适用于CTCS-3级安全计算机平台的SBP安全总线设计

　　摘要 ：为解决 CTCS-3 级的安全计算机平台内部通信总线不安全的问题，设计一种能够满足 EN50159 中有关安全网络需求的总线。该总线具备硬件二乘二取二，能够将应用层数据分组打包，且对应用层数据添加 C R C 编码和校验，并且能检测点对点链路连接状态的主 - 从之间全双工的数据通信等多项通信功能和安全保障功能。能够解决车载平台内部安全通信的问题，对安全计算机车载平台的研究具有重要意义。

　　关键词 ：安全总线 ;安全平台 ;时序状态机 ;SBP

　　1 概述

　　CTCS-3 级列车控制系统是一个故障 - 安全的高安全等级系统，车载系统通过无线 GSM-R 网络，获取行车许可等信息，按照地面控制系统的指令进行车辆运行控制。以国内武广高度铁路线的 ATP 车载为例，ATP车载设备由以下单元 / 模块组成。1)安全计算机(VC);2)轨道电路信息接收单元(TCR);3)应 答 器 信 息 接 收 模 块(B T M) 及 应 答 器天线 ;4)无线通信模块(RTU);5)人机界面(DMI);6)列车接口单元(TIU);7)测速测距传感器。其中，安全计算机(VC)，作为核心处理设备，承担了 ATP 车载设备的核心处理逻辑，是 ATP 车载设备最重要的部件。VC 主要包含如下几个部分。

　　1)主控逻辑单元 ;2)测速测距单元 ;3)安全输入输出单元 ;4)通信接口单元 ;5)安全通信单元。

　　SBP 安全总线完成安全计算机平台中的板间安全通信功能，完成主控板之间、主控板和功能板之间的数据交互，向上层提供经过校验和可靠性验证的数据链路。SBP 安全总线采用点对点的主 - 从工作模式，使用 3 条信号线进行串行数据通信。SBP 安全总线需要识别并报告所有硬件取二错误，识别并检测链路的连接状态、硬件的错误状态，能够保证数据发送的完整性和可控性，检测干扰的存在，进行上电自检和运行周期检测。

　　2 SBP总线结构

　　SBP 通信模块由 SBP 主端模块(SBP Master)、SBP 从端模块(SBP Slave)和连接模块组成。为满足安全完整性需求，系统架构采用双系同构方式(M 系和 N 系)，两系独立运行，形成二乘二结构，两系运行在关键节点处进行取二操作，保证运行结果的正确性。在 SBP 传输协议中，明确区分取二错误和传输链路错误，两种错误可以分别检测并具备功能完整性检测功能。

　　SBP 的 传 输 协 议 分 为 MAC 层 和 PHY 层， 其中 MAC 层完成传输状态的控制和寄存器堆的更新，MAC 层 对 上 提 供 寄 存 器 访 问 接 口， 寄 存 器 使 用Memory Mapped 映射 ;PHY 层完成物理信号的传输和物理硬取二的实现，物理层的传输使用 3 根硬件连线，1 根 SCK 时钟线由主端驱动，1 根 MO数据线由主端驱动，1 根 SO 数据线由从端驱动。

　　3 SBP Master控制状态机设计

　　MAC 模块对内控制链路的建立、数据传输的开始和结束、数据传输正确性的校验等机制。SBP 的通信过程由主端控制，4 个步骤完成一次传输，周而复始。每个物理帧(数据帧或控制帧)需得到另一端的反馈(ACK/NACK)才能结束，若传输超时，则重新发起传输。查询 ：主端发起查询帧，并等待从端应答。状态 ：从端回复查询帧，并报告自己的状态，主端接收后应答该帧。接收 ：若从端无数据待发，则该状态跳过 ;若有，则从端发送数据帧，主端接收后应答该帧。发送 ：若主端无数据待发，则该状态跳过 ;若有，则主端发送数据帧，并等待从端应答。其中，数据帧需要经过 MAC 层的打包和添加帧头、CRC 校验等处理，经过处理之后的数据帧格式。其中，每种数据帧格式对应一个通信过程，即在查询阶段，主端发送的数据帧格式为主端查询帧。

　　4 SBP Slave控制状态机设计

　　MAC 模块对内控制链路的建立、数据传输的开始和结束、数据传输正确性的校验等机制。使能后，SBP Slave 的 MAC 模块进入等到状态，等待主端发送控制帧，根据控制帧的内容进行动作。当成功接收到一个主端查询帧或者数据帧后，根据接收帧内容的不同，MAC 模块转入不同的工作流程。

　　1)查询 ：应答主端查询帧。2)状态 ：从端回复查询帧，并报告自己的状态，等待主端应答该帧。3)接收 ：若从端无数据待发，则该状态跳过 ;若有，则从端发送数据帧并等待主端应答。4)等待 ：若主端成功应答或超时，则从端进入等待状态。若接收帧为数据帧，则从端应答该数据帧并回到等到状态。其中，数据帧需要经过 MAC 层的打包和添加帧头、CRC 校验等处理，经过处理之后的数据帧格式。其中，每种数据帧格式对应一个通信过程，即在查询阶段，主端发送的数据帧格式为主端查询帧。

　　5 结束语

　　针对国内 CTCS-3 级列车控制系统 ATP 车载设备的安全计算机平台内部通信总线，目前尚无安全的通信总线，本文通过对 EN50159 中有关封闭网络的安全网络需求的分析，研究设计一种采用硬件二乘二取二，能够将应用层数据分组打包且对应用层数据添加 CRC 编码和校验并且能检测点对点链路连接状态的主 - 从之间全双工的数据通信等多项通信功能和安全保障功能的总线，有效解决车载平台内部安全通信问题。

　　参考文献

　　[1] 高忠利 . C T C S3-300T 车载 A T P 设备测试系统方案探讨 [J]. 铁路通信信号工程技术，2020，17(12):25-29.Gao Zhongli. Discussion on Scheme for CTCS3-300T ATP On-Board Equipment Test System[J].Railway Signalling & Communication Engineering,2020, 17(12): 25-29.

　　[2] 吴训威，卢仰坚 .Moore 机与 Mealy 机之间的转换研究 [J]. 浙江大学学报 ( 理学版 )，2000，27(2):219-224.Wu Xunwei, Lu Yangjian. Research on Conversionsbetween Mealy Machine and Moore Machine[J].Journal of Zhejiang University (Sciences Edition),2000, 27(2): 219-224

　　.[3] 孟庆尧，叶峰，黄彬彬，等 . C T C S -3 级车载系统双系无扰动切换的可行性研究 [ J ] . 铁路通信信号工程技术，2015，12(6):1-4.Meng Qingyao, Ye Feng, Huang Binbin, et al.Feasibility of Non-Disturbance Switching betweenDual Redundant CTCS-3 Onboard Systems[J].Railway Signalling & Communication Engineering,2015, 12(6): 1-4

　　.[4] 黄彬彬，孟庆尧 . 适用于 CTCS-3 级的安全计算机平台的无线安全通信架构分析 [ J ] . 铁路通信信号工程技术，2016，13(4):33-36.

　　作者：严  敢1，2，齐春晨1，2