基于SPN的无线闭塞中心切换过程中的故障分析

李嘉懿 ，王长林

（西南交通大学 信息科学与技术学院， 成都 610031）

无线闭塞中心（RBC）是CTCS-3级列控系统的地面核心设备，也是关系到列车行驶安全的重要设备。RBC根据所运行列车的位置、轨道占用、列车进路、临时限速、灾害防护和线路参数等信息，计算出针对所控列车的行车许可（MA），并通过GSM-R将MA、线路参数、临时限速信息传送给CTCS-3级车载子系统，同时通过GSM-R无线通信系统接收车载设备发送的位置和列车数据等信息，保证其管辖范围内列车的运行安全。当列车从一个RBC管辖区域运行到另一个RBC管辖区域的过程中涉及RBC切换，而RBC切换效率是保证列车在切换点不减速运行的重要因素，当RBC故障时，切换效率会受到影响。运用形式化语言中随机Petri网（SPN）对切换过程进行建模，可分析出RBC故障对切换及列车行驶安全的影响。

1 RBC切换协议

在切换过程中，RBC1（移交RBC）负责向RBC2（接收RBC）发送切换预告信息（车载设备ID、RBC边界的应答器组ID、列车数据等）、进路请求信息、切换通告信息、切换确认信息、切换取消信息。RBC2负责向RBC1发送进路信息、接管列车信息。RBC切换分为两种情况，图1为RBC切换示意图。

图1 RBC切换示意图

1.1 有两台车载电台情况下的RBC切换

有两台车载电台情况下，当列车越过切换应答器，车载设备向RBC1发送位置报告后，RBC1向车载设备发送切换命令及RBC2的电话信息，同时向RBC2发送列车信息，当车载设备收到电话信息后呼叫RBC2，之后的过程中车载要同时向两个RBC发送位置报告，当列车头部（最大安全前端）越过边界后，车载设备向RBC1及RBC2发送位置报告。从此，车载设备只使用从RBC2接收到的信息，并拒绝接受RBCl除终止会话信息之外的其他信息。RBC2收到列车最大前端已越过RBC切换边界的位置报告后向RBCl发送接管列车信息。当列车尾部（最小安全末端）越过边界后，车载设备向RBC1及RBC2发送位置报告。车载设备接收到RBC1切断无线连接的命令后，中断与RBC1的通信连接，完成切换。

1.2 只有一台车载电台情况下的RBC切换

与两台不同的是，当列车尾部越过切换点、车载设备接收到RBC1切断无线连接命令后，切断与RBC1的通信连接。车载设备根据RBC1先前下达的切换命令，呼叫RBC2。呼叫成功后，列控车载设备向RBC2发送通信初始化信息、RBC2向列车发送通信版本信息、车载设备向RBC2发送通信建立信息。至此，车载设备与RBC2建立了通信会话。

2 随机Petri网（SPN）

对于列车运行系统的建模和分析，目前，已经有很多国外教学机构和学者运用形式化语言对其的并发、实时和分布式等特点进行研究，由于形式化语言有着坚实的数学理论作为基础，所以能够更加准确地描述模型的随机性等特点，本文利用SPN对非确定性、并发事件的处理能力，对RBC的故障模型进行仿真，这样可以得出更加准确的定量分析结果。

SPN是把变迁与随机的指数分布实施延时相联系。 SPN模型是将基本的Petri的每一个变迁相关联一个实施速率，一个SPN同构于一个连续时间的马尔科夫链（MC），典型的SPN假设变迁的实施时间呈指数分布，这样可以通过与其同构的MC进行求解。

在连续时间SPN中，一个变迁从可实施到实施需要延时，即从一个变迁t变成可实施的时刻到它实施时刻之间被看成是一个连续随机变量xt（取正实数值），且服从于一个分布函数t：

在不同类型的随机时间网中，这个分布函数的定义是不一样的。连续时间SPN中，相关于每个变迁的分布函数定义成一个指数分布函数：

其中，实参数λt(λt>0)是变迁t的平均实施速率，变迁x≥0。

SPN的分析方法分3个过程：（1）建立系统的一个SPN模型；（2）求出SPN的可达图后作出同构的MC；（3）基于MC的稳定状态概率对所要求的系统进行性能分析。本文运用SPNP6.0作为分析求解软件。

3 RBC故障

RBC切换成功率受多方面因素的影响，包括GSM-R网络故障，RBC故障，其它地面设备故障等，根据CTCS-3级列控系统总体技术方案中的规定：RBC故障后，受其控制的列车将中断与RBC之间的通信连接，15 s后由于列车不能从RBC收到任何消息，将进行制动，列车运行速度降至满足CTCS-2级系统运行速度时，自动转为CTCS-2级，备用系统继续运行。RBC设备区域内所有CTCS-3级列车注册信息将在5 min后自动删除，故障恢复后，CTCS-2级列车将呼叫RBC重新进行注册并申请行车许可，列车在获得MA后，自动由CTCS-2级控车转到CTCS-3级控车。

文中将RBC切换流程分为以下3个时段：

时段1：列车未到达切换预告点但在距离切换预告点一段时间内处；时段2：列车越过切换预告点但头部还未越过切换点；时段3：列车头部越过切换点。

各时段分布示意如图2。

图2 时段分布示意图

以上3个时段下RBC2故障对列车切换的影响各不相同。本文运用SPN，对以上3种情况下RBC2故障时RBC切换的成功率进行分析。

4 RBC故障下SPN模型

以下模型均为1台车载设备情况下RBC2故障对切换成功率的影响，介绍RBC故障时整体RBC切换时的模型以及时段2时、时段3情况下RBC故障对切换的影响。

在时段1中，RBC2对列车的切换没有影响，所以此处不作分析。

4.1 RBC故障模型

该模型描述了在切换过程中RBC发生故障时，列车将降级至CTCS-2级运行，以及RBC功能恢复后，列车恢复至CTCS-3级运行的情况。

图3 RBC故障模型

如图3，库所normal代表列车正常行驶，经过15 s（变迁timeout1）后没有接收到RBC信息，到达库所bad即判定RBC故障。

RBC故障后，经过5 min（变迁timeout2），若无回复则转至库所delete（删除注册），待RBC恢复，经过库所receive（列车重新收到RBC信息）后，RBC进入库所RBCready（RBC进入正常工作状态），列车呼叫RBC请求行车许可（变迁ReqRBC），收到行车许可后，进入库所RecRBC，升至CTCS-3级列车运行（变迁C3）。

经过制动（变迁Brake）后列车降至库所C2（CTCS-2级）运行，若RBC恢复，则重联成功（库所success），RBC进入库所RBCready（RBC进入正常工作状态），列车呼叫RBC，请求行车许可（变迁ReqRBC），收到行车许可后进入库所RecRBC，升至CTCS-3级列车运行（变迁C3）。

4.2 时段2情况下RBC2故障切换流程

时段2的情况下RBC2故障的切换流程模型如图4。

库所normal代表列车正常行驶，车载向RBC1发送列车位置（变迁send），RBC1收到（库所receive）后向RBC2转发列车信息（变迁send2）。等待接收信息（库所waiting），计时6 s后（变迁timeout）若重联成功，进入库所success，直到接收到下一次的MA（变迁receive）后正常行驶。

图4 时段2情况下RBC2故障的切换流程模型

若重联未成功，进入库所fail，列车按原来的行车许可继续前进期间等待RBC2恢复（库所waiting），计时15 s（timeout1）后仍未恢复则切换失败，到达库所fail1，表示切换失败。

若成功则进入库所success1，恢复RBC控车（变迁receive），正常运行（库所run）。

4.3 时段3的情况下RBC2故障的切换流程

时段3的情况下RBC2故障的切换流程模型如图5。

图5 时段3情况下RBC2故障的切换流程模型

库所normal代表列车正常行驶，此时列车在行驶完RBC1的行车许可后，向RBC2发送行车许可（变迁send），等待RBC2发送行车许可（库所waiting），再次呼叫RBC2（变迁send2），进入库所P2等待RBC2的行车许可，经过15 s（变迁timeout）后，若RBC回执信息，则进入success库所，若未接收到RBC2的信息，则进入库所fail（切换失败），接收CTCS-2的信息后（receive）进入库所C-2（降级到CTCS-2级行驶）。

5 模型求解及分析

用SPNP6.0对模型进行瞬态分析，得到的结果如表1。

时段2的情况下，RBC2故障的切换成功率趋于50.11%。

表1 SPNP6.0分析结果

时段3的情况下，RBC2故障的切换成功率趋于50%。

1台车载电台时，RBC2故障情况下切换成功率为：

（50%+50.11%）/2=50.05%

当列车头部越过切换点后，车载设备会向RBC1和RBC2发送位置报告，RBC2收到位置报告后会向RBC1发送接管信息，若此时RBC2故障无法与列车建立通信，则列车会按照RBC1之前发送的延长行车许可继续前进，当列车行驶完延长行车许可距离后仍无法与RBC2建立通信，则列车降到CTCS-2级允许的速度，系统将自动转换为CTCS-2级控车。但是，如果此时在延长行车许可距离（40 s正常行驶距离+完全制动距离）的线路中出现灾害情况，联锁系统将无法通过RBC2告知列车制动，在这种情况下必将危及到列车的行车安全。

假设列车的初始速度为300 km/h，40 s行驶的距离为3.3 km，而规定的300 km/h的列车制动距离为3.7 km，也就是说，如果RBC2出现故障，在RBC1发送的接近7 km的MA中无法确保列车的行驶安全，为避免此类情况发生，必须设置完善的安全预警装置，当线路变化时防灾传感器会通知联锁，这时联锁会将信息同时通知RBC1，再由RBC1通知列车。

当RBC2故障时，切换的成功率很低，非常不利于行车效率的提高，而当出现图6的情况更是威胁到了行车安全。

为避免以上情况的发生，需要设置完善的安全预警装置，尤其在切换点过后的一定距离内为确保列车的行车安全，联锁在向RBC2发送线路变化或临时限速信息时，应同时向交接的RBC1发送信息，这样在RBC切换时，若RBC2故障，则可由相邻的RBC1将信息及时通知列车，更新延长行车许可的信息，从而确保列车的安全行驶。图7 为RBC故障时防灾报警改进示意图。

图6 RBC故障示意图

图7 RBC故障时防灾报警改进示意图

6 结束语

在CTCS-3列控系统中，RBC切换成功与否对列车运行的安全性和行车效率具有重要的意义。本文讨论了在不同切换时间段内，当RBC2发生故障时具有单台车载电台的列车切换成功率模型，分析了相应的切换成功率。由分析结果可见，不同时段的RBC故障在切换过程中对切换的影响各不相同。

本文真实地模拟了RBC切换中不同时段的故障场景，为计算各种情况下RBC故障对切换成功率的影响，以及提高行车安全可靠性提供了理论依据。

[1]牛 儒，曹 源，唐 涛. ETCS-2级列控系统RBC交接协议的形式化分析[J]. 铁道学报，2009（4）：52-58.

[2]梁 楠. 基于随机Petri网的CTCS-3级RBC系统控车流程建模与分析[D]. 北京：北京交通大学，2009.

[3]林 闯. 随机petri网和系统性能评定[M]. 北京：清华大学出版社，2005.