2. 联锁系统硬件架构剖析

计算机联锁系统的硬件架构，本质上是围绕一个核心矛盾展开的：既要让系统在正常时高效完成进路控制，又要在任何单点故障下仍然导向安全侧。理解典型硬件组成与冗余结构，是后续进行系统设计和设备选型的基础。本节以国内铁路广泛应用的二乘二取二（2oo2×2）和三取二（2oo3）两类架构为主线，剖析其硬件组成、冗余机理与故障安全实现方式。

一、典型硬件组成

无论采用哪种冗余结构，一套计算机联锁系统的硬件大体可划分为五个功能域：

• 联锁机（运算层）：系统的核心，承担联锁逻辑运算、进路办理、信号开放与关闭判断。通常由多套独立的运算单元（CPU 板、安全运算模块）构成，各单元之间通过同步或比较机制互相校验。
• 通信机（通信层）：负责联锁机与上位监控机、相邻联锁、CTC/TDCS、监测系统之间的数据交换，同时承担通信协议的转换与通道冗余管理。
• 驱动采集接口（I/O 层）：包括驱动板（输出至继电器或电子执行单元，控制转辙机、信号机点灯）和采集板（采集轨道电路、道岔表示、信号机状态等现场条件）。这一层是联锁逻辑与室外设备之间的“手”和“眼”。
• 电源系统：通常采用双路独立电源输入，经 UPS 与联锁专用电源屏转换为各级所需电压，并对关键负载实行分路供电与不间断切换。
• 执行与表示设备：安全型继电器组合、电子执行单元、转辙机、信号机、轨道电路等，属于联锁系统的被控对象与状态来源。

需要强调的是，驱动与采集在安全架构中并不对称：采集通道的故障应导向“少采集”或“状态不确定”，驱动通道的故障应导向“不驱动”。这一原则直接决定了接口层的电路设计与自检策略。

二、二乘二取二结构

二乘二取二由两套完全独立的“二取二”子系统构成，记为 A 系与 B 系。每系内部有两套运算单元同时运行同一份联锁程序，逐周期比较运算结果，只有两套结果一致时才认为本系输出有效；A、B 两系之间再通过主备或并行比较方式决定最终输出。其硬件关系如下图所示。

二乘二取二的关键在于“先二取二、再二乘二”：系内比较解决单套运算单元的随机故障，系间比较或主备切换解决整系故障。当 A 系某一运算单元故障时，A 系输出被封锁，系统可降级为 B 系单系二取二运行，仍保持故障安全；若两系均失去二取二条件，则系统导向安全侧，关闭信号。这种结构在故障覆盖率与可用性之间取得了较好平衡，是国内干线铁路联锁的主流选择。

三、三取二结构

三取二结构由三套独立运算单元同时运算，对同一输出采用“三取二”表决：三套结果中至少两套一致，才认定该结果有效。其硬件关系可理解为三条并行运算通道汇聚到一个表决器，再驱动输出。与二乘二取二相比，三取二在单套单元故障时无需切换即可继续运行，可用性更高；但三套单元必须严格同步，且表决器本身需具备故障安全特性，否则表决环节会成为新的单点。三取二对软件版本一致性、时钟同步精度要求更严，硬件成本也更高，多用于对可用性要求极高的枢纽或特殊场景。

四、冗余结构与故障安全原则

两类架构的冗余逻辑可归纳为下表：

故障安全原则贯穿硬件设计始终，具体体现为三条：其一，输出导向安全，驱动电路采用动态输出或安全继电器，失电即落下，任何器件失效不得导致信号错误开放；其二，比较与自检，运算单元逐周期比较、I/O 通道回读校验、电源与时钟在线监测，使故障在造成危害前被检出；其三，故障—安全降级，系统检出故障后不是简单停机，而是按预定策略降级运行或导向安全侧，并给出明确报警。

五、硬件选型依据

实际选型时，应围绕安全完整性等级、可用性指标、现场接口规模与环境条件综合判断。以下为一份可参考的选型核对要点（示例参数为合理假设，需按具体工程核算）：

• 安全等级：按线路等级确定所需 SIL 等级，据此选择具备相应安全认证的联锁平台与安全继电器。
• 可用性目标：若年可用性要求高于 99.99%，优先考虑三取二或双系热备；一般车站二乘二取二即可满足。
• I/O 规模：统计道岔、信号机、轨道区段数量，按 20%～30% 余量配置驱动采集板卡，并预留扩展槽位。
• 通信接口：核对与 CTC、相邻联锁、监测系统的协议与通道数量，通信机需支持双网冗余。
• 电源与接地：双路电源来自不同变压器或母线段，UPS 后备时间按不小于 30 分钟考虑，接地电阻满足联锁设备要求。
• 环境适应性：机房温度、湿度、电磁环境决定机柜散热与屏蔽方案，室外接口需考虑防雷与隔离。

综上，二乘二取二与三取二并非优劣之分，而是面向不同可用性与成本约束的两种工程解。掌握其硬件组成与冗余机理，才能在后续进路控制逻辑设计与接口配置中，做出与系统架构相匹配的技术决策。