CN102103532A

CN102103532A - 列控车载设备的安全冗余计算机系统

Info

Publication number: CN102103532A
Application number: CN2011100288284A
Authority: CN
Inventors: 易海旺; 徐效宁; 宋志丹; 吕书丽
Original assignee: Signal and Communication Research Institute of CARS; Beijing Ruichi Guotie Intelligent Transport Systems Engineering Technology Co Ltd; Beijing Huatie Information Technology Development Corp
Current assignee: Signal and Communication Research Institute of CARS; Beijing Ruichi Guotie Intelligent Transport Systems Engineering Technology Co Ltd; Beijing Huatie Information Technology Development Corp
Priority date: 2011-01-26
Filing date: 2011-01-26
Publication date: 2011-06-22
Anticipated expiration: 2031-01-26
Also published as: CN102103532B

Abstract

本发明提供了一种列控车载设备的安全冗余计算机系统，属于铁路安全控制技术领域，以解决在现有的冗余安全计算机系统中不能保障安全计算机的输出量的正确性和安全性，时间同步精度较低、安全性和可靠性较差的问题。本发明包括仲裁模块，用于对冗余子系统中的两个计算机的输出量分别进行仲裁，当所述两个计算机的输出量相同时，将所述输出量输出，所述两个计算机的输出量包括I/O端口输出量和通讯端口输出量；主时间同步单元，设置在冗余子系统的计算机中，用于为连接的从时间同步单元提供调整时间同步的时间标准；从时间同步单元，设置在冗余子系统的计算机中，用于将本地时间调整为与主时间同步单元同步的时间。

Description

列控车载设备的安全冗余计算机系统

技术领域

本发明涉及一种列控车载设备的安全冗余计算机系统，属于铁路安全控制技术领域。

背景技术

ATP(Automatic Train Protection，列车超速防护)系统是列控车载设备的核心设备和关键技术。冗余结构的安全计算机是ATP系统的核心模块，既承担着整套系统与外部其他模块的信息接收、处理、输出，而且承担整体系统的控制计算，负责保证系统安全。冗余安全计算机系统负责向接收列车运行过程中各种模块信息，进行铁路控制逻辑运行，并传递给运行控制数据给外接DMI显示设备，而上述所有控制过程都需要在系统中所有的设备在同步的时间标准下完成，对时间同步具有高可靠性、高实时性、高安全性的要求。随着铁路的高速发展，传统的冗余安全计算机已不能满足铁路安全至上的要求。因此，符合CTCS2/CTCS3级需求的安全冗余计算级的ATP系统设备具有很大的市场需求和应用前景。

在冗余安全计算机系统中，由于两个计算机互为备份，当工作系统发生故障，需要将外围输出切换到备份系统时，对于串口通讯，如果切换时刻正好为一帧数据的中间点，即串口发送到半帧数据时发生系间切换，则容易造成系统的不稳定性，系统中的接受数据方会接收到半帧数据，对系统的安全性和稳定性都会造成较大的影响。在目前现有的冗余安全计算机系统结构框图如图1所示，只是对CPU的输出量进行仲裁，而不对系统的整体输出结果(例如串口通讯)进行仲裁。

现有铁路应用的ATP系统设备的时间同步方式采用多为网络或者串口数据同步，即多机之间采用网络或者串口连接，通过网络或者串口发送同步数据帧，由应用程序来判断接收的数据帧是否正确，并且由应用程序来进行超时处理。具体技术方案如图2所示：各个计算机通过网络或者串口连接，并且要求每个计算机发出的同步数据其他三个计算机都能接收到。当工作时，计算机由应用程序发出同步帧数据，同时准备接收另外三台计算机的同步数据，当应用层接收到另外三台计算机的同步数据时，并且判断接收正确时则为同步成功。当未能接收到另外三台计算机的同步数据时，启动系统的超时计时器判断是否超过超时时间，如果超过了超时时间则为同步失败。

因此，在现有的冗余安全计算机系统中，存在只对计算结果进行仲裁，而没有对计算机的各个通道的输出量进行仲裁，且不能保障安全计算机的输出量的正确性和安全性，以及时间同步的过程需要应用层参与，占用系统资源较多，容易被其它应用程序影响且应用程序本身的不稳定，导致了时间同步精度较低、安全性和可靠性较差的问题。

发明内容

本发明为解决在现有的冗余安全计算机系统中，存在只对计算结果进行仲裁，而没有对计算机的各个通道的输出量进行仲裁，且不能保障安全计算机的输出量的正确性和安全性，以及时间同步的过程需要应用层参与，占用系统资源较多，容易被其它应用程序影响且应用程序本身的不稳定，导致了时间同步精度较低、安全性和可靠性较差的问题，提出了一种列控车载设备的安全冗余计算机系统，包括系统间仲裁模块和两个互为热备份的冗余子系统，所述每个冗余子系统包括：

仲裁模块，用于对冗余子系统中的两个计算机的输出量分别进行仲裁，当所述两个计算机的输出量相同时，将所述输出量输出，所述两个计算机的输出量包括I/O端口输出量和通讯端口输出量；

主时间同步单元，设置在冗余子系统的计算机中，用于为连接的从时间同步单元提供调整时间同步的时间标准；

从时间同步单元，设置在冗余子系统的计算机中，用于将本地时间调整为与主时间同步单元同步的时间。

本发明通过对计算机的I/O端口和通讯端口的输出量进行仲裁，保障了安全计算机的输出量的正确性和安全性，以及通过硬件实现多机实时时间同步，解决了由软件实现同步占用系统资源较多、容易被其它应用程序影响及应用程序本身不稳定的问题，具有较高的同步精度、安全性和可靠性也较高。

附图说明

图1是现有技术的一种冗余安全计算机系统仲裁系统的结构示意图；

图2是现有技术的一种时间同步系统结构示意图；

图3是本发明提供的一个冗余子系统的结构示意图；

图4是本发明提供的一种列控车载设备的安全冗余计算机系统的结构示意图。

具体实施方式

本发明的具体实施方式提供了一种列控车载设备的安全冗余计算机系统，包括系统间仲裁模块和两个互为热备份的冗余子系统，每个冗余子系统具体可以包括仲裁模块、主时间同步单元和从时间同步单元，仲裁模块用于对冗余子系统中的两个计算机的输出量分别进行仲裁，当所述两个计算机的输出量相同时，将所述输出量输出，所述两个计算机的输出量包括I/O端口输出量和通讯端口输出量；主时间同步单元设置在冗余子系统的计算机中，用于为连接的从时间同步单元提供调整时间同步的时间标准；从时间同步单元设置在冗余子系统的计算机中，用于将本地时间调整为与主时间同步单元同步的时间。

进一步地，相应的仲裁模块还包括用于若所述两个计算机故障，则将故障编码发送给冗余系统中的冗余计算机。相应的仲裁模块具体可以包括时间差值判断模块和输出量输出模块，时间差值判断模块用于判断所述两个计算机的输出量之间的时间差值是否超过阈值，输出量输出模块用于当所述两个计算机的输出量之间的时间差值不超过阈值且当所述两个计算机的输出量相同时，将所述输出量输出；或者相应的仲裁模块具体可以包括故障判断模块、数据发送模块和仲裁执行模块，故障判断模块用于判断是否所述两个计算机其中之一或全部发生故障，数据发送模块用于当所述两个计算机其中之一或全部发生故障且串口数据已经被放入发送缓存区且已经发送完整帧数据中的部分数据时，首先将未发送完的数据继续发送完，然后将串口切换到备份计算机，再将所述两个计算机的输出量输出，仲裁执行模块用于对所述两个计算机的输出量分别进行仲裁，当所述两个计算机的输出量相同时，将所述输出量输出。

另外，相应的主时间同步单元还可以包括用于在经过预定的等待时间后将连接的从时间同步单元调整为与主时间同步单元同步的时间；用于在一个或多个预定的时间点将连接的从时间同步单元调整为与主时间同步单元同步的时间；用于若一个从时间同步单元故障或一个从时间同步单元所在的系统计算机故障，则主时间同步单元在经过预定的等待时间后断开与故障的从时间同步单元的连接；用于若一个从时间同步单元或一个从时间同步单元所在的系统计算机故障，则将故障的从时间同步单元所在的系统计算机重启，重启后将排除故障的系统计算机的从时间同步单元调整为与主时间同步单元同步的时间。

本具体实施方式提供的一种列控车载设备的安全冗余计算机系统的结构可以参见图3，包括了系统间仲裁模块和两个互为热备份的冗余子系统，考虑到冗余计算机的安全性和可靠性，本具体实施方式的冗余计算机系统优选为2×2取2冗余结构，由四个独立的计算机组成，共分为两个子系统，如图4所示，每个子系统中都由仲裁模块41、主时间同步单元42、从时间同步单元43和两个计算机44组成。

仲裁模块41，用于对冗余子系统中的两个计算机的输出量分别进行仲裁，当所述两个计算机的输出量相同时，将所述输出量输出，所述两个计算机的输出量包括I/O端口输出量和通讯端口输出量。

仲裁模块41为整个冗余安全计算机系统的两个计算机44的输出量进行仲裁，并对输出量进行隔离，即两个计算机44分别将输出量输出给仲裁模块41并由仲裁模块41进行仲裁。两个计算机44的结构如图3所示，可以包括电源、中央处理器、8串口控制器、高速双串口控制器、I/O控制器和同步控制器，8串口控制器和高速双串口控制器为仲裁模块41提供通讯端口输出量，I/O控制器为仲裁模块41提供I/O端口输出量。

进一步地，相应的仲裁模块41具体可以包括时间差值判断模块和输出量输出模块，时间差值判断模块用于判断所述两个计算机44的输出量之间的时间差值是否超过阈值，输出量输出模块用于当所述两个计算机44的输出量之间的时间差值不超过阈值且当所述两个计算机44的输出量相同时，将所述输出量输出。由于两个计算机44的输出量之间可能存在的时间差值，会造成仲裁结果的准确性降低，但如果相应的时间差值在系统允许的范围之内，例如不超过2毫秒，不会影响仲裁结果的准确性，则可以认为两个计算机44的输出量的时间差为零，对于两个计算机的输出量相同的情况，可以将相应的输出量输出，提高了输出量的有效率。

另外，相应的仲裁模块41具体还可以包括故障判断模块、数据发送模块和仲裁执行模块，故障判断模块用于判断是否所述两个计算机44其中之一或全部发生故障，数据发送模块用于当所述两个计算机44其中之一或全部发生故障且串口数据已经被放入发送缓存区且已经发送完整帧数据中的部分数据时，首先将未发送完的数据继续发送完，然后将串口切换到备份计算机，再将所述两个计算机44的输出量输出，仲裁执行模块用于对所述两个计算机44的输出量分别进行仲裁，当所述两个计算机44的输出量相同时，将所述输出量输出。仲裁模块41可以采用双机无缝切换技术，即当两个计算机44其中之一或全部发生故障时，而此时串口数据已经被放入发送缓存区，并且已经发出整帧数据中的部分数据时，备份计算机机依然切换工作，但是串口输出并不及时被切换过来，而是继续将未发完的数据继续发完，然后再将串口切换到备份计算机，保证了两个计算机44的所有输出量(包括离散量和数据)的完整性和可靠性。仲裁模块41还可以监视两个计算机44是否正常，如果故障则会将故障编码发送给2×2取2冗余系统中的其它计算机，由其它计算机分别对故障进行记录，提高了系统的可维修性。

对于仲裁模块41的供电可采用电源平衡技术，即仲裁模块41由两个计算机中的电源共同供电，这样当一个计算机有故障，或者仲裁模块41的电源故障时仲裁都能正常进行，并且能够准确报告故障原因，使得整个系统的维修性和可靠性有了进一步的提高。

主时间同步单元42，设置在冗余子系统的计算机中，用于为连接的从时间同步单元提供调整时间同步的时间标准。

将主时间同步单元42设置在冗余子系统的一个计算机中，并作为冗余子系统的其它计算机的时间同步基准，主时间同步单元42将与其连接的从时间同步单元43调整为与主时间同步单元42的本地时间同步的时间。

从时间同步单元43，设置在冗余子系统的计算机中，用于将本地时间调整为与主时间同步单元同步的时间。

设置在冗余子系统的计算机中的从时间同步单元43将本地时间调整为与主时间同步单元42的本地时间同步。

进一步地，为了能够将同步精度达到us级，本具体实施方式还提供了多种在突发情况下的时间同步解决方案，具体可以包括：

(1)冗余子系统计算机启动时的时间同步：主时间同步单元42在经过预定的等待时间后将连接的从时间同步单元43调整为与主时间同步单元42同步的时间。由于冗余子系统的计算机的启动速度、信号传输速度等影响，初始化完毕的时间可能有一定的差值，最短至1秒钟，最长可达数小时，因此将主时间同步单元42的时间同步请求延迟相应的时间后发出，可以保证与所有从时间同步单元43时间同步的准确性。

(2)冗余子系统计算机完成时间同步后再次进行时间同步：主时间同步单元42在一个或多个预定的时间点将连接的从时间同步单元43调整为与主时间同步单元42同步的时间。由于冗余子系统计算机运行期间可能出现计算误差，因此在完成时间同步后再运行一段时间就可能会出现时间长的误差，因此需要重新进行时间同步。可以由主时间同步单元42在上次时间同步两小时或更长的时间后再次与从时间同步单元43完成时间同步。

(3)冗余子系统中的计算机发生故障时的时间同步：若一个从时间同步单元43故障或一个从时间同步单元43所在的计算机故障，则主时间同步单元42在经过预定的等待时间后断开与故障的从时间同步单元43的连接。当冗余子系统中的计算机或计算机中的时间同步单元发生故障时，需要将故障的时间同步单元屏蔽才能够保证冗余子系统的正常运行，因此可以将主时间同步单元42设置为等待状态，当等待超时的此时超过预设次数时，断开与故障的时间同步单元的连接，转换为三机同步，能够最大限度地加快ATP系统反应速度，提高ATP系统的可用性。

(4)冗余子系统中故障的计算机在排除故障后的时间同步：若一个从时间同步单元43或一个从时间同步单元43所在的系统计算机故障，则将故障的从时间同步单元43所在的系统计算机重启，重启后将排除故障的系统计算机的从时间同步单元43调整为与主时间同步单元42同步的时间。对于发生故障的冗余子系统计算机或计算机中的从时间同步单元43，可以采用自动重启计算机的方法修复故障，重启后的计算机中的从时间同步单元43可以与主时间同步单元42完成时间同步，实现自动插入正常工作的同步时间点，重新实现四机时间同步，进一步提高了ATP系统的可用性。

通过采用硬件完成时间同步，使得应用层的使用变得更简单，当多机同步时，主时间同步单元通过自身来判断同步数据的正确性，当时间同步正常时发送同步中断给ATP系统应用层。由于时间同步方式的独立，并且设置了多种校验方式，使得时间同步的安全性和可靠性更高，并且由硬件中断完成同步，其同步精度可达us级。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims

1.一种列控车载设备的安全冗余计算机系统，包括系统间仲裁模块和两个互为热备份的冗余子系统，其特征在于，每个冗余子系统包括：

2.根据权利要求1所述的安全冗余计算机系统，其特征在于，所述仲裁模块还包括：

用于若所述两个计算机故障，则将故障编码发送给冗余系统中的冗余计算机。

3.根据权利要求1或2所述的安全冗余计算机系统，其特征在于，所述仲裁模块具体包括：

时间差值判断模块，用于判断所述两个计算机的输出量之间的时间差值是否超过阈值；

输出量输出模块，用于当所述两个计算机的输出量之间的时间差值不超过阈值且当所述两个计算机的输出量相同时，将所述输出量输出。

4.根据权利要求1或2所述的安全冗余计算机系统，其特征在于，所述仲裁模块具体包括：

故障判断模块，用于判断是否所述两个计算机其中之一或全部发生故障；

数据发送模块，用于当所述两个计算机其中之一或全部发生故障且串口数据已经被放入发送缓存区且已经发送完整帧数据中的部分数据时，首先将未发送完的数据继续发送完，然后将串口切换到备份计算机，再将所述两个计算机的输出量输出；

仲裁执行模块，用于对所述两个计算机的输出量分别进行仲裁，当所述两个计算机的输出量相同时，将所述输出量输出。

5.根据权利要求1所述的安全冗余计算机系统，其特征在于，所述主时间同步单元还包括：

用于在经过预定的等待时间后将连接的从时间同步单元调整为与主时间同步单元同步的时间。

6.根据权利要求1所述的安全冗余计算机系统，其特征在于，所述主时间同步单元还包括：

用于在一个或多个预定的时间点将连接的从时间同步单元调整为与主时间同步单元同步的时间。

7.根据权利要求1所述的安全冗余计算机系统，其特征在于，所述主时间同步单元还包括：

用于若一个从时间同步单元故障或一个从时间同步单元所在的系统计算机故障，则主时间同步单元在经过预定的等待时间后断开与故障的从时间同步单元的连接。

8.根据权利要求1所述的时间同步系统，其特征在于，所述主时间同步单元还包括：

用于若一个从时间同步单元或一个从时间同步单元所在的系统计算机故障，则将故障的从时间同步单元所在的系统计算机重启，重启后将排除故障的系统计算机的从时间同步单元调整为与主时间同步单元同步的时间。