铁路信号系统安全理念与实现

陈斌

（沿海铁路浙江有限公司 工程管理部，浙江宁波 315000）

1 铁路信号系统发展

铁路信号系统是保证行车、调车作业安全，提高列车在车站、区间通过及货车编组能力，改善行车及调车人员劳动条件的技术设备的总称。铁路信号是保证行车安全、提高运输效率、提升运营管理的重要装备。随着通信技术、信息技术的快速发展，铁路信号设备设施的软硬件配置都有了大幅提升。在整个铁路系统中，铁路信号已由传统的“火车眼睛”变成“运行安全中枢神经”，在行车安全方面发挥着越来越重要的作用，其发展水平已成为铁路现代化的重要标志之一。

我国铁路信号系统发展可分为地面人工信号、地面自动信号、机车信号、自动停车和超速防护5个阶段。自2008年以来，随着客货共线、高速铁路的大规模建设，信号技术得到迅猛发展，CTCS-2和CTCS-3级列控系统已持续广泛应用，车载设备实时收集地面相关数据并计算动态速度曲线，监控及控制列车安全运行。

2017年，装备列车自动运行系统（ATO）的CRH6A型动车组在珠三角城际铁路正式运营；2019年，我国首条智能化高铁——京张高铁开通运营，标志着自动驾驶及无人驾驶的时代已经到来，也预示着铁路信号技术发展的下一步必然是智能铁路信号系统。

2 铁路信号系统安全理念概述

铁路信号作为保障行车安全的关键设备，安全性是其最重要的特性，因此“故障导向安全”原则是铁路信号系统设计必须遵守的底线和基本原则。

随着技术的发展和运输需求的变化，铁路信号的安全理念也在发生着变化。普速铁路由于信号系统构成简单，列车运行速度不高，系统工作主要以电气电路为主，因此，其信号安全可明确定义为导向列车停止运行的状态。高速铁路装备CTCS-2和CTCS-3级列控系统，信号系统工作呈软件化、网络化特点，系统设备间接口多，其信号安全较难确定，有的继承普速铁路导向列车停止运行的状态，有的则是防止列车超速运行，突出速度控制，较普速铁路的安全理念得到进一步发展。

3 普速铁路信号系统安全理念实现

普速铁路信号系统构成简单，其中涉及行车安全的只有联锁和闭塞2个子系统，子系统间接口单一，因此对普速铁路而言，信号系统的“故障导向安全”原则相对容易实现。普速铁路列车行车是以地面信号显示作为凭证，信号的安全状态是指地面信号关闭或降级显示。结合地面信号显示与轨道电路、进路、闭塞间的关系，普速铁路信号的安全状态可进一步分解为：

（1）信号显示。站内地面信号机故障，信号机应关闭显示；区间通过信号机故障，除绿黄可能降级为黄显示外，其余均予以关闭显示。

（2）区间闭塞系统。当区间闭塞系统设备发生故障时，允许表示区间有车占用状态的信息输出，但不能再向区间发车。

（3）进路锁闭电路。车站进路锁闭电路故障时，应处于锁闭状态，不允许道岔转换。

（4）轨道电路。轨道电路设备故障时，应给出表示列车占用轨道电路的信息输出，不允许该区段再有列车驶入。

3.1 继电逻辑电路安全

电气集中联锁及闭塞是利用继电器搭建的电路，常见故障主要分为2类：一类是断线故障；另一类是混线故障，为实现电路的“故障导向安全”，主要采取以下2点措施：

（1）混线故障防护。电气电路及电缆发生混线故障时，可能导致继电器错误吸起而导向危险侧，因此电路设计应考虑混线的因素。室内电路中应尽量减少共用继电器接点，简化同一继电器接点的功能。为此，TB 10007—2017《铁路信号设计规范》[1]第6.4.3条专门作出相应规定；对于室外电路，混线防护主要采取位置法、极性法、双断法等[2]。

（2）断线故障防护。为实现断线故障防护，电气电路采用闭合电路形式，当发生断线时，电路中的继电器失磁落下，导向安全侧。

3.2 计算机联锁安全

计算机联锁是在6502电气集中基础上发展而来[2]，2×2取2的硬件[3]冗余型结构为当下主流产品（见图1）。系统由外部接口电路和联锁设备构成，其安全实现主要分为3个部分：输入、输出和联锁设备本身。

图1 计算机联锁2×2取2的硬件冗余型结构

计算机联锁的输入和输出均采用继电接口。与电气集中相同，继电器均采用重力式安全型继电器，当外部接口故障时，一方面保证计算机联锁不能采集导向危险侧的条件，同时保证继电器不被错误驱动吸起，控制信号设备动作。

至于计算机联锁设备，TB/T 3027—2015《铁路计算机联锁技术条件》[4]严格规定了设备的联锁功能。联锁逻辑部采用双系结构，任何一系都可以独立工作，双系采用主从方式运行，每一系中采用2个相同的处理器，每个处理器分别运行，2个处理器的运算结果进行比较，比较一致时，各自给出有效的输出，不一致时则输出倒向安全侧。

4 高速铁路信号系统安全理念实现

随着我国高速铁路的快速发展，运营里程逐年持续增长，居世界第一位。高铁信号系统作为其“运行安全中枢神经”，随着路网规模的扩大和行车速度的提升已成为由联锁（CBI）、列控（TCC、RBC）、调度集中（CTC）、集中监测（CSM）等众多子系统构成的复杂大系统。各子系统间具有复杂的信息流，每个子系统需要根据来自其他子系统的信息配合，并与其他子系统配合输出相应信息。典型CTCS-3级（简称C3）列控系统的信息数据流见图2[5]。这种网络化、信息化、集成化的运转模式，可能导致事故的复杂性和耦合性也相应增加，而且公众对高铁事故的零容忍，也迫切要求高速铁路信号系统拥有更高的安全性和可用性。

图2 CTCS-3级列控系统数据流

相对于普速铁路而言，高铁信号系统更复杂，控车指令生成的链条长，例如，C3行车许可上车需要经过TCC→CBI→RBC→GSM-R→ATP共4个接口，地面需要3套不同类型信号设备参与控车指令的运算。因此，高速铁路的“故障导向安全”不是某个单体设备简单地导向列车停止运行的状态，而是车-地信号系统最终呈现导向列车停止运行或不超速的安全状态，即注重大系统的安全。高铁信号系统的安全，一方面要求信号各子系统应满足“故障导向安全”原则，不得因为单体设备的故障状态导致非安全控车指令生成；另一方面，系统整体架构应满足“故障导向安全”原则，架构中纳入备份系统和备用控车模式，可提高整个系统的可用性。

在系统安全理念下，高速铁路信号系统主要从单体信号设备、设备间接口、系统架构设计3个方面实现信号的系统安全。

4.1 单体信号设备安全

单体信号设备是信号系统安全的基础，其实现安全的保证主要依靠技术和准入管理2个方面。

（1）信号设备安全技术实现。高速铁路与控车相关的信号设备，如TCC、CBI、RBC、临时限速服务器（TSRS）等，要求硬件采用2×2取2冗余型结构，该结构是一种安全型结构；在软件层面，也通过一定技术约束使设备安全性得到加强，例如，《列控中心区间占用逻辑检查暂行技术条件》（运电高信函〔2014〕234号）规定TCC增加区间三点逻辑检查功能，实现区间列车占用丢失防护[6]。

（2）信号设备准入管理制度升级。根据《铁路通信信号设备生产企业审批实施细则》（国铁设备监〔2014〕15号）规定，只有取得“铁路运输基础设备生产企业许可证”的企业，才有资质生产铁路信号产品。另外，根据《铁路信号产品运用管理办法》（铁总运〔2015〕105号），铁路信号产品实行资质准入管理。列入国家铁路局行政许可目录和列入原中国铁路总公司产品认证目录的铁路信号产品，必须分别取得相应的证书方可上道使用。因此，在高铁信号设备采购过程中，对设备目录中的产品，必须严格审核产品和企业的资质，杜绝不符合规定的产品上道使用，以确保铁路信号产品的源头质量。

4.2 信号设备间接口安全

高铁信号系统的TCC之间、TCC和CBI间、TCC和TSRS间、TSRS之间、RBC和CBI间、RBC和TSRS间、RBC之间均存在数据交互，目前各信号设备采用接入信号安全数据网形式来实现设备间数据通信。

（1）接口形式的安全策略。根据《高速铁路信号系统安全数据网技术规范V3.0》（铁总运〔2014〕353号），各应用设备的A、B系都配置以太网接口（接口1、2），接口1接入信号安全数据网左环网，接口2接入右环网，连接方式见图3。应用设备各系2路独立输入形式，为信号设备安全运算打下基础。

图3 交换机和应用设备的连接方式

（2）接口内容的安全策略。正常情况下，设备间通信正常，各子系统正常工作；根据TB/T 3439—2016《列控中心技术条件》、TB/T 3330—2015《无线闭塞中心技术规范》等相关规定，若设备故障或通道故障，设备接口导向安全侧，接口两侧的信号设备将按照指示列车停车或不超速的原则进行运算。

4.3 系统架构设计安全

信号系统安全理念除了要求单体设备满足“故障导向安全”原则，还强调多设备协防、互防，共同完成“故障导向安全”的多重防护，从而提高整个信号系统的安全性、可用性。整个信号系统结构呈现冗余但不容错的特点，主要体现在以下2个方面：

（1）信号系统整体架构纳入后备系统，提高系统的可用性。采用CTCS-3级列控系统时，地面和车载会配备CTCS-2级列控系统，若CTCS-3级列控系统故障或GSM-R通道故障，则降级为CTCS-2级列控系统模式；同理，采用CTCS-2级列控系统时，CTCS-0级列控系统为其后备模式。

（2）车载系统对地面信号系统的安全防护。车载设备独立于地面信号系统运行，有固定的工作逻辑，如果地面提供的信息不满足车载设备完全监控模式（FS）的运行条件，车载设备会降速并相应进入降级模式。

5 智能铁路信号系统安全理念

智能铁路信号系统（ISIG）将集成现代信息技术[7]、人工智能技术、铁路通信信号技术、物联网、大数据、北斗定位、5G通信等，以实现列车安全智能控制[8]、调度决策优化、系统智能监测分析为目标，充分运用现代智能控制化技术，通过有效利用控制、监测、数据收集及其他相关资源，形成一个集智能化控制及调度决策、智能化监测和智能化维修管理[9-10]于一体的新一代铁路信号系统，将最大程度地保障行车安全、提高运输效率、改善劳动条件，并确保信号设备处于良好运行状态。

6 结束语

通过分析铁路信号系统安全理念的演变与实现对策，充分表明现有普速铁路、高速铁路信号系统的安全对策行之有效，系统“故障导向安全”有可靠保障。对未来信号系统安全技术的发展，提出以下展望：

（1）信号系统设备进一步一体化设计，减少设备数量，以减少因接口带来的问题。

（2）提升信号监测设备智能化水平，开展提前预判故障和维修决策辅助，提高信号设备的可用性。

（3）通过车-地信号系统闭环控制技术的应用，车载设备将接收到的信息实时反馈回地面信号系统并进行比较，当两者不一致时，应采取相应安全措施，进一步提高信号系统的安全水平。