基于有色Petri网的点式-基于通信的列车控制系统切换实时性分析

汪小勇，董德存，欧冬秀，纪玉清，

（1.同济大学道路与交通工程教育部重点实验室，上海201804；2.同济大学上海市轨道交通结构耐久与系统安全重点实验室，上海201804；3.卡斯柯信号有限公司，上海200072）

安全高效是轨道交通作为大运量公共交通系统的基本要求，这对于轨道交通的核心——列车运行控制系统（以下简称“列控系统”）更是如此。为保证安全，列控系统采用了“故障-安全”的原则，在发生故障时尽可能快地停车；为提高效率，列控系统不断细化资源控制精度来增加单位线路内列车的数量以缩短运行间隔。列控系统一旦发生故障，就会导致大量列车停止运行，运营秩序受到影响。因此，要保证轨道交通持续地安全高效运行，列控系统的高可靠性是非常关键的因素。

为提高列控系统的可靠性，系统的元器件级进行了升降额设计，设备级采用冗余设计如“二乘二取二”或“三取二”安全计算机平台［1］，网络级也采用了双网冗余的配置［2］，除此之外，系统级也会进行同构或异构冗余的设计，如“点式-基于通信的列车控制（block modecommunication based train control，BM-CBTC）系统”就是目前国内应用非常广泛的一种多模列控系统。多模列控系统可以在故障导致某一控制模式不可用时切换至另一模式来维持列车的安全运行，提高了系统的可靠性。另外，多模列控系统还可以实现列车在不同制式的路网内互通运行，对于既有线路的平滑升级改造也具有重要的意义［3-5］。对于多模列控系统而言，其模式切换所需的时间表现为系统不可用的时间，从可靠性计算和运营需求的角度该时间最好为零，但实际由于故障模式、运营场景和控制原理的不同，并不是所有的模式切换都能做到。因此，多模列控系统切换的实时性研究对该系统的可靠性和对运营干扰程度的评估非常重要。

多模列控系统具有状态并发性、资源独占性和切换随机性等特点，这些特点特别适合于采用Petri网［6］来描述和仿真。Petri网是一种描述并发、异步和资源竞争性系统的仿真分析工具，面向对象的Petri网更是具有很好的封装性和继承性［7］，特别是有色Petri网（colored petrinets，CPN）能进一步采用折叠的方式来简化复杂系统的建模仿真和计算。陈邦兴等［8］介绍了有色Petri网对铁路信号控制逻辑进行描述的方法，文中对如何利用有色Petri网进行信号系统相关元素和关系的描述进行举例说明，为信号系统应用有色Petri网提供了思路。徐田华等［9］利用有色Petri网对欧洲列车控制系统（European train control System，ETCS）无线通信子系统进行了可靠性分析，对ETCS系统中列车与无线闭塞中心（Radio blocking center，RBC）间经由无线信道的数据帧传输延时进行了统计，得出了可靠性概率的有界分析。张友兵等［10］基于有色Petri网对中国列车控制系统（Chinese train control system，CTCS）的三级列控系统RBC切换进行了建模和形式化分析，对基于不同数量车载电台RBC的切换时间和成功率进行了分析，找出了彼此关联关系。这两份研究着眼于列控系统中无线通信的可靠性、切换时间和切换成功率。董健等［11］对基于CPN的列控系统等级转换进行了建模与分析，分析了列车速度对CTCS系统的三级和二级列控系统之间等级转换实时性要求和对成功概率的影响及突发降级的可能性，得出的结论是列车速度越高对等级转换的实时性要求越高。赵惠祥等［12］采用Petri网对城市轨道交通系统运营可靠性进行了建模，但未进行具体的分析与计算。Song等［13］利用有色Petri网来表示和扩展故障树，以进行系统可靠性评估和危害分析，以列车相撞模型为研究案例，基于模型仿真和状态空间分析，验证了该新方法的性能和优势。

目前文献主要侧重于对信号或运营系统的建模或对CTCS系统及其中的无线子系统进行分析，还没有对城市轨道交通应用广泛的“BM-CBTC”系统采用CPN建模分析研究。本文采用CPN建模对“BM-CBTC”进行系统切换的时间特征分析，以评估其在不同设计原则下对运营的影响程度，亦可为后续多模列控的分析提供参考。

轨道交通列车控制系统的间隔防护方式分为固定闭塞、准移动闭塞和移动闭塞，列车和轨旁之间的通信方式可分为基于点式信标的点式（block mode，BM）系统、基于轨道电路的列车控制（track circuit based train control，TBTC）系统和基于通信的列车控制（communication based train control，CBTC）系统。

CBTC系统的轨旁列控和车载列控间采用无线局域网（wireless local areanetwork，WLAN）、长期演进技术（long term evolution，LTE）或其他自由无线系统进行通信，实现双向、高速、实时连续传输。CBTC车载列控主动计算列车位置并通过自由无线发送到轨旁，轨旁列控基于移动闭塞算法实时计算区域内所有列车的安全包络并为各列车返回移动授权信息。如图1所示，列车B可实时追踪至列车A的尾部，实现小间隔运营。

图1 基于移动闭塞的CBTC系统Fig.1 CBTC system based on moving block

BM系统的轨旁列控通过有源信标将信息传输至车载列控，仅能实现轨旁列控到车载列控单向、非实时且不连续的传输。BM车载列控仅在列车经过有源信标时才能获得轨旁列控发送的移动授权信息。BM系统中列车的位置由轨旁设置的计轴或轨道电路来检测，在此基础上轨旁列控基于固定闭塞算法计算轨旁信号机状态，并将该状态通过有源信标发送给车载作为列车的移动授权。如图2所示，列车B可运行至列车A所在进路的始端防护信号机处。

图2 基于固定闭塞的BM系统Fig.2 BM system based on fixed block

CBTC系统以其高效的性能成为了城市轨道交通领域的主流列控系统，但该系统严重依赖于车地无线通信，当无线受到外部干扰时系统就完全不可用，对运营造成较大影响。BM系统结构简单，建设和运维成本相对较低，系统受外部影响小，但运行效率较低，仅适用于追踪间隔要求不高的项目。为了平衡系统的效率、经济性和可靠性指标，国内广泛应用的CBTC系统绝大多数项目均采用了BM作为后备模式，构成“BM-CBTC系统”。

BM-CBTC系统如图3所示，轨旁由负责基础信号设备管理、进路管理和BM下列车间隔防护的计算机联锁（computer interlocking，CI）、负责CBTC下列车间隔防护的区域控制器（zone controller，ZC）、负责BM变量编码的线路编码单元（line encoding unit，LEU）和负责定位及变量传递的信标（Beacon）组成，车载由负责列车主动定位及安全防护的车载控制器（carbone controller，CC）及相应测速定位等外围设备组成。其中CBTC由CI、ZC、CC、Beacon和数据通信系统（data communication system，DCS）组成，BM由CI、LEU、Beacon和CC组成，两种模式复用CI和部分轨旁设备如信标、列车检测设备等。

图3 BM-CBTC系统结构图Fig.3 Structure of BM-CBTC system

正常情况下，系统运行于CBTC模式，如图4所示。CC通过测速定位单元主动计算并向ZC报告列车当前位置，ZC根据CI报告的进路状态和CC报告的列车位置计算列车可运行的距离，即CBTC下的移动授权，通常是前行列车的尾部。

当DCS系统故障或ZC故障时，需要司机选择BM模式，但此时由于列车尚未获取到设置于轨旁固定位置的有源信标（如图5中的Beacon）的信息而无法以BM模式运行，需要以限速RM（restricted mode）模式运行通过有源信标获得有效BM变量信息后，列控系统才能切换至BM模式运行，如图5所示。BM-CBTC系统模式切换流程如图6所示。

为验证列控系统模式切换实时时间参数特征，需要对其功能进行完整分析并对运行过程进行仿真。有色Petri网CPN作为一种形式化建模的工具，可对复杂系统的功能完备性和逻辑的正确性进行验证，同时由于其模型具有可执行的特点，便于对并发

系统进行动态时间特性分析，以评估其时间特征和置信区间。分层赋时CPN的这些特征符合多模列控系统模式切换功能实时性分析的需求，以下采用该工具进行建模并加载参数仿真运算，模拟列车实际运行过程模式切换场景。

图4 CBTC模式运行示意图Fig.4 Operation diagram of CBTC mode

图5 BM模式运行示意图Fig.5 Operation diagram of BM mode

图6 BM-CBTC系统模式切换流程图Fig.6 Flowchart of BM-CBTC system mode switching

2.1 BM切换至CBTC

由于CBTC模式采用的是连续的无线传输，当列车在BM模式下运行时，车载列控仍然可以随时接收轨旁列控发送的信息，一旦收到有效的CBTC移动授权，列车可自动切换至CBTC模式运行，该切换为实时切换，时间延时为零，无须进行建模分析。

2.2 CBTC切换至BM

当列车需要从CBTC切换至BM时，BM模式并不能立即可用，这是由于BM是基于非连续式传输的控制系统，需要在指定点收到允许信号后才能生效。基于CBTC切换至BM模式的功能分析，建立分层赋时CPN模型如图7所示，由库所集P和变迁集T组成。

库所集为

P={CBTC，CBTCUnavailable，Train stop，

}

Failure Alarm，staff confirm，RM，BM

其中，库所CBTC、CBTCUnavailable、RM和BM分别表示列车所处的控制模式为CBTC模式、CBTC不可用模式、RM模式和BM模式，Train stop和Failure Alarm分别表示列车处于停车状态和故障告警状态，staff confirm表示中心调度人员授权司机切换控制模式。

变迁集为

T={LMA lost，Train Breaking，confirming，

}

Mode Change，BM Initial

图7 CBTC转BM模式CPN模型Fig.7 CPN model of CBTC switching to BM

其中，变迁LMA lost（Limitation of Movement Authority）描述车载移动授权丢失过程，列车控制模式的切换由该变迁结束后开始，故该变迁不影响模式切换的实时性；变迁confirming为司机与调度间请求确认模式切换的过程，根据地铁处置流程，该时间通常为1～2 min之间，此处采用occ（）离散分布函数从中随机产生一个延时时间值；变迁Mode Change描述司机触发切换模式开关的过程，目前未有文献对轨道交通司机切换控制模式所需时间进行专题研究，但在道路交通领域对司机反应时间有较多研究，在复杂环境下通常为0.4～1.2 s［14］，此处利用act（）离散分布函数从该范围中产生；变迁BM Initial和变迁Train Breaking均为置换变迁（即substitution transition，子系统的替代变迁［15］），分别表示列车制动过程子系统和BM初始化过程子系统。

图中“M x S”是本模型托肯（Token）声明，由控制模式（Mode，M）和速度（Speed，S）组合而成，即此模型的Token设置为：

式中：Mode为车载当前的控制模式，可取值范围包括CBTC模式、BM模式、RM模式和NA（无模式）；speed为列车当前的速度，0.1 m·s-1；Time为时间戳，ms。

比特币地址=Base58{Hash160||前4字节（SHA256(SHA256(Hash160||地址版本号）））}

图中“（m，s）”为库所与变迁之间传递的变量，其中m为当前传递的模式，s为当前传递的速度，其中模式m的初始值为CBTC，速度s的初始值是由v（）随机函数产生的。

置换变迁Train Breaking由库所tractiontobreaking和 变 迁noaction，traction和breaking组成，用来描述列车由CBTC模式不可用状态（CBTCUnavailable）开始紧急停车至列车完全停稳（Train stop）的过程，如图8所示。

模型中库所CBTCUnavailable代表列车的CBTC模式不可用状态、Train stop代表列车完全停稳的状态、traction tobreaking代表列车由牵引转换为制动的状态。

模型中的变迁根据列车速度的不同有两条可能的路径，通过并发过程来描述，并由变迁的警卫函数（guard function）根据列车速度s加以守护：

当列车的速度为0（s=0）时，即意味着列车已经为停稳状态，此处无需制动过程（noaction）及相应的时延，可直接转至列车停稳状态（Train stop）。

当列车速度大于0（s＞0）时，列车需要经历一个由牵引切除（traction）到制动施加（breaking）直到列车完全停稳的过程，该过程遵守IEEE1474-1标准中的列车安全制动模型［16］，相关参数取自该标准和实际的上海地铁10号线项目参数文档。

变迁noaction是在列车速度为0时产生的紧急制动行为，此变迁不产生任何变化。

变迁traction描述列车由紧急制动触发至牵引切除的过程，在此过程中列车仍然可能以一定的加速度运行，该变迁的时延teb包括列车紧急制动触发的反应时间0.75 s［16］和车载运算时间0.35 s，该变迁的行为对列车在触发紧急制动的牵引切除阶段的速度进行了重新计算，acc（）函数根据列车的加速度和列车的时延teb重新计算列车的速度并通过s1传递。

图8 置换变迁Train BreakingFig.8 Substitution transition Train Breaking

图9 置换变迁BM InitialFig.9 Substitution transition BM Initial

图9中功能分析如第1节所述，车载BM的初始化成功需要列车读取到（列车到达BM信标位置）具有允许变量的信标（BM信号机已开放），变量变为允许状态由两个条件组成，即进路已建立和进路内空闲，因此该功能模型可简化为三个并发的过程：区段出清（变迁Spacing enough）、进路建立（变迁Route Set）和列车已到达BM信标的读取位置（变迁RM to beacon）。置换变迁BM Initial中的详细模型变量及说明如表1所示。

表1 置换变迁BM Initial的模型变量定义Tab.1 Definition of model variables of substitution transition BM Initial

对于变迁Route Set，由于CBTC模式下建立进路的起始时刻与BM模式下建立进路的起始时刻是同一时刻，而建立进路仅需在同1个运算周期内完成，对于外部系统相当于瞬时变迁，因此该处变迁的时延设为0。变迁Spacing enough和变迁RM tobeacon的时延与列车当前位置、前车的位置、列车与信号机间的位置密切相关。

如图10所示，A车为BM初始化列车，B车为CBTC列车，A车在模式切换前以CBTC模式追踪B车运行。图10中tCBTC为CBTC模式的设计运行间隔，tBM为BM模式的设计运行间隔，t1为A车因CBTC模式不可用时从所停的位置以RM的速度运行至最近的BM信标所需的时间，即变迁RM tobeacon所需的时间，其最大值为以RM速度（vRM）运行BM设计运行间隔的距离（vBM⋅tBM）所需的时间，即考虑到模式切换可在任意位置发生，该时间值采用随机函数t（1）产生。

图10 置换变迁BM Initial的时间分析示意图Fig.10 Schematic diagram of time analysis of substitution transition BM Initial

变迁Spacing enough所需时间为图10中的t2：

式中：Δ为BM设计运行间隔与CBTC设计运行间隔的差值。

根据第2节建立的BM-CBTC系统CPN模型和项目实践，相关参数配置如下：CBTC模式和BM模式最高速度为80 km·h-1；RM模式最高速度为25 km·h-1；CBTC模式列车运行设计间隔为2 min；BM模式列车运行设计间隔为2、3和5 min。根据仿真运行的数据，不同BM设计间隔情况下的CBTC切换至BM模式的实时性见表2。为保证数据样本足够充分，CPN模型针对BM模式2、3和5 min设计间隔均进行10万次仿真运行，得到模式切换时间分布情况如图11所示。

表2不同BM设计运行间隔下的CBTC切换至BM的实时性Tab.2 Real-time performance of CBTC switching to BM at different BM design intervals

由仿真运算的结果可以得知，由基于通信的列车控制（CBTC）模式切换至点式控制（BM）模式时：

无论tBM值的大小，模式切换最大值均大于5 min，即CBTC故障时存在5 min以上晚点的可能，既使在2 min的间隔下仍有45.6%的概率；模式切换的均值及90%置信区间仅在tBM值为2 min时才小于5 min，即对于5 min晚点要求苛刻项目，其BM的设计间隔不能大于2 min。

图11 BM设计间隔2，3，5 min时切换时间分布Fig.11 Time distribution of mode switching with BM design interval of 2，3，and 5 min

4 结论

本文对BM-CBTC系统的模式切换功能及流程进行了分析，当BM切换至CBTC模式时可以做到零延时切换，但CBTC切换至BM模式有一定的时延。为评估CBTC切换至BM的实时性，采用分层赋时CPN进行了功能建模和运行仿真计算，结果表明：当CBTC故障降级至BM模式时，仅当BM设计运行间隔为2 min时，运行晚点时间控制在5 min以内才有较大可能性。对于不同运营质量要求的线路可参考表2进行BM模式下设计间隔的选择，在保证服务质量的前提下尽可能减少设备数量，以达到最优性价比。

作者贡献申明：

汪小勇：提出研究思路、设计研究方案、数据收集、建模、实验、论文撰写；

董德存：提出研究思路、实验结果分析、论文修改；

欧冬秀：提出研究思路、实验、实验结果分析、论文修改；

纪玉清：数据收集、实验、实验数据分析、论文修改。