3. VOBC硬件平台架构解析

VOBC（车载控制器）是CBTC系统中直接承担列车安全防护与自动驾驶的核心设备，其硬件平台必须在振动、温度、电磁干扰和供电波动的隧道/高架环境下长期连续工作。理解VOBC硬件，关键不是记住“有哪些板卡”，而是看清三件事：安全相关功能由哪套计算平台承载、现场信号如何进出、以及单点故障时系统靠什么维持或安全降级。本节围绕典型硬件组成、安全计算机平台、输入输出模块和电源冗余设计展开。

一、典型VOBC硬件组成

一套完整的VOBC通常安装在司机室或设备柜内的机笼中，典型组成包括：安全计算机单元（含主处理器板与安全比较逻辑）、通信接口单元（分别连接轨旁ZC、联锁和车载无线天线）、输入输出模块（采集列车状态、驱动制动与牵引指令）、测速定位单元（轮轴速度传感器、雷达、应答器读取天线接口）、电源模块与冗余切换单元，以及记录与维护接口。各单元通过背板总线和安全通信链路互联，形成“感知—计算—输出—记录”的闭环。

从功能划分看，VOBC硬件可分为安全相关通道与非安全辅助通道。安全通道承载超速防护、移动授权跟踪、车门与站台门联锁等逻辑，必须满足故障—安全原则；非安全通道承担人机显示、日志记录、维护诊断等，允许在故障时降级但不影响行车安全。这种划分直接决定了后续平台与电源的冗余等级。

二、安全计算机平台：2取2与双机热备

VOBC安全计算机平台常见两种结构。第一种是2取2（2oo2）比较结构：两套独立处理器运行相同安全程序，各自采集输入、独立运算，结果送入硬件比较器；只有两路输出一致时才允许安全输出生效，任一路故障即导向安全侧。第二种是双机热备结构：主备两套计算机同时运行，主系输出、备系同步跟踪，主系故障时由切换逻辑将输出权移交备系，切换过程需保证输出不产生危险跳变。

实际工程中，2取2结构的安全性高但可用性受单点故障影响，双机热备可用性好但需要严格的同步与切换判据。部分平台采用“2取2加备用”的复合结构，兼顾两者。无论哪种结构，平台都必须具备：上电自检、周期性的内存与CPU自检、比较器超时检测、看门狗复位，以及故障时的安全输出切断。教学示例中，若比较周期设为20 ms、比较器超时阈值设为5 ms，则单路运算超时即判定为不一致并触发安全导向，这一时序关系是理解平台行为的关键。

三、输入输出模块：安全采集与安全驱动

I/O模块是VOBC与列车“对话”的边界。数字量输入用于采集车门锁闭状态、驾驶模式选择、警惕按钮、紧急制动反馈等开关量；数字量输出用于驱动制动施加、牵引使能、车门使能等安全相关指令；模拟量输入则用于速度传感器、制动风压等连续量采样。安全相关I/O不能简单采用普通光耦或继电器，而应具备回读校验：输出指令发出后，通过独立的反馈通道读回实际状态，与期望值比较，不一致即判定输出故障并导向安全侧。

工程上还需关注采样滤波与去抖。例如车门状态信号在振动下可能产生毫秒级抖动，若直接参与安全逻辑会造成误判。常见做法是设置确认窗口，如连续3个采样周期（示例取10 ms周期，即30 ms）状态一致才确认变化，同时保证该延迟不影响安全制动距离的计算。输入通道还应具备断线检测，通过偏置电流判断传感器回路是否开路，避免“断线被读成安全状态”的隐蔽危险。

四、电源与冗余设计

VOBC通常由列车110 V直流母线供电，经电源模块转换为内部所需的5 V、12 V、24 V等电压。由于单路电源故障会直接导致设备失电，工程上普遍采用双路电源并联供电加二极管隔离（或冗余切换模块）：两路电源同时工作，任一路失效时另一路无缝承担全部负载，同时向维护系统上报失电告警。电源模块本身应具备过压、欠压、过流和短路保护，并在输入电压跌落至规定下限时仍能维持输出稳定。

冗余设计不止于电源。通信链路常采用双网冗余，主备通道周期切换探测；测速定位采用轮轴传感器与雷达互补，防止空转滑行导致测速失真；关键输出采用双通道串联切断，任一通道断开即切断安全输出。需要强调的是，冗余不是简单“加一套”，而要保证故障可检测、切换可判断、切换后状态可确认，否则冗余本身可能引入共因失效。

五、从架构到维护的观察点

理解硬件架构后，日常维护和排障就有了观察坐标。上电时观察平台自检是否通过、比较器是否报不一致；运行中关注I/O回读是否频繁告警、电源是否出现单路失电记录；定位异常时区分是传感器故障还是接口断线。教学示例中，若维护日志显示“电源B失电、系统未降级”，说明冗余切换正常，应安排更换电源B而非停车；若显示“比较器不一致”，则必须按安全流程退出服务并检查处理器板与程序版本一致性。硬件架构的价值，最终体现在这些可观察、可判断的维护决策上。