電氣泰雷茲CBTC信號系統魔鬼車問題的設計和解決方案

趙正棟

摘 要：介紹了上海電氣泰雷茲CBTC信號系統的特點和知識，引入魔鬼車問題，給出TST的設計和解決方案，闡述了軟件的邏輯和算法及軟件適用的邊界及優化，給出了安全分析，結合這個案例和TST相關流程給出開發設計管理的一些思考。

關鍵詞：CBTC ; ZC; MAU; 幽靈車; FO; NCO; 區段

Abstract： This paper introduces the characteristics of TST CBTC signal system and some knowledge of CBTC signal system， introduces the Ghost Train problem and gives the design and solution of TST， expounds the logic and algorithm of software and the boundary， some thoughts on software development and design management are given.

Key words： CBTC （communication based train control）; Interconnection; Zone Controller; Movement Authority Unit; Ghost Train; Failed Occupied; Non Communicating Obstruction; Block

1上海電氣泰雷茲CBTC信號系統介紹

上海電氣泰雷茲的CBTC信號系統有如下特點：安全可靠：從基礎傳感器、接口設備、處理器、子系統到通信網絡等多層次的冗余設計，確保了系統的高可用高可靠;以集成的方式管理聯鎖，通過通信列車的位置報告來優化聯鎖和道岔控制邏輯;DCS獨有的數據加密為系統提供更高的安全保障。靈活高效：通過移動閉塞技術縮短間隔，提供了列車全自動運行控制，提供了“不動手”的操作方式，可實現最高級別的自動化水平;中央冗余+本地ATS三重冗余的結構實現了對線路運營的高效指揮。ATS支持正常情況下不需值班員介入的全自動控制;允許任意地點換端的完全的雙向CBTC運行，無需依賴于額外的反向信號機;支持雙端車載冗余架構，任意一端車載可以單獨雙向控車。綠色經濟：減少了列車運行能耗，給既有及未來的客戶帶來更多收益;為了滿足運營高峰及非高峰時段的節能要求，提供可選的最小化牽引功率方案。上海電氣泰雷茲提供全生命周期的本地實施運維支持，以及國內先進的委外代維保服務，為客戶實現更優的全生命周期高可靠服務。

1.1電氣泰雷茲信號系統知識準備

上海電氣泰雷茲的CBTC信號系統使用最少的地面和車載硬件實現列車自動防護 （ATP） 、列車自動運行 （ATO） 和列車自動監控 （ATS） 的功能，并實現預期的列車運營間隔。該移動閉塞系統通過車載、地面及聯鎖的安全性 （冗余校驗） 計算機系統來實現列車的安全間隔、聯鎖控制和列車速度限制。無線CBTC移動閉塞系統的軟硬件設計和開發過程將嚴格遵循安全性原則。CBTC貫徹了與傳統聯鎖系統相同的原理，并提供了相同級別的安全性。

區域控制器（MAU、PMI）提供聯鎖功能，是在CBTC模式和后備模式下運行的軌旁系統。正線計算機聯鎖子系統設備稱為PMI，核心為二乘二取二（2oo2）的冗余系統。系統的安全基于二取二的MCCS安全架構，包括：獨立的處理通道：獲取雙重的輸入，雙重的計算單元，和雙重的輸出管理。一個動態表決系統以驗證雙機的一致性。雙重的二取二架構以增強系統的可用性。ATP系統的功能由兩類設備完成：車載ATP設備（VOBC）和軌旁ATP設備（ZC），VOBC周期性地確定列車的位置，并且向ZC發送位置信息以及列車行駛方向。ZC基于周邊線路的當前狀態、列車當前位置、行駛方向、以及進路等為其轄區內的每列列車計算LMA。VOBC根據ZC提供的LMA持續的計算制動曲線，以保證列車始終能夠在軌旁設備（ZC）提供的移動授權權限（LMA）范圍內停車。ATP系統監督列車每側車門及對應屏蔽門的關閉和鎖閉狀態。當列車在車站對位停車后，ATP系統將會根據車載線路數據庫和列車行駛方向向正確側門（車門和屏蔽門）發送使能信號。此外，ATP系統還提供倒溜保護、無意識移動防護、牽引受阻防護、超速監控防護、列車完整性監控防護。在點式ATP模式下，VOBC將會提供連續的速度監督，并對列車測量速度和最大允許速度進行連續比較，如果超過最大允許速度列車將被緊急制動。最大允許速度是根據土建限速、其它限制條件計算得出的。點式ATP系統也提供倒溜防護和監控列車沒有冒進紅燈。當一列車失去通訊，ZC將繼續保護該列車，與該列車有關的聯鎖功能將依據傳統的固定閉塞原則而不是移動閉塞原則。

1.2幽靈車問題的引入

上海電氣泰雷茲專為中國大陸城市軌道提供的CBTC信號系統，已經為上海，北京，廣州，武漢，南京等15座城市，30多條線路，超過1400公里的城軌線路保駕護航。有軌道業主反映，在一些極端或者管理不善的情況下，有些客戶會用極端方式把不是本軌道線路的裝備的車輛引入本線路進行非營運期間調試試車等，信號系統無法追蹤這輛車，此時這輛車就是幽靈車（Ghost Train），有機會帶來很多重大安全隱患。

1.3幽靈車問題分析設計

VOBC以一個固定的頻率報告給MAU位置，PMI也以一個固定的頻率報告給MAU每個Block的占用狀態，正常狀態下軌道上有裝備車和Block重疊即裝備車在Block上，Block才是占用狀態（Occupied），相反既是空閑狀態（Vacant）。當PMI報給MAU某個Block是占用狀態而不是NCO同時MAU根據VOBC報給MAU的所有裝備車的位置根據相應算法算出沒有車在這個Block，即這個Block是錯誤的占用（Failed Occupied）FO;正常場景下非通訊車和非裝備車會以NCO的方式被信號系統追蹤，但是極端場景下非裝備車會沒有生成NCO，即是幽靈車。當這輛車存在系統里時候就是一個重大安全隱患。要求客戶嚴格按照操作手冊進行規范操作，從源頭上把這個問題消滅掉。

上海電氣泰雷茲提供通過軌旁軟件來追蹤移動的幽靈車方案如下圖;同時對于追蹤不了的NCO通過關閉相應的軌道來解決。

1.4幽靈車問題軟件實現方案

幽靈車問題軟件實現方案是在MAU代碼里每個周期都遍歷所有的Block和及其相鄰的Block狀態，按照下圖的狀態機最終相鄰的Block生成NCO。

1.5軟件實現方案的算法

此方案的最終目的是通過移動的FO產生NCO把車追蹤回來，但是軌道拓撲圖復雜多樣的，特別是每一個Block包括零到兩個Switch，這個時候就需要提供一個算法來找到要相鄰的Block Segment來最終找到相鄰的Block來在滿足邏輯的時候生成NCO，相應算法如下圖：

1.6軟件實現方案及算法的邊界和優化

各個城市的每條地鐵的正線和車輛段的軌道布置多種多樣，我們在軟件實施中發現算法都有其執行的前提條件和場景，當前提條件和場景不滿足時候算法就會出錯，所以我們理清楚軌道拓撲圖和需求后，就會理解方案及算法的邊界，所以對于每條地鐵線在實施這個方案的時候，都要研究清楚軌道的拓撲圖，然后對方案及算法進行相應的優化。

2幽靈車問題設計的安全分析

上海電氣泰雷茲的CBTC信號系統的聯鎖、ATP子系統及其雙方之間的接口安全完整性水平達到SIL4級（或相當于SIL4級），整個信號系統設計的安全完整性水平（SIL）達到4級（或相當于SIL4級）。對于移動授權的決定和執行模塊，首先，軌旁移動授權單元（MAU）會以列車實際位置為起點，計算連續的移動授權直至前方最近的障礙物，前方障礙物可以是通信車、非通信車或非通信障礙物等，但不包含信號機;而后，車載控制單元（VOBC）會根據列車實際位置及軌旁實時發送過來的連續移動授權范圍，計算本時刻列車可以運行的最高限速，并據此控車，該限速防護可以確保在最不利情況下，列車也可以停在移動授權范圍內，而不會撞上前方障礙物。因此，對于受控車而言，列車并不需要依靠信號機行駛，而是通過軌旁MAU實時發送的連續移動授權控車運行，而連續移動授權的終點可以實時跟著前車車尾位置（及考慮相應的位置不確定性、倒溜及安全余量）進行延伸或回撤。ATP固定限速人工模式列車進入限制人工向前模式。司機必須按運營規則駕駛列車。對于本方案追蹤回來的車及關閉的軌道都是移動授權的障礙物，有效的降低了風險，使系統在一個很高的安全等級運行。

3本設計方案實施的思考

在本方案設計和軟件實施過程中，由于場景復雜、牽涉的知識面太廣而復雜，給設計和軟件開發及管理帶來很大挑戰，這就要求技術精湛、管理流程完備而且全覆蓋，上海電氣泰雷茲很好的接受了這一挑戰，給客戶帶來了更安全高效的CBTC信號系統，很好的踐行了樂享出行，只因有我的企業使命。

參考文獻：

[1]上海電氣泰雷茲. CBTC signal system Technical Specification Volume II

[2]上海電氣泰雷茲. EG-WI-1010-Software Development Lifecycle