4. RBC与外部系统的接口关系
无线闭塞中心（RBC）是CTCS-3级列控系统的地面核心，但它本身并不"独揽"所有安全决策。RBC的价值恰恰体现在它作为"信息汇聚与行车许可生成中枢"，通过一组定义清晰的接口与外部系统交换安全数据和非安全数据。理解这些接口的协议、信息流方向以及故障时的降级策略，是RBC应用与维护的基础。本节按接口对象逐一展开，并在最后给出接口故障时的整体降级思路。
一、RBC与计算机联锁（CBI）接口
RBC与联锁的接口是安全关键接口，通常采用冗余以太网连接，应用层协议多基于EN 50159安全通信规范（如RSSP-I/RSSP-II安全层）。信息流方向是双向的：联锁向RBC发送进路状态、道岔位置、信号机状态、区段占用/空闲等轨道电路信息；RBC向联锁发送列车位置报告确认、列车占用请求等信息。RBC正是依据联锁提供的区段占用与进路锁闭状态，结合列车位置报告，才能生成正确的行车许可（MA）。
实际配置中，一个RBC通常与多个联锁（不同车站或区域）建立接口，接口数量与管辖范围相关。例如某RBC管辖3个车站联锁，则需配置3组独立的联锁通信通道，每组通道均采用双网冗余。接口故障时，RBC无法获取该联锁管辖区域的区段占用状态，安全策略是：对受影响区域内的列车，RBC将不生成新的行车许可，已发出的MA在列车越过下一个危险点前保持有效，随后列车按降级模式（如引导模式或人工授权）运行。
二、RBC与调度集中（CTC）接口
RBC与CTC的接口属于非安全接口，主要传递调度指挥信息：CTC向RBC下发临时限速调度命令、列车运行调整指令、RBC管辖范围切换指令等；RBC向CTC上送列车位置、速度、MA状态、接口告警等运行状态信息。该接口通常采用标准通信协议（如基于TCP/IP的应用层协议），不参与安全完整性等级（SIL）认证，但信息准确性直接影响调度效率。
接口故障时，CTC无法向RBC下发新的调度命令，RBC也无法向CTC上送列车状态。降级策略是：RBC维持当前已生效的限速和MA，调度员改用电话与司机、车站值班员联系，通过人工方式传递调度命令；同时RBC本地记录故障告警，待接口恢复后补传状态数据。需要注意的是，CTC接口故障不影响RBC的安全功能，列车仍可正常接收MA运行。
三、RBC与临时限速服务器（TSRS）接口
TSRS是临时限速命令的集中管理者，RBC与TSRS之间的接口传递临时限速（TSR）信息。TSRS将调度员下达的临时限速命令（含限速值、起止里程、有效时间、命令号）下发给相关RBC，RBC将其纳入MA计算，确保列车在限速区段前减速。该接口同样是安全相关接口，需满足安全通信要求。
接口故障时，RBC无法接收新的临时限速命令。安全策略是：RBC对已接收并生效的TSR继续执行，不因接口故障而撤销；对于故障期间新下达的限速命令，TSRS侧缓存并在接口恢复后重发，RBC收到后按命令时间戳判断有效性。若故障持续时间较长，调度员需评估是否通过其他方式（如人工限速牌、口头命令）补充控制。
四、RBC与相邻RBC接口
当列车运行跨越RBC管辖边界时，相邻RBC之间需要交换列车位置报告、MA交接信息。接口协议通常采用RBC间安全通信协议，信息流包括：移交RBC向接收RBC发送列车位置和速度，接收RBC确认接管后向移交RBC返回确认，移交RBC随后释放该列车资源。这一过程称为"RBC切换"。
接口故障时，RBC切换无法正常完成。降级策略是：列车在边界前停车，由调度员协调两个RBC管辖区域，采用人工方式完成交接（如电话确认列车位置后，接收RBC人工生成MA）。部分系统支持"降级切换"模式，即列车以较低速度（如40km/h）越过边界，接收RBC在确认列车位置后接管。
五、RBC与车载ATP及GSM-R网络接口
RBC与车载ATP之间的接口通过GSM-R无线网络承载，是CTCS-3的核心无线闭环。信息流为：车载ATP通过GSM-R向RBC发送位置报告（含列车位置、速度、完整性状态），RBC向车载ATP发送MA、线路参数、临时限速等信息。GSM-R网络提供无线信道，RBC与车载ATP之间的应用层协议遵循CTCS-3无线通信协议（如基于Subset-037的安全通信）。
该链路故障时，车载ATP在设定时间内（通常数秒）未收到RBC的有效消息，将触发降级：列车从CTCS-3级降至CTCS-2级运行（若装备C2），或按目视行车模式运行。RBC侧则记录通信超时告警，并在列车重新建立连接后恢复MA发送。GSM-R网络本身的故障（如基站退服）会导致覆盖区域内的多列车同时降级，此时调度员需启动应急预案，降低行车密度。
六、接口故障时的整体降级策略
把上述接口放在一起看，RBC的降级策略遵循一条基本原则：安全相关接口故障时，宁可降低效率也不降低安全裕度；非安全接口故障时，维持安全功能，牺牲调度便利性。具体可按故障影响面分为三个层级。
第一层：单接口故障。如CTC接口中断，RBC安全功能不受影响，列车继续按MA运行，调度员改用电话指挥。此时无需降级列车控制等级，仅需记录告警并通知维护。
第二层：安全接口故障但影响局部。如某组联锁通道故障，RBC对该联锁管辖区域停止生成新MA，受影响列车在当前位置停车或按引导模式运行。RBC对其他正常联锁区域的服务不受影响，体现"故障隔离"设计。
第三层：无线链路或RBC本体故障。车载ATP与RBC通信超时，列车自动降级至CTCS-2级或目视模式；若RBC整机故障，则由备用RBC接管（热备冗余），或由调度员启动降级运行预案，降低行车密度、改用电话闭塞法。
在实际运维中，建议建立接口故障台账，记录每次故障的接口对象、故障现象、降级措施、恢复时间和影响列车数。例如某次TSRS接口中断持续12分钟，RBC对已生效的3条临时限速继续执行，故障期间新下达的2条限速命令由TSRS缓存并在恢复后重发，RBC按时间戳校验后生效，全程未影响列车正常运行。这类记录既是故障分析的依据，也是验证降级策略有效性的实证材料。