CN105426263A - 一种实现金库系统安全运行的方法及系统 - Google Patents

Abstract

本发明公开了一种实现金库系统安全运行的方法及系统，涉及金库控制领域，所述方法包括：在金库系统运行期间，控制器内部模块将运行状态数据保存至状态寄存器；监控单元通过读取所述控制器内部模块的状态寄存器，得到所述控制器内部模块的运行状态数据；所述监控单元根据所述运行状态数据，判断所述控制器内部模块的运行状态；若判断所述控制器内部模块的运行状态为异常状态，则对处于异常状态的控制器内部模块或控制器进行复位操作。本发明通过监控控制器内部模块，能够及时发现故障点或故障隐患。

Description

一种实现金库系统安全运行的方法及系统

技术领域

本发明涉及金库控制领域，特别涉及一种实现金库系统安全运行的方法及系统。

背景技术

原金库系统的控制器具有多个内部模块，例如中央处理器(CentralProcessingUnit，CPU)、销售点终端安全存取模块(PurchaseSecureAccessModule，PSAM)、电源管理模块和风扇转速调节模块等。若上述控制器内部模块发生异常而未被及时发现和处理，将降低控制器的安全性和稳定性，从而影响金库系统的安全运行。

发明内容

本发明的目的在于提供一种实现金库系统安全运行的方法及系统，能更好地解决金库系统运行的安全性问题。

根据本发明的一个方面，提供了一种实现金库系统安全运行的方法，包括：

在金库系统运行期间，控制器内部模块将运行状态数据保存至状态寄存器；

监控单元通过读取所述控制器内部模块的状态寄存器，得到所述控制器内部模块的运行状态数据；

所述监控单元根据所述运行状态数据，判断所述控制器内部模块的运行状态；

若判断所述控制器内部模块的运行状态为异常状态，则对处于异常状态的控制器内部模块进行复位操作。

优选地，所述对处于异常状态的控制器内部模块进行复位操作的步骤包括：

若判断所述控制器内部模块的运行状态为异常状态，则所述监控单元停止向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，从而使所述看门狗模块在其定时器的定时时间到达后，触发所述处于异常状态的控制器内部模块自动复位。

优选地，还包括：

若所述处于异常状态的控制器内部模块自动复位失败，则所述监控单元向中央处理单元发送控制器复位指令，使所述中央处理单元根据所述控制器复位指令，对所述控制器进行复位操作。

优选地，还包括：

在所述监控单元监控所述控制器内部模块的运行状态期间，所述中央处理单元将用来操作控制器外联设备的操作数据发送给备份单元；

备份单元对收到的操作数据进行备份后，将操作数据发送给所述控制器；

所述控制器通过运行备份单元发送的操作数据，控制外联设备进行相应的操作。

优选地，还包括：

当所述控制器需要恢复操作数据时，所述备份单元将其在前备份的操作数据发送给所述控制器。

优选地，还包括：

所述控制器向其外联设备发起联动检测请求，并等待其外联设备响应所述联动检测请求而回复的联动检测响应；

所述控制器根据等待结果，判断是否上报用于指示相应外联设备已发生故障的报警消息。

优选地，所述控制器根据等待结果，判断是否上报用于指示相应外联设备已发生故障的报警消息的步骤包括：

若在预设等待时间内未收到相应外联设备的联动检测响应或收到用来指示外联设备异常的联动检测响应，则控制器确定上报用于指示相应外联设备发生故障的报警消息。

根据本发明的另一方面，提供了一种实现金库系统安全运行的系统，包括：

控制器内部模块，用于在金库系统运行期间，将运行状态数据保存至状态寄存器；

监控单元，用于通过读取所述控制器内部模块的状态寄存器，得到所述控制器内部模块的运行状态数据，并所述监控单元根据所述运行状态数据，判断所述控制器内部模块的运行状态，若判断所述控制器内部模块的运行状态为异常状态，则对处于异常状态的控制器内部模块进行复位操作。

优选地，所述监控单元在判断所述控制器内部模块的运行状态为异常状态时，停止向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，从而使所述看门狗模块在其定时器的定时时间到达后，触发所述处于异常状态的控制器内部模块自动复位。

优选地，所述监控单元在所述处于异常状态的控制器内部模块自动复位失败时，向中央处理单元发送控制器复位指令，使所述中央处理单元根据所述控制器复位指令，对所述控制器进行复位操作。

与现有技术相比较，本发明的有益效果在于：

本发明通过监控控制器内部模块的运行状态，能够及时发现控制器内部模块的故障点和故障隐患，从而提高金库系统运行的安全性。

附图说明

图1是本发明实施例提供的实现金库系统安全运行的第一流程图；

图2是本发明实施例提供的实现金库系统安全运行的第一系统框图；

图3是本发明实施例提供的实现金库系统安全运行的第二流程图；

图4是本发明实施例提供的实现金库系统安全运行的第二系统框图；

图5是本发明实施例提供的实现金库系统安全运行的第三流程图；

图6是本发明实施例提供的实现金库系统安全运行的第三系统框图；

图7是本发明实施例提供的金库系统安全运行拓扑图；

图8是本发明实施例提供的金库系统监控流程图。

具体实施方式

以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

图1是本发明实施例提供的实现金库系统安全运行的第一流程图，如图1所示，步骤包括：

步骤S101：在金库系统运行期间，控制器内部模块将运行状态数据保存至状态寄存器。

具体地说，控制器内部模块包括CPU、PSAM卡、电源管理模块和风扇转速调节模块，所述CPU、PSAM卡、电源管理模块和风扇转速调节模块分别将各自的运行状态数据保存至各自的状态寄存器，以供监控模块查看。

步骤S102：监控单元通过读取所述控制器内部模块的状态寄存器，得到所述控制器内部模块的运行状态数据。

其中，所述运行状态数据包括能够指示运行状态正常的数据和能够指示运行状态异常的数据。

步骤S103：所述监控单元根据所述运行状态数据，判断所述控制器内部模块的运行状态。

当所读取的运行状态数据是指示运行状态异常的数据时，监控单元判断所述控制器内部模块的运行状态为异常状态；当所读取的运行状态数据是指示运行状态正常的数据时，监控单元判断所述控制器内部模块的运行状态为正常状态。

步骤是104：若判断所述控制器内部模块的运行状态为异常状态，则对处于异常状态的控制器内部模块进行复位操作。

若监控模块判断所述控制器内部模块的运行状态为异常状态，则所述监控单元停止向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，这样，在所述看门狗模块的定时器的定时时间到达后，所述看门狗模块触发所述处于异常状态的控制器内部模块自动复位。

反之，若监控模块判断所述控制器内部模块的运行状态为正常状态，则所述监控单元定时向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，这样，在所述看门狗模块的定时器的定时时间到达之前，所述看门狗模块按照所述清除指令，清除定时器，避免所述处于正常状态的控制器内部模块自动复位。

图2是本发明实施例提供的实现金库系统安全运行的第一系统框图，如图2所示，包括控制器内部模块10和监控单元20。

控制器内部模块10包括CPU、PSAM卡、电源管理模块和风扇转速调节模块，在金库系统运行期间，控制器内部模块CPU、PSAM卡、电源管理模块和风扇转速调节模块分别将各自的运行状态数据保存至各自的状态寄存器，以供监控模块查看。

监控单元20用于通过读取所述控制器内部模块的状态寄存器，得到所述控制器内部模块的运行状态数据，并所述监控单元根据所述运行状态数据，判断所述控制器内部模块的运行状态，若判断所述控制器内部模块的运行状态为异常状态，则对处于异常状态的控制器内部模块进行复位操作。其中，所述运行状态数据包括能够指示运行状态正常的数据和能够指示运行状态异常的数据。具体地说，当所读取的运行状态数据是指示运行状态异常的数据时，监控单元判断所述控制器内部模块的运行状态为异常状态，并停止向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，使得看门狗模块的定时器超时自动触发处于异常状态的控制器内部模块复位。当所读取的运行状态数据是指示运行状态正常的数据时，监控单元判断所述控制器内部模块的运行状态为正常状态，并向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，使得看门狗模块按照所述清除指令清除定时器，从而不会避免触发处于异常状态的控制器内部模块复位。

结合图1和图2给出的实施例，以电源管理模块为例，监控单元通过读取电源管理模块的状态寄存器，获取电源管理模块的运行状态数据，若所获取的运行状态数据是指示电源管理模块运行状态正常的数据，则监控单元确定电源管理模块的运行状态为正常状态，此时发送心跳维护指令(即定时发送的用来清除看曼狗模块的定时器的清除指令)给看门狗模块，看门狗模块在定时器规定的定时时间内收到关于电源管理模块的心跳维护指令后，清除定时器。假设控制器运行过程中该电源管理模块发生故障，监控单元通过读取电源管理模块的状态寄存器，获取电源管理模块的运行状态数据，若判断电源管理模块的运行状态为异常状态，此时不再发送心跳维护指令给看门狗模块，看门狗模块在规定时间内未接收到电源管理模块的心跳维护指令，看门狗模块通过出发电源管理模块复位引脚使之复位重启，电源管理模块复位重启，然后恢复正常状态。

图3是本发明实施例提供的实现金库系统安全运行的第二流程图，如图3所示，与图1所示流程图比较，进一步包括：

步骤S105：若所述处于异常状态的控制器内部模块自动复位失败，则所述监控单元向中央处理单元发送控制器复位指令。

步骤S106：所述中央处理单元根据所述控制器复位指令，对所述控制器进行复位操作。

图4是本发明实施例提供的实现金库系统安全运行的第二系统框图，如图4所示，与图2所示系统比较，所述系统进一步包括：

中央处理单元30，用于根据来自监控单元20的控制器复位指令，对所述控制器进行复位操作。

结合图3和图4给出的实施例，同样以电源管理模块为例，监控单元20在确定电源管理模块的运行状态为异常状态，停止向看门狗模块发送心跳维护指令，从而使看门狗模块触发电源管理模块复位引脚使之复位重启。若电源管理模块无法进行复位操作或复位重启失败，此时监控单元通过向系统的中央处理单元发送控制器复位指令，使控制器按照控制器复位指令进行复位重启，通过控制器复位重启使电源管理模块运行状态恢复正常。

结合图1至图4给出的实施例，还可以进一步包括：监控单元对控制器内部模块的温度进行检测，当检测到控制器内部模块的温度大于预定阈值时，通过上述实施例给出的处理方式，使温度超标的控制器内部模块或控制器整机进行复位重启，或者通过向中央处理单元发送关机指令，使系统关机，以保证系统的安全性。

图5是本发明实施例提供的实现金库系统安全运行的第三流程图，如图5所示，步骤包括：

步骤S201：在监控单元监控所述控制器内部模块的运行状态期间，中央处理单元将控制器的操作数据发送给备份单元。

其中，所述控制器的操作数据包括任务开始指令和任务结束指令。

步骤S202：备份单元对收到的操作数据进行备份后，将操作数据发送给用于控制外联设备的控制器。

具体地说，所述备份单元先将控制器的操作数据写入FLASH中，然后再将控制器的操作数据写入实际的控制器中，并读取控制器的写入操作状态，当确认写入操作完成时，将写入操作完成的状态信息保存至所述FLASH，从而自动保护控制器的数据完整性。这样，一旦在写入操作过程中出现断电或、死机等其他意外情况，重启后可以继续完成操作，不影响操作的完整性。

步骤S203：所述控制器通过运行备份单元发送的操作数据，控制外联设备进行相应的操作。

所述控制器通过运行所述备份单元发送的任务开始指令，控制其外联设备执行所述任务开始指令指定的任务，并通过运行所述备份单元发送的任务结束指令，控制其外联设备执行所述任务结束指令指定的任务。在所述控制器控制其外联设备执行所述任务结束指令指定的任务之后，所述控制器确定金库系统处于业务空闲状态，此时所述控制器可以向其外联设备发起联动检测请求，并等待其外联设备响应所述联动检测请求而回复的联动检测响应，若在预设等待时间内未收到相应外联设备的联动检测响应或收到用来指示外联设备异常的联动检测响应，则控制器确定上报用于指示相应外联设备发生故障的报警消息，若在预设等待时间内收到所有外联设备回复的用来指示相应外联设备正常的联动检测响应，则控制器启动自检间隔时间定时器，并当所述自检间隔时间定时器的定时时间达到预设自检间隔时间且仍未收到任务开始指令时，所述控制器再次向其外联设备发起联动检测请求。其中，所述控制器具有支持各种外联设备自检指令调用的中间件，所述控制器通过调用所述中间件提供的自检接口，向其外联设备发起联动检测请求。

图6是本发明实施例提供的实现金库系统安全运行的第三系统框图，如图6所示，与图4所示系统比较，进一步包括连接控制的备份单元40和外联设备50。

中央处理单元10在监控单元20监控所述控制器内部模块10的运行状态期间，将控制器的操作数据发送给备份单元40，其中所述控制器的操作数据包括任务开始指令和任务结束指令。备份单元20在对收到的操作数据进行备份后，将操作数据发送给用于控制外联设备50的控制器10，具体地说，备份单元40先将控制器的操作数据写入flash中，然后对控制器10进行写入操作，写入操作结束后将用来标识写入操作已完成的信息(可以是flash标记)保存至flash，保证操作数据完整性。这样，一旦操作过程中出现断电等意外情况，就可以在下次上电之后重新进行操作，也就是说，当所述控制器需要恢复操作数据时，所述备份单元可以将其在前备份的操作数据发送给所述控制器，不影响系统的安全性和稳定性。控制器10通过运行备份单元40发送的操作数据，控制外联设备50进行相应的操作。具体地说，控制器10通过运行所述备份单元40发送的任务开始指令，控制其外联设备50执行所述任务开始指令指定的任务，此时金库系统处于业务工作状态；控制器10通过运行所述备份单元40发送的任务结束指令，控制其外联设备50执行所述任务结束指令指定的任务。在控制器30控制其外联设备50执行所述任务结束指令指定的任务之后，控制器10确定金库系统处于业务空闲状态，此时控制器10可以向其外联设备50发起联动检测请求，并等待其外联设备50响应所述联动检测请求而回复的联动检测响应，若在预设等待时间内未收到相应外联设备50的联动检测响应或收到用来指示外联设备50异常的联动检测响应，则控制器10确定上报用于指示相应外联设备50发生故障的报警消息，若在预设等待时间内收到所有外联设备50回复的用来指示相应外联设备50正常的联动检测响应，则控制器30启动自检间隔时间定时器，并当所述自检间隔时间定时器的定时时间达到预设自检间隔时间且仍未收到任务开始指令时，所述控制器10再次向其外联设备50发起联动检测请求。其中，控制器10具有支持各种外联设备50自检指令调用的中间件，控制器10通过调用所述中间件提供的自检接口，向其外联设备50发起联动检测请求。

在图5和图6给出的实施例中，进一步实现了对控制器的操作数据的备份，通过备份控制器的操作数据，在金库系统出现意外断电、死机、人为的非正常关机等情况并重新上电时，能够利用提前备份的控制器的操作数据，恢复控制器的操作，保证了控制器当前运行数据的完整性，提高了系统的安全性和稳定性。

在图5和图6给出的实施例中，进一步实现了对控制器的外联设备的检测，通过在业务空闲状态检测外联设备，能够及时发现外联设备故障点或故障隐患，从而避免了金库业务开始后才发现外联设备故障而导致的金库业务停滞。也就是说，通过在金库业务空闲状态下循环检测各外联设备，做到外联设备故障提前预警。同时，在故障排除后还可以由控制器解除报警，可以依此判断故障是否排除，从而省略故障排除后的验证步骤。

图7是本发明实施例提供的金库系统安全运行拓扑图，如图7所示，监控单元通过其内部软件来读取控制器内部模块CPU、PSAM卡、电源管理模块、风扇转速调节模块等的运行状态数据，并判断这些模块是否在正常运转，若发现有异常情况，则发出用于复位的指令将出现异常的模块复位，如果该模块不能独立复位，则监控单元通过中央处理单元使控制器整机复位，即利用金库系统内部控制主机(即中央处理单元)的整机复位机制来重新启动控制器。在监控单元监控控制器内部模块期间，中央处理单元将控制器的操作数据发送给备份单元，备份单元对收到的操作数据进行备份后，将操作数据发送给用于控制外联设备的控制器，控制器通过运行备份单元发送的操作数据，控制外联设备进行相应的操作。其中，控制器与其外联设备(包括如图7所示的读卡器、扫描门和栅栏门)通过不同种类物理接口连接，例如，通过USB接口连接读卡器，通过LAN接口连接扫描门，通过RS232接口连接栅栏门等等。

所述金库系统安全运行的流程包括：

步骤1：监控单元对控制器内部模块的运行状态进行判断。

具体地说，监控单元读取控制器内部模块CPU、PSAM卡、电源管理模块、风扇转速调节模块等的状态寄存器，得到控制器内部模块CPU、PSAM卡、电源管理模块、风扇转速调节模块等的运行状态数据，利用所得到的运行状态数据，确定控制器内部模块CPU、PSAM卡、电源管理模块、风扇转速调节模块等的运行状态为正常状态或异常状态。

步骤2：监控单元根据判断结果，对控制器内部模块或控制器本身进行相应处理。

其中，当判断控制器内部模块的运行状态为异常状态时，监控单元通过看门狗模块触发出现异常的模块复位，如果该模块不能独立复位，则监控单元通过中央处理单元使控制器整机复位。

步骤3：在监控单元监控控制器内部模块期间，中央处理单元将任务开始指令发送给备份单元。

步骤4：备份单元对收到的任务开始指令备份至flash后，将任务开始指令发送给控制器。

步骤5：任务开始指令写入控制器，并判断写入操作是否成功，若成功，则将用来标识写入操作已完成的flash标记保存至flash。

步骤6：控制器根据任务开始指令，控制相应的外联设备执行任务开始指令指定的任务。

上述任务开始指令可以是用来启动扫描门、栅栏门、读卡器中的一个或多个进入工作状态的指令。

在控制器按照源自中央处理单元的操作数据进行每一步操作前，都会将操作数据先写入一个flash中，当出现意外断电或死机等情况，重新开机即可利用flash中备份的数据恢复断点数据，即非正常关机前，需要控制器执行的操作数据或者是控制器当前正在运行的操作数据。.例如，中央处理单元将用来打开栅栏门的任务开始指令发送至备份单元，备份单元将该用来打开栅栏门的任务开始指令保存至flash后，发送至控制器。控制器执行所述用来打开栅栏门的任务开始指令，控制栅栏门打开。假设在栅栏门打开期间出现意外断电，此时栅栏门始终处于开启状态，当金库系统重新上电启动后，现有技术无法确定栅栏门是否已打开，存在严重的安全性问题，通本实施例的备份操作，控制器能够从备份单元中获取栅栏门在意外断电前处于开启状态，从而准确控制栅栏门操作，提高了现金系统的安全性。

也就是说，在执行步骤5和步骤6期间，如果出现意外断电等情况，系统再次上电时，控制器可以从备份单元获取意外断电前控制器运行的数据，即任务开始指令，从而保证控制器数据的完整性，提高了金库系统的安全性。

步骤7：中央处理单元将任务结束指令发送给备份单元。

步骤8：备份单元对收到的任务结束指令备份至flash后，将任务开始指令发送给控制器。

步骤9：任务结束指令写入控制器后，将用来标识写入操作已完成的flash标记保存至flash。

步骤10：控制器根据任务结束指令，控制相应的外联设备执行任务结束指令指定的任务，此时，金库业务处于空闲状态。

上述任务结束指令是用来使扫描门、栅栏门、身份识别读卡器等全部外联设备进入空闲状态的指令，即当前没有需要执行的金库业务，控制外联设备结束工作状态。

需要注意的是，在执行步骤9和步骤10期间，如果出现意外断电等情况，系统再次上电时，控制器可以从备份模块获取意外断电前控制器运行的数据，即任务结束指令，从而保证控制器数据的完整性，提高了金库系统的安全性。

步骤11：在控制器确定金库业务处于空闲状态之后，控制器向其外联设备发起联动检测。

具体地说，上述外联设备自身具备自检功能，控制器可以内置调用自检指令的自检接口，由控制器应用程序自由设计逻辑，并通过所述自检接口合理使用各个外联设备的自检功能。也就是说，读卡器、扫描门和栅栏门等外联设备具有自检功能并提供调用的自检指令，以进行设备自检；控制器具有中间件，支持各种外联设备自检指令调用，对控制器应用程序提供一个自检接口，通过调用此接口可触发所有外联设备的一次自检，并收集自检结果。

步骤12：外联设备进行自检后，将自检结果反馈给控制器，控制器收到的自检结果包括三种：

1、若在预设等待时间内未收到相应外联设备的联动检测响应，即未收到反馈的代码，说明外联设备可能发生故障，此时控制器确定上报用于指示相应外联设备发生故障的报警消息；

2、若在预设等待时间内收到用来指示外联设备异常的联动检测响应，即收到异常代码，说明外联设备可能发生故障，此时控制器确定上报用于指示相应外联设备发生故障的报警消息；

3、若在预设等待时间内收到所有外联设备回复的用来指示相应外联设备正常的联动检测响应，说明所有外联设备均未检测到故障，此时控制器不需要上报报警消息。

当外联设备故障消除后，控制器可以解除报警。

步骤13：控制器启动自检间隔时间定时器，并对备份模块发送的源自中央处理单元的任务开始指令进行监测。

(1)若自检间隔时间定时器的定时时间达到预设自检间隔时间时仍未监测到任务开始指令，则重新发起联动检测，并执行步骤9；

(2)若在自检间隔时间定时器的定时时间内监测到任务开始指令，则控制其外联设备启动并开始执行所述任务开始指令指定的任务，此时外联设备不能进行设备自检。

需要注意的是，因为外联设备都是单线程处理，无法在执行其它指令的时候同时进行自检，即在执行任务阶段需要停止对外联设备的联动检测，所以结合业务逻辑和实际使用场景，专门处理了业务开始和业务结束两个临界点的设备自检逻辑。具体地说，当业务开始时，控制器停止外联设备自检，开始执行任务；当业务结束时，控制器启动外联设备自检。

需要注意的是，各外联设备的自检周期并不固定，且各外联设备故障时可能无法及时返回自检信息，导致控制器接收到外联设备自检反馈周期增加，因此，为了保证外联设备正常状态下高频率检测，可以及时报告故障，又不会因为故障设备的自检反馈周期长于预先设定的周期导致控制器发出的自检指令排队，引起程序线程持续增加导致控制器死机，本发明对设备自检接口的调用进行了逻辑处理，由固定周期循环调用变为固定间隔时间连续调用，也就是说，在确定收到所有自检反馈后再间隔固定时间，发起下次自检。

图8是本发明实施例提供的金库系统监控流程图，如图8所示，步骤包括：

步骤S301：当控制器启动时，监控单元自动打开监控程序，并启动看门狗模块的定时器。

步骤S302：判断所述定时器是否超时，如果不超时，则执行步骤S303，否则，执行步骤S304。

步骤S303：如果控制器内部模块正常运行，监控单元会定时清除看门狗模块的定时器的计数，从而避免发生重启。

同时读取运行中各模块的状态寄存器，保证模块正常工作。

步骤S304：如果控制器内部模块运行异常，监控单元停止清除看门狗模块的定时器，使得看门狗模块的定时器超时并引起看门狗模块中断，触发运行异常的控制器内部模块复位。

也就是说，利用时钟定时器定时清除看门狗计时器的数据，避免系统复位，当系统出错的时候，程序无法正常运行，看门狗的计时器就没有由程序来清除数据，这个时候看门狗就会自动复位系统，达到防止系统死机的目的。

例如，CPU如果正常运行，相应的看门狗模块的清除程序就可以正常运行，从而保持金库系统正常运行，不会被重启。反之，CPU如果运行异常，相应的看门狗模块的清除程序就无法正常运行，此时由于看门狗模块的定时器数据无法清除而超时，看门狗模块触发CPU复位重启，防止系统死机。

尽管上文对本发明进行了详细说明，但是本发明不限于此，本技术领域技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。

Claims (10)

1.一种实现金库系统安全运行的方法，其特征在于，包括：

在金库系统运行期间，控制器内部模块将运行状态数据保存至状态寄存器；

监控单元通过读取所述控制器内部模块的状态寄存器，得到所述控制器内部模块的运行状态数据；

所述监控单元根据所述运行状态数据，判断所述控制器内部模块的运行状态；

若判断所述控制器内部模块的运行状态为异常状态，则对处于异常状态的控制器内部模块进行复位操作。

2.根据权利要求1所述的方法，其特征在于，所述对处于异常状态的控制器内部模块进行复位操作的步骤包括：

若判断所述控制器内部模块的运行状态为异常状态，则所述监控单元停止向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，从而使所述看门狗模块在其定时器的定时时间到达后，触发所述处于异常状态的控制器内部模块自动复位。

3.根据权利要求1或2所述的方法，其特征在于，还包括：

若所述处于异常状态的控制器内部模块自动复位失败，则所述监控单元向中央处理单元发送控制器复位指令，使所述中央处理单元根据所述控制器复位指令，对所述控制器进行复位操作。

4.根据权利要求3所述的方法，其特征在于，还包括：

在所述监控单元监控所述控制器内部模块的运行状态期间，所述中央处理单元将用来操作控制器外联设备的操作数据发送给备份单元；

备份单元对收到的操作数据进行备份后，将操作数据发送给所述控制器；

所述控制器通过运行备份单元发送的操作数据，控制外联设备进行相应的操作。

5.根据权利要求4所述的方法，其特征在于，还包括：

当所述控制器需要恢复操作数据时，所述备份单元将其在前备份的操作数据发送给所述控制器。

6.根据权利要求5所述的方法，其特征在于，还包括：

所述控制器向其外联设备发起联动检测请求，并等待其外联设备响应所述联动检测请求而回复的联动检测响应；

所述控制器根据等待结果，判断是否上报用于指示相应外联设备已发生故障的报警消息。

7.根据权利要求6所述的方法，其特征在于，所述控制器根据等待结果，判断是否上报用于指示相应外联设备已发生故障的报警消息的步骤包括：

若在预设等待时间内未收到相应外联设备的联动检测响应或收到用来指示外联设备异常的联动检测响应，则控制器确定上报用于指示相应外联设备发生故障的报警消息。

8.一种实现金库系统安全运行的系统，其特征在于，包括：

控制器内部模块，用于在金库系统运行期间，将运行状态数据保存至状态寄存器；

监控单元，用于通过读取所述控制器内部模块的状态寄存器，得到所述控制器内部模块的运行状态数据，并所述监控单元根据所述运行状态数据，判断所述控制器内部模块的运行状态，若判断所述控制器内部模块的运行状态为异常状态，则对处于异常状态的控制器内部模块进行复位操作。

9.根据权利要求8所述的系统，其特征在于，所述监控单元在判断所述控制器内部模块的运行状态为异常状态时，停止向所述处于异常状态的控制器内部模块所对应的看门狗模块发送用来清除看门狗模块的定时器的清除指令，从而使所述看门狗模块在其定时器的定时时间到达后，触发所述处于异常状态的控制器内部模块自动复位。

10.根据权利要求9所述的系统，其特征在于，所述监控单元在所述处于异常状态的控制器内部模块自动复位失败时，向中央处理单元发送控制器复位指令，使所述中央处理单元根据所述控制器复位指令，对所述控制器进行复位操作。