4. CBTC安全场景测试用例的故障注入设计

车地通信中断的故障注入设计

车地通信中断是CBTC安全场景中最典型的一类故障：列车位置报告（位置报告周期通常为200~500ms）无法送达ZC，ZC无法更新列车位置与移动授权（MA），列车必须依靠自身安全逻辑降级运行。测试用例设计的核心不是“把通信断掉”，而是在哪里断、断多久、断的时候列车处于什么状态、系统应在多长时间内给出什么安全反应。本节围绕这四要素完成故障注入设计。

一、先确定注入对象与注入点

车地通信链路在CBTC中由“车载无线单元—轨旁接入点（AP）—骨干网—ZC/联锁”构成。故障注入点应选择在能明确对应安全需求、且可观测、可恢复的位置。常用注入点如下：

设计时优先选择车载无线单元与AP之间的空口作为主注入点，因为它最接近真实运营故障（隧道弱覆盖、AP切换失败），且恢复后能观察系统重新建链的完整过程。若需验证轨旁侧逻辑，再补充ZC侧注入点。

二、注入时序：把故障放在“有意义的时刻”

同样的通信中断，发生在列车静止、低速运行、接近MA终点时，安全反应完全不同。注入时序必须与列车运行状态绑定，才能让预期安全反应可判定。建议设计三个时序窗口：

• T1 稳态运行中断：列车在区间以允许速度运行，MA剩余距离充足时中断通信。用于验证通信超时检测与常用制动触发。
• T2 接近MA终点中断：列车距MA终点约一个制动距离时中断通信。用于验证列车在失去MA更新后能否在MA范围内安全停车，不越界。
• T3 停站/折返中断：列车停稳或折返换端过程中中断通信。用于验证静止状态下的通信中断是否影响车门/发车授权逻辑。

每个时序窗口需明确三个时间参数：中断起始时刻（相对列车位置或速度定义）、中断持续时间（应覆盖通信超时阈值并留出观察余量）、恢复时刻（用于观察重新建链与MA恢复）。

三、预期安全反应的可判定描述

预期安全反应不能写成“列车安全停车”，必须落到可观测的信号与时间上。以车载空口中断为例，典型预期链为：

1. 通信中断后，车载ATP在通信超时阈值（示例取3s，实际以系统设计文件为准）内检测到链路丢失，输出通信故障告警。
2. 车载ATP触发常用制动，列车在规定距离内停车；若常用制动未能使列车在MA范围内停车，应升级为紧急制动。
3. ZC侧在失去该列车位置报告后，不再为该列车延长MA，MA保持或收缩至已确认安全的位置。
4. 通信恢复后，列车重新注册、上报位置，ZC重新计算并下发MA，列车在确认MA有效后方可缓解制动。

上述每一条都应绑定一个观测点：车载ATP故障日志、制动指令输出、ZC的MA状态、列车实际停车位置与MA终点的关系。

四、把设计落成可执行的注入用例表

故障注入设计最终要形成一张可交给测试执行人员的用例表。以下为T1空口中断的示例设计（参数为教学示例，实际阈值以系统设计文件为准）：

五、设计评审要点

• 注入点是否唯一且可复现：同一用例只改变一个注入变量，避免空口与ZC链路同时中断导致反应归因不清。
• 时序是否与列车状态绑定：用位置或速度定义注入起始时刻，而不是用绝对时间，保证不同线路、不同速度下可复现。
• 预期反应是否可观测：每条预期都对应至少一个日志、信号或状态观测点，避免“安全停车”这类不可判定描述。
• 恢复过程是否纳入判据：通信中断测试的价值一半在恢复建链，必须设计恢复后的MA有效性与制动缓解判据。