CN101807814A - 一种高安全性的冗余备份电路系统构架方法 - Google Patents

Abstract

一种高安全性的冗余备份电路系统构架方法，它涉及自动控制技术领域。拥有两套完全一样的电路系统，每套系统仅提供一半的驱动能力，长期处于轻载状态，冗余的驱动能力用于提供在出现故障的紧急时刻，一套系统承担起所有的驱动力需求；即使其中一个电路系统发生最为严重的故障时，另外一个系统能够及时感知到该紧急状态，并仍能够有效控制整个设备的运行，从而在可控的范围内将设备在短时间内安全停下，等待维修；在该短时间内，由于第二套电路系统出问题的可能性非常小，所以可以几乎排除设备由于两个电路系统同时故障而造成失控的严重后果。

Description

一种高安全性的冗余备份电路系统构架方法

技术领域：

本发明涉及自动控制技术领域，具体涉及一种电路系统的构架方法。

背景技术：

在需要高速动态控制、不间断控制、高可靠性和高安全性控制要求的自动控制领域，例如航天和空间探测设备或深海探测设备中，如果仅仅由一套电路系统进行控制，即使电路的安全系数已经非常高，仍无法排除因为偶然事件造成的故障。而在这些特殊场合中，一旦系统发生故障，设备进入失控状态，则后果是相当严重的，例如造成人员的伤亡和设备的损坏，没有补救和维修的机会。

解决一套电路系统安全性的局限，最直接的办法就是采用两套或两套以上冗余备份系统技术，在主系统发生故障时由另外一套备份系统接替，从而保证设备始终处于可控状态。

随着高速动态控制、不间断控制、高可靠性和高安全性等高端控制要求的场合越来越多，各种冗余备份技术逐渐涌现，冗余备份电源，冗余备份服务器等诸多场合已经有多种备份方案用于实际使用。

现有的典型系统备份方案一般有以下几种：

1.一套主系统工作，另一套相同功能的备份系统，不参与工作，两套系统由同一个仲裁模块进行监控和切换，如果主系统出现问题，则由仲裁模块切换到备份系统。如2004年国内专利说明书CN1472863A提到的单板电源备份系统。

2.两套完全一样的系统，互相可以感知和替换，但只有一套系统参与工作，另一套系统处于待机状态。如2010年国内专利说明书CN101634855A提到的用于大型运动会开幕式的冗余备份控制系统。

上述提到的冗余备份方案都存在以下的问题：

1.单套系统总是工作在满载的工况下。每套系统都必须具有满足系统最高性能要求的的驱动能力，但由于两套系统有一个是备份的状态，则主系统必须工作在满载的情况下，对其驱动能力要求必然很高。

2.仅有的一套仲裁模块要求有非常高的可靠性，如果该模块本身出现故障，则备份系统方案的功能无法得到保证。

3.在主备份系统切换的时候，故障系统需要从设备中断开，备份系统需要启动，接入设备，不可避免的存在延时滞后的问题，不适合用于高速度、高精度、不间断控制的场合。

4.备份系统长期处于不工作的状态，其系统健康程度无法得到有效监控，如果主系统故障，切换到有故障的备份系统，则设备进入失控的状态，同样失去了备份的意义。

发明内容：

本发明的目的是提供一种高安全性的冗余备份电路系统构架方法，它能针对所有可能出的电路问题的情况下，均能够保证当前的设备有可用的系统，以保证执行机构不会做出意外的动作，严格保证设备和人员的绝对安全。可用于高动态性能要求和高危险性的机电设备。

为了解决背景技术所存在的问题，本发明是采用以下技术方案：它包括电路系统A、电路系统B和被控对象三大部分。电路系统A和电路B的结构完全一样，均可以驱动执行机构进行工作。电路系统A包含电路A、电源A、执行机构A三大部分，电源A与电路A连接，电路A与执行机构A相互连接，电路系统B结构和A完全一样，包含控制电路B、电源B、执行机构B三大部分，电源B与电路B连接，电路B与执行机构B相互连接，电源A和电路B通过通道1和通道2相互连接，电路A和电路B分别接收外部信号，执行机构A与执行机构B均与被控对象连接。

本发明拥有两套完全一样的电路系统，两套系统均同时参与正常的工作，信号输入来源和控制对象也完全相同。

本发明具有以下有益效果：拥有两套完全一样的电路系统，正常工作时不存在主次之分，且两套系统同步协调工作。每套系统仅提供一半的驱动能力，长期处于轻载状态。冗余的驱动能力用于提供在出现故障的紧急时刻，一套系统承担起所有的驱动力需求。即使其中一个电路系统发生最为严重的故障时，另外一个系统能够及时感知到该紧急状态，并仍能够有效控制整个设备的运行，从而在可控的范围内将设备在短时间内安全停下，等待维修。在该短时间内，由于第二套电路系统出问题的可能性非常小，所以可以几乎排除设备由于两个电路系统同时故障而造成失控的严重后果，从而提高了安全性。

附图说明：

图1是本发明的构架框图；

图2是本发明实施例1的构架框图；

图3是本发明实施例1中可能出现的故障问题及其相应的处理方式的构架框图。

具体实施方式：

参看图1，本具体实施方式采用以下技术方案：它包括电路系统A、电路系统B和被控对象三大部分。电路系统A和电路B的结构完全一样，均可以驱动执行机构进行工作。电路系统A包含电路A、电源A、执行机构A三大部分，电源A与电路A连接，电路A与执行机构A相互连接，电路系统B结构和A完全一样，包含控制电路B、电源B、执行机构B三大部分，电源B与电路B连接，电路B与执行机构B相互连接，电源A和电路B通过通道1和通道2相互连接，电路A和电路B分别接收外部信号，执行机构A与执行机构B均与被控对象连接。

所述的电路系统A和电路系统B的地位完全等同，正常工作状态下两者处于同步协作的状态，电路系统A和B实时的互相通信，感知对方的工作状态。

所述的电路系统A和电路系统B均拥有自己独立的信号输入、输出装置，电源和执行机构，可以完全独立运行并在另一个系统不工作的情况下可独立保证设备的安全运行并可以保证系统能够发挥最大效能。

所述的电路系统A和电路系统B同时工作时，每个系统仅需提供一半的驱动能力，即长期工作在轻载状态下，有助于延长器件的使用寿命。剩下冗余的驱动能力用于在一个系统出现故障时，备份系统利用所有的驱动能力承担起设备所有的需求。

所述的电路系统A或者电路系统B中的任何一个在所有可能的故障情况下，均不会对另一个系统产生负面影响。

所述电路系统A和电路系统B的实时通讯通过隔离器件完全从电气上隔离开。

所述的电路系统A和电路系统B的实时通讯信号有两路地位完全一样的通道，每个通道均可独立完成两个系统信号的传输。

所述的电路系统A和电路系统B将各自的感知和执行信号实时提供给对方系统，共同判断系统所处的状态。

所述的电路系统A或者电路系统B向对方系统实时发送请求信号，如果对方系统崩溃，无法工作，则无应答信号，该系统则进行超时处理，将设备安全停下。

本具体实施方式拥有两套完全一样的电路系统，两套系统均同时参与正常的工作，信号输入来源和控制对象也完全相同。

本具体实施方式拥有两套完全一样的电路系统，正常工作时不存在主次之分，且两套系统同步协调工作。每套系统仅提供一半的驱动能力，长期处于轻载状态。冗余的驱动能力用于提供在出现故障的紧急时刻，一套系统承担起所有的驱动力需求。即使其中一个电路系统发生最为严重的故障时，另外一个系统能够及时感知到该紧急状态，并仍能够有效控制整个设备的运行，从而在可控的范围内将设备在短时间内安全停下，等待维修。在该短时间内，由于第二套电路系统出问题的可能性非常小，所以可以几乎排除设备由于两个电路系统同时故障而造成失控的严重后果，从而提高了安全性。

实施例1：

参看图2，以移动小车做为典型的自动控制系统为例进行分析。电源使用电池进行供电，执行机构为电机，电路为电机伺服驱动电路，共同组成一套电路系统。被控对象为小车的车轮，外部信号以惯性导航信号为例，依靠电路本身的惯性导航传感器得到。通讯通道1、2采用电气隔离器件使得系统A、B进行双向通讯。电机A、B通过齿轮直接驱动同一个车轮。

系统各可能出问题的环节有以下几类：

1.外部信号输入故障；

2.电路内部核心器件故障；

3.电路内部外围器件故障；

4.电机故障；

5.电池故障；

6.通讯通道故障；

7.车轮故障。

下面论述针对每种故障的感知方式及应对处理方式。

1.外部信号输入故障

包括传感器故障，信号传输线路故障等，通过控制核心内部的检测可以判断该信号值是否处在正常范围内。同时系统A、B将对比各自的输入信号值，以判断该故障。处理方式为将关闭较为可能出故障的系统，由正常系统负责将小车安全停下。

2.电路内部核心器件故障

该故障由于核心器件无法工作，即自身无法感知该故障，此时借由对侧系统通过通讯通道发送的心跳询问信号超时无应答来判断。

处理方式为故障系统自动退出对车轮的控制，正常系统及时感知并安全将小车停下。

3.电路内部外围器件故障

要求控制核心能够监控所有外围器件的工作状态，对每个环节进行有效监控，来准确判断该故障。

处理方式为故障系统主动退出对车轮的控制，并发送报警信号给对侧系统，由该正常系统安全将小车停下。

4.电机故障

由电机的反馈环路来判断该故障，类似于外围器件故障。

处理方式为故障系统主动退出对车轮的控制，并发送报警信号给对侧系统，由该正常系统安全将小车停下。

5.电池故障

最严重的情况为电池无法供电，此时该侧电路无法工作，情况类似于电路内部核心器件故障，同样由对侧系统的心跳信号来判断该故障。

处理方式为故障系统自动退出对车轮的控制，正常系统及时感知并安全将小车停下。

6.通讯通道故障

仅讨论只有一个通道故障的情况，因为故障必然先从某一个通道的损坏开始。两个通道信号实时对比，一旦两个信号不匹配，并判断出信号异常的那个通道，则可以定位为通讯通道故障。此时两套电路系统的状态是可以正常工作的，并且依靠剩下的正常通讯通道依然可以对小车进行良好的控制。但是如果另一通讯通道故障，则两套系统将无法同步工作，造成小车失控。所以此时仍应当进入报警状态，两套系统同步工作，令小车安全停下。

7.车轮故障

该故障属于机械类的故障，不属于本发明的处理范围。电路系统的冗余备份无助于彻底处理该类型的故障，只能通过添加对车轮工作状态的传感器来提前感知故障的发生，例如车轮摆动过大，转速不均匀等等，期望在车轮完全失控之前预先进行维护。

一旦能够预先定位该故障，则电路系统将小车安全停下。

综上所述，本发明能够安全处理电路系统中所有可能出问题的环节，并能够有效地采取应对措施，如图3所示。本发明方案保证了设备总是处于可控的状态，最大程度的提高了安全性。

Claims (9)

1.一种高安全性的冗余备份电路系统构架方法，其特征在于它包括电路系统A、电路系统B和被控对象三大部分；电路系统A和电路B的结构完全一样，均可以驱动执行机构进行工作；电路系统A包含电路A、电源A、执行机构A三大部分，电源A与电路A连接，电路A与执行机构A相互连接，电路系统B结构和A完全一样，包含控制电路B、电源B、执行机构B三大部分，电源B与电路B连接，电路B与执行机构B相互连接，电源A和电路B通过通道1和通道2相互连接，电路A和电路B分别接收外部信号，执行机构A与执行机构B均与被控对象连接。

2.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在于所述的电路系统A和电路系统B的地位完全等同，正常工作状态下两者处于同步协作的状态，电路系统A和B实时的互相通信，感知对方的工作状态。

3.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在于所述的电路系统A和电路系统B均拥有自己独立的信号输入、输出装置，电源和执行机构，可以完全独立运行并在另一个系统不工作的情况下可独立保证设备的安全运行并可以保证系统能够发挥最大效能。

4.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在于所述的电路系统A和电路系统B同时工作时，每个系统仅需提供一半的驱动能力，即长期工作在轻载状态下，有助于延长器件的使用寿命；剩下冗余的驱动能力用于在一个系统出现故障时，备份系统利用所有的驱动能力承担起设备所有的需求。

5.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在于所述的电路系统A或者电路系统B中的任何一个在所有可能的故障情况下，均不会对另一个系统产生负面影响。

6.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在所述的电路系统A和电路系统B的实时通讯通过隔离器件完全从电气上隔离开。

7.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在所述的电路系统A和电路系统B的实时通讯信号有两路地位完全一样的通道，每个通道均可独立完成两个系统信号的传输。

8.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在所述的电路系统A和电路系统B将各自的感知和执行信号实时提供给对方系统，共同判断系统所处的状态。

9.根据权利要求1所述的一种高安全性的冗余备份电路系统构架方法，其特征在所述的电路系统A或者电路系统B向对方系统实时发送请求信号，如果对方系统崩溃，无法工作，则无应答信号，该系统则进行超时处理，将设备安全停下。

Images