車載計算機的研究與設計

莊凌昀 謝維達

(同濟大學鐵道與城市軌道交通研究院,201804,上海∥第一作者,碩士研究生)

鐵路與城市軌道交通的列車運行環境可能是高低溫、高濕、沖擊、電磁輻射干擾、振動等惡劣環境,因此,列車控制系統中微機系統的可靠性非常重要。研究表明,考慮到當前傳統微機系統結構,僅僅從目前元器件的工藝技術水平出發,暫無有效的辦法提高微機系統整體的可靠性。因此,應立足于列車微機控制系統,參考國內外經驗,特別是冗余容錯計算機,采用高可靠性多冗余容錯技術,研究與設計車載計算機系統,以滿足列車控制中可靠性安全性要求[1]。

1 車載計算機安全性分析、設計與應用

不同于安全繼電器組成的鐵路信號設備,車載計算機主要由微機及超大規模集成電路芯片組成,因此不具備非對稱故障特性。車載計算機安全性設計主要是依據可靠性理論和容錯技術。通過軟件和硬件冗余容錯設計以及移植實時操作系統,有效提高微機控制系統可靠性,進而提高列車運行的安全性;充分發揮計算機高速、智能處理能力,設計完善的軟、硬件故障檢測模塊,確保控制系統芯片正常運行,程序準確執行,列車各個設備接收和執行正確無誤的指令。

車載計算機是列車微機控制系統的主要核心部件。整個車輛控制系統中,為了滿足不同應用要求和系統安全性及可靠性需求,將微機控制系統中一些關鍵部件由傳統單芯片微機改為高可靠性安全性、具有冗余容錯的車載計算機部件。

例如CCU(中央控制單元)負責列車通信網絡,TCU(牽引控制單元)負責控制牽引變流器和牽引電機,BCU(制動控制單元)負責列車制動等。由于這些控制單元在列車運行中至關重要,直接影響到行車安全,因而對其可靠性要求尤為嚴格。目前工程設計中常采用系統級雙機熱備冗余或一熱備一冷備冗余。如何設計出通用的高可靠性車載計算機控制單元,通過冗余措施確保對外運行安全性,并保留輸入輸出端口通用性,且能夠適應列車微機控制系統的不同應用要求,具有較好硬件兼容性以及應用擴展性,設計與研究高可靠、高可用、高安全車載安全計算機的要求。它對于保證與提高整個列車微機控制系統可靠運行是十分有意義的。

本文研究與設計的車載計算機,主要針對基于嵌入式單片機芯片處理器、利用高主頻運算速度、大容量存儲單元、集成多種通用總線以及A/D,D/A轉換接口等特點,根據實際需要,移植實時操縱系統以及編寫相應的上層應用軟件,或者通過擴展外圍電路滿足特殊實際要求。微機單元運行中,需要對大量數據進行運算處理的控制單元。這一類計算機已應用在大量信息處理、網絡通信控制、任務進程調度、故障診斷與終端顯示等場合,在列車微機控制系統中處于重要地位,決定著整個控制系統的可靠性與安全性。

2 系統組成及工作原理

整個系統主要由3個CPU和FPGA(現場可編程的陣列)構成的FIFO(先入先出)模塊以及表決器組成。從系統結構圖可以看出,不僅對 CPU模塊進行冗余,而且信號緩沖、輸出接口都冗余設計。實際應用中,CPU模塊可以根據技術需要選擇X86、PC104系統,也可選擇ARM,DSP等其他微機芯片設備。

車載計算機的工作原理如圖1所示。3個獨立的CPU單元通過數據采樣設備獲取數據,進行處理后分別輸出至各自對應FPGA的 FIFO模塊;FPGA將得到的數據以先入先出的模式傳送至表決器,進行3取2表決,得到正確數據。表決器確定一個正確工作的CPU,將控制信號傳輸至輸出控制單元。表決器應當保證此時有且僅有一個輸出控制單元工作,使得正確工作的CPU將運算結果通過輸出轉換單元傳至外部設備。

圖1 車載計算機結構框圖

車載計算機冗余模式可以考慮 TMR(三模冗余),通過表決器獲得正確結果。考慮到車載計算機應用的通用性,CPU模塊宜選用ARM芯片。

3 冗余模式的選擇

冗余方式主要有雙模冗余、三模冗余、N模冗余等。考慮到實際運用中的可靠性,無論是雙機一冷備一熱備還是雙機熱備,都比三模冗余表決系統的可靠性高。通過分析,三模冗余表決系統的最大優點在于故障判斷和切換時輸出連續不中斷,信息數據可以持續輸出。雙模冗余采用比較方式,三模冗余采用多數表決(3取2)。一旦系統發生錯誤,雙模冗余不能對故障進行判斷和定位,不能保證輸出結果正確性。三模冗余可確保一個單元發生錯誤時,整個系統仍能保證有正確的數據輸出,并準確地判斷和定位發生故障的單元。通過容錯管理軟件控制,可根據實際需要將三模冗余降到雙模冗余,再根據需要從雙模冗余降到單模運行,從而確保了在一個CPU模塊發生故障時整個系統依舊可以正常工作、兩個CPU模塊發生故障仍可以確保系統安全運行。整個系統根據“故障-安全-故障-運行”的工作思想進行設計系統的冗余工作方式。

4 表決器設計

表決器設計時主要包括輸入和輸出兩部分。輸入接口設計成FIFO結構,每個CPU模塊分別將經過處理的數據輸入FPGA多數表決。表決器可用FPGA邏輯單元構成,根據表決結果,輸出一個統一開關控制信號,分別輸至3個CPU模塊各自對應的輸出控制單元。輸出控制單元根據控制信號進行判斷,決定最終向外輸出的CPU模塊。每次僅有一個CPU模塊向外界設備輸出運算結果。

這里采用FIFO,因為它既能保證信息交換傳輸的高速率,又可以有效地避免芯片系統布線。特別在FPGA中,可以方便地構造多個FIFO及其邏輯組合。雙口RAM結構存儲器需要系統總線提供足夠多的數據線、地址線、命令線和控制線,也存在占用接點過多的問題。在研究與設計中,應綜合比較考慮兩者特點。

由于輸出部分表決判斷3個CPU模塊的運行結果,理論上3個完全相同的CPU模塊加載運行相同的程序,當同一個信號數據輸入時,應當輸出相同的運算結果。假設單獨一塊CPU模塊因工作環境干擾導致死機或程序跑飛,必有一個錯誤的信號或數據輸出。通過3取2表決三模冗余,可以屏蔽錯誤信號,得到一個正確的結果。表決器通過表決,將正確運行的CPU接通對外設備輸出,并可以根據各個CPU發生錯誤的累計次數,將故障的CPU切斷脫離工作狀態,重新上電恢復工作。

由于表決器是單獨電子設備,因而決定了整個系統的可靠性,設計時對表決設備進行旁路設計。表決器本身可以自檢。如果表決器出現短暫輸出錯誤(如不能同時選擇2個CPU模塊或者3個CPU模塊對外輸出),或是表決器無法正常實現表決工作,則通過默認配置,將之前系統連續正確工作的CPU作為對外輸出的單元構成單模系統,或依次對外單獨工作;也可以考慮將表決器進行三模冗余,提高整個系統的可靠性。

5 同步設計

在三模冗余系統中,時鐘同步信號直接影響整個系統效率。不同步的時鐘信號直接導致各個CPU處理數據結果也不同步,表決器得到錯誤數據,冗余系統沒有意義。工程應用中通過軟件同步以及硬件同步來實現時鐘同步的功能。軟件同步通常應用于通信系統。事實上,由于芯片間批量數據高速通信,各個模塊之間大量數據交換,軟件同步大多較難滿足要求,因此采用硬件同步為滿足實時性要求。硬件同步方法可以達到納秒級的同步精度,這是軟件通信同步無法達到的精度。工程中常用的硬件同步方法如下：

(1)公共時鐘信號——所有CPU模塊采用同一時鐘信號。此方法簡單并且可以保證時鐘信號同步精確度。由于采用了同一時鐘信號,公共時鐘發生故障后很容易引起全部時鐘信號錯誤。

(2)精確獨立時鐘信號——各CPU模塊采用獨立時鐘,理論上保證足夠精確就可保證各個時鐘信號同步。實際上,各個獨立的時鐘信號在輸出頻率之間一定會存在細微差異;當差異逐漸積累,最終導致時鐘不同步,表決器無法正常工作。

(3)互反饋獨立時鐘信號——各CPU模塊采用獨立時鐘信號,各時鐘之間互反饋調節達到同步功能。此方法硬件設計復雜,但可以提供長時間外部沒有參考的冗余容錯時鐘信號。

3個CPU模塊采用各自獨立時鐘,但用同一個時鐘(同步時鐘)基準進行同步控制。為提高同步時鐘可靠性,由CPU模塊上的時鐘對同步時鐘進行檢測。如果檢測時鐘正常則采用同步時鐘,如果檢測發現時鐘錯誤則切換到CPU時鐘。此時,3個CPU單元如果無法實現同步,必須降模運行,其余作為冷備運行。

圖2是同步時鐘檢測電路的設計。該部分選擇FPGA來實現硬件電路。作為一種集成了眾多的邏輯單元芯片,FPGA內部可以根據實際需要對邏輯門進行軟件分配,構造實際需要的各種門電路,并且體積小、靈活性高、處理速度快。關鍵在于與傳統分立元件不同有較高的可靠性。

圖2 同步時鐘檢測電路

6 軟件設計

傳統列車微機控制系統中設計編寫的應用軟件,往往是針對不同的微機平臺和功能。這樣設計的好處在于應用軟件具有靈活的操作性適用性,缺點是整個應用程序的可靠性完全依賴設計人員的專業水平。微機以及程序在工作時發生死機現象以及程序跑飛的情況與應用軟件直接相關。

通過在列車車載計算機CPU模塊芯片單元內移植VxWorks實時操作系統,根據不同的應用場合,編寫移植相對應的應用程序。VxWorks是美國WIND RIVER風河公司推出的操作系統,在眾多對于強調安全的工程項目,諸如衛星系統,戰斗機控制系統等有著廣泛的工程實際應用。列車控制系統上移植與應用實時操作系統是微機控制系統發展的方向與趨勢。其原因是：首先,整個系統的可靠性由實時操作系統保證,避免了單獨片上程序運行中死機問題;其次,可以根據車載計算機在不同場合的需要,裁剪相應的系統操作部件;最后,VxWorks在列車信號控制系統等其他方面已經有較廣泛的應用。

整個車載計算機CPU模塊VxWorks系統啟動流程如圖3所示。

圖3 VxWorks系統啟動流程

VxWorks系統啟動分為兩個階段。

第一階段流程如圖3右側：首先執行 RomInit(),主要完成的任務包括禁止中斷、保存啟動類型(冷/熱啟動)和硬件相關初始化;然后調用RomStart(),主要完成將BootRom的數據段和代碼段從ROM復制到RAM中,并清空內存;隨后調用UsrInit(),執行系統初始化程序;最后執行SysHwInit()和kernelInit(),初始化系統硬件并啟動內核,清空緩存。至此,BootRom階段啟動結束。

第二階段流程如圖3左側圖示進行VxWorks系統映像：通過第一階段加載的BootRom引導映像,將VxWorks映像裝入到RAM中,跳轉到VxWorks映射入口;調用SysInit(),完成包括鎖住中斷、禁用緩沖、初始化處理器得到一個缺省值、指明啟動類型等任務;系統再依次調用 UsrInit(),SysHwInit()和KernelInit();硬件和內核完成初始化后,系統執行UsrRoot()。該程序主要完成初始化I/O操作系統、安裝設備驅動程序、創建設備等任務。最后啟動應用程序。車載計算機的設備驅動特定,并不需要創建其他設備,所以這些步驟在UsrRoot()函數中能完成,并最后啟動應用程序[3]。

上述采用BootRom+VxWorks的啟動方式多用于車載計算機研究設計以及調試階段,程序映像即可存放在硬盤中,也可通過網絡加載。采用這種啟動方式的優點是適應硬件、方便調試和現場升級,并且由于設計了BootRom,整個設計也考慮到CPU模塊的兼容性。通過研究與移植實時操作系統,可提高車載計算機可靠性與安全性。

7 結語

近年來越來越重視干線運輸及城市軌道交通中列車車輛控制系統可靠性及安全性的研究。車載計算機作為車輛微機控制系統中的重要環節,其自身安全性及可靠性至關重要。本文從硬件和軟件2個方向,介紹了一種車載計算機的高可靠性研究及設計方案,討論了一些主要問題,探討冗余容錯的硬件實現技術方法以及軟件系統特點。工程人員在研究設計列車車輛控制系統時,始終需要把安全放在重要位置,以確保車輛控制系統穩定運行。

[1] 唐濤,郜春海,張方,等.高速鐵路列車運行控制系統車載設備安全性設計[J].北方交通大學學報,1999,23(5)：83.

[2] 張利芬,袁普及.嵌入式冗余計算機的設計與實現[J].計算機工程,2009,35(2)：230.

[3] 李小康,高榮芳,陳江.VxWorks啟動過程解析[J].中國科技信息,2008(21)：94.