CN110376876B - 一种双系同步的安全计算机平台 - Google Patents

Abstract

本发明的双系同步的安全计算机平台，由主控层和执行层构成；主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；执行层由一定数量的、可扩展的执行模块构成，每种模块还划分为安全相关模块和非安全相关模块，针对安全功能模块和非安全功能模块，进行电源隔离和总线隔离的设计；安全计算机平台采用二乘二取二的安全冗余架构；平台所有模块都由内部冗余CANFD总线相连；主控层的主备系的主控模块之间，采用以太网总线，用于实现主备系主备机同步及数据交互的通信；本发明的技术优势：扩展性极好，主备系间采用独立冗余总线架构，安全模块和非安全模块采用电源隔离和总线隔离的安全设计，可靠性和安全性更高。

Description

一种双系同步的安全计算机平台

技术领域

本发明涉及铁路信号领域，具体涉及一种新型安全计算机平台，其具备更加完备的安全系统架构和更加安全的防护设计，同时还具备更好的可用性和可扩展性。

背景技术

随着铁路运输事业的发展，铁路信号领域的安全设备不断更新完善。信息化时代，计算机和网络技术得到快速的普及和应用，安全计算机被用在越来越多的，对安全要求比较严格的领域和行业。在铁路信号领域，安全计算机对保障信号的可靠传输发挥着极其重要的作用。

在铁路信号领域，传统的安全计算机一般是基于单套内部通信总线，并采用主备结构，各功能单元模块常采用固定方式连接，导致主备机间通信手段单一，安全度不高，不利于功能的扩展和系统升级等缺点。

因此，为了满足日益复杂的铁路应用需求，提高铁路信号领域设备的安全性、可靠性、可扩展性、兼容性等。需要一种兼具既有安全计算机优点，且传输速率更高，结构更安全，扩展更灵活的安全计算机平台。

发明内容

本发明针对上述问题，提供一种通信数据量大，通信速率快、总线架构简单，并解决了非安全模块对安全模块的信号和电源干扰、执行模块的通用性的安全计算机平台。

本发明提供一种双系同步的安全计算机平台，由主控层和执行层构成；

所述主控层包括主处理器系统、与执行层的通信系统、主控层内部的通信系统，并提供数据配置接口、应用层软件接口、维护接口、以及系统监测接口；所述主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；

所述执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块，同时每种模块还划分为安全相关模块和非安全相关模块，针对安全功能模块和非安全功能模块，进行电源隔离和总线隔离的设计；

所述安全计算机平台采用二乘二取二的安全冗余架构；

所述主控层与执行层之间采用冗余串行总线I通信，采用总线型拓扑结构，优选的，冗余串行总线I采用CANFD总线，平台所有模块都由内部冗余CANFD总线相连；

所述主控层的主备系的主控模块之间，可采用单独的冗余串行总线II连接，优选的，冗余串行总线II采用以太网总线，用于实现主备系主备机同步及数据交互的通信；

该两个冗余串行总线相互独立，采用独立的总线II可保证总线I的通信效率及传输性能，同时还避免由于单一通信接口的故障引起的安全计算机主备切换失效。

本发明的技术优势：针对铁路信号领域的扩展性极好的安全计算机平台，主备系间采用独立冗余总线架构，安全模块和非安全模块采用电源隔离和总线隔离的安全设计，可靠性和安全性更高。主备系生命信号的切换机制提升平台的可靠性。透传的通信机制提高平台的通用性和适配性。

附图说明

图1为本发明安全计算机平台的基本构成及功能结构图

图2为安全计算机平台的总体架构

图3为安全计算机平台总体架构的一个具体实施例

图4为安全/非安全执行模块的隔离示意图

图5为安全计算机平台的安全架构

具体实施方式

下面结合具体实施例对本发明进行详细的说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应该指出的是，对本领域的普通技术人员来讲，在不脱离发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。

下面结合图1对本发明进行的整体说明。本新型安全计算机平台由主控层和执行层构成，其基本构成及功能结构图如图1所示。其中，

主控层由主处理器系统、与执行层的通信系统、主控层内部的通信系统等构成，并提供数据配置维护接口、应用层软件的接口、数据配置和系统监测等接口。主控层是安全计算机的控制核心，控制着整个平台系统的运行时序、运行周期和工作状态，承担平台的全面故障检测任务，实现平台的故障安全功能；主控层为应用软件提供运行环境、系统功能支持，与执行层之间进行信息的实时安全传输；主控层对平台内部的运行状态、自检信息进行记录，并对主控层内部的冗余机制进行运行及协调管理。一般来说，主控层由主控模块构成，有主备系之分。

执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块等，同时每种模块还可划分为安全相关和非安全相关模块，并采取不同的安全架构设计。针对铁路信号领域，优选的，执行模块从功能上一般有数字输入模块、数字输出模块、模拟量输入模块、模拟量输出模块、频率输入模块和通信模块等，执行模块的具体内容不以任何形式限制本发明。

应用层的配置与安全计算机平台无关，与外部设备、状态采集信息、外部受控对象有关，即应用层软件仅与应用环境有关，与安全计算机平台无关。如，外部设备通过通信模块，将应用数据传递至平台，平台通过执行层到主控层的安全处理后，将该安全数据发送至应用层软件，应用层软件负责对该应用数据的进行应用层的协议解析和应用处理，同样，应用层软件需要下发指令或者操作时，通过应用软件接口，将应用命令数据传递给平台，平台通过安全处理后，将应用命令数据发送至外部设备。

如图2所示，主控层与执行层之间采用冗余串行总线I通信，采用总线型拓扑结构，优选的，采用CANFD总线。

主控层的主备系的主控模块之间，可采用单独的冗余串行总线II连接，优选的，采用以太网总线，用于实现主备系主备机同步及数据交互的通信；主控模块可以通过冗余串行总线I和II获得同一个模块的两份冗余数据，主控仅选取一份给应用层。串行总线II作为可选设计，可根据实际应用系统对于可靠性或复杂性的要求来进行选择。

主控层和执行层的分级结构设计，结合可灵活配置的执行层模块的设计，因此，本安全计算机平台可以广泛适用于铁路信号领域，包含各类车载设备及地面设备，如，列车运行监控系统(LKJ)、列车超速防护系统(ATP)、计算机联锁(CBI)等。

下面结合一个具体的实施例对本发明进行具体的说明。图3为一个安全计算机平台总体架构的具体示例。以下实施例中根据铁路信号领域的列控车载应用需求，提供了明确的总线和执行模块的配置，将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。

安全计算机平台采用二乘二取二的安全冗余架构，即安全计算机平台采用2×2的双机热备结构，设计符合SIL4安全等级要求，满足故障安全原则；平台采用插箱式结构，即图2或图3中的A系和B系为冗余关系。

主控层由主控模块A和主控模块B构成，功能与性能完全相同，存在主备系之分；主控模块A包含处理器CPU1和处理器CPU2，CPU1和CPU2分别将需要表决的数据发送给对方；两CPU各自将自身和对方的数据进行比较，得出表决结果；两CPU再交互表决结果，若两CPU的表决结果都一致，则执行相应的输出，CPU1和CPU2可为相同或者不同的处理器。实现了主控模块A的二取二安全架构。同理主控模块B实现方式，此处不再累述。

执行层由两组执行模块A和执行模块B构成，功能与性能完全相同；执行模块只与主系的主控模块进行数据交互，备系主控模块仅接收执行模块数据，执行模块之间不进行数据交互；由模块在插箱内的位置区分A和B；在本实施例中，图3，执行模块选择了安全数字输入模块、安全数字输出模块、安全频率输入模块、安全模拟入出模块、非安全数字入出模块、非安全模拟入出模块、通信模块。

主控层和执行层中，实现安全功能的模块采用双CPU二取二安全架构，实现非安全功能的模块则采用单CPU架构。

安全计算机平台采用CANFD总线和以太网总线独立通信，实现主备机同步、数据交互的架构，即独立冗余总线的系统架构。即：

主控层与执行层之间通过CANFD总线连接，CANFD总线采用总线型拓扑结构。即所有模块都由内部冗余CANFD总线相连，主控模块可以通过内部CANFD总线收发执行模块的通信信息和采集信息；主备系的主控模块之间通过独立的以太网总线连接，实现主备系同步及数据交互。

与既有产品采用的CAN或flexray总线相比，CANFD总线具有更高有效传输负载，更快的传输速率，简单并灵活的配置，并且CANFD优化的CRC算法，其抗干扰能力更强，更适合铁路复杂应用场景。而以太网总线可以满足较大数据传输、速度快、配置灵活。

需要重点说明的是独立冗余总线的具体实现。主控A和主控B之间可以通过CANFD总线或以太网总线，实现主备机同步和数据交换功能，即主控A和主控B可以获得同一个执行模块的两份冗余数据，平台选取一份给应用层。

两个总线相互独立，可选的，以太网总线可以存在也可以不存在，当无以太网总线或以太网通信异常时，主控A和主控B使用CANFD总线实现交互。在本实施例中，优选的，使用以太网总线实现主备机通信功能，以达到主备切换更可靠、通信效率高及性能可靠的设计要求。

独立冗余总线的系统架构设计，系统架构简单，传输效率高，传输数据量大。由于主备系间交互数据量大，图2中，采用独立的总线II可以保证总线I的通信效率及传输性能，同时还可以避免由于单一通信接口的故障，而引起的安全计算机主备切换失效，可能导致平台无法继续工作的缺点。独立总线的设计，极大的提高了安全计算机平台的可靠性。

关于主备系切换的安全设计，在本实施例中说明见图3。正常情况下，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互和主备系确认以及切换识别。但是，当以太网通信接口故障时，两个主控模块可能会出现同时为主系的情况，导致平台不可用。因此为了避免双主的现象导致平台故障，在两个主控模块之间设计，增加其它通信方式，比如互发生命信息方波进行双主防护，具体实现由主控模块A和B的一个CPU负责方波生命信号的发送，同时主控模块的两个CPU接收对方主控模块的方波生命信号。

因此，主备系切换设计的特征，总结如下，第一种，以太网总线通信正常，当主系工作异常，备系接收到切换命令可立即切换为主系主控；第二种，以太网总线通信故障，当备系检测到通信故障且对方无生命信号发出，备系可立即切换为主系主控。生命信号的设计，极大的提高了安全计算机平台的可靠性和可用性。

为了提高平台的可用性和安全性，本发明采取了针对安全模块及非安全模块的总线隔离和电源隔离的安全设计，图4是安全/非安全执行模块隔离示意图。连接在冗余CANFD总线上的所有非安全功能模块都采用电气隔离；A/B系采用独立的电源模块供电，每个电源模块上设计2组独立电源，采用电气隔离，一组为安全模块供电，另一组为非安全模块供电。采用安全及非安全的总线及电源隔离，可以避免非安全模块对安全模块的影响，保证了安全计算机平台模块的独立性，保证了系统的安全性和可集成性，独立安全模块和非安全模块的隔离设计符合SIL4安全等级要求。

平台对安全信息从采集、通信、处理和输出，所以环节都采用安全机制，以保证信息承载的安全功能满足SIL4要求，图5是安全计算机平台的安全架构示意图。平台对安全通信信息，采用透明传输方式通信，虽然增加了一定安全通信措施，但平台不保证通信数据本身的安全，数据本身安全由其安全通信协议保证，安全解析由应用层负责。平台对于非安全采集信息不保证安全，信息是否安全由应用层判断。平台内部通信接口采用安全通信协议，与外设的通信安全由外部安全通信协议保证。

通信信息的透传机制，除提高传输效率之外，对执行层的通信模块没有应用限制，当外部设备或者应用环境发生变化时，仅通过配置平台的应用层即可满足应用，提高了平台的通用性和可用性。

除了安全架构，本安全计算机平台还设计了一系列的安全检查方法，提高安全计算机平台运行的安全性。主控模块和执行模块对RAM、FLASH、采集通道、输出回路和内部通信接口等进行启机自检和运行过程中的周期性自检；主控模块检测所有执行模块的状态，若两冗余的安全执行模块同时故障或未插入，主控模块记录相关的故障信息；主控模块检测两冗余执行模块的程序版本，若检测到程序版本不一致，主控模块进入故障状态；两主控模块互相比对程序版本，若检测到程序版本不一致，两主控都进入故障状态。

本安全计算机平台，结合了安全架构和多种独特的安全设计方法，很大程度上提高了安全计算机平台的安全性、可靠性和可用性。

本发明与现有技术的关键不同处在于：

1.通用的系统架构和可灵活配置的执行层模块的设计是本发明的一大特点。因此本安全计算机平台，在铁路信号领域应用广泛，具有优良的可用性和可扩展性的特点。

2.基于二乘二取二的安全架构设计，两主控模块之间采用独立冗余的总线结构，是既有产品不具备的特点。与既有平台的总线不同，本发明推荐使用CANFD总线+以太网总线。其总线架构简单，传输效率高，传输数据量大，极大的提高系统通信的可靠性、可用性和系统的性能。

3.在主备系切换的安全设计中，设计在两个主控模块之间互发生命信号，是本发明的重要特点。不仅防护主备系出现双主的情况，更是提高了安全计算机平台的可靠性和可用性。

4.安全架构中，针对安全功能模块和非安全功能模块，进行电源隔离和总线隔离的设计，是既有产品不具有的特点。所有功能模块的隔离，避免了安全/非安全模块间的互相干扰，也提高了安全计算机平台可靠性。

5.与外设的通信数据，无论安全信息还是非安全信息，均采用非安全通道来进行通信的透明传输机制，是本发明与既有产品不同的特点。除了安全性由通信数据自身的安全通信协议来保证之外，透传机制最大的优点是提高了数据的传输效率且不受应用环境的影响，提高了平台的可扩展性和应用的灵活性。

以上所述仅为本新方案的较佳实施案例而已，并非用于限定本新方案的保护范围。凡在本新方案的精神和原则之内所作的任何修改、等同替换、改进等，均应包含在本新方案的保护范围之内。

Claims (8)

1.一种双系同步的安全计算机平台，由主控层和执行层构成；

所述主控层包括主处理器系统、与执行层的通信系统、主控层内部的通信系统；

所述主控层提供数据配置接口、应用层软件接口、维护接口、以及系统监测接口；

所述主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；

所述执行层由一定数量的、可扩展的执行模块构成，执行模块分为输入模块、输出模块、通信模块，同时每种模块还划分为安全相关模块和非安全相关模块，针对安全功能模块和非安全功能模块，进行电源隔离和总线隔离的设计；

所述安全计算机平台采用二乘二取二的安全冗余架构，设计符合SIL4安全等级要求，满足故障安全原则；主控层和执行层中，实现安全功能的模块采用双CPU二取二安全架构；

所述主控层由主控模块A和主控模块B构成，功能与性能完全相同；主控模块A包含处理器CPU1和处理器CPU2，CPU1和CPU2分别将需要表决的数据发送给对方；两CPU各自将自身和对方的数据进行比较，得出表决结果；两CPU再交互表决结果，若两CPU的表决结果都一致，则执行相应的输出，实现了主控模块A的二取二安全架构；主控模块B二取二实现方式与主控模块A相同；其中，CPU1和CPU2为相同或者不同的处理器；

所述主控层与执行层之间采用冗余串行总线I通信，采用总线型拓扑结构，冗余串行总线I采用CANFD总线，平台所有模块都由内部冗余CANFD总线相连；

所述主控层的主备系的主控模块之间，采用单独的冗余串行总线II连接，冗余串行总线II采用以太网总线，用于实现主备系主备机同步及数据交互的通信；

冗余串行总线I和冗余串行总线II相互独立，采用独立的总线II可保证总线I的通信效率及传输性能，同时还避免由于单一通信接口的故障引起的安全计算机主备切换失效；

所述主控模块通过所述冗余串行总线I和II获得同一个执行层模块的两份冗余数据，主控层仅选取一份给应用层；

平台对安全通信信息，采用透明传输方式通信，平台不保证通信数据本身的安全，数据本身安全由其安全通信协议保证，安全解析由应用层负责；

通信信息的透传机制，除提高传输效率之外，对所述执行层的通信模块没有应用限制，当外部设备或者应用环境发生变化时，仅通过配置应用层即可满足应用。

2.根据权利要求1所述的安全计算机平台，其特征在于，所述执行模块包括安全数字输入模块、安全数字输出模块、安全频率输入模块、安全模拟入出模块、非安全数字入出模块、非安全模拟入出模块、非安全的通信模块；

所述执行层划分为执行模块A和执行模块B，功能与性能完全相同；执行模块只与主系的主控模块进行数据交互，备系的主控模块仅接收执行模块数据，执行模块之间不进行数据交互。

3.根据权利要求1所述的安全计算机平台，其特征在于，应用层的配置与安全计算机平台无关，与外部设备、状态采集信息、外部受控对象有关，即应用层软件仅与应用环境有关，与安全计算机平台无关；

外部设备通过所述通信模块，将应用数据传递至平台，平台通过执行层到主控层的安全处理后，将安全数据发送至应用层软件，应用层软件负责对应用数据进行应用层的协议解析和应用处理；同样地，应用层软件需要下发指令或者操作时，通过应用层软件接口，将应用命令数据传递给平台，平台通过安全处理后，将应用命令数据发送至外部设备。

4.根据权利要求1所述的安全计算机平台，其特征在于，平台对于非安全采集信息不保证安全，信息是否安全由应用层判断；平台内部通信接口采用安全通信协议，与外设的通信安全由外部安全通信协议保证。

5.根据权利要求2所述的安全计算机平台，其特征在于，所述总线隔离指连接在冗余CANFD总线上的所有非安全功能模块都采用电气隔离；而所述电源隔离指A/B系采用独立的电源模块供电，每个电源模块上设计2组独立电源，采用电气隔离，一组为安全模块供电，另一组为非安全模块供电。

6.根据权利要求1所述的安全计算机平台，其特征在于，所述主控层是安全计算机的控制核心，控制着整个平台系统的运行时序、运行周期和工作状态，承担平台的全面故障检测任务，实现平台的故障安全功能；

所述主控层为应用软件提供运行环境、系统功能支持；与执行层之间进行信息的实时安全传输；

所述主控层对平台内部的运行状态、自检信息进行记录，并对主控层内部的冗余机制进行运行及协调管理。

7.根据权利要求1所述的安全计算机平台，其特征在于，主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互和主备系确认以及切换识别；

当以太网通信接口故障时，为了避免双主现象导致平台故障，在两个主控模块之间设计增加互发生命信息方波进行双主防护；

以太网总线通信正常时，当主系工作异常，备系接收到切换命令立即切换为主系主控；以太网总线通信故障时，当备系检测到通信故障且对方无生命信号发出，备系立即切换为主系主控。

8.根据权利要求1所述的安全计算机平台，其特征在于，当无以太网总线或以太网通信异常时，主控模块A和主控模块B使用冗余CANFD总线实现交互。

Images