3、RBC软件架构：分层模型、操作系统选型与SIL4要求

各位好，我是老周。今天咱们聊聊RBC的软件架构。说实话，这个题目看着挺大，但拆开来看，无非就是三件事：软件怎么分层、用什么操作系统、怎么保证安全等级。我在几个高铁项目里摸爬滚打多年，踩过不少坑，今天把这些经验分享给大家。

3.1 RBC的软件分层模型

RBC的软件架构，说白了就是三层：应用层、系统层、驱动层。这个分层不是拍脑袋想出来的，而是经过无数次现场故障后总结出来的最佳实践。

3.1.1 应用层

应用层是RBC的大脑。它负责处理核心逻辑，比如：

• 列车位置跟踪与管理
• 行车许可（MA）的计算与更新
• 临时限速（TSR）的管理
• 与联锁系统、CTC系统的通信

我个人习惯把应用层再细分成两个子层：

• 业务逻辑层：处理具体的铁路信号逻辑，比如区间闭塞、进路控制等
• 通信管理层：负责与外部系统（如GSM-R、联锁）的协议交互

3.1.2 系统层

系统层是承上启下的关键。它提供：

• 任务调度与时间管理
• 内存管理与保护
• 进程间通信（IPC）机制
• 文件系统与日志管理

嗯，这里要注意。系统层不能太厚，也不能太薄。太厚了影响实时性，太薄了应用层负担太重。我建议系统层只做三件事：调度、通信、资源管理。其他的，交给应用层自己处理。

3.1.3 驱动层

驱动层是最底层的软件，直接跟硬件打交道。包括：

• 板级支持包（BSP）
• 设备驱动程序（串口、以太网、数字I/O等）
• 硬件抽象层（HAL）

驱动层有个特点：它必须足够「笨」。什么意思？就是驱动层只负责收发数据，不做任何业务判断。我曾经见过一个项目，驱动层里居然写了报文校验逻辑，结果硬件升级后校验算法变了，驱动层代码改得面目全非。记住：驱动层只做搬运工，不做质检员。

3.2 实时操作系统的选择与考量

RBC对操作系统的要求，说白了就两条：实时性和可靠性。目前主流的选择是VxWorks和Linux（带实时补丁）。

特性	VxWorks	Linux（RT-Preempt）
实时性	硬实时，微秒级响应	硬实时，微秒级响应（经过优化）
确定性	极高，任务调度可预测	较高，但受内核复杂度影响
安全认证	有成熟的SIL4认证路径	需要额外工作，认证成本高
生态与成本	商业软件，授权费用高	开源，成本低，社区活跃
内存保护	支持MMU，进程隔离	原生支持，机制成熟

我个人更倾向于VxWorks。为什么？因为它的确定性。你想想看，RBC每100ms就要输出一次MA，如果操作系统调度抖动超过10ms，那后果不堪设想。VxWorks的任务调度是严格基于优先级的抢占式调度，每个任务的执行时间都是可计算的。

3.3 软件安全完整性等级（SIL4）要求

SIL4，这是RBC软件绕不开的话题。说白了，SIL4要求你的软件故障率低于10^-9每小时。这个数字有多恐怖？相当于一个系统连续运行11万年才允许出一次致命故障。

为了达到SIL4，RBC软件必须满足以下要求：

3.3.1 开发过程要求

• 需求管理：每个需求都要可追溯、可测试
• 设计规范：使用形式化方法或半形式化方法
• 代码规范：强制使用MISRA C等安全编码标准
• 测试覆盖：语句覆盖、分支覆盖、MC/DC覆盖都要达到100%

3.3.2 架构要求

• 故障检测：软件必须能检测自身故障，比如内存校验、程序流监控
• 故障反应：检测到故障后，系统必须进入安全侧状态
• 多样性实现：关键功能要用两种不同的方式实现（比如用两套算法计算MA）
• 独立性：安全相关功能与非安全功能必须隔离

3.3.3 代码实现要求

SIL4对代码实现有严格限制。比如：

• 禁止使用动态内存分配（malloc/free）
• 禁止使用递归
• 禁止使用指针运算（除非有严格保护）
• 所有循环必须有上限

举个例子，一个简单的看门狗喂狗函数，在SIL4下要写成这样：

/* SIL4 看门狗喂狗函数 */
void Watchdog_Feed(void)
{
    static uint32_t feed_count = 0U;
    
    /* 喂狗操作 */
    WDT_REG->FEED = WDT_FEED_SEQUENCE;
    
    /* 计数器递增，用于程序流监控 */
    feed_count++;
    if (feed_count > WDT_MAX_FEED_COUNT)
    {
        feed_count = 0U;
    }
    
    /* 检查喂狗是否成功 */
    if (WDT_REG->STATUS != WDT_STATUS_OK)
    {
        /* 进入安全侧 */
        System_EnterSafeState();
    }
}

你看，这个函数里没有动态内存，没有递归，没有指针运算。每个循环都有上限，每个操作都有状态检查。这就是SIL4的日常。

3.4 小结

RBC的软件架构，说白了就是三个关键词：分层、实时、安全。分层让系统可维护，实时让系统可预测，安全让系统可信赖。这三者缺一不可。

我经常跟年轻工程师说：做RBC软件，不要追求花哨的技术，要追求「笨」和「稳」。因为你的每一行代码，都关系着列车上的几百条人命。这个责任，比任何技术挑战都重。

下一章，咱们聊聊RBC的核心算法——行车许可（MA）的计算。那才是真正烧脑的地方。