2. ATO系统架构与功能分配
理解ATO，不能只把它当成“自动开车的模块”，而要把它看成一套跨越车载与地面、嵌入CBTC整体控制链的分布式系统。ATO本身不直接决定列车是否安全，它负责在ATP给出的安全边界内，把“怎么开得更平稳、更准、更省”落实为牵引和制动的具体指令。因此，本节的核心是搞清楚三件事：ATO由哪些设备组成、这些设备各自承担什么功能、以及ATO如何与ATP、ATS、联锁协同工作。
一、ATO的物理组成：车载为主、地面为辅
ATO的功能实现主要依赖车载设备，地面设备提供运行计划与部分线路数据支撑。典型组成如下：
- ATO车载控制器（ATO CC）：核心计算单元，通常与ATP车载控制器共机架或作为独立板卡集成，负责生成牵引/制动指令、执行站台精确停车算法、管理车门与站台门的联动时序。
- 测速定位与停车点校准单元：ATO依赖ATP提供的列车位置与速度，同时通过应答器、雷达或测速电机获得停车点校准信息，用于消除轮径磨损带来的累积误差。
- 车辆接口单元：将ATO输出的数字指令转换为车辆可接受的牵引级位、制动级位、开门使能等信号，并回采车辆状态（牵引/制动反馈、车门状态）。
- 人机接口（HMI）与模式选择：司机或调度通过HMI选择ATO模式、监控自动驾驶状态、处理降级提示。
- 地面ATO设备：通常集成在ATS或区域控制器中，负责向车载ATO下发运行计划（停站时间、区间运行等级、跳停/扣车指令），并接收车载ATO上传的运行实绩。
需要强调：ATO不拥有安全制动权限。它的所有输出都必须经过ATP的监督与限速约束，一旦超出安全包络，ATP会直接施加制动，ATO指令被旁路。
二、功能划分：ATO、ATP、ATS、联锁各管什么
四者的职责边界可以用“计划—安全—执行—资源”四个维度来理解：
| 子系统 | 核心职责 | 与ATO的关系 |
|---|---|---|
| ATS | 生成并下发运行计划、监控全线列车运行、处理调度调整 | 向ATO提供“开多快、停多久、是否跳停”的计划输入 |
| ATP | 计算安全制动曲线、监督超速、防护移动授权 | 为ATO划定“能开多快、能到哪里”的安全边界 |
| ATO | 在ATP边界内生成最优牵引/制动指令、实现精准停车与车门联动 | 执行层，把计划转化为车辆动作 |
| 联锁 | 管理道岔、信号机、进路与站台门状态 | 为ATO提供进路开放、站台门状态等条件信息 |
这里最容易混淆的是ATO与ATP的分工。可以这样记：ATP回答“安不安全”，ATO回答“舒不舒适、准不准”。例如区间运行时，ATP给出当前允许速度曲线，ATO在此基础上做平滑的速度规划，避免频繁加减速；进站停车时，ATP保证列车不会越过安全停车点，ATO则负责把停车误差控制在±0.3m甚至±0.1m量级（具体指标依项目而定，此处为示例性描述）。
三、接口关系与协同逻辑
ATO的接口可分为四类：与ATS的计划接口、与ATP的安全监督接口、与车辆的牵引制动接口、与联锁/站台门的状态接口。其协同逻辑可以概括为一条“计划下行、状态上行、安全兜底”的闭环链路。下图展示了这一架构与信息流向：
从图中可以看出，ATO处在“计划层”与“执行层”之间：向上接收ATS的运行计划，向下通过车辆接口驱动列车，同时横向接受ATP的安全监督和联锁的条件约束。任何一条上行或下行链路中断，ATO都应进入降级或退出模式，由ATP保障安全、由司机或调度接管。
四、协同逻辑中的关键时序
以站台精确停车为例，协同过程大致如下：列车进入站台区域后，ATP持续更新移动授权和限速；ATO根据站台停车点坐标与当前速度，计算制动曲线并输出制动级位；当列车速度降至接近零时，ATO通过测速定位单元校准停车位置，微调制动力；停稳后，ATO向车辆接口发出开门使能，同时确认联锁反馈的站台门状态，满足条件后触发开门。整个过程ATP始终监督列车不越过安全停车点，一旦ATO计算异常导致越限，ATP立即施加紧急制动。
五、小结：架构理解的价值
掌握ATO的架构与功能分配，实际意义在于：当自动驾驶出现停车偏差、车门不联动或模式无法激活时，能够沿着“计划—安全—执行—资源”的链路快速定位问题所属的子系统，而不是笼统地归因于“ATO故障”。这也是后续学习精准停车算法与降级处理逻辑的基础。