CN101376393A - 铁路信号系统中故障容错的安全处理器 - Google Patents

Abstract

本发明涉及铁路信号系统中故障容错的安全处理器，该安全处理器包括硬件平台、软件架构；所述的硬件平台包括：双CPU的运行平台，CPU间通过双口RAM进行信息共享；安全输入采用二通道独立、相异的设计模式实现对同一输入信号的安全采集；安全输出采用回采的模式来监控系统输出端口的状态，保证系统输出的安全；系统的安全性由生成的校核字保证，校核字由CPU发送给安全监控板，当安全监控板接收到正确的安全校核字，安全监控板提供输出板的电源，否则切断输出板的电源供应，实现故障-安全。与现有技术相比，本发明实现对车载ATP在运算过程中进行安全防护，从而使其危险侧发生的概率低于系统的设计要求，进而来保证系统的运行安全。

Description

铁路信号系统中故障容错的安全处理器

技术领域

本发明涉及针对铁路信号系统中对安全处理需要而设计的一种安全运算实现方法，采用多通道对安全输入变量进行运算处理，采用安全校验通道进行安全监控，从而来保证处理器在运算过程中自身的安全；主要应用领域除了铁路运输系统外，还适应于航空、核电等其它高安全处理需要的领域，尤其涉及铁路信号系统中故障容错的安全处理器。

背景技术

在铁路信号领域，为了保证系统的行车安全，需要采用高可靠、高可用、高可维护、高安全的计算机处理系统，即满足系统的RAMS要求；安全性是系统在设计过程中必须要实现的功能，即系统CPU在运算过程中必须保证运算结果的出错概率小于系统要求的危险侧出错概率，具体到铁路信号系统的安全产品(本发明源自对车载ATP的安全设计)，根据欧洲铁路信号标准CENELEC的要求，必须保证系统危险侧的出错概率小于10^-9/小时，即系统在运算过程中的安全完善度等级应达到SIL4的要求。

普通的工业计算机在系统的安全性方面没有保证，所以必须对采用的处理器系统进行安全方面的设计，以保证系统的安全；目前国外采用的模式主要有编码处理器(coded monoprocessor)、3取2以及2×2取2处理器等，这几种处理器系统都有其独特的设计理念；编码处理器采用信息冗余编码的方式实现对安全运算的处理，很好的解决了系统处理器在运算过程中操作数、操作码、取数、存储以及程序结构方面可能出现的差错，采用动态控制器对系统的安全进行监控；不利的地方在于过长的信息冗余编码虽然保证了对运算数据的安全校核，但却使得程序的结构复杂、运算难度增大，这样将增加程序运行的出错(非危险侧)概率，从而将降低系统的可靠性，另外其运行平台为单处理器，也将降低系统的可靠性；3取2安全处理器是目前安全计算机中常用的一种容错设计技术，其设计思想为：三个功能相同的运算模块同时执行相同的运算操作，用三个运算模块的输出做大数表决，把多数相同的输出作为系统正确的输出，从而实现“少数服从多数”的纠错原理；通过多模冗余的设计模式来增加系统的安全；不利的地方在于多处理器同时运算系统间的时钟(任务)同步、多通道通信以及单通道的退出及添加机制实现起来比较复杂，对系统的可用性方面存在不利的影响。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷，提供一种安全性较高的铁路信号系统中故障容错的安全处理器。

本发明的目的可以通过以下技术方案来实现：铁路信号系统中故障容错的安全处理器，其特征在于，该安全处理器包括硬件平台、软件架构；

所述的硬件平台包括：

(1)双CPU的运行平台，CPU间通过双口RAM进行信息共享；

(2)安全输入采用二通道独立、相异的设计模式实现对同一输入信号的安全采集；

(3)安全输出采用回采的模式来监控系统输出端口的状态，保证系统输出的安全；

(4)系统的安全性由生成的校核字保证，校核字由CPU发送给安全监控板，当安全监控板接收到正确的安全校核字，安全监控板提供输出板的电源，否则切断输出板的电源供应，实现从故障到安全的转换；

所述的软件架构包括：

(1)采用运算通道和校验通道来保证系统程序在运行过程中的安全；

(2)运算通道采用独立的三通道相异的设计模式；

(3)校验通道通过计算运算通道提供的差异值校核字来监控运算通道的正确执行。

所述的三通道相异的设计模式为：

a.三通道中的中间通道作为运算通道的主通道，前、后通道实现对中间通道的保护；

b.前、后通道通过增加增量数据实现与中间通道运算的相异；

c.前、后通道运算后的值与中间通道的值进行比较，差异值作为校验通道的输入，通过校验通道生成的校核字保证输入差异值的正确性；

d.三通道间的两个差异值实现奇偶相间，同一差异值在相邻周期奇偶相间。

多通道差异值的获取方法包括：

a.若多通道运算实现的是单变量的线性函数功能，通道差异值根据运算通道的增量数据直接获取；

b.若多通道运算实现的是单变量的非线性函数功能，通道差异值通过消除含有通道自变量项的方式来获取；

c.当多通道实现多变量线性函数功能，通道差异值根据运算通道的增量数据直接获取；

d.当多通道实现多变量非线性函数功能，通道差异值通过消除含有多通道自变量项的方式来获取。

所述的校验通道的实现方法包括：

a.通过多项式除法实现对不同差异值的合成；

b.通过调整预置常数实现监控通道校核字的唯一。

与现有技术相比，本发明实现对车载ATP在运算过程中进行安全防护，从而使其危险侧发生的概率低于系统的设计要求，进而来保证系统的运行安全。

附图说明

图1是采用状态转移来实现运算通道的安全监控示意图；

图2是2×3取3故障容错处理器的安全运行平台示意图；

图3是安全数据采集通道在进入处理器前的功能分配示意图；

图4是采用三通道实现连续变量的安全运算的算法原理示意图；

图5是采用三通道实现连续变量安全运算的数据流示意图；

图6是采用三通道进行数据处理时差异值的获取方式示意图；

图7是采用双通道进行多变量数据处理时差异值的获取方式示意图；

图8是采用双CPU实现2×3取3故障容错的算法原理示意图。

具体实施方式

如图1所示，是为了保证运算通道的安全计算而设计的校验通道，主要目的是监控运算的正确执行，保证运算的安全；实现的具体的步骤为：

(1)预置常数与数据标志A进行异或运算；

(2)异或结果进行多项式除法(PD)；

(3)除法余数与数据标志B进行异或运算；

(4)运算结果进行多项式除法(PD)；

(5)除法余数为生成唯一的运算结果，运算结果满足码字校验法则。

为了保证运算结果具有唯一性，需要通过多项式除法的逆运算求取预置常数。

图2是3取3容错算法的运行平台，双CPU通过双口RAM(DRAM)进行任务同步和数据互传。

具体实现步骤为：

(1)安全输入板提供双路固定编码的输入；编码输入作为安全输入直接参与校验通道的运算；

(2)CBK、CTC板提供2路独立的输入进入CPU1、CPU2，CPU2运算过程中的标志数据通过DRAM传入CPU1，与CPU1计算出的标志数据一道，作为校验通道的输入，经有限状态机的转移生成安全监控校核字；同理，CPU2接收CPU1计算出的标志数据，然后与本CPU内的标志数据进行合成，生成安全运算校核字；

(3)安全监控板(VPS)采用固有故障一安全的设计模式，校验通道生成的安全运算校核字由VPS进行安全判断处理，当校验通道运行在系统原定的状态时，VPS提供安全输出板的供电电源，当校验通道的监控校核字出错时，VPS切断安全输出板的电源供应，使输出板维持在安全状态；

(4)系统CPU对安全输出板输出端口的状态进行回采，回采的结果作为校验通道的输入，生成唯一的端口状态校核字。

图3所示为系统的输入通道在进入双CPU时的功能分配，对于车轮轮径的测速、线路信标数据的接收、轨旁电路传输的线路地图等连续变量信息进行二路独立通道的设计模式，保证各路输入通道的独立性、相异性；

对于开关量类型的布尔变量，采用双通道进行处理，由于采用的是固定的编码方式，双通道运算可以保证系统的安全性。

图4为3取3安全运算容错设计原理，其特点为前后通道增加增量数据De/o来实现通道间的相异，具体的过程为：

(1)前通道、中间通道、后通道接收输入源的数据，前通道和后通道分别加增量数据De、Do(在下一个周期相反，即前通道加Do，后通道加De)；

(2)由于增量数据已知，所以前、后通道与中间通道的差异值是一确定的值(通过消除含有通道变量的项，总可以获得一确定的值)，该值即为运算通道的差异值，作为校验通道的输入变量；

(3)同样的道理，三通道在进入下一函数的运算过程中，采用相同的标志数据以及差异值的生成方法，但与前一函数在处理时的设定值不同；

(4)校验通道通过异或运算与多项式除法，把不同监控点的标志数据整合为唯一的安全运算监控校核字，该校核字作为VPS进行安全运算判断的标准。

每个监控点对于不同的运算通道在连续运行周期内计算值的变化可以用图5来表示，图中坐标系的横坐标为时间轴，纵坐标为变量的函数表示，中间通道的函数值用实线表示，前后通道的函数值用虚线表示，前通道在连续的四个程序运行周期函数值的变化为

，与中间通道的差异值为

，后通道在四个程序的运行周期函数值的变化为

，与中间通道的差异值为

；这样在程序运行的每个周期，都有双向的标志数据对中间通道的运算进行安全防护。

图6～7所示为多通道在进行运算时差异值的获取方式，主要针对非线性函数的处理模式，通过消除差异值中含有通道变量项的模式来获得固定的通道差异值，具体的实现方式在发明说明部分已经讲述。

图8所示为采用双CPU的系统运行平台结合3取3故障容错来实现安全运算的算法原理，从而来实现2×3取3的安全设计思想；具体步骤如下：

(1)系统运行平台内的每个CPU负担两部分运算，其一为双通道的运算(为3取3运算的一半，另一半由另外一个CPU来负担)，其二为校验通道，来监控安全运算的执行；

(2)输入变量进入CPU1，在通道1中添加增量数据De，当通道经过函数f₁(x)后，与通道2有一确定的差异数值①；

(3)输入变量进入CPU2，在通道2中添加增量数据Do，当通道经过函数f₁(x)后，与通道2有一确定的差异数值②；

(4)同理，在输入通道经过f₂(x)后，CPU1提供差异值(1)(与前函数提供的差异值不同)，CPU2提供差异值(2)(与前函数提供的差异值不同)；

(5)差异值作为每个CPU内校验通道的输入数据，生成符合码字校验规则的校核字；

(6)同样的道理，另外一个CPU采用相同的方式对运算通道计算并且获取校验通道的安全校核字。

采用双CPU的运行平台，结合3取3的冗余运算法则，从而实现2×3取3(两个相同的CPU，每个CPU实现3取3的功能，最终的结果再实现2取2功能)的设计模式，进而来保证运算通道内的数据安全。

车载ATP在运行过程中需要对连续输入信号进行处理，尽管CPU在确定的单个周期内接收到连续输入信号(测速里程计的输入脉冲、轨旁电路传输的安全变量、安全不变量等信息)经离散化处理之后是相同的，但由于CPU不同的运行周期对采集到的同一输入变量是不断变化的，对于每个输入变量进行固定编码的方式不能满足系统安全运算的需求；本发明采用组合故障安全、信息冗余以及反应故障安全的设计理念来保证连续变量运算的安全。

(1)3取3容错设计

在车载ATP中，安全运算的实现分为两部分，一部分为连续变量的运算通道，另一部分为安全运算的校验通道；运算通道采用三通道相异的运行模式，校验通道通过有限状态机状态转移的模式来实现；运算通道的三个通道分别称之为前通道、中间通道、后通道；三通道之间相互独立，中间通道作为运算的主通道，前通道和后通道在功能上实现对中间通道运算的保护，具体实现方法为：通过设定前后通道和中间通道的差异值(标志数据)，完成对中间通道的安全监控。

标志数据偶奇周期(系统程序运行的相邻周期分别定义为奇、偶周期)不同，分别用De/o来标示；上、下标志数据(前通道与中间通道的标志数据，以及中间通道与后通道之间的标志数据)奇偶相间，相邻系统运行周期同一标志数据奇偶相间；采用奇偶相间的运行模式，增大了对程序运行出错概率的检查，提高了系统的安全性；根据3通道计算出的差异值，可用实时监控运算通道的安全运行，检测运算通道运算的正确与否；校核部分对运算通道进行安全监控，采用有限状态转移实现对算术运算中的标志数据的安全校核，从而来保证运算通道提供的输入序列以及其值的正确性。

安全校核的具体实现方法为：状态机输出和输入序列采用一个32位(根据系统要求的安全等级确定其长度，在车载ATP中采用32位的字长)的二进制序列表示，每一项输出都用一个唯一确定值来表示其正确的运算结果；通过多项式除法实现状态转移；当系统没有出错的情况下，安全监控的输出结果为确定的值，当系统运行偏离了系统原定的设计，监控状态机给出错误的结果指示(通过系统诊断程序完成记录或显示)；多项式除法理论保证了在随机故障的情况下，其输出项为正确的运算结果的概率是1/(2³²-1)；校验通道可以根据要监控的运算通道的范围进行长度设计。

(2)多通道差异值的获取方法

在进行系统程序的设计过程中，可以把要设计的对象简化为一系列的函数表达式，函数有不同的分类方法，这里暂时把函数分为两类：线性函数和非线性函数；大多数函数可以分解为不同简单函数的组合。

假设函数为线性函数，设为：

Y＝KX+B(K≠0)

当在通道中加入增量数据De/o之后，可表示为：

Y＇＝K(X+De/o)+B

＝KX+KDe/o+B

从上式可以很容易的看出，双通道的差异值为KDe/o，该值为一定值，因此对于线性函数在多通道的设计过程中差异值设计没有问题。

假设函数为非线性函数，设为：

Y＝aX²+bX+c(a≠0)

当在通道中加入增量数据De/o之后，可表示为：

Y＇＝a(X+De/o)²+b(X+De/o)+c

＝aX²+2aDe/oX+a(De/o)²+bX+bDe/o+c

两通道的差异值可表示为：

Y＇-Y＝a(X+De/o)²+b(X+De/o)+c-aX²-bX-c

＝2aDe/oX+a(De/o)²+bDe/o

可以看出，两通道的差异值是自变量X的函数，这样使得差异值的变化不确定，因此必须把该项消去(因为双通道的设计主要是为了获取差异值，而差异值的获取尽可能充分表征通道的特性，所以在设计过程中采用通道变量X和通道增量De/o相加的模式，减去一次项的处理并不会影响系统的安全性)。

图4中G(x)为一次项的系数，经过这样处理之后获得的差异值为定值；在获得固定差异值的过程中，三个运算通道间没有数据交互，保证了通道运算的独立性。

以上所述为通道函数是单变量的情况，对于多变量函数(即不同的输入端口相互交互的一种情况)的处理过程，采用的方法雷同。

现对计算流程作如下分析：

假定函数为：

Z＝f(x，y)＝K(x+y)+b

变量x通道的设计如下：

x为通道1的输入变量，x＇为通道2的输入变量，其中

x＇＝x+De/o

同样的设计模式，变量y通道的设计模式如下：

y为通道1的输入变量，y＇为通道2的输入变量，其中

y＇＝y+De/o

双通道经过函数运算之后得到的差异值计算过程如下(为了简化计算过程，假定不同变量通道的增量数据De/o相同)：

Z＇-Z＝K(x＇+y＇)+b-K(x+y)-b

＝2KDe/o

该差异值为一恒定的常数，满足安全算法的要求。

当函数为非线性函数时，设为：

Z＝Kxy(K≠0)

则差异值的计算过程为：

Z＇-Z＝Kx＇y＇-Kxy

＝K(x+De/o)(y+De/o)-Kxy

＝KDe/o(x+y)+K(De/o)²

从上式可以看出，该差异值是变量x，y的函数，为了使差异值恒定，该项要消掉，采用的方式与单变量通道的相同。

(3)2取2安全运行平台

车载ATP为了保证系统运算的安全性，采用2取2的双CPU运行模式，通过比较两个CPU对系统输入、中间运算过程以及运算的结果进行对比，实现2取2功能，从而来保证系统运算的安全性；运行平台的组成分为安全输入板(VIIB)、测速定位板(CBK)、机车信号处理板(CTC)、安全运算板(VLE)、安全输出板(VOOB)、安全监控板(VPS)；安全输入板提供两路独立的输入编码供双CPU周期采集；对于每一个输入的连续变量，测速定位板和机车信号处理板提供2路独立的输入通道，保证各路通道的相异性(两路输入信号分别同时输入CPU1和CPU2)；安全运算板在处理器的内部通过系统软件来实现，具体的实现方法为前面讲述的三取三容错设计来保证运算通道的安全；安全输出板(车载ATP仅布尔型的开关量输出信号)通过对输出端口的回采来监控输出端口的状态，通过安全监控板来控制安全输出板的电源供应。

当系统运行在安全状态时，安全运行监控板提供系统输出板的安全输出电源，保证控制系统的安全运行，当系统运行出现危险状态时，VPS切断系统输出板的供电电源，使系统运行在安全的状态。系统的安全状态包括以下内容，系统CPU的内存在每个周期执行了安全的内存刷新、系统CPU在对安全输入数据的采集在设定的时间之内、系统输出板的输出维持在安全的输出状态、系统的计算通道维持在安全状态、系统程序和安全数据在系统的运行周期之内进行了安全检查。

(4)2×3取3的容错设计

结合3取3容错设计的方法以及系统程序运行的双CPU平台，对每个CPU负担的功能任务进行了划分，具体的实现方法为：双CPU硬件平台中的每个CPU负担两个运算通道的运算，双CPU保证运算的同步，在程序执行的一个确定的时间片之内，双CPU互传标志数据，该数据作为3取3通道的一部分；通过校验通道对CPU的运算通道进行监控；这样事实上完成了单个CPU实现了3取3的运算功能，即本CPU负担了2个相异运算通道的处理，而第三个运算通道由另外的一个CPU来负担；为了增加运算的安全性，第二个CPU内也采用了双通道的运算模式，该CPU提供运算通道的标志数据在确定的时间内传给对方CPU，为校验通道提供输入数据；这样实际上采用了4路运算通道来实现了3取3的安全运算；由于双CPU运算的对称性，另外一个CPU也实现了3取3的运算功能，最后通过VPS板对双CPU监控结果进行合成(为了增强系统在出错情况下的反应时间，系统程序的运行周期分为若干时间段，合成为双CPU在同一时间段的合成，根据系统的需要可调整时间段的长短)，这样在双CPU运行平台实现了2×3取3的运算功能。

每个CPU相邻周期采用奇偶相间的运行方式，即本周若为偶周期，则下一周期为奇周期；双CPU的运行周期互补，即若一CPU为奇周期，则另一CPU运行在偶周期。

车载ATP处理器的安全设计是一个有机的整体，各部分分别负担安全设计思想的不同功能，任何设计的引入以及删除不应破坏系统安全设计思想的完整性。

实现2×3取3的安全运算算法，该算法具有以下特征：

(1)每个CPU中包含运算通道和校验通道；

(2)双CPU间通过双口RAM实现运行同步和数据互换；

(3)每个CPU内校验通道不能获得正确的校核字时，通过VPS切断安全输出板的输出。

每个CPU内的运算通道和校验通道具有以下特征：

(1)运算通道由双通道来实现，通过在一路通道内增加增量数据的方式实现双通道的差异化运算；

(2)校验通道接收双口RAM传来的另一CPU计算的差异值，和本CPU内计算出的差异值一起，完成本CPU内的安全通道的校核字计算；

两个CPU计算通道同一周期内功能相同的两个差异值实现奇偶相间，同一CPU内计算的同一差异值在相邻周期奇偶相间；双CPU校验通道的校核字通过VPS进行安全表决，由VPS决定系统的输出。

Claims (4)

1.铁路信号系统中故障容错的安全处理器，其特征在于，该安全处理器包括硬件平台、软件架构；

所述的硬件平台包括：

(1)双CPU的运行平台，CPU间通过双口RAM进行信息共享；

(2)安全输入采用二通道独立、相异的设计模式实现对同一输入信号的安全采集；

(3)安全输出采用回采的模式来监控系统输出端口的状态，保证系统输出的安全；

(4)系统的安全性由生成的校核字保证，校核字由CPU发送给安全监控板，当安全监控板接收到正确的安全校核字，安全监控板提供输出板的电源，否则切断输出板的电源供应，实现从故障到安全的转换；

所述的软件架构包括：

(1)采用运算通道和校验通道来保证系统程序在运行过程中的安全；

(2)运算通道采用独立的三通道相异的设计模式；

(3)校验通道通过计算运算通道提供的差异值校核字来监控运算通道的正确执行。

2.根据权利要求1所述的铁路信号系统中故障容错的安全处理器，其特征在于，所述的三通道相异的设计模式为：

a.三通道中的中间通道作为运算通道的主通道，前、后通道实现对中间通道的保护；

b.前、后通道通过增加增量数据实现与中间通道运算的相异；

c.前、后通道运算后的值与中间通道的值进行比较，差异值作为校验通道的输入，通过校验通道生成的校核字保证输入差异值的正确性；

d.三通道间的两个差异值实现奇偶相间，同一差异值在相邻周期奇偶相间。

3.根据权利要求1所述的铁路信号系统中故障容错的安全处理器，其特征在于，多通道差异值的获取方法包括：

a.若多通道运算实现的是单变量的线性函数功能，通道差异值根据运算通道的增量数据直接获取；

b.若多通道运算实现的是单变量的非线性函数功能，通道差异值通过消除含有通道自变量项的方式来获取；

c.当多通道实现多变量线性函数功能，通道差异值根据运算通道的增量数据直接获取；

d.当多通道实现多变量非线性函数功能，通道差异值通过消除含有多通道自变量项的方式来获取。

4.根据权利要求1所述的铁路信号系统中故障容错的安全处理器，其特征在于，所述的校验通道的实现方法包括：

a.通过多项式除法实现对不同差异值的合成；

b.通过调整预置常数实现监控通道校核字的唯一。

Images