RO113771B1 - Sistem de securitate cu microprocesor, aplicabil mai ales in domeniul transporturilor feroviare - Google Patents

Description

Invenția se referă la un sistem de securitate cu microprocesor, aplicabil mai ales în domeniul transporturilor feroviare, pentru a controla și comanda niște elemente de acționare în funcție de datele furnizate de niște senzori; sistemul cuprinde cel puțin două microprocesoare în paralel, care prelucrează aceeași aplicație, ale căror intrări primesc datele oferite de către senzori, și un al treilea microprocesor de comparare, denumit votor, destinat comparării rezultatele celor două microprocesoare de aplicație, și comandării, în consecință, a unui controlor dinamic, care autorizează emiterea datelor de ieșire către elementele de acționare.

Un sistem de acest gen este descris, de exemplu, în documentul de brevet EP-A-0496509, fiind aplicat la controlul frânării unui automobil. Totuși, în cadrul sistemului descris de acest document, rezultatele celor două microprocesoare în paralel nu sunt comparate în securitate de către cel de al treilea microprocesor, care nu reprezintă de fapt decât un simplu arbitru.

Un alt sistem cu microprocesor este descris în documentul de brevet □E-A-3923773, fiind aplicat la reglarea unui încălzitor de apă. Sistemul descris de acest document nu cuprinde de fapt decât două microprocesoare în paralel și două relee comandate fiecare de către cele două microprocesoare, astfel încât aceste două relee constituie un votor foarte sumar.

Aceste sisteme cunoscute nu pot fi considerate ca fiind într-adevăr de securitate și deci nu pot fi utilizate în domeniul securității feroviare.

In toate sistemele cu securitate orientată și mai ales în domeniul transporturilor feroviare, securitatea era realizată, până de curând, pornind de la componente și circuite care satisfac regulile securității intrinseci.

Securitatea intrinsecă se bazează pe legile fizicii, de exemplu pe legea atracției gravitaționale, și pe un model de pană exhaustică. Orice pană trebuie să pună sistemul într-o stare restrictivă, care restrânge, adică, funcționalitățile sale operaționale. In sistemele feroviare, starea restrictivă constă în general în provocarea opririi trenului.

Odată' cu apariția microprocesoarelor, acestea au intervenit în realizarea acestor funcțiuni de securitate. Concepția acestor sisteme programate de securitate se bazează pe două principii și anume: pe redundanța informațională prin codare a informației, care constă în adăugarea la datele funcționale a unor părți de control, permițând detectarea erorilor și a funcționărilor defectuoase ale sistemului de securizat; și pe reductanța materială, care constă în utilizarea mai multor calculatoare în paralel și în efectuarea comparării rezultatelor cu ajutorul unor componente materiale sau software (program).

In tehnica de codare a informației, nu se utilizează decât un singur microprocesor, dar acesta lucrează cu informații redundante care cuprind o parte funcțională și o parte codată. Acest fapt permite existența unui algoritm dublat pentru două informații diferite. Informația obținută ca rezultat al algoritmului este trimisă către un controlor extern, realizat în sistemul de securitate intrinsecă, denumit controlor dinamic. Dacă rezultatul aparține codului, el este validat de către acest controlor care autorizează ieșirile de securitate să se propage către exterior, adică spre elementele de acționare. In caz contrar, aceste ieșiri sunt invalidate și puse în stare restrictivă. In majoritatea timpului, ieșirile de securitate sunt efectuate în mod funcțional, apoi sunt recitite și comparate în securitate cu valorile de comandă.

In funcție de puterea codării utilizate, această tehnică, denumită a procesorului codat, permite o probabilitate de nedetectare a erorilor mai mult sau mai puțin importantă, dar inconvenientele rezidă într-o importantă creștere a timpului de calcul și într-o programare greoaie. In schimb, securitatea sistemului nu impune precauții tehnologice deosebite, ceea ce permite utilizarea oricărui tip de microprocesor industrial, disRO 113771 Bl ponibil în comerț.

In tehnica redundanței materiale, securitatea este asigurată prin dispunerea în paralel a cel puțin două microprocesoare. Compararea și autorizarea sunt efectuate extern, fie prin comparare reciprocă fie prin intermediul unor componente materiale realizate cu tehnici de securitate intrinseci. Programul de aplicație este implementat în cele două microprocesoare fie în mod identic, fie cu introducerea intenționată de asimetrii.

Pentru a asigura un nivel bun de securitate prin această tehnică, denumită a biprocesorului, trebuie prevenite inconvenientele modului comun, ceea ce impune independența totală a celor două lanțuri de procesare și anume în special magistrale separate și dublarea tuturor componentelor. Trebuie prevenite de asemenea și penele latente, ceea ce implică în mod aproape obligatoriu adăugarea unor proceduri de autotestare și/sau de testări încrucișate.

Sincronizarea microprocesoarelor se poate dovedi o operațiune delicată, iar securitatea se bazează pe cunoașterea comportamentelor acestor microprocesoare. Pe de altă parte, nu există suprasolicitări de calcul, deoarece informațiile nu sunt codate.

Totuși, atunci când comparatorul este realizat cu securitate intrinsecă, cantitatea de material de securitate, specific aplicației, poate conduce la costuri prohibitive.

Invenția urmărește deci înlăturarea dezavantajelor acestor două tehnici anterioare, păstrând în același timp avantajele fiecăreia dintre aceste tehnici.

Sistemul de securitate cu microprocesor, aplicabil mai ales în domeniul transporturilor feroviare, conform invenției, cuprinde două microprocesoare de aplicație, dispuse în paralel, ale căror intrări, care primesc semnale de la niște senzori și ieșiri, sunt codate conform tehnicii procesorului codat, și un al treilea microprocesor de comparare, denumit votor, destinat comparării prin program și în securitate a rezultatelor caracteristice codate ale celor două microprocesoare de aplicație, utilizând tehnica procesorului codat, și comandării în consecință a unui controlor dinamic, care autorizează emiterea datelor de ieșire către niște elemente de acționare, datele de ieșire fiind recitite în securitate pentru a fi comparate cu datele de intrare.

Prin aplicarea invenției, se obțin următoarele avantaje:

- datorită acestei configurații, în care sunt codate doar datele de intrare și datele de ieșire, aplicația în sine nu are nevoie să fie codată, datorită dublei prelucrări, astfel încât timpul de calcul rămâne în limite rezonabile;

- cantitatea necesară de componente de securitate este redusă, ceea ce permite reducerea costului total al sistemului;

- așa după cum va reieși mai clar în cele ce urmează, un astfel de sistem este ușor de pus în practică și prezintă de asemenea o mare suplețe de utilizare;

- de preferință, între cele două microprocesoare de aplicație este introdus un decalaj temporal, de exemplu, perturbații electromagnetice;

- tot de preferință, sistemul de securitate conform invenției cuprinde o magistrală unică comună, prin care tranzitează informațiile între diferitele microprocesoare. Acest lucru este posibil datorită faptului că securitatea informațiilor tranzitate este asigurată prin codare și datare.

Alte caracteristici și avantaje ale invenției vor reieși din descrierea detaliată a acesteia, susținută de un exemplu de realizare, care urmează, cu referire și la fig.1 și 2, care reprezintă:

- fig.1, schemă bloc ilustrând funcționarea unui sistem de securitate, conform invenției;

- fig.2, schema bloc a configurației acestui sistem de securitate.

La modul general, toate sistemele de securitate, denumite și sisteme de control-comandă, funcționează cu ajutorul unor senzori și al unor elemente de

RO 113771 Bl acționare. Ele primesc date de intrare analogice, convertesc aceste intrări în date numerice, tratează aceste date cu ajutorul unor algoritmi și generează ieșiri numerice, care sunt convertite în ieșiri analogice, care permit comanda elementelor de acționare.

In schema din fig. 1, apar deci mai întâi unul sau mai mulți senzori de intrare CP, care furnizează datele de intrare DE sistemului.

Aceste date de intrare DE, de tip analogic, sunt apoi memorate și codate într-un convertor analogic/numeric A/ 1X1*1, înainte de a fi aplicate intrărilor celor două procesoare de aplicație P1 și P2, dispuse în paralel și care prelucrează aceeași aplicație. Aplicația ea însăși nu este necesar să fie codată datorită dublei prelucrări. Dimpotrivă, datele de intrare și de ieșire sunt codate conform tehnicii procesorului codat. In fiecare procesor, sunt deci decodate, apoi prelucrate datele. In plus, fiecare procesor execută aplicația cu un oarecare decalaj temporal, aceasta în scopul evitării penelor de mod comun, așa ca cele produse de exemplu de perturbațiile electromagnetice.

Rezultatele R1 și R2 ale prelucrării fiecăruia dintre procesoarele P1 și P2 sunt apoi codate de către procesoarele menționate, înainte de a fi transmise unui al treilea procesor de comparare P3, denumit de asemenea și votor.

Votorul P3 efectuează, prin intermediul unui program și în securitate, comparația rezultatelor R1 și R2, utilizând tehnica procesorului codat.

Intrările sale fiind codate de către cele două procesoare P1 și P2, algoritmul votorului constă în compararea valorilor rezultatelor R1 și R2. Dacă această comparație este corectă, votorul emite un semnal semnătură S, caracteristic a bunei sale funcționări, către un controlor dinamic CD, realizat în securitate intrinsecă. Acest controlor dinamic CD autorizează în acest moment emiterea generală a unor ieșiri funcționale ca de exemplu s, și Sj, ale procesoarelor de aplicație, după cum este ilustrat printr-un element G, prin intermediul unei legături AG. Este de remarcat aici că de fapt numai ieșirile funcționale ale unuia dintre procesoarele P1 sau P2 sunt utilizate în mod efectiv. De altfel, în cazul unor diferențe privind numai unele dintre rezultate, numai ieșirile corespunzătoare sunt inhibate de către votor, după cum este reprezentat printr-un element I, prin intermediul legăturilor Al.

Datele numerice ale ieșirilor funcționale Sj și Sj sunt atunci convertite în date de ieșire analogice într-un convertor numeric/analogic N/A pentru a putea fi comandate elementele de acționare ACT. De altfel, aceste date de ieșire DS, după conversia într-un al doilea convertor analogic/numeric A/IV2, sunt recitite și comparate cu datele numerice calculate inițial, după cum este ilustrat prin legătura RL, ceea ce conduce la realizarea controlului în securitate.

Se va descrie, în continuare, în mod mai detaliat, funcționarea și avantajele prezentei invenții, cu referire în special la fig.2, care reprezintă în mod schematic arhitectura fizică a unui sistem de securitate conform invenției.

Pe această figură, se regăsesc mai întâi cele trei procesoare Ρ1, P2, și P3 care sunt legate la o magistrală B unică, comună, standardizată, prin care tranzitează toate informațiile între diferitele module ce alcătuiesc sistemul de securitate. Intr-adevăr, această magistrală nu are nici o constrângere de securitate specială, deoarece securitatea informațiilor care trec prin aceasta este asigurată prin codare și datare.

De asemenea, în fig.2, este reprezentat și un cuplor de intrări/ieșiri E/S prin care trec datele de intrare DE și datele de ieșire DS. Este într-adevăr indispensabil ca intrările să fie achiziționate de către o singură entitate, pentru a asigura efectuarea de către procesoarele de aplicație P1 și P2 a prelucrării acelorași date de intrare. Aceste intrări sunt achiziționate sub formă

RO 113771 Bl codată, conform tehnicii procesorului codat, și puse la dispoziția procesoarelor de aplicație P1 și P2 într-o memorie cu dublu acces MDA legată la magistrala comună B. In timpul întregii faze de 5 transmisie (cuptor, magistrală, legătură serială), datele de securitate sunt protejate prin codare.

Când datele au fost achiziționate, cele două procesoare de aplicație P1 și io P2 sunt activate cu un oarecare decalaj temporal. Fiecare procesor va citi, din memoria cu dublu acces MDA, intrările achiziționate și le va valida una câte una. Odată validate, aceste intrări sunt utili- 15 zate sub forma lor necodată pentru prelucrare. La sfârșitul executării aplicației, fiecare procesor calculează ieșirile proprii și prepară rezultatele sale, care sunt codate conform tehnicii procesorului co- 20 dat.

Ieșirile fizice sunt furnizate de către unul singur dintre cele două procesoare P1 și P2, prin intermediul cuptorului de intrări/ieșiri E/S, în timp ce 25 rezultatele R1 și R2 ale prelucrărilor fiecăruia dintre procesoare sunt puse la dispoziția votorului, constituit dintr-un al treilea procesor P3, în memoria cu dublu acces MDA sub formă codată și 30 datată. In plus, fiecare dintre procesoarele P1 și P2 execută propriile sale autoteste, ale căror rezultate sunt integrate în rezultatele R1 și R2 furnizate votorului P3. 3 5

Securitatea arhitecturii biprocesor constă în principal în absența modului comun între P1 și P2. întrucât compararea se efectuează pe ieșiri, se dispune de o mare flexibilitate în realizarea modu- 40 lelor P1 și P2. Aceasta poate pleca de la două programe identice, pe două plăci identice, până la două programe diferite pe două echipamente diferite.

Votorul P3 achiziționează rezulta- 45 tele R1 de la P1 și R2 de la P2 și le compară două câte două, utilizând operații adecvate pentru datele codate conform tehnicii procesorului codat. Realizarea funcției de comparare prin pro- 50 gram, permite efectuarea controalelor de coerență a ieșirilor și/sau filtrări pe fiecare ieșire. Proiectanții au deci o mare flexibilitate în realizarea votorului și pot realiza inhibiția parțială a ieșirilor, ceea ce permite reconfigurări pe aceste ieșiri, atunci când acestea sunt dublate. In plus, votorul controlează în securitate buna funcționare a structurii biprocesor, adică decalajul temporal și rezultatele autotestatelor.

Programul de comparare a votorului P3 este instalat pe o placă electronică procesor, care poate fi identică cu plăcile structurii biprocesor, iar securitatea funcției de comparare este efectuată utilizând tehnica codării informației. Validarea funcției este realizată prin emiterea semnăturii S, calculat de către votor și caracteristică bunei funcționări a acestuia, către controlorul dinamic CD. In plus, această semnătură este dinamizată prin intermediul unei informații numită de împrospătare care evoluează în timp. Controlorul dinamic CD, realizat în securitate intrinsecă, va valida deci, pe de o parte, buna reîmprospătare a semnăturii și pe de altă parte, însuși semnătura, ceea ce permite garantarea bunei funcționări a votorului.

Controlorul dinamic CD autorizează atunci emiterea generală a semnalelor de ieșire prin intermediul unui modul A legat la magistrala B, acest modul A autorizând emiterea individuală semnalelor de ieșire în funcție de informațiile furnizate de către votor. Cu alte cuvinte, în cazul unui dezacord parțial privind rezultatele R1 și R2, nu vor fi inhibate decât ieșirile diferite, sau acestea vor fi puse în stare restrictivă. In cazul funcționării defectoase a votorului, toate ieșirile aplicației sunt bineînțeles puse în stare restrictivă. Dacă este necesar, în scopul îmbunătățirii disponibilității acestuia, votorul poate fi el însuși pus în redundanță.

Se observă deci că în fond sistemul de securitate conform invenției prezintă o foarte mare suplețe în utilizare, și permite satisfacerea exigențelor de securitate dorite, cu un cost și un timp de calcul rezonabile.

RO 113771 Bl

Este de remarcat în mod special faptul că o asemenea arhitectură permite extinderea invenției către o structură mai complexă, cu mare ușurință, structura cuprinzând mai mult de două procesoare de aplicație. Programul votorului poate în acest caz, fără a necesita echipament suplimentar, să asigure o logică majoritară de n procesoare din p. Cu alte cuvinte, n procesoare cel puțin din cele p procesoare trebuie să aibă același rezultat pentru ca ieșirile de securitate să fie validate. Rezultă de la sine de altfel că, în acest caz, programul votorului poate fi implantat pe oricare dintre procesoarele de aplicație.

Claims (7)

1. Revendicări

   1. Sistem de securitate cu microprocesor, aplicabil mai ales în domeniul transporturilor feroviare, pentru a comanda și a controla niște elemente de acționare (ACT) în funcție de datele furnizate de către niște senzori (CP), cuprinzând cel puțin două microprocesoare (P1, P2) în paralel, care prelucrează aceeași aplicație și ale căror intrări primesc datele (DE) oferite de senzori (CP), și un al treilea microprocesor de comparare (P3), denumit votor, pentru a compara rezultatele (R1, R2) celor două microprocesoare de aplicație (Ρ1, P2) și a comanda în consecință un controlor dinamic (CD) care autorizează emiterea datelor de ieșire (DS) către elementele de acționare (ACT), caracterizat prin aceea că, intrările și ieșirile celor două microprocesoare de aplicație (P1, P2) sunt codate conform tehnicii procesorului codat, votorul (P3) efectuează, prin program și în condiții de securitate, compararea rezultatelor caracteristice codate (R1, R2) ale celor două microprocesoare de aplicație (P1, P2) utilizând tehnica procesorului codat, iar datele de ieșire (DS) sunt recitite în condiții de securitate pentru a fi comparate cu datele de intrare (DE).
2. 2. Sistem de securitate, conform revendicării 1, caracterizat prin aceea că, între cele două microprocesoare de aplicație (P1, P2) este introdus un decalaj temporal.
3. 3. Sistem de securitate, conform revendicării 1 sau 2, caracterizat prin aceea că este prevăzut cu o magistrală unică, comună (B), prin care tranzitează informațiile între diferitele microprocesoare (P1, P2, P3)
4. 4. Sistem de securitate, conform oricăreia dintre revendicările 1 la 3, caracterizat prin aceea că, votorul (P3) este prevăzut cu un algoritm care permite efectuarea, în plus față de compărea rezultatelor (R1, R2) a celor două microprocesoare de aplicație (P1, P2), filtrări și controale de coerență asupra diferitelor ieșiri.
5. 5. Sistem de securitate, conform revendicării 4, caracterizat prin aceea că, algoritmul votorului (P3) permite realizarea unei inhibări parțiale a ieșirilor în caz de dezacord privind doar anumite rezultate.
6. 6. Sistem de securitate, conform oricăreia dintre revendicările 1 la 5, caracterizat prin aceea că cuprinde mai mult de două procesoare de aplicație (PI, P2), votorul (P3) asigurând o logică majoritară de n procesoare din p.
7. 7. Sistem de securitate, conform revendicării 6, caracterizat prin aceea că, programul votorului este instalat pe oricare dintre procesoarele de aplicație.