徐 軍，孫軍峰，張 磊

（卡斯柯信號(hào)有限公司 研發(fā)中心，上海 200071）

高效的雙CPU系統(tǒng)安全數(shù)據(jù)交互機(jī)制的應(yīng)用

徐 軍，孫軍峰，張 磊

（卡斯柯信號(hào)有限公司 研發(fā)中心，上海 200071）

軌道交通行業(yè)中的嵌入式設(shè)備對(duì)系統(tǒng)安全性要求高，系統(tǒng)交互數(shù)據(jù)的安全性尤其重要。根據(jù)安全相關(guān)系統(tǒng)的安全性特點(diǎn)和需求，提出了一種基于雙口RAM的雙CPU系統(tǒng)安全數(shù)據(jù)交互機(jī)制，經(jīng)過在實(shí)際項(xiàng)目中應(yīng)用，可以滿足軌旁安全系統(tǒng)中數(shù)據(jù)傳輸?shù)陌踩⒖煽?、?shí)時(shí)、高速傳輸數(shù)據(jù)的需求。

安全數(shù)據(jù)；雙口RAM；自檢；角色輪換

軌道交通行業(yè)中，一些安全相關(guān)系統(tǒng)具有多塊板卡，各個(gè)板卡負(fù)責(zé)不同的功能，并組成多CPU系統(tǒng)。各個(gè)CPU之間存在復(fù)雜的數(shù)據(jù)傳輸過程，為了提高系統(tǒng)的整體安全性，需要保證各個(gè)CPU系統(tǒng)之間傳輸?shù)臄?shù)據(jù)安全可靠，并且能夠高速實(shí)時(shí)地交互，如果數(shù)據(jù)傳輸通道出現(xiàn)故障或者失效，導(dǎo)致交互的數(shù)據(jù)不能滿足安全性要求，最終影響整個(gè)設(shè)備或者系統(tǒng)的安全性，甚至引起災(zāi)難性后果[1]。

這些安全相關(guān)系統(tǒng)依賴于安全數(shù)據(jù)來控制整個(gè)系統(tǒng)的運(yùn)行，并應(yīng)用雙口隨機(jī)存取存儲(chǔ)器（Random Access Memory，RAM）作為安全數(shù)據(jù)高速傳輸通道[2]，交互大量的安全相關(guān)數(shù)據(jù)，包括狀態(tài)信息和控制命令等。根據(jù)雙口RAM的工作原理，雙口RAM兩端的控制芯片需要相互配合，共同完成數(shù)據(jù)的交互，硬件電路設(shè)計(jì)復(fù)雜，同時(shí)對(duì)數(shù)據(jù)訪問、地址譯碼、芯片控制的要求高，基于雙口RAM的數(shù)據(jù)交互過程成為了系統(tǒng)安全性的薄弱環(huán)節(jié)，雙口RAM在數(shù)據(jù)交互的過程中可能存在各種故障或者失效，包括系統(tǒng)性失效和硬件隨機(jī)失效[3]。

在安全相關(guān)系統(tǒng)中使用雙口RAM進(jìn)行數(shù)據(jù)通信時(shí)，必須滿足以下3個(gè)條件：

（1）避免雙口RAM的兩端板卡發(fā)生訪問沖突；

（2）提高雙口RAM的數(shù)據(jù)交互速度，不影響設(shè)備的數(shù)據(jù)通信量；

（3）保證在雙口RAM中存儲(chǔ)的數(shù)據(jù)完整性、正確性、可靠性。

依據(jù)上面的分析，本文將雙口RAM的數(shù)據(jù)交互過程進(jìn)行安全性設(shè)計(jì)，對(duì)雙口RAM的系統(tǒng)失效和硬件隨機(jī)失效進(jìn)行防護(hù)，降低系統(tǒng)的失效率，提高系統(tǒng)的安全性。

本文結(jié)合具體的軌旁安全平臺(tái)系統(tǒng)安全性要求和雙口RAM機(jī)制，設(shè)計(jì)了一種雙CPU系統(tǒng)安全數(shù)據(jù)交互機(jī)制，可以滿足軌旁安全平臺(tái)系統(tǒng)數(shù)據(jù)傳輸?shù)陌踩院蛯?shí)時(shí)性要求。

1 系統(tǒng)架構(gòu)

本文中提到的軌旁安全平臺(tái)系統(tǒng)主要用于軌道安全系統(tǒng)中軌道設(shè)備狀態(tài)采集與地鐵狀態(tài)控制。該設(shè)備實(shí)時(shí)的采集軌道設(shè)備狀態(tài)與地鐵列車車載控制器的運(yùn)行狀態(tài)，同時(shí)該設(shè)備將控制命令發(fā)送給軌道設(shè)備與地鐵列車車載控制器，來控制整個(gè)地鐵的正常運(yùn)行，該系統(tǒng)設(shè)備對(duì)數(shù)據(jù)傳輸?shù)陌踩浴⒖煽啃?、?shí)時(shí)性要求高。該系統(tǒng)由主處理板MPU、高速通信板HCU組成。

MPU與HCU通過雙口RAM交換系統(tǒng)的各種安全通信數(shù)據(jù)。數(shù)據(jù)交換框圖如圖1所示。

圖1 數(shù)據(jù)交換框圖

軌旁安全平臺(tái)系統(tǒng)中采用的雙口RAM芯片為CY7C028V-15AXI，最高讀寫速度為15 ns，數(shù)據(jù)容量為64 K x 16 bit。

雙口RAM 連接HCU 板的一端為MPC8247 的LOCAL BUS 總線，連接MPU 板的一端為CPCI 總線橋接芯片的LOCAL BUS 總線，HCU可以直接通過LOCAL BUS 總線訪問雙口RAM，而MPU板通過PCI 總線訪問。其中還有控制信號(hào)，如片選、讀寫、中斷、BUSY 信號(hào)等，雙口RAM交互電路圖如圖2所示。

圖2 雙口RAM交互電路圖

MPU作為邏輯運(yùn)算和控制模塊，負(fù)責(zé)對(duì)接收的安全數(shù)據(jù)進(jìn)行邏輯處理，并產(chǎn)生相應(yīng)的結(jié)果，控制整個(gè)系統(tǒng)安全的運(yùn)行。HCU作為數(shù)據(jù)通信接口，從外部接收或者采集系統(tǒng)的運(yùn)行狀態(tài)數(shù)據(jù)，并傳遞給MPU，同時(shí)將MPU產(chǎn)生的結(jié)果數(shù)據(jù)發(fā)送給相應(yīng)的執(zhí)行機(jī)構(gòu)或者外部設(shè)備。

雙口RAM 是MPU 板和HCU 板之間的數(shù)據(jù)交換空間，可以完成大批量、實(shí)時(shí)的數(shù)據(jù)交換。MPU板與HCU板之間交互的數(shù)據(jù)是安全相關(guān)數(shù)據(jù)，必須保證在雙口RAM中存取數(shù)據(jù)的完整性、正確性、可靠性，顯得尤其重要。

應(yīng)用于軌旁安全平臺(tái)系統(tǒng)中的雙口RAM，不僅要的避免多CPU訪問共享雙口RAM而引起的沖突問題，解決數(shù)據(jù)通信瓶頸問題，同時(shí)應(yīng)該能夠預(yù)防由雙口RAM功能故障或者硬件失效而引起的數(shù)據(jù)失效或丟失，滿足軌旁安全平臺(tái)系統(tǒng)的安全性和可靠性要求。

針對(duì)以上要求，本文提出了一種基于角色變換和自檢技術(shù)的雙口RAM數(shù)據(jù)安全、高效通信方案。

2 安全數(shù)據(jù)交互機(jī)制

為避免MPU和HCU同時(shí)對(duì)雙口RAM的同一個(gè)內(nèi)存單元進(jìn)行訪問，本設(shè)計(jì)沒有采用雙口RAM的中斷或者信號(hào)量等機(jī)制，而是采用了一種基于角色的環(huán)形緩沖收發(fā)機(jī)制，將雙口RAM的劃分為兩個(gè)獨(dú)立環(huán)形緩沖區(qū)：發(fā)送環(huán)形緩沖區(qū)和接收環(huán)形緩沖區(qū)。

發(fā)送環(huán)形緩沖區(qū)負(fù)責(zé)將MPU傳遞給HCU，最終發(fā)送給外部設(shè)備；HCU從外部設(shè)備接收到數(shù)據(jù)，放到接收環(huán)形緩沖區(qū)，并傳遞給MPU。

本設(shè)計(jì)將整個(gè)128 kbit的雙口RAM，分為數(shù)據(jù)交互區(qū)和狀態(tài)交互區(qū)，雙口RAM進(jìn)行角色功能分區(qū)示意圖如圖3所示。

其中，數(shù)據(jù)交互區(qū)用于MPU與HCU交換通信數(shù)據(jù)，其大小為126 kbit，將數(shù)據(jù)交換區(qū)分為上下環(huán)形緩沖區(qū)模塊，大小都為63 kbit，上模塊為發(fā)送環(huán)形緩沖區(qū)，下模塊為接收環(huán)形緩沖區(qū)。

發(fā)送環(huán)形緩沖區(qū)分為A、B、C共 3個(gè)區(qū)塊，每個(gè)區(qū)塊的大小都為21 kbit，每個(gè)區(qū)塊輪流性地被設(shè)置為3種角色：寫入?yún)^(qū)塊、讀出區(qū)塊、測試區(qū)塊。

接收環(huán)形緩沖區(qū)分為D、E、F 共3個(gè)區(qū)塊，每個(gè)區(qū)塊的大小都為21 kbit，每個(gè)區(qū)塊都輪流性地設(shè)置3種角色：寫入?yún)^(qū)塊、讀出區(qū)塊、測試區(qū)塊。

狀態(tài)交互區(qū)的大小為2 kbit，用作2個(gè)CPU系統(tǒng)交互狀態(tài)信息和告警信息。

圖3 雙口RAM功能角色示意圖

2.1 系統(tǒng)數(shù)據(jù)處理

軌旁安全平臺(tái)系統(tǒng)的主邏輯運(yùn)算模塊的運(yùn)行周期為600 ms，該模塊按照周期進(jìn)行數(shù)據(jù)接收、數(shù)據(jù)處理、數(shù)據(jù)輸出。

在第 個(gè)周期，MPU上的控制邏輯運(yùn)算模塊從雙口RAM接收到數(shù)據(jù)后，放到邏輯接收緩沖區(qū)；從邏輯接收緩沖區(qū)取出 個(gè)周期的數(shù)據(jù)并進(jìn)行邏輯處理；將 個(gè)周期的邏輯處理結(jié)果，從邏輯發(fā)送緩沖區(qū)中取出， 并放到雙口RAM中。

MPU上的控制邏輯運(yùn)算模塊對(duì)安全數(shù)據(jù)進(jìn)行邏輯處理的時(shí)間不超過300 ms，如果邏輯處理時(shí)間超過300 ms，就會(huì)影響MPU接收或者發(fā)送數(shù)據(jù)。

同樣，MPU上的控制邏輯運(yùn)算模塊接收、發(fā)送數(shù)據(jù)超過300 ms，也會(huì)影響邏輯處理功能。在接收發(fā)送處理階段，300 ms中的280 ms時(shí)間，被分為20個(gè)發(fā)送接收子周期，每一個(gè)子周期的時(shí)間為14 ms。

在HCU中，也是按照同樣的運(yùn)行節(jié)拍，從雙口RAM中寫入或讀出數(shù)據(jù)。

MPU與HCU之間交互的數(shù)據(jù)，按照預(yù)先定義的雙口RAM交換數(shù)據(jù)幀進(jìn)行。

2.2 雙口RAM功能處理

雙口RAM的發(fā)送與接收環(huán)形緩沖區(qū)的3個(gè)區(qū)塊，在任意一個(gè)周期，只能處于讀出、寫入、測試3種角色之一，而且區(qū)塊角色進(jìn)行周期輪換，如表1所示。

（1）W(M)：角色為寫入?yún)^(qū)塊，且MPU向區(qū)塊寫入數(shù)據(jù)；（2）R(H)：角色為讀出區(qū)塊，且HCU從區(qū)塊讀出數(shù)據(jù)；（3）T(H)：角色為測試區(qū)塊，且HCU對(duì)區(qū)塊進(jìn)行測試；（4）W(H)：角色為寫入?yún)^(qū)塊，且HCU向區(qū)塊寫入數(shù)據(jù)；（5）R(M)：角色為讀出區(qū)塊，且MPU從區(qū)塊讀出數(shù)據(jù)；（6）T(M)：角色為測試區(qū)塊，且MPU對(duì)區(qū)塊進(jìn)行測試。

表1 區(qū)塊角色輪換表

MPU與HCU通過雙口RAM區(qū)塊角色進(jìn)行數(shù)據(jù)交互的步驟如下：

（1）在2個(gè)CPU系統(tǒng)啟動(dòng)后，進(jìn)行初始化。同時(shí)時(shí)鐘模塊初始化后，為2個(gè)CPU提供統(tǒng)一的時(shí)鐘信號(hào)，時(shí)鐘模塊會(huì)提供1ms周期的時(shí)鐘信號(hào)，在2個(gè)CPU模塊上產(chǎn)生外部時(shí)鐘信號(hào)中斷，2個(gè)CPU模塊對(duì)中斷進(jìn)行計(jì)數(shù)。（2）讀出區(qū)塊內(nèi)容是否讀完，如果讀完，將該區(qū)塊設(shè)置的標(biāo)志變換為測試區(qū)塊，下個(gè)周期對(duì)該區(qū)塊進(jìn)行測試。（3）寫入?yún)^(qū)塊內(nèi)容是否寫完，如果寫完，將該區(qū)塊設(shè)置的標(biāo)志變換為讀出區(qū)塊，下個(gè)周期對(duì)該區(qū)塊進(jìn)行讀出。（4）測試區(qū)塊內(nèi)容是否測試完，如果測試完，將該區(qū)塊設(shè)置的標(biāo)志變換為寫入?yún)^(qū)塊，下個(gè)周期可以對(duì)該區(qū)塊進(jìn)行寫入。（5）對(duì)測試區(qū)塊進(jìn)行檢測，是否發(fā)現(xiàn)硬件隨機(jī)失效，若有在狀態(tài)交互區(qū)中進(jìn)行記錄狀態(tài)和告警信息。（6）當(dāng)時(shí)鐘信號(hào)計(jì)數(shù)值達(dá)到600 ms，就為一個(gè)接收發(fā)送周期，對(duì)3個(gè)區(qū)塊的角色進(jìn)行輪換。

MPU與HCU通過相同的外部時(shí)鐘中斷來驅(qū)動(dòng)數(shù)據(jù)處理軟件模塊的運(yùn)行，MPU與HCU在對(duì)雙口RAM進(jìn)行訪問時(shí)可以做到同步、流水線作業(yè)。

在同一個(gè)處理周期內(nèi)，發(fā)送環(huán)形緩沖區(qū)或者接收環(huán)形緩沖區(qū)中任何一個(gè)區(qū)塊，都有明確固定的角色，MPU板和HCU板不會(huì)同時(shí)訪問操作相同區(qū)塊，只有一個(gè)板卡對(duì)特定區(qū)塊進(jìn)行訪問。避免了雙口RAM的訪問沖突問題，不需要另外的采取硬件仲裁、軟件仲裁或者信號(hào)量交互等手段。

為了保證雙口RAM本身功能的可靠性以及存儲(chǔ)在其中數(shù)據(jù)的安全性，通過分周期和角色對(duì)相應(yīng)區(qū)塊的存儲(chǔ)單元進(jìn)行功能性檢測，提高了雙口RAM的可靠性，具體雙口RAM存儲(chǔ)單元檢測見下節(jié)。

2.3 雙口RAM檢測

系統(tǒng)運(yùn)行的過程中，采用相應(yīng)的算法對(duì)雙口RAM電路系統(tǒng)性故障和硬件隨機(jī)失效進(jìn)行檢測，可以對(duì)雙口RAM電路用到的數(shù)據(jù)線、地址線、控制進(jìn)行檢測，可以有效的發(fā)現(xiàn)失效故障的電路和內(nèi)存單元。對(duì)雙口RAM檢測分為2個(gè)步驟：上電自檢和在線檢測。

嵌入式設(shè)備的板卡上電后，bootloader開始對(duì)系統(tǒng)板卡硬件進(jìn)行初始化，在bootloader初始化完CPU、內(nèi)存、時(shí)鐘等硬件后，bootloader使用Abraham算法對(duì)雙口RAM進(jìn)行全面的檢測。

在bootloader測試雙口RAM通過后，開始引導(dǎo)操作系統(tǒng)運(yùn)行，在系統(tǒng)正常運(yùn)行過程中，按照系統(tǒng)角色周期性的對(duì)雙口RAM進(jìn)行檢測，如圖4所示。

圖4 雙口RAM上電檢測流程圖

對(duì)雙口RAM進(jìn)行在線檢測時(shí)，根據(jù)測試區(qū)的起始地址和區(qū)塊大小，實(shí)時(shí)的利用內(nèi)存檢測算法對(duì)雙口RAM進(jìn)行功能性失效檢測，如果發(fā)現(xiàn)故障，系統(tǒng)進(jìn)行告警處理，流程如圖5所示。

圖5 雙口RAM在線檢測流程圖

2.4 數(shù)據(jù)交互軟硬件設(shè)計(jì)

在MPU和HCU中，通過設(shè)計(jì)依據(jù)角色輪換功能讀寫雙口RAM的軟件模塊，完成雙口RAM的訪問操作。

雙口RAM的MPU上軟件交互關(guān)鍵代碼如下：

本文采用的Abraham算法檢測時(shí)間與內(nèi)存容量成線性關(guān)系，可以有效的控制檢測時(shí)間，保證較高的檢測速度，同時(shí)檢測覆蓋率也比較高，Abraham算法性能參數(shù)如表2所示。

表2 Abraham算法性能參數(shù)

總體診斷覆蓋率為99%，可以滿足鐵路安全標(biāo)準(zhǔn)EN50129[4]中對(duì)大規(guī)模集成電路的測試方法和標(biāo)準(zhǔn)IEC61508-2[5]附錄A中對(duì)安全相關(guān)硬件的隨機(jī)失效的診斷覆蓋率要求。

軟件計(jì)算序列如下：

主邏輯處理模塊的一個(gè)邏輯處理周期內(nèi)600 ms，其中數(shù)據(jù)接收發(fā)送階段300 ms，寫入?yún)^(qū)塊或者讀出區(qū)塊的數(shù)據(jù)處理速率為1 kbit /ms，有效交互時(shí)間280 ms內(nèi)可以交互高達(dá)280 kbit的數(shù)據(jù)，可以滿足系統(tǒng)的數(shù)據(jù)通信量。

在每個(gè)處理周期內(nèi)，MPU和HCU需要檢測的雙口RAM存儲(chǔ)器區(qū)塊都為21 kbit，檢測每個(gè)測試區(qū)塊所用的時(shí)間為21 ms。從以上性能可以看出，數(shù)據(jù)交互效率和雙口RAM測試性能，可以同時(shí)滿足系統(tǒng)的通信效率、故障檢測覆蓋率以及檢測速度。

3 結(jié)束語

文章分析了應(yīng)用在軌道交通行業(yè)中的實(shí)時(shí)安全設(shè)備的雙口RAM數(shù)據(jù)通信要求，并在實(shí)際的項(xiàng)目設(shè)備開發(fā)中，設(shè)計(jì)了雙CPU系統(tǒng)的安全數(shù)據(jù)交互方案，可以滿足嵌入式安全設(shè)備數(shù)據(jù)交互的安全性和實(shí)時(shí)性要求。

[1] 燕 飛，唐 濤.軌道交通信號(hào)系統(tǒng)技術(shù)的發(fā)展和研究現(xiàn)狀[J].中國安全科學(xué)學(xué)報(bào)，2005，15（6）：94-99．

[2] 姜 平，周榮根，肖紅升，等．基于雙口RAM的多機(jī)數(shù)據(jù)通信技術(shù)[J]．儀表技術(shù)與傳感器，2005（15）：105-107.

[3] 任愛玲，凌 明，吳光林，等．一種用于嵌入式內(nèi)存測試的高效診斷算法[J].應(yīng)用科學(xué)學(xué)報(bào)，2005，23（2）：178-182．

[4] CENELEC EN50129-2006．Railway Applications:Safety Related Electronic Systems for Signalling[S]. 2006.

[5] IEC61508-2. Functional Safety of Electrical/Electronic /Programmable Electronic Safety-related Systems-Part II[S]. 2010.

責(zé)任編輯 徐侃春

Application of safety data-exchange mechanism of Double-CPU System

XU Jun, SUN Junfeng, ZHANG Lei
( Research and Development Center, CASCO Signal LTD., Shanghai 200071, China )

Embedded devices required high security system. The safety of data exchange in railway industry was extremely important. According to the characteristics and needs of the security, the paper proposed safety dataexchange mechanism of double-CPU System based on dual port RAM. The mechanism was applied in actual project, and could meet the needs of safe, reliable, real-time and high-speed data transmission in trackside safety system.

safety data; dual-port RAM; high speed; role cycling

U285∶TP39

A

1005-8451（2015）04-0048-06

2014-09-10

徐 軍，助理工程師；孫軍峰，高級(jí)工程師。