莊凌昀 謝維達

(同濟大學鐵道與城市軌道交通研究院,201804,上?！蔚谝蛔髡?碩士研究生)

鐵路與城市軌道交通的列車運行環(huán)境可能是高低溫、高濕、沖擊、電磁輻射干擾、振動等惡劣環(huán)境,因此,列車控制系統(tǒng)中微機系統(tǒng)的可靠性非常重要。研究表明,考慮到當前傳統(tǒng)微機系統(tǒng)結(jié)構(gòu),僅僅從目前元器件的工藝技術(shù)水平出發(fā),暫無有效的辦法提高微機系統(tǒng)整體的可靠性。因此,應(yīng)立足于列車微機控制系統(tǒng),參考國內(nèi)外經(jīng)驗,特別是冗余容錯計算機,采用高可靠性多冗余容錯技術(shù),研究與設(shè)計車載計算機系統(tǒng),以滿足列車控制中可靠性安全性要求[1]。

1 車載計算機安全性分析、設(shè)計與應(yīng)用

不同于安全繼電器組成的鐵路信號設(shè)備,車載計算機主要由微機及超大規(guī)模集成電路芯片組成,因此不具備非對稱故障特性。車載計算機安全性設(shè)計主要是依據(jù)可靠性理論和容錯技術(shù)。通過軟件和硬件冗余容錯設(shè)計以及移植實時操作系統(tǒng),有效提高微機控制系統(tǒng)可靠性,進而提高列車運行的安全性;充分發(fā)揮計算機高速、智能處理能力,設(shè)計完善的軟、硬件故障檢測模塊,確?？刂葡到y(tǒng)芯片正常運行,程序準確執(zhí)行,列車各個設(shè)備接收和執(zhí)行正確無誤的指令。

車載計算機是列車微機控制系統(tǒng)的主要核心部件。整個車輛控制系統(tǒng)中,為了滿足不同應(yīng)用要求和系統(tǒng)安全性及可靠性需求,將微機控制系統(tǒng)中一些關(guān)鍵部件由傳統(tǒng)單芯片微機改為高可靠性安全性、具有冗余容錯的車載計算機部件。

例如CCU(中央控制單元)負責列車通信網(wǎng)絡(luò),TCU(牽引控制單元)負責控制牽引變流器和牽引電機,BCU(制動控制單元)負責列車制動等。由于這些控制單元在列車運行中至關(guān)重要,直接影響到行車安全,因而對其可靠性要求尤為嚴格。目前工程設(shè)計中常采用系統(tǒng)級雙機熱備冗余或一熱備一冷備冗余。如何設(shè)計出通用的高可靠性車載計算機控制單元,通過冗余措施確保對外運行安全性,并保留輸入輸出端口通用性,且能夠適應(yīng)列車微機控制系統(tǒng)的不同應(yīng)用要求,具有較好硬件兼容性以及應(yīng)用擴展性,設(shè)計與研究高可靠、高可用、高安全車載安全計算機的要求。它對于保證與提高整個列車微機控制系統(tǒng)可靠運行是十分有意義的。

本文研究與設(shè)計的車載計算機,主要針對基于嵌入式單片機芯片處理器、利用高主頻運算速度、大容量存儲單元、集成多種通用總線以及A/D,D/A轉(zhuǎn)換接口等特點,根據(jù)實際需要,移植實時操縱系統(tǒng)以及編寫相應(yīng)的上層應(yīng)用軟件,或者通過擴展外圍電路滿足特殊實際要求。微機單元運行中,需要對大量數(shù)據(jù)進行運算處理的控制單元。這一類計算機已應(yīng)用在大量信息處理、網(wǎng)絡(luò)通信控制、任務(wù)進程調(diào)度、故障診斷與終端顯示等場合,在列車微機控制系統(tǒng)中處于重要地位,決定著整個控制系統(tǒng)的可靠性與安全性。

2 系統(tǒng)組成及工作原理

整個系統(tǒng)主要由3個CPU和FPGA(現(xiàn)場可編程的陣列)構(gòu)成的FIFO(先入先出)模塊以及表決器組成。從系統(tǒng)結(jié)構(gòu)圖可以看出,不僅對 CPU模塊進行冗余,而且信號緩沖、輸出接口都冗余設(shè)計。實際應(yīng)用中,CPU模塊可以根據(jù)技術(shù)需要選擇X86、PC104系統(tǒng),也可選擇ARM,DSP等其他微機芯片設(shè)備。

車載計算機的工作原理如圖1所示。3個獨立的CPU單元通過數(shù)據(jù)采樣設(shè)備獲取數(shù)據(jù),進行處理后分別輸出至各自對應(yīng)FPGA的 FIFO模塊;FPGA將得到的數(shù)據(jù)以先入先出的模式傳送至表決器,進行3取2表決,得到正確數(shù)據(jù)。表決器確定一個正確工作的CPU,將控制信號傳輸至輸出控制單元。表決器應(yīng)當保證此時有且僅有一個輸出控制單元工作,使得正確工作的CPU將運算結(jié)果通過輸出轉(zhuǎn)換單元傳至外部設(shè)備。

圖1 車載計算機結(jié)構(gòu)框圖

車載計算機冗余模式可以考慮 TMR(三模冗余),通過表決器獲得正確結(jié)果?？紤]到車載計算機應(yīng)用的通用性,CPU模塊宜選用ARM芯片。

3 冗余模式的選擇

冗余方式主要有雙模冗余、三模冗余、N模冗余等?？紤]到實際運用中的可靠性,無論是雙機一冷備一熱備還是雙機熱備,都比三模冗余表決系統(tǒng)的可靠性高。通過分析,三模冗余表決系統(tǒng)的最大優(yōu)點在于故障判斷和切換時輸出連續(xù)不中斷,信息數(shù)據(jù)可以持續(xù)輸出。雙模冗余采用比較方式,三模冗余采用多數(shù)表決(3取2)。一旦系統(tǒng)發(fā)生錯誤,雙模冗余不能對故障進行判斷和定位,不能保證輸出結(jié)果正確性。三模冗余可確保一個單元發(fā)生錯誤時,整個系統(tǒng)仍能保證有正確的數(shù)據(jù)輸出,并準確地判斷和定位發(fā)生故障的單元。通過容錯管理軟件控制,可根據(jù)實際需要將三模冗余降到雙模冗余,再根據(jù)需要從雙模冗余降到單模運行,從而確保了在一個CPU模塊發(fā)生故障時整個系統(tǒng)依舊可以正常工作、兩個CPU模塊發(fā)生故障仍可以確保系統(tǒng)安全運行。整個系統(tǒng)根據(jù)“故障-安全-故障-運行”的工作思想進行設(shè)計系統(tǒng)的冗余工作方式。

4 表決器設(shè)計

表決器設(shè)計時主要包括輸入和輸出兩部分。輸入接口設(shè)計成FIFO結(jié)構(gòu),每個CPU模塊分別將經(jīng)過處理的數(shù)據(jù)輸入FPGA多數(shù)表決。表決器可用FPGA邏輯單元構(gòu)成,根據(jù)表決結(jié)果,輸出一個統(tǒng)一開關(guān)控制信號,分別輸至3個CPU模塊各自對應(yīng)的輸出控制單元。輸出控制單元根據(jù)控制信號進行判斷,決定最終向外輸出的CPU模塊。每次僅有一個CPU模塊向外界設(shè)備輸出運算結(jié)果。

這里采用FIFO,因為它既能保證信息交換傳輸?shù)母咚俾?又可以有效地避免芯片系統(tǒng)布線。特別在FPGA中,可以方便地構(gòu)造多個FIFO及其邏輯組合。雙口RAM結(jié)構(gòu)存儲器需要系統(tǒng)總線提供足夠多的數(shù)據(jù)線、地址線、命令線和控制線,也存在占用接點過多的問題。在研究與設(shè)計中,應(yīng)綜合比較考慮兩者特點。

由于輸出部分表決判斷3個CPU模塊的運行結(jié)果,理論上3個完全相同的CPU模塊加載運行相同的程序,當同一個信號數(shù)據(jù)輸入時,應(yīng)當輸出相同的運算結(jié)果。假設(shè)單獨一塊CPU模塊因工作環(huán)境干擾導致死機或程序跑飛,必有一個錯誤的信號或數(shù)據(jù)輸出。通過3取2表決三模冗余,可以屏蔽錯誤信號,得到一個正確的結(jié)果。表決器通過表決,將正確運行的CPU接通對外設(shè)備輸出,并可以根據(jù)各個CPU發(fā)生錯誤的累計次數(shù),將故障的CPU切斷脫離工作狀態(tài),重新上電恢復工作。

由于表決器是單獨電子設(shè)備,因而決定了整個系統(tǒng)的可靠性,設(shè)計時對表決設(shè)備進行旁路設(shè)計。表決器本身可以自檢。如果表決器出現(xiàn)短暫輸出錯誤(如不能同時選擇2個CPU模塊或者3個CPU模塊對外輸出),或是表決器無法正常實現(xiàn)表決工作,則通過默認配置,將之前系統(tǒng)連續(xù)正確工作的CPU作為對外輸出的單元構(gòu)成單模系統(tǒng),或依次對外單獨工作;也可以考慮將表決器進行三模冗余,提高整個系統(tǒng)的可靠性。

5 同步設(shè)計

在三模冗余系統(tǒng)中,時鐘同步信號直接影響整個系統(tǒng)效率。不同步的時鐘信號直接導致各個CPU處理數(shù)據(jù)結(jié)果也不同步,表決器得到錯誤數(shù)據(jù),冗余系統(tǒng)沒有意義。工程應(yīng)用中通過軟件同步以及硬件同步來實現(xiàn)時鐘同步的功能。軟件同步通常應(yīng)用于通信系統(tǒng)。事實上,由于芯片間批量數(shù)據(jù)高速通信,各個模塊之間大量數(shù)據(jù)交換,軟件同步大多較難滿足要求,因此采用硬件同步為滿足實時性要求。硬件同步方法可以達到納秒級的同步精度,這是軟件通信同步無法達到的精度。工程中常用的硬件同步方法如下：

(1)公共時鐘信號——所有CPU模塊采用同一時鐘信號。此方法簡單并且可以保證時鐘信號同步精確度。由于采用了同一時鐘信號,公共時鐘發(fā)生故障后很容易引起全部時鐘信號錯誤。

(2)精確獨立時鐘信號——各CPU模塊采用獨立時鐘,理論上保證足夠精確就可保證各個時鐘信號同步。實際上,各個獨立的時鐘信號在輸出頻率之間一定會存在細微差異;當差異逐漸積累,最終導致時鐘不同步,表決器無法正常工作。

(3)互反饋獨立時鐘信號——各CPU模塊采用獨立時鐘信號,各時鐘之間互反饋調(diào)節(jié)達到同步功能。此方法硬件設(shè)計復雜,但可以提供長時間外部沒有參考的冗余容錯時鐘信號。

3個CPU模塊采用各自獨立時鐘,但用同一個時鐘(同步時鐘)基準進行同步控制。為提高同步時鐘可靠性,由CPU模塊上的時鐘對同步時鐘進行檢測。如果檢測時鐘正常則采用同步時鐘,如果檢測發(fā)現(xiàn)時鐘錯誤則切換到CPU時鐘。此時,3個CPU單元如果無法實現(xiàn)同步,必須降模運行,其余作為冷備運行。

圖2是同步時鐘檢測電路的設(shè)計。該部分選擇FPGA來實現(xiàn)硬件電路。作為一種集成了眾多的邏輯單元芯片,FPGA內(nèi)部可以根據(jù)實際需要對邏輯門進行軟件分配,構(gòu)造實際需要的各種門電路,并且體積小、靈活性高、處理速度快。關(guān)鍵在于與傳統(tǒng)分立元件不同有較高的可靠性。

圖2 同步時鐘檢測電路

6 軟件設(shè)計

傳統(tǒng)列車微機控制系統(tǒng)中設(shè)計編寫的應(yīng)用軟件,往往是針對不同的微機平臺和功能。這樣設(shè)計的好處在于應(yīng)用軟件具有靈活的操作性適用性,缺點是整個應(yīng)用程序的可靠性完全依賴設(shè)計人員的專業(yè)水平。微機以及程序在工作時發(fā)生死機現(xiàn)象以及程序跑飛的情況與應(yīng)用軟件直接相關(guān)。

通過在列車車載計算機CPU模塊芯片單元內(nèi)移植VxWorks實時操作系統(tǒng),根據(jù)不同的應(yīng)用場合,編寫移植相對應(yīng)的應(yīng)用程序。VxWorks是美國WIND RIVER風河公司推出的操作系統(tǒng),在眾多對于強調(diào)安全的工程項目,諸如衛(wèi)星系統(tǒng),戰(zhàn)斗機控制系統(tǒng)等有著廣泛的工程實際應(yīng)用。列車控制系統(tǒng)上移植與應(yīng)用實時操作系統(tǒng)是微機控制系統(tǒng)發(fā)展的方向與趨勢。其原因是：首先,整個系統(tǒng)的可靠性由實時操作系統(tǒng)保證,避免了單獨片上程序運行中死機問題;其次,可以根據(jù)車載計算機在不同場合的需要,裁剪相應(yīng)的系統(tǒng)操作部件;最后,VxWorks在列車信號控制系統(tǒng)等其他方面已經(jīng)有較廣泛的應(yīng)用。

整個車載計算機CPU模塊VxWorks系統(tǒng)啟動流程如圖3所示。

圖3 VxWorks系統(tǒng)啟動流程

VxWorks系統(tǒng)啟動分為兩個階段。

第一階段流程如圖3右側(cè)：首先執(zhí)行 RomInit(),主要完成的任務(wù)包括禁止中斷、保存啟動類型(冷/熱啟動)和硬件相關(guān)初始化;然后調(diào)用RomStart(),主要完成將BootRom的數(shù)據(jù)段和代碼段從ROM復制到RAM中,并清空內(nèi)存;隨后調(diào)用UsrInit(),執(zhí)行系統(tǒng)初始化程序;最后執(zhí)行SysHwInit()和kernelInit(),初始化系統(tǒng)硬件并啟動內(nèi)核,清空緩存。至此,BootRom階段啟動結(jié)束。

第二階段流程如圖3左側(cè)圖示進行VxWorks系統(tǒng)映像：通過第一階段加載的BootRom引導映像,將VxWorks映像裝入到RAM中,跳轉(zhuǎn)到VxWorks映射入口;調(diào)用SysInit(),完成包括鎖住中斷、禁用緩沖、初始化處理器得到一個缺省值、指明啟動類型等任務(wù);系統(tǒng)再依次調(diào)用 UsrInit(),SysHwInit()和KernelInit();硬件和內(nèi)核完成初始化后,系統(tǒng)執(zhí)行UsrRoot()。該程序主要完成初始化I/O操作系統(tǒng)、安裝設(shè)備驅(qū)動程序、創(chuàng)建設(shè)備等任務(wù)。最后啟動應(yīng)用程序。車載計算機的設(shè)備驅(qū)動特定,并不需要創(chuàng)建其他設(shè)備,所以這些步驟在UsrRoot()函數(shù)中能完成,并最后啟動應(yīng)用程序[3]。

上述采用BootRom+VxWorks的啟動方式多用于車載計算機研究設(shè)計以及調(diào)試階段,程序映像即可存放在硬盤中,也可通過網(wǎng)絡(luò)加載。采用這種啟動方式的優(yōu)點是適應(yīng)硬件、方便調(diào)試和現(xiàn)場升級,并且由于設(shè)計了BootRom,整個設(shè)計也考慮到CPU模塊的兼容性。通過研究與移植實時操作系統(tǒng),可提高車載計算機可靠性與安全性。

7 結(jié)語

近年來越來越重視干線運輸及城市軌道交通中列車車輛控制系統(tǒng)可靠性及安全性的研究。車載計算機作為車輛微機控制系統(tǒng)中的重要環(huán)節(jié),其自身安全性及可靠性至關(guān)重要。本文從硬件和軟件2個方向,介紹了一種車載計算機的高可靠性研究及設(shè)計方案,討論了一些主要問題,探討冗余容錯的硬件實現(xiàn)技術(shù)方法以及軟件系統(tǒng)特點。工程人員在研究設(shè)計列車車輛控制系統(tǒng)時,始終需要把安全放在重要位置,以確保車輛控制系統(tǒng)穩(wěn)定運行。

[1] 唐濤,郜春海,張方,等.高速鐵路列車運行控制系統(tǒng)車載設(shè)備安全性設(shè)計[J].北方交通大學學報,1999,23(5)：83.

[2] 張利芬,袁普及.嵌入式冗余計算機的設(shè)計與實現(xiàn)[J].計算機工程,2009,35(2)：230.

[3] 李小康,高榮芳,陳江.VxWorks啟動過程解析[J].中國科技信息,2008(21)：94.