程忆佳，王俊峰

（北京交通大学轨道交通控制与安全国家重点实验室， 北京100044）

中国列车运行控制系统CTCS（Chinese Train Control System）根据功能要求和设备配置划分为0～4级5个应用等级。其中，CTCS-2级列控系统是CTCS-3级列控系统的后备系统。

CTCS-3级列控系统的运营场景有调车作业、等级转换、RBC切换等。本文以研究等级转换和降级场景为例，进行建模并提出分析高速铁路列车控制数据（简称列控数据）完备性的方法。

1 列控数据完备性的定义

列行车许可状态信息、降级状态等。（3）RBC与车载GSM-R无线模块之间：进路描述信息、移动授权、紧急制动、列车位置、注册与注销信息等。

CTCS-3级列控系统的设备控制机理是围绕着列控数据的产生、传输和执行进行的。因此，列控数据是列车运行控制的基础，其完备性直接关系到列车运行的安全。本文主要考虑列控数据完备性中的实时性、兼容性及完整性3个方面。列控数据的实时性在建模中体现，兼容性在场景描述中体现，完整性由建模后模型完成的成功率体现。

2 列控数据完备性的建模

采用随机Petri网对场景进行建模的优点是对并行、分布系统易于描述，适合子系统间数据及状态变换较多的情况；同时它在变迁的实施中加有

（1）RBC与CTC之间：时间同步信息、登录信息、列车状态、RBC工作状态、报警信息等。（2）RBC与联锁之间：列车位置信息、列车速度信息、时延，这个特性使其能精确地描述系统的实时性。

2.1 模型的定义

一个Petri网的结构元素包括：位置、变迁和弧。位置：描述系统的局部状态，包含标记，标记在位置中的变化表示系统处于不同的状态。变迁：描述修改系统状态的事件。弧：引述事件能够发生的局部状态和由事件引发的局部状态的改变。

随机Petri网变迁的实施过程为：在变迁的输入位置清除一个标记；变迁实施的延时中保持输入位置清除同时不在变迁的输出位置产生标记状态；最后在变迁经过规定的延时后，在输出位置产生一个标记。

2.2 模型的结构

为了避免随机Petri网对复杂系统的描述时可能会导致状态空间爆炸问题，本文应用层次模型和分层分析方法建立模型。

将场景的建模设计为上层模型，消息传输模型设计成底层模型，采用自上而下的方式建立列控数据完备性模型。在设计上层模型时只考虑各子系统之间的交互，使得模型具有良好的层次结构，建模结构如图1。

图1 模型结构图

3 实例分析

3.1 顶层模型

本文研究的场景主要涉及RBC与车载设备间的数据交互。在建立顶层模型时，对各场景分别分析RBC和车载的行为。在随机Petri网图形表示中，位置用圆圈表示，一般时间变迁用扁长方形表示，瞬时变迁用线段表示，标记在位置中用黑点表示。

3.1.1 设备正常情况下等级切换

（1）CTCS-2级进入CTCS-3级控车

列车在CTCS-2级进入CTCS-3级控车时，车载设备的无线电台建立与GSM-R的通信。车载设备接收到RBC建立连接的命令后与RBC建立联系。RBC向列控车载设备发送位置报告参数和行车许可请求参数；车载设备向RBC报告列车位置和当前等级及模式信息。当列车前端通过等级转换预告应答器组时，车载设备向RBC报告列车位置；同时RBC向车载设备提供行车许可及等级转换命令。在列车通过CTCS-2级/CTCS-3级边界时，车载设备自动转为CTCS-3级控车。

RBC行为模型如图2。

图2 RBC行为模型

位置“idle”表示RBC处于空闲状态。“keep”表示RBC和车载保持通信联系。“M58+57”是位置报告参数和行车许可请求信息。“M24+44”是指RBC对结束任务消息的确认信息。“M3”是配置参数信息。“S”表示RBC向车载发送信息。“sure”是RBC确认列车所处进路。“M41”是行车许可及等级切换命令。变迁“delay”表示组包延时。R0：车载注册到GSM-R后，呼叫RBC成功。R2、R4、R8：收到车载发送的确认信息。R3：收到车载发送的列车位置、当前等级。R5：收到车载报告的进路位置。R6/ R7：车载报告的进路位置无效/有效。R9：列车走到转换点的延时，由列车速度确定。R10：列车向RBC请求行车许可。

车载行为模型如图3。

图3 车载行为模型

位置“C2”、“C3”分别表示列车按CTCS-2级、CTCS-3级控车。“wait”表示列车保持与GSM-R连接。“M1”指车载呼叫RBC。“M2”指与RBC通信结束确认信息包。“S”指车载向RBC发送消息。“M3”指参照于LRBG的列车位置和当前等级及模式信息。“M4”是列车所处的进路位置。“M5”是车载向RBC请求行车许可。变迁R1：与GSMR连接注册。R2：通过RBC连接应答器组。R3 /R4：与RBC呼叫不成功/成功。R5：收到RBC位置报告参数和行车许可请求。R6、R8：收到RBC确认信息。R7：通过等级转换预告应答器组。R9/R10：车载报告位置信息无效/有效。R11：RBC向车载设备提供线路参数和行车许可。R12：通过等级转换应答器组。

（2） CTCS-3级进入CTCS-2级控车

列车由CTCS-2级控车进入CTCS-3级控车时，RBC向车载设备发送等级转换预告命令。列车前端在越过CTCS-3级/CTCS-2级边界时车载设备自动转为CTCS-2级控车。在列车尾部越过CTCS-3级/CTCS-2级边界后，车载设备向RBC报告列车位置。RBC确认后命令车载设备断开与RBC的连接并注销列车注册信息；车载关闭与RBC的连接。根据CTCS-3级进入CTCS-2级控车流程， RBC行为模型如图4。

图4 RBC行为模型

位置“keep”指正常行车状态。“M41”是等级转换命令。“M42”是断开与车载设备连接命令。“M39”是与车载通信结束确认信息。“M24+44”是RBC对结束任务消息的确认信息包。“S”是RBC向车载发送消息。“end”指RBC注销成功。变迁R1、R2、R3：收到车载发送的确认信息。delay1：收到车载发送过来的位置信息。

车载行为模型如图5。

图5 车载行为模型

位置“C3”指车载设备按CTCS-3级控车。“wait1”是等待列车通过CTCS-3级/CTCS-2级边界。“wait2”是收到RBC发送的断开与车载设备连接命令。“M136”是列车位置信息。“M156”：列车和RBC终止会晤信息。变迁delay1、2：分别为车载收到RBC发送的等级切换命令、断开与车载设备连接命令。R1：列车车载通过等级切换应答器时刻。R2、R3：收到车载发送的确认信息。

3.1.2 设备故障情况下降级场景

降级情况是指当地面设备或车载设备故障后，系统从CTCS-3级降级为CTCS-2级控车的场景。本文主要研究RBC故障、车载设备故障和无线通信设备故障。

（1）RBC故障降级模型。当2套RBC设备均停止工作后，CTC检测到与RBC信息传输或故障报警信息，列车中断与RBC之间的通信连接。列车实施最大常用制动，在速度降到CTCS-2级状态后自动转为CTCS-2级控车。车载设备关闭与RBC的连接，删除其呼叫信息。本文仅建立车载在RBC故障情况下的模型。车载行为模型如图6。

图6 车载行为模型

位置“M1”指列车位置报告信息。“wait”是列车按CTCS-3级正常行车。“D5”指列车减速。“close”指车载设备关闭与RBC的通信连接。变迁R1：发送列车位置报告信息变迁。R2：收到RBC确认信息。R3 、R4：车载与RBC通信超时。R5：列车减速到CTCS-2级系统允许速度时间。

（2）车地通信故障降级模型。车载设备故障的种类较多，本文只考虑涉及GSM-R无线通信设备单元故障情况。车载设备无线通信设备单元故障时，列车实施最大常用制动，在速度降到CTCS-2级规定速度后自动转为CTCS-2级控车；车载设备关闭与RBC的连接，删除RBC的呼叫信息；RBC删除相关列车的注册信息。

无线通信设备故障，RBC与列车通信超时后，列车实施最大常用制动，在速度降到CTCS-2级状态后自动转为CTCS-2级控车。车载设备关闭与RBC的通信连接，删除RBC的呼叫信息。RBC删除相关列车的注册信息。GSM-R故障模型如图7。

图7 GSM-R故障模型

位置 “L1”指GSM-R突发降质状态。 “L2”是链路中断状态。“Loss”指GSM-R故障状态。“R1”是GSM-R重新连接状态。变迁T3、T6：GSMR由正常状态到突发降质状态、链路中断状态的变迁。T2：GSM-R从链路中断到重新连接的变迁。T1、T4：重新连接成功、失败。T7、T5：链路中断修复成功、失败。RBC行为模型如图8。

图8 RBC行为模型

位置“check”指检查位置报告的正确性。“C1”指计算MA。“S1”指计算MA时，有紧急停车时触发。“S2”是正常发送MA。“D5”指发送错误。“Delete”是删除相关列车的注册信息。变迁T1：收到列车位置报告和最新区段状态信息。T2：检查位置报告调用函数的时间。T3：有新的列车覆盖范围外的区段变为占用。T4：计算出MA。T5、T6：发送信息。T8：未收到列车发送消息一直到延时。T9：信息中断时间。

3.2 底层模型

（1）RBC消息发送流程。周期开始后，读取消息接收堆栈，若有已被确认的消息，从重发数据库中删除该消息。重发数据库中若有未确认的消息，判定其是否已达到重发的最大次数。如已达到，转入错误处理流程，如未达到，将需要重发的消息写入输出堆栈。最后对重发数据库中的消息进行重发计数并发送数据。

（2）车载消息发送流程。发送方将数据写入接口模块的发送区，接收区读取后到接收缓存区。接收方数据更新成功，向接口模块反馈区发送“发送成功”反馈信息。发送方从接口模块反馈区读取反馈信息，准备下一个数据。如果数据更新失败，则不发送。如果反馈区在一定时间内未收到接收方的反馈信息，认为发送失败，转向故障态。

3.3 列控数据完备性分析

（1）列控数据实时性分析。用随机Petri网的分析软件得到RBC和车载2种发送消息模型的平均延时。建立出有不同列车数量和不同系统周期为参数的消息模型的平均延时。在系统周期不变的情况下，列车数量和系统延时时间的关系以及在列车数量不变的情况下，系统平均延时时间与系统周期间的关系。分析这些延时对列车运行安全性的影响，从而可得出系统接受列车注册的数量和系统周期的最佳值范围。

（2）列控数据兼容性和完整性分析。列控数据兼容性和完整性是基于CTCS-3级列控系统等级切换及设备故障降级模型。将顶层模型和底层模型结合，设置标记的数量、瞬时变迁、延时变迁等参数，在随机Petri网分析软件上得出列车在不同速度参数和不同系统周期参数，模型完成的成功率。从而得出模型完成的成功率与列车速度之间的关系以及系统周期与模型完成的成功率的关系。这样就可以说明能保证列控数据的兼容性和完整性良好的列车速度范围和系统周期时间的范围。

4 结束语

本文提出了一种分析列控系统数据完备性的建模方法，其核心是以随机Petri网理论为基础，采用层次模型和分层分析方法来建立列控系统数据完备性模型。采用该方法使在建立上层模型时只用考虑列控子系统间的信息交互，使模型具有更好的层次结构，同时也能更准确地描述各子系统间的行为。最后通过对等级切换和设备故障降级场景中列控数据完备性建模，说明了方法的有效性。列控数据完备性分析方案，对于分析列车运行安全问题有着积极的作用。

[1] 王化深，王俊峰. 200-350 km/h列车运行控制系统关键技术研究[J] . 铁道学报，2009，31（3）：107-110.

[2] 郭丽娜，王俊峰. CTCS-2级与CTCS-3级列控系统兼容性仿真研究[J] . 铁路计算机应用，2010，19（5）：48-50.