CN110095978A - 一种2乘2取2系统及其安全诊断方法 - Google Patents

Abstract

本发明实施例公开了一种2乘2取2系统及其安全诊断方法涉及计算机系统安全处理技术领域。所述系统包括主系单元、备系单元和切换单元，所述安全诊断方法包括：上电；上电自检；数据输出；数据输入；运算；自检；自检后依次进行：数据输出、数据输入、运算、自检的循环周期；其中，在数据输出、数据输入、运算和自检的循环周期内，主系第一CPU与主系第二CPU进行同步并互检比较，备系第一CPU与备系第二CPU进行同步并互检比较。本发明实施例能够解决现有技术中的2乘2取2系统缺少对中间过程数据的诊断，检测覆盖率不高，很难达到安全要求，同时也缺少对自身状态的诊断问题。

Description

一种2乘2取2系统及其安全诊断方法

技术领域

本发明实施例涉及计算机系统安全处理技术领域，具体涉及一种2乘2取2系统及其安全诊断方法。

背景技术

根据我国铁路的实际情况，二乘二取二体系结构最突出的优点在于可以让一系正常运行，并在另一系上进行调试，可以很好适应高密度流量铁路干线的技术升级，因为优异的性能其渐渐成为国内计算机联锁系统的主流趋势，大部分新建项目和既有线路系统的改造均采用该结构。二乘二取二计算机联锁系统是由四个运算模块、两个比较器和一个切换器组成，其基本思想是双系热备，系内二取二表决，每一系分别有两个具有故障检测功能的运算模块和一个比较器。当运算模块检测到自身出现失效时，将向比较器发送一个控制信号，如果运算模块没有检测到失效，即比较器没有接收到运算模块发出的失效信息时，比较器将对两个运算模块的输出进行比较，如果相同，则将该系的输出传送给切换器选择，如果不同，向切换器发送控制信号，该系输出无效。

在铁道部公布的信号设备产品标准中，已明确将二乘二取二列为推荐使用的结构。当前，主要的干线技术改造和新建客运专线都采用二乘二取二结构。但是现有2乘2取2系统中，用于提高安全性的诊断方式单一、诊断覆盖率低，大多采用输入数据比较、输出数据比较的方式，缺少对中间过程数据的诊断，检测覆盖率不高，很难达到安全要求，同时也缺少对自身状态的诊断。

发明内容

为此，本发明实施例提供一种2乘2取2系统及其安全诊断方法，以解决现有技术中的2乘2取2系统缺少对中间过程数据的诊断，检测覆盖率不高，很难达到安全要求，同时也缺少对自身状态的诊断问题。

为了实现上述目的，本发明实施例提供如下技术方案：

根据本发明实施例的第一方面，

提供一种2乘2取2系统，所述系统包括主系单元、备系单元和切换单元，所述主系单元包括主系执行机构、主系控制模块、主系开关量输入模块、主系开关量输出模块和主系通信模块，所述主系执行机构、主系控制模块、主系开关量输入模块和主系开关量输出模块通过本地总线LBUS进行通信，所述备系单元包括备系执行机构、备系控制模块、备系开关量输入模块、备系开关量输出模块和备系通信模块，所述备系执行机构、备系控制模块、备系开关量输入模块和备系开关量输出模块通过本地总线LBUS进行通信，所述主系控制模块包括主系第一CPU和主系第二CPU，所述备系控制模块包括备系第一CPU和备系第二CPU，所述主系第一CPU与备系第一CPU相连，所述主系第二CPU和备系第二CPU相连，且所述主系第一CPU、主系第二CPU、备系第一CPU和备系第二CPU均连接至主系通信模块、备系通信模块和维护终端。

根据本发明实施例的第二方面，

提供一种安全诊断方法，基于一种2乘2取2系统，所述安全诊断方法包括：上电，对系统的主系单元和备系单元上电；上电自检，主系单元和备系单元进行上电自检，检查自身状态是否正常，并初始化相关外设；数据输出，系统向输出接口和通信接口发送数据；数据输入，系统接收输入接口和接收通信接口的数据；运算，主系控制模块和备系控制模块进行控制数据的处理及运算；自检，系统周期诊断自身运行环境和运行数据的状态，自检后依次进行：数据输出、数据输入、运算、自检的循环周期；其中，在数据输出、数据输入、运算和自检的循环周期内，主系第一CPU与主系第二CPU进行同步并互检比较，备系第一CPU与备系第二CPU进行同步并互检比较。

进一步地，所述数据输出采用动态输出，每周期输出一组动态脉冲信号至输出电路，系统CPU正常时，输出电路对外产生直流电压，驱动外部继电器负载；系统任一CPU故障时，输出至主系开关量输出模块或备系开关量输出模块的动态脉冲信号异常，输出电路输出变为0V。

进一步地，所述上电自检和自检的方法包括：检测系统CPU自身寄存器，将诊断数据写入寄存器，然后再读取寄存器内容，将所述寄存器内容与所述诊断数据进行一致性比较，读写一致表示寄存器硬件正常，不一致则异常；检测只读存储器ROM，将程序中每段代码生成一个CRC校验值，将所述CRC校验值与ROM已装载的CRC校验值进行一致性比较，一致则表示ROM硬件正常，不一致则异常。

进一步地，所述上电自检和自检的方法还包括：检测随机读写存储器RAM，按位进行读写一致性比较，若有不一致的表示位，则不一致的表示位所在的位置硬件故障；检测外设板卡总线的状态，依次对所有位进行读写一致性比较，如果不一致，表示总线被钳位在高电平或者低电平，判断总线故障；检测DO接口电路，增加输出电压回检机制和驱动信号回检机制，若驱动命令与回检信息不一致，表示电路故障，停止系统运行；若无驱动命令，但检测到有驱动信号，表示产生一个危险失效，停止系统运行；若驱动命令与回检信息不一致，表示电路故障，则停止系统运行；检测通信接口是否正常，发送握手信号，若长时间未收到回执信号表示通信链路中断。

进一步地，若所述上电自检和自检结果无异常时，系统CPU向执行机构发出授权命令，执行机构接通输出通道电源，系统进入工作状态；若上述上电自检和自检结果发生异常，系统CPU将停止对执行机构输出授权命令，执行机构停止工作，切断输出通道电源，系统进入安全状态。

进一步地，所述互检比较的方法包括：主系第一CPU把自己的状态数据周期发送给主系第二CPU，并读取主系第二CPU的状态数据，主系第一CPU将自己的状态数据和收到的主系第二CPU数据进行比较，同时，主系第二CPU把自己的状态数据周期发送给主系第一CPU，并读取主系第一CPU的状态数据，主系第二CPU将自己的状态数据和收到的主系第一CPU数据进行比较；备系第一CPU把自己的状态数据周期发送给备系第二CPU，并读取备系第二CPU的状态数据，备系第一CPU将自己的状态数据和收到的备系第二CPU数据进行比较，同时，备系第二CPU把自己的状态数据周期发送给备系第一CPU，并读取备系第一CPU的状态数据，备系第二CPU将自己的状态数据和收到的备系第一CPU数据进行比较；若一致表示正常，若不一致则连续比对3周期的状态数据，若连续3周期的状态数据比对结果均不一致则系统停止运行。

进一步地，所述互检过程中对状态数据进行比较的具体方法包括：比较输入数据，输入数据包括DI接口输入数据和通信接口输入数据；比较中间状态，包括判断逻辑运算的中间结果是否一致；比较输出数据，输出数据包括DO接口输出数据和通信接口输出数据；其中，互检过程中任一检测结果不通过，系统CPU将停止对主系执行机构和备系执行机构输出授权命令，主系执行机构和备系执行机构停止工作，切断输出通道电源，系统进入安全状态。

本发明实施例具有如下优点：

本发明实施例采用2乘2取2系统，先进行自检，对自身状态进行检测，再运行过程的每一周期阶段内进行互检，能够实现对中间过程数据的诊断，提高检测覆盖率高，从而保证系统的安全性。

附图说明

为了更清楚地说明本发明的实施方式或现有技术中的技术方案，下面将对实施方式或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是示例性的，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图引伸获得其它的实施附图。

本说明书所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定本发明可实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容得能涵盖的范围内。

图1为本发明实施例1提供的一种2乘2取2系统的结构示意图；

图2为本发明实施例提供的一种安全诊断方法的流程图；

图3为本发明实施例提供的一种安全诊断方法涉及的方波信号；

图中：切换单元1、维护终端2、主系单元3、备系单元4、主系控制模块5、备系控制模块6、主系执行机构7、主系第二CPU8、主系第一CPU9、主系开关量输出模块10、主系开关量输入模块11、主系通信模块12、备系执行机构13、备系第一CPU14、备系第二CPU15、备系开关量输入模块16、备系开关量输出模块17、备系通信模块18。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供一种2乘2取2系统，包括主系单元3、备系单元4和切换单元1，上述切换单元1用于进行运行系统的切换。上述主系单元3包括主系执行机构7、主系控制模块5、主系开关量输入模块11、主系开关量输出模块10和主系通信模块12，上述主系执行机构7、主系控制模块5、主系开关量输入模块11和主系开关量输出模块10通过本地总线LBUS进行通信，上述备系单元4包括备系执行机构13、备系控制模块6、备系开关量输入模块16、备系开关量输出模块17和备系通信模块18，上述备系执行机构13、备系控制模块6、备系开关量输入模块16和备系开关量输出模块17通过本地总线LBUS进行通信，上述主系控制模块5包括主系第一CPU9和主系第二CPU8，上述备系控制单元包括备系第一CPU14和备系第二CPU15，上述主系第一CPU9与备系第一CPU14相连，上述主系第二CPU8和备系第二CPU15相连，且上述主系第一CPU9、主系第二CPU8、备系第一CPU14和备系第二CPU15均连接至主系通信模块12、备系通信模块18和维护终端2。系统采用2乘2取2的逻辑结构，系统主备系之间完成“2乘”的功能，即当主系和备系中的任何一系故障时，系统就切换到另一系继续工作，主备系统内采用两CPU共同工作，两CPU之间完成“2取2”的功能，即进行2oo2的运算比较，一致输出、不一致不输出。

本发明实施例还提供一种安全诊断方法，系统采取顺序程序结构执行，固定运行周期，方法包括：

第一步，上电，对系统的主系单元3和备系单元4上电；

第二步，上电自检，主系单元3和备系单元4进行上电自检，检查自身状态是否正常，并初始化相关外设；

第三步，数据输出，系统向输出接口和通信接口发送数据；

具体地，为了提高输出电路的安全性，数据输出采用动态输出，每周期输出一组动态脉冲信号至输出电路，系统CPU正常时，输出电路对外产生直流电压，驱动外部继电器负载；系统任一CPU故障时，输出至主系开关量输出模块10或备系开关量输出模块17的动态脉冲信号异常，输出电路输出变为0V。

第四步，数据输入，系统接收输入接口和接收通信接口的数据；

第五步，运算，主系控制模块5和备系控制模块6进行控制数据的处理及运算；

第六步，自检，系统周期诊断自身运行环境和运行数据的状态。

然后依次进行：数据输出、数据输入、运算、自检的循环周期，其中，在数据输出、数据输入、运算和自检的循环周期内，主系第一CPU9与主系第二CPU8进行同步并互检比较，备系第一CPU14与备系第二CPU15进行同步并互检比较。

进一步地，上电自检和自检的方法一致，其主要包括：

检测系统CPU自身寄存器，将诊断数据写入寄存器，然后再读取寄存器内容，将上述寄存器内容与上述诊断数据进行一致性比较，读写一致表示寄存器硬件正常，不一致则异常；

检测只读存储器ROM，将程序中每段代码生成一个CRC校验值，将上述CRC校验值与ROM已装载的CRC校验值进行一致性比较，一致则表示ROM硬件正常，不一致则异常；

检测随机读写存储器RAM，按位进行读写一致性比较，若有不一致的表示位，则不一致的表示位所在的位置硬件故障；

检测外设板卡总线的状态，依次对所有位进行读写一致性比较，如果不一致，表示总线被钳位在高电平或者低电平，判断总线故障；

检测DO接口电路，增加输出电压回检机制和驱动信号回检机制，若驱动命令与回检信息不一致，表示电路故障，停止系统运行；若无驱动命令，但检测到有驱动信号，表示产生一个危险失效，停止系统运行；若驱动命令与回检信息不一致，表示电路故障，则停止系统运行。

检测通信接口是否正常，发送握手信号，若长时间未收到回执信号表示通信链路中断。

上述每个环节检测通过后就输出一个方波信号，如果全部环节都通过，则输出一组方波信号，该方波信号就是授权命令。若上电自检和自检结果无异常时，系统CPU向执行机构发出授权命令，执行机构接通输出通道电源，系统进入工作状态；若上述上电自检和自检结果发生异常，系统CPU将停止对执行机构输出授权命令，执行机构停止工作，切断输出通道电源，系统进入安全状态。执行机构在完成上个执行周期后将停止工作，执行机构可以是看门狗电路。

另外，因为数据在运算过程中没有参考值进行自检，所以只能由两个CPU都进行运算然后比较运算结果。由于在极短的时间间隔内，两CPU同时出错并且错误呈现同一种模式的概率几乎为零。从这个理论出发，将系统运行周期设计到足够短如毫秒级，共因失效的概率会下降到很小，这样互检的效果就能体现出来。具体互检的方法包括：

主系第一CPU9把自己的状态数据周期发送给主系第二CPU8，并读取主系第二CPU8的状态数据，主系第一CPU9将自己的状态数据和收到的主系第二CPU8数据进行比较，同时，主系第二CPU8把自己的状态数据周期发送给主系第一CPU9，并读取主系第一CPU9的状态数据，主系第二CPU8将自己的状态数据和收到的主系第一CPU9数据进行比较；

备系第一CPU14把自己的状态数据周期发送给备系第二CPU15，并读取备系第二CPU15的状态数据，备系第一CPU14将自己的状态数据和收到的备系第二CPU15数据进行比较，同时，备系第二CPU15把自己的状态数据周期发送给备系第一CPU14，并读取备系第一CPU14的状态数据，备系第二CPU15将自己的状态数据和收到的备系第一CPU14数据进行比较；

若一致表示正常，若不一致则连续比对3周期的状态数据，若连续3周期的状态数据比对结果均不一致则系统停止运行。

具体地，互检过程中对状态数据进行比较的具体方法包括：

比较输入数据，输入数据包括DI接口输入数据和通信接口输入数据；

比较中间状态，包括判断逻辑运算的中间结果是否一致；

比较输出数据，输出数据包括DO接口输出数据和通信接口输出数据；

其中，互检过程中任一检测结果不通过，系统CPU将停止对主系执行机构7和备系执行机构13输出方波信号，主系执行机构7和备系执行机构13停止工作，切断输出通道电源，系统进入安全状态。

本发明实施例采用2乘2取2系统，先进行自检，对自身状态进行检测，再运行过程的每一周期阶段内进行互检，能够实现对中间过程数据的诊断，提高检测覆盖率高，从而保证系统的安全性。

虽然，上文中已经用一般性说明及具体实施例对本发明作了详尽的描述，但在本发明基础上，可以对之作一些修改或改进，这对本领域技术人员而言是显而易见的。因此，在不偏离本发明精神的基础上所做的这些修改或改进，均属于本发明要求保护的范围。

Claims (8)

1.一种2乘2取2系统，其特征在于，所述系统包括主系单元、备系单元和切换单元，所述主系单元包括主系执行机构、主系控制模块、主系开关量输入模块、主系开关量输出模块和主系通信模块，所述主系执行机构、主系控制模块、主系开关量输入模块和主系开关量输出模块通过本地总线LBUS进行通信，所述备系单元包括备系执行机构、备系控制模块、备系开关量输入模块、备系开关量输出模块和备系通信模块，所述备系执行机构、备系控制模块、备系开关量输入模块和备系开关量输出模块通过本地总线LBUS进行通信，所述主系控制模块包括主系第一CPU和主系第二CPU，所述备系控制模块包括备系第一CPU和备系第二CPU，所述主系第一CPU与备系第一CPU相连，所述主系第二CPU和备系第二CPU相连，且所述主系第一CPU、主系第二CPU、备系第一CPU和备系第二CPU均连接至主系通信模块、备系通信模块和维护终端。

2.一种安全诊断方法，所述安全诊断方法基于权利要求1所述的一种2乘2取2系统，其特征在于，所述安全诊断方法包括：

上电，对系统的主系单元和备系单元上电；

上电自检，主系单元和备系单元进行上电自检，检查自身状态是否正常，并初始化相关外设；

数据输出，系统向输出接口和通信接口发送数据；

数据输入，系统接收输入接口和接收通信接口的数据；

运算，主系控制模块和备系控制模块进行控制数据的处理及运算；

自检，系统周期诊断自身运行环境和运行数据的状态，自检后依次进行：数据输出、数据输入、运算、自检的循环周期；

其中，在数据输出、数据输入、运算和自检的循环周期内，主系第一CPU与主系第二CPU进行同步并互检比较，备系第一CPU与备系第二CPU进行同步并互检比较。

3.如权利要求2所述的一种安全诊断方法，其特征在于，所述数据输出采用动态输出，每周期输出一组动态脉冲信号至输出电路，系统CPU正常时，输出电路对外产生直流电压，驱动外部继电器负载；系统任一CPU故障时，输出至主系开关量输出模块或备系开关量输出模块的动态脉冲信号异常，输出电路输出变为0V。

4.如权利要求2所述的一种安全诊断方法，其特征在于，所述上电自检和自检的方法包括：

检测系统CPU自身寄存器，将诊断数据写入寄存器，然后再读取寄存器内容，将所述寄存器内容与所述诊断数据进行一致性比较，读写一致表示寄存器硬件正常，不一致则异常；

检测只读存储器ROM，将程序中每段代码生成一个CRC校验值，将所述CRC校验值与ROM已装载的CRC校验值进行一致性比较，一致则表示ROM硬件正常，不一致则异常。

5.如权利要求2所述的一种安全诊断方法，其特征在于，所述上电自检和自检的方法还包括：

检测随机读写存储器RAM，按位进行读写一致性比较，若有不一致的表示位，则不一致的表示位所在的位置硬件故障；

检测外设板卡总线的状态，依次对所有位进行读写一致性比较，如果不一致，表示总线被钳位在高电平或者低电平，判断总线故障；

检测DO接口电路，增加输出电压回检机制和驱动信号回检机制，若驱动命令与回检信息不一致，表示电路故障，停止系统运行；若无驱动命令，但检测到有驱动信号，表示产生一个危险失效，停止系统运行；若驱动命令与回检信息不一致，表示电路故障，则停止系统运行；

检测通信接口是否正常，发送握手信号，若长时间未收到回执信号表示通信链路中断。

6.如权利要求2所述的一种安全诊断方法，其特征在于，若所述上电自检和自检结果无异常时，系统CPU向执行机构发出授权命令，执行机构接通输出通道电源，系统进入工作状态；若上述上电自检和自检结果发生异常，系统CPU将停止对执行机构输出授权命令，执行机构停止工作，切断输出通道电源，系统进入安全状态。

7.如权利要求2所述的一种安全诊断方法，其特征在于，所述互检比较的方法包括：

主系第一CPU把自己的状态数据周期发送给主系第二CPU，并读取主系第二CPU的状态数据，主系第一CPU将自己的状态数据和收到的主系第二CPU数据进行比较，同时，主系第二CPU把自己的状态数据周期发送给主系第一CPU，并读取主系第一CPU的状态数据，主系第二CPU将自己的状态数据和收到的主系第一CPU数据进行比较；

备系第一CPU把自己的状态数据周期发送给备系第二CPU，并读取备系第二CPU的状态数据，备系第一CPU将自己的状态数据和收到的备系第二CPU数据进行比较，同时，备系第二CPU把自己的状态数据周期发送给备系第一CPU，并读取备系第一CPU的状态数据，备系第二CPU将自己的状态数据和收到的备系第一CPU数据进行比较；

若一致表示正常，若不一致则连续比对3周期的状态数据，若连续3周期的状态数据比对结果均不一致则系统停止运行。

8.如权利要求2所述的一种安全诊断方法，其特征在于，所述互检过程中对状态数据进行比较的具体方法包括：

比较输入数据，输入数据包括DI接口输入数据和通信接口输入数据；

比较中间状态，包括判断逻辑运算的中间结果是否一致；

比较输出数据，输出数据包括DO接口输出数据和通信接口输出数据；

其中，互检过程中任一检测结果不通过，系统CPU将停止对主系执行机构和备系执行机构输出授权命令，主系执行机构和备系执行机构停止工作，切断输出通道电源，系统进入安全状态。