基于CANopen 協議的軌道交通安全計算機平臺研究

耿進龍 趙希發 李 鵬

安全計算機平臺是軌道交通中信號控制系統的通用安全平臺，廣泛應用于鐵路和地鐵的軌旁IO設備系統和車載IO 設備系統，是軌道交通信號系統的重要組成部分。隨著我國鐵路列車運行速度越來越快，維護周期要求越來越短，對用于傳輸IO控制命令以及檢測維護信息的系統總線，在安全性、實時性以及可靠性方面提出了更高的要求。

CAN 總線具有突出的可靠性、實時性和靈活性，在工業自動化、汽車、船舶等領域得到廣泛應用。基于CAN 應用層的CANopen 協議具有實時高效、組網靈活等特點，通過CANopen 協議傳輸的數據可以根據其不同的緊急程度要求，設置為不同優先級的CANopen 通信對象。底層CAN 總線采用非破壞性仲裁機制，既可以保證高優先級的CANopen 通信對象優先傳輸，又可以保證低優先級的CANopen 通信對象不會丟失。

基于CANopen協議的安全計算機平臺，采用雙網冗余的CAN 總線連接系統內各個模塊。同時，對實時性要求最高的IO 控制命令采用PDO 進行傳輸，數據量比較大的監測維護信息采用SDO 進行傳輸，并使用NMT 報文對網絡中的每個節點進行同步控制。通過實驗室測試試驗，驗證了CANopen 協議作為安全計算機平臺總線上層通信協議的可行性。

1 安全計算機平臺架構

在軌道交通信號系統中，典型的故障-安全系統有1oolD、1oo2D、2oo2D、2oo3D、2×2oo2D 等幾種架構，不同的架構具有不同的可靠性和安全性。本文描述的安全計算機平臺采用2×2oo2D 作為安全平臺的核心架構，其基本功能結構、接口及邊界如圖1 所示。安全計算機平臺主要由邏輯處理單元和IO 執行單元2 部分組成，兩者之間通過冗余的CAN總線進行數據交互，每個邏輯處理模塊和IO 執行模塊都采用2oo2設計，滿足EN 50128的SIL4級要求。

圖1 安全計算機平臺系統架構

在安全計算機平臺中，邏輯處理單元主要負責接收外部安全設備的數據，并進行安全處理，生成IO 驅動命令并發送給IO 執行單元；同時，對IO 執行單元采集的數據進行安全處理，將處理后的數據發送給外部安全設備。IO 執行單元分為IO 采集模塊和IO 驅動模塊，IO 采集模塊主要負責采集IO 控制設備的數據，并進行安全處理，處理后的數據通過CAN 總線發送給邏輯處理單元；IO 驅動模塊主要負責通過CAN 總線接收邏輯處理單元的數據，并進行安全處理，利用處理后的數據控制IO 設備。

為了提高安全計算機平臺的通用性，系統中IO 執行單元的數量可配置。應用可以根據現場IO控制設備的數量靈活地調整IO 執行單元的數量，最多支持配置42 個IO 執行單元。

2 CANopen 協議通信原理

CANopen 協議是CAN 總線的上層應用協議，每個CANopen 設備由3 部分組成，分別是通信接口、對象字典和應用層，其模型如圖2 所示。通信接口連接到CAN 總線，根據CANopen 協議的要求在總線上收發CAN 報文；對象字典是通信接口和應用層之間的接口，對象字典中的對象由上層應用進行定義；應用層與相關的IO 設備相連，控制IO設備的驅采操作。

2.1 對象字典

圖2 CANopen 設備模型

對象字典是CANopen 協議中最核心的部分，每個設備都有一個獨立的對象字典，用于描述設備自身的各種數據對象和參數，是一個有序的對象集合。對象字典的對象可以通過使用索引（Index）和子索引（Sub-index）進行訪問。

2.2 通信對象

通信接口定義了4 種類型的通信對象：網絡管理報文NMT、過程數據對象SDO、服務數據對象PDO，以及特殊功能對象。NMT 采用主從通信模式，主要用于統一管理網絡節點的狀態；SDO 采用客戶端/服務器通信模式，主要用于傳輸實時性要求不高的數據，如對象字典中節點配置參數等；PDO 采用生產者/消費者通信模式，主要用于傳輸實時數據，如控制數據等；特殊功能對象包括同步幀報文、時間戳報文以及緊急報文。同步幀報文用于實現整個網絡的同步傳輸；時間戳報文用于為網絡中所有設備提供統一的時間基準；緊急報文用于在站節點內部發生錯誤時通知網絡中其他設備。

2.3 CANopen 標識符

CANopen 通信過程中使用COB-ID 區分不同設備發出的數據內容，并且要求通信對象的接收者與報文的發送者必須具有相同的COB-ID。同時，COB-ID 用于表示報文的優先級，COB-ID 值越小，報文優先級越高。CANopen 中各個通信對象的COB-ID 分配見表1。

表1 CANopen 協議通信對象的COB-ID 分配

3 基于CANopen 協議的安全計算機平臺設計與實現

3.1 節點硬件設計

安全計算機平臺最大支持60 個CAN 通信節點，它們共同構成一個CAN 通信網絡。其中，邏輯處理單元的主系配置為整個網絡的主節點，其他處理單元配置為從節點。主節點負責協調系統中各個分節點的動作。網絡中所有的CAN 節點（邏輯處理單元或IO 執行單元）都采用相同的硬件設計，MCF54418 的CPU 外 連 一 個SN65HVD230D 的CAN 接口芯片，具有集成度高、不占用布板面積、體積小、功耗低等優點。

CAN 控制器采用了NXP 公司生產的MCF54418芯片內部集成的FlexCan 總線控制器，該控制器支持CAN2.0B 協議，支持基本型CAN 模式和增強型CAN 模式，具有滿足高性能CAN 通信協議所要求的全部必要特性。CAN 總線驅動器SN65HVD230D是CAN 控制器和物理總線之間的接口，可以提供對總線的差動發送和接收功能，而且CAN 控制器和CAN 總線驅動器SN65HVD230D 之間直接相連，最大限度地減少了時延，提高了信號質量。

3.2 節點軟件設計與實現

3.2.1 CANopen 節點對象字典的創建

安全計算機平臺中每個CAN 節點都有一個獨立的對象字典，包含通信協議對象和廠家指定協議對象。通信協議對象（Index 0x1000～0x1AFF）除了定義CANopen 協議強制要求的設備類型、錯誤寄存器和產品識別參數3 個對象外，還定義了每個節點的軟件版本、硬件版本、時間戳COB-ID、緊急報文COB-ID、同步報文COB-ID 等對象，如表2 所示。

表2 通信協議對象

廠家指定協議對象定義了本節點的設備啟動次數、設備運行時間、CPU 最大利用率、CPU 平均利用率、故障碼，以及PDO 的通信參數和映射參數等對象，如表3 所示。

表3 廠家指定協議對象

3.2.2 CANopen 網絡初始化流程

CAN 節點狀態分為初始化狀態、預操作狀態、操作狀態和停止狀態。每個節點在上電和內部初始化后自動進入預操作狀態，并向CAN 總線發送啟動（boot-up）報文，處于該狀態中的從節點可以進行SDO 通信，但不允許進行PDO 通信。主節點初始化完成后，通過NMT 報文通知各個從節點進入操作狀態。在操作狀態下的節點既可以進行SDO 通信，也可進行PDO 通信。系統運行過程中，若主節點檢測到某個從節點發生故障，則通過發送NMT 報文通知故障的從節點進入停止狀態，停止狀態下的節點既不允許進行SDO 通信，也不允許進行PDO 通信。

3.2.3 IO 控制命令傳輸

安全計算機平臺在正常運行過程中，邏輯處理單元和IO 執行單元之間需要進行周期性的IO 控制命令數據交互。IO 控制命令具備數據量小，實時性和安全性要求高等特點。本文采用優先級更高的PDO 對象進行IO 控制命令的傳輸。PDO 通信有3 種觸發機制：事件觸發、遠程請求幀和同步觸發。為了保證IO 執行單元之間的操作同步，本文采用同步觸發機制。主節點周期性地向CAN 總線廣播同步報文（SYNC），節點在收到同步報文后發送PDO 報文。為了保證PDO 消息的時效性，所有的節點都必須在同步窗口內發送PDO 報文，同步窗口外的報文屬于無效報文；同時為了保證數據傳輸的完整性，安全計算機平臺把PDO 報文的8 個字節數據區劃分為2 個4 字節的區段，前一個區段用于存放IO 控制命令，后一個區段用于存放IO 控制命令的安全校驗碼，只有通過安全校驗的IO 控制命令才可以被使用。

3.2.4 監控維護數據傳輸

安全計算機平臺在正常運行過程中，IO 執行單元將實時地監控IO 設備的工作狀態，并把監控信息記錄在本地的對象字典中，主節點定期通過SDO 對象獲取每個IO 執行單元的監控信息以及維護信息（如系統運行時間、軟件版本號等），并發送給外部的維護臺。

SDO 傳輸分為快速傳輸、段傳輸和塊傳輸3種。為了加快傳輸速度，提高CAN 總線的利用率，在安全計算機平臺中，針對不同類型的監控維護信息采用不同的傳輸方法。對于數據長度小于等于4 個字節的監控維護信息，采用快速傳輸的方式進行傳輸；對于大于4 個字節而小于0xA8 個字節的監控維護信息，采用段傳輸的方式進行傳輸；對于更大數據量的監控維護信息，則采用塊傳輸方式進行傳輸。

4 安全計算機平臺應用測試

為了驗證CANopen協議在安全計算機平臺通信中的可用性，實驗室搭建了最大配置的運行環境進行測試，包含2 個邏輯處理單元和42 個IO 執行單元。其中，主邏輯處理單元作為CANopen 網絡的主節點，每50ms 發送一次同步幀，用于同步PDO 傳輸；每1s 發送一次時間戳報文，為所有網絡節點提供統一的時間基準；IO 執行單元每150ms 發送一次心跳報文，每500ms 發送一次檢測維護消息的SDO報文，報文大小為200 字節。系統持續運行72h，實驗過程中沒有出現延時、數據被破壞、丟包等錯誤，CAN 總線的平均利用率為41.8%，最大利用率為64%，性能上完全能夠滿足系統要求的CAN 總線的平均利用率不超過70%的要求。

5 結束語

基于CANopen 協議的軌道交通安全計算機平臺已在我國多個鐵路車站中應用，在正式運行過程中沒有出現故障，這充分說明CANopen 協議可以應用于軌道交通的信號系統中。同時，采用CANopen 協議的安全計算機平臺不僅可以解決系統中各個模塊之間的通信互聯問題，提高整個系統通信的可靠性和實時性，還可以提高整個系統的兼容性，為系統的進一步擴展提供了更加便捷的方式。