CN215268308U

CN215268308U - 一种极高可靠性二取二数据通信板卡

Info

Publication number: CN215268308U
Application number: CN202121967149.9U
Authority: CN
Inventors: 李睿智
Original assignee: Beijing Saishu Technology Co ltd; University of Science and Technology Beijing USTB
Current assignee: Beijing Saishu Technology Co ltd; University of Science and Technology Beijing USTB
Priority date: 2021-08-20
Filing date: 2021-08-20
Publication date: 2021-12-21
Anticipated expiration: 2031-08-20

Abstract

本实用新型公开了一种极高可靠性二取二数据通信板卡，包括电源电路、背板通信电路、二取二架构电路、外部通信通道电路和状态输入输出电路，电源电路用于为通信板卡供电；背板通信电路包括两路CAN总线模块，每路两路CAN总线模块包括与CAN总线连接的电磁防护模块、两个CAN隔离收发器，并分别连接安全CPU‑A以及安全CPU‑B；二取二架构电路在安全CPU‑A和安全CPU‑B之间设置隔离电阻；外部通信通道电路包括两路光通信通道；状态输入输出电路包括状态CPU以及前面板LED指示灯电路，状态CPU分别连接安全CPU‑A以及安全CPU‑B。本实用新型能够提供基于CAN‑光‑CAN通信的超远距离、高可靠性的数据传输通道。

Description

一种极高可靠性二取二数据通信板卡

技术领域

本实用新型涉及数据通信板卡技术领域，特别是涉及一种极高可靠性二取二数据通信板卡。

背景技术

在轨道交通通信系统设计过程中，通常会用到各种各样的通信接口，如常用的串口、CAN以及以太网等，而且，每一种接口均可能存在多路同时使用的情况。当遇到多种或多路接口同时使用的情况时，单张板卡拥有的接口就无法满足需求，需要在设备内增加通信板卡数量，来满足通信接口种类及数量上的需求。传统的通信板卡通常使用单取架构，在遇到系统内部数据异常、帧错位等威胁时，无法进行有效的识别和矫正，通信可靠性和安全性不高。基于以上问题，迫切需要开发一种高安全、高可靠的数据通信板卡。

实用新型内容

本实用新型的目的是提供一种极高可靠性二取二数据通信板卡，能够提供基于CAN-光-CAN通信的超远距离数据传输通道，提供高可靠性的安全数据传输。

为实现上述目的，本实用新型提供了如下方案：

一种极高可靠性二取二数据通信板卡，包括电源电路、背板通信电路、二取二架构电路、外部通信通道电路和状态输入输出电路，所述电源电路包括主电源、备用电源、电源切换模块、安全电源接口模块以及非安全电源接口模块，所述主电源、备用电源分别连接到电源切换模块，所述电源切换模块与安全电源接口模块以及非安全电源接口模块连接；

所述背板通信电路包括两路CAN总线模块，分别为CAN-A总线模块以及CAN-B总线模块，所述CAN-A总线模块包括与CAN-A总线连接的第一电磁防护模块、两个CAN隔离收发器，所述第一电磁防护模块通过两个CAN隔离收发器分别连接安全CPU-A以及安全CPU-B；所述CAN-B总线模块包括与CAN-B总线连接的第二电磁防护模块、两个CAN隔离收发器，所述第二电磁防护模块通过两个CAN隔离收发器分别连接安全CPU-A以及安全CPU-B；

所述二取二架构电路包括安全CPU-A、安全CPU-B以及设置在安全CPU-A和安全CPU-B之间的隔离电阻；

所述外部通信通道电路包括两路光通信通道，分别为外部光通信-A通道、外部光通信-B通道，所述外部光通信-A通道包括依次连接的第一串口转隔离RS422模块、光通信转换器-A以及外部光通信-A，所述第一串口转隔离RS422模块与所述安全CPU-A连接；所述外部光通信-B通道包括依次连接的第二串口转隔离RS422模块、光通信转换器-B以及外部光通信-B，所述第二串口转隔离RS422模块与所述安全CPU-B连接；

所述状态输入输出电路包括状态CPU以及前面板LED指示灯电路，所述前面板LED指示灯电路连接状态CPU，所述状态CPU分别连接安全CPU-A以及安全CPU-B；

所述安全电源接口模块与背板通信电路、二取二架构电路、外部通信通道电路连接，用于为所述背板通信电路、二取二架构电路、外部通信通道电路供电；所述非安全电源接口模块与状态输入输出电路连接，用于为所述状态输入输出电路连接。

进一步的，所述第一串口转隔离RS422模块与所述第二串口转隔离RS422模块之间设置有第三电磁防护模块。

进一步的，所述主电源与电源切换模块之间设置有电磁防护模块A，所述备用电源与电源切换模块之间设置有电磁防护模块B。

进一步的，所述第一电磁防护模块、第二电磁防护模块、第三电磁防护模块均由滤波电容、TVS管构成。

进一步的，所述第一串口转隔离RS422模块还与所述安全CPU-B连接，所述第二串口转隔离RS422模块与所述安全CPU-A连接。

进一步的，所述状态CPU还连接有拨码开关电路。

根据本实用新型提供的具体实施例，本实用新型公开了以下技术效果：本实用新型提供的极高可靠性二取二数据通信板卡，电源电路采用冗余电源输入，电源输入分为主备，电源模块根据电源情况自动进行主备电源切换，当主备电源均可用时，采用主电源作为供电电路，当主电源发生故障时，自动切换到备电源进行供电；采用背板CAN作为设备内部通信链路，背板设置两路CAN总线，每次收发数据，两路背板CAN同时收发相同数据，主从CPU同时向两路CAN总线收发数据，两CPU将收到或将要发出的数据进行合并后，通过二取二部分进行比较，比较确认数据一致，则进行收发操作；基于CAN-光-CAN通信的超远距离数据传输通道，并设置有多处的电磁防护模块，防止由于室外电磁环境影响导致的数据错误；状态输入输出电路部分主要负责对系统状态显示和采集；综上，本实用新型提供高可靠性的安全数据传输，在出现故障、数据不一致、数据逻辑不满足时，保障通信系统导向安全侧，确保通信的持续性和可靠性。

附图说明

为了更清楚地说明本实用新型实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本实用新型的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本实用新型电源电路的结构示意图；

图2为本实用新型背板通信电路的结构示意图；

图3为本实用新型二取二架构电路的结构示意图；

图4为本实用新型外部通信通道电路的结构示意图；

图5为本实用新型状态输入输出电路的结构示意图；

图6为本实用新型实施例受控任务调度流程图；

图7为本实用新型二取二对比逻辑流程图；

图8为本实用新型安全数据交互逻辑图。

具体实施方式

下面将结合本实用新型实施例中的附图，对本实用新型实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本实用新型一部分实施例，而不是全部的实施例。基于本实用新型中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本实用新型保护的范围。

为使本实用新型的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本实用新型作进一步详细的说明。

如图1和图5所示，本实用新型提供的极高可靠性二取二数据通信板卡，包括电源电路、背板通信电路、二取二架构电路、外部通信通道电路和状态输入输出电路，所述电源电路包括主电源、备用电源、电源切换模块、安全电源接口模块以及非安全电源接口模块，所述主电源、备用电源分别连接到电源切换模块，所述电源切换模块与安全电源接口模块以及非安全电源接口模块连接；所述主电源与电源切换模块之间设置有电磁防护模块A，所述备用电源与电源切换模块之间设置有电磁防护模块B；其中所述主电源为图1中的外部电源A，所述备用电源为外部电源B；

板卡内部将用电器划分为安全用电器和非安全用电器，两类采用独立电源进行供电，防止非安全应用的故障影响安全外设，提高系统可用性。系统安全外设包括：安全CPU(主从两例)，安全通信部分电路(1、2两通道)。系统非安全外设包括：状态CPU，指示灯部分电路，板卡ID设置电路。电源电路部分根据外设种类和供电需求，将外部输入的电源转换为对应电压。在电路连接上，不同电源分区外设连接时，均采用光耦进行物理隔离，防止由于电源故障引起的共因失效，主从安全CPU之间采用两个独立电源通道供电，防止由于电源失效导致的主从安全CPU同时失效。所述安全电源接口模块与背板通信电路、二取二架构电路、外部通信通道电路连接，用于为所述背板通信电路、二取二架构电路、外部通信通道电路供电；所述非安全电源接口模块与状态输入输出电路连接，用于为所述状态输入输出电路连接。

如图2所示，所述背板通信电路包括两路CAN总线模块，分别为CAN-A总线模块以及CAN-B总线模块，所述CAN-A总线模块包括与CAN-A总线连接的第一电磁防护模块、两个CAN隔离收发器，所述第一电磁防护模块通过两个CAN隔离收发器分别连接安全CPU-A以及安全CPU-B；所述CAN-B总线模块包括与CAN-B总线连接的第二电磁防护模块、两个CAN隔离收发器，所述第二电磁防护模块通过两个CAN隔离收发器分别连接安全CPU-A以及安全CPU-B；板卡采用背板CAN作为设备内部通信链路，背板设置两路CAN总线，每次收发数据，两路背板CAN同时收发相同数据，主从CPU同时向两路CAN总线收发数据，两CPU将收到或将要发出的数据进行合并后，通过二取二部分进行比较，比较确认数据一致，则进行收发操作。背板通信电路模块对背板CAN总线进行隔离接收，防止由于外部CAN总线故障影响本板安全工作。背板通信电路模块提供滤波电容、TVS管等电磁防护，防止由于外部浪涌等电磁干扰影响本板安全工作。

如图3所示，所述二取二架构电路包括安全CPU-A、安全CPU-B以及设置在安全CPU-A和安全CPU-B之间的隔离电阻；板卡采用二取二架构，两个安全CPU将收到的背板CAN消息、发出的背板CAN消息、收到的站间安全消息、发出的站间安全消息均进行二取二校验，只有当二取二校验通过后，相应的消息才进入运算逻辑，连续出现多次二取二校验失败时，系统进入导向安全状态，停止收发消息，板卡宕机，上报板卡故障。安全CPU-A、安全CPU-B作为主从安全CPU间采用电阻对电路进行隔离，防止由于一侧电源故障影响另一侧正常运行。

如图4所示，所述外部通信通道电路包括两路光通信通道，分别为外部光通信-A通道、外部光通信-B通道，所述外部光通信-A通道包括依次连接的第一串口转隔离RS422模块、光通信转换器-A以及外部光通信-A，所述第一串口转隔离RS422模块与所述安全CPU-A连接；所述外部光通信-B通道包括依次连接的第二串口转隔离RS422模块、光通信转换器-B以及外部光通信-B，所述第二串口转隔离RS422模块与所述安全CPU-B连接；所述第一串口转隔离RS422模块与所述第二串口转隔离RS422模块之间设置有第三电磁防护模块。所述第一串口转隔离RS422模块还与所述安全CPU-B连接，所述第二串口转隔离RS422模块与所述安全CPU-A连接。

板卡外部通信通道采用光通信，板卡同时处理两个光通道数据。在数据发送时，通信通道电路将安全CPU送出的串行通信数据转换为隔离RS422总线形式，并将其传输到光电转换单元进行发送。在数据接收时，光电转换单元将光信号转换为隔离RS422总线数据，通信通道电路将隔离422总线数据转换为串行数据，发送给安全CPU进行处理。外部通信通道电路通过隔离RS422将CPU部分和通信收发部分进行电路隔离，防止故障互相影响，同时，电路对光通信模块提供滤波电容和TVS保护电路，防止浪涌或静电等电磁干扰影响系统安全。在数据处理时，主从CPU同时收发数据，进行对比和处理。

如图5所示，所述状态输入输出电路包括状态CPU以及前面板LED指示灯电路，所述前面板LED指示灯电路连接状态CPU，所述状态CPU分别连接安全CPU-A以及安全CPU-B；所述状态CPU还连接有拨码开关电路。状态输入输出电路部分主要负责对系统状态显示和采集，电路通过板内CAN通信和主从安全CPU进行数据交换。状态输入电路包括：板卡ID、板卡故障状态，状态输出电路包括：前面板LED指示灯电路。状态输入输出电路用于处理系统非安全功能(即故障不对本身业务逻辑影响)。

其中，所述第一电磁防护模块、第二电磁防护模块、第三电磁防护模块均由滤波电容、TVS管构成。

数据通信板卡硬件软件设计主要包含：可控任务调度系统、安全通信站间信息校验、安全通信校验、二取二对比系统和状态输入输出系统。

软件采用受控任务调度系统，系统核心任务包括，板内通信任务、板间通信任务、站间通信任务、系统状态监测任务，任务在创建时进行注册，任务调度系统根据任务参数对任务进行调度，任务主要分为数据任务和定时任务，定时任务定时触发，数据任务当有新的数据到达时受调度触发。任务调度系统依据系统粒度，可以自由的设置调度周期，具体调度流程图6所示。通过可控任务调度系统，可以有效控制任务执行，保证所有安全任务能在调度周期内运行完毕，在出现超出运算能力导致的超时情况下，也能有效的采集到系统的异常状态，控制板卡进行保护性输出，不产生任何非安全侧输出。

软件对板间通信、站间通信均进行安全信息校验。

通信协议防护：系统在通信协议层添加消息发送世界时信息，对消息超时故障做出防护，防止由于通信信道故障引起的非安全动作，系统在通信协议层添加消息发送序号，对消息重复、乱序、插入等故障做出防护，防止由于收发器故障导致的非安全动作。

站间信息防护：由于站间信息存在耦合逻辑，例如：事件A发生的条件是，条件B、条件C，板卡在收到全部站间信息后，会对站间信息进行解析和逻辑判断，事件和条件无法匹配，则向上级上报站间消息数据异常，在板卡内部消除可能存在的非安全消息输出。

例如：安全条件A+安全条件B＝安全动作C，则判定逻辑如表1所示。

表1

收到安全条件A	收到安全条件B	收到安全动作C	发出安全动作C输出
				符合	符合	符合	输出
符合	符合	不符合	不输出
				符合	不符合	符合	不输出
不符合	符合	符合	不输出

系统通信协议采用高可靠性通信协议，通信分为3个阶段，发起握手、握手响应、安全通信。

通信协议为点对点模式，接收方进入发起握手阶段，向发送方发送握手指令。发送方收到握手指令后，回复握手响应指令，确认握手状态，然后发送方进入安全通信状态，持续固定周期的安全通信。

安全通信协议包含帧序号、时间戳、源标识、目标标识、帧类型等数据，接收方在收到数据后，会对所有字段进行校验，如果任意字段出现异常，则安全通信失效，重新进入握手状态。

安全通信协议采用双路冗余CRC32，使用两种异构的CRC32校验，构成帧的CRC64校验，确保帧内部数据完整。

如表2所示报文结构及功能。

表2

系统通过对主从CPU接收的数据进行对比，确保主从CPU使用的数据正确。主从CPU对比使用SPI通道作为物理链路。

参与对比的数据分为两类：状态数据和消息数据。系统给状态数据划分独立的存储区域，定时对数据进行循环对比，由于数据区较大，每次对比仅对比一部分，循环完成全部状态数据的对比，确定当前系统保有的状态数据一致。对于消息类数据，系统在收到新的消息时，会立刻发起主从对比，对比两者收到的消息是否一致，消息一致则此消息有效，消息不一致，则消息无效。

如图7所示，二取二对比逻辑由主CPU进行控制，即主CPU控制二取二对比开始、二取二对比结果判断。

系统需要对板内状态数据进行采集和控制，采集的状态包括板卡ID状态，控制的数据包括前面板LED状态、系统故障SD卡记录。安全CPU与状态输入输出系统通过板内CAN总线进行连接，主从CPU可以直接访问状态输入输出系统，对其进行控制，完成功能。

在上述系统的共同协作下，系统的数据处理流程如下。

系统启动后，所有外来数据均送入待对比数据区，系统会定时对待对比区域的数据进行主从对比，主从对比后的待对比外来数据，转换为安全外来数据，存储于安全数据区。

系统启动后，所有运算条件均来自安全数据区，运算结果生成后，先送入待对比数据区等待主从运算结果对比，系统会定时对待对比区域的数据进行主从对比，主从对比后的待对比运算结果，转换为安全运算结果，存储于安全数据区。

安全数据交互逻辑图如图8所示。系统从安全数据区取得安全输出数据后，向目标对象(其他板卡或状态显示模块)进行数据发送。系统发送过程为完全托管，不涉及安全信息处理，因此不做安全辩证。

通信板卡可以提供多种安全措施，用以保护系统安全完整运行。

内存校验：系统定期对内存数据完整性进行校验，在每次操作内存数据时，对应修改相应的校验码，进行内存校验时，系统读取全部内存数据，生成对应的校验字，与操作生成的校验码进行对比，如果校验不通过，则判定系统内存异常，系统进入宕机状态，并上报系统故障。

系统运行状态监控：系统使用任务调度方式进行多任务并行处理，在任务调度时，系统同步监测任务完成情况，在单位时间内，如果发现系统运行时间超出预期，即系统任务存在超时情况，则判定系统运行时异常，系统进入宕机状态，并上报系统故障。

系统时钟状态监控：系统通过双CPU进行时钟状态校验，双CPU工作在相同时钟频率下，以相同的周期触发对方的外部中断，同时检测自身外部中断触发情况，自身输出异常或对方外部中断触发异常，则判定系统时钟状态异常，系统进入宕机状态，并上报系统故障。

站间通信时序安全校验：安全通信领域面临的威胁包括但不限于重复(相同消息重复接收)、丢包(丢失消息)、插入(消息未按发出顺序到达)、错序(消息未按发出顺序到达)、错码(消息内容发生跳变)、延迟(消息从发送到到达的时间过程)等。板卡在运行过程中，除了要面对由于系统问题和环境问题产生的威胁外，还要面对由于主动入侵带来的系统威胁，这种外部的威胁带来的危害程度是远远高于内部故障导致的威胁的，因此，系统在使用通用的哈希链(或LSFR)算法进行防护时，还采用了全新的混淆算法，混淆过程包括：位置变换(行列位移)、字节替代、数值操作。板卡使用者可以依据自身需求，修改混淆过程的顺序、类型和轮次，参与加密的校验字长达16字节即64位，且当前校验字与时序相关，即此校验字仅在此时刻存在意义，其他时刻均失效，因此，校验字破解的概率为1/2⁶⁴，只需保证发送方和接收方维护相逆的加密和解密流程，即可保证板卡数据不受外部入侵影响，提升板卡安全性能。

背板通信安全校验：系统背板采用CAN通信，对于CAN消息，系统采用源ID+目标ID+消息类型的方式，定位数据流向和消息功能，在CAN消息发送时，同样面对消息重复、丢包等威胁，但是CAN消息的payload较小(8字节)，因此引入消息序号(1字节)和时间戳(1字节)作为背板安全防护机制，消息序列号每次发送时自动增加，时间戳每500ms自动增加，在收到消息时，要检测对应消息的序列号和时间是否符合相应规则。

本实用新型提供的极高可靠性二取二数据通信板卡，电源电路采用冗余电源输入，电源输入分为主备，电源模块根据电源情况自动进行主备电源切换，当主备电源均可用时，采用主电源作为供电电路，当主电源发生故障时，自动切换到备电源进行供电；采用背板CAN作为设备内部通信链路，背板设置两路CAN总线，每次收发数据，两路背板CAN同时收发相同数据，主从CPU同时向两路CAN总线收发数据，两CPU将收到或将要发出的数据进行合并后，通过二取二部分进行比较，比较确认数据一致，则进行收发操作；基于CAN-光-CAN通信的超远距离数据传输通道，并设置有多处的电磁防护模块，防止由于室外电磁环境影响导致的数据错误；状态输入输出电路部分主要负责对系统状态显示和采集；综上，本实用新型提供高可靠性的安全数据传输，在出现故障、数据不一致、数据逻辑不满足时，保障通信系统导向安全侧，确保通信的持续性和可靠性。

本文中应用了具体个例对本实用新型的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本实用新型的方法及其核心思想；同时，对于本领域的一般技术人员，依据本实用新型的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本实用新型的限制。

Claims

1.一种极高可靠性二取二数据通信板卡，其特征在于，包括：电源电路、背板通信电路、二取二架构电路、外部通信通道电路和状态输入输出电路，所述电源电路包括主电源、备用电源、电源切换模块、安全电源接口模块以及非安全电源接口模块，所述主电源、备用电源分别连接到电源切换模块，所述电源切换模块与安全电源接口模块以及非安全电源接口模块连接；

所述安全电源接口模块分别与背板通信电路、二取二架构电路、外部通信通道电路连接，用于为所述背板通信电路、二取二架构电路、外部通信通道电路供电；所述非安全电源接口模块与状态输入输出电路连接，用于为所述状态输入输出电路连接。

2.根据权利要求1所述的极高可靠性二取二数据通信板卡，其特征在于，所述第一串口转隔离RS422模块与所述第二串口转隔离RS422模块之间设置有第三电磁防护模块。

3.根据权利要求1所述的极高可靠性二取二数据通信板卡，其特征在于，所述主电源与电源切换模块之间设置有电磁防护模块A，所述备用电源与电源切换模块之间设置有电磁防护模块B。

4.根据权利要求2所述的极高可靠性二取二数据通信板卡，其特征在于，所述第一电磁防护模块、第二电磁防护模块、第三电磁防护模块均由滤波电容、TVS管构成。

5.根据权利要求1所述的极高可靠性二取二数据通信板卡，其特征在于，所述第一串口转隔离RS422模块还与所述安全CPU-B连接，所述第二串口转隔离RS422模块与所述安全CPU-A连接。

6.根据权利要求1所述的极高可靠性二取二数据通信板卡，其特征在于，所述状态CPU还连接有拨码开关电路。