列控中心仿真测试技术的发展与应用

张大威

张大威:中国铁道科学研究院研究生部 铁道部运输局电务部工程师 100081 北京

近年来，我国高铁建设事业伴随着世界范围内铁路行业的复兴而蓬勃发展，拥有中国自主知识产权的CTCS-2、CTCS-3级列车运行控制系统被广泛应用于客运专线建设中，为确保运输安全发挥着极其重要的作用。

在整个CTCS系统中，列控中心是具有中国特色的安全控制设备，它既是CTCS-2级列控系统地面信号设备的核心部分，也是CTCS-3级列控系统地面信号控制降级后最重要的后备系统，可根据联锁提供的轨道电路占用信息和进路信息、CTC(或临时限速服务器)提供的临时限速信息以及站间安全通信信息等，通过编码计算产生行车许可命令，利用有源应答器发送应答器报文、驱动ZPW-2000轨道电路发码、控制区间信号机点灯，并通过轨道电路和应答器将行车许可信息传送给车载控制子系统，从而实现对列车的连续控制。

列控中心的安全性要求极高，按照国际功能安全基础标准IEC61508对安全性完整性等级的划分方法，列控中心被定义为SIL-4级安全设备 (Safety Integrity Level)，与计算机联锁系统同属最高的安全完整性等级。因此在开通运营前对列控中心的测试和验证尤为重要，如何让测试验证过程经济、高效、规范、完整，越来越为铁路研发设计、建设、维护和使用部门所关注。计算机仿真测试技术为解决上述问题提供了行之有效的手段。

1 仿真测试技术发展

1.1 国外铁路仿真测试技术发展

国外铁路部门对仿真技术的研究与应用十分重视，早在上世纪70年代，就开始利用计算机仿真技术对铁路线路设计、运输组织方案进行验证和评估，目前已开发出列车调度、列车运行和站内闭塞监视等功能的仿真系统。

在路网能力仿真方面，英国Incontrol研究所和Railned等多个铁路部门合作研究了Simone铁路路网能力仿真系统;SYSTRA公司开发了RAILSIM铁路线路能力优化仿真系统;AEA-Technology RAIL公司开发了VAMPIRE轮轨关系仿真系统。

在欧洲列车控制系统ETCS领域，欧洲铁路研究中心开发了ETCS仿真系统，能够仿真ETCS等级0—2级的功能;在对无线闭塞中心RBC(Radio Block Centre)的测试中，P.di Tommaso运用仿真方法制定出了列车与RBC数据通信异常情况下的测试案例，以此来验证RBC系统的安全性和可靠性。

在列控车载系统仿真方面，欧洲铁路运输管理系统ERTMS(European Rail Traffic Management System)的UNISIG工作组搭建了分布式交互仿真测试系统，利用场景发生器产生仿真场景和测试序列，通过这些仿真场景和测试序列加载各仿真测试节点、控制仿真测试过程并进行实时监控，用模块事件记录器记录仿真测试过程中各节点产生的重要信息，用分析确认模块判断信息的正确性并进行分析;2004年，意大利佛罗伦萨大学为意大利列车控制系统SCMT开发出了硬件在环HIL(Hardware In the Loop)测试系统，它是一个基于仿真技术的ATP测试系统。

1.2 中国铁路仿真测试技术发展

我国铁路系统仿真测试工作起步较晚，起初主要是针对列车调度算法等具体问题的仿真。随着大规模客专建设和CTCS系统全面投入使用，对列车运行控制系统的仿真测试变得越来越迫切。由于在列控系统设计和实施方面没有太多成熟经验可以借鉴，而列控系统实施过程中有很多问题需要研究，如设计方案优化问题、系统适应性问题、技术条件可行性问题等，都需要在事前进行研究分析，如果仅仅通过现场试验来做事后修改，不但浪费人力物力、影响运输生产，而且有很多问题受现场试验条件限制无法得到及时发现和解决。换言之，即使在设备开通前进行过严格的测试，但在投入使用后仍可能还会出现某些问题。这就促使有关设计研发单位和科研院所考虑运用计算机仿真实验的方式替代现场试验，通过仿真现场很难人工设置的各种故障和情况，对列控中心的功能逻辑等进行验证。

北京交通大学轨道交通控制与国家安全重点实验室自2005年起，开始建设轨道交通控制与安全综合试验平台，包括CTCS-3级列控系统仿真测试平台、GSM-R网络平台和行车指挥平台;针对列控系统的仿真研究，以西南交通大学交通控制实验室、北京交通大学轨道交通与安全国家重点实验室、同济大学、兰州交通大学和中国铁道科学研究院等科研院校和研究部门为代表，所做的工作包括系统原型开发、控制算法和城轨列控建模仿真、列控中心等地面列控设备和车载ATP仿真测试研究等;中国铁道科学研究院研究建立了基于列控系统功能测试的专家系统，实现测试过程的自动判断和统计，提出可能的故障原因和故障对策。国内列控中心仿真模型所使用的大多是面向对象编程的计算机语言，具体来说，开发环境主要有VC++、C++Builder等。

2 列控中心仿真的核心问题

在建立列控中心仿真系统之前，首先要构造一个尽可能与原系统相匹配和反映真实情况的模型，模型本身应便于模拟系统的各种行为。同时，为使仿真系统可以满足评价、分析、测试等性能，系统还要能随时反映各子系统或功能模块之间的动态特性，记录当前的各种状态和彼此关系，以便获取各种参数。因此，列控中心仿真的核心问题首先是仿真模型的建立，其次是仿真系统的开发。

3 列控中心仿真系统功能需求

列控中心仿真系统主要是依据列控中心的技术规范、接口协议、系统功能需求、设备配置等进行仿真，做到与列控中心的功能相一致，一般包括地面轨道电路编码、区间信号机点灯、有源应答器报文生成与临时限速处理、区间方向控制、接口通信等。列控中心仿真系统根据不同的外部设备配置，应能够对系统功能进行自我调节。虽然中继站和无配线车站列控中心不具备与联锁相关的功能，没有站内轨道电路编码和方向控制功能、区间运行方向和闭塞控制功能等，但所设计的标准车站列控中心仿真系统应该涵盖列控中心的所有功能，对于中继站和无配线车站，可以在此基础上进行一定的功能屏蔽。

地面轨道电路编码，根据列车进路和轨道区段状态等信息，进行站内和区间轨道电路的载频、低频信息编码。实现对轨道区段状态的识别并对轨道电路分路不良、进出站信号机异常关闭、站内轨道电路故障等情况采取相应的防护措施。

区间信号机点灯，根据区间闭塞分区占用情况，完成对区间通过信号机的点灯控制。

临时限速处理与有源应答器报文生成，根据列车进路信息、临时限速设置信息和应答器报文定义原则，实现应答器报文的实时组帧、编码、校验，判断和发送信号降级信息，并向相关的LEU发送报文。

区间方向控制，根据联锁改方命令、区间闭塞分区空闲状态，实现对区间运行方向的控制。

通信接口，按照接口通信协议的要求，接收列控中心各通信接口的信息，经内部相关模块处理后发送到通信接口，再输出到外围设备。

4 几种仿真测试实例

4.1 基于着色Petri网 (Colored Petri Net)的建模与仿真

Petri网建模方法是形式化建模方法的一种，是一种系统的数学和图形描述、分析工具，具有图形结构和很强的直观意义。对于并发、异步、分布、并行、不确定性或随机性的信息处理构造Petri网模型并进行分析，就可以得到系统结构和动态行为方面的信息，从而对系统进行客观的评价和改进。

同济大学在2008年提出了基于着色Petri网的安全构件模型及相应的构件组装算法。北京交通大学根据列控系统功能需求，利用着色Petri网建立功能处理模型，用着色Petri网建模工具CPN-TOOLS建立相应的仿真模型，并利用状态空间工具分析系统功能的完整性和逻辑正确性，用C++Builder程序设计和实现软件系统功能处理软件，生成信息实时监控界面，监控信息正确接收和运行，满足列控仿真系统平台的实现需求。

例如:列控中心系统顶层CPN模型如图1所示，它包含 CBI、TCI、CTC、LEU和 TCC 5个替代变迁，分别标识与列控中心信息交互子系统在列控系统中的逻辑位置，各子系统与列控中心间交互的信息传递用相应的库所予以设定。列控中心与各设备间的交互库所含义如表1所示。

图1 列控中心系统顶层CPN模型

表1 列控中心系统层输入输出库所表

通过层次化的建模技术，分别建立系统层、处理层和功能层3层模型，使软件系统功能过程更加直观和具体。除上面所描述的系统顶层外，列控中心系统处理层、轨道电路占用信息处理层、临时限速命令处理层、临时限速功能层、进路报文处理层、进路报文功能层、应答器报文处理子网等均可依此建模。

在此基础上，利用CPN-TOOLS状态空间工具对模型的有界性 (确认库所资源不会无限增大而导致系统运行终止)和活性 (确认系统没有死循环和死节点，每个状态都是良好状态)等性质进行分析，验证轨道电路占用信息报文处理层模型和进路报文功能层功能的正确性，利用“状态转移查询”确认系统对进路报文的处理，最终完成对功能层模型的确认工作，获得可靠的模型依据，从而实现从功能需求到列控中心系统功能模型化的建模过程。

在完成仿真模型的建立和验证后，参照模型的体系架构，结合实验室设备，在计算机操作平台上使用 C++Builder编程语言实现列控中心系统仿真器软件的设计，并通过集成测试、系统联调等步骤逐步提高仿真器软件的质量，最终实现仿真系统的设计完善。

4.2 基于SED_TSL脚本技术的仿真测试

SED_TSL(Scenario-Event Driven Test Script Language)是一种基于场景—事件驱动的测试脚本语言。SED_TSL定义的测试脚本以被测系统的实际运营场景为基础，将运营场景定义为相应的测试场景，在测试场景中以测试序列的模式，对相关测试用例进行序列化，通过定义外部仿真测试环境将测试用例加载到被测系统中，完成安全性测试，同时也可以通过定义故障场景，完成各种安全防护机制测试。

SED_TSL的核心语法库分为3层，如图2所示，即基础语言包、测试描述语言包和用户开发包。

基于核心语法库，标准的SED_TSL测试脚本结构如图3所示，分为测试主控单元模块脚本和测试执行单元模块脚本2层。在测试主控单元模块脚本中，主要定义当前测试控制逻辑和当前仿真测试环境配置;测试执行单元模块脚本中，主要定义当前测试中具体的执行测试内容。

图2 SED_TSL的核心语法库

SED_TSL仿真测试环境架构主要包括测试控制中心、测试引擎、仿真环境接口适配器集、被测列控中心外部仿真测试环境共4个部分。其中，测试控制中心主要完成测试用例生成、测试序列生成、测试场景生成、可执行测试脚本生成、测试进程实时监控及测试结果智能分析;测试引擎主要完成测试脚本解析、执行、控制、仿真驱动命令生成、注入、测试结果采集、判定与存储及测试执行流程管理控制;仿真环境接口适配器集主要用于处理测试引擎与被测列控中心外部仿真环境之间的消息通信和过程调用;被测列控中心外部仿真环境主要承担仿真被测列控中心的实际运行环境，所有的仿真对象以插件方式集成构成外部仿真测试环境。

基于SED_TSL的测试脚本技术可以满足对安全苛求软件测试的特殊要求，实现闭环仿真测试。它所建立的测试场景、测试用例库和测试序列库，可以对列控中心软件系统在实际运用中可能出现的运营场景进行各类测试用例和测试序列，并且执行效率较高。

4.3 数据初始化通用性仿真

图3 基于SED_TSL的测试脚本架构图

列控中心仿真软件一般都存在通用性不足的问题:一是未能完全实现站内侧线行车和换线行车功能仿真;二是在处理设计部门提供的基础数据表的时候，不能自动生成信息实例，而是需要手工编辑配置文件，这样做不但费时费力，而且极易出现错误。

通用性仿真克服了上述问题。系统在处理设计院提供的列车进路数据表时，把每个进路号下面的相关信息，包括应答器编号、进路、进路类型、始端信号机 (名称/接近最高码序)、终端信号机名称、应答器 (单元编号/链接距离)、道岔、线路速度 (速度/距离)、轨道区段 (长度/载频/信号机类型/名称)、灾害防护区段以及备注信息等存储在一个特定的结构动态数组里，对信息进行重新整理，提取进路上所有轨道区段的联接关系且保留其他相关信息，为站内编码的逻辑关系提供依据。接下来，为轨道区段项设置专门的结构体数组，定义出区段名称、低频、载频、占用状态、方向信息、灾害信息、灯丝断丝、转频标志位等，经过这样处理后，整个站内的信息就丰富而完整地保存了下来，列控中心可以对站内所有区段进行统一调配处理。在完成整个进路数据表的初始化工作后，内存中存储的信息已经成为程序运行时可以直接调用的信息，无需手工编辑其他的配置文件，仿真系统可以完整地模拟侧线接发车作业、换线作业、反方向运行等状态，大大提高了仿真的效率和准确性。仿真系统结构如图4所示。

图4 列控中心仿真系统结构图

4.4 基于安全可用性的仿真测试平台

仿真测试平台软件构造了六大模块，即测试模拟条件模块、数据接口模块、数据库模块、显示模块、报文反编译模块和测试控制模块，如图5所示。其中，模拟条件模块，为列控中心提供所连接外围设备的测试条件;数据接口模块，实时接收列控中心不同物理通道发送出来的数据并进行分类存储，同时负责对信息的正确性、时效性、次序性进行检查确认;数据库模块，存储线路信息、记录从列控中心接收的数据，并接受平台其他模块的访问;报文反编译模块，从列控中心接收有源应答器报文，首先进行条件检查，然后反编译成列控工程数据;测试控制模块，对从列控中心接收的数据进行逻辑检查，包括低频码序、点灯状态等，对特殊情况进行人工干预;显示模块，访问数据库获取输入信息，实时显示所有信号设备的状态属性。

图5 测试平台软件结构

基于对列控中心安全性和可用性的要求，利用测试平台进行4类测试，即功能测试、接口协议测试、冗余机制测试和故障-安全机制测试。其中，功能测试是最基本的测试环节，检查列控中心所有功能是否均已实现;接口协议测试，测试列控中心与外围设备接口传输数据情况，验证接口数据的安全性和完整性;冗余机制测试，测试列控中心二乘二取二机制，侧重于二系切换对安全性和功能性的影响;故障-安全机制测试，模拟可能发生的各种故障，测试列控中心的安全逻辑设计原则。

5 结束语

当前既有的列控中心仿真系统在一定程度上能够满足仿真和测试的需要，但或多或少存在一些缺陷和不足。从事研发的单位都是从自身设备出发开展工作，缺乏彼此间的沟通协作，很多内容属于重复性研究，导致资金和人员浪费;有的仿真系统受条件限制，无法实现对有源应答器报文、轨道电路低频编码等所有可能分支的遍历，测试中很难对中间过程可能存在的问题及时获取;有些仿真测试对人工依赖程度高，效率偏低，自动化程度有待提高，这些都是今后需要改进的地方。

［1］ 李铭．客运专线CTCS-2级列控中心功能仿真研究［D］．成都:西南交通大学硕士学位论文，2009．05

［2］ 孙玉鹏．CTCS-3级列控系统仿真测试平台－列车运行仿真平台的研究［D］．北京:北京交通大学硕士学位论文，2006．12

［3］ 中华人民共和国铁道部．科技运［2008］34号.CTCS-3级列控系统总体技术方案(V1.0)［S］．2008．

［4］ 中华人民共和国铁道部．列控中心技术规范(科技运［2010］138号)［S］．2010．

［5］ 季学胜，唐涛．CTCS-3级列车运行控制系统综合测试平台研究［J］．铁道通信信号，2007(7):1－3.

［6］ 邓紫阳．基于着色Petri网CTCS-3级列控中心建模与仿真研究［D］．北京:北京交通大学硕士学位论文，2009．06

［7］ IEEE Standard for Communications－ Based Train Control Performance and Function Requierment．IEEE Std 1474．1，1999.

［8］ Stanley B．Lippman．Josee Lajoie．C++Primer(3rd Edition)．Addison Wesley，1998

［9］ Railway Technical Innovation，ETCS－欧洲铁路信号技术的长期发展目标.

［10］ Babak Dehbonei，Fernando Mejia，Formal Development of Safety critical Software System in Railway Signaling．Application of Formal Methods，Prentic Hall．1995，227－252.

［11］ Dr Neville Rowden．A Safe，Reliable Control and Supervisory System for Railway Networks．SAFECOMP＇96.

［12］ 喻刚，徐中伟．基于脚本技术的高速铁路列控中心系统安全性自动化测试研究［J］．北京:铁道学报，2011．12

［13］ 刘金刚．CTCS3级列控系统仿真软件包的设计和实现［D］．北京:北京交通大学硕士学位论文，2007．03

［14］ 张仕雄，李丽兰．客运专线列控中心测试平台的构建研究［J］．北京:铁路运输与经济，2012(02).

［15］ 黄祖成，张秀梅．客运专线CTCS2级列控中心测试平台的研究探讨［J］．北京:铁路通信信号工程技术(RSCE)，2008(08).

［16］ 陈旭，徐中伟，喻钢．基于有色Petri网的安全构件模型［J］．北京:计算机工程，2008(11).