屈永正，刘振玉，宋 岩

（湖南中车时代通信信号有限公司 北京分公司，北京 100070）

0 引言

无线闭塞中心（radio block center, RBC）作为CTCS-3/ETCS-2 级列车控制系统（简称“列控系统”）的地面控制中心，通过无线网络（GSM-R）与列车进行双向数据交互。由于交互频率较慢（周期配置值一般为6 s），加之无线通信的传输延迟， RBC 收到的列车位置与列车实际的位置不一致。当地面计算机联锁设备（computer based interlocking, CBI）报告列车前方进路/闭塞分区被占用时，RBC 无法判断该占用是否是由于进路/闭塞分区后方列车正常驶入所导致。为解决这一问题，欧洲列车控制系统（European train control system, ETCS）规范[1-2]定义了有条件紧急消息（conditional emergency message, CEM），它包含了指定的停车位置。一旦RBC 判断列车前方进路/闭塞分区被占用，便向列车发送CEM，由列车根据自身位置进行判断：如果列车已越过CEM 所指定的停车位置，说明前方进路/闭塞分区的占用是由该列车的驶入而导致的，列车则拒绝该CEM 并继续遵照已收到的行车许可行车；反之，说明列车前方存在异常占用情况，列车须在CEM 指定的停车位置前停车。在ETCS-2 级列控系统中，RBC 与列车之间的消息交互采用应答机制，包括普通应答和特定应答两种方式。普通应答是指RBC 通过设置发送消息中确认标识（M_ACK）字段的取值，告知列车收到此消息后是否需应答。如需应答，列车则回复确认消息（M146）进行应答。特定应答是指列车收到某条消息后通过ETCS 规范中定义的特定消息进行应答。CEM 的应答方式属于特定应答，即列车通过紧急消息确认消息（M147）对收到的CEM 进行应答，从而保证了车地双方对CEM 处理的一致性。但是，由于RBC 与列车之间采用无线通信方式，当无线通信受到干扰时，RBC 无法收到CEM 的应答消息M147，此时会出现车地对CEM 处理不一致的情况。即RBC 认为列车未收到CEM，继续重复发送CEM；而列车认为已经回复过消息M147，即便收到CEM 也不再回复应答消息，RBC 与列车进入死锁状态，RBC 不能继续正常控制该列车。

CTCS-3 作为我国最先进的列控系统，是ETCS-2列控系统的中国本地化实现，其关于CEM 的定义和使用完全依据ETCS 规范[2]，所以对CEM 的处理同样也存在上述问题。本文通过对RBC 与列车进入死锁状态的原因进行分析，提出一种RBC 处理CEM 的安全方法。该方法采用特定消息应答机制和普通应答机制相结合的CEM 确认方式，不仅适合ETCS-2 列控系统，而且还能解决现有CTCS-3 列控系统CEM 处理中的问题。

1 CEM 产生的场景

由于列车位置报告的延时，当CBI 报告列车前方进路/轨道区段/闭塞分区被占用时，RBC 无法判断该占用是否是由后方列车正常驶入所导致，此时RBC 需向列车发送CEM，以确认列车是否进入该进路/轨道区段/闭塞分区。本文从前方进路、轨道区段及闭塞分区被占用3 种情况来分析CEM 产生的场景。

1.1 进路为“正在通过”

列车前方紧邻进路状态由“正常/引导/调车”变为“正在通过”时，由于列车位置信息更新较慢，此时RBC 不确定列车是否驶入前方进路，所以需向列车发送CEM。如图1 所示，其中位置1 表示列车在进路外方，位置2 表示列车驶入进路：

（1）列车位置1。列车未驶入进路，CBI 办理接车进路X →S1 和发车进路XI →Sn，CBI 向RBC 发送“X →X3 和XI →Sn 进路状态为正常”信息；RBC 向列车发送的授权持续到轨道区段121 的终点。

（2）列车位置2。列车驶入股道IG，CBI 向RBC 发送“XI →Sn 进路状态为正在通过”信息；RBC 需向列车发送CEM，CEM 所示的停车点为股道IG 的终点。

图 1 紧邻进路状态变“正在通过”Fig. 1 State of adjacent route changed to “passing”

1.2 轨道区段占用

列车所在进路的前方紧邻轨道区段被占用，因列车位置信息更新较慢，RBC 无法确定列车是否驶入前方轨道区段，所以需向列车发送CEM。如图2 所示，位置1 表示列车在进路外方，位置2 表示列车驶入进路。

图 2 进路内紧邻轨道区段被占用Fig. 2 State of track section in route changed to“occupied”

（1）列车位置1。列车未驶入进路，CBI 办理接车进路X →X3，CBI 向RBC 发送“X →X3 进路状态为正常”信息；RBC 向列车发送的授权持续到股道3G终点。

（2）列车位置2。列车驶入道岔区段1，CBI 向RBC 发送“X →X3 进路状态为正在通过”信息，道岔区段1 和9 被占用；RBC 需向列车发送CEM，CEM 所示的停车点为道岔区段9 的起点。

1.3 闭塞分区被占用

列车紧邻闭塞分区被占用，因列车位置更新较慢，RBC 无法确定列车是否驶入前方闭塞分区，所以需向列车发送CEM。如图3 所示，位置1 表示列车在闭塞分区B1；位置2 表示列车在闭塞分区B1 末端，但未进入B2。

图 3 紧邻闭塞分区被占用Fig. 3 State of adjacent block section changed to“occupied”

（1）列车位置1。列车在闭塞分区B1，CBI 发送“B1被占用、闭塞分区B2～B4 均空闲”信息，方向均为下行；RBC 向列车发送的授权持续到B4 终点。

（2）列车位置2。列车在闭塞分区B1，CBI 发送“B1和B2 被占用，闭塞分区B3 和B4 均空闲”信息，方向均为下行；RBC 需向列车发送CEM，CEM 所示的停车点为B1 的终点。

2 CEM 处理分析

通过场景分析明确了何时发送CEM 后，列控系统依据ETCS 规范3.10 节、第7 章中对车地信息包格式的定义及第8 章中对车地消息格式的定义对CEM 处理流程进行分析（CTCS-3 规范[3]3.7 节、第7 章和第8 章关于CEM 的描述与ETCS 规范的一致，所以处理流程也相同）。下面先分析CEM 在正常情况下的处理，再分析异常情况下的处理方法，即CEM 的M147 在传输中丢失，且此时列车模式已改变，需分析转入到何种模式时RBC 的处理会出现问题。

2.1 处理流程

当列车收到RBC 发送的CEM 时，回复M147，并通过设置M147 中字段Q_EMERGENCYSTOP 的取值，标明列车是否接受该CEM。CEM 交互时序见图4。

图 4 CEM 交互时序Fig. 4 Interaction sequences of CEM

当列车判断其最小安全前端已越过CEM 停车点时，则拒绝该CEM；RBC 收到M147 后退出CEM 处理，继续向列车发送行车许可。

当列车判断其最小安全前端未越过CEM 停车点，接受该CEM，且可在CEM 停车点前停车，将保持FS（全监控）模式或OS（引导）模式或LS（有限监控）模式，在CTCS-3 中保持FS（全监控）模式或CO（引导）模式；RBC 收到M147 后发送消息M18，收到M18 的确认消息后则退出CEM 处理，若随后列车发送移动授权请求，则继续为列车计算行车许可。

当列车判断其最小安全前端未越过CEM 停车点，接受该CEM，但不能在CEM 停车点前停车，则列车紧急制动转入TR（冒进）/PT（冒后）模式；RBC 收到M147 后发送消息M6 和M18，收到M18 的确认后退出CEM 处理，若随后列车发送移动授权请求，则继续为列车计算行车许可。

2.2 ETCS-2 异常分析

当RBC 与列车间无线通信受到干扰、RBC 未能收到列车回复的M147 时，CEM 交互时序会存在异常。

当列车拒绝CEM 时，RBC 未收到M147，RBC 根据列车发送的位置报告中的模式和位置信息，判断列车在FS/OS/LS 模式下已越过CEM 停车点，说明此时列车拒绝了CEM，但M147 丢失。此时RBC 退出CEM处理，继续向列车发送行车许可，不存在问题。

当列车接受CEM，RBC 未收到M147 时，根据ETCS 规范第4 章，列车共有17 种模式，分别是NP, SB, PS, SH, FS, LS, SR, OS, SL, NL, UN, TR, PT, SF, IS, SN和RV。

（1）NP 模式

NP 为未上电模式，该模式下列车不会向RBC 发送消息，所以不考虑。

（2）FS/LS/OS/TR/PT 模式

若列车报告FS/LS/OS/TR/PT 模式，根据ETCS规范4.8.4 节不同模式下接受的消息，列车在相应模式下处理CEM 消息。RBC 若未收到M147，则会继续发送CEM；列车收到CEM 后，会回复M147，直至RBC 收到M147，进行CEM 的正常处理流程，不存在问题。

（3）IS/SF/NL/SL/UN/SN/SH/PS 模式

若列车报告IS/SF/NL/SL/UN/SN/SH/PS 模式，RBC注销列车（因为这些模式要么是隔离、故障、非本务、休眠，要么是等级转入0 或NTC 下的模式，要么是进入调车模式，所以RBC 可以注销列车），不存在问题。

（4）RV 模式

若列车报告RV（退行）模式，列车只有收到调车授权才转入该模式，而RBC 发送CEM 后不会发送调车授权，所以不可能转入，因而不存在问题。

（5）SB 模式

若列车报告SB（待机）模式，此时列车需关闭驾驶台，并会主动进入注销流程，所以RBC 收到此模式的位置报告后注销列车，故不存在问题。

（6）SR 模式

若列车报告SR（越行）模式，根据ETCS 规范

4.8.4 节，在SR 模式下，列车不处理CEM，收到后直接丢弃，不向RBC 回复M147。这就造成RBC 一直重复发送CEM，列车虽一直发送位置信息却无法收到RBC 发送的行车许可。只有无线断开RBC，删除列车连接，列车重新建立无线连接并注册成功后，RBC 才能向列车发送行车许可。可见，该模式存在RBC 与列车进入死锁状态、RBC 不能继续正常控制列车的问题。

2.3 CTCS-3 异常分析

在RBC 未 收 到M147 且 列 车 接 受CEM 时，CTCS-3 对CEM 的处理方法存在缺陷。根据CTCS-3 规范[3]，列车共有9 种模式，分别是SB, SH, FS, OS, CO, SL, TR, PT 和IS。

若列车报告FS/CO（引导）/TR/PT 模式，RBC 若未收到M147，则会继续发送CEM；列车收到CEM 后，会回复M147，直至RBC 收到M147 进行CEM 的正常处理流程，不存在异常问题。

若列车报告IS/SH/SL 模式，RBC 注销列车（因为这3 种模式是隔离、休眠、调车，所以RBC 可以注销列车），故不存在问题。

若列车报告SB（待机）模式，分析同上，不存在问题。

若列车报告OS（目视）模式，根据CTCS-3 规范[3]

4.6.4 节中表11（根据模式接受信息），在OS 模式下，列车不处理CEM 消息，又据CTCS-3 级列控系统无线闭塞中心技术规范[4]第5.10.4 节：若RBC 向车载设备重复发送“紧急停车”消息过程中收到车载设备处于冒进（TR）或冒后（PT）模式的消息，则RBC 应停止发送紧急消息。由此可见，在重复发送紧急消息过程中，列车模式转入OS 模式，RBC 则继续重复发送紧急消息。所以，当RBC 向列车发送CEM 时，一旦由于司机选择越行而进入OS 模式，RBC 将重复发送CEM，列车收到后直接丢弃且一直发送位置信息；RBC 收到列车的位置信息后继续重发CEM，列车与RBC 之间将进入死锁状态。只有在列车与RBC 间无线连接断开、RBC 删除列车连接、列车重新建立无线连接并注册成功后，RBC 方可继续控制该列车，但这将影响控车效率。

3 安全处理方法

据上分析，CEM 被重复发送，该问题的关键在于；RBC丢失M147后，列车一旦转入SR或OS模式（ETCS-2级列控系统中SR 模式对应CTCS-3 级列控系统中的OS 模式[5]），列车将不再处理CEM，RBC 也无法得知列车是否收到CEM。为使RBC 知道列车是否收到CEM，在采用特定应答（M147）的同时，还采用普通应答机制，即将CEM 的确认标识M_ACK 设置为1[6]。此时即便列车不处理CEM，当其收到CEM 后也会回复M146；RBC 收到M146，认为列车已收到CEM，则进入CEM 的撤销流程，最终退出CEM 的处理。因此，CEM 安全处理应遵照以下4 条原则，处理流程如图5所示。

图 5 CEM 安全处理方法Fig. 5 Safe handling method of CEM

（1）RBC 收到M147，若列车接受CEM，则进入CEM 撤销流程；若列车拒绝CEM，则删除CEM，继续向列车发送行车许可。

（2）RBC 收到CEM 的M146 但未收到M147，则根据此后列车位置报告中的模式进行处理。如果列车报告的模式非FS/OS/LS/TR/PT（CTCS-3 系统中FS/CO/TR/PT 模式），则直接清除CEM，退出CEM 的处理流程；如果列车报告的模式为FS/OS/LS（CTCS-3 系统中FS/CO 模式），则继续重发CEM；如果列车报告的模式为TR/PT，则发送M18 进入CEM 撤销处理流程。

（3）如果未进入CEM 撤销处理流程且列车的位置已越过CEM 终点，而列车报告的模式是TR/PT，则删除CEM，继续发送行车许可；否则，进入CEM 撤销处理流程。

（4）如果收到M147，则不再处理CEM 的确认消息M146。

根据CTCS-3 级列控系统无线报文定义及运用原则[7]，CEM 的M_ACK 设置为0，即不要求列车对CEM 进行确认。如果采用本文的安全处理方法，将CEM 的M_ACK 设置为1 即可解决CTCS-3 级列控系统中CEM 处理的问题。

4 结语

本文通过对ETCS-2/CTCS-3 列控系统对CEM 处理异常情况的分析，提出一种RBC 处理CEM 的安全方法，即在原有M147 作为CEM 应答的同时，设置CEM 的M_ACK 为1，要求列车必须对收到的CEM进行M146 消息确认。针对产生CEM 的各种场景，编写大量的测试用例，在仿真环境中对本方法进行了验证，全部通过。因此，利用该方法可解决无线干扰丢包时，RBC 因丢失M147 而无法判定列车是否收到CEM，进而造成列车与RBC 对CEM 处理不一致产生的死锁问题。