CN110380915A - 一种基于安全通信协议的热备冗余监测装置 - Google Patents

Abstract

本发明涉及轨道交通控制领域，更具体的说，涉及一种基于安全通信协议的热备冗余监测装置，包括切换模块和同步模块，所述同步模块，包括两个互为冗余的轨道交通信号设备，其中一个设备作为主机，另一个作为备机，主机输出数据并周期性地与备机进行数据交互，备机周期性地接收主机发送的同步数据并进行处理，将自身的运算结果与主机的运算结果进行比较，根据比较结果切换备机的设备状态；所述切换模块，获取两个轨道交通信号设备的设备状态，进行主备机的设备状态切换。本发明能够对通信过程中出的威胁提供保护，快速定位到故障的具体位置，防止双主现象的发生，大大增加了对设备操作的灵活性，极大便利了日常维护升级。

Description

一种基于安全通信协议的热备冗余监测装置

技术领域

本发明涉及轨道交通控制领域，更具体的说，涉及一种基于安全通信协议的热备冗余监测装置。

背景技术

在轨道交通信号系统中，对安全等级要求高的设备一般采用2乘2取2安全平台，系统由主机和备机两系设备构成，每系设备由2取2结构构成。

正常状态下，两系设备中至多只有一系设备是主机状态运行，主机和备机同步运行，实时交互同步数据，从而保持输出一致，当主机发生故障时自动切换到备系。

但是，传统的轨道交通信号系统双机冗余设备会遇到如下问题：

1)主机和备机之间无法有效防护通信过程中出现的威胁(重复、删除、毁坏、延时、伪装、重排序，插入)，无法保证同步数据的有效性、实时性。

2)设备运行过程中会产生不可预知的错误导致无法热备的情况下，无法快速定位到故障的具体位置。

3)对于系统运行中可能出现的双主问题，没有进行可靠的防护，可能造成危险侧的输出。处于允许运行状态的故障可能危及行车安全，称为危险侧。系统将把不可靠的数据发送出去，此时系统的状态是非常危险的。

4)双机切换方式单一，不便于设备日常维护升级。

发明内容

本发明的目的是提供一种热备冗余监测装置，解决现有技术中的主备机出现故障难以快速定位、容易出现双主问题及切换方式单一的技术问题。

为了实现上述目的，本发明提供了一种基于安全通信协议的热备冗余监测装置，包括切换模块和同步模块，

所述同步模块，包括两个互为冗余的轨道交通信号设备，其中一个设备作为主机，另一个作为备机，所述主机的设备状态包括主用状态，所述备机的设备状态包括同步状态、热备状态和脱机状态，

主机输出数据并周期性地与备机进行数据交互，

备机周期性地接收主机发送的同步数据并进行处理，将自身的运算结果与主机的运算结果进行比较，根据比较结果切换备机的设备状态；

所述切换模块，获取两个轨道交通信号设备的设备状态，进行主备机的设备状态切换。

在一实施例中，所述切换模块，包括两个控制轨道交通信号设备开关的继电器，通过旋转开关改变继电器的励磁状态，进而改变主机运行信号的逻辑值，在两个轨道交通信号设备之间进行主备机的设备状态切换。

在一实施例中，所述切换模块中的两个控制轨道交通信号设备开关的继电器，两个继电器前后接点进行串联，同一时刻只有一个继电器吸起接通。

在一实施例中，所述切换模块的切换模式包括手动模式，手动模式下，主机备机通过外部输入指令进行互相切换，主机初始化，主机的设备状态由主用状态切换为脱机状态，重新申请同步状态，备机的设备状态由同步状态或热备状态，切换为主用状态。

在一实施例中，所述切换模块的切换模式包括自动模式，当主机宕机或主备机通信中断的同时主机工作继电器故障、备机工作继电器正常时，切换模式为自动模式，主机初始化，备机的设备状态由同步状态或热备状态，自动切换为主用状态。

在一实施例中，所述同步模块中，主机周期性地向备机发送主机接收的同步数据和运算结果，在接收到备机的同步请求后，向备机发送同步响应信号。

在一实施例中，所述备机的设备状态为脱机状态时，备机发送同步请求，激活同步请求计时器，如果在数个周期内未收到同步响应信号，则重复发送同步请求。

在一实施例中，所述备机的设备状态为脱机状态时，如果在数个周期内收到同步响应信号，则关闭同步请求计时器，转为同步状态。

在一实施例中，所述备机的设备状态为同步状态时，备机接收主机的同步响应信号，周期性地接收并更主机发送的同步数据，计算输出结果。

在一实施例中，所述备机的设备状态为同步状态时，备机将主机的运算结果与自身的运算结果进行比较，

如果连续数个周期保持一致，则转为热备状态；

如果连续数个周期不能保持一致，则转为脱机状态，同时将结果输出，并通过切换模块报警。

在一实施例中，所述备机的设备状态为热备状态时，周期性地接收主机发送的同步数据，根据同步数据计算输出结果，并与主机的运算结果进行比较，

如果连续数个周期不能保持一致，则转为脱机状态，同时将结果输出。

本发明提供的一种基于安全通信协议的热备冗余监测装置，具体具有以下有益效果：

1)主机和备机之间采用安全传输协议进行通信，能够对通信过程中出的威胁提供保护，保证数据的有效性、实时性；

2)主机和备机实时同步运算，主机周期性地向备机发送自身的运算输出结果，备机周期性地比较自身和主机的运算结果是否一致，不一致则记录不一致的内存位置并报警，从而快速定位到故障的具体位置；

3)通过将主备机继电器的前后接点串联的方式，保证同一时刻只有一个继电器吸起，从而防止双主现象的发生；

4)同时具备手动和自动切换两种切换模式，大大增加了对设备操作的灵活性，极大便利了日常维护升级。

附图说明

本发明上述的以及其他的特征、性质和优势将通过下面结合附图和实施例的描述而变的更加明显，在附图中相同的附图标记始终表示相同的特征，其中：

图1揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的结构示意图；

图2揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的切换模块处理流程图；

图3揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的切换模块驱动继电器流程图；

图4揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的切换模式示意图；

图5揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的状态跳转图；

图6揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的主备机报文交互示意图；

图7揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的主机处理流程图；

图8揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在脱机状态的发送流程示意图；

图9揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在脱机状态的接收流程示意图；

图10揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在同步状态的处理流程示意图；

图11揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在热备状态的处理流程示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释发明，并不用于限定发明。

本发明提供了一种基于安全通信协议的热备冗余监测装置，该装置基于2乘2取2安全平台。2乘2取2安全平台是热备系统，无论当前是否为主机，4台单机设备都要一直工作。正常工作情况下，4台单机设备均要接收数据，并时刻检测接收数据的通信端口是否正常工作。一旦检测到通端口工作异常，无论主机还是备机都要及时报告故障情况。

图1揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的结构示意图，如图1所示，本发明提供了一种基于安全通信协议的热备冗余监测装置，由同步模块2和切换模块1两部分组成。

同步模块2，包括两个互为冗余备份的轨道交通信号设备，在图1所示的实施例中，这两个轨道交通信号设备称为I系设备和II系设备。I系设备和II系设备的结构组成相同，包括应用层、安全通信层和网络层。应用层、安全通信层和网络层可以是硬件、软件或者两者的组合来实现。

可选的，应用层实现对同步数据的封装，采用的协议由以下部分组成：

1)设备类型+ID(身份识别编号)：用来识别不同设备发送的数据

2)序号：对应用数据进行编号，防止丢包，乱序

3)应用数据长度：指明应用数据长度；

4)应用数据：为同步数据的内容；

5)校验码：用来校验同步数据的完整性。

可选的，安全通信层采用RSSP-1、RSSP-2、SAHARA等安全通信协议对同步数据进行二次封装。RSSP-1、RSSP-2协议为铁路信号安全通信协议，SAHARA协议为安全高可用性冗余协议。

安全通信层一般采用如下数据结构组成，对同步数据进行二次封装：

1)帧头：包括报文类型，源设备地址，目标设备地址；

2)安全校验域：包括序列号、数据长度、安全校验通道；

3)用户数据包：为应用数据的内容；

4)帧尾：采用crc16校验码进行校验。

可选的，网络层采用UDP、TCP、RS232串口协议、RS422串口协议、RS485串口协议，CAN总线通信协议等多种传输协议，通过以太网、串口、CAN总线等方式进行通信。针对不同的硬件接口适配相应的通信协议。

I系设备和II系设备相互之间作为冗余备份，如图1所示，其中一个设备为主机21，另一个设备为备机22，由切换模块1进行主机21和备机22的状态切换。主机21包括应用层211、安全通信层212和网络层213，备机22包括应用层221、安全通信层222和网络层223

主机21输出数据并周期性地与备机22进行数据交互。

在图1所示的实施例中，主机21将应用层211封装的同步数据交给安全通信层212进行二次封装，在通过网络层213发送给备机22。

备机22周期性地接收主机21发送的同步数据并进行处理，将自身的运算结果与主机21的运算结果进行比较，根据比较结果切换备机22的设备状态。主机21的设备状态包括主用状态，备机22的设备状态包括同步状态、热备状态和脱机状态。

备机22每次接收到数据时，都必须对所接收到数据进行CRC校验，当CRC校验一致，才将此数据进行下一步的处理，当CRC校验不一致时，及时报告接收到的数据出现了问题。

在图1所示的实施例中，备机22的网络层223收到主机21发送的数据后，交给安全通信层222进行校验，校验通过后，将同步数据交给备机22的应用层221进行处理，备机22将主机21的运算结果与自身的运算结果进行比较，根据比较结果，备机22的设备状态在同步状态、热备状态和脱机状态之间进行切换。对于运算结果不一致，则及时输出不一致数据的内存位置并报警。

切机模块1，同时获取两个控制轨道交通信号设备的设备状态，进行主备机的状态显示及主备机的设备状态切换。

在图1所示的实施例中，切换模块1，包括两个控制轨道交通信号设备开关的继电器，通过旋转开关改变继电器的励磁状态，从而改变主机运行信号的逻辑值，达到主机备机切换的目的。在其他实施例中，也可以采用其他开关量器件进行控制与防护。

切换模块1，通过将I系设备的第一工作继电器前接点与II系设备的第二工作继电器后接点进行串联的方式，在硬件上保证同一时刻只有一个继电器吸起。作为主机的设备若检测到相应的工作继电器没有吸起，则宕机，此时设备死机或者不能工作，从而实现I系设备和II系设备间工作模式的协调和管理，预防“双主”现象的发生，保证安全可靠地实现主备切换。

下面进一步说明继电器前后接点进行串联如何预防“双主”现象发生。

如果I系设备为主机，则驱动对应的第一工作继电器吸起，该继电器前接点闭合、后接点断开，此时II系设备的第二工作继电器落下，该继电器前接点断开、后接点闭合；

如果II系设备为主机，则驱动对应的第二工作继电器吸起，该继电器前接点闭合、后接点断开，此时I系设备的第一工作继电器落下，该继电器前接点断开、后接点闭合；

从而，第一工作继电器和第二工作继电器不能同时吸起，预防“双主”现象发生。通过将两个继电器的前后接点串联的方式，也同样预防了“双备”现象发生。

切换模块的切换模式包括手动模式和自动模式。手动模式对应的是人工强制倒机状态。当主机和备机的状态切换需要外部指令干预时，可以将切换模式从自动模式切换为手动模式。需要明确的是，手动模式是为了区别于自动模式，“手动”意味着外部指令干预，干预方式可以是人工手动干预，也可以是外部设备的指令干预。

图2揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的切换模块处理流程图，如图2所示，驱动模块根据设备状态驱动工作继电器和对应的主用表示灯，检查I系设备和II系设备之间通信是否正常。主用表示灯是为了能直观的或者当前的主机状态而设置，I系主用表示灯亮代表I系为主机，II系主用表示灯亮代表II系为主机。

如果通信正常，则检查主机是否是开机初始化阶段，如果主机是开机初始化阶段，则流程结束；

如果主机不是开机初始化阶段，则进一步判断主机的工作继电器是否吸起，如果工作继电器吸起，则流程结束；

如果工作继电器没有吸起，则认为工作继电器与实际继电器不一致，切换模块给出提示信息，流程结束；

如果通信不正常，则进一步检查切换模式是否是自动模式，如果切换模式是自动模式，则检查主机是否是开机初始化阶段，如果主机是开机初始化阶段，则流程结束；

如果入籍不是开机初始化阶段，则进一步判断主机的工作继电器是否吸起，如果吸起，则流程结束；

如果主机的工作继电器没有吸起，则认为工作继电器与实际继电器不一致，切换模块给出提示信息，主机宕机；

如果切换模式不是自动模式，则进一步判断主机与当前手动模式的开关位置是否一致，如果开关位置不一致，主机宕机，如果开关位置一致，则流程结束。

图3揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的切换模块驱动继电器流程图，在图2中的步骤“根据工作状态驱动继电器和灯”，进一步可以做如图3中的判断。

切换模块判断另一系设备是否是热备状态；

如果另一系设备是热备状态，则同时驱动两系设备及工作表示灯工作，驱动本机主用表示灯和本机工作继电器工作；

如果另一系设备不是热备状态，则驱动本机工作、主用表示灯以及工作继电器工作。

下面进一步说明切换模块的切换模式。

手动模式下，主机备机通过外部输入指令进行互相切换，主机初始化，主机的设备状态由主用状态切换为脱机状态，重新申请同步状态，备机的设备状态由同步状态或热备状态，切换为主用状态。

自动模式下，当主机宕机或主备机通信中断的同时主机工作继电器故障、备机工作继电器正常时，切换模式为自动模式，主机初始化，备机的设备状态由同步状态或热备状态，自动切换为主用状态。

图4揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的切换模式示意图，在图4所示的实施例中，在手动切换模式下，通过旋转开关进行强制切机。举个例子：当前I系设备为主机，II系设备为备机，切机开关由I系转到II系后，II系设备就升为主机，I系设备变为备机。

为了更进一步区别主备机与切换模式之间的关系，图4中进行了如下更详细的定义：自动I系、自动II系、手动I系和手动II系。

自动I系是指，当前I系设备为主机，切换模式是自动模式；

自动II系是指，当前II系设备为主机，切换模式是自动模式；

手动I系是指，当前I系设备为主机，切换模式是手动模式；

手动II系是指，当前II系设备为主机，切换模式是手动模式。

下面结合图4对切换模式进行进一步的说明。

当自动I系切换到手动I系时，I系设备为主机，手动将旋转开关打到“手动I系”。

当自动I系切换到手动II系时，I系设备为主机，I系设备和II系设备之间通信正常，手动将旋转开关打到“手动II系”。

当自动II系切换到手动II系时，II系设备为主机，手动将旋转开关打到“手动II系”。

当自动II系切换到手动I系时，II系设备为主机，I系设备和II系设备之间通信正常，手动将旋转开关打到“手动I系”。

当手动I系切换到自动I系时，I系设备为主机，手动将旋转开关由“手动I系”打到“自动I系”。

当手动II系切换到自动II系时，I系设备为主机，手动将旋转开关由“手动I系”，打到“自动II系”。

当自动I系切换到自动II系时，I系设备为主机，当发生如下情况会导致将主用状态自动切换到II系设备：

1)I系设备故障，如板卡故障等，在平台检查后仍导致I系设备宕机；

2)I系设备和II系设备通信中断，同时I系设备的第一工作继电器故障，II系设备的第二工作继电器正常工作。

当自动II系切换到自动I系时，II系设备为主机，当发生如下情况会导致将主用状态自动切换到I系设备：

1)II系设备故障，如板卡故障等，在平台检查后仍导致II系设备宕机；

2)I系设备和II系设备通信中断，同时II系设备的第二工作继电器故障，I系设备的第一工作继电器正常工作。

本发明通过在切换模块中将切换模式设置为手动模式和自动模式，大大增加了对设备操作的灵活性，极大便利了日常维护升级。

本发明中主机的设备状态包括主用状态，所述备机的设备状态包括同步状态、热备状态和脱机状态。为了保证发生主备状态切换时，切换动作是无缝的，需要保证主备两系设备之间的状态同步。

图5揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的状态跳转图，设备状态可以如图5所示的箭头方向进行跳转，在满足切换条件下：

主用状态可以切换为脱机状态；

脱机状态可以切换为同步状态；

同步状态可以切换为脱机状态或热备状态或主用状态；

热备状态可以切换为脱机状态或主用状态。

图6揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的主备机报文交互示意图。下面结合图6进一步说明各个设备状态，以及设备状态跳转所需要满足的条件。

如果当前设备为主机，且可正常运行，则设备状态处于主用状态。

主机周期性地向备机发送主机接收的同步数据和运算结果。

主机在接收到备机同步请求的情况下，向备机发送同步响应信号。

图7揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的主机处理流程图，在图7所示的实施例中，主机在接收到同步请求后，发送同步响应标志。可选的，该同步响应标志置为“ture”，Status为设备状态，Seq为计数标记。无论是主机还是备机，都会周期性的向对方发送同步数据。

主机在以下情形下从主机切换为备机，从主用状态转为脱机状态。

当切换模式为手动模式时，即人工强制倒机状态下，通过手动模式将主机切换为备机，主机初始化，主机的设备状态由主用状态切换为脱机状态，重新申请同步状态。

如果当前设备为备机，则设备状态处于备用状态。备用状态进一步包括脱机状态、同步状态和热备状态。备机在任何状态下，都周期性地向主机发送备机数据。

备机周期性地接收主机发送的同步数据并进行处理，将自身的运算结果与主机的运算结果进行比较，根据比较结果切换备机的设备状态。

如果当前设备为备机，在收到主机同步数据后连续5个周期未通过计算校核，则备机处于脱机状态。脱机状态下，备机并不处理接收到的同步数据，而是向主机发送同步请求。

图8揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在脱机状态的发送流程示意图，如图8所示，备机在脱机状态下，备机向主机发送同步请求，同时激活同步请求计时器，在5个周期内未收到同步响应，重复发送同步请求；如果在5个周期内收到同步响应信号，则关闭该计时器，Status为设备状态，Seq为计数标记。

需要指出的是，上述连续周期数可以自定义，比5个周期多或者少，并不影响备机的同步请求功能的实现。

备机在以下情形下从脱机状态转为同步状态。

图9揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在脱机状态的接收流程示意图，如图9所示，备机在脱机状态下，收到主机的同步响应信号，则关机同步请求计时器，更新备机的本地数据，备机由脱机状态转为同步状态，Status为设备状态，Seq为计数标记。

如果当前设备为备机，且向主机发出同步请求后得到主机的同步响应，则备机处于同步状态。

备机在以下情形下从同步状态转为热备状态或脱机状态。

图10揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在同步状态的处理流程示意图，在图10所示的实施例中，同步模块中还包括，数据一致计数器和数据不一致计数器。通过数据一致计数器记录运算结果一致的次数，通过数据不一致计数器记录运算结果不一致的次数。

如图10所示，同步状态下，备机首先对接收到的数据进行校验，校验通过后，更新主机发送的同步数据并进行运算处理，进而计算输出运算结果，将自身的运算结果与主机的运算结果进行比较。可选的，主机发送的同步数据包括主机接收的外设数据与设备逻辑状态。Status为设备状态。

如果运算结果不一致，则同步模块提示不一致的内存位置，数据一致计数器清零，数据不一致计数器加1，如果运算结果一致，则数据不一致计数器清零，数据一致计数器加1。

如果连续5个周期保持一致，数据一致计数器大于5，则备机由同步状态转为热备状态，同时，数据不一致计数器清零，数据一致计数器清零。

如果连续5个周期保持不一致，数据不一致计数器大于5，则备机由同步状态转为脱机状态，同时，数据不一致计数器清零，数据一致计数器清零，将具体不一致的内存位置输出到日志，并通过切换模块给出报警。

需要指出的是，连续周期数可以自定义，比5个周期多或者少，并不影响备机的设备状态的切换。另外，也可以将数据一致计数器和数据不一致计数器替换为计时器，从而根据连续时间内数据结果是否一致，决定备机由同步状态转为热备状态或脱机状态。连续时间可以设为2秒。

备机在以下情形下从同步状态转为主用状态。

1)切换模式为自动模式时，主机宕机，则备机由同步状态转为主用状态，并且原主机初始化，主机的设备状态由主用状态切换为脱机状态，重新申请同步状态。

2)切换模式为手动模式时，即人工强制倒机状态下，备机切换为主机，则备机由同步状态转为主用状态，并且原主机初始化，主机的设备状态由主用状态切换为脱机状态，重新申请同步状态。

如果当前设备为备机，在收到主机同步数据后连续5个周期通过计算校核，则备机处于热备状态。

备机在以下情形下从热备状态转为脱机状态。

图11揭示了根据本发明一实施例的基于安全通信协议的热备冗余监测装置的备机在热备状态的处理流程示意图，在图11所示的实施例中，同步模块中还包括，数据一致计数器、数据不一致计数器和校验错误计数器。通过数据一致计数器记录运算结果一致的次数，通过数据不一致计数器记录运算结果不一致的次数，通过校验错误计数器记录校验错误的次数。Status为设备状态。

如图11所示，备机在热备状态下，备机首先对接收到的数据进行校验，如果校验没有通过，则校验错误计数器加1，如果校验错误计数器大于5次，则备机由热备状态转为脱机状态，同时校验错误计数器清零。

如果校验通过，校验错误计数器清零，备机更新主机发送的同步数据并进行运算处理，进而计算输出运算结果，将自身的运算结果与主机的运算结果进行比较。可选的，主机发送的同步数据包括主机接收的外设数据与设备逻辑状态。

如果运算结果不一致，则同步模块提示不一致的内存位置，数据不一致计数器加1，如果运算结果一致，则数据不一致计数器清零。

如果连续5个周期保持不一致，数据不一致计数器大于5，则备机由热备状态转为脱机状态，同时，数据不一致计数器清零，数据一致计数器清零，将具体不一致的内存位置输出到日志，并通过切换模块给出报警。

备机在以下情形下从热备状态转为主用状态。

1)切换模式为自动模式时，主机宕机，则备机由热备状态转为主用状态，并且主机初始化。

2)切换模式为手动模式时，即人工强制倒机状态下，备机切换为主机，则备机由热备状态转为主用状态，并且主机初始化，主机的设备状态由主用状态切换为脱机状态，重新申请同步状态。

本发明提供的一种基于安全通信协议的热备冗余监测装置，具体具有以下有益效果：

1)主机和备机之间采用安全传输协议进行通信，能够对通信过程中出的威胁提供保护，保证数据的有效性、实时性；

2)主机和备机实时同步运算，主机周期性地向备机发送自身的运算输出结果，备机周期性地比较自身和主机的运算结果是否一致，不一致则记录不一致的内存位置并报警，从而快速定位到故障的具体位置；

3)通过将主备机继电器的前后接点串联的方式，保证同一时刻只有一个继电器吸起，从而防止双主现象的发生；

4)同时具备手动和自动切换两种切换模式，大大增加了对设备操作的灵活性，极大便利了日常维护升级。

尽管为使解释简单化将上述方法图示并描述为一系列动作，但是应理解并领会，这些方法不受动作的次序所限，因为根据一个或多个实施例，一些动作可按不同次序发生和/或与来自本文中图示和描述或本文中未图示和描述但本领域技术人员可以理解的其他动作并发地发生。

本领域技术人员将进一步领会，结合本文中所公开的实施例来描述的各种解说性逻辑板块、模块、电路、和算法步骤可实现为电子硬件、计算机软件、或这两者的组合。为清楚地解说硬件与软件的这一可互换性，各种解说性组件、框、模块、电路、和步骤在上面是以其功能性的形式作一般化描述的。此类功能性是被实现为硬件还是软件取决于具体应用和施加于整体系统的设计约束。技术人员对于每种特定应用可用不同的方式来实现所描述的功能性，但这样的实现决策不应被解读成导致脱离了本发明的范围。

结合本文所公开的实施例描述的各种解说性逻辑板块、模块、和电路可用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑器件、分立的门或晶体管逻辑、分立的硬件组件、或其设计成执行本文所描述功能的任何组合来实现或执行。通用处理器可以是微处理器，但在替换方案中，该处理器可以是任何常规的处理器、控制器、微控制器、或状态机。处理器还可以被实现为计算设备的组合，例如DSP与微处理器的组合、多个微处理器、与DSP核心协作的一个或多个微处理器、或任何其他此类配置。

如本申请和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其他的步骤或元素。

上述实施例是提供给熟悉本领域内的人员来实现或使用本发明的，熟悉本领域的人员可在不脱离本发明的发明思想的情况下，对上述实施例做出种种修改或变化，因而本发明的保护范围并不被上述实施例所限，而应该是符合权利要求书提到的创新性特征的最大范围。

Claims (11)

1.一种基于安全通信协议的热备冗余监测装置，其特征在于，包括切换模块和同步模块，

所述同步模块，包括两个互为冗余的轨道交通信号设备，其中一个设备作为主机，另一个作为备机，所述主机的设备状态包括主用状态，所述备机的设备状态包括同步状态、热备状态和脱机状态，

主机输出数据并周期性地与备机进行数据交互，

备机周期性地接收主机发送的同步数据并进行处理，将自身的运算结果与主机的运算结果进行比较，根据比较结果切换备机的设备状态；

所述切换模块，获取两个轨道交通信号设备的设备状态，进行主备机的设备状态切换。

2.根据权利要求1所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述切换模块，包括两个控制轨道交通信号设备开关的继电器，通过旋转开关改变继电器的励磁状态，进而改变主机运行信号的逻辑值，在两个轨道交通信号设备之间进行主备机的设备状态切换。

3.根据权利要求2所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述切换模块中的两个控制轨道交通信号设备开关的继电器，两个继电器前后接点进行串联，同一时刻只有一个继电器吸起接通。

4.根据权利要求2所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述切换模块的切换模式包括手动模式，手动模式下，主机备机通过外部输入指令进行互相切换，主机初始化，主机的设备状态由主用状态切换为脱机状态，重新申请同步状态，备机的设备状态由同步状态或热备状态，切换为主用状态。

5.根据权利要求2所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述切换模块的切换模式包括自动模式，当主机宕机或主备机通信中断的同时主机工作继电器故障、备机工作继电器正常时，切换模式为自动模式，主机初始化，备机的设备状态由同步状态或热备状态，自动切换为主用状态。

6.根据权利要求1所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述同步模块中，主机周期性地向备机发送主机接收的同步数据和运算结果，在接收到备机的同步请求后，向备机发送同步响应信号。

7.根据权利要求1所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述备机的设备状态为脱机状态时，备机发送同步请求，激活同步请求计时器，如果在数个周期内未收到同步响应信号，则重复发送同步请求。

8.根据权利要求7所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述备机的设备状态为脱机状态时，如果在数个周期内收到同步响应信号，则关闭同步请求计时器，转为同步状态。

9.根据权利要求6所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述备机的设备状态为同步状态时，备机接收主机的同步响应信号，周期性地接收并更主机发送的同步数据，计算输出结果。

10.根据权利要求9所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述备机的设备状态为同步状态时，备机将主机的运算结果与自身的运算结果进行比较，

如果连续数个周期保持一致，则转为热备状态；

如果连续数个周期不能保持一致，则转为脱机状态，同时将结果输出，并通过切换模块报警。

11.根据权利要求6所述的基于安全通信协议的热备冗余监测装置，其特征在于，所述备机的设备状态为热备状态时，周期性地接收主机发送的同步数据，根据同步数据计算输出结果，并与主机的运算结果进行比较，

如果连续数个周期不能保持一致，则转为脱机状态，同时将结果输出。