地鐵列車TRDP安全數據傳輸協議研究

朱少華，吉凡

（中車南京浦鎮車輛有限公司，江蘇南京，210031）

隨著我國城市軌道交通的迅猛發展，越來越多的地鐵列車網絡采用以太網TRDP協議進行通信。以太網大大提升了網絡的帶寬和傳輸速率，提高了信息傳輸能力，但同時存在可靠性、實時性方面的缺陷，可能會影響列車實時控制性能，威脅行車安全，采用TRDP協議并不能解決這些問題。本文針對SDTv2協議進行了研究，并通過實際項目應用，實現了地鐵列車重要數據安全實時的傳輸。

1 TRDP協議

列車實時數據協議（Train Real-Time Data Protocol，TRDP）是一種列車實時傳輸協議，定義在IEC61375-2-3的附錄A中。TRDP層位于應用層和傳輸層之間，傳輸層使用TCP/UDP協議。TRDP報文如圖1所述。

圖1

TRDP協議通過FCS-32生成多項式對TRDP頭進行CRC校驗，生成頭部校驗碼HeaderFCS，但協議并未對用戶數據段進行校驗。

TRDP協議過程數據有PUSH和PULL兩種模式，常用的是PUSH模式，如圖2所示。

TRDP協議簡要描述了一下超時判斷機制，并未對數據傳輸實時性要求進行詳細規定。

2 SDTv2協議

安全數據傳輸協議（Safe Data Transmission version 2，SDTv2）是一種在應用數據層增加安全數據傳輸的協議，主要適用于列車以太網通信，也可用于MVB通信。定義在IEC61375-2-3的附錄B中。

圖2

SDTv2提供了在一個安全相關（重要）數據源（SDSRC）和一個/多個安全相關數據宿（SDSINK）之間的安全通信路徑。該安全通信路徑稱作“SDTv2通道”。SDSRC側SDTv2層的主要任務是添加協議信息，在發送之前構成傳輸層數據安全傳輸所必需的VDP。SDSINK側SDTv2層確認已接收的VDP，如果確認成功則在SDTv2應用接口呈現已包含的重要數據。

■2.1 源標識符（SID）

圖3

所有安全相關數據源（SDSRC）都應由一個源標識符（SID）標識。SID是按照下列數據結構，通過SC-32循環冗余校驗計算得到的一個UINT32值。初始值應為‘FFFFFFFF’H。

SID數據格式如圖3所示。

■2.2 重要數據包（VDP）

重要數據包（Vital Data Packet，VDP）置于TRDP過程數據報文的用戶數據部分中，數據結構如圖4所示。

圖4

VDP數據格式如圖5所示。

圖5

SDSRC使用2.1中計算的SID作為初始值，對重要過程數據、用戶數據版本、安全序列計數器進行SC-32循環冗余校驗計算得到SafetyCode，生成VDP發送出去。SDSINK接收到VDP后，通過TRDP定義的源IP、目的IP、ComId找到對應發送方，根據發送方的預定義信息得到SMI等數據，使用SC-32計算對應SID，然后用SID作為初始值，對接收到的重要過程數據等信息再次使用SC-32計算應該得到的SafetyCode，與實際接收到的SafetyCode進行對比，判斷VDP的是否正確。

■2.3 安全數據收發

SDTv2需要配置下列時間參數：

Ttx_period：VDP發送周期，為SDSRC定義。

Trx_period：VDP接收（采樣）周期，為SDSINK定義。

Trx_safe：SDSINK未收到新的重要數據的最大容忍時間。

Tguard：SDSINK用于檢測出SDSRC冗余組中多個SRSRC處于激活狀態的時間。

2.3.1 安全數據發送（SDSRC）

SDSRC根據定義的Ttx_period周期性的發送VDP，每發一個VDP安全序列計數器（SSC）增加1。

冗余SDSRC同一時刻只有一個在發送VDP，另外一個不發送。冗余切換時間：

Tred≤ Trx_safe- 2 × max(Ttx_period,Trx_period)

2.3.2 安全數據接收（SDSINK）

SDSINK接收并驗證VDP，將驗證通過的數據呈現給SDTv2應用程序接口。

2.3.2.1 VDP種類

VDP可以分為以下種類：

正確VDP：SafetyCode校驗正確且用戶數據版本正確的VDP。

重復VDP：本次經過校驗的SafetyCode與上次經過校驗的SafetyCode相同的VDP。

初始VDP：不是重復VDP，或者上電/重啟后第一個正確VDP，或者通信中斷恢復后第一個正確VDP，或者SDSRC冗余切換后第一個正確VDP。

新鮮VDP：正確VDP，且不是初始VDP，且SID是初始SID，且SSC延續上個初始或新鮮VDP的SSC。

有效VDP：新鮮或者重復VDP。

2.3.2.2 VDP有效性檢查

SDSINK在收到初始VDP之后，記錄下當前SSCi，然后等待接收下一個VDP。如果下一個VDP的SSCi+1范圍在：SSCi+1 <= SSCi+1<= SSCi+Trx_safe/ Ttx_period，則為新鮮VDP，如果SSCi= SSCi+1，則為重復VDP。此時SSCi+1作為新的SSCi記錄下來，再次等待接收下一個VDP。其他SSC無效。

SDSINK將通過校驗正確且SSC新鮮或者重復的VDP判斷為有效VDP，呈現給應用程序接口。

2.3.2.3 宿時間監測

SDSINK接收到初始VDP之后開始計時，如果在Trx_safe時間內收到新鮮VDP，則重新開始計時。當超過該時間未收到新鮮VDP時，SDSINK判斷數據接收超時，安全通信丟失，等待再次收到初始VDP后開始計時，安全通信恢復。

2.3.2.4 保護時間檢查

保護時間檢查用于檢測兩個冗余SDSRC均激活的情況。保護時間Tguard應從接收初始VDP之后開始計時，并且持續時間為Trx_safe的倍數（可配置）。SDSINK在接收到一個SDSRC初始VDP之后開始計時，如果在Tguard時間內收到了其冗余SDSRC的初始VDP，則SDSINK判斷保護時間違反，安全通信丟失。此時保護時間重新開始計時，直到Tguard內未收到冗余SDSRC的初始VDP停止計時，安全通信恢復。

2.3.2.5 延遲監測

延遲監測用于監督VDP傳輸的延遲。在網絡故障的情況下，延遲時間平均值可能會隨時間增加。SDSINK在接收到新鮮VDP的SSCi之后，對于下個VDP有一個預期SSCE=SSCi+1，實際采樣得到的是SSCs，當SSCE-SSCs >=Trx_safe/ Ttx_period時，SDSINK判斷延遲時間違反，安全通信丟失。當SSCE-SSCs < Trx_safe/ Ttx_period時，安全通信恢復。

2.3.2.6 通道監測

通道監測用于檢測SDTv2通道發生硬件或者軟件故障后，傳輸故障率突然增加的情況。如果單位時間內接收到的帶有不正確SafetyCode的VDP數量超過預定義的閾值（通道監測閾值），則SDSINK判斷通道故障，指示安全通信丟失。當不正確SafetyCode的VDP數量小于閾值時，安全通信恢復。

3 協議應用

無錫3號線智能列車網絡采用實時以太網進行通信，通信協議為基于TRDP過程數據的SDTv2協議。

本項目將列車網絡系統與各個子系統劃分不同系統編號，根據系統編號、車輛號、設備號分配設備IP地址、通信組播地址、ComID、SMI等信息，并配置SDTv2時間參數。

網絡系統與子系統之間通過上述信息和參數互相收發數據，按照SDTv2協議驗證數據的正確性和實時性，實現了列車安全數據傳輸。

■3.1 ComID

TRDP定義了通信標識符（Communication Identifier，ComID）作為協議數據單元的獨特標識符。本項目的ComID按表1規則進行分配（ABCDDE，其中A表示過程數據流向）。

■3.2 SMI

SDTv2定義了安全消息標識符（Safe Message Identifier，SMI）作為用戶定義的安全數據傳輸標識符。本項目的SMI按表2規則進行分配（ABCDDEF，其中A表示過程數據流向）。

表1

表2

■3.3 時間參數配置

Ttx_period：本項目規定與TRDP發送周期一致。

Trx_period：本項目規定為CPU執行周期，注意Ttx_period應為該值的整數倍，即Ttx_period= N ＊ Trx_period。

Trx_safe：本項目規定為Ttx_period的5倍，即Trx_safe= 5＊Ttx_period。

Tguard：本項目規定為Trx_safe的10倍，即Tguard= 10 ＊Trx_safe。

4 總結

SDTv2協議在TRDP協議的基礎上，增加了對數據傳輸的正確性和實時性要求。通過雙重SC-32循環冗余校驗、VDP有效性檢查、通道監測等方式，SDTv2確保了數據收發的正確性。通過宿時間監測、保護時間檢查、延遲監測等方式，SDTv2確保數據收發的實時性。