CN111400111B - 一种具有备机失步状态的安全计算机平台 - Google Patents

Abstract

本发明的具有备机失步状态的安全计算机平台，双系之间通过交互、切换来实现主备状态的转换；针对当满足了上述切换情况中的转换条件，但两系之间可能已发生时间或数据不同步，从而备机升为主机后存在的安全输出隐患，平台将主备切换过程中的状态设计为：主机状态、备机同步状态、备机失步状态；在备机失步状态下，不具备升级主机的条件，不输出本系控制标识。本发明的技术优势：通过灵活完善的双系交互方式以及增加备机失步状态，在主备机切换过程考虑到主备系的数据同步及时间同步，提高了备机升级主机的要求，切换过程更加安全可靠。

Description

一种具有备机失步状态的安全计算机平台

技术领域

本发明涉及铁路信号领域，具体涉及一种安全计算机平台，其充分考虑了双系同步的情况对于主备切换的影响，将备机状态分为备机同步和备机失步两种状态，提高了备机升级为主机时的要求，提高了安全计算机平台系统的安全性和可靠性。

背景技术

随着铁路运输事业的发展，铁路信号领域的安全设备不断更新完善。信息化时代，计算机和网络技术得到快速的普及和应用，安全计算机平台被用在越来越多的，对安全要求比较严格的领域和行业。在铁路信号领域，安全计算机对保障信号的可靠高效的传输发挥着极其重要的作用。

一般来说，安全计算机平台采用的是安全结构。在二乘二结构的安全平台中，独立的两系设备，均可执行平台业务，采用A/B系进行标识；二乘二安全平台中，执行平台业务，并控制输出的一系，称为主系(或主机)；二乘二安全平台中，执行平台业务，但不控制输出的一系，称为备系(或备机)；安全计算机平台的软件可分为应用软件和平台软件，平台软件运行于平台硬件之上，负责数据采集、输出执行、安全比较、系统同步等任务；应用软件运行于平台硬件之上，负责根据自身业务特性，对平台软件提供的采集数据进行使用，并向平台软件提供需要向外设输出的数据。

现有二乘二结构的安全平台中，两系之间的交互有多种方式，一般采用主备识别电路结合通信线路的方式。A/B系通过主备识别电路，识别出主备机，当满足一定的状态转换条件后，主备机可以进行状态切换。但是现有安全平台仅设计了主机、备机两种状态，如出现通信线路异常，导致两系之间时间不同步或数据不同步的情况下，当同时还满足切换条件时，仍可执行主备切换。但此时两系之间已发生时间或数据不同步，备机可能采用过期时间或过期数据执行运算和处理，所得输出存在异常的风险，备机冒然升级为主机后接管整个系统的输出控制存在安全隐患。

因此，为了满足日益复杂的铁路应用需求，提高铁路安全计算机平台的安全性和可靠性。需要一种具备备机失步状态的安全计算机平台，即充分考虑了双系同步情况对于主备切换的影响，将备机状态分为备机同步和备机失步两种状态，极大的提高了安全计算机平台的安全性和可靠性。

发明内容

本发明旨在通过备机失步状态的转换，考虑到两系之间已发生时间或数据(包括平台数据、应用数据)不同步的情况下，备机可能采用过期时间或过期数据执行运算和处理，所得输出存在异常的风险，升主后接管整个系统的输出控制存在安全隐患。

本发明提供一种具有备机失步状态的安全计算机平台，所述安全计算机平台为二乘二结构，具有独立的两系设备，均可执行平台业务，采用A/B系进行标识，双系之间通过交互、切换来实现主备状态的转换；

双系间交互方式可采用主备识别电路交互、通信线路交互、或主备识别电路结合通信线路交互；双系间主备切换情况包括操作主备切换开关、外部设备控制切换、或双系工作异常切换；其特征在于，

针对当满足了上述切换情况中的转换条件，但两系之间可能已发生时间或数据不同步，从而备机升为主机后存在的安全输出隐患，所述平台将主备切换过程中的状态设计为：主机状态、备机同步状态、备机失步状态；

在所述备机失步状态下，不具备升级主机的条件，不输出本系控制标识。

本发明的技术优势：一种具备备机失步状态的安全计算机平台，通过灵活完善的双系交互方式以及增加备机失步状态，在主备机切换过程考虑到主备系的数据同步及时间同步，提高了备机升级主机的要求，切换过程更加安全可靠，避免了备机与主机时间或数据不同步的情况下，冒然升主带来可能的风险。

附图说明

图1为安全计算机平台双系交互方式示意图

图2为安全计算机平台主备切换情况示意图

图3为既有主备机状态转换示意图

图4为具有备机失步状态的平台的主备机状态转换示意图

图5为具有备机失步状态的平台的主备机在系统运行不同阶段的切换示例

具体实施方式

下面结合具体实施例对本发明进行详细的说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应该指出的是，本发明说明书中所指的既有情况，并不代表其已是公开的现有技术，只是为了便于在此基础上阐明本发明的关键技术和创新之处。

一般来说，安全计算机平台采用的是安全结构。在二乘二结构的安全平台中，独立的两系设备，均可执行平台业务，采用A/B系进行标识；二乘二安全平台中，执行平台业务，并控制输出的一系，称为主系(或主机)；二乘二安全平台中，执行平台业务，但不控制输出的一系，称为备系(或备机)；安全计算机平台的软件可分为应用软件和平台软件，平台软件运行于平台硬件之上，负责数据采集、输出执行、安全比较、系统同步等任务；应用软件运行于平台硬件之上，负责根据自身业务特性，对平台软件提供的采集数据进行使用，并向平台软件提供需要向外设输出的数据。

二乘二结构的安全计算机平台中，双系之间通过交互、切换来实现主备状态的转换。下面以具体的实施例来介绍这个过程。

双系间交互有多种方式，一般来说可以采用主备识别电路交互、通信线路交互、主备识别电路结合通信线路的交互。下面以主备识别电路结合通信线路的方式为实施例，介绍安全计算机平台的双系交互方式。如图1所示，采用主备识别电路(如互斥电路)交互，原则为本系工作正常，具备成为主机的条件的情况下，输出本系控制标识；如其中一系抢权成功，主备识别电路接通至本系，则可回采到主系标识，并输出本系(主系)控制标识，认为本系为主机，如本系抢权失败，主备识别电路接通至他系，则可回采到备系标识(或者回采不到备系标识)，输出本系(备系)控制标识，认为本系为备机。采用通信交互方式进行两系之间的交互，具体可采用以太网、CAN总线、Flexray等多种方式；一般情况下为周期性通信，可完成双系数据传输(含主备系状态、切换命令等)、时间同步等操作。

对于安全计算机平台，双系间主备切换情况一般有三种，如图2。第一种：操作主备切换开关，一般来说，切换开关为物理开关，当切换动作作用至主备识别电路上，即主备识别电路收到物理切换命令后，主备识别电路切换主备系标识信号，通过主备识别电路交互，采到新的主备系标识，输出本系控制标识，从而实现主备机的切换；第二种：外部设备控制切换，一般来说，外部设备以通信形式连接至两系设备上，双系收到切换命令后，通过通信交互方式，双系软件控制执行切换操作；第三种：双系工作异常切换，如主机异常，自行降级或宕机，切断本系工作标识，则备机在具备升主条件的情况下，输出本系控制标识，可判断出抢权成功，升为主机。

然而既有安全计算机平台在主备切换时，双系仅有主机、备机两种状态，双系通过交互、切换来实现主备状态的转换。两种状态依托上述的交互方式以及切换情况来实现状态转换，其状态转换关系参见图3。主机状态满足转换条件1后，可切换为备机状态，备机状态满足转换条件2后，可切换为主机状态。转换条件1：(主机)回采不到主备系标识，具体场景通常包括：主备切换开关起效，原主机回采不到主备系标识，降为备机；外部设备切换命令起效，原主机切断本系控制标识，继而回采不到主备系标识，降为备机；原主机工作异常，切断本系控制标识，继而回采不到主备系标识，降为备机。转换条件2：(备机)可回采到主备系标识，具体场景通常包括：主备切换开关起效，原备机回采到主备系标识，升为主机；外部设备切换命令起效，原主机切断本系控制标识，继而原备机可回采到主备系标识，升为主机；原主机工作异常，切断本系控制标识，继而原备机可回采到主备系标识，升为主机。

在既有安全计算机的主备机切换过程中，如双系交互过程中通信线路异常，导致两系之间时间不同步或数据不同步的情况下，根据上述的主备状态的转换分析，当满足了切换情况中的转换条件时，仍可执行主备切换。但此时两系之间已发生时间或数据不同步，备机可能采用过期时间或过期数据执行运算和处理，所得输出存在异常的风险，备机冒然升级为主机后接管整个系统的输出控制，存在安全隐患。

为了避免该安全隐患，本发明针对上述主备切换过程，重新设计了主备状态。将主备切换过程中的状态设计为：主机状态、备机同步状态、备机失步状态。

主机状态：二乘二安全平台中，执行平台业务，并控制输出的一系，处于主机状态的一系可输出本系控制标识，可回采到主备系标识。

备机同步状态：二乘二安全平台中，执行平台业务，处于备机的一系，即不控制输出的一系，且与主机在时间及数据上处于同步状态；处于备机同步状态的一系，可以输出本系控制标识，回采不到主备系标识。

备机失步状态：二乘二安全平台中，执行平台业务，处于备机的一系，即不控制输出的一系，但与主机在时间或数据上处于不同步状态；处于备机失步状态的一系，不输出本系控制标识，回采不到主备系标识。

本发明的主备状态设计的重点是，备机失步状态下，不具备升级主机的条件，不输出本系控制标识，因此避免了备机与主机在时间或数据不同步的情况下，冒然升级主机可能带来的安全输出风险。

下面详细介绍本发明中，三种状态下的主备状态的切换过程。

本发明的双系交互方式与既有方式相同，同样以主备识别电路结合通信线路的方式为实施例介绍。

本发明的主备双系切换情况，与既有平台的双系三种切换情况一致，即操作主备切换开关、外部设备控制切换、双系工作异常切换，但是在各种切换情况下，增加了对主备系间的时间同步及数据同步的判断情况，每种切换情况新增了如下两种判断。一、平台同步情况，双系平台软件判断所得时间、数据是否同步，同步的情况下，认为备机具备升主条件，不同步的情况下，认为备机不具备升主条件；二、应用同步情况，双系应用软件判断历史数据是否同步，同步的情况下，认为备机具备升主条件；不同步的情况下，认为备机不具备升主条件。

本发明的主备(包括备机同步、备机失步)状态转换过程，参见图4。一般来说，安全计算机平台系统工作可分为初始化阶段和运行阶段，在不同的工作状态(阶段)下，本发明的主备状态的转换条件不同。下面从平台处于初始化状态和运行状态这两种情况下，分别进行主备状态转换说明。

初始化状态下，双系完成初始化(含自检)，认为本系工作正常的情况下，双系均处于备机同步状态，输出本系控制标识，其中一系，满足图4中转换条件2后，可实现升级为主机，满足图4中转换条件3后，切换为备机失步状态。转换条件2：可回采到主备系标识，具体场景包括但不限于：本系先完成初始化工作且工作正常，抢权成功，可回采到主备系标识，升为主机。转换条件3：回采不到主备系标识，具体场景包括但不限于：另一系先完成初始化工作且工作正常，抢权成功，继而本系回采不到主备系标识，此时尚无应用参与，数据未完成同步，降为备机失步状态。初始化状态下，不会出现转换条件1和转换条件4的情况。

在运行状态下，双系中任一系处于主机状态下，满足图4中转换条件1后，降级为备机失步状态，双系中任一系处于备机失步状态下，满足图4中转换条件4后，升级为备机同步状态，双系中任一系处于备机同步状态下，满足图4中转换条件2后，升级为主机状态，满足图4中转换条件3后，降级为备机失步状态。

转换条件1：同既有主备切换情况相似，(主机)回采不到主备系标识，具体场景包括但不限于：主备切换开关起效，原主机回采不到主备系标识，降为备机失步；外部设备切换命令起效，原主机切断本系控制标识，继而回采不到主备系标识，降为备机失步；原主机工作异常，切断本系控制标识，继而回采不到主备系标识，降为备机失步。

转换条件2：同既有主备切换情况相似，(备机同步)可回采到主备系标识，具体场景包括但不限于：主备切换开关起效，原备机同步状态回采到主备系标识，升为主机；外部设备切换命令起效，原主机切断本系控制标识，继而原备机同步状态可回采到主备系标识，升为主机；原主机工作异常，切断本系控制标识，继而原备机同步状态可回采到主备系标识，升为主机。

转换条件3：备机与主机时间或数据不同步，具体场景包括但不限于：与主机通信线路异常，导致两系平台时间或数据不同步，备机同步转为备机失步；与主机通信线路正常，但应用软件判断出主备应用数据不同步，向平台发出失步命令，备机同步转为备机失步。

转换条件4：备机与主机时间和数据均同步上，具体场景包括但不限于：与主机通信线路正常，两系平台时间及数据已同步上，且应用软件判断出主备应用数据已同步，向平台发出同步命令，备机失步转为备机同步。

下面以一个具体的实施例来说明本发明的主备切换过程，参见图5，A/B系表示安全计算机的双系，①～④表示上述的转换条件1～4。

如图5所示，在初始化阶段，A/B系都完成初始化以及自检通过后，都进入备机同步状态，等待主备抢权，A系抢权成功，满足转换条件2的场景，成为主机，进入主机状态，B系抢权失败，满足转换条件3的场景，成为备机，进入备机失步状态。

当安全计算机进入正常运行阶段，A/B系之间会建立通信，当通信正常后，此时的B系(备机)会与A系(主机)进行时间和数据的同步，B系满足转换条件4后，转换为备机同步状态，具备升级为主机的条件，此时，A系状态不变，依然保持为主机状态。

当外部操作主备切换开关时，A系(主机)满足转换条件1，转换为备机失步状态，B系(备机)满足转换条件2，升级为主机状态。降级为备机的A系会保持与B系的通信，当通信正常后，A系时间和数据与B系同步上后，A系(备机)满足转换条件4后，转换为备机同步状态，此时的B系状态保持主机状态不变。

当AB系间的通信出现通信异常时，此时的A系(备机)识别到本系的时间及数据过期后，满足转换条件3，转换为备机失步状态，暂时不再具备升级主机的条件，此时的B系(主机)保持主机状态不变。

继续运行的A/B系会持续识别本系状态以及转换条件，安全地进行状态转换。以上介绍的实施例只是主备切换过程中的一种特定场景，不以任何形式限制本发明。

本发明充分考虑了双系同步情况对于主备切换的影响，将备机分为备机同步和备机失步两种状态，提高了备机升级主机的要求。考虑到两系之间已发生时间或数据(包括平台数据、应用数据)不同步的情况下，备机可能采用过期时间或过期数据执行运算和处理，所得输出存在异常的风险，升级主机后接管整个系统的输出控制存在安全隐患。数据及时间不同步的情况下，此时备机进入备机失步状态，不具备升主条件，不输出本系控制标识，因此避免了备机与主机时间或数据不同步的情况下，冒然升级主机可能带来的安全隐患及风险。

具有备机失步状态的安全计算机平台，是既有产品不具备的特点。与既有主备切换时仅具备主机状态和备机状态不同的是，本发明创新性的将备机状态分为备机同步状态和备机失步状态，在充分考虑应用及平台的数据及时间不同步风险后，提高了备机升级主机的要求，避免了备机与主机时间或数据不同步的情况下，冒然升级主机可能带来的安全隐患及风险。

可灵活选择的双系交互方式是本发明的一大特点。主备系间的交互方式多样，一般来说可以采用主备识别电路交互、通信线路交互、主备识别电路结合通信线路的交互，不同的交互方式决定了主备切换的情况以及切换条件会有所不同。本发明的安全计算机平台采用主备识别电路结合通信线路的交互方式，其具备多种切换情况，使得主备机切换更加灵活、更加可靠。主备切换时状态转换条件更加丰富和完整，充分考虑了安全计算机平台系统双系运行中出现的各种异常情况。此发明，使得安全计算机主备切换条件更加优化合理，提高了平台软件的安全性和可靠性。

以上所述仅为本发明方案的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种具有备机失步状态的安全计算机平台，所述安全计算机平台为二乘二结构，具有独立的两系设备，均可执行平台业务，采用A/B系进行标识，双系之间通过交互、切换来实现主备状态的转换；

双系间交互方式可采用主备识别电路交互、通信线路交互、或主备识别电路结合通信线路交互；

双系间主备切换情况包括操作主备切换开关、外部设备控制切换、或双系工作异常切换，在每种切换情况下，增加了对平台同步情况和应用同步情况的判断；

针对当满足了上述切换情况中的转换条件，但两系之间可能已发生时间或数据不同步，从而备机升为主机后存在的安全输出隐患，所述平台将主备切换过程中的状态设计为：主机状态、备机同步状态、备机失步状态；进一步的，处于备机失步状态的一系，不输出本系控制标识，回采不到主备系标识；在所述备机失步状态下，不具备升级主机的条件，不输出本系控制标识；

所述转换条件包括：

转换条件1：主机回采不到主备系标识；

转换条件2：备机同步，可回采到主备系标识；

转换条件3：备机与主机时间、数据不同步，或应用软件判断出主备应用数据不同步；

转换条件4：备机与主机时间和数据均同步上，且应用软件判断出主备应用数据已同步；

在运行阶段下，双系中任一系处于主机状态下，满足转换条件1后，降级为备机失步状态；

双系中任一系处于备机失步状态下，满足转换条件4后，升级为备机同步状态；

双系中任一系处于备机同步状态下，满足转换条件2后，升级为主机状态；而满足转换条件3后，降级为备机失步状态；

当出现切换情况时，A系主机满足转换条件1，转换为备机失步状态，B系备机满足转换条件2，升级为主机状态；降级为备机的A系会保持与B系的通信，当通信正常后，A系时间和数据与B系同步上后，A系备机满足转换条件4后，转换为备机同步状态，此时的B系保持主机状态不变。

2.根据权利要求1所述的安全计算机平台，其特征在于，所述安全计算机平台的系统工作分为初始化阶段和运行阶段，在不同的工作阶段下，主备状态的转换条件不同。

3.根据权利要求2所述的安全计算机平台，其特征在于，在初始化阶段下，双系完成初始化，在认为本系工作正常的情况下，使双系均处于备机同步状态，输出本系控制标识；

某系先完成初始化且工作正常，抢权成功，可回采到主备系标识，升为主机；另一系回采不到主备系标识，降为备机失步状态；

其中一系满足转换条件2后，可实现升级为主机；在满足转换条件3后，切换为备机失步状态。

4.根据权利要求2所述的安全计算机平台，其特征在于，当安全计算机平台进入正常运行阶段，A/B系之间会建立通信，设A系为主机，B系为备机，

当通信正常后，备机会与主机进行时间和数据的同步，当B系备机满足转换条件4后，转换为备机同步状态，具备升级为主机的条件，此时，A系状态不变，依然保持为主机状态；

当A/B系间的通信出现通信异常时，此时的A系备机识别到本系的时间及数据过期后，满足转换条件3，转换为备机失步状态，暂时不再具备升级主机的条件，此时的B系主机保持主机状态不变；

继续运行的A/B系会持续识别本系的状态以及转换条件，安全地进行状态转换。

5.根据权利要求1所述的安全计算机平台，其特征在于，上述主机状态：二乘二安全平台中，执行平台业务，并控制输出的一系，处于主机状态的一系可输出本系控制标识，可回采到主备系标识；

上述备机同步状态：二乘二安全平台中，执行平台业务，处于备机的一系，即不控制输出的一系，且与主机在时间及数据上处于同步状态；处于备机同步状态的一系，可以输出本系控制标识，回采不到主备系标识；

上述备机失步状态：二乘二安全平台中，执行平台业务，处于备机的一系，即不控制输出的一系，但与主机在时间或数据上处于不同步状态；处于备机失步状态的一系，不输出本系控制标识，回采不到主备系标识。

6.根据权利要求1所述的安全计算机平台，其特征在于，上述双系间主备切换情况包括操作主备切换开关、外部设备控制切换、双系工作异常切换，但每种切换情况新增了如下两种判断：

一、平台同步情况，双系平台软件判断所得时间、数据是否同步，同步的情况下，认为备机具备升主条件，不同步的情况下，认为备机不具备升主条件；

二、应用同步情况，双系应用软件判断历史数据是否同步，同步的情况下，认为备机具备升主条件；不同步的情况下，认为备机不具备升主条件。

7.根据权利要求1所述的安全计算机平台，其特征在于，优选地，所述安全计算机平台采用主备识别电路结合通信线路的交互方式，其具备多种切换情况。