CN104917771A - 一种用单cpu实现安全系统对外安全通讯的装置 - Google Patents

Abstract

本发明涉及一种用单CPU实现安全系统对外安全通讯的装置，包括与多个外部安全系统通信连接的内部安全系统，该内部安全系统包括多个多重冗余数据处理CPU以及分别与每个数据处理CPU通信连接的接口CPU，该接口CPU负责同其它安全系统按不同的安全通讯协议进行通讯和信息交互。与现有技术相比，本发明具有安全性高、稳定性好、扩展性好，采用统一的安全原理并能实现对不同系统按不同通讯协议进行安全通讯等优点。

Description

一种用单CPU实现安全系统对外安全通讯的装置

技术领域

本发明涉及一种轨道交通的安全通讯系统，尤其是涉及一种用单CPU实现安全系统对外安全通讯的装置。

背景技术

在现代轨道交通控制系统中，不论是高铁的CTCS2/CTCS3系统，还是地铁的CBTC系统，各安全系统间都必须接口，进行安全的数据通讯和数据交换。如何在各安全系统的相互通讯中，保证所传输安全数据的安全性，是必须要解决的问题。

目前，安全系统一般均采用多重冗余系统，各系统间的通讯一般采用被公认的安全通讯协议。例如，在国铁信号系统中采用的RSSP-I、RSSP-II和Subset-098，是较为成熟的安全通讯协议。

对多重冗余系统来说，需要比较多的对外安全接口。例如，对于高铁信号系统来说，车站列控中心系统需同相邻的列控中心系统、联锁系统和临时限速服务器这些安全系统接口。对于众多的安全接口，一般可以在原有的多重冗余系统上直接增加安全接口，但这样会造成安全系统处理上的困难(处理能力、处理周期、系统的大幅调整等)，随意增加接口也还带来安全系统的稳定性等问题。目前，对现有安全系统的对外接口存在如下的问题：

1)各接口的通讯协议和数据内容不一样，很难实现安全通讯的统一处理，每次增加接口就意味着安全系统的重新调整、测试和认证；

2)安全协议等的不同造成了所用安全原理的不同，使多重冗余系统的安全处理很难一致；

3)多重冗余系统中一般只能有一个CPU对外接口，接口CPU的指定，会增大多重冗余CPU负担的工作的差异，使多重冗余CPU的同步遇到困难；

4)在安全系统上随意增加接口会带来安全系统的稳定性问题，而安全系统的宕机一般会引起安全系统停用，甚至影响行车。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种安全性高、稳定性好、用单CPU实现安全系统对外安全通讯的装置，采用统一的安全原理并能实现对不同系统按不同通讯协议进行安全通讯。

本发明的目的可以通过以下技术方案来实现：

一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，包括与多个外部安全系统通信连接的内部安全系统，该内部安全系统包括多个多重冗余数据处理CPU以及分别与每个多重冗余数据处理CPU通信连接的接口CPU，该接口CPU负责同其它安全系统按不同的安全通讯协议进行通讯和信息交互。

所述的接口CPU内嵌有内部安全系统接口模块、外部安全系统接口模块和数据处理与转换模块；

所述的内部安全系统接口模块，与内部安全系统中的每个多重冗余数据处理CPU进行逻辑连接；

所述的外部安全系统接口模块，用于按照相应的通道要求和安全协议要求，同各个外部安全系统进行安全通讯；

所述的数据处理与转换模块，用于负责数据的汇集和分发。

所述的内部安全系统接口模块与各数据处理CPU采用安全通讯协议N进行通讯，所传输的数据可采用原有系统的安全编码或通用的CRC编码进行防护。

所述的外部安全系统接口模块将数据处理与转换模块组完帧的发送帧数据发送给外部安全系统，并将接收到的安全数据按接收帧的格式存储在接口CPU中。

所述的数据处理与转换模块对每个数据处理CPU发送的数据进行合帧，完成对内接收数据到安全通讯发送帧的数据转换、组帧和分发，以及安全通讯接收帧到对内发送数据的转换和整合。

所述的数据处理与转换模块处理过程中，对内发送数据和对内接收数据，以及安全通讯接收帧和发送帧都是带有防护的安全数据。

所述的数据处理与转换模块具体处理过程如下：

首先对内部安全系统的多个多重冗余数据处理CPU传输来的信息进行合并的工作，即将多个数据处理CPU传来加防护的发送数据组合成新的发送数据；

随后，将内部安全系统来的发送数据根据内容进行分拆，按对外安全通讯的协议P1、P2……Pn分别进行组帧；同时，接口CPU负责将通过对外通道C1、C2……Cn并通过安全通讯协议P1、P2……Pn通讯得到的数据，转换为内部的接收数据；

最后，对从外部安全系统收到的信息，在整合并转换成符合安全编码的数据后直接传递给内部安全系统的多个数据处理CPU，由多个数据处理CPU进行处理。

数据转换过程采用安全的数据转换，在转化数据的同时，将数据的原有检验转化形式后计入新的数据检验。

与现有技术相比，本发明具有以下优点：

1)采用统一的单CPU进行接口的转换和实现对外部安全系统的连接，在增加设备不多和花费不大的情况下，可以预先完成对内部安全系统内部接口的开发并预留对外部安全系统Bn的接口，增加了系统的灵活性。同时，大大地简化各子系统的功能并降低了开发难度，也能更好保证系统的安全性和稳定性，是一种有化繁为简且能取得良好效果的接口方式。

2)在单CPU的具体实现方式上，提出了采用信息合帧和带防护的安全转换来实现接收数据/发送数据和安全通讯协议的相互转换的方式，得到了接口CPU进行安全通讯的统一方式，也确保了接口CPU的安全性，解决了安全系统对外通讯的安全性难题。

本发明带来了有益的效果，具体如下：

1)在内部安全系统中增加单CPU负责同安全系统进行接口，可以采用统一的既定的内部接口，提前进行接口CPU的开发，大大缩短对外接口的开发周期，提升系统开发的效率。

2)增加单CPU对外接口，可以使内部安全系统的主体部分不同外系统直接相连，减小内部安全系统中各部分的复杂性，易于实现系统的稳定性。

3)最为重要的，增加单CPU对外接口，可以确保内部安全系统主体部分的安全性；同时，采用统一的方式进行数据的接收/发送和数据转换，使接口CPU也得到了很好的安全保证，确保了系统的安全性。

4)接口CPU的使用，增加了内部安全系统对外部安全系统Bn接口的灵活性，也使系统可以适合于更复杂的接口情况。

附图说明

图1为本发明接口CPU实现安全系统对外安全接口的系统图；

图2为本发明接口CPU的多线程设计示意图；

图3为本发明数据处理和转换线程的流程图。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。

实施例

本发明在内部安全系统中设置一个单CPU作为专门的接口CPU，统一由其负责同其它外部安全系统进行接口，按不同的安全通讯协议进行通讯和信息交互。接口CPU一般可以采用通用的商用单板机(对外接口需比较灵活)，也可以直接采用工控机。接口CPU的系统连接图如图1所示。

这种装置的主要连接如下：

1)接口CPU同原有的安全系统A进行接口，一般可以通过内部接口如网口、串口、CAN口等进行连接。以原安全系统为2取2系统为例，接口CPU需同CPU1和CPU2进行连接，其逻辑连接如图1。其物理连接可以根据具体的要求进行设计，如为网络连接和CAN口连接，则接口CPU只需要一个物理接口进行连接；如为RS232串口连接，接口CPU则需要不同的接口同CPU1和CPU2进行连接。

2)接口CPU可以同多个外部安全系统Bn进行连接，其逻辑连接如图1。其物理连接可以根据网络组成的实际情况进行连接。

这种装置的主要处理内容如下：

1)同系统A接口：接口CPU同原有安全系统A的多个CPU分别进行逻辑连接，并采用安全通讯协议N进行通讯，所传输的数据可采用原有系统的安全编码(系统A中原来采用的安全防护编码)或通用的CRC编码进行防护。接口CPU同安全系统的多个CPU间一般要求有较频繁的传输速率和较快的传输速度，一般要求比安全系统A同外界的接口快和频繁。

2)同外部安全系统Bn接口：接口CPU负责按照相应的通道要求和安全协议要求，同各个外部安全系统Bn进行安全通讯，将接口CPU组完帧的发送帧数据发送出去，并将接收到的安全数据按接收帧的格式存储在接口CPU中。

3)数据处理和转换：接口CPU首先对安全系统的多个CPU传输来的信息进行合并的工作，一般可以简单采用合帧的方式，即将多个CPU传来加防护的发送数据组合成新的发送数据；随后，接口CPU负责将系统A来的发送数据根据内容进行分拆，按对外安全通讯的协议P1、P2……Pn分别进行组帧；同时，接口CPU负责将通过对外通道C1、C2……Cn并通过安全通讯协议P1、P2……Pn通讯得到的数据，转换为内部的接收数据。在这些数据的转换中，必须要实现安全的数据转换。单CPU实现编码转换的原理为：在转化数据的同时，将数据的原有检验转化形式后计入新的数据检验。也就是将简单的数据赋值，转变为多步操作，包括：1)数据的赋值；2)将校验码纳入运算，将结果计入新的数据的校验。这样可以防止单点的故障，包括判断的错误。接口CPU对从其它安全系统Bn收到的信息，在整合并转换成符合安全编码的数据后直接传递给安全系统的多个CPU，由多个CPU进行处理。

要实现安全系统同外部安全系统的安全接口，最为困难的问题是必须解决相应的安全问题，也就是安全系统A和安全系统Bn间的通讯，必须要保证数据从这个安全系统传递到那个安全系统中，出错的概率要小于10^-9。这种装置很好地解决了这个问题，其主要安全原理如下：

1)在系统A的CPU1和CPU2中，采用原有系统的安全原理(可以是安全编码技术和安全冗余技术)来保证系统的安全；

2)在系统A的CPU1和CPU2同接口CPU通讯的过程中，通过对接受接收数据和发送数据进行防护，并通过通讯协议的保护来保证安全；同时CPU1和CPU2的安全冗余的相异性也可以提升系统的安全度；

3)在接口CPU中通过信息合帧和带防护的安全转换来实现接受数据/发送数据和安全通讯协议的相互转换；

4)在接口CPU同系统B1、B2……Bn的通讯中，由安全通讯协议来确保数据通讯的安全性。

同理，此接口CPU也适合于同非安全系统进行通讯。如果同非安全系统通讯，可以采用非安全的通讯协议，同时，安全的数据转化可以直接由一般的数据赋值或数据拷贝替代即可。

接口CPU可以用多线程的程序设计如图2所示：

上图展示了接口CPU的多线程设计中的主要线程，其主要功能如下：

1)系统A CPU1接口线程和系统A CPU2接口线程：主要实现同2取2安全系统A中CPU1和CPU2的接口，通过安全通讯协议N进行通讯；同时，将从CPU1和CPU2传送过来的数据发送至数据处理和转换线程，并将数据处理和转换线程通过对内发送数据队列传递过来的数据发送至系统A的CPU1和CPU2；

2)系统Bn安全通讯线程：根据对外安全接口的需求设立的，其主要功能为同系统Bn进行安全通讯，接受和发送数据；

3)数据处理和转换线程：是接口CPU确保安全性的核心线程，此线程主要负责数据的汇集和分发，主要完成将CPU1和CPU2来的数据进行合帧、对内接收数据到安全通讯发送帧的数据转换和组帧和分发、安全通讯接收帧到对内发送数据的转换和整合。在处理过程中，对内发送数据和对内接收数据，以及安全通讯接收帧和发送帧都是带有防护的安全数据，采用安全的方法进行安全转换是确保系统安全通讯的重要一环。

下面，我们对数据处理和转换线程进行详细的流程分析，并通过具体实例说明安全转换是如何实现的。

数据处理和转换线程的主要步骤介绍如下。

步骤1：线程检查对内接受数据队列，判定在规定的时间内是否收到了系统A的CPU1和CPU2发送来的新的数据。如果在规定时间内没有新数据，则可以判定接口CPU和相应的系统A的CPU通讯中断，需倒向安全侧，向外部系统发送安全帧；如果收到了CPU1和CPU2的新数据，则进入步骤2。

步骤2：对于CPU1和CPU2传输过来的数据，必须是同一个周期的数据，这样数据在没有出错的情况下必定是相同的。中转CPU的合帧工作也非常简单，取CPU1来的接收数据的前半部分和CPU2来的接收数据的后半部分，合成接收数据即可。最简单的方法是：取CPU1来的接收数据的数据部分和CPU2来的接收数据的检验部分即可。

在完成了接收数据的合帧后，就可以将接收数据转换为对系统Bn安全通讯所需要的发送帧。在数据转换时，单CPU实现编码转换的原理为：在转化数据的同时，将数据的原有检验转化形式后计入新的数据检验。也就是将简单的数据赋值，转变为多步操作，包括：1)数据的赋值；2)将校验码纳入运算，将结果计入新的数据的校验。这样可以防止单点的故障。

例如，对于SACEM编码(SACEM系统所采用的安全防护编码)的数值A到带CRC校验的数值A的转化可以实现如下：(设SACEM编码的模为N，校验位为m位)

CRC32＝0；(初始化CRC32为0，组帧时共1次)

CRC编码中数值A＝SACEM编码中数值A；

CRC32＝CRC32+SACEM编码中数值A右移m位的CRC；(计算出正常情况下的数值A应有的CRC)

CRC32＝CRC32+SACEM编码A(数值+校验)MOD N；(N为SACEM编码的模，此处所做的操作为计算SACEM数据A的数值和校验值的校核字)

CRC32＝CRC32-SACEM编码A的校核字；(数据没有被污染和校验码计算不出错会获得正确CRC；若数据被污染或校验码计算出错，则CRC32就无法通过校验)

步骤3：主要的工作是根据对系统Bn进行安全通讯的需要，向系统Bn安全通讯线程分发和接收相应的数据。

步骤4：检查安全通讯接收帧队列，判定在规定的时间内是否收到了各系统Bn发送来的新的接收帧。如果在规定时间内没有新的接收帧，则可以判定接口CPU和相应的系统Bn的通讯中断，需倒向安全侧，标记系统Bn通讯中断，并向系统A的CPU1和CPU2发送安全帧；如果收到了系统Bn的新接收帧，则进入步骤5。

步骤5：对于各系统Bn传输过来的接收帧，接收到数据的时间可能会有一定的差异，中转CPU可以将各系统Bn的最新接收帧组成一个统一的对内发送数据，发送给系统A的CPU1和CPU2。

将各系统Bn来的接收帧，组合成统一的对内发送数据的过程，其过程同对内接收数据转换为各发送帧的情况基本相仿。也就是，在数据转换时，单CPU实现编码转换的原理为：在转化数据的同时，将数据的原有检验转化形式后计入新的数据检验。

同样的例子，对于带CRC校验的数值B到SACEM编码数值B的转化可以实现如下：(设SACEM编码的模为N，校验为m位)

SACEM中数值B＝CRC中数值B；

SACEM的校验＝(SACEM数值B的校核字-CRC中数值B右移m位MODN)MOD N；(计算出正常情况下的数值B应有的SACEM检验码)

SACEM的校验＝SACEM的校验+接收帧的CRC余码；(此处所做的操作为确认CRC数据B的数值和校验值一致，数据如被污染，则SACEM的校验将发生变化)

步骤6：主要的工作是分别向系统A的CPU1和CPU2分发相应的对内发送数据。

本发明已经被应用于卡斯柯公司的iLOCK计算机联锁系统、VPI计算机联锁系统和LKD2列控中心系统中，并应用于地铁控制系统和国铁控制系统中。同时，采用了该项发明的这些系统已通过或正在进行国际第三方独立安全认证，此发明在安全方面的考虑也得到了第三方的认可。而且，采用单CPU作为接口CPU实现同安全系统的安全通信后，系统的主体部分基本不用改动，也大大提升了研发效率，缩短了开发周期，其系统稳定性也得到了初步的验证。

Claims (8)

1.一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，包括与多个外部安全系统通信连接的内部安全系统，该内部安全系统包括多个多重冗余数据处理CPU以及分别与每个多重冗余数据处理CPU通信连接的接口CPU，该接口CPU负责同其它安全系统按不同的安全通讯协议进行通讯和信息交互。

2.根据权利要求1所述的一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，所述的接口CPU内嵌有内部安全系统接口模块、外部安全系统接口模块和数据处理与转换模块；

所述的内部安全系统接口模块，与内部安全系统中的每个多重冗余数据处理CPU进行逻辑连接；

所述的外部安全系统接口模块，用于按照相应的通道要求和安全协议要求，同各个外部安全系统进行安全通讯；

所述的数据处理与转换模块，用于负责数据的汇集和分发。

3.根据权利要求2所述的一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，所述的内部安全系统接口模块与各数据处理CPU采用安全通讯协议N进行通讯，所传输的数据可采用原有系统的安全编码或通用的CRC编码进行防护。

4.根据权利要求2所述的一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，所述的外部安全系统接口模块将数据处理与转换模块组完帧的发送帧数据发送给外部安全系统，并将接收到的安全数据按接收帧的格式存储在接口CPU中。

5.根据权利要求2所述的一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，所述的数据处理与转换模块对每个数据处理CPU发送的数据进行合帧，完成对内接收数据到安全通讯发送帧的数据转换、组帧和分发，以及安全通讯接收帧到对内发送数据的转换和整合。

6.根据权利要求5所述的一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，所述的数据处理与转换模块处理过程中，对内发送数据和对内接收数据，以及安全通讯接收帧和发送帧都是带有防护的安全数据。

7.根据权利要求5所述的一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，所述的数据处理与转换模块具体处理过程如下：

首先对内部安全系统的多个多重冗余数据处理CPU传输来的信息进行合并的工作，即将多个数据处理CPU传来加防护的发送数据组合成新的发送数据；

随后，将内部安全系统来的发送数据根据内容进行分拆，按对外安全通讯的协议P1、P2……Pn分别进行组帧；同时，接口CPU负责将通过对外通道C1、C2……Cn并通过安全通讯协议P1、P2……Pn通讯得到的数据，转换为内部的接收数据；

最后，对从外部安全系统收到的信息，在整合并转换成符合安全编码的数据后直接传递给内部安全系统的多个数据处理CPU，由多个数据处理CPU进行处理。

8.根据权利要求7所述的一种用单CPU实现安全系统对外安全通讯的装置，其特征在于，数据转换过程采用安全的数据转换，在转化数据的同时，将数据的原有检验转化形式后计入新的数据检验。