出板卡之间相互独立，且在不同的所述输入输出板卡上运行的功能模块具有不同的安全等级；所述多个输入输出板卡均连接至每个所述主控板。

[0041] 具体地，如图2所示，将输入输出单元的硬件也划分为多个独立的板卡(相当于第一中央控制单元中的主控板)，使输入输出单元的硬件也由多个独立的板卡组成，即由多个独立的CPU组成。该输入输出单元包括多个功能模块，将该多个功能模块基于其类型和安全等级划分至不同板卡中运行，以进一步简化软件认证操作。

[0042] 需要说明的是，在输入输出单元中，各功能模块也可以不像第一中央控制单元中的功能模块那样区分安全功能和非安全功能，而只根据传输数据的类型来区分使用不同的板卡。在输入输出板卡上运行的功能模块是否具有不同的安全等级可根据实际需求来设置，此处不做限制。

[0043] 本实施例中，所述多个输入输出板卡位于同一机箱中；或者，每个所述输入输出板卡分别位于不同的机箱中，即，可以将上述多个输入输出板卡设置于同一机箱中，也可以将每个输入输出板卡分别设置于不同的机箱中。在实际应用中，可根据实际需求进行设置，此处不做限制。

[0044] 为了保障列车安全、稳定地运行，本实施例所述的系统还包括：第二中央控制单元；所述第二中央控制单元为所述第一中央控制单元的冗余配置。

[0045] 本实施例中，所述第一中央控制单元安装于列车车头处，所述第二中央控制单元安装于列车车尾处。

[0046] 具体地，本实施例通过在列车的车头和车尾各部署一套中央控制单元，实现SIL4主控板、SIL3主控板、SIL2主控板和SIL0主控板的冗余。在实际运行过程中，两套中央控制单元中只有其中一套实现各安全等级的主控功能，当某一安全等级的主控功能失效时，另外一套中央控制单元对应的安全等级主控板接替相应的功能控制。

[0047] 此外，当上述中央控制单元与列车中的其它子系统交互时，例如，某个子系统同时接收两套中央控制单元中对应等级的主控板的数据时，该子系统只信任当前作为主控的主控板的数据，而忽略当前作为备用的主控板(即上述冗余配置的主控板)的数据，只有作为主控的主控板发生故障时，才信任备用的主控板的数据。

[0048] 例如，子系统BCU(Braking Control Unit,制动控制单元)同时接收第一中央控制单元CCU1的SIL4主控板和第二中央控制单元CCU2的SIL4主控板发出的控制信息/数据，但是只信任CCU1的SIL4主控板的控制信息/数据，而执行相应的操作。若CCU1的SIL4主控板发生故障，转而信任CCU2的SIL4主控板的控制信息/数据。

[0049] 本发明实施例提供的一种列车控制与管理系统，将列车控制与管理系统中的中央控制单元划分为多个主控板，不同的主控板之间相互独立，且在不同的主控板上运行的功能模块具有不同的安全等级，即本发明实施例将列车控制与管理系统中不同安全等级的功能模块放在不同的主控板中处理，使得对一种安全等级的功能模块的变更不会影响其它安全等级的功能模块，因此能够极大地减少认证工作量，从而降低认证成本。

[0050] 实施例二

[0051] 本发明还提供一种列车系统，如图2所示，该系统包括：

[0052] 上述实施例一中所述的列车控制与管理系统，以及多个子系统；每个所述子系统均连接至所述列车控制与管理系统；每个所述子系统用于实现不同的列车控制功能。

[0053] 本实施例中，每个所述子系统通过以太网或MVB连接至所述列车控制与管理系统。

[0054] 所述子系统包括：传动控制单元TCU、牵引控制单元DCU、制动控制单元BCU、空调HVAC、逻辑控制单元LCU、蓄电池管理系统BMS、乘客信息系统PIS等。列车控制与管理系统通过与这些子系统进行交互，搭建列车的通信网络，实现对列车的控制和管理功能。

[0055] 在图2中，所述列车控制与管理系统包括第一中央控制单元，和与第一中央控制单元互为冗余配置的第二中央控制单元，第一中央控制单元和第二中央控制单元分别设置于列车车头和车尾处。所述列车控制与管理系统还包括输入输出单元，用于执行输入数据和输出数据的功能。

[0056] 本实施例中所述的列车系统的工作原理、工作流程等涉及具体实施方式的内容可参见本发明所提供的列车控制与管理系统的具体实施方式，此处不再对相同的技术内容进行详细描述。

[0057] 本发明实施例提供的一种列车控制与管理系统及列车系统，将列车控制与管理系统中的中央控制单元划分为多个主控板，不同的主控板之间相互独立，且在不同的主控板上运行的功能模块具有不同的安全等级，即本发明实施例将列车控制与管理系统中不同安全等级的功能模块放在不同的主控板中处理，使得对一种安全等级的功能模块的变更不会影响其它安全等级的功能模块，因此能够极大地减少认证工作量，从而降低认证成本。

[0058] 虽然本发明所公开的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所公开的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的保护范围，仍须以所附的权利要求书所界定的范围为准。