PL174598B1 - Sposób kontroli poprawności transmisji danych, zwłaszcza w układach sterowania stosowanych w transporcie kolejowym - Google Patents

Abstract

1. Sposób kontroli poprawnosci transmisji danych, zwlaszcza w ukladach sterowania stosowanych w transporcie kolejowym, w którym monitoruje sie i steruje uklady wykonawcze w funkcji danych wej- sciowych pochodzacych z czujników, przy czym dane wejsciowe przetwarza sie równolegle za pomoca co najmniej dwóch mikroprocesorów, a sygnaly wyniko- we tych mikroprocesorów przetwarzania porównuje sie za pomoca trzeciego mikroprocesora zwanego weryfikatorem i potwierdza sie transmisje danych wyjsciowych do ukladów wykonawczych za pomoca sterowanego przez weryfikator kontrolera dynamicz- nego, znamienny tym, ze dane wejsciowe i dane wyjsciowe mikroprocesorów przetwarzania (P1 , P2) koduje sie, zgodnie z technika kodowania procesoro- wego, a sygnaly wynikowe (R1 , R2) mikroproceso- rów przetwarzania (P1 , P2), zakodowane zgodnie z technika kodowania procesorowego, porównuje sie dla bezpieczenstwa za pomoca weryfikatora (P3), przy czym dane wyjsciowe (DS) odczytuje sie wste- cznie i porównuje z danymi wejsciowymi (DE). FIG. 1 PL

Description

Przedmiotem wynalazku jest sposób kontroli poprawności transmisji danych, zwłaszcza w układach sterowania stosowanych w transporcie kolejowym, dla kontrolowania i sterowania układów wykonawczych w zależności od danych dostarczanych przez czujniki.

Dotychczas znane sposoby zabezpieczania prawidłowej transmisji danych, w szczególności w transporcie kolejowym, realizowane są za pomocą elementów i obwodów spełniających zasady bezpieczeństwa wewnętrznego.

Ochrona wewnętrzna opiera się na prawach fizyki, np. grawitacji, oraz na modelu awarii wyłączającej. Każda awaria wprowadza system w stan ograniczonego działania. W systemach kolejowych stan ograniczenia działania oznacza zazwyczaj spowodowanie zatrzymania pociągu.

Ostatnio w realizacji funkcji zabezpieczających stosuje się mikroprocesory. Koncepcja programowanych sposobów zabezpieczania bazuje na dwóch głównych zasadach: redundacji informacyjnej poprzez kodowanie informacji, składającej się z danych operacyjnych, oraz zespołów sterujących, które umożliwiają wykrywanie błędów i złego funkcjonowania systemu, oraz redundacji sprzętowej, realizowanej poprzez równoległe zastosowanie licznych jednostek liczących i wykonywanie porównań wyników obliczeń za pomocą jednostek sprzętowych lub przez oprogramowanie.

174 598

W technice kodowania informacji stosuje się tylko jeden mikroprocesor, który pracuje na powielanych informacjach, składających się z części danych i z części sterującej. Pozwala to na zastosowanie algorytmu podwojonego na dwóch różnych informacjach. Wynik końcowy algorytmu jest przesyłany do kontrolera zewnętrznego będącego częścią ochrony wewnętrznej, zwanego kontrolerem dynamicznym. Jeśli wynik należy do kodu, to jest uznawany za ważny przez kontroler, który zarządza wyjściami bezpieczeństwa wyprowadzonymi na zewnątrz, tj. do układów wykonawczych. W przeciwnym przypadku, wyjścia te są unieważniane i wprowadzane w stan ograniczenia działania. Należy zauważyć, że przez większość czasu stany wyjść bezpieczeństwa interpretuje się w sposób operacyjny, a następnie ponownie odczytuje się i porównuje z wartościami sterującymi.

W zależności od jakości zastosowanego kodowania, wspomniana technika kodowanego mikroprocesora oferuje mniej lub bardziej znikome prawdopodobieństwo nie wykrycia błędu, lecz wiążą się z nią niedogodności, takie jak wzrost czasu obliczeń i trudności z oprogramowaniem. W zamian za to, bezpieczeństwo systemu nie narzuca żadnych szczególnych wymagań technologicznych, w związku z czym można stosować dowolny mikroprocesor dostępny w handlu.

Przy zastosowaniu redundacji sprzętowej, zabezpieczenie zapewnia się poprzez równoległe działanie przynajmniej dwóch mikroprocesorów. Porównanie i potwierdzanie odbywa się w sposób zewnętrzny, bądź przez wzajemne porównanie, bądź przez zespół wykonany według techniki bezpieczeństwa wewnętrznego. Oprogramowanie instalowane na dwóch mikroprocesorach jest bądź identyczne, bądź posiada dowolną asymetrię.

Dla zapewnienia dobrego poziomu bezpieczeństwa w tej technice, zwanej biprocesową, konieczne jest zabezpieczenie przed zakłóceniami trybu synfazowego, co narzuca całkowitą niezależność dwóch kanałów przetwarzania ze szczególnym uwzględnieniem separacji szyn oraz zdublowanie wszystkich elementów. Konieczne jest również zabezpieczenie przed uszkodzeniami ukrytymi, co wymusza zastosowanie procedur auto-testów i testów krzyżowych.

Wymagana jest również synchronizacja mikroprocesorów, co na ogół stanowi problem, gdyż bezpieczeństwo systemu zależy od znajomości zachowania mikroprocesorów. Jednocześnie nie ma przeciążenia obliczeniami, gdyż informacje nie są kodowane. Jeśli jednak komparator jest realizowany w układzie kontroli wewnętrznej, ilość i wielkość jednostek zabezpieczających powoduje znaczny wzrost kosztów.

Na przykład w opisie patentowym nr DE-A-3 923 773 przedstawiono system mikroprocesorowy w szczególnym przypadku zastosowania do regulacji podgrzewacza wody. System ten zawiera dwa mikroprocesory równoległe oraz dwa przekaźniki, z których każdy jest sterowany przez obydwa mikroprocesory. Przekaźniki te stanowią najprostszą postać układu porównawczego.

Ponadto, z opisu patentowego EP-A-0 469 509 znany jest system zawierający co najmniej dwa mikroprocesory równoległego przetwarzania, na których wejścia są doprowadzone dane z czujników oraz trzeci mikroprocesor porównawczy, dla porównywania sygnałów wynikowych obydwu mikroprocesorów przetwarzania i w konsekwencji dla sterowania kontrolerem dynamicznym umożliwiającym transmisję danych wyjściowych do układów wykonawczych. System ten stosowany jest do kontroli hamowania pojazdu samochodowego.

Dotychczas znane systemy i sposoby nie mogą być jednak brane pod uwagę jako rzeczywiście bezpieczne i nie nadają się do stosowania w zabezpieczaniu transportu kolejowego.

Sposób według wynalazku, stosowany jest do kontroli poprawności transmisji danych, zwłaszcza w układach sterowania stosowanych w transporcie kolejowym. Zgodnie z tym sposobem monitoruje się i steruje układy wykonawcze w funkcji danych wejściowych pochodzących z czujników, przy czym dane wejściowe przetwarza się równolegle za pomocą co najmniej dwóch mikroprocesorów, a sygnały wynikowe tych mikroprocesorów przetwarzania porównuje się za pomocą trzeciego mikroprocesora zwanego weryfikatorem i potwierdza się transmisję danych wyjściowych do układów wykonawczych za pomocą sterowanego przez weryfikator kontrolera dynamicznego.

174 598

Sposób tego rodzaju charakteryzuje się tym, że dane wejściowe i dane wyjściowe mikroprocesorów przetwarzania koduje się, zgodnie z techniką kodowania procesorowego, a sygnały wynikowe mikroprocesorów przetwarzania, zakodowane zgodnie z techniką kodowania procesorowego, porównuje się dla bezpieczeństwa za pomocą weryfikatora. Ponadto, dane wyjściowe odczytuje się wstecznie i porównuje z danymi wejściowymi.

Korzystnym jest, że wprowadza się opóźnienie czasowe między mikroprocesorami przetwarzania. Informacje między procesorami przetwarzania, i weryfikatorem transmituje się przez pojedynczą uproszczoną szynę. Dodatkowo przeprowadza się separację i kontrolę spójności sygnałów wynikowych za pomocą weryfikatora. Ponadto blokuje się część wyjść w przypadku niezgodności pomiędzy jedynie niektórymi sygnałami wynikowymi.

Korzystnym jest, że sygnały wejściowe doprowadza się do p procesorów, a porównanie za pomocą weryfikatora przeprowadza się na zasadzie logiki większościowej n z p. Ponadto, oprogramowanie weryfikatora instaluje się na dowolnym z procesorów przetwarzania.

Sposób według wynalazku zostanie bliżej objaśniony na podstawie przykładu wykonania układu zabezpieczenia przedstawionego na rysunku, na którym fig. 1 przedstawia schemat blokowy układu zabezpieczenia realizujący sposób przeprowadzania kontroli poprawności transmisji danych, według wynalazku, a fig. 2 - schemat blokowy struktury funkcjonalnej tego układu.

Generalnie, we wszystkich sposobach zabezpieczenia przeprowadzanych za pomocą układów zabezpieczenia zwanych również układami kontrolująco-sterującymi, wykorzystuje się zależność sygnałów regulacyjnych od danych wejściowych pochodzących z czujników. Dane odbiera się na wejściach analogowych, przetwarza się je na postać numeryczną, następnie przetwarza się je za pomocą algorytmów i wysyła na wyjście w postaci numerycznej, gdzie przetwarza się je na postać analogową, umożliwiającą sterowanie układów wykonawczych.

Jak przedstawiono na fig. 1, na wejściu układu, w którym przeprowadza się sposób według wynalazku, znajduje się czujnik wejściowy CP dostarczający dane wejściowe DE do wejścia tego układu. Analogowe dane wejściowe DE następnie zapamiętuje się i koduje w przetworniku analogowo/cyfrowym A/Nj, po czym dane doprowadza się do wejść dwóch procesorów przetwarzania P1 i P2, rozmieszczonych równolegle i przetwarzających te same dane. Same dane przetwarzania nie muszą być kodowane, w związku z podwójnym przetwarzaniem. Dane wejściowe DE i dane wyjściowe DS koduje się zgodnie z techniką kodowania procesorowego. W każdym procesorze dane dekoduje się i następnie przetwarza. Ponadto, przetwarzanie danych w procesorach przeprowadza się z określonym przesunięciem czasowym, co umożliwia uniezależnienie się od zakłóceń trybu synfazowego, spowodowanych na przykład zakłóceniami elektromagnetycznymi.

Sygnały wynikowe R1 i R2 przetwarzania każdego z procesorów przetwarzania P1 i P2 następnie koduje się za pomocą wspomnianych procesorów przed wysłaniem ich do trzeciego procesora porównywania, tak zwanego weryfikatora P3.

Za pomocą weryfikatora P3 wykonuje się w trybie chronionym, porównanie sygnałów wynikowych R1 i R2, zgodnie z techniką kodowania procesorowego. Do wejść weryfikatora P3 doprowadzone są dane zakodowane przez dwa procesory przetwarzania P1 i P2, a algorytm weryfikatora P3 zapewnia porównaniu sygnałów wynikowych R1 i R2. Jeśli porównanie da efekt prawidłowy, weryfikator P3 wysyła sygnał poprawności S, oznaczający poprawność porównania, do kontrolera dynamicznego DC zrealizowanego w układzie ochrony wewnętrznej. Kontroler dynamiczny CD potwierdza wówczas zasadniczą transmisję danych wyjściowych do wyjść operacyjnych s, i sj procesorów przetwarzania P1, P2, w węźle G, za pośrednictwem łącza

AG. Należy zauważyć, że w rzeczywistości same wyjścia operacyjne jednego z procesorów przetwarzania P1 lub P2 są efektywnie wykorzystywane. W przypadku różnic tylko kilku wyników, wyjścia procesorów przetwarzania P1 i P2 są połączone z weryfikatorem P3 w węzłach I, za pośrednictwem łącz Al.

Dane cyfrowe z wyjść operacyjnych si i sj następnie przetwarza się na dane wyjściowe analogowe za pomocą konwertora cyfrowo/analogowego N/A dla sterowania układów wykonawczych ACT. Ponadto, dane wyjściowe DS, po konwersji w drugim przetworniku analogo174 598 wo/cyfrowym A/N2, odczytuje się wstecznie i porównuje z danymi cyfrowymi początkowo wyliczonymi, poprzez łącze RL, co zapewnia chronioną kontrolę.

Na fig. 2 przedstawiono schemat układu zabezpieczenia, w którym realizuje się sposób według wynalazku. Układ ten zawiera trzy procesory P1, P2 i P3, które są połączone wspólną szyną B, uproszczoną i znormalizowaną, przez którą przechodzą wszystkie informacje pomiędzy różnymi modułami wchodzącymi w skład układu zabezpieczenia. Szyna ta nie wymaga żadnej szczególnej ochrony, ponieważ ochrona informacji przechodzących przez tę szynę jest zapewniona dzięki kodowaniu i oznaczaniu.

W układzie znajduje się ponadto sterownik wejście-wyjście E/S, przez który przechodzą dane wejściowe DE i dane wyjściowe DS. Konieczne jest, by dane wejściowe DE były przyjmowane przez jeden układ, w celu zapewnienia pracy procesorów przetwarzania P1, P2 na tych samych danych wejściowych. Dane wejściowe DE sąprzyjmowane w postaci zakodowanej, zgodnie z techniką kodowania procesorowego, a następnie poddaje się je przetwarzaniu za pomocą procesorów przetwarzania P1, P2 doprowadzając przez pamięć o swobodnym dostępie MDA, połączoną z szyną B. W czasie całego okresu transmisji, na drodze poprzez sterownik, szynę, łącza szeregowe, dane dotyczące bezpieczeństwa są chronione poprzez kodowanie.

Po przyjęciu danych, dwa procesory przetwarzania P1 i P2 są aktywowane z określonym czasowym przesunięciem. Każdy z procesorów odczytuje z pamięci o swobodnym dostępie MDA dane pobrane z wejść i ocenia je kolejno jedne po drugich. Raz uznane za ważne, dane wejściowe są wykorzystywane w postaci niezakodowanej do przetwarzania. Na końcu przetwarzania każdy procesor oblicza postać danych wyjściowych i przygotowuje wyniki, które są kodowane zgodnie z techniką kodowania procesorowego.

Fizycznie, dane wyjściowe DE są pobierane tylko z jednego z procesorów przetwarzania P1 lub P2, za pośrednictwem sterownika wejście-wyjście E/S, natomiast sygnały wynikowe R1 i R2 przetwarzania każdego z procesorów są podawane do weryfikatora P3, którym jest trzeci procesor układu, w pamięci o dostępie swobodnym MDA, w postaci zakodowanej i oznaczonej. Ponadto, każdy z procesorów wykonuje swoje własne procedury samotestujące, których rezultaty są włączone do sygnałów wynikowych Rl i R2 dostarczanych do weryfikatora P3.

Bezpieczeństwo architektury bioprocesorowej opiera się głównie na braku trybu synfazowego pomiędzy procesorami przetwarzania P1 i P2. Umożliwia to działanie od dwóch identycznych programów na dwóch identycznych kartach, do dwóch różnych programów w dwóch różnych jednostkach.

Weryfikator P3 otrzymuje sygnał wymiarowy R1 z procesora przetwarzania P1 i sygnał wynikowy R2 z drugiego procesora przetwarzania P2, a następnie porównuje je parami, stosując odpowiednie operacje na danych zakodowanych zgodnie z techniką kodowania procesorowego. Realizacja porównywania umożliwia wykonywanie kontroli zbieżności danych wyjściowych i/lub osobne traktowanie każdego wyjścia. Oferuje to dużą elastyczność w realizacji weryfikatora i umożliwia figurację danych wyjściowych, jeśli są one zdublowane. Ponadto, weryfikator kontroluje z zapewnioną ochroną dobre funkcjonowanie struktury bioprocesora, tzn. przesunięcie czasowe i rezultaty autotestów.

Program porównujący weryfikatora P3 jest umieszczony na karcie elektronicznej procesora, która może być identyczna z kartami struktury bioprocesora, a ochrona działania porównywania odbywa się z wykorzystaniem technik kodowania informacji. Potwierdzenie poprawności działania jest wykonywane za pomocą emisji sygnału poprawności S, wyliczonego przez weryfikator P3 i świadczącego o prawidłowym stanie układu, do kontrolera dynamicznego CD. Poza tym, sygnał ten jest wyzwalany przez informacje zwaną odświeżaniem, zmieniającą się w czasie. Kontroler dynamiczny CD, realizowany z ochroną wewnętrzną ocenia więc prawidłowość odświeżania sygnału, a jednocześnie sam sygnał, co umożliwia zagwarantowanie dobrego funkcjonowania weryfikatora.

Kontroler dynamiczny CD potwierdza emisję wszystkich danych na wyjście za pośrednictwem modułu emisji danych A połączonego z szynąB. Moduł emisji danych A potwierdza emisję poszczególnych danych wyjściowych w zależności od informacji dostarczonych przez weryfikator P3. W przypadku częściowej niezgodności sygnałów wynikowych R1 i R2, tylko różne

174 598 wyjścia są wstrzymywane lub wprowadzane w stan ograniczający. W przypadku, gdy weryfikator P3 stwierdza nieprawidłowe działanie, wszystkie wyjścia danych przetwarzania zostają wprowadzone w stan ograniczający. Jeśli jest to konieczne, w celu poprawienia dyspozycyjności, weryfikator może być zdublowany.

Sposób według wynalazku oferuje dużą elastyczność zastosowań i umożliwia spełnienie wymagań bezpieczeństwa, przy czym koszt i czas obliczeń mieszczą się w rozsądnych granicach.

Układ realizujący sposób według wynalazku może być łatwo włączony w strukturę bardziej skomplikowaną, zawierającą więcej niż dwa procesory przetwarzania. Oprogramowanie weryfikatora, bez dodatkowych jednostek sprzętowych, zapewnia programowe zarządzanie n procesorami z ogólnej liczby p. Tak więc przynajmniej n procesorów z ogólnej liczby p powinno mieć tę same wyniki, aby wyjścia bezpieczeństwa zostały uznane za ważne. Oczywiście, w tym przypadku program weryfikatora instaluje się na dowolnym z procesorów przetwarzania.

Departament Wydawnictw UP RP. Nakład 90 egz.

Cena 2,00 zł

Claims (7)

1. Zastrzeżenia patentowe

   1. Sposób kontroli poprawności transmisji danych, zwłaszcza w układach sterowania stosowanych w transporcie kolejowym, w którym monitoruje się i steruje układy wykonawcze w funkcji danych wejściowych pochodzących z czujników, przy czym dane wejściowe przetwarza się równolegle za pomocą co najmniej dwóch mikroprocesorów, a sygnały wynikowe tych mikroprocesorów przetwarzania porównuje się za pomocą trzeciego mikroprocesora zwanego weryfikatorem i potwierdza się transmisję danych wyjściowych do układów wykonawczych za pomocą sterowanego przez weryfikator kontrolera dynamicznego, znamienny tym, że dane wejściowe i dane wyjściowe mikroprocesorów przetwarzania (P1, P2) koduje się, zgodnie z techniką kodowania procesorowego, a sygnały wynikowe (R1, R2) mikroprocesorów przetwarzania (P1, P2), zakodowane zgodnie z techniką kodowania procesorowego, porównuje się dla bezpieczeństwa za pomocą weryfikatora (P3), przy czym dane wyjściowe (DS) odczytuje się wstecznie i porównuje z danymi wejściowymi (DE).
2. 2. Sposób według zastrz. 1, znamienny tym, że wprowadza się opóźnienie czasowe między mikroprocesorami przetwarzania (P1, P2).
3. 3. Sposób według zastrz. 1, znamienny tym, że informacje między procesorami przetwarzania (P1, P2) i weryfikatorem (P3) transmituje się przez pojedynczą uproszczoną szynę (B).
4. 4. Sposób według zastrz. 1, znamienny tym, że dodatkowo przeprowadza się separację i kontrolę spójności sygnałów wynikowych (R1, R2) za pomocą weryfikatora (P3).
5. 5. Sposób według zastrz. 4, znamienny tym, że blokuje się część wyjść w przypadku niezgodności pomiędzy jedynie niektórymi sygnałami wynikowymi (R1, R2).
6. 6. Sposób według zastrz. 1, znamienny tym, że sygnały wejściowe doprowadza się do p procesorów, a porównanie za pomocą weryfikatora (P3) przeprowadza się na zasadzie logiki większościowej n z p.
7. 7. Sposób według zastrz. 6, znamienny tym, że instaluje się oprogramowanie weryfikatora (P3) na dowolnym z procesorów przetwarzania (P1, P2).