2. CTCS-3级列控系统架构与接口关系

CTCS-3级列控系统是在CTCS-2级基础上叠加无线闭塞中心（RBC）构成的列车运行控制系统，采用GSM-R无线通信实现车地双向信息传输，以应答器提供列车定位基准，实现时速300～350km/h线路的移动闭塞或准移动闭塞控制。理解CTCS-3的关键，不在于记住设备清单，而在于厘清各核心设备"谁负责什么判断、谁向谁提供什么信息、接口按什么协议传输、失效时如何降级"。本节围绕RBC、TCC、联锁、车载ATP四类核心设备展开功能分工与接口拓扑分析。

一、核心设备的功能边界

无线闭塞中心（RBC）是CTCS-3的地面核心安全设备，承担"为管辖范围内每列装备ATP的列车生成行车许可（MA）"的职责。RBC接收联锁提供的进路状态、区段占用信息，接收TCC提供的轨道电路占用与信号显示状态，结合列车位置报告，按固定闭塞或移动闭塞原则计算MA，并通过GSM-R无线链路以RBC-ATP安全协议发送给车载设备。RBC同时管理列车注册/注销、位置报告周期、通信会话保持等逻辑。

列车控制中心（TCC）是CTCS-2级的地面核心，在CTCS-3中仍承担轨道电路编码、应答器报文生成与有源应答器控制、临时限速管理等功能。TCC向RBC提供轨道区段占用状态和信号机状态，是RBC判断线路空闲的重要来源之一；同时TCC通过应答器向车载ATP提供线路固定数据和临时限速。

计算机联锁（CBI）负责道岔、信号机、进路的联锁逻辑，保证进路建立、锁闭、解锁的安全。联锁向RBC提供进路状态（进路已建立、锁闭、信号开放等），RBC据此确定MA的终点；联锁与TCC之间交换信号显示和区段状态。

车载ATP是车上的安全计算机，负责接收RBC的MA、应答器的线路数据、TCC的临时限速，结合测速测距生成制动曲线，监控列车运行，超速时触发常用制动或紧急制动。车载ATP通过GSM-R与RBC建立安全连接，通过应答器天线读取地面报文，通过速度传感器和雷达测速定位。

二、系统接口拓扑与协议归属

CTCS-3的接口可按"安全相关/非安全相关"和"有线/无线"两个维度划分。安全相关接口必须满足铁路信号安全完整性等级要求，通常按SIL4设计；非安全相关接口用于维护、监测和诊断。下图给出核心设备间的接口拓扑及协议归属。

三、接口协议与安全等级的工程含义

上图中所有标注为SIL4的接口，其工程含义是：接口传输的错误不得导致危险侧输出，即不能因通信错误而使列车获得比实际更宽松的MA。以RBC-ATP接口为例，RBC-ATP安全协议在应用层采用序列号、时间戳、安全码（MAC）等机制，接收方对每条消息进行完整性校验和时效性判断，校验失败或超时则丢弃消息并进入安全侧处理——车载ATP在无法获得有效MA时，按降级策略输出制动。工程实施中，RBC与ATP的通信会话需要经过"建立连接—注册—位置报告—MA更新"的完整握手，任一环节中断都会触发通信超时监督。

RBC与联锁之间的接口同样按SIL4设计，通常采用专用安全通信协议（如基于以太网的安全层协议），传输进路请求、进路状态、信号开放状态等。工程上需要关注的是接口的"请求—应答"配对关系：RBC请求某条进路的状态，联锁应答该进路的锁闭与信号开放情况，RBC据此确定MA终点。若联锁应答超时或状态不一致，RBC应将MA回缩至安全位置。

TCC与RBC之间的接口传递轨道区段占用状态和信号机状态，是RBC判断线路空闲的依据之一。TCC与应答器之间的接口则负责将线路固定数据和临时限速写入有源应答器，供车载ATP读取。应答器接口虽然传输的是"报文"，但其内容直接影响ATP的线路模型和限速曲线，因此按安全相关处理。

四、典型接口故障的降级逻辑

理解接口关系最有效的方式之一，是看接口失效时系统如何降级。以下按接口逐一说明：

• RBC-ATP无线链路中断：车载ATP在通信超时后判定失去RBC连接，若列车仍能读取应答器且处于CTCS-2覆盖区，则降级为CTCS-2级运行；否则触发制动停车。工程上需检查GSM-R场强覆盖、RBC通信端口状态和车载无线模块。
• RBC-联锁接口故障：RBC无法获得进路状态，已建立的MA应回缩，新进路无法生成MA，列车在RBC管辖边界前停车或降级。排查重点为安全通信协议层的心跳与序列号连续性。
• TCC-应答器接口故障：有源应答器无法更新报文，车载ATP读取到默认报文或旧报文，临时限速可能丢失。此时应通过TCC维护终端查看应答器报文下发日志和应答器状态。
• 联锁-TCC接口故障：信号显示与区段状态不一致，TCC编码可能错误，影响CTCS-2级后备模式。需核对联锁与TCC的接口变量表。

五、工程配置中的接口核对要点

在实际工程配置中，接口关系的落地体现为一张"接口变量表"：每个接口方向、每个变量名、数据类型、刷新周期、安全等级、失效默认值都需要明确。以RBC-联锁接口为例，典型变量包括进路号、进路状态（建立/锁闭/解锁）、信号机状态（开放/关闭）、区段占用标志等。配置时应保证双方变量表逐项对应，刷新周期一致，失效默认值取安全侧（如"占用"或"关闭"）。

示例：RBC-联锁接口变量核对（教学示例，非实测数据）
变量名            方向        类型     周期    失效默认值
route_id          RBC→CBI    INT16    100ms   —
route_state       CBI→RBC    ENUM     100ms   未建立
signal_aspect     CBI→RBC    ENUM     100ms   关闭
section_occupied  CBI→RBC    BOOL     100ms   TRUE（占用）
ma_end_request    RBC→CBI    INT16    100ms   —

核对时重点检查三处：一是方向是否与拓扑图一致，避免把"请求"和"应答"配反；二是失效默认值是否取安全侧，例如区段占用默认TRUE、信号默认关闭；三是刷新周期是否满足MA更新时限要求。完成变量表核对后，还应通过接口仿真或联调试验验证：模拟联锁侧进路状态变化，观察RBC是否在规定周期内更新MA；模拟通信中断，观察ATP是否正确降级。

综上，CTCS-3的架构本质是"RBC集中生成MA、联锁提供进路、TCC提供区段与限速、ATP执行监控"的分工体系，接口的安全等级由其对MA正确性的影响决定。掌握接口拓扑、协议归属与降级逻辑，是后续进行接口配置、联调试验和故障分析的基础。