CN110027596A - 一种基于云计算的轨道交通列车运行控制系统 - Google Patents

Abstract

本发明提供了一种基于云计算的轨道交通列车运行控制系统。该系统包括：通过冗余通信网络连接的云计算设备和本地列控设备；云计算设备向所有本地列控设备提供实时计算和存储服务，以虚拟隔离或物理隔离方式向单一本地列控设备的单次与列车运行控制相关的计算申请同时提供冗余的多个实时计算和存储服务，计算产生冗余的多个计算结果并发送给本地列控设备；本地列控设备完成各自的安全输入、安全数据比较、列控安全计算控制和安全输出处理过程，对多个计算结果通过安全比较方式获得安全的计算结果。本发明提出了在保证安全计算平台安全性、可信性、时效性的前提下将计算环节迁移至云端的实现方法，解决了安全计算平台的计算能力及资源利用率的问题。

Description

一种基于云计算的轨道交通列车运行控制系统

技术领域

本发明涉及轨道交通列车运行控制技术领域，尤其涉及一种基于云计算的轨道交通列车运行控制系统。

背景技术

目前，轨道交通系统主要包括铁路和城市轨道交通(以下简称城轨)。近年来，新的轨道交通列车运行控制系统，如应用于铁路的中国列车运行控制系统(Chinese TrainControl System，CTCS)以及应用于城轨的基于通信的列车运行控制系统(CommunicationBased Train Control System，CBTC)，应运而生，为铁路高速化和城轨高密度化、低间隔化提供了坚实的技术基础和安全基础。

通过分析目前的CTCS和CBTC系统结构，不难发现这些系统都是沿用传统信号设备设计的思路，对于不同运行控制功能采用不同的子系统，基于叠加式原则实现整个系统。

随着新一代轨道交通列车运行控制(以下简称列控)系统的开发，轨道交通列车运行控制设备所需的计算能力要求越来越高，如果仍然基于既有叠加方式实现轨道交通列车的运行控制系统，设备数量甚至有可能变得更多，通常计算能力越高，设备造价越高，能耗也越高，不利于整个轨道交通列车运行控制系统系统的可靠性、节能降耗等方面的性能要求。

另外受成本、空间、能耗、散热等方面的限制，轨道交通列车运行控制设备不可能任意提高计算能力，尤其是车载列车运行控制设备。

随着信息技术的飞速发展，通过网络按需提供动态伸缩的廉价计算服务的云计算已经渗透到社会生活的方方面面，云计算具有以下优点：

1)资源灵活，以并行计算为核心，按需调度计算任务分配和计算资源，并提供从数据导入整合处理、计算模型设定到计算结果输出、多形式展现、应用API等完整的数据处理服务。可为科学研究、公共事业、政府等提供可靠灵活的平台。

2)信息安全可控，按组隔离访问，自定义防火墙策略，天然防ARP欺骗，具有防DDOS攻击能力。

3)数据可靠，采用分布式存储系统，数据互备(数据分布式存储，不同区域的数据互为备份)，快速备份和恢复。支持各种数据处理、计算模型，满足不同领域、不同特点的计算需求。多副本容错，数据安全无忧；海量存储，空间无限。

4)节约成本，简单的配置，完整的平台，即取即用，无需花费大量的时间搭建、维护计算环境，以服务的方式使用计算及存储资源，按需取用，按需付费，不再需要购买大量设备。

5)提高现有计算力的使用率，通过虚拟化技术，即使在不添加新的计算能力的前提下，通常也能有效地提高物理主机硬件利用率。这是因为企业内部的计算力分布通常都不均衡，不同应用在不同时段对计算能力的需求也会经常波动。在传统的IT架构下，各部分计算力被固定地分配给了固定的应用，形成了一个个无形的烟囱。对计算力的灵活调度实现起来非常困难，也经常会出现某个应用计算力不足，而某些应用的计算力经常过剩的情况。如果每个应用都按照最大的计算力配置，又会造成极大的投资浪费。因此通过虚拟化的整合，有效的提高了现有IT基础设施的利用率，从而降低了对物理主机数量的需求，进而降低了对机房容量和电力制冷的需求。

因此，基于云计算研发轨道交通列车运行控制系统在降低造价、节约能耗、减少列控设备复杂性等方面有突出优势。

但普通云计算服务具有以下不适合轨道交通列车运行控制系统的安全计算的缺点：

云可信性问题，因为云计算计算能力和数据都在云里，所以它被信息安全系统认为是不可信计算(即非安全计算)环境。信息安全有两个方面，一个方面是存储在云端的程序和数据的安全性问题，程序是否被攻击，数据是否被篡改以及存储内容是否丢失的问题。另一方面的问题是数据泄露问题，因云计算数据可能涉及到保密内容所以，计算所涉及数据泄露也是需要解决的问题。

云计算故障-安全问题，由于云计算环境是非故障-安全环境，所以其计算结果不符合IEC61508对列控安全计算在故障-安全环境下计算的要求。

现有云计算服务一般通过Web请求服务资源，其实时性显然是列控安全计算无法接受的。特别是出现网络延迟或者中断。云计算一般利用远程网络访问的，虽然现在网速提高很快，但是和局域网相比，速度还是有所延迟的，而列控安全计算是要求实时计算的，对计算延迟有很高的要求。

因此，如何开发出一种高效率的基于云计算的轨道交通列车运行控制系统是一个亟待解决的问题。

发明内容

本发明的实施例提供了一种基于云计算的轨道交通列车运行控制系统，以克服现有技术的问题。

为了实现上述目的，本发明采取了如下技术方案。

一种基于云计算的轨道交通列车运行控制系统，包括：通过冗余通信网络连接的云计算设备和本地列控设备；

所述的云计算设备，用于位于云端，向所有本地列控设备提供实时计算和存储服务，以虚拟隔离或物理隔离方式向单一本地列控设备的单次与列车运行控制相关的计算申请同时提供冗余的多个实时计算和存储服务，计算产生冗余的多个计算结果，将所述多个计算结果发送给所述本地列控设备；

所述的本地列控设备，用于位于地面或者列车上，完成各自的安全输入、安全数据比较、列控安全计算控制和安全输出处理过程，对所述云计算设备发送过来的多个计算结果通过安全比较方式获得安全的计算结果。

优选地，位于地面的本地列控设备通过冗余有线通信网络与云计算设备交互数据信息，位于列车上的本地列控设备通过冗余无线移动通信网络与云计算设备交互数据信息，所述有线通信网络和无线通信网络均为专用网络，所传输的信息均采用加密传输。

优选地，所述的云计算设备包括云资源管理单元、云存储资源池和云计算资源池；

所述的云资源管理单元，用于管理云计算资源池和云存储资源池，接收所有本地列控设备发送的云计算申请信息，并按照所述云计算申请信息内容进行云存储资源、云计算资源的配置和通信地址的分配，并在云存储资源、云计算资源配置完成后进行校验，校验正确后云计算资源池和云存储资源池方能使用；

所述的云存储资源池，用于按照与本地列控设备约定好的云存储程序完成云计算所需程序、数据信息、地址信息和计算结果的存储；

所述的云计算资源池，用于按照与本地列控设备约定好的云计算程序利用本地列控设备向云计算设备申请的计算和存储资源完成列车运行控制相关的计算，并产生相应的计算结果，供本地列控设备通过安全比较产生安全的计算结果。

优选地，所述的云计算设备集中位于一处或者分散于不同地点，将所述云计算设备划分为若干个云计算集群，每个云计算集群包含云资源管理集群、云计算资源集群和云存储资源集群等，所有云计算集群中的云资源管理集群、云计算资源集群、云存储资源集群分别构成云计算设备的云资源管理单元、云计算资源池、云存储资源池；

所述的云资源管理集群、云存储资源集群、云计算资源集群使用云计算集群的同一套物理主机通过软件虚拟化划分而形成；或者，使用云计算集群的相互独立的三套物理主机而构成；或者，使用云计算集群的同一套物理主机通过软件虚拟化划分而形成云存储资源集群、云计算资源集群，而云资源管理集群使用与云存储资源集群、云计算资源集群独立的另一套物理主机构成。

优选地，所述的云计算设备使用多个相互独立且具有异构特点的云计算集群实现，所述异构通过软硬件均不同的方式实现或者通过硬件相同、软件不同的方式实现。

优选地，所述本地列控设备采用二乘二取二逻辑对所述云计算设备发送过来的多个计算结果在规定时间内进行安全比较，分别比较来自同一个云计算设备的两个异构云计算集群的计算结果，如果比较结果为一致则获得安全的计算结果，如果比较结果为不一致，则比较来自另外一个云计算设备的两个异构云计算集群的计算结果，两个云计算设备构成二乘冗余关系；如所有的安全比较结果都为不一致，则所述本地列控设备导向安全侧。

优选地，所述本地列控设备设置最大容忍时延，所述本地列控设备在计算数据之前添加随机的可信性验证数据，该可信性验证数据使用计算数据的固定长度Hash值，由云计算设备同时完成所述计算数据和可信性验证数据的计算，并将两种计算结果一起送回本地列控设备；

所述本地列控设备对在最大容忍时延内先送回的计算结果进行解密，并通过查表方式确认固定位Hash值构成的可信性验证数据的计算结果正确与否，只有正确才能进行后续的计算数据的安全比较，超过最大容忍时延的计算结果直接舍弃不予使用；若可信性验证数据和/或计算数据的计算结果的比较全部出错，则导向安全侧，系统降级；若云计算设备的计算结果送回全部超过最大容忍时延，则导向安全侧，系统降级。

优选地，某一本地列控设备申请云计算资源后，所分配的计算和存储资源固定分配给该本地列控设备使用，所述本地列控设备的通信地址被确定，所述本地列控设备与所分配的计算和存储资源完成点对点固定连接，所述本地列控设备的云计算的时延包括静态数据传输时延和计算时延。

优选地，将本地列控设备按所处状态分为上电开机状态、正常工作状态和断电检修维护状态，在所述上电开机状态中所述本地列控设备向云计算设备申请资源，在所述正常工作状态中所述本地列控设备向云计算设备发起计算；

对处于不同状态的本地列控设备进行优先级分级，该分级根据本地列控设备的运行状态进行实时调整，对同一本地列控设备中的不同类型计算依据计算的实时性要求进行优先级分级，该分级不可进行调整，在云计算设备并行计算能力不足的情况下，云计算设备优先响应高优先级的本地列控设备中的高优先级的计算申请，在云计算设备并行计算能力允许的情况下，云计算设备并行响应不同优先级的计算申请。

优选地，在云计算集群中的每个资源管理集群中同时运行多个资源配置程序，多个资源配置程序同时执行，响应不同本地列控设备的计算申请，资源配置程序采用固定加动态的分配方式，优先级高的本地请求由固定的资源配置程序执行，优先级低的请求和预期外突发请求，采用动态分配的形式由没有固定分配给高优先级请求且空闲的资源配置程序执行。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例提供的基于云计算的轨道交通列车运行控制系统提出了在保证安全计算平台安全性、可信性、时效性的前提下将计算环节迁移至云端的实现方法，解决了安全计算平台的计算能力及资源利用率的问题。可以在保证辅助计算的确定性以及时效性的前提下提高资源利用率和平台非实时部分的响应速度。该系统采用限定本地安全比较最大等待时延的方式来保证由云计算设备送回的计算结果的实时性。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种基于云计算的轨道交通列车运行控制系统的结构图；

图2为本发明实施例提供的一种云计算设备的逻辑功能划分示意图；

图3为本发明实施例提供的一种基于同一套云计算集群硬件使用虚拟化技术构成的云计算设备构成框图；

图4为本发明实施例提供的一种基于独立云计算集群硬件构成的云计算设备构成框图；

图5为本发明实施例提供的一种虚拟化加独立云计算集群硬件构成的云计算设备构成框图；

图6为本发明实施例提供的一种异构计算资源池中每个计算集群结构图；

图7为本发明实施例提供的一种本地列控设备的安全比较原理图；

图8为本发明实施例提供的一种冗余通信网络的功能及结构图；

图9为本发明实施例提供的一种云计算的结构图；

图10为本发明实施例提供的一种轨道交通列车运行控制系统的数据交互逻辑图；

图11为本发明实施例提供的一种申请资源阶段的异构资源配置程序流程图；

图12为本发明实施例提供的一种轨道交通列车运行控制系统的整体工作流程图。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

本发明实施例将轨道交通列车运行控制系统所需的高性能软件计算功能迁移至云端，提高安全计算平台的计算能力，适应下一代列控系统在降低造价、节约能耗、降低列控设备复杂性等方面的要求。

本发明实施例的总体方案如下：分离既有各种列控设备中与列车运行控制相关的高性能软件计算功能，将高性能软件计算功能迁移到云计算设备，分离软件计算功能后的既有各种列控设备在本发明中称为本地列控设备，云计算设备和各种本地列控设备之间通过冗余通信网络交互数据信息。云计算设备和各种本地列控设备以及上述冗余通信网络构成基于云计算的轨道交通列车运行控制系统。

本地列控设备为符合轨道交通相关安全标准的安全设备，其安全完整性等级与既有列控设备一致，既可位于地面，也可位于列车上。位于地面的本地列控设备通过冗余有线通信网络与云计算设备交互数据信息，位于列车上的本地列控设备通过冗余无线移动通信网络与云计算设备交互数据信息。

云计算设备向所有本地列控设备提供实时计算和存储服务，为了满足安全需求，云计算设备应以虚拟隔离或物理隔离方式向单一本地列控设备的单次与列车运行控制相关的计算申请同时提供冗余的多个实时计算和存储服务，计算产生冗余的多个计算结果，供本地列控设备对每次计算产生的与列车运行控制相关的计算结果通过安全比较方式获得安全计算结果。

本地列控设备完成各自的安全输入、安全数据比较、列控安全计算控制和安全输出等安全功能，其中的列控安全计算控制功能包括确认云计算设备合法身份、向云计算设备申请计算和存储资源、向云计算设备发起利用计算和存储资源完成列车运行控制相关的计算、计算结果的安全确认等子功能。

本发明实施例提供的一种基于云计算的轨道交通列车运行控制系统的结构图如图1所示，包括云计算设备、各种本地列控设备以及冗余通信网络构成。一个本地列控设备可向多套云计算设备请求计算资源，由多套云计算设备完成辅助计算，一套云计算设备也可同时为多个本地列控设备提供资源配置服务并完成辅助计算服务。

(1)云计算设备功能及结构

云计算设备向所有本地列控设备提供实时计算和存储服务，为了满足安全需求，云计算设备应以虚拟隔离或物理隔离方式向单一本地列控设备的单次与列车运行控制相关的计算申请同时提供冗余的多个实时计算和存储服务，计算产生冗余的多个计算结果，供本地列控设备对每次计算产生的与列车运行控制相关的计算结果通过安全比较方式获得安全计算结果。

图2为本发明实施例提供的一种云计算设备的逻辑功能划分示意图，如图2所示，云计算设备的逻辑功能上分为云资源管理单元、云存储资源池和云计算资源池。

云资源管理单元负责管理云计算资源池和云存储资源池，接收所有本地列控设备发送的云计算申请信息，并按该云计算申请信息内容进行云存储资源、云计算资源的配置和通信地址的分配，并在云存储资源、云计算资源配置完成后进行校验，校验正确后云计算资源池和云存储资源池方能使用。

云存储资源池按照与本地列控设备约定好的云存储程序完成云计算所需程序和数据信息、地址信息、计算结果等数据信息的存储。

云计算资源池按照与本地列控设备约定好的云计算程序利用本地列控设备向云计算设备申请的计算和存储资源完成列车运行控制相关的计算，并产生相应的计算结果，供本地列控设备通过可靠且安全的比较产生安全计算结果。

云计算设备可由服务器、PC机、工控机等硬件设备构成，既可集中位于一处，也可因地理容灾而分散于不同地点，因此也可将云计算设备划分为若干个云计算集群。

每个云计算集群包含云资源管理集群、云计算资源集群和云存储资源集群等，云计算设备中的所有云计算集群中的云资源管理集群、云计算资源集群、云存储资源集群分别构成云计算设备的云资源管理单元、云计算资源池、云存储资源池。

云资源管理集群、云存储资源集群、云计算资源集群可使用云计算集群的同一套物理主机通过软件虚拟化划分而形成，如图3所示。

云资源管理集群、云存储资源集群、云计算资源集群亦可使用云计算集群的相互独立的物理主机而构成，如图4所示。

也可使用云计算集群的同一套物理主机通过软件虚拟化划分而形成云存储资源集群、云计算资源集群，而云资源管理集群使用与之独立的另一套物理主机而构成，如图5所示。

考虑列控系统或信号系统的安全性、可靠性、可用性、可维护性的特殊要求，云计算设备使用多个相互独立且具有异构特点的云计算集群实现。例如四个相互独立且具有异构特点的云计算集群可适应本地列控设备使用二乘二取二方式的可靠且安全比较要求，六个相互独立且具有异构特点的云计算集群可适应二乘三取二方式的可靠且安全比较要求，等等。

优选地，使用四个相互独立且具有异构特点的云计算集群构成云计算设备，即A、A'、B、B'四个云计算集群，且A、A'分别同构，B、B'分别同构，但A、A'与B、B'异构，异构可通过软硬件均不同的方式实现，也可通过硬件相同、软件不同的方式实现，软件不同主要指使用的操作系统不同。图6为本发明实施例提供的一种异构计算资源池中每个计算集群结构图，如图6所示，A和A'运行操作系统，B和B'运行操作系统。A与B构成云计算集群主系，A'与B'构成云计算集群备系。

云资源管理单元由在云计算集群上运行的资源配置程序实现其功能。云计算集群主系中的A与B可在使用不同的操作系统运行相同的资源配置程序，也可在使用不同的操作系统运行不同语言编写的资源配置程序，构成异构关系。云计算集群备系A'与主系中A配置相同，B'主系中与B配置相同。且资源配置程序应具有以下功能：数据加密/解密功能、计算资源配置功能(分配计算资源通信地址)、存储资源配置功能(分配存储资源通信地址)、秘钥验证功能、搭建结果验证功能(通信地址验证)、优先级识别功能等。

云存储资源池由在云计算集群上运行的云存储程序实现其功能。云计算集群主系中的A与B可在使用不同的操作系统运行相同的云存储程序，也可在使用不同的操作系统运行不同语言编写的云存储程序，构成异构关系。云计算集群备系A'与主系中A配置相同，B'主系中与B配置相同。且云存储程序应具有以下功能：数据存储、负载均衡、数据备份、数据更新、数据同步等。

云计算资源池由在云计算集群上运行的云计算程序实现其功能。云计算集群主系中的A与B可在使用不同的操作系统运行相同的云计算程序，也可在使用不同的操作系统运行不同语言编写的云计算程序，构成异构关系。云计算集群备系A'与主系中A配置相同，B'主系中与B配置相同。

通信接口为冗余通信网络与云计算设备的接口设备，可选择交换机或路由器等通用网络设备实现，其可映射为资源管理单元中的网络通信地址。

云计算设备的云资源管理单元、云计算资源池和云存储资源池均依本地列控设备需求对应划分成云计算集群的云资源管理集群、云计算资源集群、云存储资源集群。且在云计算设备中设置防火墙等必要信息安全防护措施。

(2)本地列控设备的功能及结构

前已述及：分离既有各种列控设备中与列车运行控制相关的高性能软件计算功能，将其迁移到云计算设备，分离软件计算功能后的既有各种列控设备在本发明中称为本地列控设备。

本地列控设备为符合轨道交通相关安全标准的安全设备，其安全完整性等级与既有列控设备一致，既可位于地面，也可位于列车上。位于地面的本地列控设备通过冗余有线通信网络与云计算设备交互数据信息，位于列车上的本地列控设备通过冗余无线移动通信网络与云计算设备交互数据信息。

本地列控设备完成各自的安全输入、安全数据比较、列控安全计算控制和安全输出等安全功能，其中的列控安全计算控制功能包括云计算设备身份确认、向云计算设备申请计算和存储资源、向云计算设备发起利用计算和存储资源完成列车运行控制相关的计算、计算结果的安全确认等子功能。

云计算设备身份确认功能利用加密、身份认证等信息安全措施，实现对云计算设备资源的身份确认、权限访问控制和资源访问控制等信息安全防护功能。

向云计算设备申请计算和存储资源功能，是在云计算资源请求阶段，向云资源管理单元发送云计算资源需求信息，云资源管理单元根据上述云计算资源需求信息向本地列控设备分配云存储资源、云计算资源和通信地址。

向云计算设备发起利用计算和存储资源完成列车运行控制相关的计算功能，是在实时计算过程向云计算设备发送计算所需数据，由云计算设备返回计算结果。出于对云计算结果的可信性验证目的，本地列控设备在计算数据之前添加随机的可信性验证数据，该可信性验证数据优选使用计算数据的固定长度Hash值，计算数据和可信性验证数据同时由云计算设备完成计算，并将两种计算结果一起送回本地列控设备。

计算结果的安全确认功能，首先依托于前述云计算设备对可信性验证数据计算而产生的可信性验证结果，本地列控设备对在最大容忍时延内先送回的计算结果进行解密，并通过查表方式确认固定位Hash值构成的可信性验证结果正确与否，只有正确才能进行后续的可信性验证数据和计算数据的安全比较，超过最大容忍时延的计算结果直接舍弃不予使用。若可信性验证数据和/或计算数据的计算结果的比较全部出错，则导向安全侧，系统降级；若云计算设备的计算结果送回全部超过最大容忍时延，则导向安全侧，系统降级。

本地列控设备依托于云计算设备以虚拟隔离或物理隔离方式向本地列控设备的单次与列车运行控制相关的计算申请同时提供冗余的多个实时计算和存储服务，计算产生冗余的多个计算结果，本地列控设备对每次计算产生的与列车运行控制相关的计算结果通过安全比较方式获得安全的计算结果。另外通过设定本地列控设备容忍时延，若规定时间内无比较结果则也会判定安全比较失败而导向安全侧。

优选地，图7为本发明实施例提供的一种本地列控设备的安全比较原理图，如图7所示，安全比较采用二乘二取二逻辑对云计算设备的计算结果(包括计算可信性验证数据)在规定时间内进行安全比较，分别比较来自同一个云计算设备的两个异构云计算集群的计算结果，如果比较结果为一致则获得安全的计算结果，如果比较结果为不一致，则比较来自另外一个云计算设备两个异构云计算集群的计算结果，两个云计算设备构成二乘冗余关系；如所有的安全比较结果都为不一致，则所述本地列控设备导向安全侧。

(3)冗余通信网络功能及结构

本发明实施例提供的一种冗余通信网络的功能及结构如图8所示。云计算设备和各种本地列控设备之间通过冗余通信网络交互数据信息，位于地面的本地列控设备通过冗余有线通信网络与云计算设备交互数据信息，位于列车上的本地列控设备通过冗余无线移动通信网络与云计算设备交互数据信息。

为保证信息传输的安全性，所用有线通信网络和无线通信网络均为专用网络，所传输的信息均采用加密传输方式。优选地，数据信息采用对称加密技术，其密钥采用非对称加密方式传输。且冗余通信网络留有足够裕量以便扩展使用。

前以述及为解决本地和云端间相互通信的安全性问题，需要对通信双方的身份进行验证。

(4)确保与列车运行控制相关的云计算的实时性措施

优选地，云计算方式配置为私有云。私有云可以按需求进行搭建，可以按需求进行虚拟隔离或物理隔离的划分，可以按需求去除不必要的对实时性造成影响的模块，可以按需求编写资源配置程序、云资源存储程序等，可以按需求将整个系统分申请资源和发起计算两部分，亦可通过程序预置方式提高实时性。

某一本地列控设备申请云计算资源后，所分配的计算和存储资源固定分配给该本地列控设备使用。计算和存储资源固定后通信地址也随之确定，即本地列控设备与云计算设备(云计算集群)中独立或虚拟化分的云计算资源池(云计算资源集群)中指定的计算资源(按申请内容配置的完成计算的虚拟机)完成点对点固定连接，云计算的时延由原有每次计算进行资源分配时延、数据动态传输时延和计算时延等主要时延，缩短为静态数据传输时延和计算时延，消除了每次计算都需要动态资源配置的等待时间，缩短了数据动态传输寻址的时延，大大减少了本地列控设备对云计算结果的等待时间，从而确保与列车运行控制相关的云计算的实时性。

本发明实施例中多个本地列控设备对同一云计算设备同时申请资源可能出现的排队(增加资源配置时间，即延长开机时间)问题的解决措施如下：

为减小云资源管理单元并行计算的压力，可在保证实时性的前提下对本地列控设备实施优先级分级，比如，对处于不同状态的本地列控设备进行优先级分级，可根据本地列控设备的运行状态进行实时调整该分级，对同一本地列控设备的不同类型计算依据其实时性要求进行优先级分级，该分级不可进行调整。在云计算设备并行计算能力不足的情况下，云计算设备优先响应高优先级的本地列控设备中的分配高优先级的计算申请，在云计算设备并行计算能力允许的情况下，云计算设备并行响应不同优先级的计算申请。

优选地，在每个资源管理集群中同时运行多个资源配置程序，多个资源配置程序同时执行，响应不同本地列控设备的计算申请，资源配置程序采用固定加动态的分配方式，优先级高的本地请求由固定的资源配置程序执行，请求到达资源管理集群即有提前固定好的程序响应其请求，缩短资源配置的等待时间，优先级低的请求和预期外突发请求，采用动态分配的形式，由没有固定分配给高优先级请求且空闲的资源配置程序执行，如并行执行能力不足则优先级高的申请先执行。以此提高资源配置的时效性，缩短从发出请求到可以进行实时计算的时间。高优先级请求与对应的资源配置程序对应关系固定。在保证高效稳定的前提下处理多本地同时请求。也可以使用优先级循环的策略为多个请求分配资源配置程序。

在(发起)实时计算过程中高优先级计算亦享有在发生排队时的优先权。

亦采用实时以太网等实时数据传输网络来缩短数据传输的时延，涉及车地通信部分可采用4G、5G等更低数据传输时延的无线通信方式。

(5)确保列车运行控制云计算的安全性措施

云计算设备和本地列控设备之间采用加密、身份认证等信息安全措施，实现本地列控设备对云计算设备资源的身份确认、权限访问控制和资源访问控制等信息安全防护功能。

本地列控设备在计算数据之前添加随机的可信性验证数据，计算数据和可信性验证数据两种数据同时由云计算设备完成计算，并将两种计算结果一起送回本地列控设备，本地列控设备通过查表方式确认可信性验证结果正确与否，只有正确才能进行后续的安全比较。

安全比较则依托于云计算设备以虚拟隔离或物理隔离方式，向单一本地列控设备的单次与列车运行控制相关的计算申请同时提供冗余的多个实时计算和存储服务，计算产生冗余的多个计算结果，本地列控设备对每次计算产生的与列车运行控制相关的计算结果通过安全比较方式获得安全的计算结果。另外通过设定安全比较容忍时延，若规定时间内无比较结果则也会判定安全比较失败而导向安全侧。

实施例二

利用上述本发明实施例的基于云计算的轨道交通列车运行控制系统原理，将某一区域内的所有的本地列控设备按所处状态分为P1(上电开机状态，向云计算设备申请资源)、P2(正常工作状态，向云计算设备发起计算)、P3(断电检修维护状态)3种状态，假设有处于P1状态的本地列控设备N个(套)，处于P2状态的本地列控设备M(A套车载、B套地面)个(套)，处于P3状态的本地列控设备L个(套)，P1状态的本地列控设备向云计算设备申请列车速度控制曲线计算资源、制动模式曲线计算资源、测速定位计算资源、行车许可生成计算资源、限速信息计算资源、联锁进路计算资源以及行车日志储存资源等计算/存储资源，P2状态的本地列控设备向云计算设备发起列车速度控制曲线计算、制动模式曲线计算、测速定位计算、行车许可生成计算、限速信息计算、联锁进路计算以及行车日志储存等计算/存储，P3状态的本地列控设备进行断电检修维护。

该实施例的具体实施方式如下：

图9为本发明实施例提供的一种云计算的结构图，云计算设备搭建时，以二乘二取二结构为例依照图9所示结构搭建，具体设备结构参照图5。

云存储资源集群、云计算资源集群使用云计算集群的同一套物理主机通过软件虚拟化划分而形成，云资源管理单元使用与之独立的物理主机构成。

云计算资源集群、云存储资源集群使用云计算集群的同一套物理主机虚拟化分且与云资源管理集群独立，此情形中云计算设备由四个两两相互异构的云计算集群构成，相互异构的两个云计算集群构成异构二取二的云计算集群(包含云资源管理集群和云计算/存储资源集群)，与另外二个相互异构的云计算集群所构成的异构二取二的云计算集群(包含云资源管理集群和云计算/存储资源集群)构成同构的二乘云计算集群。优选地，云资源管理集群为多台高性能服务器虚拟成的服务器集群，云计算/存储资源集群可为多台服务器虚拟化而成，亦可为服务器、PC机、工控机等组合而成，具体依实际需求而定，该实施例优选由多台服务器虚拟而成。计算/存储资源集群中资源由资源管理集群中资源配置程序进行配置，并在配置过程中建立云计算集群(计算资源)与本地列控设备的之间通信，授权进行实时计算。

使用四个相互独立且两两相互异构的云计算集群构成云计算设备，即A、A'、B、B'四个云计算集群，且A、A'分别同构，B、B'分别同构，但A、A'与B、B'异构，异构可通过软硬件均不同的方式实现，也可通过硬件相同、软件不同的方式实现，软件不同主要指使用的操作系统不同，例如A和A'运行操作系统，B和B'运行操作系统。A与B构成云计算集群主系，A'与B'构成云计算集群备系。

云资源管理集群由在云计算集群上运行的资源配置程序实现其功能。云计算集群主系中的A与B可在使用不同的操作系统运行相同的资源配置程序，也可在使用不同的操作系统运行不同语言编写的资源配置程序，构成异构关系。云计算集群备系A'与主系中A配置相同，B'主系中与B配置相同。

考虑安全性可靠性，资源配置程序、云存储程序、云计算程序均采用软件异构，使用不同语言(C、C++、Python)进行编写。资源配置程序应具有以下功能：数据加密/解密功能、资源配置功能(分配通信地址)、秘钥验证功能、搭建结果验证功能(通信地址验证)和优先级识别功能等，云存储程序具有以下功能：数据存储、负载均衡、数据备份、数据更新和数据同步等，云计算程序应具有的功能由本地列控设备申请内容决定。构成异构的云计算集群使用不同操作系统运行异构的资源配置程序、云存储程序和云计算程序。并在每个云计算集群上运行多个相同和不同优先级的资源配置程序，云存储程序、云计算程序由资源管理程序进行配置。

通信接口采用符合相关安全标准的设备，设备布置遵循现有相关技术规范。信息传输依前述采用对称+非对称方式进行加密处理。优选地，通信网络使用由实时以太网构成的专用冗余通信网络。

云计算设备送回本地的计算结果数量由本地列控设备安全逻辑决定，本实施例中本地列控设备对构成二乘二取二的四个云计算集群送回的四个结果进行二乘二取二比较。

图10为该实施例中的轨道交通列车运行控制系统的数据交互逻辑图，如图10所示，实际负责执行计算和存储任务的虚拟机在下文中称为计算资源、存储资源。

1)N套处于P1状态的本地列控设备与云计算设备交互的数据流为本地列控设备在上电时向云计算设备发送按既定优先级排序的申请资源信息，云计算设备(资源管理单元)执行资源配置完成后向本地列控设备发送配置完成信息。

2)A套处于P2状态的本地列控车载设备与云计算设备交互的数据流为本地列控车载设备向云计算设备发起实时计算阶段，本地列控车载设备向云计算设备发送可信性验证数据(计算数据的固定长度Hash值)、列车速度控制曲线计算、制动模式曲线计算和测速定位计算及存储所需数据，云计算设备向本地列控车载设备发送可信性数据验证计算结果及数据计算结果(送回同一列控设备的数据按计算的既定优先级排列)。

3)B套处于P2状态的本地列控地面设备与云计算设备交互的数据流为本地列控地面设备向云计算设备发起实时计算阶段，地面设备向云计算设备发送可信性验证数据(计算数据的固定长度Hash值)、行车许可生成计算、限速信息计算、联锁进路计算以及行车日志储存数据，云计算设备向本地列控地面设备发送可信性数据验证计算结果及数据计算结果(送回同一列控设备的数据按计算的既定优先级排列)。

4)通信接口与云资源管理单元传输的为申请信息和配置完成信息(P1状态本地列控设备向云计算设备申请资源时)及资源释放申请(P3状态本地列控设备断电时)，云资源管理单元与存储资源及计算资源池(计算单元)间交互的是通信地址信息(P1状态本地列控设备向云计算设备申请资源时)，通信接口与计算资源间传输的是可信性验证数据、本地设备采集的需要计算的数据及计算结果信息(P2状态本地列控设备向云计算设备发起实时计算时)，通信接口与存储资源间传输的是所需存储信息(P2状态本地列控设备向云计算设备发起存储时)，存储资源与计算资源间交互的是计算所需程序和需要存储的计算结果(P2状态本地列控设备向云计算设备发起实时计算时)。

该实施例提供的一种申请资源阶段的异构资源配置程序流程图如图11所示，包括如下的处理过程：

P1状态的本地列控设备在上电开机时向云计算设备(四个云计算集群)申请资源(发送包含可信性身份验证及申请资源内容的加密数据)，云计算设备接收到本地列控设备发送的数据后，先进行解密，再将解密后数据发送至资源配置程序，资源配置程序响应申请进行资源配置，资源配置程序流程如图11中灰色部分所示(资源配置程序包含：身份验证、申请类型判断、计算资源配置、存储资源配置、计算程序加载其中高优先级计算程序预置在计算资源自身存储空间不需此步骤)，资源配置完成后对配置结果进行校验，校验通过后云计算设备向本地发送申请资源响应完成信息，并授权发起实时计算。每个资源管理集群运行多套资源配置程序通过设置资源配置程序固定信息启动的方式实现高优先级申请优先响应。

当N套处于P1状态的本地列控设备同时申请资源时，依前述规则，申请资源时至少由N个(套)资源配置程序同时运行等待响应申请，同一本地列控设备的不同申请按既定优先级顺序向云计算设备申请，云资源配置程序按优先级接收申请(高优先级资源配置程序优先接收申请，发生仅在并行处理能力不足时使用)，根据固定信息匹配预先固定好的云资源配置程序。云资源配置程序使用符合相关安全等级的不同编程语言进行编程。

当M套处于P2状态的本地列控设备同时发起实时计算时，至少有M个(套)计算资源同时分别为M套处于P2状态的本地列控设备提供实时计算服务。当云计算设备服务能力不足时，按照不同本地列控设备的优先级(按本地列控设备的状态对实时性的要求划分)，优先为高优先级的本地列控设备服务。

本地列控设备为符合轨道交通相关安全标准的安全设备，其安全完整性等级与既有列控设备一致，既可位于地面，也可位于列车上。位于地面的本地列控设备通过冗余有线通信网络与云计算设备(通信接口)交互数据信息，位于列车上的本地列控设备通过冗余无线移动通信网络与云计算设备(通信接口)交互数据信息。

优选地本地列控设备使用二乘二取二安全逻辑(云计算设备执行计算的云计算集群为A、A'、B、B'四个云计算集群)，本地列控设备对云计算设备送回的四个计算结果进行符合安全标准的二乘二取二安全比较。

该实施例提供的一种轨道交通列车运行控制系统的整体工作流程如图12所示，包括如下的处理过程：

处于P1状态的本地列控设备工作流程：

(1)N套处于P1状态的本地列控设备启动向云计算设备申请资源。

(2)4个云计算集群(云资源管理集群)接收申请。

(3)资源管理集群中至少N个(套)资源配置程序同时执行(若并行处理能力不足则按优先级配置)。

(4)云计算设备向本地列控设备发送配置完成信号。

(5)N套处于P1状态的本地列控设备接收构建完成信号，完成计算资源请求、构建过程。

(6)本地列控设备向指定通信地址发送计算所需数据(或需要存储的数据)并开启最大容忍时延计时。

(7)云计算设备(经配置后固定分配给该申请的计算资源)执行计算，并对计算结果初步比较，比较结果送回本地列控设备(或对数据经常备份存储)。

(8)本地列控设备对云计算设备计算结果进行比较执行。

处于P2状态的本地列控设备工作流程：

(1)M套处于P2状态的本地列控设备向云计算设备发起实时计算，即向指定通信地址发送计算所需数据(或需要存储的数据)并开启最大容忍时延计时。

(2)云计算资源集群(M个(套)计算程序)执行计算，并对计算结果初步比较，比较结果送回本地列控设备(或对数据经常备份存储)。

(3)本地列控设备对云计算设备计算结果进行比较执行。

处于P3状态的本地列控设备工作流程：

(1)发送断电释放资源指令，同时停止向云计算设备发送计算所需数据。

(2)云计算设备接收断电释放资源指令。

(3)验证计算任务是否执行完成。

(4)若未完成计算则继续计算直至所有数据计算完成，若完成计算任务释放计算资源。

(5)向本地列控设备发送断电释放资源完成信息。

(6)检修维护。

本实时例中，N套处于P1状态的本地列控设备同时向云计算设备申请资源，云计算集群(资源管理集群)通过资源配置程序的固定信息匹配方式确定资源配置程序，在并行处理能力不足的情况下按优先级顺序快速将申请下发至资源配置程序执行(同一优先级的计算在并行处理能力不足的情况下按不同列控设备(不同列车)的优先级区分)，如有预期外突发申请则依实时性由非固定资源配置程序响应申请。

M套处于P2状态的本地列控设备与云计算设备信息时交互依照信息的实时性要求划分优先级，在通信能力不足时优先级高的优先通信(例如：制动模式曲线计算、列车速度控制曲线计算、测速定位计算、行车许可生产计算通过预置在计算集群本身存储资源中的程序计算优先通信，临时限速信息计算，及行车日志存储优先级低，通信优先级低)。

列控系统地面设备申请与车载设备计算申请处理方式一致，按优先级配置资源，按优先级送回计算结果。

本地列控设备对云计算结果进行比较，在原有安全比较的基础上，设置最大容忍时延。本地列控设备在计算数据之前添加随机的可信性验证数据，该可信性验证数据使用计算数据的固定长度Hash值，由云计算设备同时完成所述计算数据和可信性验证数据的计算，并将两种计算结果一起送回本地列控设备。

本地列控设备对在最大容忍时延内先送回的计算结果进行解密，并通过查表方式确认固定位Hash值构成的可信性验证数据的计算结果正确与否，只有正确才能进行后续的可信性验证数据和计算数据的安全比较，超过最大容忍时延的计算结果直接舍弃不予使用；若可信性验证数据和/或计算数据的计算结果的比较全部出错，则导向安全侧，系统降级；若云计算设备的计算结果送回全部超过最大容忍时延，则导向安全侧，系统降级。

云计算设备可任意扩展，当新增本地列控设备时(高优先级)，在资源管理集群中添加相应的资源配置程序并设定与之对应的优先级，在并行处理能力不足时，扩展限制并行处理能力的设备并对其虚拟化。

综上所述，本发明实施例提供的基于云计算的轨道交通列车运行控制系统提出了在保证安全计算平台安全性、可信性、时效性的前提下将计算环节迁移至云端的实现方法，解决了安全计算平台的计算能力及资源利用率的问题。该系统考虑列控系统或信号系统安全性、可靠性、可用性、可维护性的特殊要求，云计算设备使用多套相互独立且具有异构特点的云计算集群组成。该系统采用固定+动态的配置方式，在保证辅助计算的确定性以及时效性的前提下提高资源利用率和平台非实时部分的响应速度。该系统采用限定本地安全比较最大等待时延的方式来保证由云计算设备送回的计算结果的实时性。

本发明的系统中的云计算设备-本地列控设备通信均采用对称加密+非对称加密所构成的组合加密，且均包含固定位Hash值的可信性验证数据，来保证通信的安全性，以及送回本地列控设备的计算结果的可信性。该系统云计算设备采用高优先级计算程序预置的方式提高资源申请响应速度。该系统云计算设备实时计算并行执行、计算结果并行传输，且在并行传输能力不足的情况下按既定优先级传输。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种基于云计算的轨道交通列车运行控制系统，其特征在于，包括：通过冗余通信网络连接的云计算设备和本地列控设备；

所述的云计算设备，用于位于云端，向所有本地列控设备提供实时计算和存储服务，以虚拟隔离或物理隔离方式向单一本地列控设备的单次与列车运行控制相关的计算申请同时提供冗余的多个实时计算和存储服务，计算产生冗余的多个计算结果，将所述多个计算结果发送给所述本地列控设备；

所述的本地列控设备，用于位于地面或者列车上，完成各自的安全输入、安全数据比较、列控安全计算控制和安全输出处理过程，对所述云计算设备发送过来的多个计算结果通过安全比较方式获得安全的计算结果。

2.根据权利要求1所述的系统，其特征在于，位于地面的本地列控设备通过冗余有线通信网络与云计算设备交互数据信息，位于列车上的本地列控设备通过冗余无线移动通信网络与云计算设备交互数据信息，所述有线通信网络和无线通信网络均为专用网络，所传输的信息均采用加密传输。

3.根据权利要求1所述的系统，其特征在于，所述的云计算设备包括云资源管理单元、云存储资源池和云计算资源池；

所述的云资源管理单元，用于管理云计算资源池和云存储资源池，接收所有本地列控设备发送的云计算申请信息，并按照所述云计算申请信息内容进行云存储资源、云计算资源的配置和通信地址的分配，并在云存储资源、云计算资源配置完成后进行校验，校验正确后云计算资源池和云存储资源池方能使用；

所述的云存储资源池，用于按照与本地列控设备约定好的云存储程序完成云计算所需程序、数据信息、地址信息和计算结果的存储；

所述的云计算资源池，用于按照与本地列控设备约定好的云计算程序利用本地列控设备向云计算设备申请的计算和存储资源完成列车运行控制相关的计算，并产生相应的计算结果，供本地列控设备通过安全比较产生安全的计算结果。

4.根据权利要求3所述的系统，其特征在于，所述的云计算设备集中位于一处或者分散于不同地点，将所述云计算设备划分为若干个云计算集群，每个云计算集群包含云资源管理集群、云计算资源集群和云存储资源集群等，所有云计算集群中的云资源管理集群、云计算资源集群、云存储资源集群分别构成云计算设备的云资源管理单元、云计算资源池、云存储资源池；

所述的云资源管理集群、云存储资源集群、云计算资源集群使用云计算集群的同一套物理主机通过软件虚拟化划分而形成；或者，使用云计算集群的相互独立的三套物理主机而构成；或者，使用云计算集群的同一套物理主机通过软件虚拟化划分而形成云存储资源集群、云计算资源集群，而云资源管理集群使用与云存储资源集群、云计算资源集群独立的另一套物理主机构成。

5.根据权利要求4所述的系统，其特征在于，所述的云计算设备使用多个相互独立且具有异构特点的云计算集群实现，所述异构通过软硬件均不同的方式实现或者通过硬件相同、软件不同的方式实现。

6.根据权利要求1所述的系统，其特征在于，所述本地列控设备采用二乘二取二逻辑对所述云计算设备发送过来的多个计算结果在规定时间内进行安全比较，分别比较来自同一个云计算设备的两个异构云计算集群的计算结果，如果比较结果为一致则获得安全的计算结果，如果比较结果为不一致，则比较来自另外一个云计算设备的两个异构云计算集群的计算结果，两个云计算设备构成二乘冗余关系；如所有的安全比较结果都为不一致，则所述本地列控设备导向安全侧。

7.根据权利要求6所述的系统，其特征在于，所述本地列控设备设置最大容忍时延，所述本地列控设备在计算数据之前添加随机的可信性验证数据，该可信性验证数据使用计算数据的固定长度Hash值，由云计算设备同时完成所述计算数据和可信性验证数据的计算，并将两种计算结果一起送回本地列控设备；

所述本地列控设备对在最大容忍时延内先送回的计算结果进行解密，并通过查表方式确认固定位Hash值构成的可信性验证数据的计算结果正确与否，只有正确才能进行后续的可信性验证数据和计算数据的安全比较，超过最大容忍时延的计算结果直接舍弃不予使用；若可信性验证数据和/或计算数据的计算结果的比较全部出错，则导向安全侧，系统降级；若云计算设备的计算结果送回全部超过最大容忍时延，则导向安全侧，系统降级。

8.根据权利要求1至7任一项所述的系统，其特征在于，某一本地列控设备申请云计算资源后，所分配的计算和存储资源固定分配给该本地列控设备使用，所述本地列控设备的通信地址被确定，所述本地列控设备与所分配的计算和存储资源完成点对点固定连接，所述本地列控设备的云计算的时延包括静态数据传输时延和计算时延。

9.根据权利要求1至7任一项所述的系统，其特征在于，将本地列控设备按所处状态分为上电开机状态、正常工作状态和断电检修维护状态，在所述上电开机状态中所述本地列控设备向云计算设备申请资源，在所述正常工作状态中所述本地列控设备向云计算设备发起计算；

对处于不同状态的本地列控设备进行优先级分级，该分级根据本地列控设备的运行状态进行实时调整，对同一本地列控设备中的不同类型计算依据计算的实时性要求进行优先级分级，该分级不可进行调整，在云计算设备并行计算能力不足的情况下，云计算设备优先响应高优先级的本地列控设备中的高优先级的计算申请，在云计算设备并行计算能力允许的情况下，云计算设备并行响应不同优先级的计算申请。

10.根据权利要求9所述的系统，其特征在于，在云计算集群中的每个资源管理集群中同时运行多个资源配置程序，多个资源配置程序同时执行，响应不同本地列控设备的计算申请，资源配置程序采用固定加动态的分配方式，优先级高的本地请求由固定的资源配置程序执行，优先级低的请求和预期外突发请求，采用动态分配的形式由没有固定分配给高优先级请求且空闲的资源配置程序执行。