故障注入方法在列車運行控制仿真系統中的應用

尹 青 蔡伯根 上官偉 茍晨曦

尹 青:北京交通大學電子信息工程學院 碩士研究生 100044北京

蔡伯根:北京交通大學電子信息工程學院 教授 100044 北京

上官偉:北京交通大學電子信息工程學院 副教授 100044 北京

茍晨曦:北京交通大學電子信息工程學院 博士研究生 100044北京

故障注入作為一種有效的安全測試技術手段，是系統測試性、安全性及功能驗證研究的重要方面，也是驗證工作得以實現的基礎。故障注入大致分為基于軟件、硬件和仿真三種故障注入方法。基于硬件的故障注入主要是探針法和插入法，比如管腳級硬件故障注入。基于軟件的故障注入可用于評價軟件冗余機制，主要應用于程序變異和估算程序中錯誤數量的播種模型，對硬件環境沒有損壞，能夠跟蹤目標程序的執行和回收數據，有較好的可移植性。而基于仿真的故障注入，是建立在仿真系統的基礎上，即接受測試驗證的目標系統是一個仿真系統，是一種仿真實現方法。

由于本研究項目重點是測試CTCS-3級列車運行控制系統仿真測試平臺，在某個關鍵設備故障的情況下能否實現需求規約上的安全保證功能，而采用硬件、軟件注入的方法不能驗證仿真模塊的功能設計，故采用基于仿真的故障注入方法。

1 基于仿真的故障注入方法

對于仿真系統來說，其真實系統原型往往是一個復雜大系統，無法進行真實場景的測試驗證，只能搭建仿真環境進行安全性能的測試驗證。

基于仿真的故障注入技術，應用在仿真測試的計算機原型上，通過仿真過程、改變邏輯值來達到故障注入的效果。在某個關鍵設備上改變某個工作狀態以模擬其發生故障的情形，通過程序接口將故障注入到CTCS-3級列控系統仿真測試平臺之中。

故障注入算法流程在Windows環境下搭建，系統的通信采用RTI/HLA(Run Time Infrastructure/High Level Architecture)通信協議。RTI是HLA仿真應用的軟件實現，在仿真執行過程中負責仿真模塊之間的信息交互。算法流程如圖1所示。

圖1 故障注入算法

基于HLA的列控仿真平臺仿真聯邦成員包括CTC總機、CTC分機、RBC、TCC、聯鎖、臨時限速、車載、軌旁、G網、仿真管理器等共10個設備模塊，部分仿真設備編碼如表1所示。

表1 仿真設備編碼

CTCS-3級列車運行控制系統聯邦成員交互數據幀采用統一格式。案例數據存儲在Access數據庫中，在程序中一鍵調用。當需要交互信息時，例如故障注入事件觸發，故障注入聯邦成員通過RTI接口將注入數據信息發布出去，目標聯邦成員接收到發布的信息后進行處理，即目標仿真設備做出故障反應，并將反饋信息通過RTI發布，故障注入仿真模塊接收反饋信息后加以分析，直觀地顯示出來。

將無信號、通信中斷等常見設備故障按序編碼，故障注入信息按照事先定義好的數據幀格式訂購和發布，與仿真模型中的其他模塊格式一致。故障類型編碼如表2所示。

表2 故障類型編碼

2 列車運行控制仿真平臺

2.1 仿真平臺信息交互方式

列車運行控制仿真系統各模塊之間的通信可以采用UDP通信協議，但UDP是一種無連接協議，會出現丟包、重復、無序等情況，數據的安全性、完整性無法保證，對于列車運行控制系統這樣一個復雜大系統的仿真來說并不適用。而高層體系結構HLA(High Level Architecture)能盡量涵蓋 M＆S(Modeling and Simulation)領域中所涉及的各種類型的仿真系統，并利用它們之間的互操作和重用性以及不斷發展的新技術，來滿足復雜大系統的仿真需求，仿真成員之間數據交互的實時性、安全性也可以得到保證。

在基于HLA的仿真系統中，每個模塊都作為一個聯邦成員加入到系統之中，聯邦 (Federation)是指用于達到某一特定仿真目的的分布仿真系統，由若干個相互作用的聯邦成員構成。所有參與聯邦運行的應用程序都可以稱為聯邦成員。聯邦中的成員有多種類型，如用于聯邦數據采集的數據記錄器成員，用于和實物接口的實物仿真代理成員，以及用于聯邦管理的聯邦管理器成員等，其中最典型的一種聯邦成員是仿真應用。仿真應用是使用實體的模型來產生聯邦中的某一實體的動態行為。聯邦成員由若干相互作用的對象構成，對象是聯邦的基本元素。HLA定義了聯邦和聯邦成員構件、描述和交互的基本準則和方法。需要說明的是，聯邦可以作為一個成員加入到一個更大的聯邦中，由此可以仿真極其復雜的系統。

采用HLA的技術體制，可以將單個仿真應用連接起來組成一個大型的虛擬世界。在這個虛擬世界中，可以進行大規模多系統體系仿真，特別適用于列車運行控制仿真系統的構建，也易于進行基于仿真的故障注入。在本仿真實驗中，采用Pitch公司的pRTI1.3版本軟件作為HLA仿真應用的基礎軟件層。

2.2 列車運行控制系統原理及構成

CTCS-3級列車運行控制系統包括地面設備和車載設備。地面設備由RBC(無線閉塞中心)、TCC(列控中心)、ZPW-2000系列軌道電路、應答器、GSM-R通信接口設備組成;車載設備由車載安全計算機、GSM-R無線通信單元、軌道電路信息接收單元、應答器信息傳輸模塊、記錄單元、人機界面、列車接口單元等組成。

根據CTCS-3級列車運行控制系統結構及接口關系，基于HLA的CTCS-3級列車運行控制仿真聯邦的邏輯模型如圖2所示。

作為故障注入工具的測試驗證平臺，基于HLA的列車運行控制仿真系統的每一個模塊都有相應的故障-安全機制設計，在現有的平臺基礎上，對測試模塊進行研究分析，給出與實際相符的故障案例庫，并按照預先設計的數據格式對故障案例進行編碼。

2.3 故障注入功能模塊設計

在實驗室現有的基于HLA的列控仿真平臺上，研究關鍵設備的故障注入方法，將仿真測試和故障注入相結合，仿真被測系統處于特定失效場景下，驗證當屬于某已定義故障空間的故障出現時目標系統是否能夠正確處理，以及系統的響應是否符合軟件設計的要求，同時也可以用來挖掘系統中的安全隱患。在仿真環境中，通過向系統引入故障，加速系統的失效，在短時間內模擬方案長期執行的效果，通過觀測系統運行結果，對系統方案的安全性能進行驗證和評估。

做好前期的分析設計工作后，設計相應的測試軟件即故障注入軟件，并能夠實現如下基本功能。

1.實時數據傳輸。隔斷并采集即將輸入到列車運行控制系統的各類數字、模擬信號，同時將注入故障后的各類信號實時送入控制系統中。應能針對各類信號的特點選擇不同的采樣頻率，確保不影響原系統運行的實時性。

2.故障設置。能夠根據用戶要求靈活設置各類故障，可選擇的故障盡可能包括列車運行控制系統的各種常見故障，如應答器丟失、應答器報文錯誤、車載電源電壓不穩、干擾故障、通信錯誤故障、軌道電路損壞等。

3.故障注入。按用戶要求在特定的時間向特定的故障位置注入規定數量的故障。用戶可以在故障注入過程中隨時監視故障注入情況。

4.試驗結果保存分析。能夠直觀顯示故障注入情況，并以文件形式保存試驗數據，以評測列車運行控制系統的各項性能指標。此外，故障注入系統應具有較好的可擴展性，以便系統功能升級。

根據以上要求，由VC++語言實現軟件的編寫。設計故障注入工具包含數據庫操作模塊，實現故障案例的導入與編輯;故障注入模塊，包括選取案例的注入發送按鈕與故障注入撤銷按鈕;案例分析顯示模塊，截獲TCC、RBC、車載的數據信息實時顯示，并生成列車速度-距離模式曲線。

3 故障注入案例設計及仿真測試

3.1 故障案例數據庫搭建

通過對列車運行控制系統的調研分析，歸納部分故障案例，建立故障案例數據庫。故障案例數據庫作為故障注入軟件的支撐數據，可直接從工具中調用和實施后續的故障注入仿真實驗，并可以方便地進行改進和完善。

故障案例數據庫格式:案例編號→故障位置及描述→目標系統期望行為響應。

故障案例示例如下。

1．區間軌道電路:進路前方軌道電路故障，鎖閉進路狀態為“使用”，RBC將向列車發送緊急停車信息CEM;車載設備生成一個縮短行車許可SMA并向RBC發送確認已執行有條件緊急停車信息CEM，列車根據縮短行車許可SMA實施制動。

2．道岔:道岔失去表示，聯鎖無法辦理進路，司機將根據調度命令以目視行車模式 (OS)進行接發車作業;列車進入完全監控區段并獲得新行車許可后，列車將自動轉換到完全監控模式 (FS)行車。

3．RBC:RBC設備因故障停止工作，冗余設備正常啟用繼續工作;冗余設備故障，列車中斷與RBC連接，通信超時后實施制動，降級運行;故障RBC刪除列車注冊信息，列車與RBC重新建立連接并獲得行車許可后轉換到C3控車。

4．無線通信設備:GSM-R單元故障損壞，RBC與列車中斷連接，列車實施最大常用制動，降級運行，待重新連接后轉入C3行車。

5．車載設備:車載無線通信設備單元故障，列車實施制動，運行速度降為C2允許速度后轉為C2模式行車。

6．應答器:在期望窗口之前發現期望的應答器組或者應答器組的數據不可讀，車載設備只向RBC發送位置報告，并報告應答器故障信息而不做其他應急反應，位置報告將還使用原來的位置參考應答器。列車通過了一組錯誤方向的應答器組，列車將實施緊急制動停車。

3.2 仿真測試及結果分析

以道岔失表故障為例，選取道岔失去表示故障進行系統響應測試。當車站接、發車進路還未辦理或鎖閉時，站內道岔發生失去表示的故障，車站聯鎖設備將無法辦理接發車進路，司機將根據調度命令以目視行車模式 (OS)進行接發車作業。列車以目視行車模式 (OS)出站。

3.2.1 設置測試故障案例

運行故障注入軟件后，導入故障案例數據庫，選擇所要注入的故障，對目標系統實施故障注入。點擊“故障注入”按鈕之后，仿真系統被注入指定故障案例，即道岔模塊發生失表故障，此時其余模塊正常工作，并根據相應的故障-安全機制作出反應，并反饋到故障注入模塊的分析區顯示。

3.2.2 故障案例分解

對于道岔失去表示故障，列控仿真系統應檢測到故障并作如下響應:發車進路道岔故障聯鎖無法辦理進路，人工確認道岔位置;在請示調度員后，司機按壓“越行”按鈕;車載設備向RBC報告后自動轉入OS，然后按固定限速40 km/h監控列車運行。列車越過出站信號機，向區間方向運行。當列車前端通過SN信號點處應答器組后，列車將向RBC報告列車位置。只有當新的進路占用與列車報告位置的時間間隔在6 s(待定)以內時，RBC才會給列車發送完全監控行車許可。否則列車將繼續以OS向39信號點運行。列車進入完全監控區段并獲得新行車許可后，將自動轉換到完全監控模式 (FS)行車。列車運行示意如圖3所示。

圖3 列車運行示意圖

3.2.3 實驗分析

車站聯鎖發現采集不到相應道岔的狀態信息后，即檢測到了道岔的故障信息，將進站信號機關閉，而RBC此時也根據聯鎖發送的進路信息，向列車發送緊急停車消息，列車經過計算開始減速，并且列車計算結果可以在出站信號機前停車。在對比曲線中也可以看到，正常運行時列車是以140 km/h的速度通過車站，在故障注入后即開始減速，最終停車。如圖4和圖5所示，列車行車許可縮短緊急停車。

對該故障案例進行5次測試，測試記錄如表3所示。

表3 故障概率統計

測試結果表明，該故障注入工具可以有效地對仿真系統的安全功能進行測試驗證。經過故障概率的大量實驗測試，表明該故障案例不會對系統造成致命傷害，仿真系統對于該故障案例已經設置了處理機制，且功能完好。對于其他故障案例均進行了相關驗證，有效測試了基于HLA的列車運行控制仿真系統的故障處理機制及相關功能設計。

4 結束語

故障注入是一種有效的系統安全性能測試手段，不同的系統應當采用相適應的故障注入方法，針對列車運行控制系統的復雜性及特殊性，采用基于仿真的故障注入方法，為系統中的各個設備建立完整的故障測試案例數據庫，并逐條進行有關測試，經試驗證明切實可行。本文以典型故障案例為例，結合道岔失表故障對列車運行控制仿真系統關鍵設備的故障-安全機制作出了功能驗證分析。通過基于仿真的故障注入驗證，提高了系統測試效率，降低了系統測試成本，對于真實列車運行控制系統的安全保證具有實際意義。

［1］ 石君友，李鄭，駱明珠，陳帥.故障注入控制軟件的設計與實現［J］ .測控技術，2008，27(4):64－70.

［2］ 王勝文，基于軟件的故障注入方法研究［D］ ．哈爾濱:哈爾濱工業大學學位論文，2005.

［3］ JEAN ARLAT，MARTINE AGUERA，Fault Injection for Dependability Validation:A Methodology and Some Applications，IEEE TRANSACTIONS ON SOFTWARE ENGINEERING，VOL．16．NO．2．FEBRUARY 1990

［4］ Mealing S W，Hinsley W．System assurance by in－service reliability evaluation［C］ ．IEEE，2008

［5］ 馮軒.軟件故障注入方法探究.計算機光盤軟件與應用［J］ .2010，16.

［6］ 萬林，范明.列車運行控制系統仿真平臺的研究.鐵道通信信號［J］ .2010，46(7):71－74.

［7］ 張曙光.CTCS-3級列控系統總體技術方案［M］ ．北京:中國鐵道出版社，2008.