一種無線閉塞中心處理有條件緊急消息的安全方法

屈永正，劉振玉，宋 巖

（湖南中車時代通信信號有限公司 北京分公司，北京 100070）

0 引言

無線閉塞中心（radio block center, RBC）作為CTCS-3/ETCS-2 級列車控制系統(tǒng)（簡稱“列控系統(tǒng)”）的地面控制中心，通過無線網(wǎng)絡(luò)（GSM-R）與列車進(jìn)行雙向數(shù)據(jù)交互。由于交互頻率較慢（周期配置值一般為6 s），加之無線通信的傳輸延遲， RBC 收到的列車位置與列車實(shí)際的位置不一致。當(dāng)?shù)孛嬗嬎銠C(jī)聯(lián)鎖設(shè)備（computer based interlocking, CBI）報告列車前方進(jìn)路/閉塞分區(qū)被占用時，RBC 無法判斷該占用是否是由于進(jìn)路/閉塞分區(qū)后方列車正常駛?cè)胨鶎?dǎo)致。為解決這一問題，歐洲列車控制系統(tǒng)（European train control system, ETCS）規(guī)范[1-2]定義了有條件緊急消息（conditional emergency message, CEM），它包含了指定的停車位置。一旦RBC 判斷列車前方進(jìn)路/閉塞分區(qū)被占用，便向列車發(fā)送CEM，由列車根據(jù)自身位置進(jìn)行判斷：如果列車已越過CEM 所指定的停車位置，說明前方進(jìn)路/閉塞分區(qū)的占用是由該列車的駛?cè)攵鴮?dǎo)致的，列車則拒絕該CEM 并繼續(xù)遵照已收到的行車許可行車；反之，說明列車前方存在異常占用情況，列車須在CEM 指定的停車位置前停車。在ETCS-2 級列控系統(tǒng)中，RBC 與列車之間的消息交互采用應(yīng)答機(jī)制，包括普通應(yīng)答和特定應(yīng)答兩種方式。普通應(yīng)答是指RBC 通過設(shè)置發(fā)送消息中確認(rèn)標(biāo)識（M_ACK）字段的取值，告知列車收到此消息后是否需應(yīng)答。如需應(yīng)答，列車則回復(fù)確認(rèn)消息（M146）進(jìn)行應(yīng)答。特定應(yīng)答是指列車收到某條消息后通過ETCS 規(guī)范中定義的特定消息進(jìn)行應(yīng)答。CEM 的應(yīng)答方式屬于特定應(yīng)答，即列車通過緊急消息確認(rèn)消息（M147）對收到的CEM 進(jìn)行應(yīng)答，從而保證了車地雙方對CEM 處理的一致性。但是，由于RBC 與列車之間采用無線通信方式，當(dāng)無線通信受到干擾時，RBC 無法收到CEM 的應(yīng)答消息M147，此時會出現(xiàn)車地對CEM 處理不一致的情況。即RBC 認(rèn)為列車未收到CEM，繼續(xù)重復(fù)發(fā)送CEM；而列車認(rèn)為已經(jīng)回復(fù)過消息M147，即便收到CEM 也不再回復(fù)應(yīng)答消息，RBC 與列車進(jìn)入死鎖狀態(tài)，RBC 不能繼續(xù)正?？刂圃摿熊?。

CTCS-3 作為我國最先進(jìn)的列控系統(tǒng)，是ETCS-2列控系統(tǒng)的中國本地化實(shí)現(xiàn)，其關(guān)于CEM 的定義和使用完全依據(jù)ETCS 規(guī)范[2]，所以對CEM 的處理同樣也存在上述問題。本文通過對RBC 與列車進(jìn)入死鎖狀態(tài)的原因進(jìn)行分析，提出一種RBC 處理CEM 的安全方法。該方法采用特定消息應(yīng)答機(jī)制和普通應(yīng)答機(jī)制相結(jié)合的CEM 確認(rèn)方式，不僅適合ETCS-2 列控系統(tǒng)，而且還能解決現(xiàn)有CTCS-3 列控系統(tǒng)CEM 處理中的問題。

1 CEM 產(chǎn)生的場景

由于列車位置報告的延時，當(dāng)CBI 報告列車前方進(jìn)路/軌道區(qū)段/閉塞分區(qū)被占用時，RBC 無法判斷該占用是否是由后方列車正常駛?cè)胨鶎?dǎo)致，此時RBC 需向列車發(fā)送CEM，以確認(rèn)列車是否進(jìn)入該進(jìn)路/軌道區(qū)段/閉塞分區(qū)。本文從前方進(jìn)路、軌道區(qū)段及閉塞分區(qū)被占用3 種情況來分析CEM 產(chǎn)生的場景。

1.1 進(jìn)路為“正在通過”

列車前方緊鄰進(jìn)路狀態(tài)由“正常/引導(dǎo)/調(diào)車”變?yōu)椤罢谕ㄟ^”時，由于列車位置信息更新較慢，此時RBC 不確定列車是否駛?cè)肭胺竭M(jìn)路，所以需向列車發(fā)送CEM。如圖1 所示，其中位置1 表示列車在進(jìn)路外方，位置2 表示列車駛?cè)脒M(jìn)路：

（1）列車位置1。列車未駛?cè)脒M(jìn)路，CBI 辦理接車進(jìn)路X →S1 和發(fā)車進(jìn)路XI →Sn，CBI 向RBC 發(fā)送“X →X3 和XI →Sn 進(jìn)路狀態(tài)為正?！毙畔?；RBC 向列車發(fā)送的授權(quán)持續(xù)到軌道區(qū)段121 的終點(diǎn)。

（2）列車位置2。列車駛?cè)牍傻繧G，CBI 向RBC 發(fā)送“XI →Sn 進(jìn)路狀態(tài)為正在通過”信息；RBC 需向列車發(fā)送CEM，CEM 所示的停車點(diǎn)為股道IG 的終點(diǎn)。

圖 1 緊鄰進(jìn)路狀態(tài)變“正在通過”Fig. 1 State of adjacent route changed to “passing”

1.2 軌道區(qū)段占用

列車所在進(jìn)路的前方緊鄰軌道區(qū)段被占用，因列車位置信息更新較慢，RBC 無法確定列車是否駛?cè)肭胺杰壍绤^(qū)段，所以需向列車發(fā)送CEM。如圖2 所示，位置1 表示列車在進(jìn)路外方，位置2 表示列車駛?cè)脒M(jìn)路。

圖 2 進(jìn)路內(nèi)緊鄰軌道區(qū)段被占用Fig. 2 State of track section in route changed to“occupied”

（1）列車位置1。列車未駛?cè)脒M(jìn)路，CBI 辦理接車進(jìn)路X →X3，CBI 向RBC 發(fā)送“X →X3 進(jìn)路狀態(tài)為正?！毙畔ⅲ籖BC 向列車發(fā)送的授權(quán)持續(xù)到股道3G終點(diǎn)。

（2）列車位置2。列車駛?cè)氲啦韰^(qū)段1，CBI 向RBC 發(fā)送“X →X3 進(jìn)路狀態(tài)為正在通過”信息，道岔區(qū)段1 和9 被占用；RBC 需向列車發(fā)送CEM，CEM 所示的停車點(diǎn)為道岔區(qū)段9 的起點(diǎn)。

1.3 閉塞分區(qū)被占用

列車緊鄰閉塞分區(qū)被占用，因列車位置更新較慢，RBC 無法確定列車是否駛?cè)肭胺介]塞分區(qū)，所以需向列車發(fā)送CEM。如圖3 所示，位置1 表示列車在閉塞分區(qū)B1；位置2 表示列車在閉塞分區(qū)B1 末端，但未進(jìn)入B2。

圖 3 緊鄰閉塞分區(qū)被占用Fig. 3 State of adjacent block section changed to“occupied”

（1）列車位置1。列車在閉塞分區(qū)B1，CBI 發(fā)送“B1被占用、閉塞分區(qū)B2～B4 均空閑”信息，方向均為下行；RBC 向列車發(fā)送的授權(quán)持續(xù)到B4 終點(diǎn)。

（2）列車位置2。列車在閉塞分區(qū)B1，CBI 發(fā)送“B1和B2 被占用，閉塞分區(qū)B3 和B4 均空閑”信息，方向均為下行；RBC 需向列車發(fā)送CEM，CEM 所示的停車點(diǎn)為B1 的終點(diǎn)。

2 CEM 處理分析

通過場景分析明確了何時發(fā)送CEM 后，列控系統(tǒng)依據(jù)ETCS 規(guī)范3.10 節(jié)、第7 章中對車地信息包格式的定義及第8 章中對車地消息格式的定義對CEM 處理流程進(jìn)行分析（CTCS-3 規(guī)范[3]3.7 節(jié)、第7 章和第8 章關(guān)于CEM 的描述與ETCS 規(guī)范的一致，所以處理流程也相同）。下面先分析CEM 在正常情況下的處理，再分析異常情況下的處理方法，即CEM 的M147 在傳輸中丟失，且此時列車模式已改變，需分析轉(zhuǎn)入到何種模式時RBC 的處理會出現(xiàn)問題。

2.1 處理流程

當(dāng)列車收到RBC 發(fā)送的CEM 時，回復(fù)M147，并通過設(shè)置M147 中字段Q_EMERGENCYSTOP 的取值，標(biāo)明列車是否接受該CEM。CEM 交互時序見圖4。

圖 4 CEM 交互時序Fig. 4 Interaction sequences of CEM

當(dāng)列車判斷其最小安全前端已越過CEM 停車點(diǎn)時，則拒絕該CEM；RBC 收到M147 后退出CEM 處理，繼續(xù)向列車發(fā)送行車許可。

當(dāng)列車判斷其最小安全前端未越過CEM 停車點(diǎn)，接受該CEM，且可在CEM 停車點(diǎn)前停車，將保持FS（全監(jiān)控）模式或OS（引導(dǎo)）模式或LS（有限監(jiān)控）模式，在CTCS-3 中保持FS（全監(jiān)控）模式或CO（引導(dǎo)）模式；RBC 收到M147 后發(fā)送消息M18，收到M18 的確認(rèn)消息后則退出CEM 處理，若隨后列車發(fā)送移動授權(quán)請求，則繼續(xù)為列車計算行車許可。

當(dāng)列車判斷其最小安全前端未越過CEM 停車點(diǎn)，接受該CEM，但不能在CEM 停車點(diǎn)前停車，則列車緊急制動轉(zhuǎn)入TR（冒進(jìn)）/PT（冒后）模式；RBC 收到M147 后發(fā)送消息M6 和M18，收到M18 的確認(rèn)后退出CEM 處理，若隨后列車發(fā)送移動授權(quán)請求，則繼續(xù)為列車計算行車許可。

2.2 ETCS-2 異常分析

當(dāng)RBC 與列車間無線通信受到干擾、RBC 未能收到列車回復(fù)的M147 時，CEM 交互時序會存在異常。

當(dāng)列車拒絕CEM 時，RBC 未收到M147，RBC 根據(jù)列車發(fā)送的位置報告中的模式和位置信息，判斷列車在FS/OS/LS 模式下已越過CEM 停車點(diǎn)，說明此時列車拒絕了CEM，但M147 丟失。此時RBC 退出CEM處理，繼續(xù)向列車發(fā)送行車許可，不存在問題。

當(dāng)列車接受CEM，RBC 未收到M147 時，根據(jù)ETCS 規(guī)范第4 章，列車共有17 種模式，分別是NP, SB, PS, SH, FS, LS, SR, OS, SL, NL, UN, TR, PT, SF, IS, SN和RV。

（1）NP 模式

NP 為未上電模式，該模式下列車不會向RBC 發(fā)送消息，所以不考慮。

（2）FS/LS/OS/TR/PT 模式

若列車報告FS/LS/OS/TR/PT 模式，根據(jù)ETCS規(guī)范4.8.4 節(jié)不同模式下接受的消息，列車在相應(yīng)模式下處理CEM 消息。RBC 若未收到M147，則會繼續(xù)發(fā)送CEM；列車收到CEM 后，會回復(fù)M147，直至RBC 收到M147，進(jìn)行CEM 的正常處理流程，不存在問題。

（3）IS/SF/NL/SL/UN/SN/SH/PS 模式

若列車報告IS/SF/NL/SL/UN/SN/SH/PS 模式，RBC注銷列車（因?yàn)檫@些模式要么是隔離、故障、非本務(wù)、休眠，要么是等級轉(zhuǎn)入0 或NTC 下的模式，要么是進(jìn)入調(diào)車模式，所以RBC 可以注銷列車），不存在問題。

（4）RV 模式

若列車報告RV（退行）模式，列車只有收到調(diào)車授權(quán)才轉(zhuǎn)入該模式，而RBC 發(fā)送CEM 后不會發(fā)送調(diào)車授權(quán)，所以不可能轉(zhuǎn)入，因而不存在問題。

（5）SB 模式

若列車報告SB（待機(jī)）模式，此時列車需關(guān)閉駕駛臺，并會主動進(jìn)入注銷流程，所以RBC 收到此模式的位置報告后注銷列車，故不存在問題。

（6）SR 模式

若列車報告SR（越行）模式，根據(jù)ETCS 規(guī)范

4.8.4 節(jié)，在SR 模式下，列車不處理CEM，收到后直接丟棄，不向RBC 回復(fù)M147。這就造成RBC 一直重復(fù)發(fā)送CEM，列車雖一直發(fā)送位置信息卻無法收到RBC 發(fā)送的行車許可。只有無線斷開RBC，刪除列車連接，列車重新建立無線連接并注冊成功后，RBC 才能向列車發(fā)送行車許可?？梢?，該模式存在RBC 與列車進(jìn)入死鎖狀態(tài)、RBC 不能繼續(xù)正?？刂屏熊嚨膯栴}。

2.3 CTCS-3 異常分析

在RBC 未 收 到M147 且 列 車 接 受CEM 時，CTCS-3 對CEM 的處理方法存在缺陷。根據(jù)CTCS-3 規(guī)范[3]，列車共有9 種模式，分別是SB, SH, FS, OS, CO, SL, TR, PT 和IS。

若列車報告FS/CO（引導(dǎo)）/TR/PT 模式，RBC 若未收到M147，則會繼續(xù)發(fā)送CEM；列車收到CEM 后，會回復(fù)M147，直至RBC 收到M147 進(jìn)行CEM 的正常處理流程，不存在異常問題。

若列車報告IS/SH/SL 模式，RBC 注銷列車（因?yàn)檫@3 種模式是隔離、休眠、調(diào)車，所以RBC 可以注銷列車），故不存在問題。

若列車報告SB（待機(jī)）模式，分析同上，不存在問題。

若列車報告OS（目視）模式，根據(jù)CTCS-3 規(guī)范[3]

4.6.4 節(jié)中表11（根據(jù)模式接受信息），在OS 模式下，列車不處理CEM 消息，又據(jù)CTCS-3 級列控系統(tǒng)無線閉塞中心技術(shù)規(guī)范[4]第5.10.4 節(jié)：若RBC 向車載設(shè)備重復(fù)發(fā)送“緊急停車”消息過程中收到車載設(shè)備處于冒進(jìn)（TR）或冒后（PT）模式的消息，則RBC 應(yīng)停止發(fā)送緊急消息。由此可見，在重復(fù)發(fā)送緊急消息過程中，列車模式轉(zhuǎn)入OS 模式，RBC 則繼續(xù)重復(fù)發(fā)送緊急消息。所以，當(dāng)RBC 向列車發(fā)送CEM 時，一旦由于司機(jī)選擇越行而進(jìn)入OS 模式，RBC 將重復(fù)發(fā)送CEM，列車收到后直接丟棄且一直發(fā)送位置信息；RBC 收到列車的位置信息后繼續(xù)重發(fā)CEM，列車與RBC 之間將進(jìn)入死鎖狀態(tài)。只有在列車與RBC 間無線連接斷開、RBC 刪除列車連接、列車重新建立無線連接并注冊成功后，RBC 方可繼續(xù)控制該列車，但這將影響控車效率。

3 安全處理方法

據(jù)上分析，CEM 被重復(fù)發(fā)送，該問題的關(guān)鍵在于；RBC丟失M147后，列車一旦轉(zhuǎn)入SR或OS模式（ETCS-2級列控系統(tǒng)中SR 模式對應(yīng)CTCS-3 級列控系統(tǒng)中的OS 模式[5]），列車將不再處理CEM，RBC 也無法得知列車是否收到CEM。為使RBC 知道列車是否收到CEM，在采用特定應(yīng)答（M147）的同時，還采用普通應(yīng)答機(jī)制，即將CEM 的確認(rèn)標(biāo)識M_ACK 設(shè)置為1[6]。此時即便列車不處理CEM，當(dāng)其收到CEM 后也會回復(fù)M146；RBC 收到M146，認(rèn)為列車已收到CEM，則進(jìn)入CEM 的撤銷流程，最終退出CEM 的處理。因此，CEM 安全處理應(yīng)遵照以下4 條原則，處理流程如圖5所示。

圖 5 CEM 安全處理方法Fig. 5 Safe handling method of CEM

（1）RBC 收到M147，若列車接受CEM，則進(jìn)入CEM 撤銷流程；若列車拒絕CEM，則刪除CEM，繼續(xù)向列車發(fā)送行車許可。

（2）RBC 收到CEM 的M146 但未收到M147，則根據(jù)此后列車位置報告中的模式進(jìn)行處理。如果列車報告的模式非FS/OS/LS/TR/PT（CTCS-3 系統(tǒng)中FS/CO/TR/PT 模式），則直接清除CEM，退出CEM 的處理流程；如果列車報告的模式為FS/OS/LS（CTCS-3 系統(tǒng)中FS/CO 模式），則繼續(xù)重發(fā)CEM；如果列車報告的模式為TR/PT，則發(fā)送M18 進(jìn)入CEM 撤銷處理流程。

（3）如果未進(jìn)入CEM 撤銷處理流程且列車的位置已越過CEM 終點(diǎn)，而列車報告的模式是TR/PT，則刪除CEM，繼續(xù)發(fā)送行車許可；否則，進(jìn)入CEM 撤銷處理流程。

（4）如果收到M147，則不再處理CEM 的確認(rèn)消息M146。

根據(jù)CTCS-3 級列控系統(tǒng)無線報文定義及運(yùn)用原則[7]，CEM 的M_ACK 設(shè)置為0，即不要求列車對CEM 進(jìn)行確認(rèn)。如果采用本文的安全處理方法，將CEM 的M_ACK 設(shè)置為1 即可解決CTCS-3 級列控系統(tǒng)中CEM 處理的問題。

4 結(jié)語

本文通過對ETCS-2/CTCS-3 列控系統(tǒng)對CEM 處理異常情況的分析，提出一種RBC 處理CEM 的安全方法，即在原有M147 作為CEM 應(yīng)答的同時，設(shè)置CEM 的M_ACK 為1，要求列車必須對收到的CEM進(jìn)行M146 消息確認(rèn)。針對產(chǎn)生CEM 的各種場景，編寫大量的測試用例，在仿真環(huán)境中對本方法進(jìn)行了驗(yàn)證，全部通過。因此，利用該方法可解決無線干擾丟包時，RBC 因丟失M147 而無法判定列車是否收到CEM，進(jìn)而造成列車與RBC 對CEM 處理不一致產(chǎn)生的死鎖問題。