CN101908974B - Can总线双冗余热切换系统及热切换方法 - Google Patents

Abstract

CAN总线双冗余热切换系统及热切换方法，提出一种双冗余CAN总线系统的组网模式和双总线热切换方法。双冗余CAN总线系统的组网模式是：网络设计两条总线电缆；每个节点单元包括一个微处理器和两个CAN控制器，分别与两条总线电缆连接，形成两条独立的CAN通道。双总线热切换方法是，工作时设置其中一条通道为工作通道，既可以接收消息也可以发送消息，另一条通道作为备用通道，仅可以接收消息；工作中，节点内的CAN驱动控制软件实时监测通道状态，发现工作通道出现故障时，将备用通道切换为工作通道，同时将原来的工作通道修复后设置为备用通道。

Description

CAN总线双冗余热切换系统及热切换方法

技术领域

本发明涉及一种CAN总线双冗余热切换系统及方法，属于基于CAN总线网络的控制系统以及双冗余热切换技术领域。

背景技术

在基于总线网络的控制系统中，系统的容错能力和可靠性是技术难点之一。国内外就此开展了多方面的研究，冗余设计是采用较多的技术。通常的冗余设计技术一般是基于冗余处理器或冗余通道实现。采用冗余处理器可靠性高但由于节点多，要求节点处理器复杂度高，成本高；而采用冗余通道难以涵盖总线断路等系统级故障状况。

本发明提出的CAN总线双冗余网络热切换系统及方法，填补了国内冗余网络结构的空白，其切换的可靠性和快速性达到了新的水平，而且实现成本低廉，适合于多种高可靠性应用领域。

发明内容

本发明的技术解决问题是：克服现有技术的不足，提供一种即兼顾CAN总线网络控制系统的容错能力和可靠性，又能降低成本的CAN总线双冗余热切换系统及方法。

本发明的技术解决方案是：CAN总线双冗余热切换系统，网络控制节点采用单处理器配置双CAN控制器、双CAN驱动器和双CAN总线结构，每个处理器连接两个CAN控制器，每个CAN控制器连接一个CAN驱动器，每个CAN驱动器连接一条CAN总线，形成一个处理器管理两条独立CAN通道的网络结构；运行在处理器中的CAN驱动管理软件包括接收模块、发送模块、通道状态监测模块、通道切换模块、通道修复模块和中断响应模块，系统工作时指定其中一个CAN通道为工作通道，则另一个CAN通道为备用通道，接收模块同时接收两个CAN通道的数据，发送模块只在工作通道发送数据；若当前工作通道出现故障，主动切换模块将备用通道切换为工作通道，并发送切换帧通知网络上其它控制节点切换通道，然后调用通道修复模块修复故障通道，修复成功则将原故障通道设置为备用通道，不成功则标识为故障；网络上其它控制节点的接收模块接收到切换帧后调用本节点通道切换模块中的被动切换模块，将原来的备用通道切换为工作通道，同时将原来的工作通道设为备用通道。

所述的工作通道故障认定有三种途径，可以选择采用一种或两种或三种结合，工作通道故障认定有三种途径是：发送模块实时监测发送队列状况，若队列前端消息超过了指定时间或指定的重发送次数后仍没有发送出去，则认定为工作通道故障；通道状态监测模块定时监测工作通道的CAN控制器状态寄存器，若状态寄存器中的错误标志置位，则认定为工作通道故障；CAN控制器出现错误中断，发送中断信号到中断响应模块，则认定为工作通道故障。

所述的发送模块实时监测队列状况，队列前端消息重复发送，每次发送间隔时间1～10ms，重复次数2～5次，如发送不成功即认定为故障。

所述的通道状态监测模块定时监测工作通道状况，定时监测的周期为1～5ms。

所述的切换帧发送不调用发送模块，由通道切换模块直接置入CAN控制器指定邮箱。

所述的通道修复模块通过指定次数的通信复位来实现通道修复。

所述的通道修复模块通过不少于3次的通信复位，CAN控制器仍未复位，则认为故障通道未修复成功。

CAN总线双冗余热切换方法，通过以下步骤实现：

第一步，启动权利要求1所述的CAN总线双冗余热切换系统，系统初始化，开始工作，

CAN总线双冗余热切换系统工作时指定其中一个CAN通道为工作通道，则另一个CAN通道为备用通道，接收模块同时接收两个通道的数据，发送模块只在工作通道发送数据，通道故障检测监测模块实时监测控制器的状态寄存器中状态标志；

第二步，通道故障检测

发送模块实时监测发送队列状况，若发现队列前端消息超过了指定时间或指定的重发次数后依然没有发送出去，则认定为工作通道故障；通道状态监测模块实时监测工作通道CAN控制器状态寄存器，发现状态寄存器中的错误标志置位，则认定为工作通道故障；中断响应模块响应CAN控制器错误中断，根据错误信息认定通道故障；发送模块、通道状态监测模块或中断响应模块调用通道切换模块的主动切换模块，进入第三步，实施主动切换；

第三步，主动切换

主动切换模块先将当前工作通道标识为故障，然后检查当前备用通道是否可用，若当前备用通道也处于故障状态，向上层应用软件报告故障，不进行通道切换；若当前备用通道可用，则将当前备用通道切换为工作通道，并发送切换帧通知网络上其它控制节点切换通道，其它控制节点接收到切换帧后转入第四步，实施被动切换；主动切换模块调用通道修复模块，转入第五步，进行通道修复；

第四步，被动切换

被动切换模块将当前的备用通道切换为工作通道，同时将当前的工作通道设为备用通道，进入第六步继续工作；

第五步，通道修复

通道修复模块对故障通道进行修复，修复成功则取消故障标识，并将其设置为备用通道，若修复不成功则不取消故障标识，进入第六步继续工作；

第六步，使用切换后的工作通道继续工作

CAN总线双冗余热切换系统在切换后的工作通道进行数据接收和发送，原来的工作通道或者被修复成功作为备用通道，或者标识为故障不再使用，若当前工作通道再次出现故障，则根据第二步至第五步的原理类推，将当前备用通道切换为工作通道。

所述第三步主动切换模块发送的切换帧包括提前指定了的专用ID值、故障节点和故障类型。

所述第五步通道修复模块通过复位故障通道的CAN控制器来修复。

本发明设计原理：

1)采用单处理器配置双控制器、双驱动器、双总线，实现板级数据链路层到物理层的双冗余硬件结构，同时支持单总线运行；

2)双总线运行时，使用其中一侧通道及总线作为工作通道，用于发送消息，同时也可以接收消息。另一侧作为备用通道，只可以接收消息；

3)发现工作通道故障时，将备用通道转为工作通道，原来的工作通道修复后转为备用通道，即运行中通道角色动态切换；

4)通道故障认定有三种途径：发送模块检测发送队列的消息发送状态、通道故障监测模块检测CAN控制器状态寄存器、中断响应模块响应CAN控制器错误中断；

5)发现故障的控制节点实施主动切换，将备用通道切换为工作通道，同时用切换帧通知总线上其它节点同步切换；另一方面对于故障通道进行修复处理；

6)通道故障修复针对控制器错误类型可以采取不同的策略，如可以通过通信复位方式尝试；

7)接收到切换帧的控制节点实施被动切换，将备用通道切换为工作通道；

8)通道状态监测和切换的控制由处理器中运行的驱动管理软件实现，对应用系统透明；

9)控制系统所选用的节点设备不同，其微处理器特性以及操作系统平台必然会对驱动管理软件的设计实现有所制约，通道检测和故

障修复模块的设计细节和实现方法均可以有所不同。

本发明与现有技术相比有益效果为：

(1)本发明采用单处理器配置双CAN控制器、双CAN驱动器和双CAN总线的双冗余结构，既减少了控制节点数量、降低了成本，又保证了系统的容错能力和可靠性；

(2)本发明驱动和切换功能正确，性能稳定，为系统容错能力和可靠性的提高提供了较好的支持；

(3)本发明任一控制节点通道故障或总线故障均可可靠地实施切换，切换时间不大于500微秒；

(4)本发明采用双冗余热切换技术的CAN总线网络已经成功地应用于多个特种车辆的控制系统。

附图说明

图1为本发明双总线网络结构示意图；

图2为本发明单个节点CAN接口扩展示意图；

图3为本发明CAN驱动器电路原理图；

图4为本发明处理器驱动管理软件组成示意图；

图5为本发明工作流程图；

图6为本发明发送模块工作流程图；

图7为本发明接收模块接收切换帧流程图；

图8为本发明通道状态监测模块工作流程图；

图9为本发明主动切换模块工作流程图；

图10为本发明通道修复模块工作流程图。

具体实施方式

本发明双冗余切换系统如图1、2、3所示，采用单处理器配置双CAN控制器、双CAN驱动器和双CAN总线结构，每个处理器并行两个CAN控制器A、B即CAN通道A和CAN通道B，每个控制器连接一个CAN驱动器，每个CAN驱动器连接一根CAN总线。

处理器中运行的CAN驱动管理软件负责驱动系统和通道管理功能。驱动系统的功能实现与通常的CAN驱动软件类似，实现系统初始化、启动、停止以及收发数据的功能，在此就不赘述。通道管理功能是本发明实现双冗余热切换特有的。上层应用软件通过通信协议调用CAN驱动管理软件收发数据，同时上层应用软件可监视CAN驱动管理软件的通道切换管理，但无权干涉通道切换管理。CAN驱动管理软件如图4所示，包括接收模块、发送模块、通道状态监测模块、通道切换模块、通道修复模块和中断响应模块，每个控制节点的通道切换模块包括主动切换模块和被动切换模块。

发送模块用来发送数据，工作流程图如图6所示，当发送模块在一定时限内未能成功发送数据，认定当前的工作通道故障，发送模块调用本控制节点的主动切换模块切换通道，在切换后的通道中发送队列内上次未发送成功的消息。

接收模块如图7所示，用来接收总线传输的数据，当接收到的数据为切换帧时，调用本控制节点的被动切换模块。

通道状态监测模块如图8所示，用来实时监测CAN控制器的状态寄存器，发现状态寄存器中的错误标志置位，则认定为工作通道故障，调用本控制节点的主动切换模块切换通道。

通道切换模块如图4所示，包括主动切换模块和被动切换模块，主动切换模块如图9所示，在通道发生故障时切换通道、发送切换帧和调用通道修复模块对故障通道进行修复；被动切换模块切换通道。

通道修复模块如图10所示，通过复位故障通道的CAN控制器来修复故障通道，若通道修复成功则将故障通道标示为正常，转为备用通道，用于下次通道切换，如通道修复不成功，再次出现故障时，不再切换通道。

中断响应模块响应CAN控制器发出的中断信号，确定当前工作通道故障，调用主动切换模块进行通道切换。

本发明工作流程如图5所示：

一、系统启动、初始化，开始正常工作

CAN总线双冗余热切换系统工作时指定其中一个CAN通道(如CAN通道A)为工作通道，则另一个CAN通道(CAN通道B)为备用通道，接收模块同时接收两个通道的数据，发送模块只在工作通道发送数据，通道故障检测监测模块实时监测控制器的状态寄存器中状态标志。

二、通道故障检测

通道故障有三种情况：1)发送模块实时监测发送队列状况，若发现队列前端消息超过了指定时间或重发次数后依然没有发送出去，则认定为工作通道(CAN通道A)故障，由发送模块调用通道切换模块，启动主动切换；2)通道状态监测模块实时监测工作通道CAN控制器状态寄存器，发现状态寄存器中的错误标志置位，则认定为工作通道(CAN通道A)故障，由通道状态监测模块调用通道切换模块，启动主动切换；3)中断响应模块响应CAN控制器错误中断，根据错误信息认定通道故障(CAN通道A)，由中断响应模块调用通道切换模块，启动主动切换。

三、主动切换

主动切换模块工作流程如图9所示，先将当前工作通道(CAN通道A)标识为故障，然后检查当前备用通道(CAN通道B)是否可用，若当前备用通道(CAN通道B)也处于故障状态，向上层应用软件报告故障，不进行通道切换，其他控制节点正常工作；若当前备用通道(CAN通道B)可用，则将当前备用通道(CAN通道B)切换为工作通道，并发送切换帧通知网络上其它控制节点切换通道，其它控制节点接收到切换帧后实施被动切换；发送模块在新的工作通道(CAN通道B)发送队列内上次未未发送成功的消息；主动切换模块调用通道修复模块，进行通道修复。

主动切换模块发送的切换帧包括提前指定了的ID值和故障节点以及故障类型信息。

四、被动切换

被动切换模块将当前的备用通道(CAN通道B)切换为工作通道，同时将当前的工作通道(CAN通道A)设为备用通道，继续工作。

五、通道修复

通道修复模块工作流程如图10所示，对故障通道(CAN通道A)进行修复，修复成功则取消故障标识，并将其设置为备用通道，若修复不成功则不取消故障标示。

通道修复模块通过复位故障通道的CAN控制器来修复。

六、使用切换后的工作通道继续工作

CAN总线双冗余热切换系统在切换后的工作通道(CAN通道B)进行数据接收和发送，原来的工作通道(CAN通道A)或者被修复成功作为备用通道，或者标识为故障不再使用，若当前工作通道再次出现故障，则根据上述原理类推，将当前备用通道(CAN通道A)切换为工作通道。

以下具体结合实例来说明双冗余切换系统的设计要点。

1、双总线组网机制

网络设计两条总线(BUSA、BUSB)，冗余工作。总线上所有节点配套两套独立的CAN控制器(简称CAN通道)，分别与两条总线相连，形成了两套独立的物理层通信线路(如图1)。每一条总线网络可以独立运行(单总线模式)，也可以热备份运行(双总线模式)。节点与总线之间的电器连接符合CAN总线规范，并增加光电隔离、阻抗补偿、瞬态保护以及防差错结构设计。

主要结构特点如下：

1)系统包括两条独立的总线电缆；

2)网络中各节点设备内含一个微处理器，控制两个CAN通道；

3)节点设备的两个CAN通道分别与两条总线连接；

4)CAN控制器、电连接器、总线电缆等电器设备的电气性能符合CAN总线标准；

5)通道和总线之间采用光电隔离、阻抗补偿、瞬态保护等电气设计；

6)接插件采用防差错设计。

2、单处理器双通道驱动控制技术

节点控制器具有两个独立的CAN物理层和数据链路层接口，采用单一微处理器实现冗余控制。

主要结构特点如下：

1)对于已经集成了两个CAN通道的微处理器，可直接连接驱动电路；

2)对于不带CAN通道的微处理器，采用串行或并行方式扩展两个相同的CAN控制器(如图2)，两个CAN控制器分别连接驱动电路；

3)控制器与驱动电路之间采用光电隔离设计(如图3)。

3、双总线热切换机制

在双冗余使用的情况下，两条总线及其连接的CAN通道分别以CAN通道A、CAN通道B标识。系统初始状态指定其中之一(如A通道)为工作通道，另一通道(如B通道)为备用通道。工作过程中，节点设备的驱动软件(微处理器的驱动管理模块)实时监测通道状态，若检测到工作通道发生故障就实施总线切换。切换后，通道的角色发生改变，原来的备用通道变为工作通道，原来的工作通道被重新初始化修复，若修复成功则转为备用通道，否则标识为故障，系统按照单总线网络运行。

主要技术特点如下：

1)工作期间，消息发送使用工作通道，消息接收则同时使用两个通道；

2)CAN驱动管理软件的通道状态监测模块自主检测通道状态，发现通道状态异常，即认定为故障；

3)发现通道故障后实施主动切换：启用备用通道为工作通道，在新的工作通道上发送切换帧通知其它节点；

4)接收到切换帧的节点实施被动切换：将备用通道设为工作通道；

5)主动切换的节点要对故障通道进行修复处理。具体的修复方法可以根据控制器错误状态寄存器的信息定义进行针对性的设计。最简单的处理是控制器复位，修复正常设为备用通道，否则标识为故障；

6)备用通道标识为故障时不再实施切换。

4、专用切换帧机制

系统设计专用切换帧用于通知切换。切换帧ID可由用户自定义，切换帧的处理由底层驱动自动完成。

切换帧ID由用户定义的高字段与节点号计算生成。本实例采用的算法是：用户设定字段的高位，对于11bit的标准帧为bit10～7，对于29bit的扩展帧为bit28～7。节点号占用ID的低7位bit6～0。但不以此为限，可以根据实际情况由用户自定义。

主要技术特点如下：

1)CAN驱动管理软件提供配置接口，容许应用系统指定切换帧ID；

2)控制器配置专用邮箱收发切换帧，保证切换的实时性；

3)切换帧的发送不调用发送模块，而是由通道切换模块直接置入控制器指定邮箱；

4)为了保证切换的实时性，切换帧的接收也指定高优先级的邮箱；

5)切换控制封装在驱动管理模块内部，对于应用系统透明；

6)CAN驱动管理软件对于应用系统提供通道状态查询接口；

7)切换帧携带的数据字节可以由应用系统设计，可携带故障类型等错误信息。

5、通道故障检测技术

通道故障检测有三个途径：发送模块实时监测发送队列状况，发现队列前端消息超过了指定时间或次数后依然没有发送出去，则认定为工作通道故障；通道状态监测模块实时监测工作通道CAN控制器状态寄存器，发现状态寄存器中的错误标志置位，，则认定为工作通道故障；中断响应模块响应CAN控制器错误中断，根据错误信息认定通道故障。这三种途径认定通道故障后，调用通道切换模块中的主动切换模块，实施主动切换。

主要技术特点如下：

1)工作期间，发送进程检查发送队列正在被发送的数据帧状态，如果超过设定的时限或次数依然不能发送成功，则认定当前工作通道故障。时限设计要兼顾实时性和可靠性，具体数据与应用系统设定的波特率以及总线负载有关，通常选取10ms，发送次数通常选取3次；

2)工作期间，通道状态监测模块定时检测控制器寄存器，只要发现错误标志置位，则认定通道故障，定时周期可以根据具体采用的CAN控制器来设定，通常选取5ms。检测信号因CAN控制器选型略有不同，以SJA1000为例，寄存器状态字中BS和ES是必须检测的。出现了BS和ES任一置位，则认定通道故障；

3)工作期间，控制器发生错误中断，也认定通道故障。

6、通道修复

故障通道的修复方法也因所选用的CAN控制器不同又有所区别。最简单的方法是按照系统设定的通信速率和总线负载情况设定一个等待极限时间，在等待时间内重复复位数次，通常选取3次，等待状态寄存器中的RST信号复位。在指定的时间内能够复位则修复成功，否则标识为故障。等待极限时间最后通过实验验证，并给与不小于20％的余量。

本发明未详细说明部分属本领域技术人员公知常识。

Claims (10)

1.CAN总线双冗余热切换系统，其特征在于：网络控制节点采用单处理器配置双CAN控制器、双CAN驱动器和双CAN总线结构，每个处理器连接两个CAN控制器，每个CAN控制器连接一个CAN驱动器，每个CAN驱动器连接一条CAN总线，形成一个处理器管理两条独立CAN通道的网络结构，运行在每个处理器中的CAN驱动管理软件包括接收模块、发送模块、通道状态监测模块、通道切换模块、通道修复模块和中断响应模块，每个控制节点的通道切换模块包括主动切换模块和被动切换模块；系统工作时指定其中一个CAN通道为工作通道，则另一个CAN通道为备用通道，接收模块同时接收两个CAN通道的数据，发送模块只在工作通道发送数据；若某个控制节点的当前工作通道出现故障，该控制节点内通道切换模块的主动切换模块将备用通道切换为工作通道，并发送切换帧通知网络上其它控制节点切换通道，然后调用通道修复模块修复故障通道，修复成功则将原故障通道设置为备用通道，不成功则标识为故障；网络上其它控制节点的接收模块接收到切换帧后调用本节点通道切换模块中的被动切换模块，将原来的备用通道切换为工作通道，同时将原来的工作通道设为备用通道；

所述的工作通道故障认定采用三种途径相结合，三种途径是：发送模块实时监测发送队列状况，若队列前端消息超过了指定时间或指定的重发送次数后仍没有发送出去，则认定为工作通道故障；通道状态监测模块定时监测工作通道的CAN控制器状态寄存器，若状态寄存器中的错误标志置位，则认定为工作通道故障；CAN控制器出现错误中断，调用了中断响应模块，则认定为工作通道故障。

2.根据权利要求1所述的CAN总线双冗余热切换系统，其特征在于：所述的发送模块实时监测队列状况，队列前端消息重复发送，每次发送间隔时间1～10ms，重复次数2～5次，如发送不成功即认定为故障。

3.根据权利要求1所述的CAN总线双冗余热切换系统，其特征在于：所述的通道状态监测模块定时监测工作通道状况，定时监测的周期为1～5ms。

4.根据权利要求1所述的CAN总线双冗余热切换系统，其特征在于：所述的切换帧发送不调用发送模块，由通道切换模块直接置入CAN控制器指定邮箱，切换帧的接收也指定高优先级的邮箱。

5.根据权利要求4所述的CAN总线双冗余热切换系统，其特征在于：所述切换帧包括提前指定了的专用ID值、故障节点和故障类型；切换帧专用ID值由用户定义的高字段与节点号计算生成。

6.根据权利要求1所述的CAN总线双冗余热切换系统，其特征在于：所述的通道修复模块通过指定次数的通信复位来实现通道修复。

7.根据权利要求6所述的CAN总线双冗余热切换系统，其特征在于：所述的通道修复模块通过不少于3次的通信复位，CAN控制器仍未复位，则认为故障通道未修复成功。

8.如权利要求1所述的CAN总线双冗余热切换系统的切换方法，其特征在于通过以下步骤实现：

第一步，启动所述的CAN总线双冗余热切换系统，系统初始化，开始工作，

CAN总线双冗余热切换系统工作时指定其中一个CAN通道为工作通道，则另一个CAN通道为备用通道，接收模块同时接收两个通道的数据，发送模块只在工作通道发送数据，通道状态监测模块实时监测CAN控制器的状态寄存器中状态标志；

第二步，通道故障检测

发送模块实时监测发送队列状况，若发现队列前端消息超过了指定时间或指定的重发次数后依然没有发送出去，则认定为工作通道故障；通道状态监测模块实时监测工作通道CAN控制器状态寄存器，发现状态寄存器中的错误标志置位，则认定为工作通道故障；中断响应模块响应CAN控制器错误中断，根据错误信息认定通道故障；发送模块、通道状态监测模块或中断响应模块在认定通道故障后调用通道切换模块的主动切换模块，进入第三步，实施主动切换；

第三步，主动切换

主动切换模块先将当前工作通道标识为故障，然后检查当前备用通道是否可用，若当前备用通道也处于故障状态，向上层应用软件报告故障，不进行通道切换；若当前备用通道可用，则将当前备用通道切换为工作通道，并发送切换帧通知网络上其它控制节点切换通道，其它控制节点接收到切换帧后转入第四步，实施被动切换；主动切换模块调用通道修复模块，转入第五步，进行通道修复；

第四步，被动切换

被动切换模块将当前的备用通道切换为工作通道，同时将当前的工作通道设为备用通道，进入第六步继续工作；

第五步，通道修复

通道修复模块对故障通道进行修复，修复成功则取消故障标识，并将其设置为备用通道，若修复不成功则不取消故障标识，进入第六步继续工作；

第六步，使用切换后的工作通道继续工作

CAN总线双冗余热切换系统在切换后的工作通道进行数据接收和发送，原来的工作通道或者被修复成功作为备用通道，或者标识为故障不再使用，若当前工作通道再次出现故障，则根据第二步至第五步的原理类推，将当前备用通道切换为工作通道。

9.根据权利要求8所述的CAN总线双冗余热切换方法，其特征在于：所述第三步主动切换模块发送的切换帧包括提前指定了的专用ID值、故障节点和故障类型。

10.根据权利要求8所述的CAN总线双冗余热切换方法，其特征在于：所述第五步通道修复模块通过复位故障通道的CAN控制器来修复。

Images