📚 课程目录第4章车-地通信与移动授权生成

4. 车-地通信与移动授权生成

移动闭塞的核心安全逻辑，是让车载设备始终掌握“我能安全走到哪里”。这个“哪里”就是移动授权（Movement Authority，MA），而MA的边界、时限与有效性，完全依赖车-地之间持续、可信的通信。本节围绕无线承载方式、通信会话管理、MA生成逻辑与周期、中断下的安全策略，以及一份可落地的MA报文设计案例展开。

一、无线通信承载方式

CBTC的车-地通信通常采用WLAN（如2.4GHz/5.8GHz频段的802.11系列）或LTE/5G专网作为承载。WLAN方案部署成本低、时延小，但覆盖半径有限（轨旁AP典型覆盖约200～300m），需要沿线密集布设并处理越区切换；LTE/5G专网覆盖连续性好、切换由网络侧统一管理，更适合长大区间与高速线路。工程上常见“WLAN为主、专网为辅”或全线专网的组合。

无论哪种承载，都必须满足CBTC对通信的服务质量约束：端到端时延通常要求单向不超过数百毫秒量级，丢包率与切换中断时间需控制在MA周期可容忍的范围内。承载方式的选择直接决定了MA周期的下限——周期必须大于“最坏情况下的往返通信时延+处理时延”，否则MA尚未送达就已过期。

二、通信会话管理

车-地之间不是“有包就发”的无状态通信，而是建立在会话之上的受控连接。典型过程为：列车唤醒或进入CBTC区域后，车载ATP向区域控制器（ZC）发起注册，携带列车ID、位置、方向、编组等静态与动态信息；ZC完成鉴权与资源检查后建立会话，分配会话标识，并约定心跳周期与MA周期。会话存续期间，双方以周期性心跳维持“在线”状态；会话终止（列车退出、故障、超时）后，ZC立即收回该列车占用的线路资源。

会话管理的关键在于“状态一致性”：车载认为在线、ZC认为离线，是移动闭塞中最危险的失配之一。因此心跳超时判据必须明确，且超时后ZC侧的资源释放与车载侧的降级制动要形成闭环，不能只在一侧动作。

三、移动授权生成逻辑与周期

ZC生成MA的基本逻辑是“从列车当前位置向前搜索，直到第一个不可逾越的障碍”。障碍包括：前方占用区段、未锁闭的道岔、停站列车、限速区段、线路终点等。搜索过程中，ZC结合联锁提供的进路状态、前车位置报告、线路静态数据（坡度、限速）计算出一条连续的可行驶距离，并扣除安全余量（含测距误差、通信时延对应的走行距离）。

MA的周期设计是安全与效率的平衡点。周期过短，通信与处理负荷大；周期过长，MA更新滞后，列车只能以更保守的速度运行。工程上常见MA周期在数百毫秒量级（示例可取300～500ms，具体以系统设计为准）。一个实用的约束是：MA周期 ≥ 通信最坏往返时延 + ZC处理时延 + 车载处理时延，并在此基础上留出裕量。若某线路实测最坏往返时延为180ms、处理时延合计80ms，则周期取400ms可留出约140ms裕量。

MA报文中通常包含：授权终点（位置坐标或区段+偏移）、授权方向、限速曲线、有效期（时间戳+生存期）、会话标识与序列号。序列号用于车载识别乱序或重放报文，时间戳与生存期共同构成“新鲜度”判据——过期MA即使内容正确也不得执行。

四、通信中断下的安全策略

通信中断分两类：短时抖动与持续失联。短时抖动由切换、干扰引起，系统通过重传与心跳容忍窗口吸收；持续失联则触发降级。典型策略是：车载在连续若干个心跳周期未收到有效MA后，判定通信故障，立即施加常用制动直至停车，并向ZC上报状态；ZC侧在心跳超时后将该列车标记为“通信丢失”，冻结其占用资源、禁止向后续列车延伸MA，必要时由ATS介入人工调度。

安全策略必须避免“单侧乐观”：车载因未收到MA而停车，但ZC仍认为该车在线并继续放行后车，是典型危险场景。设计评审时应专门检查心跳超时判据在两侧的一致性，以及超时后资源回收的时序。

五、移动授权报文设计案例

以下为一份教学示例报文结构（字段与取值均为合理假设，用于说明设计方法，非实测数据）：

MA_Message {
  session_id   : "TRN-0217-S03"   // 会话标识
  seq_no       : 10457            // 序列号，单调递增
  timestamp    : 1723456800120    // 生成时刻(ms)
  valid_for    : 600              // 生存期(ms)
  direction    : "UP"             // 授权方向
  ma_end       : {chainage: 12840, offset: 0}  // 授权终点
  speed_profile: [{d:0, v:22},{d:300, v:18},{d:650, v:0}]
  reason_code  : "OCCUPIED_AHEAD" // 限制原因
}

车载收到报文后依次校验：会话标识是否匹配、序列号是否大于上次、时间戳+生存期是否未过期、授权终点是否在合理范围内。任一校验失败即丢弃该报文并按“无有效MA”处理。这套“标识—序号—时效—范围”四重校验，是防止错误MA被执行的最后一道软件防线，也是安全评估中需要重点论证的失效防护措施。