CN109739568B - 一种基于2乘2取2架构的安全平台启动方法 - Google Patents

Abstract

本发明涉及一种基于2乘2取2架构的安全平台启动方法，该方法通过逻辑运算板卡间多次互发消息，多次确认，以及超时等待机制对版本消息进行确认，并准确判断其他逻辑运算板卡的存在状态；同时在交互消息中加入预设时钟消息，保证了所有板卡能够同时完成初始化启动进入主任务，能够实现单系启动、双系同时启动以及双系一先一后启动。与现有技术相比，本发明拥有更高的可靠性和安全性等优点。

Description

一种基于2乘2取2架构的安全平台启动方法

技术领域

本发明涉及一种安全平台启动方法，尤其是涉及一种基于2乘2取2架构的安全平台启动方法。

背景技术

轨旁安全平台是一个通用的SIL4等级的安全计算机系统，配合上层应用可作为地铁和铁路的轨旁安全设备，如区域控制器、联锁、列控、有轨电车等。本发明中涉及到的轨旁安全平台采用2乘2取2的安全架构，具有一个主机(主系)和一个备机(备系)构成2乘2，主机、备机各包含两块逻辑运算板卡实现2取2，输入输出的消息必须经过系内2取2比较和主备机之间的一致性比较后才可以进入下一步处理，相比于单系单一控制的轨旁安全平台此架构提高了冗余度，拥有更高的可靠性、安全性。当主系由于异常不能工作时或发生主备系切换后系统能不受影响的继续工作。然而，在提供高安全性和高可靠性的同时，也提高了对设备的控制难度。在轨旁安全平台启动过程中，主备系之间以及系内需要对彼此间的版本进行检查确认，判断对方板卡是否存在，设定主备状态，同时约定进入主任务的时间以保证各板卡对输入输出消息的处理是同步进行的，否则会引起输入输出不一致，导致设备宕机。单系运行时，只需对两块逻辑运算板卡进行版本检查，时钟同步等，对于2乘2取2架构的安全平台存在多块板卡，需要在同时对4块板卡进行以上处理，并处理系内系间热插拔的情况，即板卡不同时上电而能同时进入主逻辑处理任务，保证对消息的同步处理，不影响设备运行。这使得其启动过程的处理逻辑较为复杂。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种基于2乘2 取2架构的安全平台启动方法。

本发明的目的可以通过以下技术方案来实现：

一种基于2乘2取2架构的安全平台启动方法，该方法通过逻辑运算板卡间多次互发消息，多次确认，以及超时等待机制对版本消息进行确认，并准确判断其他逻辑运算板卡的存在状态；同时在交互消息中加入预设时钟消息，保证了所有板卡能够同时完成初始化启动进入主任务，能够实现单系启动、双系同时启动以及双系一先一后启动。

优选地，所述的启动方法具体以下步骤：

1)所有CPU板广播本通道版本消息；

2)每块CPU板在超时时间内检查其它CPU板的版本消息，并根据检查结果以及板卡的不同来设置相应板卡的状态；

3)CPU板将版本校验通过的结果组成本通道初始化OK消息，广播给其它 CPU板；

4)CPU板接收并检查本系另一个CPU板的初始化OK消息，如果检查本系另一个CPU板的消息失败，或没有收到本系另一个CPU板的消息，则该CPU板初始化失败并宕机；

5)结合板卡状态和是否收到时钟消息来区分单系启动、双系同时启动、一系先启动一系后启动的情况；

6)各板卡按照已设定好的开始主任务时间点同时进入主任务运行。

优选地，所述的CPU板为逻辑运算板卡。

优选地，所述的步骤1)至步骤4)用于检查版本消息的同时并确定两系逻辑运算板卡的存在状态。

优选地，所述的步骤5)具体为：

a.如果双系都处于初始化阶段，则其中一系向另一系发送系统初始化OK消息，消息附带进入主任务的开始时间点；

b.如果其中一系处在初始化阶段，并且接收到另一系发来的时钟消息，则另一系已进入主任务，时钟同步消息中带有开始主任务的时间点；

c.如果其中一系处在初始化阶段，并且未收到另一系的时钟消息则本系自身设定开始主任务的时间点。

优选地，所述的步骤6)保证了系内系间按设定好的主任务开始时间同步进入主任务。

与现有技术相比，本发明具有以下优点：

(1)本发明应用于2乘2取2架构的安全平台，比单系平台拥有更高的可靠性和安全性；

(2)本发明在安全平台初始化启动过程中发送的每条需要验证的消息都会有相应的确认消息应答，并通过宽恕时间来保证消息的时效性可靠性，可有效防止因板卡上电不一致造成的误判断；

(3)通过版本消息来确认各板卡的存在状态，再结合时钟消息能够判断出2 乘2取2架构中的单系启动、双系同时启动及一系先启动，一系后启动等不同启动方式；

(4)采用预设进入主任务时间点的方式，多块板卡可以同时按预定时间进入主逻辑处理任务，保证处理消息的时序能够同步。

附图说明

图1为轨旁安全平台逻辑运算板卡构成及初始化和主任务的关系图；

图2为本发明启动方法的工作流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都应属于本发明保护的范围。

图1是本发明中的轨旁安全平台逻辑运算板卡构成及初始化和主任务的关系图，平台包含主备系：A系(A机)、B系(B机)，每一系包含两块逻辑处理板卡， A系包含CPU1_A、CPU2_A；B系包含CPU1_B、CPU2_B。各板卡完成初始化后进入主任务，主任务按一定的周期循环执行，处理输入输出消息。安全平台可单系运行，也可双系运行，但需保证初始化完成后当前存活的板卡同时进入主逻辑处理任务，以保证数据处理同步，不会造成宕机。

下面以卡斯柯轨旁安全平台CVC200T为例，结合图2对初始化启动步骤进行详细描述如下：

步骤1：两系四块CPU板广播本通道版本消息(VERSION_REPORT)。

步骤2：CPU板接收并检查本系另一CPU板的版本消息。如果检查失败，则该CPU板初始化失败并宕机，未收到消息且未超时则重新去读取消息，消息检查通过则设置本系对通道存在，进入步骤3。

步骤3：CPU接收并检查对系CPU1的版本消息。检查失败则宕机；检查成功设置对系为初始化状态，转步骤4；

步骤4：检查以上步骤是否超时(超时时间为20s)，如果超时并且判定本系另一通道不存在，则CPU初始化失败并宕机，其他情况转步骤5。

步骤5：CPU将版本校验通过的结果组成本通道初始化OK消息 (LOCAL_OK_REPORT)广播给其它CPU板。

步骤6：CPU板接收并检查本系另一个CPU板的初始化OK消息，如果检查失败，则该CPU初始化失败并宕机。

步骤7：当前CPU板根据对系所处的运行阶段执行不同操作：

->如果本系对系均处于初始化阶段，则A系向B系发送系统初始化OK消息(SYSTEM_OK_REPORT)，消息中附带约定开始主任务的时间点；

->如果对系不处于初始化阶段，若本系收到对系发来的时钟消息，说明对系已经进入主任务，时钟消息中会附带开始主任务的时间点。

->如果对系不处于初始化阶段，若本系未收到对系发来的时钟消息，说明对系未启动，则设置本系开始主任务时间点。

步骤8：所有CPU板按照预设的时间点同时进入主任务。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (5)

1.一种基于2乘2取2架构的安全平台启动方法，其特征在于，该方法通过逻辑运算板卡间多次互发消息，多次确认，以及超时等待机制对版本消息进行确认，并准确判断其他逻辑运算板卡的存在状态；同时在交互消息中加入预设时钟消息，保证了所有板卡能够同时完成初始化启动进入主任务，能够实现单系启动、双系同时启动以及双系一先一后启动；

所述的启动方法具体以下步骤：

1)所有CPU板广播本通道版本消息；

2)每块CPU板在超时时间内检查其它CPU板的版本消息，并根据检查结果以及板卡的不同来设置相应板卡的状态；

3)CPU板将版本校验通过的结果组成本通道初始化OK消息，广播给其它CPU板；

4)CPU板接收并检查本系另一个CPU板的初始化OK消息，如果检查本系另一个CPU板的消息失败，或没有收到本系另一个CPU板的消息，则该CPU板初始化失败并宕机；

5)结合板卡状态和是否收到时钟消息来区分单系启动、双系同时启动、一系先启动一系后启动的情况；

6)各板卡按照已设定好的开始主任务时间点同时进入主任务运行。

2.根据权利要求1所述的一种基于2乘2取2架构的安全平台启动方法，其特征在于，所述的CPU板为逻辑运算板卡。

3.根据权利要求1所述的一种基于2乘2取2架构的安全平台启动方法，其特征在于，所述的步骤1)至步骤4)用于检查版本消息的同时并确定两系逻辑运算板卡的存在状态。

4.根据权利要求1所述的一种基于2乘2取2架构的安全平台启动方法，其特征在于，所述的步骤5)具体为：

a.如果双系都处于初始化阶段，则其中一系向另一系发送系统初始化OK消息，消息附带进入主任务的开始时间点；

b.如果其中一系处在初始化阶段，并且接收到另一系发来的时钟消息，则另一系已进入主任务，时钟同步消息中带有开始主任务的时间点；

c.如果其中一系处在初始化阶段，并且未收到另一系的时钟消息则本系自身设定开始主任务的时间点。

5.根据权利要求1所述的一种基于2乘2取2架构的安全平台启动方法，其特征在于，所述的步骤6)保证了系内系间按设定好的主任务开始时间同步进入主任务。

Images