HU216216B - Mikroprocesszoros biztonsági rendszer, főleg vasúti közlekedés területén való alkalmazásra - Google Patents

Abstract

A találmány mikrőprőcesszőrős biztőnsági rendszer főleg vasútiközlekedés területén való alkalmazásra, amely rendszer jeladó egységek(CP) által szőlgáltatőtt adatők függvényében beavatkőzó zerveket (ACT)ellenőriz és vezérel. A biztőnsági rendszert az jellemzi, hőgylegalább két, űgyanazőn fűnkciót ellátó, párhűzamős mikrőprőcesszőrt(P1, P2) főglal magában, amelyek bemenetei a jeladó gységek (CP)előzetesen kódőlt adatait (DE) veszik, s amelyeknek a kimenőbiztőnsági adatai újra be vannak őlvasva a bemenőadatőkkal valóösszehasőnlíthatóság érdekében. A biztőnsági rendszer magában főglaltővábbá egy harmadik, "döntnöknek" nevezett összehasőnlítómikrőprőcesszőrt (P3), amelynek a feladata a két fűnkciőnálismikrőprőcesszőr (P1, P2) karakterisztikűs, kódőlt eredményeinek (R1,R2 biztőnságős összehasőnlítása szőftver segítségével, majd ennekfüggvényében egy dinamikűs ellenőrző egység (CD) vezérlése, amelyegység a kimenőadatők (DS) beavatkőzó szervekhez (ACT) való tővábbítáát engedélyezi. ŕ

Description

A jelen találmány tárgya mikroprocesszoros biztonsági rendszer, amelyet főleg vasúti szállításban alkalmaznak a beavatkozó szerveknek a jeladó egységek által szolgáltatott adatok függvényében történő vezérlésére.

Egészen napjainkig minden irányított biztonsági rendszerben, főleg a vasúti szállításban, a biztonságot belső biztonsági szabályokat kielégítő alkotóelemek és áramkörök révén valósították meg.

A belső biztonság a fizika törvényein - például a gravitáción - és egy mindenre kiteijedő meghibásodási modellen alapul. A rendszert mindennemű meghibásodásnak „korlátozó” állapotba kell vinnie, vagyis olyanba, amelyben az irányító funkciói korlátozva vannak. Vasúti rendszerekben a korlátozó állapot általában a vonat leállítását jelenti.

A mikroprocesszorok megjelenésük óta szerepet játszanak ezeknek a biztonsági funkcióknak a megvalósításában. Ezeknek a programozott biztonsági rendszereknek a koncepciója két elven alapul, nevezetesen egyfelől az információ kódolásával létrehozott információredundancián - ami azt jelenti, hogy a funkcionális adatokat olyan ellenőrző részekkel egészítik ki, amelyek lehetővé teszik a biztonságossá teendő rendszer hibáinak és működési zavarainak felderítését - másfelől pedig hardverredundancián — ami azt jelenti, hogy párhuzamosan több számítóegységet is használnak, és az eredmények összehasonlítását hardver vagy szoftver alkotóelemek végzik.

Az információkódolás technikájában csupán egyetlen mikroprocesszor használatos, de ez olyan redundáns információt dolgoz fel, amely egy funkcionális és egy kódolt részből áll. Ez lehetővé teszi, hogy két különböző információról kettős algoritmust kapjunk. Az algoritmus eredményeként kapott szignatúrajel továbbkerül a belső biztonság érdekében létrehozott külső ellenőrző egység felé, amit dinamikus ellenőrző egységnek neveznek. Ha az eredmény megfelel a kódnak, akkor az ellenőrző egység jóváhagyja azt, és engedélyezi a biztonsági kimenőjelek továbbhaladását kifelé, azaz a beavatkozó szervek felé. Ellenkező esetben a kimenőjelek nem kapnak jóváhagyást, és továbbhaladásuk korlátozva van. Megjegyzendő, hogy a biztonsági kimenőjelek legtöbbször fünkcionálisan vannak létrehozva, majd újra beolvasásra kerülnek, és biztonsági szempontból össze vannak hasonlítva a vezérlő értékekkel.

Ennél a kódprocesszorosnak nevezett eljárásnál az alkalmazott kódolás teljesítményétől függően - kisebb-nagyobb valószínűsége van annak, hogy hibák felderítetlenül maradnak, de az eljárás legnagyobb hátránya az, hogy jelentősen megnő a számítási idő és a programozása nehézkes. Ezzel szemben a rendszer biztonsága nem igényel különösebb műszaki elővigyázatosságot, így bármilyen közönséges ipari mikroproceszszort használni lehet.

A hardverredundancia technikájában a biztonságot legalább két mikroprocesszor párhuzamos működése biztosítja. Az összehasonlítás és engedélyezés kívülről történik, mégpedig vagy kölcsönös összehasonlítással, vagy belső biztonsági technikákkal realizált hardverrel.

Az alkalmazott szoftver - vagy teljesen azonos módon, vagy szándékosan aszimmetriát belevíve - a két mikroprocesszorban van elhelyezve.

Ahhoz, hogy az ilyen, biprocesszorosnak nevezett technikával jó biztonsági szintet lehessen elérni, előre fel kell készülni a szokásos meghibásodásokra, és ez a két feldolgozási lánc egymástól való teljes függetlenségét kívánja meg, nevezetesen külön buszokat és minden hardver megkettőzését. Fel kell készülni rejtett hibákra is, ami szinte kötelezővé teszi a két mikroprocesszor öntesztelő és egymást kölcsönösen tesztelő eljárásokkal való kibővítését.

A mikroprocesszorok szinkronizálása sokszor kényes feladat, és a biztonság ezen mikroprocesszorok működésének ismeretén alapul. Viszont a mikroprocesszorok nincsenek számítással túlterhelve, mert az információ nincs kódolva.

Mindazonáltal, ha az összehasonlító egység belső biztonsággal rendelkezőre van kialakítva, a biztonsági hardver mennyisége - ami egyébként alkalmazásspecifikus - megfizethetetlen költségekre vezet.

Jelen találmányunknak tehát az a fő célja, hogy az említett két technika hátrányait kiküszöbölje, ugyanakkor megtartsa azok előnyeit.

Ennek érdekében jelen találmányunk tárgya egy olyan mikroprocesszoros biztonsági rendszer, amelyet főképp az jellemez, hogy legalább két, ugyanazon funkciót ellátó párhuzamos mikroprocesszort tartalmaz, amelyek bemenetel ajeladó egységek előzetesen kódolt adatait veszik, és amelyeknek a kimenőadatai a biztonság érdekében újra be vannak olvasva, majd a bemenőadatokkal össze vannak hasonlítva; tartalmaz továbbá egy harmadik, „döntnöknek” nevezett mikroprocesszort is, amelynek a feladata a két funkcionális mikroprocesszor karakterisztikus, kódolt eredményeinek biztonságos összehasonlítása szoftver segítségével, majd ennek függvényében egy dinamikus ellenőrző egység vezérlése, ami a kimenőadatok beavatkozó szervekhez való továbbítását engedélyezi.

Ilyen konfiguráció esetén, amelynél csak a bemenőés a kimenőadatok vannak kódolva, magát az alkalmazást a kettős feldolgozás következtében nem szükséges kódolni, így a számítási idő ésszerű keretek között marad. Sőt, a szükséges biztonsági hardver mennyisége is kisebb, ami csökkenti az egész rendszer összköltségét. Végezetül - amint azt az alábbiakban látni fogjuk egy ilyen rendszer működtetése egyszerű és használata rendkívül rugalmas.

A két funkcionális mikroprocesszor közé előnyösen időeltolódás van beiktatva, ami által elkerülhetők az olyan szokásos hibák, amelyeket például elektromágneses zavarok idéznek elő.

A találmány szerinti biztonsági rendszer előnyösen egyetlen kétirányú buszt is tartalmaz, amelyen az egyes mikroprocesszorok közötti információáramlás lebonyolódik.

Ez azért lehetséges, mert az áramló információ biztonsága kódolással és adatmegjelöléssel biztosítva van.

A találmányt rajzok alapján ismertetjük közelebbről. A mellékelt rajzokon az

1. ábra a találmány szerinti biztonsági rendszer működését ábrázoló tömbvázlat, míg a

2. ábra az 1. ábra szerinti biztonsági rendszer fizikai felépítését ábrázoló tömbvázlat.

Általában minden biztonsági rendszer - vagy más néven ellenőrző-vezérlő rendszer - jeladó egységekkel és beavatkozó szervekkel működik. Analóg bemenőjeleket vesznek, ezeket digitális adatokká alakítják át, az adatokat algoritmusok segítségével feldolgozzák és digitális kimenőjeleket állítanak elő, végül a digitális kimenőjeleket analóg jelekké alakítják, amelyek lehetővé teszik a beavatkozó szervek vezérlését.

Az 1. ábra szerinti tömbvázlaton találunk tehát egy vagy több bemeneti CP jeladó egységet, amely a rendszernek bemenő DE adatokat szolgáltat. Ezek az analóg típusú bemenő DE adatok utána a memóriába kerülnek, és egy A/N| analóg/digitális átalakító digitálisan kódolt adatokká alakítja, még mielőtt a párhuzamosan elhelyezett, és azonos funkciót ellátó két funkcionális Pl, P2 mikroprocesszor bemenetelre kerülnek. A kettős feldolgozásból kifolyólag magát az alkalmazást nem szükséges kódolni. Ezzel szemben a bemenő- és a kimenőadatok a kódprocesszoros eljárás szerint kódolva vannak. Az egyes Pl, P2 mikroprocesszorok dekódolják, majd feldolgozzák az adatokat. Sőt, az egyes Pl, P2 mikroprocesszorok ezt bizonyos időeltolódással végzik azért, hogy az olyan szokásos hibák ellen védelmet nyújtsanak, mint amelyeket például elektromágneses zavarok idéznek elő.

Végül a Pl, P2 mikroprocesszorok által elvégzett feldolgozás RÍ, R2 eredményeit ezek a Pl, P2 mikroprocesszorok kódolják, mielőtt egy harmadik, összehasonlító - általunk „döntnöknek” is nevezett - P3 mikroprocesszornak továbbítanák őket.

A döntnök P3 mikroprocesszor szoftver segítségével biztonságosan elvégzi az RÍ, R2 eredmények összehasonlítását a kódprocesszoros eljárást használva. Minthogy a bemenőjeleit a Pl, P2 mikroprocesszorok előzetesen kódolták, a döntnök P3 mikroprocesszor algoritmusa abból áll, hogy összehasonlítja az RÍ, R2 értékét. Ha az összehasonlítás helyes, a döntnök P3 mikroprocesszor egy S szignatúrajelet ad ki - ami a jó működés jellemzője - egy belső biztonsággal realizált dinamikus CD ellenőrző egység felé. Ekkor a dinamikus CD ellenőrző egység - egy AG összeköttetésen keresztül - engedélyezi a funkcionális Pl, P2 mikroprocesszorok funkcionális s_i; Sj kimenőjeleinek általános kiadását, amint ezt a G kapu jelzi. Itt jegyezzük meg, hogy a valóságban csak a Pl, P2 mikroprocesszorok egyikének a funkcionális kimenőjelei vannak felhasználva. Másfelől, ha csak csekély eltérés van az eredmények között, akkor a döntnök P3 mikroprocesszor csak ezeket a kimenőjeleket tiltja egy AI összeköttetésen keresztül, amint azt az I kapu jelzi.

A funkcionális s_;, Sj kimenőjelek digitális adatait ekkor egy N/A digitális/analóg átalakító analóg kimenő DS adatokká alakítja át annak érdekében, hogy egy ACT beavatkozó szerv vezérelhető legyen. Másrészt ezek a kimenő DS adatok egy RL összeköttetésen keresztül egy második A/N₂ analóg/digitális átalakítóra kerülnek, majd az átalakítás után újra be vannak olvasva, és az eredetileg számított digitális adatokkal össze vannak hasonlítva, miáltal megvalósul a biztonságos ellenőrzés.

Most pedig részletesen ismertetjük a találmányunk működését és előnyeit a 2. ábra kapcsán, amely a találmány szerinti biztonsági berendezés fizikai felépítését ábrázolja vázlatosan.

Ezen az ábrán mindenekelőtt megtaláljuk a Pl, P2, P3 mikroprocesszorokat, amelyek rá vannak kötve egy kétirányú, szabványosított, közös B buszra, amelyen keresztül a biztonsági rendszert alkotó különféle modulok közötti információáramlás végbemegy. Valójában ennek a B busznak semmilyen különösebb biztonsági megkötésnek nem kell megfelelnie, mivel a rajta keresztül áramló információ kódolással és adatmegjelöléssel biztosítva van.

Az ábrán találunk továbbá egy bemeneti/kimeneti E/S illesztőegységet, amelyen keresztül a bemenő DE adatok és a kimenő DS adatok áramlanak. Az elkerülhetetlen, hogy a bemenetek ne egyetlen egységként legyenek kialakítva, mert csak ily módon lehet lehetünk bizonyosak afelől, hogy a funkcionális Pl, P2 mikroprocesszorok ugyanazokat a bemenőjeleket dolgozzák fel. Ezek a bemenőjelek a kódprocesszoros eljárás szerint vannak kódolva, és a funkcionális Pl, P2 mikroprocesszorok rendelkezésére álló, a B buszra kötött kettős hozzáférésű MDA memóriába kerülnek. Az egész átviteli fázis alatt (illesztőegység, busz, soros összeköttetés) a biztonsági adatok kódolással vannak védve.

Amikor az adatok megvannak, a funkcionális Pl, P2 mikroprocesszorok - némi időeltolódással - működésbe lépnek. Mindkét Pl, P2 mikroprocesszor beolvassa a kettős hozzáférésű MDA memóriába a kapott bemenőadatokat, és egyenként jóváhagyja azokat. Ezután ezek a már jóváhagyott bemenőjelek kódolatlan formában kerülnek feldolgozásra. A feldolgozás végén mindkét Pl, P2 mikroprocesszor kiszámítja a kimenőjeleit, és előállítja a kódolt eredményeit a kódprocesszoros eljárás szerint.

A két Pl, P2 mikroprocesszor egyike egy bemeneti/kimeneti E/S illesztőegység segítségével létrehozza a fizikai kimenőjeleket, míg az egyes Pl, P2 mikroprocesszorok feldolgozásából származó eredmények - kódolt formában és adatmegjelöléssel ellátva - bekerülnek a kettős hozzáférésű DMA memóriába, ahol a harmadik P3 mikroprocesszor képezte döntnök rendelkezésére állnak. Ezenkívül mindkét Pl, P2 mikroproceszszor elvégzi a saját öntesztjét, és ezek eredményét integrálják a döntnök P3 mikroprocesszornak átadott RÍ, R2 eredményekbe.

A biprocesszoros architektúra biztonsága alapvetően az egyidejű működésmód hiányában rejlik. Minthogy az összehasonlítás a kimenőjeleken megy végbe, a tervezők nagy rugalmassággal tudják realizálni a Pl, P2 mikroprocesszorok alkotta modulokat. Ezek skálája két azonos kártya két azonos szoftverjétől egészen két különböző hardver két különböző szoftverjéig terjedhet.

A döntnök P3 mikroprocesszor megkapja a Pl mikroprocesszortól az RÍ eredményt, valamint a P2 mikro3 processzortól az R2 eredményt, és páronként összehasonlítja azokat a kódolt adatokra adekvát műveletek felhasználásával, a kódprocesszoros eljárás szerint. Az összehasonlító funkció szoftver segítségével való elvégzése módot ad a kimenőjelek koherenciájának ellenőrzésére, és/vagy minden egyes kimenőjel szűrésére. A tervezők tehát nagyfokú rugalmassággal rendelkeznek a döntnök P3 mikroprocesszor realizálásakor, és részlegesen tilthatják a kimenőjeleket, lehetővé téve a kimenőjelek újrakonfigurálását, ha vannak páronként azonosak. Ezen túlmenően a döntnök P3 mikroprocesszor biztonsági szempontból ellenőrzi a biprocesszoros struktúra helyes működését, vagyis az időeltolódást és az öntesztek eredményét.

A döntnök P3 mikroprocesszor összehasonlító szoftveije egy elektronikus processzorkártyában van elhelyezve, ami azonos lehet a biprocesszoros struktúra kártyáival, míg az összehasonlító funkció biztonsága az információkódolás technikájának felhasználásával van biztosítva. A funkció jóváhagyása a döntnök P3 mikroprocesszor által kiszámított és a helyes működést jelző S szignatúrajélnék a dinamikus CD ellenőrző egység részére történő kiadásával megy végbe. Sőt, ez az S szignatúrajel egy időben változó, úgynevezett felfrissítő információ révén dinamikussá van téve. A belső biztonsággal realizált dinamikus CD ellenőrző egység tehát jóváhagyja egyfelől az S szignatúrajel megfelelő felfrissítését, másfelől magát az S szignatúraj elet, ami lehetővé teszi a döntnök P3 mikroprocesszor jó működésének garantálását.

A dinamikus CD ellenőrző egység ekkor egy, a B buszra kapcsolt A modul segítségével engedélyezi a kimenőjelek általános kiadását, míg maga az A modul a kimenőjelek egyedi kiadását engedélyezi. Másképpen szólva: ha az Rl, R2 eredmények között részleges eltérés van, csak az eltérő jelek vannak tiltva vagy korlátozva. A döntnök P3 mikroprocesszor hibás működése esetén természetesen valamennyi kimenőjel tiltva van. Ha szükséges, a rendelkezésre állás javítása érdekében magát a döntnök P3 mikroprocesszort is lehet redundálni.

Végeredményben jól látható, hogy a találmány szerinti biztonsági rendszer nagyon rugalmasan használható a gyakorlatban, és a megkívánt biztonsági követelményeknek - ésszerű költségekkel és számítási idővel - eleget tesz.

Különösen figyelemre méltó, hogy az ilyen architektúra lehetővé teszi a találmány egyszerű kiteqesztését kettőnél több funkcionális mikroprocesszort tartalmazó összetettebb struktúrákra. A döntnök (P3 mikroprocesszor) szoftverje ekkor további hardver nélkül is képes egy n többségi logikát biztosítani p számú mikroprocesszor között. Másképpen szólva ez azt jelenti, hogy p számú mikroprocesszor közül legalább n számú mikroprocesszornak ugyanazt az eredményt kell kapnia ahhoz, hogy a biztonsági kimenőjelek jóváhagyhatok legyenek. Magától értetődik egyébként, hogy ez esetben a döntnök szoftveije a funkcionális mikroprocesszorok bármelyikében elhelyezhető.

Claims (7)

1. Mikroprocesszoros biztonsági rendszer főleg vasúti közlekedés területén való alkalmazásra, amely rendszer jeladó egységek (CP) által szolgáltatott adatok függvényében beavatkozó szerveket (ACT) ellenőriz és vezérel, azzal jellemezve, hogy legalább két, ugyanazon funkciót ellátó, párhuzamos mikroprocesszort (Pl, P2) foglal magában, amelyek bemenetel a jeladó egységek (CP) előzetesen kódolt adatait (DE) veszik, s amelyeknek a kimenő biztonsági adatai újra be vannak olvasva a bemenőadatokkal való összehasonlíthatóság érdekében; továbbá magában foglal egy harmadik, „döntnöknek” nevezett összehasonlító mikroprocesszort (P3), amelynek a feladata a két funkcionális mikroprocesszor (Pl, P2) karakterisztikus, kódolt eredményeinek (Rl, R2) biztonságos összehasonlítása szoftver segítségével, majd ennek függvényében egy dinamikus ellenőrző egység (CD) vezérlése, amely egység a kimenőadatok (DS) beavatkozó szervekhez (ACT) való továbbítását engedélyezi.

2. Az 1. igénypont szerinti biztonsági rendszer, azzal jellemezve, hogy a két fünkcionális mikroprocesszor (Pl, P2) közé időeltolódás van beiktatva.

3. Az 1. vagy 2. igénypont szerinti biztonsági rendszer azzal jellemezve, hogy egy darab kétirányú buszt foglal magában, amelyen keresztül a különböző mikroprocesszorok (Pl, P2, P3) közötti információáramlás végbemegy.

4. Az 1-3. igénypontok bármelyike szerinti biztonsági rendszer, azzal jellemezve, hogy a döntnök mikroprocesszor (P3) egy algoritmust foglal magában, amely a két fünkcionális mikroprocesszor (Pl, P2) eredményeinek (Rl, R2) összehasonlításán kívül lehetővé teszi a kimenőjelek szűrését és koherenciájuk ellenőrzését.

5. A 4. igénypont szerinti biztonsági rendszer, azzal jellemezve, hogy a döntnök mikroprocesszor (P3) algoritmusa lehetővé teszi bizonyos eredményeltérések esetén a kimenőjelek részleges tiltását.

6. Az 1-5. igénypontok bármelyike szerinti biztonsági rendszer, azzal jellemezve, hogy a két fünkcionális mikroprocesszornál (Pl, P2) több funkcionális mikroprocesszort, és egy döntnök mikroprocesszort (P3) tartalmaz, ami egy n többségi logikát biztosít p számú mikroprocesszor között.

7. A 6. igénypont szerinti biztonsági rendszer, azzal jellemezve, hogy a döntnök mikroprocesszor (P3) szoftverje a funkcionális mikroprocesszorok egyikében van elhelyezve.