CN110351174A - 一种模块冗余的安全计算机平台 - Google Patents

Abstract

本发明的安全计算机平台，由主控层和执行层构成；主控层由主控模块构成，有主备系之分；执行层由一定数量的、可扩展的执行模块构成，每种模块还划分为安全相关模块和非安全相关模块；主控层与执行层之间采用双套冗余总线通信，采用CANFD总线+以太网总线，或者CAN总线+以太网总线；所有主控模块和执行模块都由内部冗余CANFD总线相连；主控模块间通过独立的冗余以太网总线通信实现数据交互、主备机同步。本发明的技术优势：扩展性极好的安全计算机平台，采用双套冗余总线架构，电源隔离和总线隔离的安全设计，可靠性和安全性更高。透传的通信机制提高平台的通用性和适配性。

Description

一种模块冗余的安全计算机平台

技术领域

本发明涉及铁路信号领域，具体涉及一种新型安全计算机平台，其具备更加完备的安全系统架构和更加安全的防护设计，同时还具备更好的通信效率及传输性能。

背景技术

随着铁路运输事业的发展，铁路信号领域的安全设备不断更新完善。信息化时代，计算机和网络技术得到快速的普及和应用，安全计算机被用在越来越多的，对安全要求比较严格的领域和行业。在铁路信号领域，安全计算机对保障信号的可靠传输发挥着极其重要的作用。

在铁路信号领域，传统的安全计算机一般是基于单套内部通信总线，并采用主备结构，各功能单元模块常采用固定方式连接，导致主备机间通信手段单一，安全度不高，不利于功能的扩展和系统升级等缺点。

因此，为了满足日益复杂的铁路应用需求，提高铁路信号领域设备的安全性、可靠性、可扩展性、兼容性等。需要一种兼具既有安全计算机优点，且传输速率更高，结构更安全，扩展更灵活的安全计算机平台。

发明内容

本发明针对上述问题，提供一种通信数据量大，通信速率快、总线架构简单，且解决了模块间共因失效、执行模块的通用性的安全计算机平台。

本发明提供一种模块冗余的安全计算机平台，由主控层和执行层构成；

所述主控层包括主处理器系统、与执行层的通信系统、主控层内部的通信系统，并提供数据配置接口、应用层软件接口、维护接口、以及系统监测接口；所述主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；

所述执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块，同时每种模块还划分为安全相关模块和非安全相关模块；

所述安全计算机平台采用二乘二取二的安全冗余架构；

所述主控层与执行层之间采用双套冗余总线通信，采用CANFD总线+以太网总线，或者CAN总线+以太网总线；优选地，所述主控模块可通过内部CANFD总线和以太网总线同时接收执行模块的数据，也可同时向这些执行模块发送请求和命令；所有主控模块和执行模块都由内部冗余CANFD总线相连；

优选地，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互、主备机同步。

本发明的技术优势：针对铁路信号领域的扩展性极好的安全计算机平台，采用双套冗余总线架构，电源隔离和总线隔离的安全设计，可靠性和安全性更高。主备系生命信号的切换机制提升平台的可靠性。透传的通信机制提高平台的通用性和适配性。

附图说明

[1]图1为安全计算机平台的基本构成及功能结构图

[2]图2为安全计算机平台的总体架构

[3]图3为安全计算机平台的电源设计示意图

[4]图4为安全计算机平台的安全架构

具体实施方式

下面结合具体实施例对本发明进行详细的说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应该指出的是，对本领域的普通技术人员来讲，在不脱离发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。

下面结合图1对本发明进行的整体说明。本新型安全计算机平台由主控层和执行层构成，其基本构成及功能结构图如图1所示。其中，

主控层由主处理器系统、与执行层的通信系统、主控层内部的通信系统等构成，并提供数据配置接口、应用层软件接口、维护接口和系统监测等接口。主控层是安全计算机的控制核心，控制着整个平台系统的运行时序、运行周期和工作状态，承担平台的全面故障检测任务，实现平台的故障安全功能；主控层为应用软件提供运行环境、系统功能支持，与执行层之间进行信息的实时安全传输；主控层对平台内部的运行状态、自检信息进行记录，并对主控层内部的冗余机制进行运行及协调管理。一般来说，主控层由主控模块构成，有主备系之分。

执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块等，同时每种模块还可划分为安全相关和非安全相关模块，并采取不同的安全架构设计。针对铁路信号领域，优选的，执行模块从功能上一般有数字输入模块、数字输出模块、模拟量输入模块、模拟量输出模块、频率输入模块和通信模块等，执行模块的具体内容不以任何形式限制本发明。

主控层与执行层之间采用双套冗余总线通信，优选的，采用CANFD+以太网总线，或者CAN+以太网总线，双套总线设计具有总线结构简单、传输效率更高、传输数据量大的优势，同时采取双套总线进行传输，可以提高安全计算机平台的可用性。

主控层和执行层的分级结构设计，结合可灵活配置的执行层模块的设计，因此，本安全计算机平台可以广泛适用于铁路信号领域，包含各类车载设备及地面设备，如，列车运行监控系统(LKJ)、列车超速防护系统(ATP)、计算机联锁(CBI)等。

下面结合一个具体的实施例对本发明进行具体的说明。图2为一个安全计算机平台总体架构的具体示例。以下实施例中根据铁路信号领域的列控车载应用需求，提供了明确的总线和执行模块的配置，将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。

安全计算机平台采用二乘二取二的安全冗余架构，即安全计算机平台采用2×2的双机热备结构，设计符合SIL4安全等级要求，满足故障安全原则；平台采用插箱式结构，即图2中的A系和B系为冗余关系。

主控层由主控模块A和主控模块B构成，功能与性能完全相同，存在主备系之分；主控模块A包含处理器CPU1和处理器CPU2，CPU1和CPU2分别将需要表决的数据发送给对方；两CPU各自将自身和对方的数据进行比较，得出表决结果；两CPU再交互表决结果，若两CPU的表决结果都一致，则执行相应的输出，CPU1和CPU2可为相同或者不同的处理器。实现了主控模块A的二取二安全架构。同理主控模块B，此处不再累述。

执行层由两组执行模块A和执行模块B构成，功能与性能完全相同；执行模块只与主系的主控模块进行数据交互，备系的主控模块仅接收数据，执行模块之间不进行数据交互；由模块在插箱内的位置区分A和B；在本实施例中，执行模块选择了频率输入模块、数字输入模块、数字输出模块、模拟入出模块、通信记录模块、预留模块。特殊的，通信记录模块，实现与外部通信及数据记录功能，包含通信子模块、记录子模块及以太网交换子模块；预留模块，作为平台可扩展的功能模块或可扩展的通信接口所预留。

数字输入模块、数字输出模块、频率输入模块、预留模块和主控模块为安全功能模块，模拟入出模块和通信记录模块为非安全功能模块；实现安全功能的模块采用双CPU二取二安全架构，非安全功能的模块采用单CPU架构。

主控层与执行层之间通过双套冗余总线连接，优选的，CANFD总线+以太网总线，即主控模块可以通过内部CANFD总线和以太网总线同时接收执行模块的数据，也可以同时向这些执行模块发送请求和命令。

所有模块都由内部冗余CANFD总线相连，主控模块与通信记录模块由冗余以太网总线相连，主控模块A和主控模块B之间通过冗余以太网总线通信实现数据交互、主备机同步，即双套冗余总线的系统架构。

需要重点说明的是双套冗余总线的具体实现。通信记录模块，负责通过以太网、RS485、RS422、CAN、CANFD等接口与外部设备或外部子模块通信，有通信数据量大且类别繁多的特点，因此与主控模块之间采用以太网总线连接通信，解决大数据量传输需求，而通信记录模块作为非安全通道，并不保证通信数据本身的安全，而是由数据本身的安全通信协议来保证；除通信记录模块以外的其他执行模块则通过CANFD总线与主控模块进行数据传输；特殊说明的是，通信记录模块连接至CANFD总线上仅用于监听记录总线数据使用，不参与实际的数据传输，外部以太网接口和内部以太网总线通过两个独立的以太网交换子模块(如与交换机功能相同的交换芯片)来实现，以逻辑隔离内外通信接口。

双套冗余总线架构的设计，系统架构简单，传输效率高，传输数据量大，对外设数据的区分处理和采集，提高了安全计算机平台的可用性。同时，相比既有平台中的总线，CANFD总线具有更高有效传输负载，更快的传输速率，简单并灵活的配置，并且CANFD优化的CRC算法，其抗干扰能力更强，更适合铁路复杂应用场景。而以太网总线可以满足较大数据传输、速度快、配置灵活。

关于主备系切换的安全设计，在本实施例中说明如下。正常情况下，主控模块A和主控模块B之间通过冗余以太网总线通信实现数据交互和主备系确认以及切换识别。但是，当以太网通信接口故障时，两个主控模块可能会出现同时为主系的情况，导致平台不可用。因此为了避免双主的现象导致平台故障，在两个主控模块之间设计，增加其它通信方式，比如互发生命信息方波进行双主防护，具体实现参见图2，由主控模块的CPU1负责方波生命信号的发送，主控模块的CPU1和CPU2均需要接收对方主控模块的方波生命信号。

因此，主备系切换设计的特征，总结如下，第一种，以太网总线通信正常，当主系工作异常，备系接收到切换命令可立即切换为主系主控；第二种，以太网总线通信故障，当备系检测到通信故障且对方无生命信号发出，备系可立即切换为主系主控。生命信号的设计，极大的提高了安全计算机平台的可靠性和可用性。

为了提高平台的可用性和安全性，本发明采取了总线隔离和电源隔离的安全设计，即，冗余CANFD总线和所有模块都采用电气隔离，以太网采用变压器隔离，所有安全模块的两片CPU之间采用电气隔离；A/B系采用独立的电源模块供电，每个电源模块上设计2组独立电源，采用电气隔离，对于安全模块，同时使用两组电源供电，非安全模块使用一组电源供电，电源的安全设计参见图3。电源隔离和总线隔离的设计，避免了模块之间的共因失效，保证了安全计算机平台模块的独立性，保证了系统的安全性和可集成性。

平台对安全信息从采集、通信、处理和输出，所以环节都采用安全机制，以保证信息承载的安全功能满足SIL4要求，图4是安全计算机平台的安全架构示意图。平台对安全通信信息，采用透明传输方式通信，虽然增加了一定安全通信措施，但平台不保证通信数据本身的安全，数据本身安全由其安全通信协议保证，安全解析由应用层负责。平台对于非安全采集信息不保证安全，信息是否安全由应用层判断。平台内部通信接口采用安全通信协议，与外设的通信安全由外部安全通信协议保证。

通信信息的透传机制，除提高传输效率之外，对执行层的通信模块没有应用限制，当外部设备或者应用环境发生变化时，仅通过配置平台的应用层即可满足应用，提高了平台的通用性和可用性。

除了安全架构，本安全计算机平台还设计了一系列的安全检查方法，提高安全计算机平台运行的安全性。主控模块和执行模块对RAM、FLASH、采集通道、输出回路和内部通信接口等进行启机自检和运行过程中的周期性自检；主控模块检测所有执行模块的状态，若两冗余的安全执行模块同时故障或未插入，主控模块记录相关的故障信息；主控模块检测两冗余执行模块的程序版本，若检测到程序版本不一致，主控模块进入故障状态；两主控模块互相比对程序版本，若检测到程序版本不一致，两主控都进入故障状态。

本安全计算机平台，结合了安全架构和多种独特的安全设计方法，很大程度上提高了安全计算机平台的安全性、可靠性和可用性。

本发明与现有技术的关键不同处在于：

1.通用的系统架构和可灵活配置的执行层模块的设计是本发明的一大特点。因此本安全计算机平台，在铁路信号领域应用广泛，具有优良的可用性和可扩展性的特点。

2.基于二乘二取二的安全架构设计，并采用双套冗余的总线结构，是既有产品不具备的特点。与既有平台的总线不同，本发明推荐使用CANFD总线+以太网总线。其总线架构简单，传输效率高，传输数据量大，对外设数据的区分处理和采集等特点，都极大的提高系统通信的可靠性、可用性和系统的性能。

3.在主备系切换的安全设计中，设计在两个主控模块之间互发生命信号，是本发明的重要特点。不仅防护主备系出现双主的情况，更是提高了安全计算机平台的可靠性和可用性。

4.安全架构中，采取电源隔离和总线隔离的设计，是既有产品不具有的特点。所有功能模块的隔离，避免了模块间的共因失效，也提高了安全计算机平台可靠性。

5.与外设的通信数据，无论安全信息还是非安全信息，均采用非安全通道来进行通信的透明传输机制，是本发明与既有产品不同的特点。除了安全性由通信数据自身的安全通信协议来保证之外，透传机制最大的优点是提高了数据的传输效率且不受应用环境的影响，提高了平台的可扩展性和应用的灵活性。

以上所述仅为本新方案的较佳实施案例而已，并非用于限定本新方案的保护范围。凡在本新方案的精神和原则之内所作的任何修改、等同替换、改进等，均应包含在本新方案的保护范围之内。

Claims (10)

1.一种模块冗余的安全计算机平台，由主控层和执行层构成；

所述主控层包括主处理器系统、与执行层的通信系统、主控层内部的通信系统，并提供数据配置接口、应用层软件接口、维护接口、以及系统监测接口；所述主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；

所述执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块，同时每种模块还划分为安全相关模块和非安全相关模块；

所述安全计算机平台采用二乘二取二的安全冗余架构；

所述主控层与执行层之间采用双套冗余总线通信，采用CANFD总线+以太网总线，或者CAN总线+以太网总线；优选地，所述主控模块可通过内部CANFD总线和以太网总线同时接收执行模块的数据，也可同时向这些执行模块发送请求和命令；所有主控模块和执行模块都由内部冗余CANFD总线相连；

优选地，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互、主备机同步。

2.根据权利要求1所述的安全计算机平台，其特征在于，所述执行模块包括频率输入模块、数字输入模块、数字输出模块、模拟入出模块、通信记录模块、预留模块；其中，所述通信记录模块实现与外部通信及数据记录功能，包含通信子模块、记录子模块及以太网交换子模块；所述预留模块，作为平台可扩展的功能模块或可扩展的通信接口所预留；

所述执行层划分为执行模块A和执行模块B，功能与性能完全相同；执行模块只与主系的主控模块进行数据交互，备系的主控模块则仅接收执行模块数据，执行模块之间不进行数据交互。

3.根据权利要求2所述的安全计算机平台，其特征在于，所述通信记录模块负责通过以太网、RS485、RS422、CAN、或CANFD接口与外部设备或外部子模块通信；所述通信记录模块作为非安全通道，并不保证通信数据本身的安全，而是由数据本身的安全通信协议来保证；

主控模块与通信记录模块由冗余以太网总线相连，除通信记录模块以外的其他执行模块通过CANFD总线与主控模块进行数据传输；

所述通信记录模块连接至CANFD总线上仅用于监听记录总线数据使用；外部以太网接口和内部以太网总线通过两个独立的所述以太网交换子模块来实现，以逻辑隔离内外通信接口。

4.根据权利要求1所述的安全计算机平台，其特征在于，平台对安全通信信息，采用透明传输方式通信，虽然增加了一定安全通信措施，但平台不保证通信数据本身的安全，数据本身安全由其安全通信协议保证，安全解析由应用层负责；

平台对于非安全采集信息不保证安全，信息是否安全由应用层判断；

平台内部通信接口采用安全通信协议，与外设的通信安全由外部安全通信协议保证。

5.根据权利要求4所述的安全计算机平台，其特征在于，通信信息的透传机制，除提高传输效率之外，对所述执行层的通信模块没有应用限制，当外部设备或者应用环境发生变化时，仅通过配置应用层即可满足应用。

6.根据权利要求2所述的安全计算机平台，其特征在于，

数字输入模块、数字输出模块、频率输入模块、预留模块和主控模块为安全功能模块，模拟入出模块和通信记录模块为非安全功能模块；

主控层和执行层中，实现安全功能的模块采用双CPU二取二安全架构；

所述主控层由主控模块A和主控模块B构成，功能与性能完全相同；主控模块A包含处理器CPU1和处理器CPU2，CPU1和CPU2分别将需要表决的数据发送给对方；两CPU各自将自身和对方的数据进行比较，得出表决结果；两CPU再交互表决结果，若两CPU的表决结果都一致，则执行相应的输出，实现了主控模块A的二取二安全架构；主控模块B二取二实现方式与主控模块A相同；其中，CPU1和CPU2可为相同或者不同的处理器。

7.根据权利要求6所述的安全计算机平台，其特征在于，冗余CANFD总线和所有模块都采用电气隔离，而冗余以太网总线采用变压器隔离，所有安全模块的两片CPU之间采用电气隔离；

平台主备系采用独立的电源模块供电，每个电源模块上设计2组独立电源，采用电气隔离；对于安全模块，同时使用两组电源供电，而非安全模块使用一组电源供电。

8.根据权利要求1所述的安全计算机平台，其特征在于，所述主控层是安全计算机的控制核心，控制着整个平台系统的运行时序、运行周期和工作状态，承担平台的全面故障检测任务，实现平台的故障安全功能；

所述主控层为应用软件提供运行环境、系统功能支持；与执行层之间进行信息的实时安全传输；

所述主控层对平台内部的运行状态、自检信息进行记录，并对主控层内部的冗余机制进行运行及协调管理。

9.根据权利要求1所述的安全计算机平台，其特征在于，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互和主备系确认以及切换识别；

当以太网通信接口故障时，为了避免双主的现象导致平台故障，在该两个主控模块之间可设计增加其它通信方式进行双主防护，例如互发生命信息方波。

10.根据权利要求9所述的安全计算机平台，其特征在于，以太网总线通信正常时，当主系工作异常，备系接收到切换命令可立即切换为主系主控；以太网总线通信故障时，当备系检测到通信故障且对方无生命信号发出，备系可立即切换为主系主控。