FI103697B - Mikroprosessoripohjainen turvajärjestelmä soveltuen erityisesti rautat iekuljetuksiin - Google Patents

Description

, 103697

MIKROPROSESSORIPOHJAINEN TURVAJÄRJESTELMÄ SOVELTUEN ERITYISESTI RAUTATIEKULJETUKSIIN

Esillä oleva keksintö liittyy mikroprosessoripohjaiseen turvajärjestelmään, joka soveltuu erityi-5 sesti rautatiekuljetuksiin, monitoroimaan ja ohjaamaan toimielimiä antureilta kerätyn tiedon funktiona, ja johon järjestelmään kuuluu ainakin kaksi mikroprosessoria, jotka käsittelevät rinnakkaisesti samaa sovellusta, joiden mikroprosessorien tulot vastaanottavat 10 dataa antureilta ja kolmas vertailumikroprosessori, joka tunnetaan valitsimena, vertailemaan tuloksia kahdelta sovellusmikroprosessorilta ja käyttämään dynaamista ohjainta sen mukaisesti hyväksyen lähtödatan lähetyksen toimielimille.

15 Esimerkiksi julkaisussa EP-A-0 496 509 on kuvattu tällaisen järjestelmän erityissovellus, joka liittyy ajoneuvojen jarrujärjestelmän valvontaan. Tämän kuvauksen mukaisessa järjestelmässä ei kolmas mikroprosessori, joka itse asiassa toimii vain eräänlai-20 sena "vertailulaitteena", kuitenkaan vertaa kahden rinnakkaisen mikroprosessorin antamia turvallisuustekijöihin liittyviä tuloksia.

Julkaisussa DE-A-3 923 773 on kuvattu toinen mikroprosessorijärjestelmän erityissovellus, joka 25 liittyy vedenlämmittimen säätöihin. Tämän kuvauksen mukaisessa järjestelmässä on vain kaksi rinnakkaista mikroprosessoria sekä kaksi kummankin mikroprosessorin ohjaamaa relettä, jotka muodostavat hyvin alkeellisen "valitsijan".

30 Tällaisia järjestelmiä ei siis voida pitää todellisina turvajärjestelminä, eikä niitä voida käyt- tää rautateiden turvalaitteina.

Kaikissa· turvallisuuteen suuntautuneissa jär-' jestelmissä ja erityisesti rautatiekuljetuksissa tur- 35 vallisuus varmistettiin viime aikoihin saakka käyttämällä komponentteja ja piirejä, jotka noudattavat 103697 .

luontaisia turvallisuus- tai vikatilanneturvallisuus-sääntöjä.

Luontainen turvallisuus perustuu fysiikan lakeihin, esim. painovoimalakiin ja täydelliseen vir-5 hemalliin. Jokaisen virheen on asetettava järjestelmä "ehkäisevään" tilaan, joka supistaa järjestelmän operatiivisia toiminnallisuuksia. Rautatiejärjestelmissä, ehkäisevä tila on yleisesti tila, joka johtaa junan pysäyttämiseen.

10 Mikroprosessorien ilmestymisen jälkeen, ne ovat alkaneet näytellä osaa turvatoimintojen tarjoamisessa. Näiden ohjelmoitujen turvajärjestelmien suunnittelu perustuu kahteen periaatteeseen, nimittäin informaation redundanssiin eli toiminnan varmistami-15 seen vian ilmaantuessa informaation koodauksella sisältäen toiminnallisten tiedon monitorointikomponent-tien lisäyksen, mikä sallii virheiden ja virhetoimintojen pitämisen turvallisena järjestelmässä ja laitteiston redundanssiin eli toiminnan varmistamiseen 20 vian ilmaantuessa sisältäen useiden rinnakkaisten tietokoneiden käytön ja tulosten vertailun laitteisto-tai ohjelmistokomponenttien avulla.

Informaatiokoodaustekniikassa käytetään vain toista mikroprosessoria, mutta jälkimmäinen työskente-25 lee redundanssitiedon parissa sisältäen toiminnallisen : osan ja koodatun osan. Tämä mahdollistaa identtisen algoritmin käytön kahdelle eri tietoerälle. Algoritmin tulostuva tunnistemerkki lähetetään vikatilanne turvalliselle pohjalle suunnitellulle ulkoiselle oh-30 jaimelle, joka tunnetaan dynaamisena ohjaimena. Jos tulostus kuuluu koodiin, ohjain saattaa koodin voimaan, mikä sallii turvallisuuslähtöjen etenemisen ulos, siis toimilaitteille. Jos näin ei käy, lähdöt hylätään ja asetetaan estotilaansa. On huomattava, 35 että suurimman osan ajasta turvallisuuslähtöihin vaikutetaan toiminnallisesti ja luetaan ja verrataan tur-\) vajärjestelmän ohjausarvoihin.

1 · 3 103697

Riippuen käytetyn koodauksen tehosta, tämä nk. 'koodausprosessori' tekniikka antaa suuremman tai pienemmän virheen tunnistamattomuustodennäköisyyden, mutta haitat ovat enimmäkseen laskenta-ajan kasvussa 5 ja monimutkaisessa ohjelmoinnissa. Toisaalta järjestelmän turvallisuus ei vaadi erityisiä teknologisia turvatoimenpiteitä, mikä mahdollistaa minkä tahansa saatavilla olevan teollisen mikroprosessorin käytön.

Laitteiston redundanssitekniikassa turvalli-10 suus varmistetaan asentamalla ainakin kaksi mikroprosessoria rinnakkain. Vertailu ja hyväksyminen toteutetaan ulkoisesti, joko yhteisellä vertailulla tai käyttäen luontaisia turvallisuustekniikoita. Sovellusohjelmisto asennetaan kahteen mikroprosessoriin, joko 15 identtisessä muodossa tai harkitussa epäsymmetrisessä esitysmuodossa.

Korkean tason turvallisuuden varmistamiseen sellaisella tekniikalla, joka tunnetaan 'kaksoispro-sessori' tekniikkana, on otettava vaiheita estämään 20 yhteismuotoiset virheet, jotka vaiheet saavat aikaan kahden tiedon prosessointijärjestelmän täydellisen riippumattomuuden, erityisesti käyttäen eri väyliä ja kaikkien laitteistoyksikköjen kopioita. Lisäksi on otettava vaiheita estämään piileviä virheitä, jotka 25 käytännössä pakottavat itsetestien ja/tai poikkitesta- uksien lisäämisen.

Mikroprosessorien synkronisointi saattaa olla herkkä asia ja turvallisuus pohjautuu näiden mikroprosessorien käyttäytymisen tuntemiseen. Toisaalta niissä 30 ei ole laskentaylikuormitusta, koska informaatiota ei koodata.

* Kuitenkin, kun vertailija suunnitellaan vika- tilanneturvalliselle pohjalle, sovellukselle osoitetun » turvallisuusohjelmiston määrä voi johtaa ehkäiseviin 35 kustannuksiin.

4 103697

Esillä olevan keksinnön kohteena on näin ollen tuoda esiin parannus tunnetun tekniikan haittapuoliin säilyttäen sen edut.

Tähän tarkoitukseen esillä oleva keksintö 5 ehdottaa mikroprosessoripohjaista turvajärjestelmää, joka on olennaisesti tunnettu siitä, että kummankin sovellusmikroprosessorin tulot ja lähdöt koodataan koodausprosessoritekniikan mukaisesti, että valitsin suorittaa, käyttäen ohjelmistoa ja suojattuna, kahden 10 sovellusmikroprosessorin koodattujen karakterististen tulosten vertailun käyttäen koodausprosessoritekniik-kaa, ja että lähtödata luetaan uudelleen suojattuna tulodatan kanssa vertailua varten.

Tämän rakenteen ansiosta, jossa vain tulo- ja 15 lähtödata koodataan, sovellus itsessään ei vaadi koo dausta kaksoisprosessoinnin ansiosta, jolloin lasken-ta-aika jää kohtuullisiin rajoihin. Lisäksi vaadittavan turvallisuusohjelmiston määrä on pieni, mahdollistaen siten koko järjestelmän kustannuksien alentami-20 sen. Lopulta, kuten tässä myöhemmin tulee selvemmin esille, sellainen järjestelmä on helppo implementoida ja se tarjoaa edelleen suuren joustavuuden.

Edullisesti, kahden sovellusmikroprosessorin välillä esiintyy viivettä, joka mahdollistaa yhteis-25 muotoisen virheen välttämisen, joka virhe aiheutuu ' esim. sähkömagneettisesta häiriöistä.

Myös edullisesti keksinnön mukainen turvajärjestelmä sisältää yksittäisen ei-varatun yleisen väylän, jonka kautta informaatio siirtyy eri mikroproses-30 sorien välillä.

Tämä tehdään mahdolliseksi sen tosiasian ansiosta, että tietoturvallisuus siirrossa varmistetaan koodaamalla ja päivittämällä.

Edelleen esillä olevan keksinnön ominaisuudet * 35 ja edut selviävät annetusta kuvauksesta, jossa viitataan liitteenä oleviin kuviin, joissa: I- i ! 5 103697 kuva 1 on lohkokaavio esittäen keksinnön mukaisen turvajärjestelmän toimintaa; ja kuva 2 on lohkokaavio esittäen tämän turvajärjestelmän fyysisen rakenteen.

5 Yleisesti ottaen kaikki turvajärjestelmät toimivat antureiden ja toimielimien pohjalta. Ne keräävät tietoa analogisista tuloista, muuttavat sen digitaaliseen muotoon, prosessoivat tätä tietoa algoritmeja käyttäen ja generoivat digitaalisia lähtöjä, 10 jotka muutetaan analogiseen muotoon toimielimien toimintojen ohjaamiseksi.

Kuvan 1 kaaviossa näemme aluksi yhden tai usean tuloanturin, kuten CP, joka antaa tulodatan DE järjestelmälle. Tämä analoginen tulodata talletetaan 15 ja koodataan analogia-digitaalimuuntimessa A/Nx ennen syöttämistä kahden sovellusmikroprosessorin P1 ja P2 tuloon, jotka on järjestetty rinnakkaiseksi ja käsittelemään samaa sovellusta. Sovellus itsessään ei vaadi koodausta kaksoisprosessoinnin vuoksi. Toisaalta tulo-20 ja lähtödata koodataan käyttäen koodausprosessoritek-• nilkkaa. Näin ollen jokaisessa prosessorissa data koodataan ja prosessoidaan. Lisäksi jokainen prosessori suorittaa sovellusta tietyllä viiveellä, minkä tarkoituksena on välttää yhteismuotoiset virheet, kuten ne, 25 jotka aiheutuvat esim. sähkömagneettisesta häiriöstä.

Tulokset, Rl ja R2, prosessoinnista, jonka jokainen prosessori P1 ja P2 on suorittanut, koodataan lopulta mainituilla prosessoreilla ennen siirtoa kolmanteen, vertailuprosessoriin P3, joka tunnetaan myös 30 'valitsimena'.

Valitsin P3 vertailee tuloksia Rl ja R2 käyttäen ohjelmistoa ja turvallisuutta (in safety) soveltamalla koodausprosessoritekniikkaa·. Koska valitsimen « tulot on koodattu kahdella prosessorilla P1 ja P2, 35 valitsimen algoritmi sisältää arvojen Rl ja R2 vertailun. Jos vertailun tulokset ovat tyydyttäviä, valitsin lähettää tunnistusmerkin S, kuvaten valitsimen oikeaa 6 103697 toimintoa, dynaamiselle ohjaimelle CD, joka on suunniteltu vikatilanneturvallisuuteen perustuen. Tämän jälkeen dynaaminen ohjain CD hyväksyy sovellusprosessori-en, kuten esitetty G:ssä toiminnallisten lähtöjen, 5 kuten s* ja Sj, yleisen lähettämisen linkin AG kautta.

Tässä tulee huomata, että vain yhden prosessorin toiminnallisia lähtöjä prosessoreista P1 ja P2 käytetään tehokkaasti. Edelleen, tilanteissa, joissa vain muutama tulos ei ole yhtäpitävä, vain vastaavat lähdöt es-10 tetään valitsimella linkkien AI kautta, kuten esitetty I:ssä.

Toiminnallisten lähtöjen Si ja s, digitaalinen data muunnetaan analogiseksi lähtödataksi digitaali-analogiamuuntimessa N/A toimielimien, kuten ACT, toi-15 minnan ohjaamiseksi. Edelleen tämän lähtödatan DS muunnoksen tulos toisessa analogia-digitaalimuunti-messa A/N2 luetaan uudelleen ja verrataan alkuperäiseen laskettuun dataan, kuten esitetty linkillä RL, sallien näin turvallisuuden monitoroinnin.

20 Nyt seuraa vielä yksityiskohtaisempi kuvaus esillä olevan keksinnön toiminnasta ja eduista viitaten erityisesti kuvaan 2, joka kaaviomaisesti esittää keksinnön mukaisen turvajärjestelmän fyysistä rakennetta.

25 Aluksi tämä kuva esittää kolme prosessoria : PI, P2 ja P3, jotka on yhdistetty yhteisellä ei- varatulla ja standardisoidulla väylällä, jonka kautta kaikki tieto eri modulien välillä kulkee muodostaen turvajärjestelmän. Tällä väylällä ei, itse asiassa, 30 ole mitään tiettyjä turvallisuusrajoitteita, koska sen kautta kulkevan tiedon turvallisuus varmistetaan koodaamalla ja päivittämällä.

Tämän · jälkeen kuvassa näkyy tulo-/lähtökytkin E/S, jonka kautta tulodata DE ja lähtöda- » 35 ta DS siirtyy. Se on, itse asiassa, olennainen tuloille, joista dataa kerätään yhtenä kokonaisuutena, var- ^ mistamaan, että sovellusprosessorit P1 ja P2 suoritta- i S r il 103697 7 vat prosessointinsa samoista tuloista. Nämä tulot kerätään koodatussa muodossa, käyttäen koodausprosesso-ritekniikkaa, ja tuodaan sovellusprosessorien P1 ja P2 saataville väylään B liitettyyn kaksoissaantimuistiin 5 DMA. Transmissiovaiheen läpi (kytkin, väylä, sarjaportti) turvallisuustieto suojataan koodaamalla.

Kun data on kerätty, kaksi sovellusprosesso-ria P1 ja P2 aktivoidaan ottaen huomioon tietty viive. Kumpikin prosessori lukee kaksoissaantimuistista DMA 10 kerätyt tulot ja saattaa ne voimaan yksi kerrallaan. Kun ne on saatettu voimaan, tuloja käytetään niiden ei-koodatussa muodossa prosessointitarkoituksiin. Sovelluksen käynnistyksen suorittamisen jälkeen jokainen prosessori laskee lähtönsä ja valmistaa tuloksensa, 15 jotka on koodattu käyttäen koodausprosessoritekniik-kaa.

Fyysiseen lähtöön vaikutetaan yhdellä kahdesta prosessorista P1 ja P2 tulo-/lähtökytkimen E/S kautta, kun jokaisen prosessorin prosessoinnin tulok-20 set Rl ja R2 on annettu valitsimelle, muotoiltu valitsimella P3 kaksoissaantimuistille MDA koodatussa ja päivitetyssä muodossa. Lisäksi kumpikin prosessori P1 ja P2 ajaa oman itsetestin, jonka tulokset integroidaan tuloksiin Rl ja R2 ja annetaan valitsimelle P3.

25 Kaksoisprosessoriarkkitehtuurin turvallisuus : " riippuu ensisijaisesti P1 ja P2 yhteismuodon puuttumi sessa. Johtuen tosiasiasta, että vertailu suoritetaan lähdöissä, on suunnittelijoilla huomattava joustavuuden antama etu moduulien P1 ja P2 suunnittelussa. Tämä 30 voi vaihdella kahden identtisen ohjelmiston olemisesta kahdella identtisellä painopiirilevyllä kahden eri - * ohjelmiston olemiseen kahdella eri laiteyksiköllä.

Valitsin P3 kerää tulokset Rl Pl:stä ja R2 . P2:sta ja vertaa niitä, kaksi kerrallaan, käyttäen 35 soveltuvia toimenpiteitä koodausprosessoritekniikan mukaisesti koodatulla datalla. Ohjelmiston vertailu-toiminnan suorittaminen kytkee vastaavuustarkistuksen « 103697 8 päälle lähdöissä ja/tai jokaisen lähdön suodatuksen. Näin ollen suunnittelijat hyötyvät valitsimen suunnittelun huomattavasta joustavuudesta ja voivat tarjota lähtöjen osittaisen eston, joka sallii näiden ulostu-5 lojen uudelleen konfiguroinnin kun niitä monistetaan. Lisäksi valitsin monitoroi turvallisuudessa (in safety) kaksoisprosessoriarkkitehtuurin oikeaa toimintaa, joka tarkoittaa viivettä ja itsetestien tuloksia.

Valitsimen P3 vertailulogiikka asennetaan 10 prosessorin painopiirilevylle, joka voi olla identti nen kaksoisprosessoriarkkitehtuurin painopiirilevyjen kanssa ja vertailutoiminnan turvallisuus varmistetaan käyttämällä informaatiokoodaustekniikkaa. Toiminta saatetaan voimaan lähettämällä tunnistemerkki S, joka 15 lasketaan valitsimella ja joka kuvaa valitsimen oikeaa toimintaa, dynaamiselle ohjaimelle CD. Lisäksi tätä tunnistemerkkiä S pidetään liikkuvana nk. virkistys-tiedolla, joka käynnistyy ajoittain. Dynaaminen ohjain CD, joka on suunniteltu vikatilanneturvallisuuspohjal-20 ta, saattaa näin ollen voimaan, toisaalta, tunniste- merkin sinällään, varmistaen näin valitsimen oikean toiminnan.

Tämän jälkeen dynaaminen ohjain CD hyväksyy lähtöjen yleislähetyksen väylään B liitetyn moduulin A 25 kautta, joka moduuli A hyväksyy lähtöjen yksilöllisen : 1 lähettämisen valitsimen antaman informaation funktio na. Toisin sanoen osittaisen vastaamattomuuden tapauksissa tulosten Rl ja R2 välillä, vain eroavat lähdöt estetään tai asetetaan rajoitettuun tilaan. Valitsimen 30 virhetoimintatilanteissa, kaikki lähdöt sovelluksessa asetetaan, tietenkin, rajoitettuun tilaan. Jos tarpeellista, saatavuuden parantamiseksi, voidaan valitsin itsessään tarjota toistettavaksi.

Näin ollen on selvää lopullisessa analyysis-35 sä, että esillä olevan keksinnön mukainen turvajärjes- ί ί telmä tarjoaa erittäin huomattavan joustavuuden ja ' mahdollistaa haluttujen turvavaatimusten täyttämisen * ; i 103697 9 kohtuullisin kustannuksin ja kohtuullisella laskenta-ajalla.

On huomattava, erityisesti, että sellainen arkkitehtuuri tekee helpoksi keksinnön laajentamisen 5 monimutkaisemmaksi rakenteeksi, joka sisältää useamman kuin kaksi sovellusprosessoria. Valitsimen ohjelmisto voi tällöin, ilman lisälaitteita, tarjota enemmistölo-giikan n:lle prosessorille p:stä prosessorista. Toisin sanoen n:n prosessorin ainakin pistä prosessorista 10 tulee· saada sama tulos voimaan saatettavaan turvaläh-töön. Sanomattakin on selvää, että tässä tapauksessa valitsimen ohjelmisto voidaan asentaa yhteen sovellus-prosessoreista.

« 0 9 1

Claims (7)

10 103697

1. Mikroprosessoripohjainen turvajärjestelmä, joka soveltuu erityisesti rautatiekuljetuksiin, monitoroimaan ja ohjaamaan toimielimiä (ACT) antureilta 5 (CP) kerätyn tiedon funktiona ja johon järjestelmään kuuluu ainakin kaksi mikroprosessoria (PI, P2) , jotka käsittelevät rinnakkaisesta samaa sovellusta, joiden mikroprosessorien tulot vastaanottavat dataa (DE) antureilta (CP) ja kolmas vertailumikroprosessori (P3) , 10 joka tunnetaan valitsimena, vertailemaan tuloksia (Rl, R2) kahdelta sovellusmikroprosessorilta (PI, P2) ja käyttämään dynaamista ohjainta (CD) sen mukaisesti hyväksyen lähtödatan (DS) lähetyksen toimielimille (ACT), tunnettu siitä, että kummankin sovellus-15 mikroprosessorin tulot ja lähdöt koodataan koodauspro-sessoritekniikan mukaisesti, että valitsin suorittaa, käyttäen ohjelmistoa ja suojattuna, kahden sovellus-mikroprosessorin (PI, P2) koodattujen karakterististen tulosten (Rl, R2) vertailun käyttäen koodausprosesso-20 ritekniikkaa, ja että lähtödata (DS) luetaan uudelleen suojattuna tulodatan (DE) kanssa vertailua varten.

2. Patenttivaatimuksen 1 mukainen turvajärjestelmä, tunnettu siitä, että kahden sovellus-mikroprosessorin (PI, P2) välille on järjestetty vii- 2. ve.

* ’ 3. Patenttivaatimuksen 1 tai 2 mukainen tur vajärjestelmä, tunnettu siitä, että järjestelmä sisältää yksittäisen ei-varatun väylän (B), jonka kautta informaatio siirtyy eri mikroprosessorien (Pl,

30 P2, P3) välillä.

4. Jonkin patenttivaatimuksista 1-3 mukai-• * nen turvajärjestelmä, tunnettu siitä, että valitsin (P3) sisältää algoritmin mahdollistaen kahden so-vellusmikroprosessorin (PI, P2) tulosten (Rl, R2) ver-35 tailun lisäksi eri ulostulojen suodattamisen ja vas-|j taavuustarkastusten suorittamisen, j V « 103697 11

5. Patenttivaatimuksen 4 mukainen turvajärjestelmä, tunnettu siitä, että valitsimen (P3) algoritmi mahdollistaa osittaisen eston tilanteissa, joissa vain tietyt tulokset eivät vastaa toisiaan.

6. Jonkin patenttivaatimuksista 1-5 mukai nen turvajärjestelmä, tunnettu siitä, että järjestelmään kuuluu enemmän kuin kaksi sovellusprosesso-ria (PI, P2) , valitsimen (P3) tarjotessa enemmistölo-giikan n:lie prosessorille p:stä prosessorista.

7. Patenttivaatimuksen 6 mukainen turvajär jestelmä, tunnettu siitä, että valitsimen ohjelmisto on asennettu mihin tahansa sovellusprosessoreis-ta. * 9 9 m 9 103697 12