一、故障-安全技术

故障-安全是指系统任何部分发生故障时，系统的输出均处于安全状态。即信号系统或设备出现故障，不会危及行车安全。高铁信号系统安全相关部件全部按照故障-安全原则设计。

安全完整性级别（Safety Integrity Level，简称SIL）用来反映安全相关系统安全功能完整性要求水平。安全完整性可以分为4个级别。SIL4具有最高的安全完整性。CTCS-2和CTCS-3中的安全计算机（VC）、车站列控中心（TCC）、无线闭塞中心（RBC）、应答器接收模块（BTM）、轨道电路接收模块（TCR）等核心部件安全完整性级别为SIL4级。司机操作界面（DMI）等非安全相关设备为SIL2级。

二、设备冗余技术

安全性以防止人身伤亡和财产损失为目的，可靠性以维护系统的功能正常执行为目的。安全性着重于设备故障后的结果，可靠性则关注的是系统少出故障。铁路信号设备的故障-安全性是建立在设备的高可靠性基础之上的。高铁信号中计算机联锁系统和设备采用了3取2或二乘2取2冗余结构，在系统级、设备级和通信网络级进行可靠性保障。列控系统中安全计算机（VC）、车站列控中心（TCC）、无线闭塞中心（RBC）、应答器接收模块（BTM）等设备均采用了3取2或二乘2取2冗余结构。

RBC是CTCS-3系统安全核心部件，为了保证安全，RBC必须基于信号故障-安全计算机，并且采用各种安全策略，如需要对从外部系统接收到的信息、计算过程中间的关键数据、向外部系统发送的信息采用不同的软硬件进行交叉比较，只有通过了交叉比较的计算步骤才能进入后续处理过程，否则不允许有任何非安全的输出。

为保证RBC接收到的信息和发出的信息都是可信的，RBC与外部安全系统之间必须采用安全算法对信息进行加密处理，包括RBC-CBI、RBC-TSRS、RBC-RBC、RBC-ATP等连接。当来自外部系统的安全信息缺失时，RBC的输出必须导向安全侧。

三、进路控制

车站单从列车控制角度来说，实现列车的越行、会让、反向运行，为列车提供接车、发车、通过或转场进路。为了保证行车安全，避免产生列车侧面或正面冲突，在进路、道岔和信号机之间存在某些互相制约的关系。通常，将这种互相制约关系称之为“联锁”。

进路是由道岔的位置所决定的，在进路的入口处设有信号机进行防护。所谓建立进路，就是把进路上的道岔扳到进路所要求的位置，然后再将该进路的防护信号机开放。若道岔位置不对，则不准信号机开放。一旦信号机开放后就不准许进路上的道岔再变换位置，直至信号机关闭，列车或机车车辆越过道岔为止。

一条进路可以走下行列车也可以走上行列车，它们分别由上下行两架信号机防护。在开放上行信号机以前，下行信号机必须在关闭状态。一旦上行信号机开放，就要防止下行信号机再开放，直至上行列车驶入进路且上行信号机关闭以后，机车车辆本身将这条进路控制住，才能解除对下行信号机的控制。

高速铁路凭车载信号行车，列车进路的入口处一般无需设置信号机，换成标志牌。但是联锁关系、进路锁闭等并没有变化。高速铁路进路控制概念已从车站延伸到区间。

四、间隔控制

运行在同一线路上的两列追踪列车，应保持适当间隔距离，以避免造成列车尾追。列车间隔距离的大小，决定于列车的速度、制动前的信号确认和空走行距离、制动距离、安全防护距离、前车的运行状态等因素。高速列车由于速度的提高，需要更长的制动距离，列车间隔距离相应增加。目前世界各国通常采用空间间隔法这种闭塞制度来控制列车之间的间隔，这种方法是把铁路线路划分为若干个段落（区间或闭塞分区），在每个区间内同时只准许一列列车运行，这样就实现了前行列车和追踪列车之间的间隔控制。这种行车方法能严格地把列车分隔在两个空间，可以有效地防止列车追尾和正面冲突事故的发生，确保列车运行安全。目前，我国在CTCS-2和CTCS-3系统中分别采用了基于轨道电路的自动闭塞和基于无线通信的自动闭塞。

五、速度防护

速度防护也叫超速防护（ATP），即为防止列车超速运行而采取的措施。所谓超速，包括以下这些情形：列车速度超过进路允许的速度、或者超过线路结构规定的速度、或者超过机车车辆的构造速度、或者超过临时限速及紧急限速，以及超过铁路有关运行设备的限速。为保证列车运行安全，超速是要严格防范其发生的情况。列控车载设备根据目标距离、目标速度、线路参数描述信息、临时限速及列车本身的性能计算目标距离－速度控制模式曲线。司机按照监控曲线控制列车运行，当列车实际运行速度处于监控曲线之下可以保证列车安全，如果超速碰撞了速度监控曲线，列控车载设备将自动触发常用制动或紧急制动，防止列车超速运行。

六、灾害防护
灾害防护描述当有意外情况发生时，信号系统紧急反应的处理情况。包括风、雨、雪的灾害防护、塌方、落物的灾害防护以及车站站台紧急情况的防护，同时预留地震防护接口。

1．风、雨、雪的灾害防护

对于可以提前预测的灾害，如风、雨、雪等，可以采用临时限速的方法，确保列车运行安全。

2．塌方、落物的灾害防护
对于塌方、落物等突发事件，通过灾害监测系统（非信号设备）及时监测出灾害事件的发生，通过灾害报警开关接点条件直接将信息传送给管辖事发地点范围的车站联锁和TCC，再通过联锁将相关信息传给RBC、CTC。

（1）CTCS-3级设置防护

车站联锁接到灾害报警信息后，立即关闭相关进路防护信号，并将事先设计好的紧急停车区（应与轨道电路“H”码区段相对应）激活并传输给RBC及CTC。

RBC根据联锁发送的灾害报警信息立即激活相应的紧急停车区，对于已进入该区域的列车发送无条件紧急停车消息（UEM），对于正接近该区域的列车发送有条件紧急停车消息（CEM）。

列车根据接收到的无条件紧急停车消息（UEM）或有条件紧急停车消息（CEM）实施制动并停车。

（2）CTCS-2级设置防护

TCC接到灾害报警信息后，立即控制相关灾害区段闭塞分区轨道电路发出“H”码，其它轨道电路码序相应调整。

CTCS-2级列车根据接收到的轨道电路信息，生成新的监控曲线，实施制动并停车。

3．车站站台紧急情况防护

车站站台设置紧急防护开关，当车站出现紧急情况（如：落物）时，相关人员触发防护开关，防护装置将报警信息传送给相应的车站联锁和TCC，控制列车及时地停车。

4．指定列车紧急停车

对于CTCS-3级系统，调度员可以通过调度中心的操作终端直接向正在运行的某列车发送无条件紧急停车（UEM）消息，列车接收到该消息后立即实施紧急制动，迫使列车紧急停车。

七、系统降级使用

当地面设备RBC故障或者无线通信设备GSM-R故障后，为了保证安全并维持列车继续运行，CTCS-3级系统可进入降级模式，启用CTCS-2级备用系统。只有当速度低于CTCS-2级的允许速度时，车载设备会自动转换到CTCS-2级控车；当故障消除并具备CTCS-3级控车条件时，车载设备又自动转换到CTCS-3级控车。

八、设备状态监视

高速列车控制系统车载设备和地面设备，均具有故障检测与诊断及系统动态远程监视功能。实现了设备故障定位、报警、切换或降级使用，确保了列车运行安全。

列控地面设备通过有线网络接入信号集中监测设备（CSM）。主要实现对站场表示状态、外电网输入（相电压/线电压/电流/频率/功率/相位角）、信号电缆回线（对地绝缘）、电源输出（对地漏泄电流）、25Hz轨道电路（接收端交流电压/相位角）、道岔转辙机（动作电流）、道岔表示线（交/直流电压）、列车信号机（点灯回路电流、灯丝断丝）、排架熔丝（断丝报警）的监测。对于智能电源屏、RBC、ZPW2000A轨道电路、TCC、计算机联锁、智能灯丝报警系统等自身具备监测能力的系统通过统一的接口与集中监测系统进行通信，获取监测信息，实现对信号设备的集中监测。

列控车载设备与动态信息采集装置（DMS）连接，该装置通过GPRS无线方式，将列控车载设备状态信息、运行数据、故障诊断信息、司机驾驶操作信息等，实时下传到地面监测中心并接入信号集中监测设备。符合身份的用户在地面可实时再现并监视车载设备状态和DMI信息。

此外，高速铁路还使用动检车进行信号、供电和工务数据检测，对相关设备进行健康检测，及时发现问题和存在的隐患。

九、运行数据记录

信号系统各个部分具有记录运行数据、设备状态和人员操作信息的功能，便于进行数据回放、故障分析及系统和操作优化。运行数据记录是查明故障原因、防微杜渐，从而进一步保证列车运行安全的重要措施。车载设备数据记录单元（JRU），即“黑匣子”，将输入的数据、接收的数据和计算的数据进行记录，内容包括：RBC命令信息、轨道电路信息、应答器信息、控制信息等，所有记录的数据与统一时钟和位置参考点对应；记录数据可以通过标准输出接口转储到其它介质上以便分析。用于事故分析的详细记录时间不少于24小时，用于一般设备状态记录时间不少于30天。