一種基于雙主控冗余的中央控制單元研究與應(yīng)用獲獎科研報告

一種基于雙主控冗余的中央控制單元研究與應(yīng)用獲獎科研報告【摘要】近年來，我國軌道交通行業(yè)飛速發(fā)展，軌道交通行業(yè)需求的不斷增加以及新技術(shù)的提出，對網(wǎng)絡(luò)控制系統(tǒng)的安全性提出了更高要求。本文設(shè)計的雙主控冗余方案采用的是1oo2安全架構(gòu)，同時，實現(xiàn)了基于以太網(wǎng)和RS485通信的雙主控冗余切換方案，極大提高了網(wǎng)絡(luò)控制系統(tǒng)的安全性、可靠性。

【關(guān)鍵詞】主控;安全;冗余切換

引言

隨著軌道交通列車控制與服務(wù)業(yè)務(wù)的多樣化發(fā)展，列車通信網(wǎng)絡(luò)對控制系統(tǒng)的可信性和可靠性等安全性要求不斷提升。為滿足需求，最直接有效的方法是對網(wǎng)絡(luò)控制系統(tǒng)采用主控單元冗余技術(shù)。[1]傳統(tǒng)的主控冗余方案一般是在單通信機制下實現(xiàn)1oo2的冗余架構(gòu)，如基于MVB主備冗余的控制網(wǎng)絡(luò)。這種方案只能依據(jù)主控單元是否正常工作來決定是否進行主權(quán)的切換，不能對主控單元的實際運行狀態(tài)、外部獲取數(shù)據(jù)及處理結(jié)果的可信度進行判斷，且未提出主控單元對多通信機制（如MVB、以太網(wǎng)和RS485等多種通信機制并存）控制時的安全冗余方法。

本文設(shè)計一種基于以太網(wǎng)和RS485通信的雙主控安全冗余架構(gòu)，同時，兩種通信機制相互監(jiān)視對方主權(quán)和故障狀態(tài)，實現(xiàn)雙主控的熱備冗余切換，避免了單點故障導(dǎo)致系統(tǒng)停機的問題。本設(shè)計在解決多通信機制主控冗余問題的基礎(chǔ)上，進一步提升網(wǎng)絡(luò)控制系統(tǒng)的安全性。

一、系統(tǒng)架構(gòu)

DTECS-G600平臺是中車株洲所推出的安全型列車控制與監(jiān)視系統(tǒng)平臺。該平臺主要基于6U機箱式結(jié)構(gòu)，能全面承載軌道交通列車TCMS系統(tǒng)的安全功能應(yīng)用需求。G600產(chǎn)品平臺定位于高安全性的列車控制與監(jiān)視系統(tǒng)（TCMS），其總體架構(gòu)以中央處理單元為核心，車輛控制單元采用1oo2冗余架構(gòu)，I/O信號處理單元采用2x2oo2安全計算機架構(gòu)，兼顧安全與通用兩個核心要素，整體功能安全等級達到SIL2。本文所設(shè)計的雙主控安全冗余架構(gòu)應(yīng)用于G600平臺中央處理單元中。

1.1.1oo2架構(gòu)

正如IEC61508-6中所述，1oo2系統(tǒng)由并聯(lián)的兩個通道組成。在正常工作期間，必須兩個通道同時提出安全功能要求，系統(tǒng)安全功能才能得到執(zhí)行。[2]任何一個通道都能夠通過一種獨立于另一個通道的方式獲取另一個通道的狀態(tài)。如圖1所示。

二、雙主控安全冗余架構(gòu)

本文所設(shè)計的的多通信機制下1oo2D雙主控安全冗余架構(gòu)

安全冗余架構(gòu)包含2塊PU600控制板也就是2個主控單元A和B，兩種通信介質(zhì)，RS485總線和以太網(wǎng)還有掛接在RS485總線上和以太網(wǎng)上的PU620（IO網(wǎng)關(guān)板）、交換板（以太網(wǎng)設(shè)備）。

兩塊PU600控制板與機箱內(nèi)IO網(wǎng)關(guān)板PU620掛接在同一條RS485總線上，主控單元通過RS485總線與IO網(wǎng)關(guān)板PU620交互IO數(shù)據(jù);同時，兩個主控單元通過以太網(wǎng)連接至機箱內(nèi)交換板，進行雙主控單元冗余交互和對外以太網(wǎng)通信。

在RS485總線上，主PU600控制板、熱備PU600控制板與PU620（IO網(wǎng)關(guān)板）采用半雙工的通信方式，主從應(yīng)答式交互，即“請求->應(yīng)答”式交互。在以太網(wǎng)子網(wǎng)中，PU600控制板與交換板以及其他以太網(wǎng)設(shè)備以組播形式進行交互。

通信周期為20ms，周期內(nèi)依次向備PU600控制板和PU620（交換板）發(fā)送一個狀態(tài)、控制和請求數(shù)據(jù)，后兩者在本周期內(nèi)依次立即回應(yīng)一個狀態(tài)和響應(yīng)數(shù)據(jù)，實現(xiàn)子網(wǎng)各設(shè)備的有序通信;PU620（交換板）不會響應(yīng)主PU600控制板發(fā)送的狀態(tài)數(shù)據(jù)和備PU600控制板發(fā)送的所有數(shù)據(jù)，備PU600控制板監(jiān)視主PU600控制板和PU620（交換板）發(fā)送的所有數(shù)據(jù)。

三、雙主控冗余切換

G600安全平臺采用雙主控進行冗余，當(dāng)任意一塊主控故障時，另一塊備用主能夠接管機箱安全任務(wù)，提高系統(tǒng)的冗余性和可用性。兩塊主控板通過以太網(wǎng)單播進行交互，機箱作主的PU600板周期性的將安全相關(guān)數(shù)據(jù)計算結(jié)果發(fā)給機箱從PU600板（默認(rèn)從PortA，當(dāng)PortA故障時則改為PortB發(fā)送），同時機箱作為從的PU600板接收到數(shù)據(jù)后將與自身的計算結(jié)果進行比對，當(dāng)一致時則從PU600板發(fā)送1個正常的應(yīng)答報文;當(dāng)比對的報文編號不一致時，則從PU600板發(fā)出1個重發(fā)請求報文;當(dāng)編號一致但計算結(jié)果不一致時則從PU600板發(fā)送錯誤應(yīng)答報文，這時主CPU將重新計算并發(fā)送。

雙主控通過外部中斷方式進行同步，在同步信號的作用下，雙主控根據(jù)自身運行狀態(tài)，完成身份的確認(rèn)，主控板在機箱內(nèi)定義三種身份，分別為機箱控制主，機箱控制備主，機箱控制主就緒三種狀態(tài)。

四、總結(jié)與展望

G600平臺按EN50129標(biāo)準(zhǔn)進行開發(fā)過程管控，建立了至上而下的可靠性分配與可靠性預(yù)計方法，在車載網(wǎng)絡(luò)通信技術(shù)、平臺診斷與維護技術(shù)等方面保持較高水準(zhǔn)，在功能安全技術(shù)上更是取得突破，已經(jīng)取得SIL2DAkks證書，達到行業(yè)領(lǐng)先水平，經(jīng)過安全認(rèn)證的TCMS平臺是拉開與競爭對手差距、避免同質(zhì)化競爭的重要手段。

此平臺是國內(nèi)第1個按照SIL2級要求進行設(shè)計開發(fā)的安全TCMS平臺，目前領(lǐng)先競爭對手2年以上，德國DB車采用的網(wǎng)絡(luò)系統(tǒng)也是G600平臺，這對我司進