高效的雙CPU系統(tǒng)安全數據交互機制的應用

徐 軍，孫軍峰，張 磊

（卡斯柯信號有限公司 研發(fā)中心，上海 200071）

高效的雙CPU系統(tǒng)安全數據交互機制的應用

徐 軍，孫軍峰，張 磊

（卡斯柯信號有限公司 研發(fā)中心，上海 200071）

軌道交通行業(yè)中的嵌入式設備對系統(tǒng)安全性要求高，系統(tǒng)交互數據的安全性尤其重要。根據安全相關系統(tǒng)的安全性特點和需求，提出了一種基于雙口RAM的雙CPU系統(tǒng)安全數據交互機制，經過在實際項目中應用，可以滿足軌旁安全系統(tǒng)中數據傳輸的安全、可靠、實時、高速傳輸數據的需求。

安全數據；雙口RAM；自檢；角色輪換

軌道交通行業(yè)中，一些安全相關系統(tǒng)具有多塊板卡，各個板卡負責不同的功能，并組成多CPU系統(tǒng)。各個CPU之間存在復雜的數據傳輸過程，為了提高系統(tǒng)的整體安全性，需要保證各個CPU系統(tǒng)之間傳輸的數據安全可靠，并且能夠高速實時地交互，如果數據傳輸通道出現故障或者失效，導致交互的數據不能滿足安全性要求，最終影響整個設備或者系統(tǒng)的安全性，甚至引起災難性后果[1]。

這些安全相關系統(tǒng)依賴于安全數據來控制整個系統(tǒng)的運行，并應用雙口隨機存取存儲器（Random Access Memory，RAM）作為安全數據高速傳輸通道[2]，交互大量的安全相關數據，包括狀態(tài)信息和控制命令等。根據雙口RAM的工作原理，雙口RAM兩端的控制芯片需要相互配合，共同完成數據的交互，硬件電路設計復雜，同時對數據訪問、地址譯碼、芯片控制的要求高，基于雙口RAM的數據交互過程成為了系統(tǒng)安全性的薄弱環(huán)節(jié)，雙口RAM在數據交互的過程中可能存在各種故障或者失效，包括系統(tǒng)性失效和硬件隨機失效[3]。

在安全相關系統(tǒng)中使用雙口RAM進行數據通信時，必須滿足以下3個條件：

（1）避免雙口RAM的兩端板卡發(fā)生訪問沖突；

（2）提高雙口RAM的數據交互速度，不影響設備的數據通信量；

（3）保證在雙口RAM中存儲的數據完整性、正確性、可靠性。

依據上面的分析，本文將雙口RAM的數據交互過程進行安全性設計，對雙口RAM的系統(tǒng)失效和硬件隨機失效進行防護，降低系統(tǒng)的失效率，提高系統(tǒng)的安全性。

本文結合具體的軌旁安全平臺系統(tǒng)安全性要求和雙口RAM機制，設計了一種雙CPU系統(tǒng)安全數據交互機制，可以滿足軌旁安全平臺系統(tǒng)數據傳輸的安全性和實時性要求。

1 系統(tǒng)架構

本文中提到的軌旁安全平臺系統(tǒng)主要用于軌道安全系統(tǒng)中軌道設備狀態(tài)采集與地鐵狀態(tài)控制。該設備實時的采集軌道設備狀態(tài)與地鐵列車車載控制器的運行狀態(tài)，同時該設備將控制命令發(fā)送給軌道設備與地鐵列車車載控制器，來控制整個地鐵的正常運行，該系統(tǒng)設備對數據傳輸的安全性、可靠性、實時性要求高。該系統(tǒng)由主處理板MPU、高速通信板HCU組成。

MPU與HCU通過雙口RAM交換系統(tǒng)的各種安全通信數據。數據交換框圖如圖1所示。

圖1 數據交換框圖

軌旁安全平臺系統(tǒng)中采用的雙口RAM芯片為CY7C028V-15AXI，最高讀寫速度為15 ns，數據容量為64 K x 16 bit。

雙口RAM 連接HCU 板的一端為MPC8247 的LOCAL BUS 總線，連接MPU 板的一端為CPCI 總線橋接芯片的LOCAL BUS 總線，HCU可以直接通過LOCAL BUS 總線訪問雙口RAM，而MPU板通過PCI 總線訪問。其中還有控制信號，如片選、讀寫、中斷、BUSY 信號等，雙口RAM交互電路圖如圖2所示。

圖2 雙口RAM交互電路圖

MPU作為邏輯運算和控制模塊，負責對接收的安全數據進行邏輯處理，并產生相應的結果，控制整個系統(tǒng)安全的運行。HCU作為數據通信接口，從外部接收或者采集系統(tǒng)的運行狀態(tài)數據，并傳遞給MPU，同時將MPU產生的結果數據發(fā)送給相應的執(zhí)行機構或者外部設備。

雙口RAM 是MPU 板和HCU 板之間的數據交換空間，可以完成大批量、實時的數據交換。MPU板與HCU板之間交互的數據是安全相關數據，必須保證在雙口RAM中存取數據的完整性、正確性、可靠性，顯得尤其重要。

應用于軌旁安全平臺系統(tǒng)中的雙口RAM，不僅要的避免多CPU訪問共享雙口RAM而引起的沖突問題，解決數據通信瓶頸問題，同時應該能夠預防由雙口RAM功能故障或者硬件失效而引起的數據失效或丟失，滿足軌旁安全平臺系統(tǒng)的安全性和可靠性要求。

針對以上要求，本文提出了一種基于角色變換和自檢技術的雙口RAM數據安全、高效通信方案。

2 安全數據交互機制

為避免MPU和HCU同時對雙口RAM的同一個內存單元進行訪問，本設計沒有采用雙口RAM的中斷或者信號量等機制，而是采用了一種基于角色的環(huán)形緩沖收發(fā)機制，將雙口RAM的劃分為兩個獨立環(huán)形緩沖區(qū)：發(fā)送環(huán)形緩沖區(qū)和接收環(huán)形緩沖區(qū)。

發(fā)送環(huán)形緩沖區(qū)負責將MPU傳遞給HCU，最終發(fā)送給外部設備；HCU從外部設備接收到數據，放到接收環(huán)形緩沖區(qū)，并傳遞給MPU。

本設計將整個128 kbit的雙口RAM，分為數據交互區(qū)和狀態(tài)交互區(qū)，雙口RAM進行角色功能分區(qū)示意圖如圖3所示。

其中，數據交互區(qū)用于MPU與HCU交換通信數據，其大小為126 kbit，將數據交換區(qū)分為上下環(huán)形緩沖區(qū)模塊，大小都為63 kbit，上模塊為發(fā)送環(huán)形緩沖區(qū)，下模塊為接收環(huán)形緩沖區(qū)。

發(fā)送環(huán)形緩沖區(qū)分為A、B、C共 3個區(qū)塊，每個區(qū)塊的大小都為21 kbit，每個區(qū)塊輪流性地被設置為3種角色：寫入區(qū)塊、讀出區(qū)塊、測試區(qū)塊。

接收環(huán)形緩沖區(qū)分為D、E、F 共3個區(qū)塊，每個區(qū)塊的大小都為21 kbit，每個區(qū)塊都輪流性地設置3種角色：寫入區(qū)塊、讀出區(qū)塊、測試區(qū)塊。

狀態(tài)交互區(qū)的大小為2 kbit，用作2個CPU系統(tǒng)交互狀態(tài)信息和告警信息。

圖3 雙口RAM功能角色示意圖

2.1 系統(tǒng)數據處理

軌旁安全平臺系統(tǒng)的主邏輯運算模塊的運行周期為600 ms，該模塊按照周期進行數據接收、數據處理、數據輸出。

在第 個周期，MPU上的控制邏輯運算模塊從雙口RAM接收到數據后，放到邏輯接收緩沖區(qū)；從邏輯接收緩沖區(qū)取出 個周期的數據并進行邏輯處理；將 個周期的邏輯處理結果，從邏輯發(fā)送緩沖區(qū)中取出， 并放到雙口RAM中。

MPU上的控制邏輯運算模塊對安全數據進行邏輯處理的時間不超過300 ms，如果邏輯處理時間超過300 ms，就會影響MPU接收或者發(fā)送數據。

同樣，MPU上的控制邏輯運算模塊接收、發(fā)送數據超過300 ms，也會影響邏輯處理功能。在接收發(fā)送處理階段，300 ms中的280 ms時間，被分為20個發(fā)送接收子周期，每一個子周期的時間為14 ms。

在HCU中，也是按照同樣的運行節(jié)拍，從雙口RAM中寫入或讀出數據。

MPU與HCU之間交互的數據，按照預先定義的雙口RAM交換數據幀進行。

2.2 雙口RAM功能處理

雙口RAM的發(fā)送與接收環(huán)形緩沖區(qū)的3個區(qū)塊，在任意一個周期，只能處于讀出、寫入、測試3種角色之一，而且區(qū)塊角色進行周期輪換，如表1所示。

（1）W(M)：角色為寫入區(qū)塊，且MPU向區(qū)塊寫入數據；（2）R(H)：角色為讀出區(qū)塊，且HCU從區(qū)塊讀出數據；（3）T(H)：角色為測試區(qū)塊，且HCU對區(qū)塊進行測試；（4）W(H)：角色為寫入區(qū)塊，且HCU向區(qū)塊寫入數據；（5）R(M)：角色為讀出區(qū)塊，且MPU從區(qū)塊讀出數據；（6）T(M)：角色為測試區(qū)塊，且MPU對區(qū)塊進行測試。

表1 區(qū)塊角色輪換表

MPU與HCU通過雙口RAM區(qū)塊角色進行數據交互的步驟如下：

（1）在2個CPU系統(tǒng)啟動后，進行初始化。同時時鐘模塊初始化后，為2個CPU提供統(tǒng)一的時鐘信號，時鐘模塊會提供1ms周期的時鐘信號，在2個CPU模塊上產生外部時鐘信號中斷，2個CPU模塊對中斷進行計數。（2）讀出區(qū)塊內容是否讀完，如果讀完，將該區(qū)塊設置的標志變換為測試區(qū)塊，下個周期對該區(qū)塊進行測試。（3）寫入區(qū)塊內容是否寫完，如果寫完，將該區(qū)塊設置的標志變換為讀出區(qū)塊，下個周期對該區(qū)塊進行讀出。（4）測試區(qū)塊內容是否測試完，如果測試完，將該區(qū)塊設置的標志變換為寫入區(qū)塊，下個周期可以對該區(qū)塊進行寫入。（5）對測試區(qū)塊進行檢測，是否發(fā)現硬件隨機失效，若有在狀態(tài)交互區(qū)中進行記錄狀態(tài)和告警信息。（6）當時鐘信號計數值達到600 ms，就為一個接收發(fā)送周期，對3個區(qū)塊的角色進行輪換。

MPU與HCU通過相同的外部時鐘中斷來驅動數據處理軟件模塊的運行，MPU與HCU在對雙口RAM進行訪問時可以做到同步、流水線作業(yè)。

在同一個處理周期內，發(fā)送環(huán)形緩沖區(qū)或者接收環(huán)形緩沖區(qū)中任何一個區(qū)塊，都有明確固定的角色，MPU板和HCU板不會同時訪問操作相同區(qū)塊，只有一個板卡對特定區(qū)塊進行訪問。避免了雙口RAM的訪問沖突問題，不需要另外的采取硬件仲裁、軟件仲裁或者信號量交互等手段。

為了保證雙口RAM本身功能的可靠性以及存儲在其中數據的安全性，通過分周期和角色對相應區(qū)塊的存儲單元進行功能性檢測，提高了雙口RAM的可靠性，具體雙口RAM存儲單元檢測見下節(jié)。

2.3 雙口RAM檢測

系統(tǒng)運行的過程中，采用相應的算法對雙口RAM電路系統(tǒng)性故障和硬件隨機失效進行檢測，可以對雙口RAM電路用到的數據線、地址線、控制進行檢測，可以有效的發(fā)現失效故障的電路和內存單元。對雙口RAM檢測分為2個步驟：上電自檢和在線檢測。

嵌入式設備的板卡上電后，bootloader開始對系統(tǒng)板卡硬件進行初始化，在bootloader初始化完CPU、內存、時鐘等硬件后，bootloader使用Abraham算法對雙口RAM進行全面的檢測。

在bootloader測試雙口RAM通過后，開始引導操作系統(tǒng)運行，在系統(tǒng)正常運行過程中，按照系統(tǒng)角色周期性的對雙口RAM進行檢測，如圖4所示。

圖4 雙口RAM上電檢測流程圖

對雙口RAM進行在線檢測時，根據測試區(qū)的起始地址和區(qū)塊大小，實時的利用內存檢測算法對雙口RAM進行功能性失效檢測，如果發(fā)現故障，系統(tǒng)進行告警處理，流程如圖5所示。

圖5 雙口RAM在線檢測流程圖

2.4 數據交互軟硬件設計

在MPU和HCU中，通過設計依據角色輪換功能讀寫雙口RAM的軟件模塊，完成雙口RAM的訪問操作。

雙口RAM的MPU上軟件交互關鍵代碼如下：

本文采用的Abraham算法檢測時間與內存容量成線性關系，可以有效的控制檢測時間，保證較高的檢測速度，同時檢測覆蓋率也比較高，Abraham算法性能參數如表2所示。

表2 Abraham算法性能參數

總體診斷覆蓋率為99%，可以滿足鐵路安全標準EN50129[4]中對大規(guī)模集成電路的測試方法和標準IEC61508-2[5]附錄A中對安全相關硬件的隨機失效的診斷覆蓋率要求。

軟件計算序列如下：

主邏輯處理模塊的一個邏輯處理周期內600 ms，其中數據接收發(fā)送階段300 ms，寫入區(qū)塊或者讀出區(qū)塊的數據處理速率為1 kbit /ms，有效交互時間280 ms內可以交互高達280 kbit的數據，可以滿足系統(tǒng)的數據通信量。

在每個處理周期內，MPU和HCU需要檢測的雙口RAM存儲器區(qū)塊都為21 kbit，檢測每個測試區(qū)塊所用的時間為21 ms。從以上性能可以看出，數據交互效率和雙口RAM測試性能，可以同時滿足系統(tǒng)的通信效率、故障檢測覆蓋率以及檢測速度。

3 結束語

文章分析了應用在軌道交通行業(yè)中的實時安全設備的雙口RAM數據通信要求，并在實際的項目設備開發(fā)中，設計了雙CPU系統(tǒng)的安全數據交互方案，可以滿足嵌入式安全設備數據交互的安全性和實時性要求。

[1] 燕 飛，唐 濤.軌道交通信號系統(tǒng)技術的發(fā)展和研究現狀[J].中國安全科學學報，2005，15（6）：94-99．

[2] 姜 平，周榮根，肖紅升，等．基于雙口RAM的多機數據通信技術[J]．儀表技術與傳感器，2005（15）：105-107.

[3] 任愛玲，凌 明，吳光林，等．一種用于嵌入式內存測試的高效診斷算法[J].應用科學學報，2005，23（2）：178-182．

[4] CENELEC EN50129-2006．Railway Applications:Safety Related Electronic Systems for Signalling[S]. 2006.

[5] IEC61508-2. Functional Safety of Electrical/Electronic /Programmable Electronic Safety-related Systems-Part II[S]. 2010.

責任編輯 徐侃春

Application of safety data-exchange mechanism of Double-CPU System

XU Jun, SUN Junfeng, ZHANG Lei
( Research and Development Center, CASCO Signal LTD., Shanghai 200071, China )

Embedded devices required high security system. The safety of data exchange in railway industry was extremely important. According to the characteristics and needs of the security, the paper proposed safety dataexchange mechanism of double-CPU System based on dual port RAM. The mechanism was applied in actual project, and could meet the needs of safe, reliable, real-time and high-speed data transmission in trackside safety system.

safety data; dual-port RAM; high speed; role cycling

U285∶TP39

A

1005-8451（2015）04-0048-06

2014-09-10

徐 軍，助理工程師；孫軍峰，高級工程師。