基于領域元模型的車載ATP子系統軟件建模研究

王錫奎，張國侯，田建兆，王若昆

（南京鐵道職業技術學院 通信信號學院，南京 210031）

列車自動防護（ATP， Automatic Train Protection）系統是用于監控列車運行速度，保證列車安全間隔，提高運營效率的核心設備。車載ATP子系統屬于安全性苛求系統，為保證列車在不同場景中的運行安全，該系統需要完成復雜的安全控制過程，執行不同的程序分支路徑。因此，車載ATP子系統的建模和軟件開發要求高、難度大，目前常用的建模、開發方法主要面臨的如下問題：

（1） 以過程式模塊開發和人工編碼為主，造成開發效率低下，且開發過程中產生的錯誤和安全隱患很難被發現，嚴重影響軟件質量；

（2） 軟件的開發缺乏合理的生命周期管理，無法保障軟件開發各個階段的安全性，只能與系統硬件結合后才能完成軟件的測試和驗證；

（3） 現有軟件建模方法難以描述領域內不同系統的相同或相似性特征，無法設計出在領域內具有一定通用性的模型，模型不具備良好的重用性，造成系統重復設計和開發，顯著增加開發所需成本。

因此，只有提出更加適用于車載ATP子系統的開發方法，才能滿足其在開發效率、質量、安全性等方面的要求。本文以車載ATP子系統為研究對象，提出一種基于領域元模型的模型構建方法。

1 特定領域建模及元模型

1.1 特定領域建模

特定領域建模（DSM ，Domain-Specific Modeling）是指領域專家對特定領域的需求和技術進行分析和抽象，定義特定領域建模語言（DSML ，Domain-Specific Modeling Language）及特定領域建模環境（DSME， Domain-Specific Modeling Environment），并使用DSML和DSME建立特定領域內具體應用的模型，借助代碼生成技術開發軟件產品的方法[1-2]。

在DSM中，建模概念源于領域概念、功能、物理產品結構、待建系統的外觀、產品變化空間及生成目標。DSML包含領域中的概念和規則，并說明二者與代碼生成器中代碼之間的映射關系。DSM已在嵌入式系統、移動終端、網絡應用等諸多領域得到了應用，已成為有眾多指導和工具支持的提高軟件復雜度的方法。DSM直接提取領域中的概念，提高了軟件建模和開發的抽象度，使開發人員將工作重點放在系統模型設計中，不用編寫軟件代碼，使軟件開發的效率提高5～10倍[3]。

元建模技術為DSML和DSME的建立提供了支持[4]。元模型是對某一特定領域建模環境的規范定義，抽象等級高于模型。元模型主要給出模型定義、模型構建方法、模型的集成及交互接口。元模型和模型的關系類似于類和實例的關系，將元模型實例化后即可得到特定的模型，如圖1所示。

圖1 元模型、模型、實際系統之間的關系

（1）元模型通過描述特定領域中的元素及其之間相互關系定義DSML的抽象語法、具體語法及語義，并定制出DSME[5-6]。定義抽象語法是建立DSML過程中的關鍵環節。DSML的抽象語法描述DSML中的基本元素及其之間的關系，可以用UML類圖表示，通用規則由某種約束語言描述（如OCL[7-8]等）。統一建模語言（UML ，Unified Modeling Language）和公共倉庫元模型（CWM，Common Warehouse Metamodel），以及本文討論的車載ATP子系統元模型均屬于元模型。

（2）模型層是元模型層的實例，如本文所構建的ATP-ML（ATP-Modeling Language）是用于描述車載ATP子系統的領域語言。

（3）實際系統層是模型層的實例化，如車載ATP子系統即是使用ATP-ML所生成的實際系統。

1.2 基于領域元模型的車載ATP子系統建模方法

列車運行控制系統（簡稱：列控系統）地面ATP子系統根據每列列車當前的前方行車條件，以無線通信方式向其提供實時行車許可。車載ATP子系統實時接收行車許可，并根據行車許可和列車運行狀態計算出速度控制曲線，當列車速度超過限制速度時觸發制動指令，使列車降速或停車，防止發生追尾等事故。列控系統工作原理，如圖2所示。

圖2 列控系統原理示意

車載ATP子系統領域元模型是基于該系統的共性特征和變化特征抽象的模型，而非對某一種車載ATP子系統的抽象模型。通過該元模型刻畫車載ATP子系統建模語言ATP-ML的語義和語法，從而實現鐵路信號系統領域內車載ATP子系統的建模需求。綜上，提出一種車載ATP軟件特定領域建模方法，給出了從車載ATP子系統領域出發開發車載ATP軟件的過程，如圖3所示，該方法中包含3個關鍵步驟。

圖3 基于元模型車載的ATP子系統軟件開發過程

（1）建立車載ATP子系統領域元模型，分析車載ATP子系統的特征，用領域元模型描述該系統的主要特征，形成ATP-ML語言特有的語義和語法，再用元模型解釋器轉化為可視化的車載ATP建模環境。

（2）應用ATP-ML構建車載ATP子系統領域內的應用模型，為某一基于特定平臺的車載ATP子系統構建模型。

（3）生成車載ATP軟件。通過模型解釋器將車載ATP子系統的應用模型轉換程序代碼，并應用編程環境，將轉換所得程序編譯成可執行的應用程序。

2 車載ATP子系統領域特征分析

2.1 功能方面

車載ATP子系統以不斷更新的行車許可（MA，Movement Authority）和列車運行狀態為輸入，實時輸出列車速度監控命令，保證列車運行安全。車載ATP子系統需要完成的功能包括：地面信息收發及處理、列車運行計算（速度和位置計算）、超速防護駕駛操作及信息顯示、運行記錄等，如圖4所示。

圖4 車載ATP子系統功能

2.2 控制對象方面

車載ATP子系統的控制對象為列車，而列車具有大量相同或相似的特性。如列車的長度、重量、牽引制動性能，以及軌道線路等均具備一維性。以上共性勢必會使得不同的車載ATP子系統軟件存在相似性。例如，列車速度和位置計算中使用的列車受力分析模型等。

2.3 控制原理方面

車載ATP子系統的核心功能是對列車速度的實時監控。對列車速度的監控有2種依據，分別是分級速度控制曲線和速度—距離模式曲線。分級速度控制曲線要求列車速度逐級降低，直至低于限制速度；速度—距離模式曲線要求持續輸出制動指令，直至速度下降至限制速度以下。后者能夠更好地利用列車的制動性能，縮短制動距離，提高行車效率，因而得到了廣泛采用。

目前應用的系統，車載ATP子系統在列車運行過程中周期性20 ms計算當前監控速度，速度—距離模式曲線是將行車許可范圍內所有位置的監控速度連接起來而形成的。圖5為1種常用的速度—距離模式曲線，該曲線包括頂棚速度監督區和目標速度監督區。

圖5 速度-距離模式曲線

綜上，可以從業務特征、功能特征、實現技術特征和領域技術特征抽象車載ATP子系統的特征。

3 車載ATP子系統的領域元模型設計

元模型中應用較為廣泛的建模工具包括MetaEdit+，DOME、EMF/GMF、通用建模環境（GME，General Modeling Environment）[9]等。GME具備元模型構建所需的平臺，支持多層次、多角度進行領域分析和建模，如類圖、元素、引用、屬性、約束等。本文采用GME構建車載ATP子系統的元模型。

3.1 車載ATP子系統的元模型

元模型車載ATP中采用層次化的方式將車載ATP子系統中的重要概念及規則組織為模型中的元素，各層元素之間為整體—部分的關系。如圖6所示，該模型包含人機顯示界面（DMI，Driver Machine Interface）和Logic兩部分，分別代表了車載ATP子系統的人機交互和邏輯功能。DMI和Logic都是Model類型的元素，即二者均有各自的內部結構。

圖6 車載ATP子系統元模型

（1）從人機交互角度，車載ATP子系統采用DMI為司機提供駕駛過程中的參考信息，便于司機觀察和操作。

（2）DMI劃分為界面顯示（Display）、司機操作（DriverCommand）、數據輸入（DataInput）、按鈕菜單（Button_Menu）及文本信息（TextInfo）5個部分。

（3）界面顯示中的信息包括距離信息（DistanceInfo）、速度信息（SpeedInfo）、補充駕駛信息（supDrivingInfo）、運行計劃信息（Planning）、監控信息（SupervisingInfo）、功能鍵信息（Function-Key）等。因此，按上述劃分方式，將人機交互方面的功能組織為車載ATP子系統中DMI部分中的模型元素。

3.2 車載ATP子系統的邏輯元模型

從列車安全控制過程分析，車載ATP子系統的功能是根據地面ATP子系統的行車許可信息，計算速度控制曲線并監控列車運行速度，實現列車的超速防護和安全間隔控制。因此，可以從車載ATP子系統中提取出的領域概念包括列車、線路、行車許可、臨時限速、速度曲線、制動距離等。圖6為車載ATP子系統的Logic部分的結構。

如圖7所示，Logic模型部分包含Model、Atom、Connection3種類型的元素。

圖7 車載ATP子系統的邏輯元模型

（1）Atom類型的元素包括模式（Mode）、列車（Train），Mode表示車載ATP的工作模式，Train表示OnboardATP所控制的列車。其中，元素Train包含列車結構及性能的靜態屬性，如列車重量（trainWeight）、列車長度（trainLength）、列車最大允許速度（trainMaxPerSpeed）、列車最大牽引力（trainMaxTraction）、列車最大制動力（trainMax Braking）等；列車當前速度（trainSpeed）、列車加速度（trainAcc）、列車運行狀態（trainState）等說明列車在運行過程中的動態屬性。

（2）Model類型的元素包括MA和速度曲線（SpeedCurve）等。MA包含Section和臨時限速（TSR，Temporary Speed Restriction），分別表示行車許可范圍內的軌道區段和臨時限速。Section包含區段長度（secLength）、區段起點位置（secStart Pos）、區段固定限速（secLimitSpeed）等屬性，TSR包含臨時限速長度（TSRLength）、臨時限速值（TSRLimitSpeed）等屬性。SpeedCurve為由行車許可計算得來的速度控制曲線，包含最限制速度曲線（MRSP，Most Restrictive Speed Profile）和動態速度曲線（DSP，Dynamic Speed Profile）。DSP內包含允許速度（PBSpeed）、報警速度（WSpeed）、常用制動出發速度（SBISpeed）和緊急制動觸發速度（EBISpeed）等。DSP分為頂棚監視區（CSM）和目標監視區（DSM）2個區域，故將CSM和TSM定義為DSP的2個元素，繼承其4個屬性。Onboard ATP中的一些元素包含枚舉類型的屬性，如表1所示。

表1 車載ATP子系統元模型中的枚舉類型

（3）Connection類型的元素代表元模型中各元素之間的關系。車載ATP子系統元模型中包含8個Connection類型的元素，其中MRSP_Section、MRSP_TSR、MRSP_Train和MRSP_Mode分別是最限制速度曲線（MRSP）的計算應考慮線路固定限速、線路臨時限速、列車構造限速及模式限速；DSP_MA、DSP_MRSP和DSP_Train分別是DSP的計算中考慮的行車許可、MRSP和列車的制動性能；Train_DSP是車載ATP子系統根據動態速度曲線監控列車運行速度，列車超速時通過輸出報警提示、切斷牽引及制動的方式控制列車速度，保障列車安全。

上述分析過程給出了車載ATP子系統領域內的重要概念及其相互之間的關系，其功能的實現依賴于一些領域規則，具體如下：

（1）當MRSP的構成要素發生變化時，要重新計算MRSP；MRSP的速度監控應考慮列車遵守的最小靜態速度限制和列車長度。

（2）當列車進入降速區段，MRSP計算要考慮安全距離；當列車進入升速區段，MRSP計算要考慮車尾保持。

（3）列車收到的新臨時限速若與先前收到的臨時限速編號相同，新的臨時限速應取代舊的臨時限速。

（4）報警提示產生后應持續有效，應在列車減速至允許速度以下后關閉。

（5）如果常用制動命令被觸發，應在列車速度降至允許速度以下后緩解。

（6）緊急制動是常用制動的后備，如果常用制動無法達到控車安全要求時，則應觸發緊急制動命令。

（7）如果列車速度大于緊急制動限制速度，應觸發緊急制動命令。

（8）緊急制動命令被觸發后，只能在列車停穩且司機按下制動緩解按鍵后才能緩解。

以上領域規則只是車載ATP子系統領域規則的一部分，可以根據需要進行擴展和細化，這些領域規則無法用UML類圖表示。在利用GME構建元模型時，將領域規則以OCL約束的形式組織起來。OCL是一種施加在指定模型元素上的形式化語言。OCL表達式以附加在模型元素上的條件和限制來表現對該對象的約束，包括附加在模型元素上的不變量或約束的表達式，以及附加在操作和方法上的前置條件和后置條件。

4 結束語

分析和抽象列控系統車載ATP子系統的共性特征，并應用元模型理論和建模工具構建其領域元模型。該模型可以描述車載ATP子系統的共性特征和組織結構，從而刻畫了該系統的建模語言ATP-ML的語義和語法。ATP-ML具有較強的通用性，可以刻畫面向不同硬件平臺和操作系統的車載ATP子系統的軟件模型，發揮了模型的可重用性，提高了軟件的質量和開發效率，顯著縮短開發周期。