CN113682348A - 一种基于通信的联锁新型双机切换方法 - Google Patents

Abstract

本发明提供了一种基于通信的联锁新型双机切换***，其特征在于，所述***包含：I系主机；II系主机；同步模块，所述同步模块被配置成负责所述I系主机和所述II系主机之间的同步数据的交换和比较，并将所述I系主机和所述II系主机的主备状态发送给切换模块；以及切换模块，所述切换模块被配置成基于所述同步模块所发送的主备状态来实现所述I系主机和所述II系主机的主备切换。

Description

一种基于通信的联锁新型双机切换方法

技术领域

本发明涉及轨道交通领域，尤其是涉及一种基于通信的联锁新型双机切换方法。

背景技术

随着计算机技术的发展，20世纪80年代，轨道交通信号***中出现了以数字计算机为基础的计算机联锁***。计算机联锁通过对车站作业人员的操作命令及现场表示的信息进行逻辑运算。进而对信号机及道岔等进行集中控制，使其达到相互制约。因此计算机联锁***的高可靠性是保障列车安全运行的关键。

冗余技术利用***的并联模型，能够确保设备发生故障时，能够自动转到正常设备上继续运行，提高了***的可靠性；

目前计算机联锁普遍采用双机热备冗余的方式来提高设备的可靠性。正常状态下，主系和备系同步运行，实时交互同步数据，从而保持输出一致，当主系发生故障时自动切换到备系。现有的冗余切换方式，在设备运行故障或人为热插拔时，经常出现报警不及时、切换后信号设备状态错误、故障原因难以定位、无法有效防护“双主”的情况。

现有的双主切换方式主要有以下缺点：

1)现有的双机切换方式由于数据同步性差、实时性不高导致切换后设备状态异常；

2)现有的双机切换方式无法快速检测到软件内部运行错误，导致报警及切换不及时；

3)现有的双机切换方式在双机不同步时无法快速定位到导致不同步的具***置；

4)现有的双机切换方式无法有效防护双机运行过程中出现的双主现象，导致危险侧的输出。

发明内容

提供本发明内容以便以简化形式介绍将在以下具体实施方式中进一步的描述一些概念。本发明内容并非旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

为了解决上述技术问题，根据本发明的一个方面，提供了一种用于联锁双机切换的***，所述***包括：

同步模块，所述同步模块被配置成负责两系主机之间的同步数据的交换和比较，并将所述两系主机的主备状态发送给切换模块，其中所述两系主机包括I系主机和II系主机；以及

切换模块，所述切换模块被配置成基于所述同步模块所发送的主备状态来实现两系主机的主备切换。

根据本发明的一个实施例，所述切换模块进一步包括：

切换开关，用于提供主备选择信号，其中所述主备选择信号被提供给所述两系主机的主机插件和采集驱动插件。

根据本发明的进一步实施例，所述切换开关至少包括四组双刀三掷模块，以提供三种状态的主备选择信号，其中所述三种状态包括：强制I系为主、强制II系为主以及主备自动选择。

根据本发明的进一步实施例，所述切换模块进一步包括：

I系主用确认继电器以及II系主用确认继电器，其中所述I系主用确认继电器和所述II系主用确认继电器互锁以防止I系和II系主机插件同时出现主用状态。

根据本发明的另一方面，提供了一种双机热备冗余***，所述***包含：

I系主机；

II系主机；

同步模块，所述同步模块被配置成负责所述I系主机和所述II系主机之间的同步数据的交换和比较，并将所述I系主机和所述II系主机的主备状态发送给切换模块；以及

切换模块，所述切换模块被配置成基于所述同步模块所发送的主备状态来实现所述I系主机和所述II系主机的主备切换。

根据本发明的一个实施例，所述I***主机和所述II系主机中的每一个被配置成：

在启动后进入“初始态”，并且响应于邻系主机处于非“主用”状态，进入“主用”状态，其中在所述“主用”状态下，主机从外部获得操作命令、采集现场设备状态、进行逻辑运算并对外输出运算结果。

根据本发明的进一步实施例，所述I***主机和所述II系主机中的每一个被进一步配置成：

在启动后进入“初始态”，并且响应于邻系主机处于“主用”状态，向所述邻系主机发送同步请求，并同时激活同步请求计时器；

如果在所述同步请求计时器达到第一预定阈值之前，没有接收到来自所述邻系主机的同步响应，则重新发送同步请求，并将所述同步请求计时器清零；以及

如果在所述同步请求计时器达到所述第一预定阈值之前，接收到来自所述邻系主机的同步响应，则进入“同步”状态，其中在所述“同步”状态下，向主系申请并取得同步数据并对所述同步数据进行校核。

根据本发明的进一步实施例，所述I***主机和所述II系主机中的每一个被进一步配置成：

在处于所述“同步”状态下时，对接收到的来自所述邻系主机的同步数据进行校验；

如果校验结果为正确，则更新从所述邻系主机接收的外设数据，并计算输出结果；

如果计算的输出结果与所述邻系主机输出的结果一致的次数达到第二预定阈值，则进入“热备”状态，其中在所述“热备”状态下，本系主机与所述邻系主机同时运行，并且当所述邻系主机停机故障时，本系主机进入所述“主用”状态；以及

如果计算的输出结果与所述邻系主机输出的结果不一致，则输出不一致的内存位置，并且如果不一致的次数达到第三预定阈值或持续超过预定时间，则返回所述“初始态”。

根据本发明的进一步实施例，所述I***主机和所述II系主机中的每一个被进一步配置成：

在处于所述“热备”状态下时，对接收到的来自所述邻系主机的同步数据进行校验；

如果校验结果为错误的次数达到第四预定阈值，则返回所述“初始态”；

如果校验结果为正确，则更新从所述邻系主机接收的外设数据，并计算输出结果；

如果计算的输出结果与所述邻系主机输出的结果不一致的次数达到第五预定阈值，则返回所述“初始态”。

根据本发明的进一步实施例，所述切换模块进一步包括指示灯，并且所述切换模块被进一步配置成：当备系主机计算的输出结果和主系主机输出的结果不一致时，通过所述指示灯给出报警。

与现有技术中的双机热备***相比，本发明所提供的基于通信的联锁新型双机切换方案至少具有以下优点：

1、联锁主系周期向备系发送自身从外界接收的外设数据，备系根据主系发送的外设数据来进行逻辑运算，严格保证了双机同步数据的实时性；

2、若联锁主系和备系连续运算不一致，则通过切换模块的指示灯给出报警，保证了报警的及时性；

3、主系和备系实时同步运算，主系每周期向备系发送自身所有的逻辑运算结果，备系每周期将从主系接收的逻辑运算结果与自身的逻辑运算结果进行逐一内存比较，比较不一致则立马将故障的内存位置发送至维修记录，从而快速定位到故障的具***置；以及

4、切换单元通过两系主用继电器互锁的方式有效防止双主现象的发生。

通过阅读下面的详细描述并参考相关联的附图，这些及其他特点和优点将变得显而易见。应该理解，前面的概括说明和下面的详细描述只是说明性的，不会对所要求保护的各方面形成限制。

附图说明

为了能详细地理解本发明的上述特征所用的方式，可以参照各实施例来对以上简要概述的内容进行更具体的描述，其中一些方面在附图中示出。然而应该注意，附图仅示出了本发明的某些典型方面，故不应被认为限定其范围，因为该描述可以允许有其它等同有效的方面。

图1是根据本发明的一个实施例的基于通信的联锁双机切换***的示例架构图。

图2A和2B是解说根据本发明的一个实施例的切换模块的切换过程的示意图。

图3是根据本发明的一个实施例的同步模块的示意同步状态图。

图4是根据本发明的一个实施例的主系和备系之间的动态报文交互流程的示意图。

图5是根据本发明的一个实施例的备系在“初始态”状态下的处理流程的示意流程图。

图6是根据本发明的一个实施例的备系在“同步”状态下的处理流程的示意流程图。

图7是根据本发明的一个实施例的备系在“热备”状态下的处理流程的示意流程图。

图8是根据本发明的一个实施例的主系的处理流程的示意流程图。

具体实施方式

下面结合附图详细描述本发明，本发明的特点将在以下的具体描述中得到进一步的显现。

图1是根据本发明的一个实施例的基于通信的联锁双机切换***100的示例架构图。如图1中所示，联锁双机切换***100由同步模块101和切换模块102两部分组成。同步模块101负责两系主机的同步数据通过以太网进行实时交换、实时比较，并将两系主机的主备状态发送给切换模块。替代地，两系主机之间还可通过串口、CAN总线等方式进行通信。作为非限制性示例，两系主机之间的通信可采用UDP、TCP等多种传输协议来进行。

切换模块102通过硬件开关改变继电器的励磁状态，从而改变主机插件上主机运行信号的逻辑值，来实现两系主机的切换。更具体地，图2A解说了切换模块的示例切换过程。

如图2A中所示，切换模块可包括切换开关，用于提供主备选择信号。在一个实施例中，切换开关为多组式倒切开关。在一个示例中，多组式倒切开关可至少包含4组双刀三掷模块，分别给I/II系主机插件和I/II系采集驱动插件提供输入，如图2B中所示。每系主机插件的A机和B机分别采集电平互斥的一组信号并在内部进行比较，如果输入信号都为悬空，则默认为主备系自动选择。每系的采集驱动插件采集切换开关的状态，状态包括：强制I系为主、强制II系为主、以及主备自动选择。

回到图2A，处于主系状态的主机插件通过例如FlexRay总线，将***主备状态、同步状态等信息发送至采集驱动插件，再通过硬线输出到切换单元的指示面板。

两系主机的主备状态信息通过例如以太网进行实时交换，当检测到双主状态时，可通过一定的策略确保***在几个周期内消除双主状态。在一个非限制性实施例中，一种可用于本发明的双主防护策略的双主防护原理如下：

切换单元内可设置I系主用确认继电器和II系主用确认继电器，I系主用确认继电器和II系主用确认继电器接收输出插件输出的I系或II系主用状态确认申请命令，并将其转换成一组触点状态发送至采集插件采集状态进行确认。联锁主机插件判断主用确认继电器与主机插件状态，仅当主用确认继电器与主机插件状态一致(例如，I系主用确认继电器吸起对应的I系主机插件为主用，或II系主用确认继电器吸起对应的II系主机插件为主用)时，联锁***才能正常工作。切换单元可通过主用确认继电器互锁保证I系主用确认继电器和II系主用确认继电器不能同时处于吸起状态，用以防止联锁I系和II系主机插件同时出现主用状态。在一个示例中，这可以通过将I系主用确认继电器的前接点和II系主用确认继电器的后接点串联来实现，使得这两个继电器不会同时吸起。

图3是根据本发明的一个实施例的同步模块的示意同步状态图。图3中示出的是一种示例单系联锁机同步状态转移图。图3中各状态的说明如下：

初始态：指联锁机未正常运行时的状态。

主用：指作为主系的工作状态。此时，该系从外部获得操作命令、采集现场设备状态、进行逻辑运算并对外输出运算结果。

同步：指联锁机由停机状态启动后，当检测到邻系处于主用状态时，向主系申请并取得同步数据以及对同步数据进行校核的过程。

热备：邻系处于主用状态，本系与邻系同步完成后与主系同时运行的过程。在热备状态下，该机逻辑运算产生运算结果不对外输出。

在一个示例性的典型应用场景中，存在I系和II系两套***，采用主备系自动选择。假设I系先启动，此时I系进入“初始态”，此时邻机非主用(因为II系晚于I系启动)，因此I系进入“主用”状态，即作为主系工作。随后II系启动，II系进入“初始态”，此时其判断邻机为主用，则II系进入“同步”状态，在该状态下，II系向主系(即I系)请求同步数据并对同步数据进行校核。若同步超时，则返回“初始态”。当数据同步成功后，II系进入“热备”状态。此时，主系备系均正常工作，***进入理想的热备冗余状态。在进入“热备”状态后，备系与主系保持同时运行和数据同步，若出现同步失败，则II系返回“同步”状态，重新寻求与主系的数据同步。

在此正常工作状态下，当主系(I系)发生故障时，停机并返回“初始态”。此时备系(II系)在联锁双机切换***的指令下热备切换成主系，即进入“主用”状态。随后，在I系从故障中恢复后，其会按照之前II系的流程，经过“同步”，作为备系进入“热备”状态。

返回到之前的正常工作状态，若备系(II系)发生故障时，停机并返回“初始态”，随后尝试故障恢复。此外，可以理解，如果备系在之前的“同步”状态下就发生故障停机，则同样返回“初始态”。

以下将结合附图4－8来进一步阐述本发明的主系和备系之间的同步原理和过程。

图4是根据本发明的一个实施例的主系和备系之间的动态报文交互流程的示意图。为了便于解说，在图4中，首先启动的主机成为主系主机(以下简称“主系”)，因而处于前面提到的“主用”状态，随后启动的另一系主机则作为备系主机(也称“备系”)，经过“初始态”、“同步”，最后进入“热备”状态。

主系自进入“主用”状态后，就可周期性地向备系发送同步数据。当备系还处于“初始态”时，可暂时不处理接收到的同步数据，而是向主系发送同步请求。当接收到同步请求后，主系向备系发送同步响应。当接收到同步响应后，备系可进入“同步”状态。

在“同步”状态下，备系对接收到的同步数据进行校验，并更新本地数据。随后，当连续一定周期(例如5个周期)，基于本地数据的逻辑运算结果与接收到的主系输出结果保持一致，则备系可认定与主系已完成同步，备系随后进入“热备”状态。在“热备”状态下，持续进行本地数据的计算结果与接收到的主系输出结果的比较，如果连续一定时长(例如2秒钟)或连续次数(例如5次)两者不一致，则备系转为“初始态”，重新运行之前的与主系间的同步过程。

更具体地，图5是根据本发明的一个实施例的备系在“初始态”状态下的处理流程的示意流程图。如图5中所示，***首先确认自己是否是作为备系在工作，如果否，则过程结束。如果是备系，则进一步确定目前是否处于“初始态”。如果不处于“初始态”，则过程结束。如果处于“初始态”，则备系向主系发送同步请求，并同时激活同步请求计时器。随后，同步请求计时器开始计时。当计时达到阈值(例如5个周期)之前，若收到来自主系的同步响应，则关闭同步请求计时器，更新本地数据，并将状态修改为“同步”，过程结束。当计时达到阈值(例如5个周期)后，若未收到同步响应，则重新发送同步请求，并将同步请求计时器清零。

图6是根据本发明的一个实施例的备系在“同步”状态下的处理流程的示意流程图。如图6中所示，***首先确认自己是否是作为备系在工作，如果否，则过程结束。如果是备系，则进一步确定目前是否处于“同步”状态。如果不处于“同步”状态，则过程结束。如果处于“同步”状态，则对收到的输入数据进行校验。在一个非限制性示例中，可通过例如CRC或MD4安全码来进行数据校验。

如果校验结果为正确，则更新从主系接收的外设数据，并计算输出结果。例如，备系可采用与主系相同的方法，基于从主系接收的外设数据以及设备的逻辑状态，计算输出结果。计算的内容可包括但不限于联锁应用的逻辑运算，例如按钮分析、进路选排、进路维护、信号开放等等。随后，将计算的输出结果与主系的输出结果进行比较。

如果两者是一致的，则将数据不一致计数器清零，并将数据一致计数器加一。随后，判断数据一致计数器是否大于阈值(例如5)。如果大于阈值，则备系的状态转为“热备”状态，同时将数据不一致计数器和数据一致计数器都清零，过程结束。如果不大于阈值，则过程结束，等待下一次接收到输入数据时重新执行本过程。

如果对收到的输入数据进行校验的结果为不正确，或者计算的输出结果与主系的输出结果比较的结果不一致，则将数据一致计数器清零，并将数据不一致计数器加一，同时提示不一致的内存位置。随后，判断数据不一致计数器是否大于阈值(例如5)。如果大于阈值，则备系的状态转为“初始态”，同时将数据不一致计数器和数据一致计数器都清零，过程结束。如果不大于阈值，则过程结束，等待下一次接收到输入数据时重新执行本过程。

图7是根据本发明的一个实施例的备系在“热备”状态下的处理流程的示意流程图。如图7中所示，***首先确认自己是否是作为备系在工作，如果否，则过程结束。如果是备系，则进一步确定目前是否处于“热备”状态。如果不处于“热备”状态，则过程结束。如果处于“热备”状态，则对收到的输入数据进行校验。

如果校验结果为不正确，则校验错误计数器加一。随后，判断校验错误计数器是否大于阈值(例如5)。如果大于阈值，则备系的状态转为“初始态”，同时将校验错误计数器清零，过程结束。如果不大于阈值，则过程结束，等待下一次接收到输入数据时重新执行本过程。

如果校验结果为正确，则将校验错误计数器清零，更新从主系接收的外设数据，并计算输出结果。随后，将计算的输出结果与主系的输出结果进行比较。

如果两者是一致的，则将数据不一致计数器清零，过程结束。如果两者不一致，则将数据不一致计数器加一，随后，判断数据不一致计数器是否大于阈值(例如5)。如果大于阈值，则备系的状态转为“初始态”状态，同时将数据不一致计数器和数据一致计数器都清零，过程结束。如果不大于阈值，则过程结束，等待下一次接收到输入数据时重新执行本过程。

以上描述了备系在“初始态”、“同步”以及“热备”状态下的处理流程。在一个附加实施例中，备系在任何状态下，都周期地向主系发送备系数据。

图8是根据本发明的一个实施例的主系的处理流程的示意流程图。如图8中所示，***首先确认自己是否是作为主系在工作，如果否，则过程结束。如果是主系，则进一步确定是否收到同步请求。如果没有收到同步请求，则过程结束。

如果收到同步请求，则将同步请求计时器清零。随后，向备系发送同步数据。数据可包括主系接收的外设数据和逻辑运算结果。之后，过程结束。

以上所已经描述的内容包括所要求保护主题的各方面的示例。当然，出于描绘所要求保护主题的目的而描述每一个可以想到的组件或方法的组合是不可能的，但本领域内的普通技术人员应该认识到，所要求保护主题的许多进一步的组合和排列都是可能的。从而，所公开的主题旨在涵盖落入所附权利要求书的精神和范围内的所有这样的变更、修改和变化。

Claims (10)

1.一种用于联锁双机切换的***，其特征在于，所述***包括：

同步模块，所述同步模块被配置成负责两系主机之间的同步数据的交换和比较，并将所述两系主机的主备状态发送给切换模块，其中所述两系主机包括I系主机和II系主机；以及

切换模块，所述切换模块被配置成基于所述同步模块所发送的主备状态来实现两系主机的主备切换。

2.如权利要求1所述的***，其特征在于，所述切换模块进一步包括：

切换开关，用于提供主备选择信号，其中所述主备选择信号被提供给所述两系主机的主机插件和采集驱动插件。

3.如权利要求2所述的***，其特征在于，所述切换开关至少包括四组双刀三掷模块，以提供三种状态的主备选择信号，其中所述三种状态包括：强制I系为主、强制II系为主以及主备自动选择。

4.如权利要求1所述的***，其特征在于，所述切换模块进一步包括：

I系主用确认继电器以及II系主用确认继电器，其中所述I系主用确认继电器和所述II系主用确认继电器互锁以防止I系和II系主机插件同时出现主用状态。

5.一种双机热备冗余***，其特征在于，所述***包含：

I系主机；

II系主机；

同步模块，所述同步模块被配置成负责所述I系主机和所述II系主机之间的同步数据的交换和比较，并将所述I系主机和所述II系主机的主备状态发送给切换模块；以及

切换模块，所述切换模块被配置成基于所述同步模块所发送的主备状态来实现所述I系主机和所述II系主机的主备切换。

6.如权利要求5所述的***，其特征在于，所述I***主机和所述II系主机中的每一个被配置成：

在启动后进入“初始态”，并且响应于邻系主机处于非“主用”状态，进入“主用”状态，其中在所述“主用”状态下，主机从外部获得操作命令、采集现场设备状态、进行逻辑运算并对外输出运算结果。

7.如权利要求6所述的***，其特征在于，所述I***主机和所述II系主机中的每一个被进一步配置成：

在启动后进入“初始态”，并且响应于邻系主机处于“主用”状态，向所述邻系主机发送同步请求，并同时激活同步请求计时器；

如果在所述同步请求计时器达到第一预定阈值之前，没有接收到来自所述邻系主机的同步响应，则重新发送同步请求，并将所述同步请求计时器清零；以及

如果在所述同步请求计时器达到所述第一预定阈值之前，接收到来自所述邻系主机的同步响应，则进入“同步”状态，其中在所述“同步”状态下，向主系申请并取得同步数据并对所述同步数据进行校核。

8.如权利要求7所述的***，其特征在于，所述I***主机和所述II系主机中的每一个被进一步配置成：

在处于所述“同步”状态下时，对接收到的来自所述邻系主机的同步数据进行校验；

如果校验结果为正确，则更新从所述邻系主机接收的外设数据，并计算输出结果；

如果计算的输出结果与所述邻系主机输出的结果一致的次数达到第二预定阈值，则进入“热备”状态，其中在所述“热备”状态下，本系主机与所述邻系主机同时运行，并且当所述邻系主机停机故障时，本系主机进入所述“主用”状态；以及

如果计算的输出结果与所述邻系主机输出的结果不一致，则输出不一致的内存位置，并且如果不一致的次数达到第三预定阈值或持续超过预定时间，则返回所述“初始态”。

9.如权利要求8所述的***，其特征在于，所述I***主机和所述II系主机中的每一个被进一步配置成：

在处于所述“热备”状态下时，对接收到的来自所述邻系主机的同步数据进行校验；

如果校验结果为错误的次数达到第四预定阈值，则返回所述“初始态”；

如果校验结果为正确，则更新从所述邻系主机接收的外设数据，并计算输出结果；

如果计算的输出结果与所述邻系主机输出的结果不一致的次数达到第五预定阈值，则返回所述“初始态”。

10.如权利要求9所述的***，其特征在于，所述切换模块进一步包括指示灯，并且所述切换模块被进一步配置成：当备系主机计算的输出结果和主系主机输出的结果不一致时，通过所述指示灯给出报警。

Images