基于高完整性和高可靠性的列车控制

系统的GNSS和里程计融合

作者介绍

Alessandro NERI是罗马第三大学工程系电信方面的教授。1977年，他获得有着“智慧”称号的罗马大学电子工程专业的博士学位；他在1978年加入Contraves Italiana公司，在那里获得了在雷达信号处理领域的专业知识，并在应用检测与估计理论的研究与发展部，成为先进的系统组的首席。他在1987以信号与信息理论的副教授的身份加入了“罗马智慧”大学的信息通信部。1992年11月，他成为了罗马第三大学电气通信电子工程系副教授，并于2001年9月成为电信教授。他的研究活动主要集中在信息理论、信号理论、信号和图像处理、定位和导航技术等方面，并将其应用到电信系统和遥感。自2008十二月起，Neri教授的radiolabs财团的总裁，这个财团是一个非营利性研究中心，创建于2001年，主要是推广应用研究项目的大学和产业之间的紧密合作。

Salvatore SABINA是在安萨尔多卫星计划的项目经理，他负责基于卫星的位置定位系统的开发。1983他获得了比萨大学电子工程博士学位。他在1985加入塞列尼亚Spazio公司，在那里他获得了在特定的错误代码专业领域的研究和开发部门，TDMA技术和扩频卫星应用的这些领域的专业知识。他在1987作为模拟和数字硬件设计师加入telettra S.p.A.的遥操作部门，在那里他获得了对实时应用和现场总线协议的广泛经验。1988三月，他加入了比萨盈得系统公司，在那里他担任许多ESA项目项目经理，承担硬实时内核开发的责任和相关应用的开发。从1995到1997，他还担任许多欧盟HPCN项目技术评审。从1996到1998，他在比萨大学电子工程系教授系统课程。在1999，他加入了Ansaldo Segnalamento Ferroviario的负责产品开发，系统成分和组件的开发的部门。然后，在Ansaldo STS，他负责标准的架构和组件。

Umberto mascia是项目经理和拥有近20年专业经验的软件工程师，获得了信息与通信工程的博士学位。他在软件设计和开发方面有着丰富的经验，特别是在嵌入式和电信系统的领域，以及在同一系统的仿真中。他领导的团队参与了在卫星应用，电信，汽车，环境监测等新产品的创造。他在2010加入radiolabs财团，旨在定义一种基于GNSS的列车定位系统的启动程序（全球导航卫星系统），符合要求的高精度和可靠性的铁路标准。在此背景下，他是团队的领导者，致力于列车定位的课题。主要任务是分析，设计和开发的系统，以及一个软件仿真工具的设计和实现。

摘要

为了达到像ERTMS/ETCS现代列车控制系统安全性等级的要求，而不影响系统可用性，多路径和干扰仍是一项具有挑战性的任务。如果采用基于位置测定系统的GNSS，局部误差产生误差的风险会减小。

在这里，我们通过利用高数量的GNSS接收器提供的位置估计再对比ERTMS / ETCS有效的要求，在保证系统可用的基础上，设计一种GNSS 和里程计融合的子系统，使得ERTMS / ETCS满足sil-4容许的危险率的要求，同时保持系统的可用性。

在这个目标，在某个瞬间的列车位置估计可以通过结合GNSS的多次评估与里程计给的火车的行驶，采用与中值滤波相结合的方法得到。

本文详细描述了整个GNSS和里程计融合算法。实验是基于记录在铁路试验床环境部署在意大利的ESA阿特斯20 3insat项目框架数据的实验结果，说明该实验的可行性。

关键字

列控 GNSS 卫星定位系统 ERTMS/ETCS

Ⅰ简介

在过去的十年中，贯穿于安全的运输系统，为其设计的GNSS系统本质上是针对航空业。最近，服务于铁路部门的GNSS导航系统已经引起了研究人员、全球导航卫星系统的机构（即GSA：欧洲GNSS机构）、铁路利益相关者和监管机构的关注。

事实上，基于GNSS定位系统（LDS）已被确定为现代列车控制系统采用的新技术，如美国积极列车控制（PTC）和欧洲铁路交通管理系统/欧洲列车控制系统（ERTMS / ETCS），甚至为当地、整体区域和货运路线提供了具有成本效益的解决方案，这些地区采用传统技术的高速列车是不能保证经济的可持续发展。

目前，在ERTMS中，列车的位置和速度是通过在车轮旋转的里程计来计算。为了限制漂移误差的影响（误差差生的原因，例如，理论和实际车轮半径，滑行，滑动等的差异），采用电子模块即应答器，部署在地理参考点的铁路钢轨之间。当火车经过一个应答器，里程计的里程就会被设置为应答器名义上的里程，然后重置里程计累积的误差。

在连续的应答器的距离设定以这样的一种方式，总里程误差，包括漂移在内，不超过置信区间（相当于航空环境保护），这个概率是安全完整性等级（SIL）的功能要求（一般为10-9 /小时sil-4）。在实践中，平均距离为2公里，适用于在欧洲高达300公里/小时快速列车。

事实上，和应答器相关的资本和运营成本太高，仅能被应用于快速列车线路。

为了加快基于列车定位GNSS的运行，在ERTMS / ETCS，虚拟应答器的概念已经被引入。在本质上，通过一个虚拟应答器来取代实体的，是可以被基于GNSS的列车位置估计和由sil-4里程计提供增量相结合检测到。当火车经过虚拟应答器，列车定位系统的接口输出的信号和实体应答器接口产生的信号相同的。

其实，时间差是列车通过下一个虚拟应答器被估计出的，是由最新的GNSS PVT估计与相应时间点的里程增量相结合计算得出的。

由几个研究项目的结果证明，由欧盟和欧空局的资助，如欧空局阿特斯20 3insat项目，创建者可参与，通过最苛刻的ETCS局面所需要的可容忍的风险率（THR）是相当具有挑战性的（THR < 10-9 [危险/小时]），所以，这个要求是不可能很容易地通过一个单一的GNSS LDS来实现，即使采用大面积的完整性监控系统（例如，WAAS，EGNOS）也不一定能实现。事实上，采用先进RAIM技术虽然能降低THR，但是生产系统的可用性也大幅下降。

然而，同样是在[ 1 ]提出了结合广播消息不超时，每个GNSS PVT在任何时刻的估计都是依据早先的应答器的检测，而里程增量的更新也是在那个时刻的瞬间进行的，还要确保不同应答器的检测是无记忆的这个要求。与[ 1 ]的主要区别是可以采用不同的估计的数量更高。事实上，列车运行速度为300公里/小时，内部应答器的距离为2公里，和一个用10HZ PVT率GNSS LDS，大约240种不同的估计方法可。当列车速度降低时，这个数字甚至更高。

在这里，我们利用铁路环境中这一固有的高冗余特征来设计一种GNSS 和里程计融合的子系统，它能满足sil-4THR的所有关于估计的要求，而不影响系统的可用性。

这种联合处理的理论来源于以下事实。一方面，虽然星历和卫星钟误差、电离层和对流层延迟的增量带来的相关危害，可以通过增强网络和多频接收机来减轻，多径仍然代表了一种在铁路电磁环境的主要危险源，特别是在火车站附近。另一方面，大量的在距离一个数量大于GNSS信号波长量级的电磁观测，可以有效地过滤掉离群值，然后降低误差的概率密度函数的尾巴。

在这篇文章中，使用加权中值滤波器去有效地融合所有这些估计是被认真思考过的。因为影响个体估计的估计误差无法被认为是独立同分布（例如，可见光卫星可能突然变化，因近自然和人工障碍，随时间增加的里程计误差方差），所以才考虑用加权中值滤波器去替代经典中值滤波器。

特别是，在第一次调查中，运用中值滤波器后，权重和输入的数据的方差成反比（计算机网络基础上的GNSS PVT和里程计误差协方差）。它们的性能和权重被考虑进数据的中值滤波器的性能额通过RAIM算法模块进行比较，如用于每个PVT计算卫星的伪距残差向量的范数的大小。

本文详细描述了整个GNSS和里程计融合算法。在一定防护等级的基础上进行的性能估计。THR和可用性的分析模型和Monte Carlo模拟利用数据，这些数据是在铁路试验床环境部署在意大利的ESA ARTES 20 3InSat项目和the European Union Horizon 2020 Galileo- 2014-1 ERSAT EAV项目提供。

本文的结构如下。在第二节中，虚拟应答器的概念说明。在第三节中，我们描述了通过GNSS技术来确定列车位置的基本的参考架构。第四节和第五节致力于GNSS和里程计的误差模型。第六部分，对基于GNSS的定位和测距估计融合算法的描述。第七部分，根据实验结果说明了可实现的性能。最后，得出结论。

Ⅱ虚拟应答器的概念（国际铁路联盟提出了基于GNSS技术的虚拟应答器的概念，采用GNSS组合定位来代替欧洲应答，基于GNSS的虚拟应答器可以减少实际应答器明显降低设备成本和维护费用，并且可以精确地提供列车连续定位信息，增加系统定位的准确性）

ERTMS / ETCS的列车定位是基于物理转发器，即应答器，安装在轨道上。

当列车通过一个应答器时，安装在列车枕木上的应答器传输模块（BTM），检测到这个活动；提取到应答器发送的用户数据，还有一些其他的信息，应答器的独特的标识；设置里程计标记的数据的时间；还能通过一个专用的移动网络（GSM-R），使用安全协议将数据发送给RBC。

RBC处理接收到的信息，并将处理后的信息发送回列车上的一个叫MA的系统，这些信息包含列车允许移动到一个特定的位置与监督的速度。

如图2所示，在ERTMS L2的列车在枕木上的位置和速度是通过里程计估计的，它依赖于轨道沿线部署了应答器，作为参考点，定期重置累积误差。特别是，该应答器能从LRBG确定列车的绝对位置和里程计估计的相关距离。

为了加快和简化的GNSS技术整合到ERTMS/ETCS，虚拟应答器的概念被引入。

实际上，基于GNSS的列车定位单元可以估计列车将经过下一个虚拟应答器的距离，并设置一个定时器。然后，当定时器失效时，通过相同的逻辑和物理接口，在GNSS的列车定位单元的输出端产生和BTM检测到的物理应答器产生相同的信号，；然后列车设备效仿BTM的行为。

在这样的列车上，ERTMS / ETCS定位功能不需要改变。

Ⅲ系统的体系结构

该体系结构能够满足SIL-4的设计要求，从风险分析和选择有效手段来说，能够减轻危害事件的影响。

在这一目标，我们记得，相比于机场，铁路网络分布在非常大的区域，因此卫星的影响和星座的缺点（如时钟径流，星历故障，信号失真，星座旋转…）可以借助SBASs减轻，如WAAS，EGNOS，以及广域差分GNSS（wadgnss）。

网路的扩充还能有效的缓解由电离层风暴造成的危害，每当测距和完整性监测站密度足够支持差分GNSS。

原则上来说，在OBU中采用双频GNSS接收机也能减轻电离层风暴造成的危害。但是和采用物理应答器相比较，它的成本费用太高，所以不予采用。这种情况在未来可能会改变。

另一方面，ESA ARTES20 3INSAT这个项目也证实了采用至少2个极广泛的星座来满足完整性的要求，要比采用一个的成本费用更高。

再者，相比使用单一的星座，大量星座的使用也使得列车位置置信区间更加有限。能精确定位的列车，也会对密集运输有一个安全的管理，随着旅客的增多，收入也会增加。

因此，我们可以设想，未来十年火车上的接收器和广泛的系统会开发使用大量的星座和改善测距和完整性监测站的算法，就如同航空电子设备发展的一样。

WAAS和EGNOS的大量星座升级已经被写入当前的时间表，但是短时间内，利用GNSS来激活ERTMS/ETCS服从系统不能抱太大的希望。另一方面，商业性质的WADGNSS是不能提供完整性服务的。

因此，从文献2中，我们学习到一个两层的的扩大和完整监督体系。第一层主要由目前的SBAS系统（例如WAAS，EGNOS）提供完整的监控服务，可以和一些特殊的应用一起用于铁路。第二层由一个区域的WADGNSSs联和组成，各由一套多星座范围和完整性监测站（RIMS）分布在采用GNSS技术的铁路网的地区，控制中心处理设施监控的完整性。GNSS SIS和第二级网络，共同计算局部区域增强数据，处理第一层的输入和第二层的边缘数据。

两层体系结构的详细描述和铁路应用预期业绩都可以在文献[ 2 ]中找到。

另一方面，多径效应，故意和非故意的干扰，和网络攻击等造成的位置危害是不能通过增强网络减轻的。

此外，位置危害的预期效果比在航空电子设备的情况下更加重要。事实上，多径比成熟的飞机上的GNSS接收机的存在条件更加苛刻，特别是在城市地区，建筑可以完全阻断某些卫星信号，只有SIS发射的信号能被接收到。另一方面，事实上，列车的运行轨迹是提前知道的，所以可以利用这方面的知识去详细的计划网络攻击。

ⅣGNSS系统误差模型

无论是在差分还是相对定位模式下，这个车载单元的GNSS接收机都可以运行。这里，为了紧凑性，我们聚焦于这差分模型。基于双差分方程的相对定位模式的细节可以在文献3中了解。

正如文献4和2中详细说明的， 基于卫星伪距的TK时刻的里程估计可以按如下式子计算

satellite pseudoranges 卫星伪距

S是火车里程的初值，并且 线性系统给出的加权最小二乘估计

公式2

是车载单元的差分伪距矢量，有增强系统提供的差分纠正量 用在如下公式中

公式3

Kgnss 是增益矩阵

公式4

Hobu是NSat×4的观测矩阵：相关的无约束解为

公式5

Eobu 是雅克比矩阵，由卫星监测到的伪距线的方向倒数的行单位向量eobu构成

公式6

D是tK时刻铁路轨道切线的方向余弦矩阵，

公式7

Rv是伪距测量噪声的协方差矩阵

跟随参考文献5，我们假定在距离测量中存在偏差。这个系统是在他们最糟糕的分布下设计的。因此用bsal表示测量伪距的偏差的数组，里程估计误差是通过高斯随机变量与幅度的平均值给出

公式8

另外，里程数s 估计的方差由公式9得出

公式9

Doppler shift 多普勒频移

satellite 卫星

由GNSS接收器测量的i-th卫星的多普勒频移有两个方面作用，一个是正比于i-th卫星的速度径向分量，另一个是正比于火车速度的径向分量

公式10

Fp是这个载波频率

因此，火车速度的加权最小二乘估计 Vgnss由线性系统给出

公式11

公式12

Kgnss是增益矩阵：

公式13

Rfd是多普勒测量噪声的协方差矩阵。

另外，列车速度估计的方差按如下式子计算：

公式14

Ⅴ里程计的误差模型

这里的轨道里程计是用来感知轮轴转动并且处理这个过程的装置，以得到对火车运行速度和距离的估计。

更详细的说，每次旋转增量等于角度量化的步长△QOD时，测量单元发送一个计数脉冲。NOD是里程计测量轮轴转动产生的脉冲个数，ROD是编码器的最小因子，所以里程计角度量化的步长是：

15

所以，在转动的情况下里程计数字计数器在tk时刻的COD（tk）为：

16

其中RW是车轮的半径，s（tk）是轮轴在tk时刻行驶的英里数，︱·︱是均匀量子化算子用来提供数据的整数部分，nOD（tk）是测量噪声。

因此，有里程计测量的里程(tk)与里程计的数字计数器COD(tk)关系如下：

17

因此，在轮轴接触良好不打滑的情况下，测量的里程计英里数可以写成：

18

其中nOD(tk)是测量噪声，包括量化效应。

类似的，火车的速度可以通过计算车轮的角速度得到，角速度是旋转轴速度对时间的导数:

19

在实际中，将导数近似为一阶差分,所以实际角速度为：

20

因此，用(tk)表示实际的角速度，有里程计的测量值(tk)可以写成：

21

其中(tk)是角速度的测量噪声。

在转动情况下，车轮的线速度是：

22

实际上，为了计算车轮线速度，车轮半径用标称值表示：

23

但是，当接触不好，打滑不可忽视时，车轮线速度测量值方程为：

24

其中(t)是模型中由接触不良造成打滑产生的随机数据。实际上，在制动过程中可能会出现一个或多个车轮失去与轨道接触和旋转。在这种情况下，通常称为严格意义上的滑动。(t)是正值。另一方面在火车加速时，施加一个牵引力会使一个或多个牵引驱动轮失去与轨道接触和旋转。这种情况通常称为移滑， (t)是负值。

在过去的十年里，在车轮滑动保护和防滑设备方面做了很多努力。WSP动态地调整制动转矩，将这种方法应用到每一个轮轴上，采用这种方法可使轮轴滑动保持在一个最优的区间。同样，防滑系统调节牵引转矩采用这种方法可使轮轴滑动保持在可以接受的范围。另外，利用动力学模型对里程计的滑动和滑动效应的读数进行补偿，可以提高速度估计的准确性。

在此，我们假设模型的测量速度(tk)由增强的里程计提供如下：

25

其中(tk)是零均值协方差函数的窄带高斯过程， (t)

图2是强化里程计输出的火车速度与火车对地面真实速度的对比。为了比较，由GPS接收机提供的处理多普勒测量估计的速度同样显示。通过查看图3的正态概率分布，可以很容易的确定由滑动引起的高斯模型对测量误差的有效性（此外，我们试想，在这种表现形式下用这样的方式绘制样本图，当数据应用高斯特性则得到的图象是一条直线）。

如图四所示，在制动过程中，发现由滑动引起测量误差的相似之处。这写成意味着里程计的里程测量可以写成如下形式：

26

其中

27 (tk)

是一个零均值协方差的高斯随机过程。

28

29 (tk)

作为一个维纳随机过程协方差的样本。

实际上，

30

从式26可知，距离的测量方程△S(th, tk),火车运行时间段[th, tk]

Ⅵ GNSS和里程计的融合

由GNSS基于LDS在th,时刻提供火车的里程数，由里程计提供在时间段[th, tk]估计火车行驶路程△( th, tk)，根据GNSS在th时刻的估计，火车在tk时刻运行的英里数( tk；th)可以计算如下：

35

由式（35）可知，估计误差的预期值( tk)是

36

( tk；th)的方差是：

37

关于( tk；th)防护等级的计算，我们回想有关GNSS估计( th)防护等级估计提到的几种方法，从基于斜率的算法到溶液分离算法。

为了是全文紧凑，我们在此说明关于利用溶液分离算法的( tk；th)防护等级的计算。而且，基于斜率算法也可以采用同样的过程。

在通常情况下，可以用式36给出(th)均值和式37给出方差( tk；th) 的高斯随机变量代替无故障整体估计(tk)，防护等级PL0( tk；th)的计算公式如下：

38

其中

39 Kmd,0=(),

是无故障情况下的可允许风险的概率，NDec是在运行的1小时内的独立估计的数目。Q是一个单位方差零均值随机变量的累积分布函数。

另一方面，如果考虑卫星故障的第n个子集，通过删除矩阵中第n子集故障卫星对应的所有行得到，利用矩阵代替由4式给出的增益计算公式中的，进而可以将估计计算出来。

此时，GNSS估计的方差如下：

40

因此，估计值可以用均值，方差( tk；th)如下

（Therefore, the estimate can be overbounded by a Gaussian random variable with mean and variance ( tk；th) given by）：

41

所以，防护等级计算如下：

42

其中，是分配给第n个故障子集的允许风险概率，是第n个卫星故障的先验概率。

此时，防护等级的计算式如下：

43

然而，正如引言中的观察，改变th的值会得到不同的估计。由于里程计对列车运行距离的估计随着运行的时间增加而变大，如果GNSS估计有同样的精度，将优先采用GNSS最新估计的值。

但是由于GNSS估计的精度受到卫星能见度、信噪比、多路径及快速变化等因素强烈影响，结果先前的估计比最近的估计方差更小。

原则上讲，我们应该选择方差关于th最小的估计( tk；th)。然而，在SIL-4的方案设计中，主要范围是无法提供均方差意义下的最优解，但可以确保满足完整性约束，同时最大限度的提高服务的可用性和连续性。

因此，为降低由多路径引起且无法通过网络来缓解的局部风险，一个更加稳妥的方法是以滤波可能的异常值为主要部分，所以可用降低误差概率密度函数的末端。

基于这一目的，我们建议采用火车在tk时刻设定的中间值作为火车英里数的估计值。

44

其中MED[·]作为中值算子。

让我们回想一下，如果随机变量{ ( tk；th)；tk - th<△T }是独立同分布且方差为，在通常假设情况下，中值滤波器的输出将以均值为输入分布和标准偏差（由369页式9给出）的中间值逐渐逼近高斯分布。

45

其中Nmed是被滤波数据的个数。

考虑到防护等级和超出误差估计的高斯分布的标准偏差严格相关，以及去除极端值，中值滤波器也将减小防护等级。

然而，就防护等级而言获取增益的计算更加的复杂，因为经过滤波的值不能认为是独立同分布的。他们每个的方差随时间按照式37变化。此外，GNSS估计的误差{}可以认为是独立的，里程计的增量{△}涉及到部分时间间隔重叠所以他们的协方差计算公式如下：

46

此外，由式34里程计增量的方差△随着时间的变化而增加，为减小估计中值的方差，过滤数据的个数不能被随意的增加。

由于标准的中值滤波器只使用了排序信息，正如目前的情况，当需要过滤的数据呈现出不同的统计时它们的有效性降低。在这种情况下，加权中值滤波器似乎是更有效的解决方案。

让我们回想一下整数加权{}的情况，中值加权滤波器的输出是：

47

其中，◇是重复操作符号

48

更一般的是，当权{}是正实数时，中值过滤器的输出是加权L1范数的最小值，其中这个范数是和滤波值的差。

49

因此，考虑到在加权中值滤波器输入的每个估计( tk；th)的精度不同，我们采用一组与他们的方差成反比的权重，即：

50

原则上，在计算加权中值滤波器输出的防护等级时，我们应该说明由中值滤波引起的降噪。但是，此处我们更喜欢对它采取一种更加保守的约束。因此，在时刻用表示加权中值估计，我们在中值滤波器的输出设置防护等级如下：

51

Ⅶ实验结果

前面描述的算法已经在所获得的数据集上通过检测，在测试活动期间在Pontremolese线上对ESA项目框架进行了测试。

无论是从火车还是路边GNSS设备安装的地点，这条线路都被认为是获取GNSS数据、里程计数据和物理应答器数据的最佳地点。

实际上，在过去沿着这条线路，部署了大量的应答器用于进行测试（在长达120km的路线上部署了500个应答器）。

对于测试的3个边缘站，每个站在路两侧配备了两个来自不同制造厂的GPS接收机和两个电力牵引Ale.642，对于同样被使用的边缘站而言，每个站均装配两个GPS接收机。

从Parma到La Spezia全程120km的运行期间绘制出里程估计误差的状态。如图6所示，大约在=1500s时刻未经滤波的GPS信号呈现的大误差是由立交桥存在产生遮挡和阴影的影响引起的。

正如期望，在前面段落中已说明使用GPS和里程计的融合可以减少这些极端值。

正如图7和图8的斯坦福图对比可知，既不是危险误导性信息也不是误导性信息事件，而是两者都同时存在。根据第VI节的改进说明融合算法和中值滤波，在[4]中描述的基于RAIM（接收机自体完好性检测）算法的斜率以应用在防护等级的计算。里程计的白噪声速度测量误差模型采用0.5公里/小时的方差。由于更高的精度和较窄的防护等级，使得由减少极端值产生的实际增益影响系统的可用性。事实上，系统可用性从98.9%增至99.5%时，报警次数从194减少到93远远小于17450，而故障检测阀值不用做任何改变。

当采用加权中值滤波器时，这个增益甚至更高。事实上，如图9所示在这种情况下系统可用性达到99.8%时，报警的次数进一步降低到34。

为了在图10中作出比较，报道加权的伪残余二次范数的平方成反比的中值滤波的斯坦福图如下。虽然这种选择比标准的中值滤波器更有效，得到的可用性为99.75%低于由估计方差成反比的权重获得的可用性概率。

最后，如图11所示，虚拟应答器的位置误差与装有物理应答器的位置误差相一致。

Ⅷ结论

在真实火车环境下，是为消除通过增强网络无法消除的局部风险，由GNSS和里程计估计融合产生的固有冗余，基于记录数据的实验结果表明我们可以有效地利用这些固有的冗余。虽然先进的SIS完整性监测算法可以阻止危险的误导性信息输出，但是这要以牺牲其有效性为代价。针对GNSS和里程计融合所提出的算法，允许用增加系统可用性来弥补由误导性估计产生的缺陷。此外，它还允许过滤掉通过其他SIS完整性检测未探测到的误导性信息。