基于着色Petri网的下一代列控系统虚拟闭塞技术仿真分析研究

王 琳，开祥宝，杨霓霏，宋志丹，柴金川

(1.中国铁道科学研究院集团有限公司 通信信号研究所，北京 100081；2.国家铁路智能运输系统工程技术研究中心，北京 100081;3.中国铁道科学研究院集团有限公司 国家铁道试验中心，北京 100081)

随着我国列控系统的快速发展，采用卫星定位技术的下一代列控系统将是我国信号控制系统的重点研究方向。在下一代列控系统中，采用卫星定位技术实现列车的连续精确定位为实现虚拟闭塞技术提供了技术支持。虚拟闭塞技术的实现，对于高海拔、环境恶劣、日常维修维护工作困难的西部铁路具有重要意义。本文主要内容是：（1）介绍下一代列控系统的系统定义及系统构成；（2）针对下一代列控系统的结构特征，对其虚拟闭塞技术进行研究；（3）采用着色Petri网对虚拟闭塞技术的实现进行建模仿真分析。

1 下一代列控系统

1.1 系统定义

根据2004年颁布的《中国列车运行控制系统CTCS技术规范总则》，对CTCS-4级列控系统进行了如下描述：

（1）完全基于无线通信(如GSM-R)的列车运行控制系统；

（2）列车可按虚拟闭塞或移动闭塞方式运行，由地面RBC和车载设备完成列车占用检查和列车完整性检测；

（3）线路上安装点式设备，主要为列车提供用于测距修正的定位基准信息；

（4）无线通信系统实现地面-列车间连续、双向的信息传输；

（5）可采用目标距离模式控制；

（6）由地面RBC生成行车许可，通过无线通信系统传送到列车上。其它与列车运行控制系统有关的信息也通过无线通信系统传输；

（7）车载设备为主体信号，可取消地面信号。

根据CTCS-4级列控系统的特点，结合既有CTCS-3级列控系统的成熟技术，下一代列控系统可有如下定义：下一代列控系统是基于无线通信及卫星导航技术的列车运行控制系统。该系统采用卫星定位融合车轮速度传感器、惯性导航等技术实现列车的综合定位。通过无线通信网络实现车地间信息交互，以此完成列车位置、行车许可等信息的传输。列车以连续一次性速度距离控制曲线运行，可实现虚拟闭塞或移动闭塞追踪。

1.2 系统结构方案

继承于CTCS技术体系，下一代列控系统整体由3部分构成，分别为：地面子系统、车载子系统及无线通信子系统，系统结构如图1所示。

1.2.1 地面子系统

在下一代列控系统中，考虑地面设备虚拟化、轨旁设备稀疏化的需求，区间不再设置轨道电路。地面子系统主要由计算机联锁系统（CBI）、无线闭塞中心（RBC）、轨旁数据存储单元（DSU）、地面定位单元等构成。

其中，CBI除完成车站联锁功能外，还新增有区间方向控制，与RBC新增信息交互等功能；对于RBC，除向车载提供移动授权、线路基础数据等信息外，还与列车定位装置共同完成列车在区间的占用、出清与虚拟闭塞功能；DSU设备主要完成电子地图数据的存储与上传等功能。

1.2.2 车载子系统

车载子系统由车载安全计算机、无线通信单元、轨道电路信息接收单元、应答器信息接收模块、车载记录单元、列车接口单元、人机界面等设备组成。新增有列车定位单元（LPU）及卫星定位天线以完成列车的精确定位。其中，LPU具有以下功能：

（1）存储电子地图数据，接收卫星定位、差分基站信息，接收车载发送的测速测距信息与实体应答器信息，根据接收到的信息进行融合滤波计算，以此确定列车当前位置与速度并将以上信息发送至车载；

（2）当列车运行位置通过电子地图中的虚拟应答器时，LPU将向车载设备发送虚拟应答器报文信息；

（3）列车通过道岔时，LPU将接收道岔位置表示信息。根据车站的地理数据信息完成对列车位置的精确定位，同时根据道岔位置信息确定列车走向。

2 虚拟闭塞技术

所谓虚拟闭塞即将区间线路划分为若干虚拟闭塞分区，与传统固定自动闭塞制式不同，地面不再使用实际的轨道占用检测设备，而是采用逻辑区段的方式对区间进行划分。追踪列车位置，实现列车的占用检查是实现虚拟闭塞技术的难点。此外，当列车与地面失去通信，出现丢失列车位置的故障情况，如何确保列车在区间的安全运行成为又一问题。

在下一代列控系统中，由基于卫星定位的综合定位技术实现列车的精确定位。列车在运行过程中，通过相应定位单元确定自身位置并将位置报告发送至RBC，RBC通过内部查询，确定列车占用的虚拟闭塞分区，以此追踪列车的运行。由此可以看出，RBC设备、车载设备以及相关的定位系统是实现虚拟闭塞技术的核心设备。其中，列车在虚拟区段的占用检查、列车在区间运行的安全防护主要由RBC设备完成。

RBC对虚拟闭塞技术的实现主要分为3部分：（1）RBC上电启动，确定区间列车位置；

（2）列车于区间运行，RBC完成运行列车在虚拟闭塞分区的占用检查；

（3）车地通信故障，列车位置丢失时，RBC对列车在区间运行的安全防护。

图1 下一代列控系统结构示意图

2.1 RBC上电启动，确定区间列车位置

在下一代列控系统中，地面设备RBC将在上电启动后，将管辖范围内所有虚拟闭塞分区设置为逻辑占用状态。当RBC与CBI建立通信连接后，RBC将根据获取的CBI相关信息，分别进行如下处理：

（1）若CBI根据区间计轴设备信息确认区间空闲时，RBC将自动确认管辖范围内区间所有虚拟闭塞分区为空闲状态；

（2）若CBI根据区间计轴设备信息确认区间有车占用时，将由调度人员对区间列车位置进行确认，无列车占用的虚拟闭塞分区将由人工解锁。

2.2 列车在虚拟闭塞分区的占用检查

RBC对进入区间的列车进行追踪定位，当列车头部进入虚拟闭塞分区时，RBC将设置该虚拟闭塞分区状态为报告车占用。当RBC判断列车尾部出清虚拟闭塞分区后，该虚拟闭塞分区将被RBC设置为空闲。

RBC在接收到列车位置报告后，根据列车车长及车载设备测距估计误差等信息判断虚拟闭塞分区占用、出清状态。如图2所示，列车安全估计位置由列车车长与测距误差构成。当列车车头最大估计前端占用虚拟闭塞分区，尽管列车实际车头位置未到达虚拟闭塞分区入口，RBC仍设置该虚拟闭塞分区为占用状态。

图2 列车占用虚拟闭塞分区

同样，RBC会根据列车车尾最小估计后端判断列车是否出清虚拟闭塞分区。当列车车尾最小估计后端未出清虚拟闭塞分区，尽管列车实际车尾位置已出清该虚拟闭塞分区，RBC仍设置该虚拟闭塞分区为报告车占用状态。只有当列车车尾最小估计后端出清该虚拟闭塞分区后，该虚拟闭塞分区状态才视为出清。如图3所示。

图3 列车出清虚拟闭塞分区

RBC对虚拟闭塞分区状态的判断处理是在列车完整性检查正常的条件下进行的。当车载设备判断列车完整性检查失败后，会采用最大常用制动停车。后续将按照非正常方式行车，确保列车安全运行。

2.3 车地通信故障时列车的安全防护

RBC通过虚拟方式对其内部存储的区间线路数据进行划分，通过列车的位置报告，判断虚拟闭塞分区的占用、出清状态以此实现列车的虚拟闭塞运行。但是，当列车在运行过程中发生车地通信故障时，区间轨道电路的缺失将使得RBC无法对丢失列车进行精确定位，丢失列车将成为区间线路的安全隐患。RBC将无法为后续正常运行于区间的列车计算行车许可。因此，在下一代列控系统中，应充分考虑区间、站内车地失去通信的故障情况，并给予相应的安全防护。

2.3.1 车地在区间失去通信

当两列车在区间正常运行时，前行列车突然与RBC失去通信连接，丢失车辆成为区间的幽灵车，RBC将无法判断丢失车辆的具体位置。针对上述故障情况，RBC将对区间虚拟闭塞分区增加封锁功能。

当前车失去通信连接后，RBC将从该列车丢失位置开始，进行虚拟闭塞分区封锁设置。

（1）单车区间运行

当丢失车所在位置至前方车站的进站信号机前无其他列车运行，RBC对区间虚拟闭塞分区的封锁设置将从丢失位置开始，延续至前方车站的进站信号机所在区段的边界入口处。

（2）多车区间运行

当丢失车位置前方有注册列车运行，RBC对区间虚拟闭塞分区的封锁操作将设置至前方运行车辆所在的虚拟闭塞分区边界入口处。如图4所示。被封锁的虚拟闭塞分区状态显示为“非报告车占用”。

图4 多车运行区间，车地失去通信

当注册列车与地面失去通信连接后，ATP车载设备将实施常用制动停车。丢失车辆将凭借调度命令在区间运行，直至丢失车进入下一车站内停车。若在此期间车地通信仍无法恢复连接，丢失车可凭借调度命令在下一区间按照站间闭塞方式运行。

对于多辆列车在区间追踪运行，中间列车与地面设备发生通信故障情况，RBC会立即将丢失列车所在的虚拟闭塞分区状态设置为“非报告车占用”。被封锁的虚拟闭塞分区数量会随着前方正常注册列车的不断前行而不断增加，以此确保后车的运行安全。

2.3.2 车地在车站失去通信

列车除在区间运行可能出现失去通信或丢失位置的故障情况，在站内运行时，列车失去位置，也可能对区间造成安全隐患。以下分别对列车进、出站以及列车在站内运行情况进行分析。

（1）列车进、出站

接车信号或发车信号正常开放，列车在进、出站过程中出现失去通信的故障情况，此时RBC根据列车丢失位置，对相应虚拟闭塞分区进行封锁设置。RBC封锁设置的方式与区间一致，如图5、图6所示。

图5 列车进站，车地失去通信

图6 列车出站，车地失去通信

（2）列车位于站内

当列车在站内运行出现丢失通信的故障情况，可能会出现以下两种情况：

a. 列车在站内股道运行，出现故障后，丢失车位置仍位于站内。

注册列车失去通信连接，ATP设备实施制动，丢失列车在停车后，列车位置仍位于站内，此时RBC不对区间虚拟闭塞分区进行封锁设置。

b. 列车在站内股道运行，出现故障情况后，丢失车向前运行进入区间。

对于第2种故障情况，丢失车在进入区间后会成为区间其他运行列车的安全隐患。针对此情况，RBC会从一离去区段开始对区间虚拟闭塞分区进行封锁设置。封锁情况将与区间相同，如图7所示。

图7 列车在站内失去通信

RBC对相关虚拟闭塞分区设置封锁后，丢失车可凭借调度命令进入下一车站，对于区间虚拟闭塞分区封锁的解除可分以下情况：

（1）当区间只有一辆列车运行，且该车失去通信，丢失车进入下一车站后，区间计轴设备向RBC报告区间空闲，此时RBC可自动清除对区间虚拟闭塞分区的封锁设置；

（2）当区间线路中有多辆列车运行，丢失车辆凭借调度命令进入下一车站后，调度人员将人工确认相关封锁的虚拟闭塞分区是否空闲。当调度人员确认虚拟闭塞分区无车占用后，在操作终端对处于空闲状态的虚拟闭塞分区进行解锁操作，后续注册列车可继续在区间运行。

以上两种解锁情况为车辆丢失通信连接后，无法恢复与地面设备连接的情况。若丢失车在失去位置后，与RBC的通信连接恢复且成功注册RBC，则RBC会自动将相关虚拟闭塞分区解锁。

3 基于着色Petri网的虚拟闭塞技术建模仿真分析

Petri网是一种适合用于描述系统异步、并发现象的系统模型[2]。 主要应用于通信协议验证、故障诊断、软件工程设计、系统可靠性分析等领域。Petri网主要可分为基本Petri网与高级Petri网两大类。在基本Petri网中，每个对象状态或每种变化与事件均对应一个库所或变迁。这样的一一对应关系，使基本Perti网对个体描述较为详细，造成系统节点过多、模型较为复杂的问题。针对基本Petri网的不足，有学者提出了着色Petri网的概念。着色Petri网定义如下：

在上式中，P表示库所的有限集合，T表示变迁的有限集合，A表示有向弧有限集合； ∑代表颜色集，为有限的非空集合；N为节点函数，是有向弧映射到P× T∪ T×P的函数；C代表颜色函数，每个库所都可映射到相应的颜色集；G定义为守卫函数，其为变迁的表达式函数，值类型为布尔型，当防卫函数的值为真时，变迁才可触发，防卫函数返回值为空，则默认为真；E为有向弧表达式函数，该值应属于有向弧对应库所颜色集的多重集；I表示库所映射到表达式的初始化函数，且表达式的值应属于库所颜色集上的多重集[2]。

CPN Tools是一款支持着色Petri网建模仿真的工具。该仿真软件支持CPN ML语言，可对建立的模型进行语法检测，确保建立模型的正确性。同时，CPN Tools能对所建模型的可达性、活性、有界性、家态性等属性以及模型的状态空间性能进行分析，以此确保所建模型逻辑的正确性并实现对模型的动态仿真[3]。

根据上述对虚拟闭塞技术的研究，以车地通信故障情况下，RBC对区间虚拟闭塞分区的封锁设置为例，采用CPN Tools建模仿真工具，对该功能进行建模仿真验证分析。

3.1 通信故障情况下虚拟闭塞分区封锁设置模型

故障情况下，RBC对区间虚拟闭塞分区的封锁设置共分为3个流程：

（1）跟踪列车的运行位置。通过判断列车最大安全前端与最小安全后端是否占用虚拟闭塞分区，确定列车所在位置；

（2）保存列车位置并与上一周期进行比较，查看是否存在列车位置丢失的故障情况；

（3）若存在丢失列车，则对虚拟闭塞分区进行封锁设置。

根据虚拟闭塞分区封锁设置流程，采用层次化网络完成封锁功能的模型建立。层次化网络类似于模块化编程的思想，在广义上定义所建模型网络的整体框架，然后利用替代变迁将相关子网络关联至更详细的页面，从而对模型进行逐步细化，对封锁功能顶层模型设计如图8所示。在顶层模型中，RBC封锁功能可细化为3个子网络，分别为“Trace train”、“Train miss”以及“Block section”，相应的库所及变迁说明如表1所示。

图8 封锁功能顶层模型

表1 顶层模型库所及变迁说明

根据上述顶层模型，分别建立如下子模型。

（1）追踪列车位置子模型

在追踪列车位置子模型中，主要输入列车车次号、列车最大安全前端及最小安全后端等参数。通过判断列车头尾在虚拟闭塞分区是否有偏移量，确定列车是否占用虚拟闭塞分区并在相应的数据结构记录保存，具体模型如图9所示。

图9 追踪列车位置子模型

（2）列车失踪搜索子模型

在列车失踪搜索子模型中，主要完成的是区间列车搜索任务。若区间运行列车为首次注册，则RBC只对该注册列车的车次号及车头车尾位置进行保存。对于已经在RBC存储单元中保存位置的注册列车，RBC将对比前后两时刻注册列车的位置，以此判断注册列车是否丢失。

若注册列车在区间正常运行，则RBC存储列车位置；若注册列车在区间丢失通信后失去位置，则RBC将对上一时刻丢失车所处的虚拟区段进行标记。所建模型如图10所示。

图10 列车失踪搜索子模型

（3）封锁区段子模型

根据上述列车失踪搜索子模型的搜索结果，封锁区段子模型将对相关的区段进行状态设置，完成自动封锁。封锁原则为：从丢失车上一时刻所在区段开始，依照列车运行方向进行搜索，直到遇到其它列车或车站进站信号机为止。 其模型，如图11所示。

图11 封锁区段子模型

3.2 模型验证分析

CPN Tools工具为用户提供了模型的仿真与状态分析等功能。用户通过生成的可达图与状态空间报告判断模型的相关功能可否实现以及模型的可达性、活性及家态性等特性是否满足要求。为此，本节将对上述建立模型的相关功能特性进行验证分析。

RBC自动封锁功能中包含子网络模型，对顶模型与子网络模型分别设置如下初始托肯：

（1）“Top”父页中，输入初始托肯为 1`(1，211，1，1，57)，表示当前时刻211次列车最大安全前端与最小安全后端占用序号为57的虚拟闭塞分区。

（2）“Train Miss”子页中，输入初始托肯为1`(“Have”,212，59，59),表示上一时刻区间线路中212次列车占用59号虚拟区段。

（3）“Block Section”子页中，输入初始托肯为1`（216,0,2,70），表示当前时刻216次列车占用70号虚拟区段。

上述设置的场景为多车运行，其中，212次列车为丢失列车，211次列车追踪212次列车，212次列车追踪216次列车。根据上述初始托肯设置，得出模型可达图，如图12所示。

图12 模型可达图

对应模型状态空间分析报告如图13所示。该模型具有有界性，节点12为死锁标志。在可达图中，该节点对应模型的输出节 点，因此模型不具有死锁性。同时，该模型存在3个死变迁，在上述初始条件下，3个死变迁均未被触发，因此满足要求。

根据可达图及状态空间报告可以得出，模型中子网络涉及的相关功能成功实现，顶层模型的输出结果满足设计要求。

4 结束语

本文在下一代列控系统技术方案的基础上，对其虚拟闭塞技术进行研究。分析了虚拟闭塞条件下，列车占用检查功能的实现以及车地通信故障情况下，RBC设备对区间的安全防护。通过相关逻辑场景分析，利用CPN Tools工具对虚拟区段的封锁设置进行仿真，根据得出的验证分析结果，对模型进行修正，确保逻辑设计的正确性。

图13 部分状态空间报告