[发明专利]一种模块冗余的安全计算机平台

权利要求书

1.一种模块冗余的安全计算机平台，由主控层和执行层构成；

所述主控层包括主处理器系统、与执行层的通信系统、主控层内部的通信系统，并提供数据配置接口、应用层软件接口、维护接口、以及系统监测接口；所述主控层由主控模块构成，有主备系之分，即分为主控模块A和主控模块B；

所述执行层由一定数量的、可扩展的执行模块构成，执行模块可分为输入模块、输出模块、通信模块，同时每种模块还划分为安全相关模块和非安全相关模块；

所述安全计算机平台采用二乘二取二的安全冗余架构；

所述主控层与执行层之间采用双套冗余总线通信，采用CANFD总线+以太网总线；所述主控模块可通过内部CANFD总线和以太网总线同时接收执行模块的数据，也可同时向这些执行模块发送请求和命令；所有主控模块和执行模块都由内部冗余CANFD总线相连；

主控模块A和主控模块B之间通过独立的冗余以太网总线通信实现数据交互、主备机同步。

2.根据权利要求1所述的安全计算机平台，其特征在于，所述执行模块包括频率输入模块、数字输入模块、数字输出模块、模拟入出模块、通信记录模块、预留模块；其中，所述通信记录模块实现与外部通信及数据记录功能，包含通信子模块、记录子模块及以太网交换子模块；所述预留模块，作为平台可扩展的功能模块或可扩展的通信接口所预留；

所述执行层划分为执行模块A和执行模块B，功能与性能完全相同；执行模块只与主系的主控模块进行数据交互，备系的主控模块则仅接收执行模块数据，执行模块之间不进行数据交互。

3.根据权利要求2所述的安全计算机平台，其特征在于，所述通信记录模块负责通过以太网、RS485、RS422、CAN、或CANFD接口与外部设备或外部子模块通信；所述通信记录模块作为非安全通道，并不保证通信数据本身的安全，而是由数据本身的安全通信协议来保证；

主控模块与通信记录模块由冗余以太网总线相连，除通信记录模块以外的其他执行模块通过CANFD总线与主控模块进行数据传输；

所述通信记录模块连接至CANFD总线上仅用于监听记录总线数据使用；外部以太网接口和内部以太网总线通过两个独立的所述以太网交换子模块来实现，以逻辑隔离内外通信接口。

4.根据权利要求1所述的安全计算机平台，其特征在于，平台对安全通信信息，采用透明传输方式通信，虽然增加了一定安全通信措施，但平台不保证通信数据本身的安全，数据本身安全由其安全通信协议保证，安全解析由应用层负责；

平台对于非安全采集信息不保证安全，信息是否安全由应用层判断；

平台内部通信接口采用安全通信协议，与外设的通信安全由外部安全通信协议保证。

5.根据权利要求4所述的安全计算机平台，其特征在于，通信信息的透传机制，除提高传输效率之外，对所述执行层的通信模块没有应用限制，当外部设备或者应用环境发生变化时，仅通过配置应用层即可满足应用。

6.根据权利要求2所述的安全计算机平台，其特征在于，

数字输入模块、数字输出模块、频率输入模块、预留模块和主控模块为安全功能模块，模拟入出模块和通信记录模块为非安全功能模块；

主控层和执行层中，实现安全功能的模块采用双CPU二取二安全架构；

所述主控层由主控模块A和主控模块B构成，功能与性能完全相同；主控模块A包含处理器CPU1和处理器CPU2，CPU1和CPU2分别将需要表决的数据发送给对方；两CPU各自将自身和对方的数据进行比较，得出表决结果；两CPU再交互表决结果，若两CPU的表决结果都一致，则执行相应的输出，实现了主控模块A的二取二安全架构；主控模块B二取二实现方式与主控模块A相同；其中，CPU1和CPU2可为相同或者不同的处理器。

7.根据权利要求6所述的安全计算机平台，其特征在于，冗余CANFD总线和所有模块都采用电气隔离，而冗余以太网总线采用变压器隔离，所有安全模块的两片CPU之间采用电气隔离；

平台主备系采用独立的电源模块供电，每个电源模块上设计2组独立电源，采用电气隔离；对于安全模块，同时使用两组电源供电，而非安全模块使用一组电源供电。