CN102955903A - 一种轨道交通计算机控制系统安全苛求信息的处理方法 - Google Patents

Abstract

一种应用于铁路或轨道交通行业计算机控制系统的安全苛求信息的处理方法，将输入信息采用一分为四的分配方法分别传送给负责信息处理的I系和II系内的两个独立通道安全计算处理模块进行分别处理并独立输出，其输出具备三级输出结构,包括一级单系内部的双通道仲裁输出、二级双系切换输出、三级最终安全控制输出。一级单系双通道仲裁输出在同步机制的保证下实现两个输出信息的二取二表决,二级双系无缝热备切换输出时遵循故障-安全原则，三级安全控制输出针对数字信号采用安全型继电器实施有效电气隔离。本发明通过仲裁、切换、安全隔离等方法避免计算机系统的随机与偶然故障导致的危险控制，从而满足大容量交通运输工具的安全性苛刻要求。

Description

一种轨道交通计算机控制系统安全苛求信息的处理方法

技术领域

本发明实施例涉及包括铁路、城市轨道交通等轨道交通运行控制技术领域的安全计算机系统，尤其涉及一种计算机控制系统安全苛求信息的处理方法。

背景技术

目前，作为涉及公共利益与公众安全的大容量交通系统，铁路和城市轨道交通等在设计上必须遵循欧洲标准EN50129以确保其运行控制系统在具备高可靠运行控制功能的同时达到最高的安全性等级SIL4级的要求。应用在铁路和轨道交通运行控制系统中且满足SIL4级安全要求的计算机系统被称为安全计算机控制系统。

通常情况下，轨道交通领域在车载控制、轨旁控制、中心联锁控制等模块中采用安全计算机控制系统进行运行控制。安全计算机控制系统作为一种复杂系统，在实际计算处理过程中不可避免的计算运行的不稳定，输出控制的不确定，甚至死机等故障与差错都会直接威胁输出运行控制信号的可靠性和安全性。为了提高运行控制的安全可靠性，国际标准IEC61508推荐使用融合了硬件和控制软件二取二安全控制计算机结构。二乘二取二的安全控制计算机体系结构是一种带有诊断功能的冗余安全计算机系统，它由4个控制计算机处理系统组合成一个完整的安全计算机，该结构中二乘指两组能够分别单独运行、相互之间可实现无缝切换的双机比较系统，称之为双系安全计算机系统,二取二指每系安全计算机分别由两个安全计算处理通道组成。

在实现本发明过程中，发明人发现嵌入式二乘二取二安全计算机系统信息处理方法存在着模块间接口及方法不统一、采用多处理器同步处理同一信息时的同步机制不确定、输出控制存在安全隐患等问题，有待进一步完善和改进。

发明内容

本发明实施例提供一种能够满足轨道交通领域SIL4级高安全性要求的二乘二取二计算机控制系统安全苛求信息的处理方法，用以解决计算机应用于安全领域的信息处理问题，并能够有效提高整个控制系统的安全性与可靠性。

本发明提供一种满足轨道交通计算机控制系统安全苛求信息的处理方法，具体的信息处理步骤如下：

1）安全计算机信息可靠输入即输入数据分发：其输出端分别连接I系和II系安全计算机系统的输入端，用于实现输入数据分发，将轨道交通控制信号的常规输入信号匹配到相应的接口模块，接口模块实施1分为4的数据分发，向I系和II系安全计算机系统内的四路通道发送经转换的，且可与数字信号接口、RS-232接口、RS-485接口、CAN总线接口和RJ45接口等多类电平相匹配的输入信号；

2）安全计算机多通道信息处理即同步处理及仲裁输出：为保证各独立通道的处理结果实时有效，对I系及II系计算机内部A、B独立通道的信息处理过程进行同步，然后对I系及II系内两个独立通道的信息处理的结果进行比较仲裁及输出控制；

3）安全计算机输出切换控制：切换控制模块其输入端来自I系和II系安全计算机系统的输出端，用于实现对I系和II系安全计算机的运行状态进行监控并实现无缝热备切换，当处于工作状态的某系计算机发生故障时则切换到另一系正常的安全计算机；

4）安全计算机安全控制输出：其输入端来自热备系统输出切换控制模块，用于实现计算机系统与外部控制之间的有效电气隔离,完成最终输出控制信号的故障-安全处理，即当安全计算机的处理信息为故障信息时，系统输出侧能保证不发出危险侧的错误信号。

进一步，所述的多通道信息处理，包括安全计算机信息同步处理、仲裁输出两个关键步骤：

(1)信息同步处理，包括安全计算机内部同步处理和安全计算机间同步处理两种。其中安全计算机内部同步处理可采用通过看门狗方式实现计算机间同步接收和发送，也可以采用共享内存方式实现同步数据的交换；安全计算机间同步处理采用接力方式实现通道间同步数据的交换。

(2)仲裁输出，由仲裁模块完成包括二取二比较器比较及输出控制，二取二比较器包含数字信号比较器和报文信号比较器，数字信号比较器可直接采用比较电路实现，报文信号比较器采用专用处理智能芯片实现逻辑比较，二取二比较器对比较结果进行相应的仲裁，如输入的两路数字信号或报文信号相同时则为有效信号，比较器将输入信号继续输出,不同时则为无效信号比较器则输出故障导向安全的控制信号，同时将有效或无效的状态信号进行反馈。

所述的输出切换控制，由切换控制模块完成，其控制方法为当两系安全计算机系统中的任一系工作正常时，系统即可输出正常输出信号。当其中某一系发生故障时，能对输出信号进行切换输出。在两个安全计算机系统均出现运行不正常情况下，则输出默认的故障安全控制信号。

所述的安全控制输出包含两个关键方法：

(1)对输出控制信号的安全保障方法，即，系统设置了专门的安全计算机控制输出模块保证计算机系统与外部控制之间的有效电气隔离，采用安全型继电器实现电气隔离，即当安全计算机的处理信息为故障信息时，对最终输出故障控制信号进行故障-安全处理，保证输出侧不发出危险侧的错误控制信号；

(2)输出多级反馈机制及反馈信息处理。输出反馈机制包括报文信号的二级反馈机制和数字信号的三级反馈机制，报文信号的二级反馈通过输出仲裁模块处理反馈和热备系统输出切换控制模块的处理反馈实现。数字输出信号的三级反馈信息，分别包括I系或II系的输出仲裁模块二取二输出反馈信息，热备系统输出切换控制模块输出反馈信息，安全计算机继电器隔离输出反馈信息。通过输出反馈信息，安全计算处理通道能够实现输出控制信号的诊断和控制。当发现输出控制模块出现故障不能正常工作时，则可以输出切断控制输出信号在故障安全状态，从而实现系统的故障安全控制。

本发明所包含输入数据分发、同步处理及仲裁输出、切换控制输出、安全控制输出等功能，能够实现多通道的信息同步处理、并对处理结果经过仲裁、切换、安全隔离等方法保障输出控制信号的的安全控制和安全确认。它提供一种满足轨道交通计算机控制系统安全苛求信息的处理方法技术方案，可在安全计算机系统设计层次清晰的基础上使控制更为精确、输出更为可靠和安全有效，确保大容量交通运输工具的安全性苛刻要求。

附图说明

图1a为本发明所采取的输入分配方案、两系冗余处理以及三级输出控制的基本方法示意图。

图1b为本发明实施例一提供的轨道交通二乘二取二计算机控制系统安全苛求信息的处理方法实现原型系统的结构示意图；

图2为本发明实施例二提供的二乘二取二安全计算机控制系统信息输入模块信息一分为四的结构示意图；

图3为本发明实施例三提供的二乘二取二安全计算机通道间同步的结构示意图；

图4为本发明实施例四提供的安全计算机二取二仲裁输出控制的结构示意图；

图5为本发明实施例四提供的安全计算机二取二数字信号仲裁输出控制的原理示意图；

图6为本发明实施例五提供的二乘二取二安全计算机两系系统输出切换控制模块的结构示意图；

图7为本发明实施例六提供的二乘二取二安全计算机继电器隔离输出的原理示意图；

图8为本发明实施例七提供的二乘二取二安全计算机三级输出信息反馈的结构示意图；

图9为本发明实施例八提供的二乘二取二安全计算机三级输出切断控制的结构示意图。

图中标号：10为安全计算机信息输入模块，11为数字信号输入分配模块，12为RS232串行输入分配模块，13为RS485串行输入分配模块，14为CAN串行输入分配模块，15为RJ45串行输入分配模块，20为I系安全计算机系统，21为I系A通道安全计算处理模块，22为I系B通道安全计算处理模块，23为I系输出仲裁模块，30为II系安全计算机系统，31为II系A通道安全计算处理模块，32为II系B通道安全计算处理模块，33为II系输出仲裁模块，40为热备系统输出切换控制模块，41为I系输出缓冲，42为II系输出缓冲，43为选择逻辑判断模块43，44为输出控制模块，50为安全计算机控制输出模块，231为数字信号二取二比较器，232为报文信号二取二比较器。

具体实施方式

为使本发明实施例目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中安全苛求信息的处理方法进行进一步清楚、完整的描述。

图1a为本发明所采取的输入分配方案、两系冗余处理以及三级输出控制的基本方法示意图。

图1b为本发明实施例一提供的轨道交通二乘二取二计算机控制系统安全苛求信息的处理方法实现原型系统的结构示意图，其核心结构为二乘二取二安全计算机信息处理系统如图1b所示，本发明所涉及的二乘二取二安全计算机信息处理系统包括：安全计算机信息输入模块10、I系安全计算机系统20、II系安全计算机系统30、热备系统输出切换控制模块40和安全计算机控制输出模块50五个部分。其中，I系安全计算机20又包含I系A通道安全计算处理模块21、I系B通道安全计算处理模块22和I系输出仲裁模块23三个部分；II系安全计算机30也又包含II系A通道安全计算处理模块31、II系B通道安全计算处理模块32和II系输出仲裁模块33三个部分。

本实施例中每系单通道安全计算处理模块（I系A通道安全计算处理模块21，I系B通道安全计算处理模块22，II系A通道安全计算处理模块31和II系B通道安全计算处理模块32）仅分别针对各自通道内部的输入信息进行处理，但在信息处理过程中与其它通道安全计算处理模块保持同步通信，然后同步输出本通道的控制信号。输出仲裁模块（I系仲裁模块23和II系仲裁模块33）实现每系安全计算输出模块的二取二仲裁输出。I系安全计算机和II系安全计算机共同构成了二乘二取二安全计算机系统。

本实施例提供的轨道交通二乘二取二计算机控制系统安全苛求信息的处理方法实现原型系统的信息处理流程如下：安全计算机信息输入模块10接收轨道交通系统常规输入信号，并在实现该信号对系统内各类型电平接口的匹配后，将多路电平匹配信号分别送入I系安全计算机20和II系安全计算机30中；I系安全计算机20和II系安全计算机30实现二乘二取二的输入信息同步处理及仲裁输出，并将各自结果送入热备系统输出切换控制模块40；热备系统输出切换控制模块40实现切换控制输出，确保在两系安全计算机有大于等于一系正常工作的情况下输出正常的系统控制信号，并确保在两系安全计算机均存在故障的情况下输出默认的故障-安全控制信号；安全计算机控制输出模块50接收热备系统输出切换控制模块40的输出信息后，一方面确保安全计算机系统数字控制信号与外部控制信号之间的有效电气隔离，另一方面则通过它与I系安全计算机20、II系安全计算机30及热备系统输出切换控制模块40所建立的输出多级反馈机制实时监测系统控制信号输出与模块判决输出的异同，并在系统控制信号输出与模块判决输出出现偏差的情形下启动反馈信息处理的诊断功能。

本实施例提供的轨道交通二乘二取二计算机控制系统安全苛求信息的处理方法实现原型系统，通过引入多重信息处理通道和信息反馈机制，实现了对输入信号的安全处理、同步通信和输出控制，可以有效提高轨道交通运行控制信号输出的可靠性，有效解决运行过程中系统对常规输入/输出信号的各类接口匹配性差、处理器同步机制不完善、输出控制机制不健全等问题，达到轨道交通运行控制系统对于高安全性的苛求。图2为本发明实施例二提供的二乘二取二安全计算机控制系统信息输入模块信息一分为四的结构示意图，该结构的核心是使安全计算机信息输入模块10具备处理多种类型的输入信号的性能，在该结构中，安全计算机信息输入模块10包含如下接口分配模块：数字信号输入分配模块11、RS232串行输入分配模块12、RS485串行输入分配模块13、CAN串行输入分配模块14、RJ45串行输入分配模块15等。

本实施例提供的输入分配模块能实现把输入信号进行一分为四的分配，在分别将轨道交通常规输入信号转换为与各类接口匹配的输入信号后，分配输入到二乘二取二的四个单通道安全计算处理模块（I系A通道安全计算处理模块21，I系B通道安全计算处理模块22，II系A通道安全计算处理模块31和II系B通道安全计算处理模块32）进行处理。

本实施例提供的二乘二取二安全计算机控制系统信息输入模块信息一分为四的结构，可有效解决运行过程中系统对常规输入/输出信号的各类接口匹配性差的问题，使计算机控制安全苛求信息处理模块的输入/输出信号适应数字信号对应的数字信号接口电平和报文信号对应的报文信号串行接口电平、CAN总线电平、以太网通信接口电平等。

图3为本发明实施例三提供的二乘二取二安全计算机通道间同步的结构示意图，其核心思想是在I系安全计算机20和II系安全计算机30的四个单通道安全计算处理模块（I系A通道安全计算处理模块21，I系B通道安全计算处理模块22，II系A通道安全计算处理模块31和II系B通道安全计算处理模块32）对接收到输入信号进行独立的信息处理过程中，各个通道处理模块间所进行的两种类型的同步处理，包括：

安全计算机内部同步处理a：采用计算机间同步接收和发送方式，或采用共享内存方式实现安全计算机内部通信，并实现同步数据的交换。

安全计算机间同步处理b：采用接力方式实现安全计算机之间各通道间通信，并实现同步数据的交换，同步数据发送顺序为I系A通道安全计算处理模块21→I系B通道安全计算处理模块22→II系A通道安全计算处理模块31→II系B通道安全计算处理模块32→I系A通道安全计算处理模块21。

本实施例提供的二乘二取二安全计算机通道间同步的结构，可有效实现安全计算机整体系统的内部同步处理，每系安全计算机可实现计算机内部的安全信息的同步处理并输出实时有效的控制信息。

图4为本发明实施例四提供的安全计算机二取仲裁输出控制的结构示意图，仲裁输出控制结构的核心是安全计算机输出仲裁模块23，包括：

数字信号二取二比较器231：可直接采用电路搭建，图5即为本发明实施例四提供的安全计算机二取仲裁输出控制的原理示意图；

报文信号二取二比较器232：采用专用处理智能芯片进行逻辑比较实现。

需要指出的是，II系安全计算机系统30的组成及内部处理与I系安全计算机系统20的组成及内部处理具有相同的技术构成。这里对于实施例四的说明以I系安全计算机系统20为例进行说明，II系安全计算机系统30中仲裁输出结构的核心是安全计算机仲裁模块33，它包括数字信号二取二比较器331和报文信号二取二比较器332。

本实施例提供的安全计算机二取二仲裁输出控制的结构，其每系安全计算机内的输出仲裁模块可实现对其内部两个安全计算处理通道输出信号的表决功能，只有两个处理通道输出的控制信号均为有效时，输出仲裁模块才输出控制信号，否则输出能够使系统导向安全的控制信号。本实施例提供的安全计算机二取二仲裁输出控制结构符合轨道交通系统对于安全性能的苛求，可有效提高系统的整体运行控制安全性能。

图6为本发明实施例五提供的二乘二取二安全计算机两系系统输出切换控制模块的结构示意图，其核心是两系系统输出切换控制模块40，包括：

I系输出缓冲41和II系输出缓冲42：分别缓冲I系安全计算机20和II系安全计算机30的二取二输出信号，并将该信号输出到输出控制模块44。

选择逻辑判断模块43：接收I系安全计算机20和II系安全计算机30的运行状态信号，并根据运行状态信号判断决定实际的输出控制信号。

输出控制模块44：综合判定I系安全计算机20和II系安全计算机30的当前运行状态，并向下一模块输出合理的运行控制输出结果。其判定逻辑是：如果I系安全计算机20运行状态信号正常而II系安全计算机30不正常则输出I系安全计算机20的控制信号，如果II系安全计算机30运行状态信号正常而I系安全计算机20不正常则输出II系安全计算机30的控制信号，在I系安全计算机20和II系安全计算机30运行状态信号均正常情况下，输出系统默认的I系安全计算机20的信号，在I系安全计算机20和II系安全计算机30均出现运行不正常情况下，则输出默认的故障-安全控制信号。

本实施例提供的二乘二取二安全计算机两系系统输出切换控制模块的结构，在前述单系安全计算机二取二选择逻辑判断输出的基础上，通过对两系安全计算机运行状态的实时判断进行二次表决，可进一步有效提升系统整体的安全可靠性。通常情况下，I系和II系只要存在一系工作正常，二乘二取二安全计算机系统即可输出正常控制信号。

图7为本发明实施例六提供的二乘二取二安全计算机继电器隔离输出的原理示意图，它是安全计算机控制输出模块50的核心功能之一。在经过安全计算机的二取二输出仲裁和两系安全计算机系统输出选择之后，通过搭建带有安全型继电器的物理电路，可保证二乘二取二安全计算机系统数字控制信号与外部控制之间的有效电气隔离。

需要指出的是，考虑到轨道交通实际应用场景各类数字信号干扰，本实施例提供的二乘二取二安全计算机继电器隔离输出结构是特别针对数字控制信号抗干扰输出的解决方案，该方案可有效减少轨道交通运行控制现场供电、通信及信号等各类电气信号对二乘二取二安全计算机控制信号输出的电磁干扰，进一步提升系统整体的可靠性。

图8为本发明实施例七提供的二乘二取二安全计算机三级输出信息反馈的结构示意图，其核心是数字信号的三级反馈机制和报文信号的二级反馈机制。

数字输出信号的三级反馈信息如图8所示，分别包括I系安全计算机20的输出仲裁模块23或II系安全计算机30的输出仲裁模块33二取二输出反馈信息①，热备系统输出切换控制模块输出反馈信息②，安全计算机继电器隔离输出反馈信息③。通过输出反馈信息，安全计算处理通道能够实现输出控制信号的诊断和控制。

报文信号的二级反馈通过输出仲裁模块处理反馈和热备系统输出切换控制模块的处理反馈实现。每系输出仲裁模块将报文信号的输出处理结果反馈给本系的两个安全计算处理通道进行输出确认和后续控制；热备系统输出切换控制模块则将处理结果分别反馈到两系的安全计算处理通道。

本实施例提供的二乘二取二安全计算机三级输出信息反馈机制，可有效确保输出控制的实时有效性，在原有系统设计基础之上增加了对输出信息检测的双重保护机制，进一步提高了系统的整体安全性能。

图9为本发明实施例八提供的二乘二取二安全计算机三级输出切断控制的结构示意图，其核心思想是：当安全计算机在处理反馈信息时，如果发现输出反馈信息与实际输出信息出现偏差，则系统会启动诊断功能。当发现输出控制模块出现故障不能正常工作时，则可通过输出切断控制将输出信号设置在故障-安全状态，从而实现系统的故障-安全控制。

本实施例提供的二乘二取二安全计算机三级输出切断控制机制中，安全计算处理模块21和22会输出各自的切断控制信号④给输出仲裁模块23，输出切断控制信号⑤给热备系统输出切换控制模块40，输出切断控制信号⑥给安全计算机控制输出模块50，从而实现对输出故障-安全的三层切断控制保障体系。

本实施例提供的二乘二取二安全计算机三级输出切断控制机制，是对前述系统设计在确保输出正确结果前提下，对系统可能出现各类故障时使系统导向安全侧的另一重保障，该设计可有效确保输出控制信号的操作安全性，极大程度地提高系统输出控制信号的可靠度和安全性。

以上所述各个实施例仅仅是示意性的，其中作为分立部分说明的系统模块可以是或者也可以不是物理上分开的。在实际轨道交通运行过程中，可根据需要选择其中的部分或全部模块来实现上述实施例方案的目的。本领域普通技术人员在不付出创造性劳动的前提下，即可以理解并实施。

上述的对实施例的描述是为便于该技术领域的普通技术人员能理解和应用本发明。熟悉本领域技术的人员显然可以容易地对这些实施例做出各种修改，并把在此说明的一般原理应用到其他实施例中而不必经过创造性的劳动。因此，本发明不限于这里的实施例，本领域技术人员根据本发明的揭示，不脱离本发明范畴所做出的改进和修改都应该在本发明的保护范围之内。

Claims (4)

1.一种满足轨道交通计算机控制系统安全苛求信息的处理方法，其特征在于：包括以下步骤：

1）安全计算机信息可靠输入，即输入数据分发：其输出端分别连接I系和II系安全计算机系统的输入端，用于实现输入数据分发，将轨道交通控制信号的常规输入信号匹配到相应的接口模块，接口模块实施1分为4的数据分发，向I系和II系安全计算机系统内的四路通道发送经转换的，且可与数字信号接口、RS-232接口、RS-485接口、CAN总线接口和RJ45接口多类电平相匹配的输入信号；

2）安全计算机多通道信息处理，即同步处理及仲裁输出：为保证各独立通道的处理结果实时有效，对I系及II系计算机内部A、B独立通道的信息处理过程进行同步，然后对I系及II系内两个独立通道的信息处理的结果进行比较仲裁及输出控制；

3）安全计算机输出切换控制：切换控制模块其输入端来自I系和II系安全计算机系统的输出端，用于实现对I系和II系安全计算机的运行状态进行监控并实现无缝热备切换，当处于工作状态的某系计算机发生故障时则切换到另一系正常的安全计算机；

4）安全计算机安全控制输出：其输入端来自热备系统输出切换控制模块，用于实现计算机系统与外部控制之间的有效电气隔离,完成最终输出控制信号的故障-安全处理，即当安全计算机的处理信息为故障信息时，系统输出侧能保证不发出危险侧的错误信号。

2.根据权利要求1所述的满足轨道交通计算机控制系统安全苛求信息的处理方法，其特征在于：所述的多通道信息处理，包括以下两个步骤：

(1)安全计算机信息同步处理，包括安全计算机内部同步处理和安全计算机间同步处理两种；其中安全计算机内部同步处理采用通过看门狗方式实现计算机间同步接收和发送，或者采用共享内存方式实现同步数据的交换；安全计算机间同步处理采用接力方式实现通道间同步数据的交换；

(2)仲裁输出，由仲裁模块完成包括二取二比较器比较及输出控制，二取二比较器包含数字信号比较器和报文信号比较器，数字信号比较器直接采用比较电路实现，报文信号比较器采用专用处理智能芯片实现逻辑比较，二取二比较器对比较结果进行相应的仲裁，如输入的两路数字信号或报文信号相同时则为有效信号，比较器将输入信号继续输出；不同时则为无效信号比较器则输出故障导向安全的控制信号，同时将有效或无效的状态信号进行反馈。

3.根据权利要求1所述的满足轨道交通计算机控制系统安全苛求信息的处理方法，其特征在于：所述的输出切换控制，由切换控制模块完成，其控制方法为当两系安全计算机系统中的任一系工作正常时，系统即可输出正常输出信号；当其中某一系发生故障时，能对输出信号进行切换输出；在两个安全计算机系统均出现运行不正常情况下，则输出默认的故障安全控制信号。

4.根据权利要求1所述的满足轨道交通计算机控制系统安全苛求信息的处理方法，其特征在于：所述的安全控制输出包括：

(1)对输出控制信号的安全保障方法：系统设置了专门的安全计算机控制输出模块保证计算机系统与外部控制之间的有效电气隔离，完成最终输出控制信号的故障-安全处理，即当安全计算机的处理信息为故障信息时，采用安全型继电器进行电气隔离，系统输出侧能保证不发出危险侧的错误信号；

(2)输出多级反馈机制及反馈信息处理：输出反馈机制包括报文信号的二级反馈机制和数字信号的三级反馈机制，报文信号的二级反馈通过输出仲裁模块处理反馈和热备系统输出切换控制模块的处理反馈实现；

数字输出信号的三级反馈信息，分别包括I系或II系的输出仲裁模块二取二输出反馈信息，热备系统输出切换控制模块输出反馈信息，安全计算机继电器隔离输出反馈信息；通过输出反馈信息，安全计算处理通道能够实现输出控制信号的诊断和控制；当发现输出控制模块出现故障不能正常工作时，则可以输出切断控制输出信号在故障安全状态，从而实现系统的故障安全控制。

Images