CN117056099B - 一种铁路信号安全计算机平台及其内存共享方法 - Google Patents

Abstract

本发明公开了一种铁路信号安全计算机平台及其内存共享方法，通过构建基于全国产化芯片的安全计算机平台，建立基于信号量的共享内存机制，实现了多板卡多处理器间安全有效的数据交互以及进程间的同步与互斥，有效避免了同一时间多个对象对同一共享内存的读写访问，从而使平台内部能够安全、稳定、可靠地进行实时、有效的信息传输和数据状态的更新，保证了平台内数据的安全性与可靠性，此外本发明中仅需要在软件层面增加内存地址划分即可实现类似现有平台拓展板卡的功能。

Description

一种铁路信号安全计算机平台及其内存共享方法

技术领域

本发明属于铁路信号控制技术领域，具体涉及一种铁路信号安全计算机平台及其内存共享方法。

背景技术

铁路行车安全始终是铁路运输的第一要素，而铁路信号控制系统则是保障行车安全的关键设备，是典型的安全苛求系统。其中，铁路信号安全计算机平台是铁路信号系统中最为基础和重要的组成部分。作为铁路信号控制系统应用软件运行载体和执行设备的铁路信号安全(苛求)控制平台，是车站计算机联锁、地面列控中心、临时限速服务器及无线闭塞中心等地面信号控制基础设备应用系统的核心。目前，国内已经开发研制了二乘二取二结构的计算机平台，如TYJL-III型安全计算机平台，然而当该平台的软件应用在基于全国产化芯片设计的安全计算机平台上时，无法实现平台内各个板卡之间数据安全快速的交互，进而影响系统内数据的安全性与可靠性。

发明内容

有鉴于此，本发明提供了一种铁路信号安全计算机平台及其内存共享方法，建立了基于全国产化芯片的安全计算机平台，同时实现了安全计算机平台的高效内存共享。

本发明提供的一种铁路信号安全计算机平台，所述铁路信号安全计算机平台为基于全国产化芯片的安全计算机平台，包括：安全计算机A系、安全计算机B系、第一信号系统设备、采集驱动系统设备、第二信号系统设备、电源模块及调试设备，其中，安全计算机A系和安全计算机B系具有相同结构，安全计算机A系和安全计算机B系间采用由系间通信A及系间通信B组成的安全冗余通道进行实时信息交互以保持互为热备份，安全计算机A系和安全计算机B系均采用以太网协议与第一信号系统设备通信，安全计算机A系和安全计算机B系均采用CAN总线协议与采集驱动系统设备通信，安全计算机A系和安全计算机B系均采用RS422协议与第二信号系统设备及调试设备通信，电源模块为24V安全电源模块；

其中，第一信号系统设备包括车载控制器、区域控制器、人机交互系统及维护系统，第二信号系统设备为地面电子单元。

进一步地，所述铁路信号安全计算机平台采用的硬件结构包括CPU主控板、通信板、电源板及母板，其中，通信板包括前插板及其对应的后插板，前、后插板均通过高速串行总线连接器插在背板上；CPU主控板用于处理安全应用逻辑并实现系统的二取二操作；通信板包括ETH通信板、CAN通信板及422通信板，ETH通信板用于实现CPU主控板逻辑层与人机交互系统、维护系统、无线闭塞中心、列控中心及其他高安全等级设备之间的通信，CAN通信板用于实现CPU主控板与采集驱动系统之间的通信，422通信板用于实现CPU主控板与外部LEU系统之间的通信；

各通信板通过共享内存将上行数据发送至CPU主控板，CPU主控板将下行数据发送至各通信板。

进一步地，所述前插板包括以太网ETH通信板、RS422板及CAN板。

进一步地，应用于铁路信号安全计算机平台，包括以下步骤：

安全计算机A系和安全计算机B系内部采用高速外围设备组件互连总线实现板卡之间的连接，安全计算机上电后为共享内存设置独立的地址空间；CPU主控板与各个通信板的主机域采用非透明桥模式链接，在非透明桥模式中通过设置基地址寄存器声明共享内存地址空间，实现CPU主控板与各个通信板之间的地址翻译；

将铁路信号安全计算机平台中的共享内存划分为信号量区与数据存储区，信号量区分为由CPU主控板使用的旗标高位和由各通信板使用的旗标低位，信号量区用于存储各个板卡的旗标位，数据存储区用于存储各板卡间的交互数据，数据存储区的使用长度由安全数据决定，并采用安全校验以保证数据的安全性；

共享内存的控制权占用状态包括CPU主控板占用和通信板占用两种状态；基于控制权申请机制确定共享内存的控制权。

进一步地，所述基于控制权申请机制确定共享内存的控制权，包括以下步骤：

步骤5.1、铁路信号安全计算机平台上电后，处理器获取共享内存的地址空间地址，设置以及初始化信号量区；

步骤5.2、初始化的信号量区全部的值为FALSE表示该段共享内存处于空闲状态，信号量区的值存在TRUE表示该段共享内存处于占用状态，旗标高位为TRUE表示共享内存由CPU主控板占用，旗标高位为FALSE表示共享内存未被CPU主控板占用，旗标低位为TRUE表示共享内存由通信板占用，旗标低位为FALSE表示共享内存未被通信板占用；

当CPU主控板需要向共享内存写入数据时，将信号量区的旗标高位置为TRUE后，回读并检查信号量区的数据，当旗标高位为TRUE且旗标低位为FALSE时CPU主控板获取共享内存的控制权，当完成共享内存的使用后将旗标高位置为FALSE，释放共享内存的控制权；回读检查时，旗标低位若为TRUE，则CPU主控板首先释放控制权，即在旗标高位置FALSE之后，回读检查旗标高位是否为FALSE，若为FALSE，则CPU主控板释放控制权成功，否则继续释放控制权；

当通信板需要向共享内存写入数据时，将信号量区的旗标低位置为TRUE后，回读并检查信号量区的数据，当旗标高位为FALSE且旗标低位为TRUE时通信板获取共享内存的控制权，当完成共享内存的使用后将旗标低位置为FALSE，释放共享内存的控制权；回读检查时，旗标低位若为TRUE，则通信板首先释放控制权，即在旗标低位置FALSE之后，回读检查旗标低位是否为FALSE，若为FALSE，则通信板释放控制权成功，否则继续释放控制权。

进一步地，所述共享内存的控制权包括共享内存的访问权和数据更新权。

有益效果：

本发明通过构建基于全国产化芯片的安全计算机平台，建立基于信号量的共享内存机制，实现了多板卡多处理器间安全有效的数据交互以及进程间的同步与互斥，有效避免了同一时间多个对象对同一共享内存的读写访问，从而使平台内部能够安全、稳定、可靠地进行实时、有效的信息传输和数据状态的更新，保证了平台内数据的安全性与可靠性，此外本发明中仅需要在软件层面增加内存地址划分即可实现类似现有平台拓展板卡的功能。

附图说明

图1为本发明提供的一种铁路信号安全计算机平台的系统结构示意图。

图2为本发明提供的一种铁路信号安全计算机平台的硬件结构示意图。

图3为本发明提供的一种铁路信号安全计算机平台的共享内存划分示意图。

图4为本发明提供的一种铁路信号安全计算机平台的内存共享方法的共享内存控制流程示意图。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

本发明提供的一种铁路信号安全计算机平台，如图1所示，该平台为基于全国产化芯片的安全计算机平台，包括安全计算机A系、安全计算机B系、第一信号系统设备、采集驱动系统设备、第二信号系统设备、电源模块及调试设备，其中，安全计算机A系和安全计算机B系具有相同结构，安全计算机A系和安全计算机B系之间采用由系间通信A及系间通信B组成的安全冗余通道进行实时信息交互以保持系统热备份，安全计算机A系和安全计算机B系均采用以太网协议与第一信号系统设备通信，安全计算机A系和安全计算机B系均采用CAN总线协议与采集驱动系统设备通信，安全计算机A系和安全计算机B系均采用RS422协议与第二信号系统设备及调试设备通信，电源模块为24V安全电源模块。

其中，第一信号系统设备包括车载控制器(VOBC)、区域控制器(ZC)、人机交互系统(MMI)及维护系统(MT)等设备，第二信号系统设备为地面电子单元(LEU)等设备。

本发明中采用由安全计算机A系和安全计算机B系组成的双系平台，通过在正常运转时的互为热备，能够实现单系产生故障时故障系降级、正常系切换为主控系，能够实现良好的物理独立性，有效降低了因故障造成的双系同时损坏的可能性。

本发明提供的一种铁路信号安全计算机平台的硬件结构，如图2所示，包括CPU主控板、通信板、电源板及母板，其中，通信板包括以太网ETH通信板、RS422板、CAN板等前插板及其对应的后插板，前、后插板均通过高速串行总线连接器插在背板上；安全计算机平台中的安全数据包括上行数据和下行数据，上行数据为各通信板通过共享内存发送至CPU主控板的数据，下行数据为CPU主控板发送至各通信板的数据。CPU主控板的主要功能为处理安全应用逻辑并实现系统的二取二操作，当主备系统校核错误为系统严重错误时，该系离线必须人工干预才能重新工作；ETH通信板用于实现CPU主控板逻辑层与人机交互系统(MMI)、维护系统(MT)及无线闭塞中心(RBC)等系统之间的通信功能；CAN通信板用于实现CPU主控板与采集驱动系统之间的通信功能；422通信板用于实现CPU主控板与外部LEU系统之间的通信功能。

安全计算机平台的基本功能是安全、稳定、可靠地在安全平台内部实时进行安全信息的传输及状态更新，其板卡之间信息交互通过共享内存实现。因此，构建安全计算机平台时必须考虑其诸多的各类存储空间，尤其是共享内存。共享内存连接着CPU主控板与各个通信板，上下行安全数据能否及时有效的进行传输关系着信号设备的安全性和可靠性，如果安全数据不能及时更新，可能会造成安全数据丢包，严重的话会造成信号系统设备之间的安全通信通道中断，造成事故。

在内存共享的过程中，如何避免同一时间多个对象对同一共享内存的读写访问，是保证平台内共享内存数据安全性的关键。基于信号量的共享内存的资源保护机制，可保障平台内板卡的处理器间数据安全、可靠地传输。因此，在安全计算机平台通信过程中，为了实现进程间的同步和互斥，本发明提供了一种铁路信号安全计算机平台的内存共享方法，通过建立基于信号量的共享内存的资源保护机制实现对数据资源一致性的保护。

本发明提供的一种铁路信号安全计算机平台的内存共享方法，其总体设计思想如下：在铁路信号安全计算机平台上电初始化过程中，配置共享内存时，对铁路信号安全计算机平台的共享内存空间进行区域划分，设置CPU主控板与各个通信板之间的信号量区和数据存储区；通过对信号量区设置控制权的方式，实现CPU主控板与各个通信板共享内存空间内数据存储区的读写权限。

本发明提供的一种铁路信号安全计算机平台的内存共享方法，具体包括以下步骤：

将安全计算机中的共享内存设置为独立的地址；将平台内各个板卡均设置为NT模式(非透明桥)，用来链接CPU主控板与各个通信板的主机域，NT桥通过设置基地址寄存器实现了地址翻译，并将地址从一个主机域推向另外一个主机域，从而在各通信板与CPU主控板之间实现了基于高速外围设备组件互连总线(Peripheral Component InterconnectExpress，PCIe)的数据传输；

将铁路信号安全计算机平台中的共享内存划分为信号量区与数据存储区，如图3所示，信号量区分为由CPU主控板使用的旗标高位和由各通信板使用的旗标低位，信号量区用于存储各个板卡的旗标位，数据存储区用于存储各板卡(包括CPU主控板占用和通信板)间的交互数据，数据存储区的使用长度由安全数据决定，并采用安全校验以保证数据的安全性；

共享内存的控制权占用状态包括CPU主控板占用和通信板占用两种状态，以CPU主控板占用控制权举例说明平台内各板卡对共享内存控制权占用的申请过程，如图4所示，包括以下步骤：

步骤1.1、铁路信号安全计算机平台上电，处理器获取共享内存的地址空间地址，设置以及初始化信号量区。

步骤1.2、初始化的信号量区全部的值为FALSE表示该段共享内存处于空闲状态，信号量区的值存在TRUE表示该段共享内存处于占用状态，旗标高位为TRUE表示共享内存由CPU主控板占用，旗标高位为FALSE表示共享内存未由CPU主控板占用，旗标低位为TRUE表示共享内存由通信板占用，旗标低位为FALSE表示共享内存未由通信板占用；

当CPU主控板需要向共享内存写入数据时，将信号量区的旗标高位置为TRUE后，回读并检查信号量区的数据，当旗标高位为TRUE且旗标低位为FALSE时CPU主控板获取共享内存的控制权，此时CPU主控板享有共享内存的访问和数据更新权，当完成共享内存的使用后将旗标高位置为FALSE，以释放共享内存的控制权；回读检查时，旗标低位若为TRUE，说明CPU主控板无法获取共享内存的控制权，则CPU主控板首先释放控制权，即在旗标高位置FALSE之后，回读检查是否为旗标高位是否为FALSE，若为FALSE，则CPU主控板释放控制权成功，否则继续释放控制权；

当通信板需要向共享内存写入数据时，将信号量区的旗标低位置为TRUE后，回读并检查信号量区的数据，当旗标高位为FALSE且旗标低位为TRUE时通信板获取共享内存的控制权，此时通信板享有共享内存的访问和数据更新权，当完成共享内存的使用后将旗标低位置为FALSE，以释放共享内存的控制权；回读检查时，旗标高位若为TRUE，说明通信板无法获取共享内存的控制权，则通信板首先释放控制权，即在旗标低位置FALSE之后，回读检查是否为旗标低位是否为FALSE，若为FALSE，则通信板释放控制权成功，否则继续释放控制权；在实际测试的过程中可能存在较为极端的情况，即造成各板卡由于回读到其他位置的字节也被写入数据而无法获取共享内存的控制权的情况，存在以下两种原因：

第一种原因是其他板卡的处理器正在占用共享内存，此时发出申请的处理器需要延时一段时间后继续尝试获取控制权，直至其他处理器已经用完共享内存，释放了这个信号量为止；

第二种原因，也是极端的情况，即两个处理器同时在尝试获取信号量，申请拿到共享内存的控制权，这种情况两个都判定为获取失败，无法拿到控制权，此时各个处理器各自延时不同的时间值，在延时完成后重新尝试获取；由于延时的时长不同，因此处理器发出下个申请的时间也就不同，由此可避免下次控制权的争夺在同时进行，这样就能保证其中一方能先获取到信号量，另一方在等到控制权被释放后再获取。

若CPU主控板或者通信板长时间拿不到控制权导致平台的数据无法更新，平台提供对应的报警信息到维护子系统处，由系统维护工作人员进行故障处理。

本发明中，在硬件设计上，采用高速外围设备组件互连总线(PeripheralComponent Interconnect Express,PCIe)进行数据传输。PCIe链路采用端到端传输数据，一端只能连一个设备，因此需要使用PCIe交换机来拓展PCIe链路，作用类似USB-Hub，这样才能连接多个设备。各个板卡采用NT模式，即非透明桥模式，NT桥用来链接两个独立的地址/主机域。主从设备侧的地址完全独立。这样的设计允许系统隔离地址空间，使用地址翻译将系统应用从一个主机域推向另外一个主机域。NT桥通过设置基地址寄存器设置翻译的转换地址，从而在硬件上实现了PCIe总线的共享内存设计。

在软件设计上，将一整块共享内存划分为两部分，分别为信号量区与数据存储区。CPU板和各个通信板可以各自独立地对共享内存进行读写操作，就像对两片SRAM操作一样。不同的处理器可以对共享内存的同一地址单元进行读操作；但同时对同一单元进行写操作时会发生冲突，此时共享内存仲裁由哪一方占用。为避免冲突发生，处理器在使用共享内存之前，需要查询共享内存是否被占用，也就申请拿到共享内存的控制权。只有拿到控制权的处理器拥有对共享内存写的权利，每次数据写完之后都需要释放控制权。

由此本发明提供的一种铁路信号安全计算机平台的内存共享方法能够建立快速安全灵活的数据交互方式，允许多个处理器直接进行大量的数据交互。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种铁路信号安全计算机平台的内存共享方法，其特征在于，包括以下步骤：

安全计算机A系和安全计算机B系内部采用高速外围设备组件互连总线实现板卡之间的连接，安全计算机上电后为共享内存设置独立的地址空间；CPU主控板与各个通信板的主机域采用为非透明桥模式链接，在非透明桥模式中通过设置基地址寄存器声明共享内存地址空间，实现CPU主控板与各个通信板之间的地址翻译；将铁路信号安全计算机平台中的共享内存划分为信号量区与数据存储区，信号量区分为由CPU主控板使用的旗标高位和由各通信板使用的旗标低位，信号量区用于存储各个板卡的旗标位，数据存储区用于存储各板卡间的交互数据，数据存储区的使用长度由安全数据决定，并采用安全校验以保证数据的安全性；

共享内存的控制权占用状态包括CPU主控板占用和通信板占用两种状态；基于控制权申请机制确定共享内存的控制权；

所述基于控制权申请机制确定共享内存的控制权，包括以下步骤：

步骤5.1、铁路信号安全计算机平台上电后，处理器获取共享内存的地址空间地址，设置以及初始化信号量区；

步骤5.2、初始化的信号量区全部的值为FALSE表示该段共享内存处于空闲状态，信号量区的值存在TRUE表示该段共享内存处于占用状态，旗标高位为TRUE表示共享内存由CPU主控板占用，旗标高位为FALSE表示共享内存未被CPU主控板占用，旗标低位为TRUE表示共享内存由通信板占用，旗标低位为FALSE表示共享内存未被通信板占用；

当CPU主控板需要向共享内存写入数据时，将信号量区的旗标高位置为TRUE后，回读并检查信号量区的数据，当旗标高位为TRUE且旗标低位为FALSE时CPU主控板获取共享内存的控制权，当完成共享内存的使用后将旗标高位置为FALSE，释放共享内存的控制权；回读检查时，旗标低位若为TRUE，则CPU主控板首先释放控制权，即在旗标高位置FALSE之后，回读检查旗标高位是否为FALSE，若为FALSE，则CPU主控板释放控制权成功，否则继续释放控制权；

当通信板需要向共享内存写入数据时，将信号量区的旗标低位置为TRUE后，回读并检查信号量区的数据，当旗标高位为FALSE且旗标低位为TRUE时通信板获取共享内存的控制权，当完成共享内存的使用后将旗标低位置为FALSE，释放共享内存的控制权；回读检查时，旗标高位若为TRUE，则通信板首先释放控制权，即在旗标低位置FALSE之后，回读检查旗标低位是否为FALSE，若为FALSE，则通信板释放控制权成功，否则继续释放控制权。

2.根据权利要求1所述的内存共享方法，其特征在于，所述共享内存的控制权包括共享内存的访问权和数据更新权。

3.一种采用权利要求1和2所述的内存共享方法的铁路信号安全计算机平台，其特征在于，所述铁路信号安全计算机平台为基于全国产化芯片的安全计算机平台，包括：安全计算机A系、安全计算机B系、第一信号系统设备、采集驱动系统设备、第二信号系统设备、电源模块及调试设备，其中，安全计算机A系和安全计算机B系具有相同结构，安全计算机A系和安全计算机B系间采用由系间通信A及系间通信B组成的安全冗余通道进行实时信息交互以保持互为热备份，安全计算机A系和安全计算机B系均采用以太网协议与第一信号系统设备通信，安全计算机A系和安全计算机B系均采用CAN总线协议与采集驱动系统设备通信，安全计算机A系和安全计算机B系均采用RS422协议与第二信号系统设备及调试设备通信，电源模块为24V安全电源模块；

其中，第一信号系统设备包括车载控制器、区域控制器、人机交互系统及维护系统，第二信号系统设备为地面电子单元。

4.根据权利要求3所述的一种铁路信号安全计算机平台，其特征在于，所述铁路信号安全计算机平台采用的硬件结构包括CPU主控板、通信板、电源板及母板，其中，通信板包括前插板及其对应的后插板，前、后插板均通过高速串行总线连接器插在背板上；CPU主控板用于处理安全应用逻辑并实现系统的二取二操作；通信板包括ETH通信板、CAN通信板及422通信板，ETH通信板用于实现CPU主控板逻辑层与人机交互系统、维护系统、无线闭塞中心、列控中心及其他高安全等级设备之间的通信，CAN通信板用于实现CPU主控板与采集驱动系统之间的通信，422通信板用于实现CPU主控板与外部LEU系统之间的通信；

各通信板通过共享内存将上行数据发送至CPU主控板，CPU主控板将下行数据发送至各通信板。

5.根据权利要求4所述的一种铁路信号安全计算机平台，其特征在于，所述前插板包括以太网ETH通信板、RS422板及CAN板。