范 楷，张 淼，滕 达，冯浩楠，段宏伟

（1．中国铁道科学研究院集团有限公司，北京 100081；

2．国家铁路智能运输系统工程技术研究中心，北京 100081）

以列车运行控制系统为代表的铁路信号系统如何适应国内西部及西南部地区高原、戈壁的恶劣运行环境以及人迹罕至、维护成本极高的运维条件，是信号系统发展遇到的新难题。在已有的CTCS技术体系框架下，研究能够适应特殊环境的新型列控系统成为当前铁路信号领域工作的重点。适应发展需求的列车自主完整性检查技术是列控系统研究的关键点之一，北斗卫星导航技术的成熟为列车完整性检查技术的突破奠定了基础[1-2]。

1 列车完整性检查定义及现有方案

列车完整性检查，是指列车及信号系统在运行期间对列车车厢连接完整性进行的检查。列车行驶途中如果发生解体，将对后续列车的安全构成重大威胁[3-4]。由机车牵引的货运列车车辆间通过车钩及风管连接，不具备有线贯通的条件，因此完整性检查需要借助于列车尾部安全防护装置(简称列尾装置)以及轨旁设备对于轨道占用的检测共同完成。列尾装置通过检查风压是否正常，间接检查列车完整性，当风管断开泄漏量超过规定值时，向司机发出警示[5]。同时，轨旁设备通过占用检查得知解体车厢位置，防止后续列车进入所在区段。目前方案主要有以下几个方面问题。

1）传统列尾装置不是故障-安全设备，仅能告知司机列车完整性，无法第一时间通知信号系统列车完整性状态。

2）轨旁设备投资及维护量巨大，无法适应我国西部、西南部铁路恶劣、艰难的环境及运维条件。

3）目前方案无法适应移动闭塞的发展方向。

4） 列尾装置每隔1 min甚至几分钟对风压进行一次查询，完整性检查的实时性不足。

2 下一代列控系统完整性检查需求分析

2013年，欧洲下一代列控系统(Next Generation Train Control System，NGTC)项目正式启动，该项目通过对下一代列控技术体系进行研究，达到提升干线铁路自动化水平，进一步降低信号设备运维成本，提升信号系统可用性、可靠性等目的[6]。与之对应的，我国CTCS新型列控系统方案的研究工作也正在进行，系统的核心需求包括以下两点。

1）通过符合CTCS体系的高兼容性以及先进的追踪运行方式使系统运营更加高效。

2）应用列车多源融合自主定位、IP化无线通信、智能驾驶、安全的列车完整性检查等前沿技术使系统技术更加先进。

可见，简化系统结构，通过精确的列车定位，简化轨旁设备，实现移动闭塞是国内外学者对下一代列控系统研究的共同研究方向。列车自主进行完整性状态检查是以上研究方向的技术保证。

3 基于北斗卫星的完整性检查技术方案

目前，应用于青藏铁路的增强型列车控制系统(ITCS)通过GPS卫星定位技术实现列车定位，可见卫星定位技术在列控系统的应用已有先例[7]。随着我国北斗卫星系统定位精度不断提高，应用北斗卫星实时判断列车完整性状态成为一种可行方案。由此提出一种基于北斗卫星的列车完整性检查方案，方案所描述的列车完整性检查系统（The Onboard Train Integrity，OTI），由OTI列尾设备。OTI通信通道以及OTI列首设备组成。其结构如图1所示。

3.1 OTI列尾设备

在图1中，列尾设备由主控单元、列尾综合定位模块、无线通信电台、显示操作单元及供电电池等构成。

列尾设备在传统列尾装置功能的基础上应新增如下功能。

1）实时接收北斗卫星定位信息，经过相应处理后，得出准确的列尾位置、速度信息。

2）利用风压传感器实时采集列尾风压信息。

3）实时监测自身设备故障情况，在故障时生成相应报警信息。

4）完成与列首设备的一对一建联、断联功能。

5）与列首设备周期性通信，发送列尾风压、位置、速度、报警等信息。

3.2 OTI通信通道

通信通道是列首设备及列尾设备间建立联接及进行通信的通道，该通信通道由铁路专用无线通信网络及IP查询服务器组成。通信通道的作用体现在设备建联及正常通信过程当中。OTI设备间建立联接的过程如图2所示。

3.3 OTI列首设备

列首设备利用列车综合定位系统得出的列车头部位置、速度信息，结合司机输入的列车长度以及列尾设备发送的列车尾部风管压力、位置、速度等信息，进行综合计算，判断列车完整性，并将完整性信息实时上报车载ATP设备。列车完整性状态包括列车完整、列车完整性丢失、列车完整性未知3种情况。列车完整性综合判断的标准应包含以下几个方面。

1）列首、列尾风管压力状态不正常且差值大于阈值，则判断列车完整性丢失。

2）列首、列尾距离与车长差值大于阈值，则判断列车完整性丢失。

3）列首、列尾速度差值大于阈值，则判断列车完整性丢失。

4）车载设备超过一定时间未接收到列尾发送的任何信息，则判断列车完整性丢失。

5）列尾设备卫星定位功能失效且风压正常，则维持列车确认后端位置不变，此时处于列车完整性未知状态，若在此情况下列车运行超过一定距离，则判断列车完整性丢失。

4 OTI风险分析

OTI是列控系统当中列车完整性信息的唯一来源，承担着重大的安全责任。结合技术方案对OTI进行系统级风险分析，并研究相应措施关闭识别到的风险，是十分必要的过程。FMECA(Failure Mode，Effects and Criticality Analysis)方法包括故障模式及影响分析（FMEA）和危害性分析（CA），对产品所有可能的故障模式进行分析，确定故障模式，找出单点故障，按严重度及发生概率确定其危害性[8]。

“无耻公子”的认输在江湖上掀起了轩然大波，赵白的名声更是被大家越传越神。最后，竟把名扬天下的“天下第一剑客”诸葛玉给引了出来。

通过风险分析，识别出系统的风险如表1所示。

通过对系统的风险分析可以得出，OTI列首设备应实现以下安全功能。

1）与列尾设备进行配对。

2）接收列尾设备发送的坐标、速度、风压信息。

3）根据收到信息进行列车完整性判断。

OTI列尾设备应实现以下安全功能。

1）与列首设备进行配对。

2）通过信息源采集定位、速度、风压信息并向列首设备发送。

得到风险列表后，应进一步确定所有可能的措施来消除或减轻故障的影响。风险减低措施与风险所具有的对应关系如表2所示。

由FMECA方法对OTI进行的初步风险分析表明以下几点。

1）OTI列首设备应符合SIL4级安全完整性等级。

2）OTI列尾设备应符合SIL4级安全完整性等级。

3）二者间通信协议应满足SIL4级安全完整性等级要求。

为使OTI能够在可靠性上达到SIL4级安全完整性等级要求，OTI列首设备及OTI列尾设备都应设计为二乘二取二的安全冗余结构。

5 结语

本文着重介绍一种基于北斗卫星的列车完整性检查方案，并应用FMECA方法对其进行系统级风险分析。该方案不仅可以解决现有方案存在的问题，还具有如下优点。

1）判断列车完整性丢失后，在警示司机的同时，还第一时间制动故障列车并通知信号系统进行安全防护。

2）依靠北斗卫星定位技术，最大程度地简化区间轨旁设备，提升系统恶劣环境适应能力。

3）完全支持移动闭塞运行方式。

4）将传统列尾装置优化为SIL4级故障-安全设备，大幅提高其安全性、可靠性。

为提高国内西部开发战略运输大动脉的运营效率，以及进一步支撑“一带一路”国家战略，基于北斗卫星的列车完整性检查技术应与基于北斗的列车多源融合定位、智能驾驶ATO等前沿技术一道，成为国内信号系统当前技术研究的重点。