CN110361979A - 一种铁路信号领域的安全计算机平台 - Google Patents

Abstract

本发明的安全计算机平台，由主控层和执行层构成；主控层由主控模块构成，有主备系之分；执行层由一定数量的、可扩展的执行模块构成，每种模块还划分为安全相关模块和非安全相关模块；安全计算机平台采用的总线冗余架构为模块级冗余；主控层与执行层之间采用双套冗余总线通信，主控模块可通过内部CANFD总线和以太网总线同时接收执行模块的数据，也可同时向这些执行模块发送请求和命令；所有主控模块和执行模块都由内部冗余CANFD总线相连；主备系的主控模块会周期性进行数据同步，数据同步的原则是全集同步。本发明的技术优势：扩展性极好的安全计算机平台，采用双套冗余总线架构和模块冗余技术，可靠性和安全性更高。

Description

一种铁路信号领域的安全计算机平台

技术领域

本发明涉及铁路信号领域，具体涉及一种新型安全计算机平台，其具备更加完备的安全系统架构和更加安全的防护设计，同时还具备更好的通信效率及传输性能。

背景技术

随着铁路运输事业的发展，铁路信号领域的安全设备不断更新完善。信息化时代，计算机和网络技术得到快速的普及和应用，安全计算机被用在越来越多的，对安全要求比较严格的领域和行业。在铁路信号领域，安全计算机对保障信号的可靠传输发挥着极其重要的作用。

在铁路信号领域，传统的安全计算机一般是基于单套内部通信总线，并采用主备结构，各功能单元模块常采用固定方式连接，导致主备机间通信手段单一，安全度不高，不利于功能的扩展和系统升级等缺点。

因此，为了满足日益复杂的铁路应用需求，提高铁路信号领域设备的安全性、可靠性、可扩展性、兼容性等。需要一种兼具既有安全计算机优点，且传输速率更高，结构更安全，扩展更灵活的安全计算机平台。

发明内容

本发明针对上述的问题，提出一种通信数据量大，通信速率快、总线架构简单安全，模块级冗余的安全计算机平台。

本发明提供了一种铁路信号领域的安全计算机平台，由主控层和执行层构成；

所述主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；

所述执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块，同时每种模块还划分为安全相关模块和非安全相关模块；

所述安全计算机平台采用的总线冗余架构为模块级冗余；

所述主控层与执行层之间采用双套冗余总线通信，采用CANFD总线+以太网总线，或者CAN总线+以太网总线；优选地，所述主控模块可通过内部CANFD总线和以太网总线同时接收执行模块的数据，也可同时向这些执行模块发送请求和命令；所有主控模块和执行模块都由内部冗余CANFD总线相连；

优选地，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互、主备机同步；

主备系的主控模块会周期性进行数据同步，以保持双系的一致性以及主备系的热备和预切换状态，需要同步的数据都是经过安全比较一致的数据，数据同步的原则是全集同步。

本发明的技术优势：一种针对铁路信号领域的扩展性极好的安全计算机平台，基于二乘二取二的安全架构，采用双套冗余总线架构和模块冗余技术，可靠性和安全性更高。主备系生命信号的切换机制提升平台的可靠性。透传的通信机制提高平台的通用性和适配性。主备系同步及切换机制更加可靠有效。

附图说明

[1]图1为安全计算机平台的基本构成及功能结构图

[2]图2为安全计算机平台总体架构的一个具体实施例

[3]图3为安全功能模块输入外部数据的二取二处理示意图

[4]图4为安全功能模块向外输出通信数据的二取二处理示意图

[5]图5为安全计算机平台安全架构

[6]图6为主备系数据同步示意图

具体实施方式

下面结合具体实施例对本发明进行详细的说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应该指出的是，对本领域的普通技术人员来讲，在不脱离发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。

下面结合图1对本发明进行的整体说明。本新型安全计算机平台由主控层和执行层构成，其基本构成及功能结构图如图1所示。其中，

主控层由主处理器系统、与执行层的通信系统、主控层内部的通信系统等构成，并提供数据配置维护接口、应用层软件的接口、数据配置和系统监测等接口。主控层是安全计算机的控制核心，控制着整个平台系统的运行时序、运行周期和工作状态，承担平台的全面故障检测任务，实现平台的故障安全功能；主控层为应用软件提供运行环境、系统功能支持，与执行层之间进行信息的实时安全传输；主控层对平台内部的运行状态、自检信息进行记录，并对主控层内部的冗余机制进行运行及协调管理。一般来说，主控层由主控模块构成，有主备系之分。

执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块等，同时每种模块还可划分为安全相关和非安全相关模块，并采取不同的安全架构设计。针对铁路信号领域，优选的，执行模块从功能上一般有数字输入模块、数字输出模块、模拟量输入模块、模拟量输出模块、频率输入模块和通信模块等，执行模块的具体内容不以任何形式限制本发明。

主控层与执行层之间采用双套冗余总线通信，优选的，采用CANFD+以太网总线，或者CAN+以太网总线，双套总线设计具有总线结构简单、传输效率更高、传输数据量大的优势，同时采取双套总线进行传输，可以提高安全计算机平台的可用性。

主控层和执行层的分级结构设计，结合可灵活配置的执行层模块的设计，因此，本安全计算机平台可以广泛适用于铁路信号领域，包含各类车载设备及地面设备，如，列车运行监控系统(LKJ)、列车超速防护系统(ATP)、计算机联锁(CBI)等。

下面结合一个具体的实施例对本发明进行具体的说明。图2为一个安全计算机平台总体架构的具体实施例。以下实施例中根据铁路信号领域的列控车载应用需求，提供了明确的总线和执行模块的配置，将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。

安全计算机平台采用二乘二取二的安全冗余架构，即安全计算机平台采用2×2的双机热备结构，设计符合SIL4安全等级要求，满足故障安全原则；平台采用插箱式结构，图2中的A系和B系为热备冗余关系。

本安全计算机平台采用双套冗余总线的系统架构，即，主控层与执行层之间通过双套冗余总线连接。本实施例中，采用CANFD总线+以太网总线，即主控模块可以通过内部CANFD总线，与除通信记录模块之外的其他执行模块进行数据通信，主控模块通过以太网总线与通信记录模块执行数据通信，同时两个主控模块之间通过以太网总线实现主备识别、数据同步、主备切换的功能。特殊说明的是，通信记录模块连接至CANFD总线上仅用于监听CANFD总线数据，不参与实际的数据传输。

主控层由主控模块A和主控模块B构成，功能与性能完全相同，存在主备系之分；

执行层由两组执行模块A和执行模块B构成，功能与性能完全相同；执行模块只与主系的主控模块进行数据交互，执行模块之间不进行数据交互；由模块在插箱内的位置区分A系和B系；

在本实施例中，执行模块选择了频率输入模块、数字输入模块、数字输出模块、模拟入出模块、通信记录模块、预留模块。其中，所述通信记录模块实现与外部通信及数据记录功能，包含通信子模块、记录子模块及以太网交换子模块；所述预留模块，作为平台可扩展的功能模块或可扩展的通信接口所预留；

主控模块：安全功能模块，采用二取二安全架构设计，负责系统的整体调度，实现系统状态管理功能，应用软件的实现媒介，负责主控板A和主控板B之间的数据同步，负责主备识别和切换，负责系统的时间同步，负责平台和应用之间的通信。

通信记录模块：非安全功能模块，负责平台与外设通信功能之间的逻辑隔离，即通过以太网、RS485、RS422、CAN、CANFD总线等与外部设备或外部子模块通信；通信记录模块只负责对通信类的数据进行透明传输，不区分安全数据和非安全数据，通信模块自身不保证数据安全，由数据本身的安全通信协议来保证；具备记录功能模块，用于系统的数据记录。

数字输入模块：安全功能模块，负责安全数字量的安全采集，执行主控板的命令。

数字输出模块：安全功能模块，负责安全数字量的安全输出，执行主控板的命令，负责实现系统安全侧。

频率输入模块：安全功能模块，负责安全频率量的安全采集，执行主控板的命令。

模拟模块：非安全功能模块，负责非安全频率量和非安全数据量的采集，执行主控板的命令；

电源模块：安全功能模块，为平台内外部提供电源。

综上，数字输入模块、数字输出模块、频率输入模块、预留模块和主控模块为安全功能模块；模拟入出模块和通信记录模块为非安全功能模块。安全功能模块，采用双CPU二取二安全架构，两个CPU可为相同或者不同的处理器，非安全功能模块，采用单CPU架构。

冗余CANFD总线和所有模块都采用电气隔离，而冗余以太网总线采用变压器隔离，所有安全模块的两片CPU之间采用电气隔离；

平台主备系采用独立的电源模块供电，每个电源模块上设计2组独立电源，采用电气隔离；对于安全模块，同时使用两组电源供电，而非安全模块使用一组电源供电。

关于安全功能模块输入通信数据和向外输出通信数据的二取二处理机制，详细说明如下。

从通信接口获取输入数据采用组合式失效—安全结构，图3为安全功能模块输入外部数据的二取二处理示意图，以CPU1接收到一份输入数据为例。CPU1从通信接口获得原始数据，将原始数据发送给CPU2。双CPU分别进行通信处理，并将处理结果发送给对方CPU，CPU1和CPU2各自对通信处理结果进行比较，如果通信数据正确且比较一致，则判定该数据为可用数据，将数据输出。如果通信数据错误或出现比较不一致，安全功能模块转入故障状态。CPU2接收到外部通信数据处理，同CPU1，此处不再累述。

向通信接口输出通信数据采用组合式失效-安全结构，图4为安全功能模块向外输出通信数据的二取二处理示意图。双CPU准备好待发送的数据并触发发送后，先进行通信协议处理(不含通信CRC)，然后将各自准备的通信数据发送给对方CPU，CPU1和CPU2分别进行一致性比较；当CPU2比较一致,CPU2对该通信数据计算CRC后，发送给CPU1；当CPU1比较一致，由CPU1将通信数据和CPU2发送来的CRC进行通信组帧后，通过CPU1的通信接口输出。当二取二处理出现比较不一致，安全功能模块转入故障状态。

下面通过数据的采集和输出，说明安全计算机平台的系统安全架构的实现，图5描述了安全计算机平台的安全架构示意图，平台保证数据从采集、通信、处理和输出环节的安全。主控层与执行层之间的数据安全由内部安全通信协议保证。

安全数字量的输入，由A/B两系的数字输入模块A和数字输入模块B同时采集至自身的CPU1和CPU2，即输入4份原始数据；数字输入模块A和B的CPU1和CPU2分别将采集到的4份安全数字量信息分别发送给对方CPU，进行二取二安全处理；处理正确，则可通过内部安全通信协议输出至内部CANFD总线；进一步，主控模块A和主控模块B，会同时收到数字输入模块A和B提供的4份安全数字量信息。主控模块的CPU1和CPU2对接收到的数字量数据，进行二取二安全处理后，输出给应用层。

安全数字量的输出，主控模块接收到应用层输出指令，对需要输出的安全数字量进行2取2安全处理后，输出至内部CANFD总线，安全数字输出模块A和安全数字输出模块B同时收到待输出的数字量信息，进行2取2安全处理后可对外输出安全数字量。

安全频率量的输入，与安全数字量的输入处理相似，由A/B两系的频率输入模块A和频率输入模块B同时采集并进行2取2安全处理，通过内部冗余CANFD总线发送给主控模块进行2取2安全处理，此处不再详述。

非安全数据信息的采集，由A/B两系的模拟模块A和模拟模块B同时采集至自身的单CPU，然后，通过内部冗余CANFD总线，发送给主控模块进行2取2安全处理，对于执行层的安全模块和非安全模块通过内部CANFD总线输入的数据，主控模块的2取2安全处理一致。

通信类安全信息和非安全信息，由A/B两系的通信记录模块实现数据通信，通信记录模块对通信类信息，采取透明传输机制，即通信记录模块将通信数据直接转换为内部通信协议，并通过内部以太网总线传递至主控模块，主控模块会对通信数据进行2取2安全处理，无误后输出至应用层。虽然增加了一些安全通信措施，但平台不保证通信数据本身的安全，数据本身安全有其安全通信协议保证，安全解析由应用层负责。

综上，本安全计算机平台采用的总线冗余架构为模块级冗余，与既有平台采用的系统级冗余不同。模块级冗余，对于两系的主控模块来说，可以同时接收主备系执行模块的数据，当一系中某一个执行模块故障时，平台的冗余架构不受影响，其他功能可以正常维持双系工作状态。但是系统级冗余，即主备系完全独立工作，当一系中某一个执行模块故障时，会导致一系的整体工作异常，从而导致整个平台系统降级为单系工作。因此模块级冗余的可靠性和可用性更高，更适合铁路复杂应用场景。

再结合双套冗余总线架构的设计，本安全计算机平台系统架构简单，传输效率高，传输数据量大，对外设数据的区分处理和采集，提高了安全计算机平台的可用性。同时，相比既有平台中的总线，CANFD总线具有更高有效传输负载，更快的传输速率，简单并灵活的配置，并且CANFD优化的CRC算法，其抗干扰能力更强而以太网总线可以满足较大数据传输、速度快、配置灵活。

关于主备系同步及主备系切换的安全设计，在本实施例中说明如下。主控模块A和主控模块B之间通过冗余以太网总线通信实现数据同步和主备系切换。

主备系的主控模块会周期性进行数据同步，以保持双系的一致性以及主备系的热备和预切换状态。需要同步的数据都是经过安全比较一致的数据，数据同步的原则是全集同步，即，当A/B系收到的数据的数量不一致时，收到数据多的一系，会将缺少的数据发送给另一系以保持双方一致。图6说明主备系数据同步的示意图，同步开始，主备系互发数据包标号集，即接收的数据包统一编号，编号合称标号集，标号集不以任何形式限制本发明；当标号集不一致，哪个系缺少数据包，由另一个系补上，虚线代表标号集不是每周期都会不一致；最后，再次确认标号集是否一致，完成主备系同步。

与既有主备系同步技术相比，既有同步一般采用备系跟随主系或子集同步原则。备系跟随主系同步，即，主系周期将数据发送给备系同步，此技术当主备系切换时存在数据更新不及时，导致数据丢失，并且切换周期过长等问题；子集同步技术即主备系在一周期内仅保留双方一致的数据，不一致数据留至下一周期同步，具有同步操作复杂、同步周期过长的缺点。而本发明中采取的全集同步技术，即双系均保持接收到的最大数据集，同步实时性好且操作流程简单，同步过程中补足的数据，由应用层识别取舍。全集同步技术提高了主备系切换的可靠性和安全性，增强了平台的可用性。

关于主备系切换技术，以太网总线通信正常情况下，见图5，主控模块A和主控模块B之间通过安全通信协议完成主备系确认以及切换识别，一般来说，备系主控模块接收到主备切换命令或者接收到主系故障的指令，备系主动切换为主系。但是，当以太网通信接口故障时，两个主控模块可能会出现同时为主系的情况，导致平台不可用。因此为了避免双主的现象导致平台故障，在两个主控模块之间设计，增加其它通信方式，比如互发生命信息方波进行双主防护，具体实现参见图2，由主控模块的CPU1负责方波生命信号的发送，主控模块的CPU1和CPU2均需要接收对方主控模块的方波生命信号。

因此，本发明的主备系切换设计技术，总结如下，第一种，以太网总线通信正常，当备系接收到切换命令或主系工作异常指令，备系可立即切换为主系主控；第二种，以太网总线通信故障，当备系检测到通信故障且对方无生命信号发出，备系可立即切换为主系主控。比起单一使用通信来实现主备切换的既有技术，生命信号的设计，极大的提高了安全计算机平台的可靠性和可用性。

本安全计算机平台，结合了二乘二取二的安全架构和多种独特的安全设计方法，很大程度上提高了安全计算机平台的安全性、可靠性和可用性。

本发明与现有技术的关键不同处在于：

1.基于二乘二取二的安全架构设计，结合双套冗余总线和模块级冗余的系统结构，是既有产品不具备的特点。双套冗余总线架构简单，传输效率高，传输数据量大。与既有系统级冗余技术相比，模块级冗余技术更可靠，受单个模块故障影响较小，本发明的安全架构极大的提高系统通信的可靠性、可用性和系统的性能。

2.通信数据的透传机制，是本发明与既有产品不同的特点。与外设的通信数据，无论安全信息还是非安全信息，均采用非安全通道来进行通信的透明传输机制。除了安全性由通信数据自身的安全通信协议来保证之外，透传机制最大的优点是提高了数据的传输效率且不受应用环境的影响，提高了平台的可扩展性和应用的灵活性。

3.采用全集同步技术实现主备系同步，是本发明的重要特点。保持主备系数据的实时一致，不过于依赖主系是本技术的特点。与既有的子集同步和备系跟随同步技术相比，全集同步更加可靠，主备系切换时，数据更加准确切换周期更快。

4.在主备系切换的安全设计中，设计在两个主控模块之间互发生命信号，是本发明的重要特点。不仅防护主备系出现双主的情况，更是提高了安全计算机平台的可靠性和可用性。

以上所述仅为本新方案的较佳实施案例而已，并非用于限定本新方案的保护范围。凡在本新方案的精神和原则之内所作的任何修改、等同替换、改进等，均应包含在本新方案的保护范围之内。

Claims (10)

1.一种铁路信号领域的安全计算机平台，由主控层和执行层构成；

所述主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；

所述执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块，同时每种模块还划分为安全相关模块和非安全相关模块；

所述安全计算机平台采用的总线冗余架构为模块级冗余；

所述主控层与执行层之间采用双套冗余总线通信，采用CANFD总线+以太网总线，或者CAN总线+以太网总线；优选地，所述主控模块可通过内部CANFD总线和以太网总线同时接收执行模块的数据，也可同时向这些执行模块发送请求和命令；所有主控模块和执行模块都由内部冗余CANFD总线相连；

优选地，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互、主备机同步；

主备系的主控模块会周期性进行数据同步，以保持双系的一致性以及主备系的热备和预切换状态，需要同步的数据都是经过安全比较一致的数据，数据同步的原则是全集同步。

2.根据权利要求1所述的安全计算机平台，其特征在于，所述执行模块包括频率输入模块、数字输入模块、数字输出模块、模拟入出模块、通信记录模块、预留模块；其中，所述通信记录模块实现与外部通信及数据记录功能，包含通信子模块、记录子模块及以太网交换子模块；所述预留模块，作为平台可扩展的功能模块或可扩展的通信接口所预留；

所述执行层划分为执行模块A和执行模块B，功能与性能完全相同；执行模块只与主系的主控模块进行数据交互，备系的主控模块则仅接收执行模块数据，执行模块之间不进行数据交互；由模块在插箱内的位置区分A系和B系。

3.根据权利要求2所述的安全计算机平台，其特征在于，

数字输入模块、数字输出模块、频率输入模块、预留模块和主控模块为安全功能模块，模拟入出模块和通信记录模块为非安全功能模块；

主控层和执行层中，实现安全功能的模块采用双CPU二取二安全架构，两个CPU可为相同或者不同的处理器，非安全功能模块，采用单CPU架构；

安全功能模块输入通信数据和向外输出通信数据为二取二处理机制，从通信接口获取输入数据以及向通信接口输出通信数据采用组合式失效—安全结构。

4.根据权利要求2所述的安全计算机平台，其特征在于，所述通信记录模块负责平台与外设通信功能之间的逻辑隔离，通过以太网、RS485、RS422、CAN、或CANFD接口与外部设备或外部子模块通信；所述通信记录模块作为非安全通道，并不保证通信数据本身的安全，而是由数据本身的安全通信协议来保证；

主控模块与通信记录模块由冗余以太网总线相连，除通信记录模块以外的其他执行模块通过CANFD总线与主控模块进行数据传输；所述通信记录模块连接至CANFD总线上仅用于监听记录总线数据使用；

两个主控模块之间通过独立的以太网总线实现主备识别、数据同步、主备切换的功能。

5.根据权利要求2所述的安全计算机平台，其特征在于，通信类安全信息和非安全信息，由A/B两系的通信记录模块实现数据通信，通信记录模块对通信类信息采取透明传输机制，即通信记录模块将通信数据直接转换为内部通信协议，并通过内部以太网总线传递至主控模块，主控模块会对通信数据进行2取2安全处理，无误后输出至应用层；

平台不保证通信数据本身的安全，数据本身安全由其安全通信协议保证，安全解析由应用层负责；平台对于非安全采集信息不保证安全，信息是否安全由应用层判断；

主控层与执行层之间的数据安全由内部安全通信协议保证；

平台内部通信接口采用安全通信协议，与外设的通信安全由外部安全通信协议保证。

6.根据权利要求5所述的安全计算机平台，其特征在于，通信信息的透传机制，除提高传输效率之外，对所述执行层的通信模块没有应用限制，当外部设备或者应用环境发生变化时，仅通过配置应用层即可满足应用。

7.根据权利要求1所述的安全计算机平台，其特征在于，冗余CANFD总线和所有模块都采用电气隔离，而冗余以太网总线采用变压器隔离，所有安全模块的两片CPU之间采用电气隔离；

平台主备系采用独立的电源模块供电，每个电源模块上设计2组独立电源，采用电气隔离；对于安全模块，同时使用两组电源供电，而非安全模块使用一组电源供电。

8.根据权利要求1所述的安全计算机平台，其特征在于，所述主控层是安全计算机的控制核心，控制着整个平台系统的运行时序、运行周期和工作状态，承担平台的全面故障检测任务，实现平台的故障安全功能；

所述主控层为应用软件提供运行环境、系统功能支持；与执行层之间进行信息的实时安全传输；

所述主控层对平台内部的运行状态、自检信息进行记录，并对主控层内部的冗余机制进行运行及协调管理。

9.根据权利要求1所述的安全计算机平台，其特征在于，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互和主备系确认以及切换识别；

当以太网通信接口故障时，为了避免双主的现象导致平台故障，在该两个主控模块之间可设计增加其它通信方式进行双主防护，例如互发生命信息方波。

10.根据权利要求9所述的安全计算机平台，其特征在于，以太网总线通信正常时，当主系工作异常，备系接收到切换命令可立即切换为主系主控；以太网总线通信故障时，当备系检测到通信故障且对方无生命信号发出，备系可立即切换为主系主控。