鐵路通信系統(tǒng)冗余保護機制問題研究及案例分析

趙建國

在中國鐵路高速發(fā)展的進程中，通信系統(tǒng)作為主要基礎設施日漸突顯出不可替代的重要作用，在鐵路運行調度指揮、列車運行控制、運行安全監(jiān)測、視頻監(jiān)控、災害防范預警、突發(fā)事件處置等諸多專業(yè)及領域發(fā)揮著重要的信息傳送作用［1］。通信系統(tǒng)設備設施的低故障率，網(wǎng)絡的高可用性，是鐵路運輸安全生產(chǎn)的重要保障和前提。為適應鐵路運輸日益復雜和嚴苛的要求，鐵路通信系統(tǒng)從本質安全角度出發(fā)，堅持人防、物防、技防相結合，采取有效應對措施，努力克服“黑天鵝”及“灰犀牛”安全事件發(fā)生［2］。多年來，通信系統(tǒng)持續(xù)推進網(wǎng)絡、設備、功能單元等不同層面的冗余保護機制作用的有效發(fā)揮，從而大幅提升通信系統(tǒng)的穩(wěn)定性［3］。然而，冗余保護機制的引入也使得網(wǎng)絡結構更加復雜，設備數(shù)量進一步增加，軟件控制邏輯更為關鍵，對通信設備管理和維護工作提出了新的要求［4］。本文結合典型故障案例，對冗余保護機制功能的實現(xiàn)、作用的發(fā)揮，以及存在問題進行研究分析，并提出工作建議和措施，開拓鐵路通信設備維護工作思路，筑牢通信網(wǎng)絡安全屏障。

1 冗余保護機制

1.1 冗余保護機制概念

“冗余保護”就是在硬件和軟件基本功能具備的情況下，通過增加備份硬件及軟件控制功能實現(xiàn)冗余保護能力，也稱為冗余技術或容災備份技術。鑒于鐵路通信系統(tǒng)的重要屬性，往往在設計之初就會充分考慮冗余保護，從網(wǎng)絡搭建、設備、單板等各層面實現(xiàn)冗余保護功能。冗余保護等級一般分為：系統(tǒng)網(wǎng)絡級保護、設備網(wǎng)元級保護和板件級保護。冗余保護方式包括：主備（冷、熱）倒接、負荷分擔等［5］。冗余保護機制等級及運用示例見表1。

表1 冗余保護機制等級及運用示例

由表1 可見，各等級功能實現(xiàn)所采用的冗余方式并不相同。從GSM-R 網(wǎng)絡結構體系來看，全路GSM-R 共用設備核心網(wǎng)元級故障是災難性的，網(wǎng)元采用北京、武漢異地設置，兼顧熱備份和負荷分擔，能夠很好地滿足設備高可用性要求［6］。基站設備作為無線網(wǎng)系統(tǒng)的接入設備，為確保運營速度350 km/h 線路CTCS-3 級列控系統(tǒng)要求，站間距按3 km 設置，采用奇、偶數(shù)環(huán)型組網(wǎng)，形成交織冗余覆蓋，單站故障并不會持續(xù)影響列控系統(tǒng)工作。綜上所述，冗余保護機制呈現(xiàn)系統(tǒng)性結構特點，猶如金字塔型。網(wǎng)絡層級越高的系統(tǒng)采用的冗余方式越多樣、網(wǎng)絡結構越復雜、硬件依賴關系越繁雜，同時也滿足了更嚴苛的穩(wěn)定性要求。

1.2 冗余保護機制發(fā)揮

冗余保護機制的實現(xiàn)，使得鐵路通信系統(tǒng)自愈能力得到大幅提升，在故障發(fā)生過程中能夠做到用戶無感知，同時也有效地保障了故障修復和應急處置工作的開展。

1）設備故障應急方面。目前通信系統(tǒng)冗余保護機制已經(jīng)非常成熟，電源系統(tǒng)的一、二路外電引入負載分擔，同步數(shù)字體系傳輸網(wǎng)絡路徑保護、子網(wǎng)保護，GSM-R 無線網(wǎng)絡交織覆蓋或A/B 網(wǎng)冗余覆蓋［7］。據(jù)統(tǒng)計，2023年以來某路局發(fā)生的7件光纜中斷故障中，由于傳輸光纜徑路保護未造成用戶面業(yè)務影響；某高鐵線路5 件基站硬件設備故障中，由于無線網(wǎng)絡交織冗余覆蓋，沒有發(fā)生1 件C3 級列控系統(tǒng)無線通信中斷故障。冗余保護機制為鐵路通信系統(tǒng)重要業(yè)務保護提供了有效的技術支撐手段。

2）設備維護方面。鐵路通信系統(tǒng)網(wǎng)絡的冗余保護機制在維修過程中同樣發(fā)揮著重要作用。根據(jù)《鐵路通信設備維護規(guī)程》規(guī)定，通信部門需在規(guī)定周期內對系統(tǒng)設備開展檢修、試驗及集中修等維護工作［8］。為滿足維修工作過程中重要業(yè)務不發(fā)生中斷要求，通過采用網(wǎng)絡冗余倒換、單側冗余設備承載業(yè)務等方法，有效地減少通信維修對鐵路運輸生產(chǎn)的影響。

2 問題分析

冗余保護機制的設置及功能發(fā)揮，為縮短故障延時、單板故障應急處置提供了有效的技術手段，提升了應急處置能力。在板件故障、光纜中斷、基站設備退服等方面也表現(xiàn)出較好的響應能力，為鐵路安全運輸生產(chǎn)提供了有效的保障［9］。同時隨著網(wǎng)絡、系統(tǒng)設備的復雜程度的大幅提升，受到軟、硬件設計缺陷、隱性故障、維護手段不當?shù)纫蛩赜绊懀o機制發(fā)揮帶來諸多問題。

1）復雜的網(wǎng)絡級設備冗余，考驗原廠設備倒換機制的合理性。①在維護過程中發(fā)生的故障節(jié)點存在硬件故障非顯性特點，也就是俗稱的“假死”現(xiàn)象，系統(tǒng)并不能感知故障點，從而引發(fā)的冗余失效問題時有發(fā)生；②現(xiàn)代的通信設備在倒換機制設計方面已經(jīng)摒棄了開關量概念，在量化倒換觸發(fā)條件下，如何合理設置倒換參量顯得尤為重要；③通信系統(tǒng)在實現(xiàn)冗余倒換過程中，為避免主備節(jié)點、板卡的頻繁切換，往往設置保護時間，這也使得冗余保護切換存在不及時問題。

2）繁多的硬件數(shù)量和軟件控制使故障率升高。①為實現(xiàn)冗余保護機制增加的硬件設備往往處于備用狀態(tài)，對其檢監(jiān)測手段并不完善，導致備用設備狀態(tài)存在一定概率的不確定性；②從統(tǒng)計概率方面分析，增加的硬件數(shù)量與故障率的上升成正比關系，也就是說硬件數(shù)量越多，發(fā)生故障的概率越大；③軟件控制是實現(xiàn)冗余保護機制的核心手段，倒換時間控制、主備節(jié)點數(shù)據(jù)一致性和倒換過程中的數(shù)據(jù)完整性，都是考量保護能力的重要因素。

3）“假冗余”問題頻繁發(fā)生。通信系統(tǒng)設備通常由數(shù)據(jù)總線、核心控制板、接口板及功能性板卡組成，系統(tǒng)單元間存在極大的互相依賴關系。而原廠冗余保護設計不可避免地存在單一節(jié)點無冗余情況。例如，在使用2 Mbit/s專線承載業(yè)務時，傳輸SDH 接口板用于承載物理鏈路，通過使用多鏈路保護方式，并與用戶終端側配合完成，而終端設備倒換機制不完善、倒換不及時，則引發(fā)業(yè)務中斷，從而發(fā)生“假冗余”問題。“假冗余”問題并非一個系統(tǒng)或單一節(jié)點缺陷，而是通信系統(tǒng)在承載業(yè)務的過程中，終端用戶錯誤理解冗余保護機制，而使機制失效。

此外，在采用板件負荷分擔工作方式時，控制信令和業(yè)務數(shù)據(jù)均配置到單板上，這也使得硬件故障后相應的承載功能失效或出現(xiàn)數(shù)據(jù)遷移丟失問題。

3 典型案例分析

北京局某高鐵線路基站控制器（BSC） 自2018 年隨線路工程建設入網(wǎng)運用，接入北京局既有GSM-R核心網(wǎng)，控制沿線基站設置的78套主備基站（BTS）。無線網(wǎng)絡使用單層交織冗余保護方式，同時利用數(shù)字化區(qū)間中繼設備加漏纜或天線方式解決隧道等弱場強覆蓋問題，線路采用GSM-R無線網(wǎng)承載CTCS-3級列控系統(tǒng)業(yè)務［10?11］。

2023年某日5：02，BSC主控單元1機框內矩陣切換控制器（SWPRO）故障，導致6 個基站出現(xiàn)脫管及退服故障，造成車載ATP 無線終端在上述基站覆蓋區(qū)域無法通過GSM-R 網(wǎng)絡與地面無線閉塞中心進行信息交互，發(fā)生無線通信超時和系統(tǒng)降級運行［12］。經(jīng)網(wǎng)管側對基站小區(qū)數(shù)據(jù)進行重置后，故障基站狀態(tài)恢復。

3.1 BSC設備架構

BSC 設備邏輯結構見圖1，采用雙平面硬件邏輯結構，核心主控單元采用1+1 冗余保護，信令處理單元采用2∶1 熱備負荷分擔方式工作；接口單元、時鐘單元、消息總線單元全部采用1+1 主備冗余保護；核心交換管理、基站側信令管理、話務處理、移動性管理等業(yè)務由各功能單元分別承載，軟件控制實現(xiàn)全分散，是典型的分布式系統(tǒng)結構。

圖1 BSC設備邏輯結構

BSC設備主要功能如下。

1） 主控單元（MCMU）由交換矩陣、矩陣控制器、消息總線單元（圖1 紅色部分）組成，用于監(jiān)控和監(jiān)督BSC 上的數(shù)據(jù)和信令交換，主要實現(xiàn)BSC 中各個單元和板件間電路的切換和連接，負責蜂窩小區(qū)和無線信道的管理和數(shù)據(jù)配置。MC?MU 是BSC 中的計算機單元之一，也是BSC 最為重要的功能單元。

2） 交換矩陣（GSW2KB），負責BSC 內部脈沖編碼調制（PCM）鏈路和外部PCM 鏈路轉換，主要包括A、ATER、Abis、Gb 等接口，是MC?MU 的重要組成部分。對于一個MCMU 來說，滿配為8 塊SW256B 板卡，每塊SW256B 處理256 個PCM 鏈路，通過矩陣控制器進行管理，提供0～2 047 個外部PCM 鏈路。各個PCM 鏈路通過GSW2KB相互通信。

3） 消息總線單元（MB），負責中央處理器（CPU）單元與運營維護單元、MCMU、信令處理單元間內部通信，是CPU 單元通信的橋梁。以太網(wǎng)消息總線單元（EMB）寄生在MCMU 單元中，同框供電，但EMB是一個獨立的單元。

4） 信令處理單元（BCSU）：負責MSC 和BSC 間承載業(yè)務的7 號信令以及BSC 和BTS 間的D信道鏈路接入規(guī)程信令的處理；同時包交換處理單元（PCU）用來處理分組數(shù)據(jù)業(yè)務，是重要信令控制單元。

5） 操作維護單元（OMU），負責收集BSC側各個單元和基站傳送的告警，提供人機接口，并控制時鐘單元。OMU 單元不承載業(yè)務，但也是BSC中最重要的單元之一。

6） 接口單元，負責連接BTS 和MSC（或TC），實現(xiàn)BTS 與BSC 以及MSC 與BSC 間的通信和數(shù)據(jù)傳輸。

3.2 故障原因分析

對告警信息進行分析，5：01開始，MCMU-1出現(xiàn)多條環(huán)路測試告警，告警記錄截圖見圖2，提示“交換矩陣單元的內部通道測試失敗”。通道分布在6 塊交換矩陣板，均由SWPRO 控制，據(jù)此判斷告警是由MCMU-1 單元的SWPRO 板卡故障導致。5：09主控單元發(fā)生倒換告警（圖2紅色記錄）及主控單元-1失效（圖2紅色記錄）。

圖2 告警記錄截圖

對日志信息進行分析，如圖3 所示，在主控板發(fā)生故障后，BCSU-2于5：09、5：12發(fā)生2次短時間切換（圖3 藍色記錄）。在單元切換期間需要一定的時間（原廠手冊建議不小于5 min）加載內存中的工作文件。由于BCSU 在不到3 min 的時間內切換2 次，內存中的工作文件內容加載不完整，部分基站未能完全同步，從而導致全線6 個基站脫管，16個基站載頻受限，無法正常工作。

圖3 日志記錄截圖

綜上所述，無線基站控制器主控單元內矩陣切換控制器單板故障，引發(fā)信令處理單元短時間內發(fā)生2 次異常切換，并在倒換過程中出現(xiàn)部分基站脫管、載頻受限，基站與BSC 信令處理單元未完全同步，控制信令異常，使業(yè)務運用受到影響。

3.3 保護倒換機制問題

對本次故障進行復盤分析可以看出，在設計層面非常完備的雙平面化硬件結構及全分散的軟件控制體系下，仍舊發(fā)生了冗余機制失效問題。因主控單元故障硬件設備未及時觸發(fā)顯性告警，在進行冗余切換環(huán)節(jié)出現(xiàn)延時問題。此外，設備主要單元間的依賴關系又使得信令處理單元短時頻繁切換，控制數(shù)據(jù)發(fā)生異常缺失或不可用。具體問題如下：

1） MCMU-1 中矩陣切換控制器在發(fā)生故障后，系統(tǒng)9 min 后才完成備用單元的切換，切換不及時。

2） MCMU-1 故障期間引發(fā)BSC 設備交換矩陣單元工作異常，大量信令鏈路環(huán)路測試失敗，觸發(fā)BCSU-2 向BCSU-1 發(fā)生切換，3 min 鐘后回切至原工作單元。

3） BSC 設備信令控制單元在短時間內發(fā)生2 次主備單元切換，不滿足5 min 保護時間要求，出現(xiàn)與部分基站數(shù)據(jù)未完成同步的問題，引發(fā)部分基站脫管、載頻受限，從而導致基站無法運行。

4） BSC 設備各單元狀態(tài)基本穩(wěn)定后，故障基站需下發(fā)配置數(shù)據(jù)或重啟后恢復正常。

3.4 整改措施

本次故障暴露出該BSC 設備在矩陣切換控制器隱性故障情況下，主備切換機制、觸發(fā)條件、主備單元切換后數(shù)據(jù)完整性等方面存在問題，采取以下應對措施。

1） 更換MCMU-1 中的SWPRO，后續(xù)設備運行穩(wěn)定。

2） 在實驗室對故障板件進行故障復現(xiàn)，診斷結果為失敗，確定故障定位準確。

3） 該BSC告警采用依賴關系邏輯，當擾動級別1044-環(huán)路測試失敗、1045-內存比對失敗，累積到閾值后，可觸發(fā)1598-主控單元失效告警。通過試驗復現(xiàn)故障，擾動告警觸發(fā)閾值參數(shù)為4Y，表示1044、1045 類型告警，上報累計16 次后觸發(fā)1598 單元失效告警，系統(tǒng)觸發(fā)切換。由于參數(shù)設置不準確導致主控切換產(chǎn)生延時。通過修改閾值參數(shù)為64 N，表示發(fā)生一次立即觸發(fā)，能夠解決主控單元由于擾動告警規(guī)則引發(fā)的切換延時問題。

4） 主控單元切換和信令處理單元切換均存在基站設備脫管等異常問題。原廠研發(fā)團隊暫無解決方案，為應對此問題，需提前準備全線各基站配置數(shù)據(jù)腳本，縮短應急處置時間。

4 建議措施

冗余保護機制的設置使得鐵路通信系統(tǒng)的可用性得到進一步提升，看到成效的同時，也要積極應對由于各種因素的影響而出現(xiàn)的失效問題，通過采取有針對性的維護管理手段，補齊冗余機制短板，提出以下4點建議措施。

1）豐富冗余試驗場景。要針對設備的倒換保護機制細化試驗方案，通過增加試驗場景，摒棄單一命令切換試驗方法，掌握每類設備的保護機制原理和特性，達到應之有備。

2）增加重點設備冗余切換頻次。對設備在線時間長，工作環(huán)境惡劣的設備，增加冗余切換試驗頻次，由《維規(guī)》要求的年度試驗調整為半年，同時結合重點任務、暑運及春運保障工作適時開展，及時發(fā)現(xiàn)并解決軟硬件隱患問題。

3）進一步完善冗余切換的作業(yè)流程。分周期進行主備節(jié)點業(yè)務承載，冗余備用狀態(tài)板件的正常與否，在短時間的試驗和系統(tǒng)監(jiān)測條件下并不能客觀反映，要在維護作業(yè)中明確非業(yè)務承載板件、節(jié)點的狀態(tài)倒換，并使其具備一定時間的運行條件，從而提升備用設備的運用質量。

4）提升應急處置能力。通過故障模擬找到設備保護機制的切換用時及觸發(fā)條件，完善應急預案中對切換機制觸發(fā)條件、切換時間、板件切換保護時間等內容，提升應急響應能力。在發(fā)生復雜網(wǎng)絡故障導致系統(tǒng)機制失效時，堅決采取人工切換方法，采取“斷、停、甩”的處置思路，舍棄低級別保護機制設備，發(fā)揮上級網(wǎng)絡保護機制作用。

5 結論

目前鐵路通信系統(tǒng)冗余保護功能因受到原廠設計、系統(tǒng)組網(wǎng)、軟件缺陷、參數(shù)設置等諸多因素影響，沒能充分發(fā)揮出其應有的能力，特別是核心設備功能實現(xiàn)方面還存在欠缺。切換觸發(fā)條件的合理性、網(wǎng)絡和設備的關聯(lián)性、維護試驗周期、測試內容，以及冗余設備的業(yè)務承載等方面仍需完善。通過設備的優(yōu)化及維護管理制度的加強，能夠更有效地解決冗余保護機制存在的問題，充分發(fā)揮機制作用［13］。

隨著5G-R 技術的發(fā)展，鐵路通信系統(tǒng)的演進將變得更加深入，冗余保護機制的功能也將更為全面。原有通過硬件疊加實現(xiàn)的冗余保護機制將被高度集成化的元器件所替代。分散的軟件控制技術、云化虛擬主機將以“看不到”的形式完成邏輯功能［14］。維護人員將很難判斷某個功能單元具體運行的服務器位置，以及處理數(shù)據(jù)記錄或者業(yè)務請求的實體設備情況，數(shù)據(jù)通信、全光網(wǎng)絡將會在更大范圍內取代傳統(tǒng)的接入設備，全互聯(lián)的網(wǎng)絡結構在每一個數(shù)據(jù)包面前都是通路，如何更好地發(fā)揮冗余保護機制的作用，仍需要通信部門的維護人員和設計者繼續(xù)深入研究。