CN113032325A - 处理器板卡及其控制方法和存储介质 - Google Patents

Abstract

本发明涉及一种处理器板卡，该板卡包括：第一处理器模块和第二处理器模块；其中，第一处理器模块，包括：第一中央处理器；第一现场可编程门阵列，与第一中央处理器连接；第一可变速率控制器局域网，与第一中央处理器连接；第一以太网转换芯片，与第一现场可编程门阵列连接；第二处理器模块，包括：第二中央处理器；第二现场可编程门阵列，与第二中央处理器连接；第二可变速率控制器局域网，与第二中央处理器连接；第二以太网转换芯片，与第一现场可编程门阵列连接；第一处理器模块与第二处理器模块，物理上隔离相互独立。可以提高设备的功能安全性。本发明还公开了一种前述处理器板卡的控制方法和存储介质。

Description

处理器板卡及其控制方法和存储介质

技术领域

本申请涉及铁路信号控制技术领域，特别涉及一种处理器板卡及其控制方法和存储介质。

背景技术

保证列车安全运行是轨道交通系统的根本需求，因此轨道交通系统的安全性是保证列车安全运行的一项重要指标。近几年来，随着轨道交通行业的迅速发展，对安全设计的需求也由传统的信号系统，扩展到各种车载设备，如牵引、辅助、门控和逻辑控制单元等。而处理器板卡又是整个车载设备的核心，它直接决定着整个系统的安全等级。

现有技术中，车载设备的处理器板卡大多都采用ARM+FPGA或者SOC FPGA的单CPU架构，其中，ARM主要负责操作系统的运行、功能软件的运行、通讯接口的管理和整个轨道交通系统的逻辑运算，FPGA主要负责信号采集、数据处理和算法加速等功能。

在实现本公开实施例的过程中，发现相关技术中至少存在如下问题：现有技术中的处理器板卡，软件或者硬件发生故障，可能对整个系统造成严重的不良影响。

发明内容

本发明提供了一种处理器板卡及其控制方法和存储介质，以在一定程度上解决处理器板卡硬件或者软件发生故障，可能会对整个系统造成严重的不良影响的技术问题。

第一方面，本发明提供了一种处理器板卡，包括：第一处理器模块和第二处理器模块；

其中，所述第一处理器模块，包括：第一中央处理器；第一现场可编程门阵列，与所述第一中央处理器连接；第一可变速率控制器局域网接口，与所述第一中央处理器连接；第一以太网转换芯片，与所述第一现场可编程门阵列连接；所述第二处理器模块，包括：第二中央处理器；第二现场可编程门阵列，与所述第二中央处理器连接；第二可变速率控制器局域网接口，与所述第二中央处理器连接；第二以太网转换芯片，与所述第一现场可编程门阵列连接；所述第一处理器模块与所述第二处理器模块，物理上隔离相互独立。

结合第一方面，在第一方面的第一种可能的实现方式中，所述第一处理器模块，还包括：第一温度监测电路，与所述第一中央处理器连接；和/ 或，所述第二处理器模块，还包括：第二温度监测电路，与所述第二中央处理器连接。

结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述第一处理器模块，还包括：第一电压监测电路，与所述第一中央处理器连接；和或，所述第二处理器模块，还包括：第二电压监测电路，与所述第二中央处理器连接。

第二方面，提供了一种前述的处理器板卡的控制方法，该方法包括，处理器板卡程序运行过程中，对指令进行周期检测，检测失败，所述处理器板卡进入安全状态；所述处理器板卡程序对功能板卡的状态进行周期检测，得到检测结果，将所述检测结果上报应用层；所述处理器板卡程序对应用层程序的执行时间进行监测，所述执行时间超过预设时长时，所述处理器板卡进入安全状态；所述处理器板卡，接收宕机命令后宕机。

第三方面，提供了一种前述的处理器板卡的控制方法，该方法包括，所述处理器板卡发生非致命故障时，记录所述非致命故障；所述处理器板卡发生致命故障时，导向安全侧，记录所述致命故障；其中，所述处理器板卡进行安全计算时，以无对外数据输出为安全侧；所述处理器板卡进行安全通信时，以无对外通信输出，或者接收端不接收输出的数据为安全侧；所述处理器板卡进行安全输出时，以无输出为安全侧；所述处理器板卡进行安全输入时，以无输入为安全侧。

第四方面，提供了一种前述的处理器板卡的控制方法，该方法，包括，对于所述处理器板卡获取到的数据进行同步表决，表决一致后执行；在预设时长范围内，对所述第一中央处理器和所述第二中央处理器获取到的安全数据进行比较，比较一致时，将所述第一中央处理器和所述第二中央处理器的数据重新组包后发送，比较不一致时，向应用层软件提供安全侧数据，记录故障；对于所述处理器板卡的控制命令，所述第一中央处理器和所述第二中央处理器进行同步表决，表决一致后执行。

结合第四方面，在第四方面的第一种可能的实现方式中，所述同步表决包括：所述第一中央处理器与所述第二中央处理器，执行同步函数进行同步；同步完成后，所述第一中央处理器将获取到的第一数据发送至所述第一现场可编程门阵列，所述第二中央处理器将获取到第二的数据发送至所述第二现场可编程门阵列后，所述第一现场可编程门阵列与所述第二现场可编程门阵列进行交叉传输；所述第一中央处理器，通过所述第一现场可编程门阵列获取来自所述第二现场可编程门阵列的第三数据，所述第一数据与所述第三数据一致，通过所述第一中央处理器将安全数据发送至其它设备；或，所述第二中央处理器，通过所述第二现场可编程门阵列获取来自所述第一现场可编程门阵列的第四数据，所述第二数据与所述第四数据一致，通过所述第二中央处理器将安全数据发送至其它设备。

第五方面，提供了一种前述的处理器板卡的控制方法，该方法，包括，第一处理器板卡接收第一通信数据，所述第一通信数据经所述第一处理器板卡中的第一中央处理器和第二中央处理器安全比较后，经过优先级排序，由所述第一处理器板卡中的第一中央处理器，通过所述第一处理器板卡中的第一可变速率控制器局域网物理层发送至第二处理器板卡；所述第二处理器板卡，接收所述第一处理器板卡发送的第一通信数据，由所述第二处理器板卡中的第一中央处理器的平台层程序处理，所述第二处理器板卡中的第一中央处理器和第二中央处理器均获取所述第一通信数据后，将所述第一通信数据发送至通信数据缓冲区。

结合第五方面，在第五方面的第一种可能的实现方式中，还包括：发送端将业务数据进行安全编码后，得到第一通信数据，发送端将所述第一通信数据发送至所述第一处理器板卡；接收端从所述通信数据缓冲区获取所述第一通信数据后，经过解码，得到所述业务数据。

第六方面，提供了一种存储介质，存储介质存储有计算机程序，计算机程序包括程序指令，程序指令当被处理器执行时使处理器执行前述的处理器板卡的控制方法。

与现有技术相比，本发明的优点和积极效果在于：

本发明提供了一种处理器板卡及其控制方法和存储介质，处理器板卡在物理上隔离相互独立的板卡设计，满足SIL4级系统独立性的要求，可以实现操作系统的运行、功能软件的运行、通讯接口的管理和整个系统的逻辑运算，同时，可以提升安装本处理器板卡的车载设备在运行过程中的功能安全水平，从而使得车载设备在运行过程中具有较高的功能安全性。

附图说明

一个或多个实施例通过与之对应的附图进行示例性说，这些示例性说明和附图并不构成对实施例的限定，附图中具有相同参考数字标号的元件示为类似的元件，附图不构成比例限制，并且其中：

图1是本公开实施例提供的处理器板卡结构示意图；

图2是本公开实施例提供的故障记录框图示意图；

图3是本公开实施例提供的同步表决数据流示意图；

图4是本公开实施例提供的同步表决数据流程示意图；

图5是本公开实施例提供的处理器板卡模块间通信的数据传输流程示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行描述和说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。基于本申请提供的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

显而易见地，下面描述中的附图仅仅是本申请的一些示例或实施例，对于本领域的普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图将本申请应用于其他类似情景。此外，还可以理解的是，虽然这种开发过程中所作出的努力可能是复杂并且冗长的，然而对于与本申请公开的内容相关的本领域的普通技术人员而言，在本申请揭露的技术内容的基础上进行的一些设计，制造或者生产等变更只是常规的技术手段，不应当理解为本申请公开的内容不充分。

在本申请中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域普通技术人员显式地和隐式地理解的是，本申请所描述的实施例在不冲突的情况下，可以与其它实施例相结合。

除非另作定义，本申请所涉及的技术术语或者科学术语应当为本申请所属技术领域内具有一般技能的人士所理解的通常意义。本申请所涉及的“一”、“一个”、“一种”、“该”等类似词语并不表示数量限制，可表示单数或复数。本申请所涉及的术语“包括”、“包含”、“具有”以及它们任何变形，意图在于覆盖不排他的包含；例如包含了一系列步骤或模块(单元) 的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可以还包括没有列出的步骤或单元，或可以还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。本申请所涉及的“连接”、“相连”、“耦接”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电气的连接，不管是直接的还是间接的。本申请所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B 这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。本申请所涉及的术语“第一”、“第二”、“第三”等仅仅是区别类似的对象，不代表针对对象的特定排序。

下面对本公开实施例中涉及的概念进行介绍，可变速率控制器局域网(Controller Area Network withFlexible Data rate，简称CANFD)；中央处理器(Central Processing Unit，简称CPU)；现场可编程门阵列(Field programmable gatearray，简称FPGA)；串行外设接口(Serial Peripheral Interface，简称SPI)；先进先出存储器(First Input First Output，简称FIFO)；外部存储器接口(External MemoryInterface，简称EMIF)；通用异步收发传输器(Universal Asynchronous Receiver/Transmitter，简称UART)；通用型之输入输出(General-purpose input/output，简称GPIO)；通用异步收发传输器(Universal Asynchronous Receiver/Transmitter，简称UART)。

在实现本公开实施例的过程中，发现相关技术中的双CPU冗余设计只是在检测到主处理器板卡发生供电故障、生命信号丢失、输出短路或者断路反馈等故障时，可以自动切换到冗余处理器板卡，使列车能继续运行，但是，并不能保证在整个设备运行过程中数据的安全性。

图1是本公开实施例提供的处理器板卡结构示意图。如图1所示，一种处理器板卡，包括：第一处理器模块1和第二处理器模块2；其中，第一处理器模块1，包括：第一中央处理器11；第一现场可编程门阵列12，与第一中央处理器11连接；第一可变速率控制器局域网接口13，与第一中央处理器11连接；第一以太网转换芯片14，与第一现场可编程门阵列12连接；第二处理器模块2，包括：第二中央处理器21；第二现场可编程门阵列22，与第二中央处理器21连接；第二可变速率控制器局域网接口23，与第二中央处理器21连接；第二以太网转换芯片24，与第一现场可编程门阵列22连接；第一处理器模块1与第二处理器模块2，物理上隔离相互独立。这样，物理上隔离相互独立的板卡设计，满足SIL4级系统独立性的要求，可以实现操作系统的运行、功能软件的运行、通讯接口的管理和整个系统的逻辑运算，同时，将双系CPU集成在同一个处理器板卡上，节省了硬件成本，满足设备狭小空间的安装要求。

在一些实施例中，第一以太网转换芯片14或者第二以太网转换芯片24 可以使用自带以太网协议栈的PHY芯片，将SPI串行总线转换成以太网，以太网负责冗余设置的第一以太网模块和第二以太网模块间的切换或者以太网通信。本领域技术人员可以选用其他类型的芯片，只要能够实现将SPI 串行总线转换成以太网通信即可。

在一些实施例中，第一CANFD接口13和第二CANFD接口23负责与背板的CANFD总线通信，两路CANFD通过背板进行短接，第一处理器模块和第二处理器模块可以同时接收CANFD接口数据，只有第一处理器模块可以发送CANFD接口数据。需要注意的是，第一处理器模块可以是第二处理器模块，第二处理器模块也可以是第一处理器模块。

在一些实施例中，前述的处理器板卡中，第一处理器模块1，还包括：第一温度监测电路15；和/或，第二处理器模块2，还包括：第二温度监测电路25。具体包括：第一处理器模块1包括，第一温度监测电路15，第一温度监测电路15与第一中央处理器11连接，用于监测第一中央处理器11 的温度状态；或者，第二处理器模块2包括，第二温度监测电路25，第二温度监测电路25与第二中央处理器21连接，用于监测第二中央处理器21 的温度状态；或者，第一处理器模块1包括，第一温度监测电路15，第一温度监测电路15与第一中央处理器11连接，且第二处理器模块2包括，第二温度监测电路25，第二温度监测电路25与第二中央处理器21连接。这样，温度监测电路检测到CPU温度异常后，立即进入安全状态，处理器板卡在进入安全状态后，维持安全状态，只有通过重新上电或者复位后，才能脱离安全状态。

在一些实施例中，前述的处理器板卡中，第一处理器模块1，还包括：第一电压监测电路16,第一电压监测电路16与第一CPU11连接，用于监测第一CPU11的电压状态；和或，第二处理器模块2，还包括：第二电压监测电路26，第二电压监测电路26与第二CPU21连接，用于监测第二CPU21 的电压状态。具体包括：第一处理器模块1包括，第一电压监测电路16，第一电压监测电路16与第一CPU11连接，用于监测第一CPU11的电压状态；或者，第二处理器模块2包括，第二电压监测电路26，第二电压监测电路26与第二CPU21连接，用于监测第二CPU21的电压状态；或者，第一处理器模块1包括，第一电压监测电路16，第一电压监测电路16与第一 CPU连接11，用于监测第一CPU11的电压状态，且第二处理器模块2包括，第二电压监测电路26，第二电压监测电路26与第二CPU21连接，用于监测第二CPU21的电压状态。这样，通过电压或电流监控电路对电压进行监测，当CPU检测到过压或者欠压发生后，立即进入安全状态，处理器板卡在进入安全状态后，维持在安全状态中，只有通过重新上电或者复位才能脱离安全状态。

在一些实施例中，第一CPU或者第二CPU可以选用TI的 TMS570LC4357，该处理器基于Contex R5F核心，包括两个处理器核心，一个锁步核心，已通过TUA SIL3安全认证，可以增强处理器板卡的安全性。

在一些实施例中，第一处理器模块1，还包括，第一调试接口芯片17；第二处理器模块2，还包括，第二调试接口芯片27。一调试接口芯片17和第二调试接口芯27负责板卡调试，处理器接近498DMIPS的处理能力，RAM 不小于2MB，主机板面板宽度为4HP，机械尺寸为100mm×160mm。

在一些实施例中，第一CPU和第二CPU外部设置有带有时间窗的硬件看门狗。处理器板卡采用背板总线通信，通过第一CANFD接口13、第二 CANFD接口23与背板SPI总线通信，CANFD接口将输入信号用于逻辑运算，将逻辑运算结果输出，SPI总线在触发故障后将故障数据发送到记录板。第一CPU11和第二CPU21之间冗余切换。通过搭配不同的安全IO板卡可以构成各种的安全系统，对于非安全系统设计，使用本公开实施例提供的处理器板卡，也可以明显提高设备的功能安全水平。

在一些实施例中，处理器板卡设计为单块3U板卡，机械尺寸为100mm ×160mm。这样可以实现产品小型化，可以满足狭小空间的设备安装要求，扩大设备的适用范围。本公开实施例提供的处理器板卡采用二取二的安全冗余系统，支持扩展为二乘二取二的冗余安全系统。

如图1所示，在一些实施例中，第一处理器模块通过驱动与前面板的 LED连接；第一调试接口芯片17与前面板中的USB接口连接；第一以太网转换芯片14与前面板的M8接口连接；第一处理器模块还包括，第一电源电路，第一电源电路与背板的24V输入连接；第一CPU11，通过GPIO 接口与驱动连接，通过UART接口与第一调试接口芯片17连接，通过I2C 接口与第一温度监测电路15和第一电压或电流监测电路16连接，通过SPI 接口与第一CANFD13连接，通过GPIO和EMIF与第一FPGA12连接；第一CANFD13与背板的CANFD连接；第一FPGA12与背板的SPI总线通过第一隔离单元18进行物理隔离。

如图1所示，在一些实施例中，第二处理器模块通过驱动与前面板的 LED连接；第二调试接口芯片27与前面板中的USB接口连接；第二以太网转换芯片24与前面板的M8接口连接；第二处理器模块还包括，第二电源电路，第二电源电路与背板的24V输入连接；第二CPU21，通过GPIO 接口与驱动连接，通过UART接口与第二调试接口芯片27连接，通过I2C 接口与第二温度监测电路25和第二电压或电流监测电路26连接，通过SPI 接口与第二CANFD23连接，通过GPIO和EMIF与第二FPGA22连接；第二CANFD23与背板的CANFD连接；第二FPGA22与背板的SPI总线通过第二隔离单元28进行物理隔离。

如图1所示，在一些实施例中，前述的处理器板卡还包括：隔离模块3，隔离模块3与第一处理器模块1和第二处理器模块2连接。具体而言，隔离模块3与第一FPGA12连接，隔离模块3与第二FPGA22连接。第一处理器模块1和第二处理器模块2关于隔离模块3上下对称设置，前述的上下方向为图1中所示的方向。这样，使得第一处理器模块1和第二处理器模块2在物理上隔离，相互独立。

本公开实施例还提供了一种前述处理器板卡的控制方法，具体而言，是一种处理器板卡的软件设计方案，包括，处理器板卡程序运行过程中，对指令进行周期检测，检测失败，处理器板卡进入安全状态；处理器板卡程序对功能板卡的状态进行周期检测，得到检测结果，将检测结果上报应用层；处理器板卡程序对应用层程序的执行时间进行监测，执行时间超过预设时长时，处理器板卡进入安全状态；处理器板卡，接收宕机命令后宕机。其中，对指令进行周期检测，具体包括，对RAM、堆栈、寄存器和指令进行周期自检；可由应用层程序发送宕机命令，也可由平台主机检测到同一位置冗余的两系执行模块同时故障后进行宕机。

本公开实施例还提供了一种前述处理器板卡的控制方法，具体而言，是一种处理器板卡的故障处理方法，包括，处理器板卡发生非致命故障时，记录非致命故障；处理器板卡发生致命故障时，导向安全侧，记录致命故障；其中，处理器板卡进行安全计算时，以无对外数据输出为安全侧；处理器板卡进行安全通信时，以无对外通信输出，或者接收端不接收输出的数据为安全侧；处理器板卡进行安全输出时，以无输出为安全侧；处理器板卡进行安全输入时，以无输入为安全侧。

图2是本公开实施例提供的故障记录框图示意图。如图2所示，当触发故障时，CPU通过EMIF总线的地址5和地址4的最低位发送故障数据到FPGA，故障数据位宽为9bits。FPGA检测到CPU执行地址5和地址4 的写操作，则将EMIF数据总线上的数据缓存到FIFO中。FPGA实时检测 FIFO和SPI发送模块的状态，如果FIFO内存在数据且SPI发送处于空闲状态，则FPGA读出FIFO数据并通过背板SPI总线发送到记录板。一包 SPI数据只有最后一个故障数据的地址4最低位为1，记录板可以依此判断一包故障数据的结尾，因此，故障数据的长度可以由CPU根据实际应用情况自由配置。同时CPU可以通过EMIF配置FPGA的SPI通信波特率，FPGA 也会实时反馈FIFO的剩余空间大小等状态信息到CPU。

本公开实施例还提供了一种前述处理器板卡的控制方法，具体而言，是一种处理器板卡的同步表决方法，包括，对于处理器板卡获取到的数据进行同步表决，表决一致后执行；在预设时长范围内，对第一中央处理器和第二中央处理器获取到的安全数据进行比较，比较一致时，将第一中央处理器和第二中央处理器的数据重新组包后发送，比较不一致时，向应用层软件提供安全侧数据，记录故障；对于处理器板卡的控制命令，第一中央处理器和第二中央处理器进行同步表决，表决一致后执行。其中，在每个同步周期初，第一CPU和第二CPU对接收到的安全数据进行比较，1KB 数据的比较时间不大于3ms；对于待发送的外部安全数据进行比较，比较一致后每个通道把第一CPU和第二CPU的数据重新组包后进行发送，可以确保发送的数据进过表决。这样，对传递给应用层软件的数据进行比较，表决一致后再转给应用层，可以增强处理器板卡传输数据的安全性。

在一些实施例中，同步表决包括：第一中央处理器与第二中央处理器，执行同步函数进行同步；同步完成后，第一中央处理器将获取到的第一数据发送至第一现场可编程门阵列，第二中央处理器将获取到第二的数据发送至第二现场可编程门阵列后，第一现场可编程门阵列与第二现场可编程门阵列进行交叉传输；第一中央处理器，通过第一现场可编程门阵列获取来自第二现场可编程门阵列的第三数据，第一数据与第三数据一致，通过第一中央处理器将安全数据发送至其它设备；或，第二中央处理器，通过第二现场可编程门阵列获取来自第一现场可编程门阵列的第四数据，第二数据与第四数据一致，通过第二中央处理器将安全数据发送至其它设备。

图3是本公开实施例提供的同步表决数据流示意图。如图3所示，第一CPU11和第二CPU21执行同步函数，即，发‘1’收‘1’，再发‘0’收‘0’的过程，具体包括：第二FPGA22检测到第二CPU21的sync_tx_cpu 为1后，通过sync_rx输出1到第一FPGA12，当第一FPGA12检测到第一 CPU11的sync_tx_cpu和sync_rx同时为1，则输出sync_rx_cpu为1到第一 CPU11，第一CPU11完成发‘1’收‘1’的过程；同样，当第二FPGA22 检测到第二CPU21的sync_tx_cpu为0后，通过sync_rx输出0到第一 FPGA12，当第一FPGA12检测到第一CPU11的sync_tx_cpu和sync_rx同时为0，则输出sync_rx_cpu为0到第一CPU11，第一CPU11完成发‘0’收‘0’的过程。

如图3所示，在一些实施例中，在执行完同步函数后，第一CPU11通过EMIF总线将数据发送给第一FPGA12，第一FPGA12不识别地址，只识别片选信号和写使能，将所有的数据缓存到第一FIFO121中，一旦检测到第一FIFO121中有待发送数据，则将数据读出通过UART发送到另外一系的第二FPGA22中，同时会实时接收另外一系的第二FPGA22的UART数据，并将其缓存到第二FIFO122中，如果检测到EMIF的片选信号和读使能有效，则将数据从第二FIFO122中读出发送给第一CPU11，第一CPU11 通过对比发送和接收的来自另外一系的第二CPU21的数据是否一致来判断数据是否安全，在确认数据安全后，通过第一CANFD13将数据发送出去，或者将数据传输给应用层软件。

图4是本公开实施例提供的同步表决数据流程示意图。如图4所示，初始化完成后；sync_tx_cpu输出1；判断sync_rx_cpu是否为1，当 sync_rx_cpu不为1时，触发故障并发送故障数据，当sync_rx_cpu为1时， sync_tx_cpu输出0；判断sync_rx_cpu是否为0，当sync_rx_cpu不为0时，触发故障并发送故障数据，当sync_rx_cpu为0时，写EMIF数据到FPGA，从FPGA读EMIF数据，CPU判断发送与接收的数据是否一致，不一致时，触发故障并发送故障数据，一致时，安全数据通过CANFD发送或传递给应用层软件，同步表决数据流程结束。这样，处理器板卡能够对故障数据和状态数据进行记录，并能够将系统状态输出，一旦同步表决失败或者发生其他故障时，可以对故障数据进行分析，提高了系统的可维护性。

本公开实施例还提供了一种处理器板卡的控制方法，具体而言，是一种处理器板卡模块间通信的方法，包括，第一处理器板卡接收第一通信数据，第一通信数据经第一处理器板卡中的第一中央处理器和第二中央处理器安全比较后，经过优先级排序，由第一处理器板卡中的第一中央处理器，通过第一处理器板卡中的第一可变速率控制器局域网物理层发送至第二处理器板卡；第二处理器板卡，接收第一处理器板卡发送的第一通信数据，由第二处理器板卡中的第一中央处理器的平台层程序处理，第二处理器板卡中的第一中央处理器和第二中央处理器均获取第一通信数据后，将第一通信数据发送至通信数据缓冲区。这样，处理器板卡集成安全协议模块，使用该模块可以保障处理器板卡与功能模块之间的通信，能够防止通信数据重复、删除、插入、乱序、损坏和延时所引起的危害。

在一些实施例中，前述的处理器板卡模块间通信的方法，还包括，发送端将业务数据进行安全编码后，得到第一通信数据，发送端将第一通信数据发送至第一处理器板卡；接收端从通信数据缓冲区获取第一通信数据后，经过解码，得到业务数据。这样，安全协议模块具有软件应用接口，可以被应用业务软件直接调用，相比其他层次的通信保障措施，保障更加全面和彻底，无需应用层再次添加其他防护措施。

图5是本公开实施例提供的处理器板卡模块间通信的数据传输流程示意图。如图5所示，①发送端上程序调用安全协议栈，将业务数据添加时间戳等多种保障机制，经过安全编码后，得到第一通信数据；②将第一通信数据传回应用程序；③应用程序将第一通信数据传入平台通信数据缓冲区；④第一处理器板卡接收第一通信数据，经过第一CPU和第二CPU安全比较后，经过优先级排序，由第一处理器板卡的第一CPU通过CANFD物理层发送至第二处理器板卡；⑤第二处理器板卡接收第一通信数据后，由第二处理器板卡中的第一CPU的平台层程序处理，第二处理器板卡中的第一CPU和第二CPU均可以获取到第一通信数据，第二处理器板卡将第一通信数据传至通信缓冲数据区；⑥应用程序获取第一通信数据；⑦将第一通信数据经安全协议栈解码后；⑧得到业务数据。这样整个通信过程中的数据，均被保护，可以提高通信数据的安全性。

本公开实施例还提供了一种用于处理器板卡控制的装置，包括：处理器、存储器及存储在存储器上并可在处理器上运行的计算机程序，计算机程序被处理器执行时实现前述的处理器板卡的控制方法。

本公开实施例还提供了一种存储介质，存储介质存储有计算机程序，计算机程序包括程序指令，程序指令当被处理器执行时使处理器执行前述的处理器板卡的控制方法。

本公开实施例提供的处理器板卡及其对应的控制方法，可以提升车载设备在运行过程中的功能安全水平，从而保证使用该处理器板卡的车载设备在运行过程中具有较高的功能安全性。在安全控制方法上，包含了指令周期自检、模块间安全设计、故障处理策略和同步表决机制等，可以充分保证系统的数据安全和功能安全，具有良好的市场推广和应用价值。

前述内容，仅是本发明的较佳实施例，并非是对本发明作其它形式的限制，任何熟悉本专业的技术人员可能利用上述揭示的技术内容加以变更或改型为等同变化的等效实施例应用于其他领域，但是，凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所做的任何简单修改、等同变化与改型，仍属于本发明技术方案的保护范围。

Claims (10)

1.一种处理器板卡，其特征在于，包括：第一处理器模块和第二处理器模块；

其中，所述第一处理器模块，包括：

第一中央处理器；

第一现场可编程门阵列，与所述第一中央处理器连接；

第一可变速率控制器局域网接口，与所述第一中央处理器连接；

第一以太网转换芯片，与所述第一现场可编程门阵列连接；

所述第二处理器模块，包括：

第二中央处理器；

第二现场可编程门阵列，与所述第二中央处理器连接；

第二可变速率控制器局域网接口，与所述第二中央处理器连接；

第二以太网转换芯片，与所述第一现场可编程门阵列连接；

所述第一处理器模块与所述第二处理器模块，物理上隔离相互独立。

2.根据权利要求1所述的处理器板卡，其特征在于，

所述第一处理器模块，还包括：第一温度监测电路，与所述第一中央处理器连接；和/或，

所述第二处理器模块，还包括：第二温度监测电路，与所述第二中央处理器连接。

3.根据权利要求2所述的处理器板卡，其特征在于，

所述第一处理器模块，还包括：第一电压监测电路，与所述第一中央处理器连接；和或，

所述第二处理器模块，还包括：第二电压监测电路，与所述第二中央处理器连接。

4.一种如权利要求1所述的处理器板卡的控制方法，其特征在于，包括，

处理器板卡程序运行过程中，对指令进行周期检测，检测失败，所述处理器板卡进入安全状态；

所述处理器板卡程序对功能板卡的状态进行周期检测，得到检测结果，将所述检测结果上报应用层；

所述处理器板卡程序对应用层程序的执行时间进行监测，所述执行时间超过预设时长时，所述处理器板卡进入安全状态；

所述处理器板卡，接收宕机命令后宕机。

5.一种如权利要求1所述的处理器板卡的控制方法，其特征在于，包括，

所述处理器板卡发生非致命故障时，记录所述非致命故障；

所述处理器板卡发生致命故障时，导向安全侧，记录所述致命故障；

其中，所述处理器板卡进行安全计算时，以无对外数据输出为安全侧；

所述处理器板卡进行安全通信时，以无对外通信输出，或者接收端不接收输出的数据为安全侧；

所述处理器板卡进行安全输出时，以无输出为安全侧；

所述处理器板卡进行安全输入时，以无输入为安全侧。

6.一种如权利要求1所述的处理器板卡的控制方法，其特征在于，包括：

对于所述处理器板卡获取到的数据进行同步表决，表决一致后执行；

在预设时长范围内，对所述第一中央处理器和所述第二中央处理器获取到的安全数据进行比较，比较一致时，将所述第一中央处理器和所述第二中央处理器的数据重新组包后发送，比较不一致时，向应用层软件提供安全侧数据，记录故障；

对于所述处理器板卡的控制命令，所述第一中央处理器和所述第二中央处理器进行同步表决，表决一致后执行。

7.根据权利要求6所述的控制方法，其特征在于，所述同步表决包括：

所述第一中央处理器与所述第二中央处理器，执行同步函数进行同步；

同步完成后，所述第一中央处理器将获取到的第一数据发送至所述第一现场可编程门阵列，所述第二中央处理器将获取到第二的数据发送至所述第二现场可编程门阵列后，所述第一现场可编程门阵列与所述第二现场可编程门阵列进行交叉传输；

所述第一中央处理器，通过所述第一现场可编程门阵列获取来自所述第二现场可编程门阵列的第三数据，所述第一数据与所述第三数据一致，通过所述第一中央处理器将安全数据发送至其它设备；或，

所述第二中央处理器，通过所述第二现场可编程门阵列获取来自所述第一现场可编程门阵列的第四数据，所述第二数据与所述第四数据一致，通过所述第二中央处理器将安全数据发送至其它设备。

8.一种如权利要求1所述的处理器板卡的控制方法，其特征在于，包括，

第一处理器板卡接收第一通信数据，所述第一通信数据经所述第一处理器板卡中的第一中央处理器和第二中央处理器安全比较后，经过优先级排序，由所述第一处理器板卡中的第一中央处理器，通过所述第一处理器板卡中的第一可变速率控制器局域网物理层发送至第二处理器板卡；

所述第二处理器板卡，接收所述第一处理器板卡发送的第一通信数据，由所述第二处理器板卡中的第一中央处理器的平台层程序处理，所述第二处理器板卡中的第一中央处理器和第二中央处理器均获取所述第一通信数据后，将所述第一通信数据发送至通信数据缓冲区。

9.根据权利要求8所述的控制方法，其特征在于，还包括：

发送端将业务数据进行安全编码后，得到第一通信数据，发送端将所述第一通信数据发送至所述第一处理器板卡；

接收端从所述通信数据缓冲区获取所述第一通信数据后，经过解码，得到所述业务数据。

10.一种存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行如权利要求4至9中任一项所述的处理器板卡的控制方法。

Images