CN101916068A - 基于2取2结构的计算机控制系统及其实现方法 - Google Patents

Abstract

本发明公开了一种基于2取2结构的计算机控制系统及其实现方法，所述系统包括安全管理层和具有两个处理器的2取2执行层，所述安全管理层和2取2执行层之间通过高速通信总线连接，所述2取2执行层用于完成每个阶段的应用处理，并完成不同阶段的数据比较，并向安全管理层发送同步状态信号和数据比较结果。所述安全管理层用于控制和判断所述2取2执行层中两个处理器的同步状态，并且判断两个处理器数据比较结果是否一致。

Description

基于2取2结构的计算机控制系统及其实现方法

技术领域

本发明涉及工业控制领域，特别是涉及一种基于2取2结构的计算机控制系统及其实现方法。

背景技术

目前的工业控制系统绝大多数都是计算机控制系统，采用容错技术可显著地提高其可靠性和可用性。但系统一旦不能正常工作，有可能向被控设备输出危险的控制信号，从而造成人员伤亡和财产损失。因此铁路、石化、钢铁等领域要求工业控制计算机系统不仅是高可靠和高可用的容错系统，同时也是故障安全系统。2取2结构计算机控制系统具有完备的双机比较检出危险侧故障的能力，在关键控制过程中被广泛应用。

2取2结构的计算机控制系统通常包括两个执行相同的控制程序的处理器模块，两个处理器模块的处理结果，只有比较一致才有正确输出，否则系统输出会倒向安全侧。由于避免了处理器自诊断，系统实时性能和故障安全性能得以大幅度提高。

2取2结构系统中冗余双处理器模块可以工作于时钟级和任务级两种同步方式。

时钟级同步时，两个处理器或者使用同一时钟，或者使用反向的两个时钟，构成紧耦合结构。通过对地址、数据总线上信息进行数据比较实现2取2。时钟级同步的实现方法为将两套完全一样的CPU及其核心电路集成在一块电路板上，以便采用同一个晶振分频电路作为芯片的时钟脉冲，并采用专门设计的比较器对两个CPU总线进行比较监督。

任务级同步时，两个处理器运行不绝对同步，构成松散耦合冗余结构。由于存在同步容差，对共模错误抑制能力高。任务级同步系统主要采用软件完成双CPU工作一致性的比较，实现方法为两个CPU单独工作，通过CPU间的高速通道周期性地对两个CPU中的各任务进行同步比较，以完成对两个CPU工作一致性的检查。

时钟级同步系统主要采用硬件完成双CPU工作一致性的比较，对硬件有较高的要求。这种同步方式存在无法在两个CPU中实现两套不同算法的缺点，无法利用差异性消除软件的共模故障。同时，随着硬件技术的飞速发展，由于复杂CPU芯片本身存在的封闭、高速特性，使得时钟同步的方式对于高性能的CPU芯片几乎无能为力。同时采用CPU时钟同步的2取2系统在硬件上的更新换代受到了很大的限制。

任务级同步时，系统的安全管理功能由软件完成，需要将应用程序分成若干任务，分别在每个任务之后通过通道内同步总线交换同步信息，同时进行状态数据和输出数据比较来实现2取2。

对于任务级同步2取2结构而言，可以证明不存在一种可纠正同步误差的双机同步算法，这是由双机不可能判断谁对谁错的逻辑二难特性所决定的。对于安全完善度等级较高的系统，要求故障反应时间尽可能短，在这种情况下，在每个任务之后再进行同步可能无法达到整个系统同步容差的要求。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是如何在缩短故障反应时间、纠正同步误差等前提下，实现任务级同步的2取2结构计算机控制。

(二)技术方案

为解决上述技术问题，提供一种基于2取2结构的计算机控制系统，包括安全管理层和具有两个处理器的2取2执行层，所述安全管理层和2取2执行层之间通过高速通信总线连接。

所述2取2执行层用于完成每个阶段的应用处理，并完成不同阶段的数据比较，并向安全管理层发送同步状态信号和数据比较结果。

所述安全管理层用于控制和判断所述2取2执行层中两个处理器的同步状态，并且判断两个处理器数据比较结果是否一致。

优选地，所述安全管理层包括时钟控制模块和表决结果判断模块，所述时钟控制模块和表决结果判断模块均采用数字可编程逻辑器件实现。

优选地，所述数字可编程逻辑器件配置为多模冗余结构，且所述多模冗余结构为2取2结构或3取2结构。

本发明还提供了一种基于2取2结构的计算机控制系统的实现方法，包括步骤：

S1，安全管理层设置上电时限，并判断两个处理器在所述时限内是否正常启动；如果否，则发送控制命令使得两个处理器停止工作，如果是，则转步骤S2；

S2，在一个控制周期内，安全管理层发送同步信号，两个处理器在同步信号的控制下进行一个处理过程，并分别向安全管理层发送该阶段的处理完成报告；

S3，安全管理层根据收到所述处理完成报告的时间差判断所述两个处理器是否处于同步状态；如果否，则发送控制命令使得两个处理器停止工作，如果是，则转步骤S2进行下一处理过程。

优选地，在步骤S2中，在各处理过程所处的控制周期的开始和/或结束处设置同步检查点。

优选地，将所述控制周期分为数据输入、数据处理和数据输出三个阶段，并在每个阶段设置一个同步检查点。

优选地，在步骤S2中，安全管理层将控制周期根据控制精度和故障反应时间的要求分割为多个时间片，并为所述控制周期内的各个处理过程分配固定的时间片，要求处理器在相应的时间片内完成特定处理过程。

优选地，在所述步骤S3中，如果安全管理器收到任一处理器发送的处理完成报告显示该处理器未在分配的时间片内完成相关处理过程，则判断为双机失步，并停止处理器的工作。

优选地，在所述步骤S3中，如果安全管理器未收到所述处理完成报告，或者收到的两个处理器发送的处理完成报告的时间差超过系统设定的同步容限，则判断为双机失步，并停止处理器的工作。

优选地，通过2取2执行层中设置的软件对所述两个处理器的输入数据、输出数据和中间运行状态进行数据比较，并将数据比较结果发送给安全管理层，安全管理层根据所述数据比较结果完成一致性判断表决，如果表决成功，则控制处理器继续控制过程，如果表决不成功，则停止处理器的工作。

(三)有益效果

通过设立基于硬件设计的安全管理层，为处于任务级同步的双机提供同步信号，解决了双机不可能判断谁对谁错的逻辑二难特性；2取2执行层双机的同步时钟由安全管理层的硬件时钟提供，控制周期比由软件定时器产生的时钟更加精确；安全管理层的时钟控制/硬件比较模块采用数字可编程逻辑器件来实现，具有时钟控制精确，配置灵活，可重复编写等优点，同时由于只对双机的表决结果进行判断，数据量很小，对同步时钟的依赖较小，具有很好的实用性。

附图说明

图1是本发明基于2取2结构的计算机控制系统的层次结构图；

图2是本发明基于2取2结构的计算机控制系统的实现方法的双机上电正常启动流程图；

图3是本发明基于2取2结构的计算机控制系统的实现方法的双机上电异常控制流程图；

图4是本发明基于2取2结构的计算机控制系统的实现方法周期控制流程图；

图5是本发明基于2取2结构的计算机控制系统的实现方法数据表决流程图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

如图1所示，本发明提供了一种基于2取2结构的计算机控制系统，包括安全管理层和具有两个处理器的2取2执行层，所述安全管理层和2取2执行层之间通过高速通信总线连接。所述2取2执行层用于完成每个阶段的应用处理，并完成不同阶段的数据比较，并向安全管理层发送同步状态信号和数据比较结果；所述安全管理层用于控制和判断所述2取2执行层中两个处理器的同步状态，并且判断两个处理器数据比较结果是否一致。

安全管理层采用纯硬件设计方法，具有很高的安全完善度等级，负责控制2取2执行层双机之间的同步状态，同时判断双机之间输入数据，输出数据和中间运行状态的表决结果是否一致，当判断出2取2执行层运行异常时采取安全策略停止2取2执行层工作。2取2执行层利用软件来实现，完成数据输入、数据运算和数据输出等应用处理工作，完成每个阶段的应用处理后，双机软件会向安全管理层发送同步状态信号，由安全管理层来判断双机的同步状态，由此来解决双机不可能判断谁对谁错的逻辑二难特性。双机的软件根据输入数据，输出数据和中间运行状态的重要程度采用不同的数据比较策略，只把数据比较结果发送给安全管理层进行判断，避免了使用硬件表决器对于吞吐量和数据处理能力的要求。

安全管理层与2取2执行层以及2取2执行层的双机之间通过高速通信总线来实现数据的交换，可以满足整个系统对于实时性的要求。高速通信总线采用了冗余结构，提高了整个系统的可靠性和可用性。

考虑到2取2双机会因为上电时间的不同步而导致初始上电后的启动和自检时间差异较大，如果按照整个系统的同步容差来对这一过程进行约束，很可能会导致整个系统的可用性降低。为了解决这一问题，由安全管理层设置专门的上电时限，保证2取2执行层双机在时限内完成启动和自检，并同时进入正常工作流程。

2取2双机在时限内完成正常启动的流程图如图2所示。具体流程如下：

(1)2取2双机各自上电后进行初始化及自检；

(2)2取2双机中的一机在硬件和软件自检成功后，向安全管理层发送自检成功的状态；

(3)安全管理层硬件在收到2取2双机中任意一机的自检成功状态后，开始上电同步定时；

(4)安全管理层在时限内收到2取2双机报告的自检成功状态后，同时向双机发送控制命令，通知2取2双机进入正常工作流程；

(5)当2取2双机收到进入正常工作流程的命令后，进入正常工作流程，上电和自检流程结束。

2取2双机中任意一机无法在时限内正常启动的流程图如图3所示。具体流程如下：

(1)2取2双机各自上电后进行初始化及自检；

(2)2取2双机中硬件和软件自检成功后，向安全管理层发送自检成功的状态，另一机因为硬件或者软件的故障无法及时完成自检；

(3)安全管理层硬件在收到2取2双机中任意一机的自检成功状态后，开始上电同步定时；

(4)安全管理层在时限内未收到2取2双机报告的自检成功状态，此时安全管理层硬件会发出报警信息，并通知2取2双机停止工作；

(5)到2取2双机收到安全管理层命令，并停止工作，系统进入故障-安全状态。

对于计算控制系统来说，周期控制是一种应用最广泛的控制方式。针对周期控制的特点，可以在每个周期开始处设置同步点，由安全管理层发出同步信号，控制2取2层双机完成任务级的同步。对于一些安全完善度等级要求很高的控制系统，对2取2双机的同步精度要求较高，同时对双机失步后系统的故障反应时间更是有很高的要求。如果仅在周期开始或者结束处设置同步检查点，很难达到控制精度和故障反应时间的要求。针对这种应用场合，可以在控制周期中加入多个同步检查点，来提高控制精度和故障反应速度。同时考虑系统的复杂性与周期控制的特点，可优选将一个控制周期分为数据输入，应用处理和数据输出三个典型阶段的方式，在每个阶段设置一个同步点。图4所示的流程图中，详细说明了一个控制周期中，安全管理层和2取2执行层如何相互配合来完成任务级同步。具体过程如下所示：

(1)2取2双机各自完成上电初始化及自检后，安全管理层发出同步信号，2取2双机开始执行正常控制周期功能，对输入数据进行处理；

(2)安全管理层发出同步信号后，开启输入数据处理阶段计时，要求2取2双机必须在指定时间范围内完成输入数据处理；

(3)2取2双机收到安全管理层发出的同步信号后，进行输入数据处理；

(4)2取2双机完成输入数据处理后，向安全管理层报告输入数据处理完成；

(5)信息发出后，2取2双机开始等待进入应用处理阶段的指令；

(6)安全管理层计算收到2取2双机报告的输入数据处理完成信息的时间差，并判断这个时间差是否在系统可以容忍的同步容差范围内。如果满足系统的要求，则认为2取2双机处于同步状态，通知2取2双机进入应用处理阶段；

(7)安全管理层发出同步信号后，开启应用处理阶段计时，要求2取2双机必须在指定时间范围内完成应用处理；

(8)2取2双机收到安全管理层发出的同步信号后，进行应用处理；

(9)2取2双机完成应用处理后，向安全管理层报告应用处理完成；

(10)信息发出后，2取2双机开始等待进入数据输出处理阶段的指令；

(11)安全管理层计算收到2取2双机报告的应用处理完成信息的时间差，并判断这个时间差是否在系统可以容忍的同步容差范围内。如果满足系统的要求，则认为2取2双机处于同步状态，通知2取2双机进入数据输出处理阶段；

(12)安全管理层发出同步信号后，开启数据输出处理阶段计时，要求2取2双机必须在指定时间范围内完成数据输出处理；

(13)2取2双机收到安全管理层发出的同步信号后，进行数据输出处理；

(14)2取2双机完成数据输出处理后，向安全管理层报告数据输出处理完成；

(15)至此2取2双机完成了一个控制周期的处理，进入一个新的控制周期，开始等待进入数据输入处理阶段的指令；

(16)安全管理层计算收到2取2双机报告的数据输出处理完成信息的时间差，并判断这个时间差是否在系统可以容忍的同步容差范围内。如果满足系统的要求，则认为2取2双机处于同步状态，通知2取2双机开始一个新的控制周期，并进入数据输入处理阶段；

从上述处理过程可以看出，安全管理层对于双机任务级同步的管理同时采用了两种方式：

(1)将控制周期根据控制精度和故障反应时间的要求进行时间分割，分为多个时间不等的时间片，为控制周期内的处理过程分配固定的时间片，要求在时间片内完成特定应用处理。一旦2取2双机中任何一机未在规定时间内完成工作，则认为双机失步；

(2)对2取2双机完成特定应用处理的时间差进行监控，如果时间差超过系统的同步容限，则判断双机失步。

为了对2取2双机软件在周期运行中的状态进行监督，根据需要选择2取2双机的输入数据、输出数据和中间运行状态等信息进行表决，保证双机运行状态一致性。在本实现方法中采用了基于双机软件表决，安全管理层硬件判决的策略，可以发挥软件的优势，根据数据的重要程度采用不同的一致性控制策略，避免了使用硬件表决器对于吞吐量和数据处理能力的要求。但其安全性不会与纯硬件数据比较有很大区别。数据表决的流程如图5所示，具体流程如下。

(1)2取2双机各自将本地待表决数据准备好；

(2)将待表决数据发送到2取2另外一机；

(3)等待收取2取2另外一机发送的待表决数据；

(4)收到数据后，选择数据表决的方式，同时将本地数据和接收到的数据进行表决；

(5)表决完成，则将表决结果发送安全管理层进行判断；

(6)发送结果后，2取2双机软件开始等待安全管理层的控制命令；

(7)安全管理层收到表决结果后，采用硬件对结果进行判断，只有双机的表决结果完全一致，安全管理层才会认为表决成功；

(8)如果表决成功，安全管理层会通知2取2双机继续控制流程，否则会命令2取2双机停止工作，转入故障安全状态。

(9)2取2双机软件根据安全管理层发送的控制命令继续控制流程或停止工作。

在分层结构的2取2系统中，安全管理层配合指挥2取2双机完成2取2控制功能，它是整个系统安全可靠运行的“裁判”，因此它的安全完善度等级应高于2取2双机。安全管理层的主要功能由时钟控制/软件表决结果判断模块来完成。为了保证其可信且安全，可采用纯硬件电路的方式来实现时钟控制和对软件表决结果进行判断的功能。硬件逻辑结构可以采用2取2，3取2或其它多模冗余结构，具体实现过程中优选利用数字可编程逻辑器件来实现上述功能。数字可编程逻辑器件具有时钟控制精确，配置灵活，可重复编写等优点，同时由于只对双机的表决结果进行判断，数据量很小，对同步时钟的依赖较小，具有很好的实用性。

本发明的技术关键点在于：

1、本发明公开的基于2取2结构的计算机控制系统，采用分层设计，工作于任务级同步的方式，将2取2系统分为了安全管理层以及2取2执行层两个层次结构。安全管理层采用纯硬件设计方法，具有很高的安全完善度等级，负责控制和判断2取2执行层的同步状态，2取2执行层利用软件来实现，完成数据输入、数据运算和数据输出等应用处理工作，完成每个阶段的应用处理后，双机软件会向安全管理层发送同步状态信号，由安全管理层来判断双机的同步状态，由此来解决双机不可能判断谁对谁错的逻辑二难特性。

2、安全管理层与2取2执行层以及2取2执行层的双机之间通过高速通信总线来实现数据的交换，可以满足整个2取2系统对于实时性的要求。高速通信总线采用了冗余结构，提高了整个系统的可靠性和可用性。

3、由安全管理层设置上电时限，保证2取2执行层双机在时限内完成启动和自检，并同时进入正常工作流程。

4、对控制周期采用了时间分割技术，将控制周期根据控制精度和故障反应时间的要求进行时间分割，分为多个时间不等的时间片，为控制周期内的处理过程分配固定的时间片，要求在时间片内完成特定应用处理。一旦2取2双机中任何一机未在规定时间内完成工作，则认为双机失步。

5、对双机软件在周期运行中的状态进行监督的策略上，采用了应用层进行状态一致性比较，安全管理层完成一致性判决的机制。双机间通过一定的算法来实现输入数据，输出数据和中间运行状态的比较，并将比较结果发送给安全管理层，安全管理层接收双机各自比较的结果来判决双机的比较结果是否一致。

6、安全管理层的时钟控制软件表决结果判断模块采用纯硬件电路实现，可以根据系统的安全完善度等级要求配置成2取2、3取2或其它多模冗余结构，具有高可靠性和安全性。

与现有技术方案相比，本发明的技术方案具有以下技术优势：

(1)设立基于硬件设计的安全管理层作为可信且安全“第三方”，为处于任务级同步的双机提供同步信号，解决了双机不可能判断谁对谁错的逻辑二难特性。

(2)2取2执行层双机的同步时钟由安全管理层的硬件时钟提供，控制周期比由软件定时器产生的时钟更加精确。

(3)安全管理层在发出同步命令后，如果在时限内没有收到2取2层双机的同步应答或者同步应答时差过大的情况下都可以认定2取2层双机失步，处理更加及时，提高了安全反应时间。

(4)安全管理层的时钟控制/硬件比较模块采用数字可编程逻辑器件来实现，具有时钟控制精确，配置灵活，可重复编写等优点，同时由于只对双机的表决结果进行判断，数据量很小，对同步时钟的依赖较小，具有很好的实用性。可以配置成2取2、3取2或者其它多模冗余结构，具有高可靠性和安全性。

(5)应用层2取2双机进行状态一致性比较的策略上，使用了应用层比较、安全管理层判决的机制。软件适应性很强，可以根据数据的重要程度采用不用的一致性控制策略，避免了使用硬件表决器对于吞吐量和数据处理能力的要求。数字可编程逻辑器件具有时钟控制精确，配置灵活，可重复编写等优点，同时由于只对双机的表决结果进行判断，数据量很小，对同步时钟的依赖较小，具有很好的实用性。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本发明的保护范围。

Claims (10)

1.一种基于2取2结构的计算机控制系统，其特征在于，包括安全管理层和具有两个处理器的2取2执行层，所述安全管理层和2取2执行层之间通过通信总线连接，所述2取2执行层用于完成每个阶段的应用处理，和不同阶段的数据比较，并向安全管理层发送同步状态信号和数据比较结果，所述安全管理层用于控制和判断所述2取2执行层中两个处理器的同步状态，并判断两个处理器数据比较结果是否一致。

2.如权利要求1所述的基于2取2结构的计算机控制系统，其特征在于，所述安全管理层包括时钟控制模块和表决结果判断模块，所述时钟控制模块和表决结果判断模块均采用数字可编程逻辑器件实现。

3.如权利要求1或2所述的基于2取2结构的计算机控制系统，其特征在于，所述数字可编程逻辑器件配置为多模冗余结构，且所述多模冗余结构为2取2结构或3取2结构。

4.一种基于2取2结构的计算机控制系统的实现方法，其特征在于，包括步骤：

S1，安全管理层设置上电时限，并判断两个处理器在所述时限内是否正常启动；如果否，则发送控制命令使得两个处理器停止工作，如果是，则转步骤S2；

S2，在一个控制周期内，安全管理层发送同步信号，两个处理器在同步信号的控制下进行一个处理过程，并分别向安全管理层发送该阶段的处理完成报告；

S3，安全管理层根据收到所述处理完成报告的时间差判断所述两个处理器是否处于同步状态；如果否，则发送控制命令使得两个处理器停止工作，如果是，则转步骤S2进行下一处理过程，直至一个控制周期结束。

5.如权利要求4所述的基于2取2结构的计算机控制系统的实现方法，其特征在于，在步骤S2中，安全管理层将一个控制周期根据控制精度和故障反应时间的要求分为多个时间片，并为所述控制周期内的各个处理过程分配固定的时间片，要求处理器在相应的时间片内完成特定处理过程。

6.如权利要求5所述的基于2取2结构的计算机控制系统的实现方法，其特征在于，在步骤S2中，在各处理过程所处的控制周期的开始和/或结束处设置同步检查点。

7.如权利要求5所述的基于2取2结构的计算机控制系统的实现方法，其特征在于，将所述控制周期分为数据输入、数据处理和数据输出三个阶段，并在每个阶段设置一个同步检查点。

8.如权利要求4所述的基于2取2结构的计算机控制系统的实现方法，其特征在于，在所述步骤S3中，如果安全管理器收到任一处理器发送的处理完成报告显示该处理器未在分配的时间片内完成相关处理过程，则判断为双机失步，并停止两个处理器的工作。

9.如权利要求4所述的基于2取2结构的计算机控制系统的实现方法，其特征在于，在所述步骤S3中，如果安全管理器未收到所述处理完成报告，或者收到的两个处理器发送的处理完成报告的时间差超过系统设定的同步容限，则判断为双机失步，并停止两个处理器的工作。

10.如权利要求7所述的基于2取2结构的计算机控制系统的实现方法，其特征在于，通过2取2执行层中设置的软件对所述两个处理器的输入数据、输出数据和中间运行状态进行数据比较，并将数据比较结果发送给安全管理层，安全管理层根据所述数据比较结果完成一致性判断表决，如果表决成功，则控制处理器继续控制过程，如果表决不成功，则停止处理器的工作。

Images