高速铁路CTCS-3级系统功能测试必要性研究

2019-04-08王振辉

铁路通信信号工程技术 2019年3期

王振辉

(1．北京全路通信信号研究设计院集团有限公司，北京 100070；2．北京市高速铁路运行控制系统工程技术研究中心，北京 100070)

1 概述

列控系统作为高速铁路安全运行的核心系统，失效后轻则造成运行中断，影响行车效率；重则造成追尾、脱轨等行车事故，造成人员伤亡和重大财产损失，列控系统不但需要保证功能的安全性和正确性，还要保证系统各项性能的稳定性和可靠性。目前，软件测试是检验列控系统是否满足系统功能、性能、稳定性和可靠性需求最直接的手段，软件测试包括软件白盒测试（含静态测试、单元测试、集成测试）、产品功能测试和系统功能测试（System Function Test，SFT）等阶段，其中系统功能测试是测试流程中的最后一个环节。本文通过分析系统功能测试的测试内容和测试平台结构，研究系统功能测试对保证我国自主化列控系统的功能安全性、正确性、稳定性和可靠性的重要作用。

2 CTCS-3级系统测试过程

根据软件开发周期内的活动，CTCS-3 级系统通常采用V 模型进行测试，包括需求评审、设计评审、软件白盒测试，产品功能测试，系统功能测试等过程，如图1 所示。

图1 软件测试过程V模型Fig.1 Software testing process V model

需求评审和设计评审对开发设计文件进行审核，从测试角度提出设计风险预估；软件白盒测试对软件编码进行代码走查测试；产品功能测试对软件功能进行测试；系统功能测试是基于系统整体需求进行的黑盒测试，其针对整个系统进行测试，覆盖系统所有联合的部件，验证系统是否满足需求规格的定义，找出与需求规格不相符合或与之矛盾的地方。系统功能测试的对象不仅包括需要测试的产品系统的软件，还包含软件所依赖的硬件、外设甚至包括某些数据、某些支持软件及其接口等。因此，系统功能必须将系统中的软件与各种依赖的资源结合起来，在系统实际运行环境下进行测试。

3 CTCS-3级系统功能测试概述

3.1 测试背景

北京全路通信信号研究设计院集团有限公司（简称通号公司）在完成CTCS-3 级列车运行控制系统的国产化后，为了实现中国高铁“走出去”战略，研制完成具有完全自主知识产权、掌握核心关键技术的自主化CTCS-3 级列控系统。为了保证国产化和自主化列控系统功能的安全性、正确性、可靠性和各项性能，通号公司根据EN50128 的要求，确定测试流程，按照白盒测试、产品功能测试、产品数据测试、系统功能测试、系统数据测试的测试阶段展开测试。

在实际研发和工程应用中，仅通过白盒测试、产品功能测试、产品数据测试，无法保证测试的全面性、可靠性，遗留了一些问题，因此需要进行系统功能和系统数据测试，保证各产品间的兼容性以及整个系统的完整性，系统功能测试是一个必要的阶段。

3.2 测试平台

C3 半实物仿真测试平台由CTCS-3 级列控系统综合设计集成平台、实物硬件设备以及网络环境组成。CTCS-3 级列控系统综合设计集成平台按照其实现功能划分为仿真支撑系统、实物接入系统、仿真模型、综合监控系统、数据配置系统。

实验室C3 半实物仿真测试平台原理，如图2所示。

图2 半实物仿真测试平台原理图Fig.2 Schematic diagram of semi-physical simulation test platform

3.3 测试内容

系统功能测试采用真实的车载设备，搭建C3半实物仿真测试平台，通过执行中国铁路总公司发布的《C3 测试案例(V3.0)》和通号公司的测试案例，验证车载设备、无线闭塞中心设备的功能和各项性能符合中国铁路总公司下发的各种技术条件；验证整个CTCS-3 列控系统满足《CTCS-3 级列控系统总体技术方案（V1.0）》中要求的功能安全性、正确性和可靠性。

系统功能测试主要分为完整功能测试和变更项验证测试两种。完整功能测试即对系统进行全面测试，执行案例库中所有的案例，全面覆盖列控系统的每个功能点，通常当软件修改内容较多，或修改较为复杂，无法准确评估测试范围，或需要进行基线类发布时，采用该测试方法；变更项验证测试即在研发人员明确变更项的影响范围后，对变更项涉及的内容进行覆盖测试。

4 CTCS-3级系统功能测试必要性分析

在工程实践中，经过白盒测试、产品功能测试的列车超速防护系统（ATP）和无线闭塞中心（RBC）等CTCS-3 级系统软件，仍然存在一些系统层、多场景叠加功能的问题。实践表明，系统功能测试能在一定程度上发现上述问题，以保证列控系统的功能安全性、正确性、稳定性和可靠性。

4.1 发现系统层功能缺陷

1）RBC 和ATP 设备均增加前方轨道空闲（TAF）功能，即在车站或区间以目视或引导模式发车时，因为RBC 无法判断列车当前所在进路状态是否可用，因此，当RBC 判断列车车头距离前方信号机（信号牌）小于等于200 m 时，需要列车（或司机）确认列车车头到前方信号机（信号牌）区段状态，RBC 根据列车的确认状态，决定是否向列车发送行车许可（MA）。系统功能测试可以验证侧线发车时存在的问题。

如图3 所示，目前CTCS-3 级客专线路，车站侧线应答器布置BX3-1 距信号机25 m，BX3-2 距信号机20 m。如果为始发站，ATP 以CTCS-3 等级目视模式发车（此时ATP 位置未知或无效），以40 km/h 运行，由于车地之间的固有通信周期，当ATP 经过BX3 组应答器时给RBC 发送位置报告消息（M136），估计前端未越过X3 信号机，RBC 发送前方轨道空闲消息（M34），ATP 从应答器组运行至出站信号机仅需要2 s，当ATP 收到M34 时，其判断估计前端已越过X3 信号机，不会对M34 进行确认。在实际运营中会影响运输效率，只能通过降低车速或者使用C2 等级发车避免该问题发生。

2）根据《京沈综合试验段自主化CTCS-3级车载ATP 设备和RBC 测试案例》（科信基函[2018]65 号）中CTCS3-FT-248 案例6：（测地面设备）RBC 从联锁收到的站内列车进路为正常，若该进路包含的任意站内轨道区段状态与RBC 判断的轨道区段状态不一致时，RBC 应拒绝延伸MA。

如图4 所示，系统功能测试能够证明在联锁存在进路首区段占用后延时3 s 关闭信号的固有逻辑前提下，RBC 发送有条件紧急停车消息（M15），让ATP 自身判断是否接受M15，比延时发送缩短的行车许可（SMA）更及时有效。

图3 TAF不成功示意图Fig.3 Schematic diagram of TAF unsuccess

图4 联锁信号显示与占用不一致示意图Fig.4 Inconsistency of interlocking signal display with occupancy condition

以上两个案例说明，如果只进行产品级功能测试，仅能验证变更的功能符合单个产品需求；通过系统功能测试，可以验证单个产品的功能实现与整个列控系统的功能不冲突。

4.2 发现多场景叠加功能缺陷

1）根据《CTCS-3 级ATP 行车许可结合轨道电路信息暂行技术条件》（铁总工电[2018]18 号）的要求，车载设备增加了双曲线比较功能。

如图5 所示，通过系统功能测试，设计区间连续黄（U）码的条件下，车载后台为C2 完全监控模式，前台为C3 完全监控模式，RBC 发送的MA 长度大于轨道信息许可的长度且差值大于100 m，此时ATP 将行车许可终点位置（EOA）立即缩短至轨道电路信息许可终点，在车载持续运行过程中能够保证MA 截取功能正常，人机界面单元（DMI）显示的曲线、允许速度都不会有大幅度的跳变，不会对司机操作产生干扰。

此类多场景叠加更贴近现场的实际应用，更能反映整个列控系统的应对能力，系统功能测试能够依托C3 半实物仿真测试平台，模拟更多的多场景叠加案例，以保证列控系统功能的全面性、安全性。