CN103057567B - 一种铁路信号领域的通用轨旁安全平台 - Google Patents

Abstract

本发明涉及一种铁路信号领域的通用轨旁安全平台，包括主处理子系统MPS、系统诊断维护子系统SDMS、通用网关子系统GGW和冗余网络，所述的MPS、SDMS、GGW分别与冗余网络连接，所述的MPS与GGW控制连接；所述的GGW将输入的外部系统数据传输给MPS，MPS对其进行处理后进行安全校验，并判断校验是否通过，若未通过，MPS控制GGW与冗余网络断开连接，若通过校验，MPS将处理结果发给GGW。与现有技术相比，本发明具有可靠性高、安全性高、扩展性好等优点。

Description

一种铁路信号领域的通用轨旁安全平台

技术领域

本发明涉及一种铁路信号领域，尤其是涉及一种铁路信号领域的通用轨旁安全平台。

背景技术

随着城市轨道交通事业的发展，作为关键装备的轨道交通运控系统的国产自主化研发的需要越来越大。目前基于无线通信技术的CBTC控制系统渐成轨道交通运控系统的主流，在CBTC控制系统中，轨旁安全子系统ZC、LC等，是CBTC控制系统的主要组成部分。ZC、LC主要是通过与列车车载系统的通信来控制列车的正常运行，对可靠性、安全性和可维护性有较高的要求，而保证这些性能的核心设备则是轨旁安全平台。目前在国内地铁市场上应用的轨旁安全平台，大多为国外进口，国产化的轨旁安全平台一方面种类少，另一方面，本身也存在一些不足之处，国产化的轨旁安全平台，一般具有以下几种架构：

一是采用高性能的商用工业控制服务器或工控机作为主要运算单元，采用2取2比较表决的方式实现安全通信输出。此种架构下，系统的安全性和可用性受到商用服务器和工控机的可靠性的限制，且针对商用服务器，难以进行二次扩展开发，2取2的表决机制也不易在商用平台上实现，单纯采用的组合故障安全模式以达到高的安全度，对应的设计会比较复杂。

二是采用完全自主开发的板卡，利用认证版操作系统来解决操作系统的安全性问题；系统架构上采用2取2，或3取2架构，利用组合故障安全技术来实现安全通信输出。这类架构下，所有的板卡均为研发方自制，技术难度高，自制板卡的可靠性和RAM指标等难以保证。且认证版的操作系统价格昂贵，为适应定制的板卡需进行操作系统的BSP包开发，这块的非认证版操作系统的变更也需要考虑到整个平台的安全认证中，无疑也会增加相关的认证工作量。此外，这一方案和第一种方案一样，同样存在着单一采用组合故障安全技术，安全性的保障较为复杂的弱点。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种可靠性高、安全性高、扩展性好的铁路信号领域的通用轨旁安全平台。

本发明的目的可以通过以下技术方案来实现：

一种铁路信号领域的通用轨旁安全平台，其特征在于，包括主处理子系统MPS、系统诊断维护子系统SDMS、通用网关子系统GGW和冗余网络，所述的MPS、SDMS、GGW分别与冗余网络连接，所述的MPS与GGW控制连接；

所述的GGW将输入的外部系统数据传输给MPS，MPS对其进行处理后进行安全校验，并判断校验是否通过，若未通过，MPS控制GGW与冗余网络断开连接，若通过校验，MPS将处理结果发给GGW。

所述的GGW通过交换机与冗余网络连接，所述的MPS通过继电器与交换机的电源控制连接。

所述的MPS采用双机热备冗余，每个MPS包括第一MPU、第二MPU、MCU和安全校验板，所述的第一MPU、第二MPU分别与MCU连接，所述的MCU与安全校验板连接；

所述的MCU将GGW发送的外部数据经处理后，分别转发给第一MPU和第二MPU，所述的第一MPU和第二MPU分别对输入数据进行运算处理，并处理后的结果发送给MCU，MCU对结果数据进行2取2表决处理，并将表决处理结果发送给安全校验板进行校验，安全校验板判断校验是否通过，若未通过，安全校验板通过继电器切断交换机的电源，实现GGW与冗余网络断开连接，否则MCU将处理结果发送给GGW。

所述的第一MPU、第二MPU、MCU分别采用独立电源供电。

所述的MCU通过总线与安全校验板连接。

所述的第一MPU和第二MPU采用硬件完全相同的成熟商用板卡，第一MPU和第二MPU采用完全相异的操作系统。

与现有技术相比，本发明具有以下优点：

1)采用基于COTS商用板卡的2乘2取2架构，运用了组合故障安全策略实现安全表决，且2取2商用板卡上采用相异非认证操作系统，兼顾系统的可靠性和开发周期及开发成本。

2)采用了一块专用的通信+仲裁板，对双通道的2取2结果进行表决仲裁，并将仲裁结果发送给一块具有固有故障安全的安全校验板进行校验，校验的结果能够控制继电器以切断本系统对外的输出，从而保证系统的安全。以上操作在2取2组合故障安全之外，还综合运用了反应故障安全和固有故障安全的原理。

3)作为轨旁安全平台，具有良好的可扩展性，仅需采用不同的配置上的修改，即可通用于地铁和国铁信号领域的不同轨旁设备，满足不同轨旁设备的需求。

附图说明

图1为本发明的结构示意图；

图2为本发明的主处理子系统MPS结构示意图；

图3为本发明的主处理子系统MPS电源分布结构示意图；

图4为本发明的工作流程图。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。

实施例

如图1所示，一种铁路信号领域的通用轨旁安全平台，包括主处理子系统MPS、系统诊断维护子系统SDMS、通用网关子系统GGW和冗余网络，所述的MPS、SDMS、GGW分别与冗余网络连接，所述的MPS与GGW控制连接；

所述的GGW将输入的外部系统数据传输给MPS，MPS对其进行处理后进行安全校验，并判断校验是否通过，若未通过，MPS控制GGW与冗余网络断开连接，若通过校验，MPS将处理结果发给GGW。

其中主处理子系统MPS为整个轨旁安全平台的核心子系统，实现安全通信数据的收发及安全处理；SDMS通过与MPS软件的网络通信来记录MPS的运行状态；GGW子系统负责完成内外网通信数据的转发任务。如图1所示：冗余网络和外部的GGW通用网关之间分别各接有一个MOS交换机，MPS可以通过安全继电器(图1中的虚线)控制该交换机的电源，在该交换机的输出被切断后，MPS经过冗余网络与GGW的连接通道被切断，从而可以阻止危险信息通过网络向外界的输出，使整个系统导向安全。MPS中的APP，指的就是不同的安全应用(如ZC，LC，RBC)，这些应用只需要采用相同的接口与平台相连，就可以采用本平台实现不同的安全应用功能。

图2为本发明的逻辑结构及控制图。整个系统的核心主处理子系统MPS采用2乘2取2的双系热备冗余架构，由两个热备冗余MPS组成，每一系的MPS由两块MPU板(主运算单元)和一块MCU板(主通信单元)组成，两块MPU板采用双CPU组合故障安全技术，进行双通道的处理和运算，运算结果发送给MCU板，MCU板对双通道的运算结果进行2取2表决，并将表决发往安全校验板进行校验，安全校验板本身具有固有故障安全的特性，在校验结果失败后，会使控制MOS交换机的安全继电器断开，从而切断MCU和GGW之间的数据通路，阻止MPS的处理信息对外的输出，使整个系统导向安全。MCU板同时还负责整个系统的对外输入输出通信，在校验结果正常的情况下，负责接收从GGW过来的外部的各种网络输入信息，并转发给MPU1和MPU2板进行双通道的处理，MPU1和MPU2在进行信息处理和运算后，将待输出的运算结果再发送给MCU板，由MCU板在通过安全校验的前提下，再输出给GGW，最终由GGW输出给外部系统。

图3为MPS子系统的结构示意图。图中示出了单系MPS在机笼中的配置情况，三块主要的板卡MPU1，MPU2和MCU，均依靠独立电源供电，互相不影响。MCU板和VPS板之间通过总线方式进行通信。机笼下方有风扇进行散热。

为了保证系统的可用性和RAM指标，双通道的MPU板采用硬件完全相同的COTS货架型的成熟商用板卡，以降低硬件开发风险和开发周期，同时为了既避免采用认证版操作系统所带来的高昂成本和采用认证操作系统进行开发的所受的限制，又能保证操作系统的高安全性，双通道的MPU板采用完全相异的操作系统，在软件设计上也采用了相异性设计，从而保证双通道具有足够的相异性。

作为通用于铁路信号领域的轨旁安全平台，本发明可以通用于地铁和国铁上的不同轨旁安全设备，如：地铁CBTC系统里的ZC(区域控制器)和LC(线路控制器)，以及国铁上的TSRS(临时限速服务器)和RBC(无线闭塞中心)。以上这些不同的轨旁设备，均具有相似的架构，对外采用网络通信的方式进行输入输出，内部要求有安全的运算和处理操作。而本平台的2乘2取2安全冗余架构能够满足不同的轨旁设备的通信需要，用于不同的设备时，只需要针对不同的应用需求，配置不同的通信协议即可，在安全保障和可靠性上的要求是一样的。在系统架构上，不同的系统应用，可以以函数调用的方式，通过统一的接口，分别在MPU1和MPU2板卡的CPU上的运行，其输入输出处理和系统的安全性由本平台本身来保证，应用逻辑处理本身则不再需要关心其安全性的保证。

图4所示为本发明的控制操作的具体流程。以下对图中的各步骤进行详细描述：

在步骤401中，GGW采集外部系统的输入。

在步骤402中，GGW将外部系统输入转发给MCU。

在步骤403中，MCU将外部输入经过处理后，分别转发给MPU1和MPU2。

在步骤404中，MPU1和MPU2各自处理输入信息，并通过与应用的接口传给应用进行各自双通道的运算。

在步骤405中，应用将双通道的运算结果通过与安全平台的接口传给平台。

在步骤406中，MPU1和MPU2各自处理待输出信息后，均发往MCU进行双通道的2取2操作。

在步骤407中，MCU进行2取2比较，并将结果给VPS进行校验。

在步骤408中，VPS判断校验是否通过，若未通过，则安全校验板切断输出，系统宕机，本周期执行结束。若通过，则执行步骤409。

在步骤409中，MCU板将对外输出信息发给GGW。

在步骤410中，GGW将信息发给外部通信系统。

Claims (3)

1.一种铁路信号领域的通用轨旁安全平台，其特征在于，包括主处理子系统MPS、系统诊断维护子系统SDMS、通用网关子系统GGW和冗余网络，所述的MPS、SDMS、GGW分别与冗余网络连接，所述的MPS与GGW控制连接；

所述的GGW将输入的外部系统数据传输给MPS，MPS对其进行处理后进行安全校验，并判断校验是否通过，若未通过，MPS控制GGW与冗余网络断开连接，若通过校验，MPS将处理结果发给GGW；

所述的GGW通过交换机与冗余网络连接，所述的MPS通过继电器与交换机的电源控制连接；

所述的MPS采用双机热备冗余，每个MPS包括第一MPU、第二MPU、MCU和安全校验板，所述的第一MPU、第二MPU分别与MCU连接，所述的MCU与安全校验板连接；

所述的MCU将GGW发送的外部数据经处理后，分别转发给第一MPU和第二MPU，所述的第一MPU和第二MPU分别对输入数据进行运算处理，并处理后的结果发送给MCU，MCU对结果数据进行2取2表决处理，并将表决处理结果发送给安全校验板进行校验，安全校验板判断校验是否通过，若未通过，安全校验板通过继电器切断交换机的电源，实现GGW与冗余网络断开连接，否则MCU将处理结果发送给GGW；

所述的第一MPU和第二MPU采用硬件完全相同的成熟商用板卡，第一MPU和第二MPU采用完全相异的操作系统；

其中MPU为主运算单元，MCU为主通信单元。

2.根据权利要求1所述的一种铁路信号领域的通用轨旁安全平台，其特征在于，所述的第一MPU、第二MPU、MCU分别采用独立电源供电。

3.根据权利要求1所述的一种铁路信号领域的通用轨旁安全平台，其特征在于，所述的MCU通过总线与安全校验板连接。