一种符合城轨车辆门系统功能安全需求的可重构门控制器

1.一种符合城轨车辆门系统功能安全需求的可重构门控制器，其特征在于：采用不同功能安全等级的双处理芯片配合硬件安全电路的架构组成，包括第一处理芯片CPU1、第二处理芯片CPU2和硬件安全电路，
所述第一处理芯片CPU1为无安全等级的可编程子系统，用于接收外界信号，分析处理后发送门扇动作逻辑至第二处理芯片CPU2；
所述第二处理芯片CPU2为满足城轨车辆门系统SIL2级安全需求的可编程子系统，用于接收第一处理芯片CPU1的门扇动作逻辑指令，并进行安全确认后，直接驱动电机带动城轨车辆门系统的门扇闭合；
所述硬件安全电路为满足城轨车辆门系统SIL4级安全需求的固有式故障安全电路，所述硬件安全电路对与第二处理芯片CPU2连接的电机驱动电路供电电源进行控制，保障电机在安全允许条件下动作，实现城轨车辆门系统的门扇动作；
所述第二处理芯片CPU2、硬件安全电路组合，实现城轨车辆门系统满足SIL2级和SIL4级安全需求，所述第一处理芯片CPU1在车门控制器满足安全需求时，还具备二次编程的功能。
2.根据权利要求1所述的符合城轨车辆门系统功能安全需求的可重构门控制器，其特征在于：所述第一处理芯片CPU1和第二处理芯片CPU2之间通过通讯总线相连接。
3.根据权利要求1所述的符合城轨车辆门系统功能安全需求的可重构门控制器，其特征在于：所述第一处理芯片CPU1为通用微处理器，所述第二处理芯片CPU2为电机控制专用微处理器。
4.根据权利要求1所述的符合城轨车辆门系统功能安全需求的可重构门控制器，其特征在于：所述第二处理芯片CPU2还具备在线参数配置变更的功能。

一种符合城轨车辆门系统功能安全需求的可重构门控制器\n技术领域\n[0001] 本发明涉及城轨车辆门系统技术领域，具体涉及一种符合城轨车辆门系统功能安全需求的可重构门控制器。\n背景技术\n[0002] 城轨车辆车门控制器用于在地铁和轻轨等轨道列车车门控制上，接收列车控制系统发送的开门、关门等信号，结合门系统中的传感器信号，如限位开关、位置传感器等，实现列车车门的开启、关闭。\n[0003] 我们知道，城轨列车通常运营线路较短，列车车门需要频繁的开启和关闭，一旦门系统发生故障，轻则使该车门被隔离无法使用，严重时则会导致列车清客、停运。因此，门系统的安全稳定工作对城轨系统运营有非常重要的意义，车门控制器作为门系统的控制、驱动设备，对门系统的可靠工作更是有着重要作用。\n[0004] 为了提高车门控制器产品的可靠性和质量标准，城轨车辆整机厂家逐步对车门控制器产品提出了功能安全性等级认证的要求。只有产品的设计方案、研发流程获得了第三方安全认证机构的评估认可，才能够装车使用。目前，市面上存在的车门控制器产品，多采用一颗独立的微控制器，实现外部传感器信号检测、车辆网络信号分析处理、门系统动作逻辑判断处理、电机运动控制、故障判断检测等功能，在车门控制器产品应用到具体客户项目时，需要根据客户需求配置部分硬件功能模块，修改相应的软件代码。每个客户订单项目都需要执行一次完整的产品研发、测试、试制、认证流程，具体存在的问题和缺点，具体如下，[0005] （1）采用单一控制芯片，软件和硬件的扩展性差，现有的车门控制器只适用于某个型号的列车，不具备很好的可重构性和普适性；\n[0006] （2）单一控制芯片需要处理的工作较多，处理器的性能有限，无法添加处理更多的功能；\n[0007] （3）车门控制器产品应用到不同客户项目时需要对其内的软件或硬件进行部分设计更改，这就导致需要重新对车门控制器产品进行一轮研发、测试、检验流程，加大了产品的人力投入、研发工作量和研发周期；\n[0008] （4）车门控制器产品的功能安全性认证要求产品是设计定型的，需求、功能固化，车门控制器产品结合客户需求引入的设计更改会导致需要对产品重新进行安全认证评估，提高了重复认证的费用，客户项目的差异化也不利于车门控制器产品产品的系列化。\n发明内容\n[0009] 本发明所解决的技术问题是现有的市面上存在的车门控制器产品，多采用一颗独立的处理芯片，不具备很好的可重构性和扩展能力，应用到不同客户项目定制工作量大，而且无法以较低的成本、较灵活的方式获得产品的功能安全认证的问题。\n[0010] 为了解决上述问题，本发明所采用的技术方案是：\n[0011] 一种符合城轨车辆门系统功能安全需求的可重构门控制器，其特征在于：采用不同功能安全等级的双处理芯片配合硬件安全电路的架构组成，包括第一处理芯片CPU1、第二处理芯片CPU2和硬件安全电路，\n[0012] 所述第一处理芯片CPU1为无安全等级的可编程子系统，用于接收外界信号，分析处理后发送门扇动作逻辑至第二处理芯片CPU2；\n[0013] 所述第二处理芯片CPU2为满足城轨车辆门系统SIL2级安全需求的可编程子系统，用于接收第一处理芯片CPU1的门扇动作逻辑指令，并进行安全确认后，直接驱动电机带动城轨车辆门系统的门扇闭合；\n[0014] 所述硬件安全电路为满足城轨车辆门系统SIL4级安全需求的固有式故障安全电路，所述硬件安全电路对与第二处理芯片CPU2连接的电机驱动电路供电电源进行控制，保障电机在安全允许条件下动作，实现城轨车辆门系统的门扇动作；\n[0015] 所述第二处理芯片CPU2、硬件安全电路组合，实现城轨车辆门系统满足SIL2级和SIL4级安全需求，所述第一处理芯片CPU1在车门控制器满足安全需求时，还具备二次编程的功能。\n[0016] 前述的用于城轨车辆门系统安全需求的可重构车门控制器，其特征在于：所述第一处理芯片CPU1和第二处理芯片CPU2之间通过通讯总线相连接。\n[0017] 前述的用于城轨车辆门系统安全需求的可重构车门控制器，其特征在于：所述第一处理芯片CPU1为通用微处理器，所述第二处理芯片CPU2为电机控制专用微处理器。\n[0018] 前述的用于城轨车辆门系统安全需求的可重构车门控制器，其特征在于：所述第二处理芯片CPU2还具备在线参数配置变更的功能。\n[0019] 本发明的有益效果是：本发明的用于城轨车辆门系统的可重构车门控制器，采用双处理芯片和硬件安全电路的架构组成，将门扇的电机驱动控制由功能安全等级为SIL2级的CPU2处理芯片完成，使用固有式故障安全电路满足SIL4级功能安全需求，使用另一个安全无关的通用处理器CPU1满足项目定制需求。从而实现车门控制器在满足功能安全性等级需求时，仍具有灵活的项目定制功能。对门系统功能进行安全性分解，分别由不同功能安全完整性等级的子系统满足城轨车辆门系统的安全要求，具有良好的应用前景。\n附图说明\n[0020] 图1是本发明的用于城轨车辆门系统安全需求的可重构车门控制器的系统框图。\n[0021] 图2是本发明的第一实施例的系统框图。\n[0022] 图3是本发明的第二实施例的系统框图。\n具体实施方式\n[0023] 下面将结合说明书附图，对本发明作进一步的说明。\n[0024] 如图1所示，本发明的用于城轨车辆门系统安全需求的可重构车门控制器，采用不同功能安全等级的双处理芯片配合硬件安全电路的架构组成，包括第一处理芯片CPU1、第二处理芯片CPU2和硬件安全电路，\n[0025] 所述第一处理芯片CPU1为无安全等级的可编程子系统，用于接收外界信号，外界控制信号包括网络通信信号、IO信号，分析处理后发送门扇动作逻辑至第二处理芯片CPU2，由于第一处理芯片CPU1构成的子系统安全无关，因此对该子系统硬件或软件的修改就不影响门控器整体的功能安全认证；\n[0026] 所述第二处理芯片CPU2为满足城轨车辆门系统SIL2级安全需求的可编程子系统，用于接收第一处理芯片CPU1的门扇动作逻辑指令，并进行安全确认后，直接驱动电机带动城轨车辆门系统的门扇闭合，第二处理芯片CPU2还具备在线参数配置变更的功能，由于第二处理芯片CPU2构成的可编程子系统属于安全相关子系统，该子系统需要承担的功能较为单一，属于不同客户项目都有的共性需求，因此该子系统需求明确，软件和硬件均可以定型，便于获取安全认证，在应用到不同的客户定制项目时也无需更改，也就无需重复认证。\n针对少数安全相关的软件功能差异，也可以通过软件运行时选择条件分支，在线配置分支参数的方式满足不同项目的需求，而无需重新编译下载软件；\n[0027] 所述硬件安全电路为满足城轨车辆门系统SIL4级安全需求的固有式故障安全电路，所述硬件安全电路对与第二处理芯片CPU2连接的电机驱动电路供电电源进行控制，保障电机在安全允许条件下动作，实现城轨车辆门系统的门扇动作，即硬件安全电路对所述第二处理芯片CPU2子系统的门扇驱动电机的功率驱动电路的电源进行控制，仅当满足安全允许条件时，电机才能够运动，才能实现城轨车辆门系统的门扇动作。\n[0028] 所述第二处理芯片CPU2、硬件安全电路组合，实现城轨车辆门系统满足SIL2级和SIL4级安全需求，所述第一处理芯片CPU1在车门控制器满足安全需求时，还具备二次编程的功能。\n[0029] 所述第一处理芯片CPU1和第二处理芯片CPU2之间通过通讯总线相连接，或其他可靠方式进行信息交互。\n[0030] 所述第一处理芯片CPU1为通用微处理器，所述第二处理芯片CPU2为电机控制专用微处理器。\n[0031] 如图2及图3所示，本发明的两个不同的实施例：安全无关子系统第一处理芯片CPU1选用高性能通用处理器实现，安全相关子系统第二处理芯片CPU2选用符合功能安全性认证要求的电机控制处理器实现，CPU1和CPU2之间采用通讯总线实时通讯。两个实施例的区别点在于，第一实施例中第一处理芯片CPU1直接从列车线和门系统传感器获取控制逻辑输入信号，第二处理芯片CPU2从列车线和门系统传感器中获取安全冗余信号，第二实施例中列车线和门系统传感器统一由第二处理芯片CPU2检测获取，第一处理芯片CPU1经通讯总线和第二处理芯片CPU2实时通讯，获取外界控制信号，经过逻辑处理后，再经通讯总线发送门扇运动指令至第二处理芯片CPU2。两个实施例对CPU2安全相关子系统无需任何改动，只需要修改CPU1安全无关子系统即可满足不同城轨车辆门系统项目的具体应用需求。\n[0032] 综上所述，本发明的用于城轨车辆门系统安全需求的可重构车门控制器，采用双处理芯片和硬件安全电路的架构组成，将门扇的电机驱动控制由功能安全等级为SIL2级的处理芯片完成，使用固有式故障安全电路满足SIL4级功能安全需求，使用另一个安全无关的通用处理器满足项目定制需求，从而实现车门控制器在满足功能安全性等级需求时，仍具有灵活的项目定制功能，对门系统功能进行安全性分解，分别由不同功能安全完整性等级的子系统满足城轨车辆门系统的安全要求，具有良好的应用前景。\n[0033] 以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。