22、火车空气压力制动控制的形式验证分析

火车空气压力制动控制的形式验证分析

1. 延迟制动启动的火车控制器模型

延迟制动启动的火车控制器模型（Model 4）由驱动（drive）和制动（brake）两部分组成，其形式化定义如下：

ctrlz ≡ drive ∪ brake
drive ≡ fa := ∗; ?(−Fsb ≤ fa ≤ A);
c := 0; s := 0;
? (e − z ≥ margin)
margin = (v2 − d2)m / (2Fpb) + ((A / (Fpb + 1)) * ((A / (2mε2)) + εv)) + ((v + A) / (mε)) * tappl
brake ≡ 
{
    if (e − z ≥ (v2 − d2)m / (2Fsb))
        fa := −Fsb; c := 0; s := 0
    else if (c ≥ tappl)
        fa := −Fpb; s := 0
    else if (c > 0)
        fa := fa
    else
        fa := 0; s := 1
}

当轨道上的距离 e - z 足够大时，火车会延迟制动，继续行驶一个控制周期时长 ε 。若距离足够，所选的加速力 fa 将生效；否则，控制器将执行制动操作。

制动过程分为四种情况：
- 若剩余距离足够，优先使用常用制动 fa := -Fsb 。
- 若制动延迟时间已过（