CN105717787A - 用于智能电源配电装置的双余度控制系统及其控制方法 - Google Patents

Abstract

本发明公开了一种用于智能电源配电装置的双余度控制系统，其特征在于所述智能配电装置由相互独立的A平台和B平台组成，A平台和B平台同时启动，运行同一进程, 并通过自检和互检方式检测故障，当两平台都无故障正常运行时, 由A平台负责输出控制，B平台不输出，当其中一个平台出现故障时，关闭故障平台，正常平台切换为单工运行，当双平台都出现故障时，则默认A平台切换为单工运行，关闭默认从平台。本发明是一种用于提高系统可靠性的容错技术，在系统出现一个故障时，通过自动检测与诊断，自动隔离故障子系统，并切换到其备份子系统，保持系统继续正常运行，使系统达到“一次故障安全”的可靠等级。

Description

用于智能电源配电装置的双余度控制系统及其控制方法

技术领域

本发明是涉及智能电源配电管理设备，具体涉及一种用于智能电源配电装置的双余度控制系统及其控制方法，它是一种用于提高系统可靠性的容错技术。

背景技术

在航空领域，余度技术已有了多年的研究历史和广泛的应用实例。余度设计的主要目的在于提高系统可用性，避免因单点故障而造成系统崩溃。通常来讲，系统越庞大，其可用性就显得越重要，然而，要在一个大系统里实现高可用度，是十分困难的。为解决这个难题，提高可用性，一般会对影响系统的关键部件或模块采用余度管理。余度级别可以是元器件一级、功能模块一级、系统一级，最常用的是功能模块级的冗余和系统级冗余。在余度结构、余度数目相同的条件下，功能模块级冗余的可靠度大于系统级冗余的可靠度。

发明内容

本发明的目的是提供一种用于智能电源配电装置的双余度控制系统，提高系统的可靠性和容错技术，达到安全可靠运行的目的。

为了实现上述目的，本发明的技术方案如下：一种用于智能电源配电装置的双余度控制系统，其特征在于所述智能配电装置由相互独立的A平台和B平台组成，A平台和B平台同时启动，运行同一进程,并通过自检和互检方式检测故障，当两平台都无故障正常运行时,由A平台负责输出控制，B平台不输出，当其中一个平台出现故障时，关闭故障平台，正常平台切换为单工运行，当双平台都出现故障时，则默认A平台切换为单工运行，关闭默认从平台。

所述A平台包括第一CPU，与第一CPU连接的第一输入系统和第一输出系统，B平台包括第二CPU，与第二CPU连接的第二输入系统和第二输出系统，第一CPU同时与A平台内的第一仲裁模块和B平台内的第二仲裁模块的第一控制端连接，第二CPU同时与A平台内的第一仲裁模块和B平台内的第二仲裁模块的第二控制端连接，第一仲裁模块与第一切换模块的使能端连接，由第一切换模块控制第一输出系统的输出，第二仲裁模块与第二切换模块的使能端连接，由第二切换模块控制第二输出系统的输出。

第一CPU和第一看门狗电路的定时喂狗端和复位端连接，第二CPU和第二看门狗电路的定时喂狗端和复位端连接，第一CPU的I/O中断端还与第二看门狗电路的复位端连接，第二CPU的I/O中断端与第一看门狗电路的复位端连接。

第一CPU和第二CPU之间通过一路交叉通道链路实现相互通信。

本发明的另一目的在于提供一种用于智能电源配电装置的双余度控制方法，提高系统的可靠性和容错技术，达到安全可靠运行的目的。

为了实现上述目的，本发明的技术方案如下:一种用于智能电源配电装置的双余度控制方法，包括以下步骤：A、判断A平台是否有复位信号，如是则设定OEI为0，并进入C，如否则进入B；B、判断B平台是否有复位信号，如是则进入D，如否则结束；C、判断A平台是否自检正常，如是则进入D，如否则报告自检错误，然后进入D；D、设定OEI为1；E、判断B平台是否自检正常，如是进入F，如否则报告自检错误并进入G；F、判断A平台是否自检正常，A平台复位是否为1，如是则进入G，如否则进入J；G、设定OEI为0；H、判断A平台是否自检正常，A平台复位是否为1，如是则进入I，如否则进入J；I、监测A平台工作状态，并返回H；J、判断B平台是否自检正常，B平台复位是否为1，如是设定OEI为1，监测B平台工作状态，并返回F，如否则结束。

本发明的两个平台分别有输入系统、CPU和输出系统组成。输入系统有隔离保护电路、BIT电路、输入接口电路、看门狗电路组成；输出系统由输出接口电路、BIT电路、仲裁模块和切换模块组成。

A平台和B平台同时接收相同的输入，输入系统包括离散量、总线等，输入端设置隔离保护，防止双机对输入信号的干扰；双平台通过IO口中断方式相互监测对等机的看门狗复位信号；双平台间有1路交叉通道链路（CCDL）实现相互通信，输出系统根据系统重构逻辑，只有一个平台的输出接口可导通外部负载或接口；通过仲裁模块与切换模块实现故障机隔离和双机切换；仲裁模块由双CPU共同控制，互斥方式输出，一个输出1，则另一个输出0，或反之。ACPU可使能A平台的输出，同时关闭B平台的输出；BCPU可使能B平台的输出，同时关闭A平台的输出；各输入输出接口具有完整的BIT电路，用于在线检测是否有输入输出通道故障；每个平台可单机独立运行，也可采用双机互监控、互热备份模式同步运行；双平台具有完全相同的接口。如果是相似双余度系统，可设计成完全相同、可互换的软硬件。

本发明由两套实现相同功能的“冗余”的硬件子系统组成，采用双机互监控和热备份结构，其实质是利用多余的资源来换取整机任务可靠性的提高。在系统出现一个故障时，通过自动检测与诊断，自动隔离故障子系统，并切换到其备份子系统，保持系统继续正常运行，使系统达到“一次故障安全”的可靠等级。本发明的优点是采用双余度容错控制技术，可以有效提高系统可靠性，达到“一次故障安全”的可靠等级。

附图说明

图1为本发明的双余度控制实施例整体功能结构方框图。

具体实施方式

下面结合附图和实施例对本发明作详细说明。

本发明的双余度控制实施例如图1所示：A平台和B平台分别有输入系统、CPU和输出系统组成。A平台的输入系统有第一隔离保护电路2、第一输入BIT电路4、第一输入接口电路6、第一看门狗电路8组成；输出系统由第一输出接口电路14、第一输出BIT电路12、第一仲裁模块16、第一切换模块18组成。B平台的输入系统有第二隔离保护电路3、第二输入BIT电路5、第二输入接口电路7、第二看门狗电路9组成；输出系统由第二输出接口电路15、第二输出BIT电路13、第二仲裁模块17和第二切换模块19组成。

第一CPU10同时与A平台内的第一仲裁模块16和B平台内的第二仲裁模块17的第一控制端连接，第二CPU11同时与A平台内的第一仲裁模块16和B平台内的第二仲裁模块17的第二控制端连接，第一仲裁模块16与第一切换模块18的使能端连接，第一切换模块18设置在第一输出接口电路14和外部接口21之间，控制第一输出接口电路14和外部接口21之间的通断，第二仲裁模块17与第二切换模块19的使能端连接，第二切换模块19设置在第一输出接口电路15和外部接口21之间，控制第一输出接口电路15和外部接口21之间的通断。

A平台的第一CPU10为主控制平台，B平台的第二CPU11为备份控制平台。两个平台之间采用相似双余度热备份的工作机制，当A平台控制失效时，能够切换到B平台，当B平台控制失效时，能够切换到A平台。

A平台和B平台同时接收相同的输入，输入系统包括离散量、总线1等，输入端设置隔离保护电路，防止双机对输入信号的干扰；双平台通过IO口中断方式相互监测对等机的看门狗电路复位信号；双平台间有1路交叉通道链路（CCDL）20实现相互通信，输出系统根据系统重构逻辑，只有一个平台的输出接口可导通外部负载或接口21；通过仲裁模块与切换模块实现故障机隔离和双机切换；仲裁模块由双CPU1共同控制，互斥方式输出，一个输出1，则另一个输出0，或反之。第一CPU可使能A平台的输出，同时关闭B平台的输出；第二CPU可使能B平台的输出，同时关闭A平台的输出；各输入输出接口具有完整的BIT电路，用于在线检测是否有输入输出通道故障；每个平台可单机独立运行，也可采用双机互监控、互热备份模式同步运行；双平台具有完全相同的接口。如果是相似双余度系统，可设计成完全相同、可互换的软硬件。

仲裁模块与切换模块作为A平台和B平台的仲裁切换电路。主/从平台模式切换主要考虑（1）能最大程度的保证系统的正常工作；（2）A平台和B平台都能接收来自内外总线的数据，但不能同时向内外总线发送数据；（3）当某个余度发生故障时，不能影响到另一个余度或系统的其他功能；（4）在整个系统的工作过程中，尽可能减少A平台和B平台切换操作；（5）当A平台和B平台进行工作切换时，尽量避免对外界环境造成影响。

A平台和B平台共享一个外部接口21。A/B平台的仲裁模块的输出使能控制使同一时刻只能有一个平台的总线21与固态功率控制器22相连，这样就保证了系统的工作稳定性，使A平台和B平台的两个处理器不能抢占外部接口而出现双机同时工作的情况。其中A平台是主控制机，在正常工作的情况下由A平台的第一CPU10工作，控制着n路固态功率控制器的开通、关断。每个微处理器都有自己的故障数据记录电路，用于存储固态功率控制器22的故障信息。

B平台的的使能控制信号是A平台使能控制信号的逻辑反，这样就保证了同一时刻只能有一个平台有输出，有效地防止了双平台抢权问题。

仲裁模块判断流程如下：A、判断A平台是否有复位信号，如是则设定OEI为0，并进入C，如否则进入B；B、判断B平台是否有复位信号，如是则进入D，如否则结束；C、判断A平台是否自检正常，如是则进入D，如否则报告自检错误，然后进入D；D、设定OEI为1；E、判断B平台是否自检正常，如是进入F，如否则报告自检错误并进入G；F、判断A平台是否自检正常，A平台复位是否为1，如是则进入G，如否则进入J；G、设定OEI为0；H、判断A平台是否自检正常，A平台复位是否为1，如是则进入I，如否则进入J；I、监测A平台工作状态，并返回H；J、判断B平台是否自检正常，B平台复位是否为1，如是设定OEI为1，监测B平台工作状态，并返回F，如否则结束。

当系统上电后，CPU通过IO口判断自己是主控制器还是从控制器。从CPU上电后不断检测状态回读信号，若为逻辑“1”，则说明A平台A已经切换到了B平台B，从CPU开始自检工作。这样做的好处是使当前主板或从板具有最高的优先级，只有当前工作的CPU才能真正控制系统的外部接口。

A/B平台为主从工作逻辑，B平台只有在A平台发生故障时才接替A平台工作，因此，首先考虑A平台的故障状态，A平台和B平台可能出现的故障类型主要可分为CPU故障与外设故障两大类。

当第一CPU故障时，通过仲裁模块将控制权交给第二CPU,B平台工作。当第一CPU正常时，通过本平台BIT，自主检测外设故障，通过对故障类型的判断决定是否需要交出控制权，切换到第二CPU工作，并把自检结果上报给仲裁模块。CPU输出给仲裁模块的IO口是CPU对它的外设自检的结果，具体的故障类型通过总线方式查询。

在双平台交互的切换问题中，起主要作用的是控制权的切换，当前打开的控制权具有最高优先权，不管产生CPU切换的原因是什么，其最终的结果都将是当前只有一个控制权是打开的，只有这个对应的打开控制权的CPU能真正的控制外部的输出。

下表为故障类型及检测方法。

表故障类型及检测方法

本发明的智能配电装置是通过数据总线的方式对多路直流负载实施群控或独立控制，它能够实时获取直流负载的运行状态，具备健康诊断和主动实时监控功能，并可以根据针对不同的负载特性进行精确的保护控制。为了提高系统的可靠性和容错技术，达到安全可靠运行的目的，对智能配电装置采用双余度控制。它由两套实现相同功能的“冗余”的硬件子系统组成，采用双机互监控和热备份结构，其实质是利用多余的资源来换取整机任务可靠性的提高。在系统出现一个故障时，通过自动检测与诊断，自动隔离故障子系统，并切换到其备份子系统，保持系统继续正常运行，使系统达到“一次故障安全”的可靠等级。本发明中固态功率控制器为现有技术，在此不再赘述。

Claims (5)

1.一种用于智能电源配电装置的双余度控制系统，其特征在于所述智能配电装置由相互独立的A平台和B平台组成，A平台和B平台同时启动，运行同一进程,并通过自检和互检方式检测故障，当两平台都无故障正常运行时,由A平台负责输出控制，B平台不输出，当其中一个平台出现故障时，关闭故障平台，正常平台切换为单工运行，当双平台都出现故障时，则默认A平台切换为单工运行，关闭默认从平台。

2.如权利要求1所述的双余度控制系统，其特征在于所述A平台包括第一CPU，与第一CPU连接的第一输入系统和第一输出系统，B平台包括第二CPU，与第二CPU连接的第二输入系统和第二输出系统，第一CPU同时与A平台内的第一仲裁模块和B平台内的第二仲裁模块的第一控制端连接，第二CPU同时与A平台内的第一仲裁模块和B平台内的第二仲裁模块的第二控制端连接，第一仲裁模块与第一切换模块的使能端连接，由第一切换模块控制第一输出系统的输出，第二仲裁模块与第二切换模块的使能端连接，由第二切换模块控制第二输出系统的输出。

3.如权利要求2所述的双余度控制系统，其特征在于第一CPU和第一看门狗电路的定时喂狗端和复位端连接，第二CPU和第二看门狗电路的定时喂狗端和复位端连接，第一CPU的I/O中断端还与第二看门狗电路的复位端连接，第二CPU的I/O中断端与第一看门狗电路的复位端连接。

4.如权利要求2所述的双余度控制系统，其特征在于第一CPU和第二CPU之间通过一路交叉通道链路实现相互通信。

5.一种用于智能电源配电装置的双余度控制方法，包括以下步骤：A、判断A平台是否有复位信号，如是则设定OEI为0，并进入C，如否则进入B；B、判断B平台是否有复位信号，如是则进入D，如否则结束；C、判断A平台是否自检正常，如是则进入D，如否则报告自检错误，然后进入D；D、设定OEI为1；E、判断B平台是否自检正常，如是进入F，如否则报告自检错误并进入G；F、判断A平台是否自检正常，A平台复位是否为1，如是则进入G，如否则进入J；G、设定OEI为0；H、判断A平台是否自检正常，A平台复位是否为1，如是则进入I，如否则进入J；I、监测A平台工作状态，并返回H；J、判断B平台是否自检正常，B平台复位是否为1，如是设定OEI为1，监测B平台工作状态，并返回F，如否则结束。