CN111142367B - 一种针对铁路安全应用的控制系统 - Google Patents

Abstract

本发明公开了一种针对铁路安全应用的控制系统，所述系统包括多个控制器以及协控制模块，其中：多个所述控制器配置为同步并行执行应用程序，分别输出各自的运行结果数据，其中，多个所述控制器通过控制器间的数据交互实现应用程序的同步并行执行；所述协控制模块配置为分别接收来自多个所述控制器的运行结果数据并进行数据对比，如果一致，则输出所述运行结果数据，如果不一致，则向所述控制器输出第一异常信息；所述控制器还配置为当接收到所述第一异常信息时启动自检，根据自检结果进行故障判断及隔离。根据本发明的系统，可以在单个控制器运行错误时无缝维持系统正常工作，保证系统安全稳定的持续运行；相较于现有技术，本发明的系统的安全稳定性大大提高。

Description

一种针对铁路安全应用的控制系统

技术领域

本发明涉及铁路交通领域，具体涉及一种针对铁路安全应用的控制系统。

背景技术

在铁路交通领域，铁路车辆控制逻辑大多采用继电器等有触点单元实现，一旦触点受动作磨损、表面灰尘等影响而发生氧化及电弧烧蚀，造成接触面凹凸不平及毛刺，使面触点变成点接触，导致动、静触头接触不良，严重时导致电路不导通，控制功能丧失，给车辆运行安全带来隐患。

为了提高铁路车辆的安全稳定性，在现有技术中，铁路车辆微机化逻辑控制单元采用计算机及网络技术，通过光耦和场效应管等无触点电路替代列车传统的中间继电器、时间继电器、双稳态继电器等有触点控制电路，实现列车逻辑控制、故障诊断及综合保护等功能，提升了系统可靠性、可维护性及智能化水平。

然而，随着铁路车辆微机化水平的提高，大部分硬线电路被软逻辑替换，其硬件和软件安全性、可靠性要求越来越高。为了提高软逻辑控制系统的稳定性，现有技术中通常采用热备冗余控制方式，即构造两套控制系统，一套系统正常工作，另一套系统作为热备系统负责监视。当工作的系统出现故障时，热备系统进行切换。但是现有技术中的热备冗余控制方式面临一些问题。首先，当热备系统判断工作系统故障后，其替换工作系统所需的切换时间较长，无法理想的在第一时间保障输出安全；其次，热备系统切换工作系统不能实现理想的无缝对接，热备系统不能无缝接管工作系统发生故障前的工作；再次，在系统故障时，热备系统往往实施整系统切换，无法实现单故障节点切换，也无法及时准确的定位故障节点。

发明内容

针对现有技术存在的问题，为了提高控制系统的安全稳定性，本发明提出了一种针对铁路安全应用的控制系统，所述系统包括多个控制器以及协控制模块，其中：

多个所述控制器配置为同步并行执行应用程序，分别输出各自的运行结果数据，其中，多个所述控制器通过控制器间的数据交互实现应用程序的同步并行执行，所述控制器之间的数据交互包括生命信号、系统各通讯链路状态和/或系统运行时钟的交互；

所述协控制模块配置为分别接收来自多个所述控制器的运行结果数据并进行数据对比，如果一致，则输出所述运行结果数据，如果不一致，则向所述控制器输出第一异常信息；

所述控制器还配置为当接收到所述第一异常信息时启动自检，根据自检结果进行故障判断及隔离。

在一实施例中，所述控制器还配置为判断自身以外的控制器的工作状态，当存在工作异常的控制器时，屏蔽与工作异常的控制器间的同步。

在一实施例中，所述控制器还配置为判断自身与其他控制器之间的通讯状态，当控制器间存在通讯异常时，通讯异常的双方相互屏蔽之间的同步。

在一实施例中：

当控制器间存在通讯异常但仍存在可以相互进行通讯的控制器时，保持可以正常进行相互间通讯的控制器的正常运行输出，隔离其他的控制器的输出；

当所有的控制器间的通讯均发生异常时，维持一个主控器的正常运行输出，隔离其他的控制器的输出。

在一实施例中，所述协控制模块包括多个协处理器，每个协处理器对应一个控制器，其中：

所述协处理器配置为接收对应的控制器的运行结果数据；

所述协处理器还配置为通过协处理器间的数据交互进行所述运行结果数据的对比。

在一实施例中，所述控制器还配置为判断自身与对应的协处理器之间的通讯状态，当存在通讯异常时停止所述运行结果数据的输出。

在一实施例中，所述系统还包括多个执行控制器，每个执行控制器对应一个协处理器，其中：

多个所述执行控制器配置为分别采集输入数据并输出到对应的协处理器；

多个所述协处理器还配置为通过协处理器间的数据交互对比自身接收到的输入数据，如果一致，则将各自接收到的输入数据输出到对应的控制器。

在一实施例中，多个所述执行控制器还配置为通过执行控制器间的数据交互对比采集到的输入数据，如果一致，则将自身采集到的输入数据分别输出到对应的协处理器。

在一实施例中：

所述协处理器配置为在输出所述运行结果数据时将所述运行结果数据输出到其对应的执行控制器；

多个所述执行控制器还配置为通过执行控制器间的数据交互对比接收到的运行结果数据，如果一致，则根据所述运行结果数据输出控制信息。

在一实施例中，所述系统包括两个控制器。

根据本发明的系统，可以在单个控制器运行错误时无缝维持系统正常工作，保证系统安全稳定的持续运行；相较于现有技术，本发明的系统的安全稳定性大大提高。

本发明的其它特征或优点将在随后的说明书中阐述。并且，本发明的部分特征或优点将通过说明书而变得显而易见，或者通过实施本发明而被了解。本发明的目的和部分优点可通过在说明书、权利要求书以及附图中所特别指出的步骤来实现或获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例共同用于解释本发明，并不构成对本发明的限制。在附图中：

图1～图4是根据本发明实施例的系统结构简图；

图5～图7是根据本发明实施例的系统部分模块运行逻辑流程图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此本发明的实施人员可以充分理解本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程并依据上述实现过程具体实施本发明。需要说明的是，只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

现有技术中通常采用热备冗余控制方式，即构造两套控制系统，一套系统正常工作，另一套系统作为热备系统负责监视。当工作的系统出现故障时，热备系统进行切换。但是现有技术中的热备冗余控制方式面临一些问题。首先，当热备系统判断工作系统故障后，其替换工作系统所需的切换时间较长，无法理想的在第一时间保障输出安全；其次，热备系统切换工作系统不能实现理想的无缝对接，热备系统不能无缝接管工作系统发生故障前的工作；再次，在系统故障时，热备系统往往实施整系统切换，无法实现单故障节点切换，也无法及时准确的定位故障节点。

针对现有技术中存在的问题，本发明提出了一种针对铁路安全应用的控制系统。在本发明的系统中，采用了冗余控制，即，构造多个具备同等功能的控制器，这样，当一个控制器出现运行故障时，就可以利用其的控制器替代其工作，从而保证系统整体的持续运行。为了保证在控制器切换时的无缝切换，并保证替换用的控制器可以无缝接管故障控制器的工作，在本发明的方法中，令多个控制器均同时处于工作状态，当某个控制器出现运行故障时，不需要特意启动备用的控制器，只需要将故障控制器下线，而由于非故障的控制器始终处于工作状态，因此就不会存在工作接管之类的问题。

进一步的，为了避免控制信号冲突而导致控制混乱，需要保证多个控制器始终处于一致的工作状态，即，多个控制器中应用程序的执行以及最终的输出结果是一致的。因此，在本发明的方法中，多个控制器配置为同步并行执行应用程序。并且，进一步的，多个控制器还配置为通过控制器间的数据交互实现应用程序的同步并行执行，控制器之间的数据交互包括生命信号、系统各通讯链路状态和/或系统运行时钟的交互。

进一步的，当多个控制器中的某个或某几个控制器出现运行故障时，其输出必然与正常运行的控制器不同，为了避免由于控制器故障而导致控制信号冲突，在本发明的系统中还构造了协控制模块。协控制模块配置为分别接收每个控制器的输出数据并进行数据对比，如果一致，则说明所有控制器正常工作，此时协控制模块输出控制器的输出结果到下一级设备。如果不一致，则说明存在工作异常的控制器，此时对工作异常的控制器进行故障处理(例如屏蔽其输出或是令其强制下线)，保证系统整体的稳定运行。

根据本发明的系统，可以在单个控制器运行错误时无缝维持系统正常工作，保证系统安全稳定的持续运行；相较于现有技术，本发明的系统的安全稳定性大大提高。

接下来基于附图详细描述根据本发明实施例的系统结构以及系统运行的详细流程，附图的流程图中示出的步骤可以在包含诸如一组计算机可执行指令的计算机系统中执行。虽然在流程图中示出了各步骤的逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

在一实施例中，如图1所示，系统包括多个控制器(111、112、113…)以及协控制模块120。

多个控制器(111、112、113…)配置为同步并行执行应用程序，分别输出各自的运行结果数据，其中，多个控制器(111、112、113…)通过控制器间的数据交互实现应用程序的同步并行执行，控制器之间的数据交互包括生命信号、系统各通讯链路状态和/或系统运行时钟的交互。

协控制模块120配置为分别接收来自多个控制器(111、112、113…)的运行结果数据并进行数据对比，如果一致，则输出运行结果数据。如果不一致，则向控制器输出第一异常信息。

控制器(111、112、113…)还配置为当接收到来自协控制模块120的第一异常信息时启动自检，根据自检结果进行故障判断及隔离。

具体的，在一实施例中，控制器接收到第一异常信息时通过获取的输入自检结果、输出反馈信息、各通讯链路工作状态，进行故障单元判断及隔离。

进一步的，考虑到数据对比过程中可能存在数据对比执行错误，因此，在一实施例中，协控制模块所进行的数据对比并不是一次性的，即，并不是数据对比发现运行结果数据不同就立即判断数据对比结果为不一致，而是在出现数据对比发现运行结果数据不同后继续进行多次对比(对比次数根据控制器硬件以及软件运行需求设备)，只有连续多次对比的对比结果均显示运行结果数据不同后才断定数据对比结果为不一致。反之，在出现数据对比发现运行结果数据不同后的多次对比中运行结果数据相同，则说明数据对比结果为一致，运行结果数据不同的那一次是数据对比执行错误。

进一步的，在一实施例中，为了避免异常的控制器干扰正常的控制器的运行，控制器还配置为判断自身以外的控制器的工作状态，当存在工作异常的控制器时，屏蔽与工作异常的控制器间的同步。

进一步的，考虑到控制器是通过控制器间的数据交互来实现应用软件的同步的，如果数据交互出错，那么势必影响到控制器内应用软件的正常运行。因此，在一实施例中，控制器还配置为判断自身与其他控制器之间的通讯状态，当存在通讯异常时，通讯异常的双方相互屏蔽之间的同步。

进一步的，考虑到控制器间的通讯异常并不代表控制器自身的工作异常，也就是说，控制器间出现通讯异常时，控制器还是可以正常工作的。但是，由于控制器间无法正常通讯，控制器内应用软件的运行就无法同步，尤其的，很容易出现应用软件运行周期错位偏差的情况。这就会导致多个控制器最终输出的运行结果数据出现不一致的情况。

因此，在一实施例中，当控制器间出现通讯异常时，不仅通讯异常的双方相互屏蔽之间的同步，而且隔离通讯异常的控制器的输出，仅保持控制器间通讯正常的主控器的正常运行输出。进一步的，当所有的控制器间的通讯均发生异常时，维持一个主控器的正常运行输出，隔离其他的控制器的输出。

具体的，在一实施例中，当控制器间存在通讯异常但仍存在可以相互进行通讯的控制器时，保持可以正常进行相互间通讯的控制器的正常运行输出，隔离其他的控制器的输出；当所有的控制器间的通讯均发生异常时，维持一个主控器的正常运行输出，隔离其他的控制器的输出。

进一步的，考虑到所有的控制器的输出都汇总到协控制模块，为了提高协控制模块的安全稳定性，在一实施例中，在协控制模块上也采用了冗余机制。具体的，协控制模块包括多个协处理器，每个协处理器对应一个控制器。协处理器配置为接收对应的控制器的运行结果数据并通过协处理器间的数据交互进行运行结果数据的对比。

这样，系统中就相当于具有了多条相对独立的并行控制线路，每条线路包含一个控制器以及一个协处理器，单条线路的故障不会影响系统的整体运行。

具体的，如图2所示，在一实施例中，协控制模块包括多个协处理器(221、222、223…)，每个协处理器对应一个控制器(211、212、213…)，其中：

协处理器(221、222、223…)配置为接收对应的控制器(211、212、213…)的运行结果数据；

协处理器(221、222、223…)还配置为通过协处理器间的数据交互进行运行结果数据的对比。

进一步的，在一实施例中，控制器还配置为判断自身与对应的协处理器之间的通讯状态，当存在通讯异常时停止运行结果数据的输出。

进一步的，考虑到某些应用场景中，控制系统需要接收输入数据并将输出数据发送给执行机构。因此，在一实施例中，系统还包括执行单元，并且，针对执行单元也采用了冗余策略。

具体的，在一实施例中，系统还包括多个执行控制器，每个执行控制器对应一个协处理器。多个执行控制器配置为分别采集输入数据并输出到对应的协处理器；多个协处理器通过协处理器间的数据交互对比自身接收到的输入数据，如果一致，则将各自接收到的输入数据输出到对应的控制器。

如果不一致，则说明执行控制器存在异常，协处理器输出第二异常信息。

具体的，在一实施例中，协处理器向执行控制器返回第二异常信息，执行控制器接收到第二异常信息启动自检，根据自检结果进行故障判断及隔离。

具体的，如图3所示，在一实施例中，系统还包括多个执行控制器(331、332、333…)，每个执行控制器对应一个协处理器(321、322、323…)，其中：

执行控制器(331、332、333…)配置为分别采集输入数据并输出到对应的协处理器(321、322、323…)；

协处理器(321、322、323…)配置为通过协处理器间的数据交互对比自身接收到的输入数据，如果一致，则将各自接收到的输入数据输出到对应的控制器(311、312、313…)。

进一步的，在一实施例中，多个执行控制器还配置为通过执行控制器间的数据交互对比采集到的输入数据，如果一致，则将自身采集到的输入数据分别输出到对应的协处理器。

进一步的，在一实施例中：

协处理器配置为在输出运行结果数据时将运行结果数据输出到其对应的执行控制器；

多个执行控制器还配置为通过执行控制器间的数据交互对比接收到的运行结果数据，如果一致，则根据运行结果数据输出控制信息。如果不一致，则输出第三异常信息。

本发明的系统实现了一种基于铁路安全应用的冗余同步控制方法。该方法基于铁路车辆微机化逻辑控制单元硬件冗余架构，通过两系控制器生命信号、通讯链路信息、运行时钟信息等交互，同步两系系统运行时钟，从而实现两系应用程序同步执行；通过两系协处理器和执行控制器状态数据交互、对比，实现两系采集输入可靠，控制输出安全。当某系硬件单元或通讯链路出现故障时，系统可自动隔离故障环节，保证系统安全。

进一步的，为了降低系统结构复杂程度，尽可能的避免数据传输、数据对比过程中可能出现的逻辑混乱，在一实施例中，系统包括两个控制器。

进一步的，在一实施例中，在协控制模块和/或执行单元采用了冗余策略的系统中，协控制模块包括两个协处理器和/或执行单元包括两个执行控制器。

具体的，在一实施例中，如图4所示，系统包括两套控制系统。控制器411、协处理器421、执行控制器431构成一套控制系统；控制器412、协处理器422以及执行控制器432构成一套控制系统。

具体的，在一实施例中，控制器411以及控制器412之间负责生命信号、系统各通讯链路状态信息、两系系统运行时钟等交互，两系控制器时钟同步后，同时运行应用逻辑处理程序；

协处理器421以及协处理器422负责两系输入输出数据交互及对比。对于执行控制器输入数据，若两系数据相同，则将数据传递至本系控制器；若两系数据不同，则将异常信息传递至本系控制器。对于控制器输出数据，若两系数据相同，则将控制器输出数据传递至执行控制器，若两系数据不同，则将异常信息传递至本系控制器。

执行控制器431以及执行控制器432负责输入采集、输出控制、两系采集数据及输出数据交互，并进行状态数据对比。若输入数据相同，则传递至协处理器；若不同，则启动自检工作，并将异常信息传递至本系控制器。若输出数据相同，则同时输出，若不同，则将异常信息传递至本系控制器。

具体的，在一实施例中，具备两套控制系统的系统中，两系控制器的具体运行步骤包括：

1)判断两系控制器是否正常工作。若正常则维持同步程序；若判断另一系控制器工作异常，则本系控制器屏蔽同步程序，仅执行应用程序；

2)判断控制器之间通讯状态。若通讯异常，则两系控制器分别屏蔽同步程序，仅执行应用程序；若通讯异常后，两系应用程序出现多个周期偏差，则以控制器411为正常系控制，隔离控制器412输出控制；

3)判断控制器与协处理器之间通讯状态。若通讯异常，则通讯异常系控制器仅负责监视功能，不进行输出控制；

4)判断协处理器数据对比结果。若多次对比不一致，则通过获取的输入自检结果、输出反馈信息、各通讯链路工作状态，进行故障单元判断及隔离。

具体的，在一实施例中，如图5所示，具备两套控制系统的系统中，控制器工作流程图包括以下步骤。

S510，控制器启动后首先判断生命信号以及数据校验(在一实施例中，进行循环冗余校验(Cyclic Redundancy Check,CRC)))。具体的，在S510中，进行数据交互，判断生命信号以及CRC校验结果，获取IO应答，从而最终判断生命信号以及CRC结果是否正确。

S520，如果步骤S510判断结果为正确，则同步系统时钟。

S530，检测与协处理器的通讯状态。

S540，如果S530的检测结果为正常，对比协处理器反馈两系数据是否一致。

S560，如果S540对比结果为一致，则正常执行应用程序。

S541，如果步骤S540中对比结果为不一致，则检测两系控制器通讯状态。

S542，如果步骤S541检测通讯状态为正常，则进一步检测生命信号状态。

S543，如果步骤S542检测生命信号状态为正常，则维持同步程序。

S544，如果步骤S541或者S542的结果为异常，则退出同步程序。

S531，如果步骤S530的检测结果为异常，检测本系与协处理器通讯状态。

S533，如果步骤S531检测结果为正常，则维持同步程序。

S532，如果步骤S531检测结果为异常，则执行本系监测。

S511，如果步骤S510判断结果为错误，计数错误次数，判断累计错误次数是否达到上限，如果没有达到上限再次执行步骤S510。

S550，如果步骤S511判断错误次数达到上限，判断是否存在数据交互。

S551，如果步骤S550判断存在数据交互，判断为控制器通讯故障，进一步执行步骤S553，退出同步程序。

S552，如果步骤S550判断不存在数据交互，判断为控制器故障，进一步执行步骤S553，退出同步程序。

具体的，在一实施例中，具备两套控制系统的系统中，两系协处理器的具体运行步骤包括：

1)交互并对比执行控制器数据。若相同，则将输入数据传输至本系控制器；若多次对比不同，则将异常状态信息传输至本系控制器；

2)交互并对比控制器数据。若相同，则将输出控制数据传输至本系执行控制器；若多次对比不同，则将异常状态信息传输至本系控制器；

3)若两系通讯异常，则将异常状态信息传输至本系控制器。

具体的，在一实施例中，如图6所示，具备两套控制系统的系统中，协处理器工作流程包括以下步骤。

开始运行后，协处理器分别与执行控制器以及控制器进行数据交互(步骤S610以及步骤S620)。

在与执行控制器数据交互(S610)后，进行两系数据交互(S611)，两系数据对比(S612)，判断两系数据是否相同(S613)。如果相同，向控制器传输输入信息(S614)。如果不同，向控制器传输异常状态信息(S615)。

在与控制器数据交互(S620)后，进行两系数据交互(S621)，两系数据对比(S622)，判断两系数据是否相同(S623)。如果相同，向执行控制器传输输出信息(S624)。如果不同，向控制器传输异常状态信息(S625)。

具体的，在一实施例中，具备两套控制系统的系统中，两系执行控制器的具体运行步骤包括：

1)数据采集，并进行两系数据交互及对比。若相同，则传输至本系协处理器；若多次对比不同，则发起自检，并将结果通过本系协处理器发送至本系控制器；

2)交互并对比协处理器数据。若相同，则输出控制；若多次对比不同，则维持上一输出状态，并将异常状态信息通过本系协处理器发送至本系控制器；

3)若两系通讯异常，则将通讯异常状态信息传输至本系控制器。

具体的，在一实施例中，如图7所示，具备两套控制系统的系统中，执行控制器工作流程包括以下步骤。

开始运行后，执行控制器分别执行数据采集(S710)以及与协处理器进行数据交互(S720)。

在数据采集(S710)后，进行两系数据交互(S711)，两系数据对比(S712)，判断两系数据是否相同(S713)。如果相同，向协处理器传输输入信息(S714)。如果不同，发起自检，并向控制器传输自检结果(S715)。

在与协处理器数据交互(S720)后，进行两系数据交互(S721)，两系数据对比(S722)，判断两系数据是否相同(S723)。如果相同，执行输出控制(S724)。如果不同，向控制器传输异常状态信息(S725)。

根据本发明的系统，可以实现时钟同步、应用程序执行同步，可保障系统的任务级同步控制；本发明的系统实现了执行控制器、协处理器、控制器之间的数据共享，可实现单故障节点隔离，不必进行整系切换；进一步的，本发明的系统在系统故障时快速切换功能，大大缩短了系统切换时间，提高了系统的安全性和可靠性。

应该理解的是，本发明所公开的实施例不限于这里所公开的特定结构、处理步骤或材料，而应当延伸到相关领域的普通技术人员所理解的这些特征的等同替代。还应当理解的是，在此使用的术语仅用于描述特定实施例的目的，而并不意味着限制。

说明书中提到的“一实施例”意指结合实施例描述的特定特征、结构或特性包括在本发明的至少一个实施例中。因此，说明书通篇各个地方出现的短语“一实施例”并不一定均指同一个实施例。

虽然本发明所公开的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。本发明所述的方法还可有其他多种实施例。在不背离本发明实质的情况下，熟悉本领域的技术人员当可根据本发明做出各种相应的改变或变形，但这些相应的改变或变形都应属于本发明的权利要求的保护范围。

Claims (8)

1.一种针对铁路安全应用的控制系统，其特征在于，所述系统包括多个控制器以及协控制模块，其中：

多个所述控制器配置为同步并行执行应用程序，分别输出各自的运行结果数据，其中，多个所述控制器通过控制器间的数据交互实现应用程序的同步并行执行，所述控制器之间的数据交互包括生命信号、系统各通讯链路状态和/或系统运行时钟的交互；

所述协控制模块配置为分别接收来自多个所述控制器的运行结果数据并进行数据对比，如果一致，则输出所述运行结果数据，如果不一致，则向所述控制器输出第一异常信息；

所述控制器还配置为当接收到所述第一异常信息时启动自检，根据自检结果进行故障判断及隔离；

所述控制器还配置为判断自身以外的控制器的工作状态，当存在工作异常的控制器时，屏蔽与工作异常的控制器间的同步，以及判断自身与其他控制器之间的通讯状态，当控制器间存在通讯异常时，通讯异常的双方相互屏蔽之间的同步。

2.根据权利要求1所述的系统，其特征在于：

当控制器间存在通讯异常但仍存在可以相互进行通讯的控制器时，保持可以正常进行相互间通讯的控制器的正常运行输出，隔离其他的控制器的输出；

当所有的控制器间的通讯均发生异常时，维持一个主控器的正常运行输出，隔离其他的控制器的输出。

3.根据权利要求1所述的系统，其特征在于，所述协控制模块包括多个协处理器，每个协处理器对应一个控制器，其中：

所述协处理器配置为接收对应的控制器的运行结果数据；

所述协处理器还配置为通过协处理器间的数据交互进行所述运行结果数据的对比。

4.根据权利要求3所述的系统，其特征在于，所述控制器还配置为判断自身与对应的协处理器之间的通讯状态，当存在通讯异常时停止所述运行结果数据的输出。

5.根据权利要求3所述的系统，其特征在于，所述系统还包括多个执行控制器，每个执行控制器对应一个协处理器，其中：

多个所述执行控制器配置为分别采集输入数据并输出到对应的协处理器；

多个所述协处理器还配置为通过协处理器间的数据交互对比自身接收到的输入数据，如果一致，则将各自接收到的输入数据输出到对应的控制器。

6.根据权利要求5所述的系统，其特征在于，多个所述执行控制器还配置为通过执行控制器间的数据交互对比采集到的输入数据，如果一致，则将自身采集到的输入数据分别输出到对应的协处理器。

7.根据权利要求6所述的系统，其特征在于：

所述协处理器配置为在输出所述运行结果数据时将所述运行结果数据输出到其对应的执行控制器；

多个所述执行控制器还配置为通过执行控制器间的数据交互对比接收到的运行结果数据，如果一致，则根据所述运行结果数据输出控制信息。

8.根据权利要求1~7中任一项所述的系统，其特征在于，所述系统包括两个控制器。

Images