高速動車組CTCS3型列控系統安全設計概述

【摘 要】簡要介紹中國CTCS3型列車控制系統構成，并從供電線路保護、設備冗余設計、軟件邏輯保護等三方面對CTCS3型列車控制系統的安全設計原理進行概述。

【關鍵詞】動車組；列控系統；安全設計

0.引言

目前，鐵路發展隨著速度和密度的提高，不同速度等級列車的跨線運行，保證高速條件下鐵路運輸安全的任務十分艱巨，對列控系統的可靠性、安全性和可維護性提出了更高的要求。本文就CTCS3型列車控制（ATP）系統安全設計進行介紹。

1.概述

武廣線、鄭西線及京滬線等采用由CTCS2和ETCS2構成的CTCS3雙模系統，相關技術規范包括：系統功能需求規范（FRS），系統需求規范（SRS），系統接口規范（FIS/FFFIS）等。

CRH380新一代動車組每個頭車上都安裝一套完整的列車保護系統。

兩個頭車上的列車保護系統相互獨立運行。僅當被占用司機室的方向開關指示“前進”或“后退”方向，且被拖拽司機室的方向開關置于0位時，該設備才被激活。

它的主要功能包括：

（1）根據路面速度要求，輔助司機控制列車行駛速度，防止列車超速或冒進降速。

（2）自動過分相控制。

（3）防止列車到站不停，及記錄列車運行位置。

車載ATP系統包括地面設備和車上設備兩大部分。地面設備由地面感應器提供標志信號及路線信息。車上設備接收來自地面的信息，并由車上控制系統結合車輛信息（如載重、制動能力、列車長度等）形成ATP允許的列車行駛速度，顯示在ATP的DMI上。ATP系統在整個行車過程中進行速度監控。

2.ATP系統構成

每個端車各有一套ATP系統，每套ATP系統包括以下部件：

一套車載CTCS3系統。

一個模擬儀表顯示當前速度，例如CTCS3系統的DMI故障，司機可以通過模擬儀表觀察列車當前速度。

一套車輛系統TCR（軌道電路讀取器）。

一套DMS，無線傳輸設備，用于發送ATP工作狀態。

另外各頭車還有一套GFX-3A裝置和一套CIR列車無線電系統。

每輛頭車的CTCS3系統包括以下部件：

1臺CTCS3主機。

2臺速度傳感器，用來獲取TC02車或TC15車的拖軸速度。

2臺司機室人機界面DMI，用于顯示CTCS3狀態信息。

2個BTM天線，用于接收軌道線路信息。

2個GSM-R天線，通過GSM-R連續傳送列車運行控制命令，車-地間可雙向通信。

3.ATP系統保護

ATP系統保護主要從供電線路保護、設備冗余設計以及中央控制單元軟件邏輯保護等幾方面進行說明。

3.1供電線路保護

ATP系統電源由本牽引單元的BN直流110V提供。由BN1供電的負載包括：

CTCS3主機。

DMI顯示器。

動態監控系統主機。

遠程數據傳輸主機。

數據記錄單元和過分相設備由BN1/BD直流110V供電，主要是為了保證BN1線路故障情況下，BD可以繼續為設備進行供電。

每個負載設備均設有空氣斷路器進行過載、過流及缺相保護功能。

3.2 ATP系統設備冗余設計

ATP系統為了保證列車安全運行，因此增加冗余性能：

兩個速度傳感器（=44-B01和=44-B02）。

兩個應答器主機（=44-T01和=44-T02）。

兩個GSM-R天線（=44-T03和=44-T04）。

兩個CTCS雷達（=44-A02和=44-A03）。

兩個ATP顯示器（=44-K24和=44-K25）。

兩個應答器主機（=44-T11和=44-T12）。

兩個TCR天線（=44-T11和=44-T12）。

四個GFX-3A天線（=44-T31，=44-T32，=44-T33，=44-T34）。

在任意一個設備故障情況下，剩下的一個都可以繼續工作。

3.3中央控制單元軟件邏輯保護

3.3.1 CTCS3主機共有3種工作狀態：分別是運行、待機、休眠

當CTCS3供電空開閉合后，隔離開關打到正常位時，CTCS3主機會向TCMS輸入DI信號“ISOL_CTCS_BYPAS_1L=1”且“ISOL_CTCS_BYPAS_2H=0”（ISOL_CTCS_BYPAS_1L=0”且“ISOL_CTCS_BYPAS_2H=1”是CTCS3隔離狀態，“ISOL_CTCS_BYPAS_1L=1”且“ISOL_CTCS_BYPAS_2H=1”或者ISOL_CTCS_BYPAS_1L=0”且“ISOL_CTCS_BYPAS_2H=0”是CTCS3系統故障狀態，MMI將產生診斷信息“CTCS3系統故障”，并且屏蔽CTCS3主機輸出的所有信號），CTCS3主機進入待機狀態。當其中一端啟用司機室鑰匙，并且方向開關移出0位，此時CTCS3主機進入運行工作狀態，另外一端非占用司機室處于休眠狀態。

在司機換端過程中，兩端CTCS3主機均處于待機狀態。當司機換端成功后，占用司機室端CTCS3主機進入工作狀態，另一端處于休眠狀態。

只有在蓄電池接通的情況下，CTCS3主機才能夠工作。如果CTCS3系統發生故障，可以通過隔離開關將主機輸出DI信號屏蔽掉（即CTCS_Valid Signal=0、 CTCS_Section Order=0），也可以通過NFB讓CTCS3斷電。

3.3.2安全制動保護

CTCS3可以輸出4級制動指令，分別是1、4、7級常用制動和緊急制動。其中1、4、7級常用制動指令由CTCS3主機用硬線與繼電器連接，再通過電觸點信號與端車BCU單元的相應制動接口連接，制動力大小由BCU計算得出并施加；緊急制動指令，是通過斷開CTCS3主機中的電觸點來控制緊急制動安全環路EBL斷開，從而施加緊急制動。7級常用制動和緊急制動用于控制動車組在加速過程中超速，1級和4級常用制動用于控制動車組在減速過程中撞線。

在列車停止時，CTCS3主機會檢測制動手柄及牽引手柄位置信號，如果牽引手柄在“0位”且制動手柄在“REL位”，那么CTCS3將通過7級制動硬線信號使制動系統實施最大常用制動。其他手柄位置組合信號，不會觸發制動指令。

施加1、4、7級常用制動，分別對應DI信號CTCS_BRAKE_LEVEL1_H=1、CTCS_BRAKE_LEVEL4_H=1、CTCS_BRAKE_LEVEL7_L=0。用于中央單元區分手柄制動指令，并進行異常檢測。

3.3.3信息安全處理

CTCS3通過BTM天線將運行信息（例如：速度限制，位置調整，前進許可）傳輸傳送到CTCS3主機上。應用這些信息，CTCS3主機為前面的運行計算路線-速度圖。路線-速度圖反映了可接受的最大速度，它是基于軌道特征的函數。它把路線的速度輪廓和制動曲線都計算在內。速度輪廓（當地最大速度）包含在應答器傳送的軌道信息內。CTCS3主機從軌道數據（例如有關冒險和停止點的信息——這些信息通過應答器傳輸）和列車數據中（制動起始次數，常用制動減速度——這些信息存儲在CTCS3主機中）計算制動曲線。

CTCS3通過比較實際速度和路線-速度圖持續監測可允許速度。一旦車輛的速度超過路線-速度圖，CTCS3主機首先通過DMI 給司機發出一個視聽信號進行警告。盡管有警告提示，如果司機仍然不減速，分級制動就會通過硬線啟動（常用制動或緊急制動）。

CTCS3主機與DMI交換的信息包括：對于DMI 的有關實際速度、參考速度、與目的地距離的信息； DMI 輸出聽覺、視覺警告的請求；通過DMI 向CTCS3主機下載數據；對CTCS3 執行系統測試的請求。

3.3.4過分相區

只要CTCS3主機無故障，將會向CCU一直輸出分相有效信號“Valid Signal=1”。當通過BTM天線檢測到將要通過分相區時，主機將計算即將通過分相區的整個信號輸出節點：無電區前將向TCMS輸出一個信號——分相指令信號“Section order=1”；當離開分相區后，同樣通過主機向TCMS輸出一個信號“Section order=0”。這兩個信號均為繼電器觸點信號（觸點閉合表示邏輯“真”或“有效”，觸點斷開表示邏輯“假”或“無效”）。

CTCS3主機也可以通過地面應答器進入CTCS2控車等級，當主機進入CTCS2級別時，將不會向網絡一直輸出分相有效信號“Valid Signal=1”，而是在即將進入分相區前，通過接收地面應答器信號產生輸出信號“Valid Signal=1”，直到動車組通過分相區后，輸出低電平信號“Valid Signal=0”。

車輛應根據CTCS3主機輸出的分相有效信號“Valid Signal”來判斷過分相由CTCS3主機控制還是由車輛自身控制（GFX-3A過分相系統）。如果主機輸出“Valid Signal=1”信號，則由CTCS3控制過分相區；如果主機輸出“Valid Signal=0”，網絡將忽略信號“Section order”，由車載GFX-3A過分相系統控制動車組通過分相區。

CTCS3與GFX-3A的信號切換：列車正常運行時，占用司機端CTCS3與GFX-3A系統同時工作，但是在CTCS3主機正常的情況下，網絡將默認GFX-3A系統輸入的DI信號為無效，利用CTCS3信號通過分相區。那么，兩系統將存在以下切換條件：

當CTCS3故障開關打到隔離位時，即ISOL_CTCS_BYPAS_1L=0、ISOL_CTCS_BYPAS_2H=1，網絡將自動復位對GFX-3A系統輸入DI信號的屏蔽，使用GFX-3A系統通過分相區。如果出現“SOL_CTCS_BYPAS_1L=1”且“ISOL_CTCS_BYPAS_2H=1”或者ISOL_CTCS_BYPAS_1L=0”且“ISOL_CTCS_BYPAS_2H=0”，那么網絡也將認為CTCS3故障，同樣將自動復位對GFX-3A系統輸入DI信號的屏蔽，通過GFX-3A系統控制動車組通過分相區。

當CTCS主機采用3級或者2級系統正常工作時，如果“Valid Signal=1”信號優先于GFX_WARNING_RESET脈沖信號與GFX_HSCB_OFF脈沖信號（參考“過分相功能規范”），那么網絡將忽略GFX-3A系統輸出的GFX_WARNING_RESET脈沖信號與GFX_HSCB_OFF脈沖信號，利用“Section order=1”命令通過分相區。反之，利用GFX_WARNING_RESET脈沖信號與GFX_HSCB_OFF脈沖信號通過分相區。

4.結束語

通過上述安全設計的原理介紹，可大致了解CTCS3型ATP系統與動車組之間的安全設計關系，為優化ATP系統與動車組之間安全接口提供參考。信號系統中的任一關鍵設備都依據故障導向安全的原理進行設計，達到IEC61508中規定的安全級別4級。