3. CBTC系统架构与移动闭塞功能分配
CBTC（基于通信的列车控制）系统之所以能实现移动闭塞，根本原因不在于某一个子系统“很聪明”，而在于整套架构把“列车在哪里、能走多远、该走多快、进路是否安全”这几件事拆分给了不同子系统，并通过明确的接口把它们重新耦合起来。理解架构与功能分配，是后续做安全评估和接口设计的前提。
一、典型架构：五个子系统各守一段职责
CBTC典型架构由ATS、ATP、ATO、CI、DCS五部分组成，通常还包含应答器、计轴/轨道电路等降级检测设备作为后备。
- ATS（列车自动监控）：面向行车调度，负责时刻表、进路自动触发、列车识别与跟踪、运行调整、报警与事件记录。它输出的是“运营意图”，不直接参与安全防护。
- ATP（列车自动防护）：安全核心。根据线路数据、临时限速、前车位置计算移动授权（MA），实施超速防护、退行防护、车门与牵引联锁、紧急制动。ATP的输出是“安全许可”。
- ATO（列车自动运行）：在ATP许可范围内做牵引/制动优化，实现站间自动运行、精确停车、车门/站台门联动。ATO是非安全或较低安全等级功能，其指令必须经ATP校验。
- CI（计算机联锁）：负责道岔、信号机、计轴区段的安全联锁，办理进路并锁闭，向ATP/ATS提供区段占用与道岔状态。移动闭塞下CI仍不可缺，因为道岔资源与保护区段仍需联锁保证。
- DCS（数据通信系统）：承载车—地双向连续通信，包括轨旁骨干网、无线接入（LTE/WLAN）、车载无线单元。它提供“通道”，但通常不承担安全功能，需由上层协议做完整性保护。
二、移动闭塞的功能分配逻辑
移动闭塞的本质是：后车的授权终点不再是“前方信号机”，而是前车尾部之后的一段安全距离。这一计算必须由ATP完成，因为它是唯一具备安全完整性要求的计算主体。具体分配可归纳为：
- 位置报告：车载ATP通过应答器校正+测速测距得到列车位置，经DCS周期上报给区域控制器（ZC，属于ATP地面部分）。
- MA计算：ZC汇总线路静态数据、前车位置、进路状态、限速与灾害信息，计算每列车可用的MA终点，并下发车载ATP。
- 执行防护：车载ATP将MA转换为制动曲线，实时监控速度，超限即触发制动。
- 进路与道岔：ATS提出进路请求，CI完成联锁检查并锁闭道岔，ZC据此延伸MA。
- 运行优化：ATO依据MA与时刻表生成速度曲线，但不得越过ATP的防护包络。
三、子系统接口与职责边界
接口是功能分配的落地形式。工程上最需要说清的是“谁给谁什么数据、频率多少、失效时谁负责降级”。以下为典型接口关系：
接口设计中有三个容易出问题的边界。第一，ATS与ZC之间：ATS下发的是进路请求与运营调整命令，ZC必须自行校验其合法性，不能把ATS当作安全输入。第二，CI与ZC之间：CI提供的是“道岔已锁闭、区段空闲”这类安全状态，ZC据此延伸MA，若CI状态刷新延迟，ZC必须按最不利情况收缩MA。第三，ATO与ATP之间：ATO的牵引/制动指令必须被ATP的防护曲线实时裁剪，ATO不得拥有越过MA的能力。
四、功能分配表编制实战
功能分配表不是把子系统名字填进表格，而是要把“功能—执行主体—安全等级—输入—输出—失效后果”逐项对齐。以下给出一份可直接参考的示例（参数为教学假设，非实测数据）：
| 功能项 | 执行主体 | 安全等级 | 关键输入 | 输出 | 失效后果与降级 |
|---|---|---|---|---|---|
| 列车位置确定 | 车载ATP | SIL4 | 应答器校正、测速测距 | 位置报告（含置信区间） | 位置丢失→触发紧急制动并转后备 |
| 移动授权计算 | ZC | SIL4 | 前车位置、进路、限速、灾害 | MA终点与速度限制 | MA计算异常→收缩至安全点 |
| 超速防护与制动 | 车载ATP | SIL4 | MA、制动模型、轮径 | 制动指令 | 超速→常用/紧急制动 |
| 道岔锁闭与进路 | CI | SIL4 | ATS进路请求、区段占用 | 锁闭状态、信号显示 | 锁闭失败→拒绝进路 |
| 站间速度优化 | ATO | SIL2（示例） | MA、时刻表、坡度 | 牵引/制动级位 | ATO退出→人工驾驶，ATP仍防护 |
| 进路自动触发 | ATS | 非安全 | 时刻表、列车识别 | 进路请求 | 失败→人工办理，不影响安全 |
| 车—地数据传输 | DCS | 非安全（通道） | 上层报文 | 透明传输 | 通信中断→列车按MA停车 |
编制时建议按以下顺序推进：先列出移动闭塞运行所必需的全部功能，再逐项判定“该功能失效是否直接危及行车安全”，据此确定安全等级与执行主体；随后为每个功能写出输入来源与输出去向，检查是否存在“安全功能依赖非安全输入”的漏洞；最后补充失效后果与降级策略，确保每条功能都有明确的兜底路径。例如“进路自动触发”由ATS执行且为非安全功能，但其请求必须经CI联锁校验，这样即使ATS误触发，也不会产生不安全进路。
把架构、功能分配与接口边界三者对齐之后，后续的移动闭塞容量计算、危险分析与SIL验证才有稳定的对象基础。功能分配表既是设计输出，也是安全评估的输入证据，应在设计阶段就保持可追溯。