CN109032021B - 一种冗余双mcu热备份控制系统的使用方法 - Google Patents

Abstract

本发明涉及电源控制的嵌入式控制系统领域，特别涉及一种冗余双MCU热备份控制系统的使用方法，包括如下步骤：两个MCU主动抢占双口RAM的规定内存地址ROM1，抢占成功的MCU作为主MCU，另一个MCU作为备份MCU，占用所述双口RAM的另一规定内存地址ROM2；主MCU通过CPLD占用通讯模块的总线，获取控制指令，并执行状态机程序；备份MCU执行状态机程序；主MCU根据获取备份MCU更新到ROM2的执行状态机结果数据进行判断；不一致次数是否大于预定阈值，大于则标记MCU故障，并通知CPLD控制MCU进行切换；小于，则返回步骤二；主MCU通过CPLD输出电源控制信号。本发明的本发明冗余双MCU热备份控制系统的使用方法，能够有效提高电源控制系统的可靠性，满足复杂电磁环境的电源控制要求。

Description

一种冗余双MCU热备份控制系统的使用方法

技术领域

本发明涉及电源控制的嵌入式控制系统领域，特别涉及一种冗余双MCU热备份控制系统的使用方法。

背景技术

嵌入式控制系统广泛应用于工业通讯、航天航空、汽车制造、医疗、移动终端等多种领域，是控制、监控、管理和决策判断的核心系统。

在电源控制管理应用场合，嵌入式控制系统常处于恶劣的使用环境中，例如高温、高压、高频、强电磁干扰等，电源作为系统工作的基石，其控制管理系统的健壮性尤为重要，而来自电源本身的强电磁干扰是引起的其控制系统失效主要原因。

通常电源管理使用单MCU结构的嵌入式控制系统，使有滤波功能的供电、接口电路设计和增加金属壳体的方法从传输途径上隔离电磁干扰；软件上采用看门狗复位、重要数据校验备份等方式增加系统的可靠性。

冗余双MCU的嵌入式控制系统一般应用于可靠性要求较高的飞控等系统，通过双口RAM进行复杂的数据交换、离散同步、数据判断、卷积重算等措施最后决策最终执行哪一个MCU输出结果，可以有效减少由于某个MCU出现故障导致的控制系统失效的概率。

这两种方式在电源控制的实际使用中还是存在缺陷，在电源的长期运行过程中，存在偶发的强电磁干扰使MCU复位甚至MCU的FLASH中的代码被改写的情况。MCU看门狗复位的响应时间在50ms左右，这段时间内嵌入式控制系统处于无响应状态；如代码失效，则整个系统控制失效。而主要应用于飞控系统的冗余双MCU如主MCU故障可以进行主MCU和热冗余MCU的快速切换，达到10ms左右，但是如果主、备份MCU运行完全一致的程序则需要主、备份MCU需要进行的多个同步点双向同步等待，并对不一致的数据进行分析或者重算，控制的实时性是建立在高性能的MCU和大容量的双口RAM的基础上，电源控制的嵌入式系统则使用小体积，性能较低的MCU，大量的判断、计算、同步操作导致电源系统的控制、保护实时性降低，同时冗余双MCU也存在MCU代码失效导致控制系统失效的风险。

发明内容

本发明的目的是提供了一种本发明冗余双MCU热备份控制系统的使用方法，以至少解决的问题。

本发明的技术方案是：

一种冗余双MCU热备份控制系统的使用方法，包括如下步骤：

步骤一、两个MCU主动抢占双口RAM的规定内存地址ROM1，抢占成功的MCU作为主MCU，另一个MCU作为备份MCU，占用所述双口RAM的另一规定内存地址ROM2；

步骤二、所述主MCU通过CPLD占用通讯模块的总线，获取控制指令；同时，所述主MCU通过信号调理模块采集外部数据进行处理，然后在所述双口RAM的ROM1中更新上述控制指令和处理后的数据，并执行状态机程序；

步骤三、所述备份MCU根据所述双口RAM中主MCU更新的数据来执行状态机程序，并将执行结果更新到所述双口RAM的ROM2中；

步骤四、所述主MCU获取备份MCU更新到所述ROM2的执行状态机结果数据，并与自身的执行状态机结果数据进行比较；判断是否一致，如果不一致，则进行步骤五；如果一致则进行步骤六；

步骤五、判断不一致次数是否大于预定阈值，大于则标记MCU故障，并通知CPLD控制MCU进行切换；小于，则返回步骤二；

步骤六、所述主MCU通过CPLD输出电源控制信号。

可选的，在步骤二到步骤六中，所述主MCU还实时向所述CPLD发送心跳信号，当所述CPLD接收所述主MCU发送心跳信号时间间隔大于预定值，则进行MCU切换。

可选的，所述MCU切换步骤包括：

步骤701、放弃对所述双口RAM的ROM1的占用；

步骤702、切换通讯模块的总线和电源控制信号的输出；

步骤703、备份MCU切换为主MCU，并标记原主MCU故障。

可选的，在所述步骤四中，所述主MCU未获取备份MCU更新到所述ROM2的执行状态机结果数据，则标记备份MCU故障。

可选的，在所述主MCU或备份MCU出现故障时，包括如下处理步骤：

步骤801、所述冗余双MCU热备份控制系统重新上电；

步骤802、故障MCU通过未发生故障的MCU的work程序段数据进行work程序段数据恢复。

可选的，在步骤802中包括：

步骤8021、判断出故障的MCU是否是自身故障；如果是，则占用所述双口RAM的规定内存地址ROM1，写入本MCU故障标记，并进行步骤803；否则，占用所述双口RAM的规定内存地址ROM1，写入另一个MCU故障标记，并进行步骤804；

步骤8022、接收另一个MCU更新到ROM2中的work程序段数据，进行work程序段数据恢复；

步骤8023、在ROM2中接收另一个MCU准备好的标记后，将自身的work程序段数据传递至ROM1中，供另一个MCU进行work程序段数据恢复。

发明效果：

本发明的本发明冗余双MCU热备份控制系统的使用方法，完成了低成本小体积的双MCU的热备份嵌入式控制系统在电源控制上的实现，同时完成了任意一个MCU的代码失效的自恢复功能，能够有效提高电源控制系统的可靠性，满足复杂电磁环境的电源控制要求。

附图说明

图1是本发明冗余双MCU热备份控制系统的结构框图；

图2是本发明冗余双MCU热备份控制系统的使用方法运行图；

图3是本发明冗余双MCU热备份控制系统的使用方法热切换图；

图4是本发明冗余双MCU热备份控制系统的使用方法中自恢复程序运行图。

具体实施方式

为使本发明实施的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行更加详细的描述。在附图中，自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。所描述的实施例是本发明一部分实施例，而不是全部的实施例。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。下面结合附图对本发明的实施例进行详细说明。

在本发明的描述中，需要理解的是，术语“中心”、“纵向”、“横向”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明保护范围的限制。

本发明的冗余双MCU热备份控制系统的使用方法中，主要是将单MCU为核心的电源控制管理系统升级为抢占式的冗余双MCU热备份的系统，同时考虑到电源管理控制软件核心为控制状态机软件设计，对这一部分关键软件进行简单的单向同步，有效解决高可靠性和保护实时性的矛盾。同时单一MCU失效代码时，在上电时可以进行自恢复的功能，可以有效防止MCU的代码彻底失效的情况发生。

通过基于双MCU+双口RAM+CPLD的嵌入式电源控制管理硬件架构方案，对关键的运行在双MCU中的电源控制状态机软件通过双口RAM进行抢占式的单向同步，继而进行决策判断，最终CPLD执行冗余MCU的热切换，保证控制系统正常运行，同时双MCU的架构实现了如出现单一MCU的工作代码失效的情况，在下一次上电运行时，代码完好的MCU将对失效MCU进行重新编程，校验，恢复其正常功能，如不能恢复，也可将故障状态上报，继而进行视情人工维护。

下面结合附图1至图4对本发明的冗余双MCU热备份控制系统的使用方法做进一步详细说明。

本发明提供了一种冗余双MCU热备份控制系统的使用方法，其特征在于，包括如下步骤：

步骤一、两个MCU主动抢占双口RAM的规定内存地址ROM1，抢占成功的MCU作为主MCU，另一个MCU作为备份MCU，占用所述双口RAM的另一规定内存地址ROM2。

步骤二、主MCU通过CPLD占用通讯模块的总线，获取控制指令；同时，主MCU通过信号调理模块采集外部数据(即外围信号的采集)进行处理，然后在双口RAM的ROM1中更新上述控制指令和处理后的数据，并(根据数据处理结果及通讯模块的控制指令)执行状态机程序(即电源控制管理状态机程序)。

步骤三、备份MCU根据双口RAM中主MCU更新的数据来执行状态机程序，并将执行结果更新到双口RAM的ROM2中。

步骤四、主MCU获取备份MCU更新到ROM2的执行状态机结果数据，并与自身的执行状态机结果数据进行比较；判断是否一致，如果不一致，则进行步骤五；如果不一致则进行步骤六。

优选地，主MCU未获取备份MCU更新到ROM2的执行状态机结果数据，则标记备份MCU故障(通过主MCU对备份MCU进行标记)。

步骤五、判断不一致次数是否大于预定阈值(通常为3次)，大于则标记MCU故障，并通知CPLD控制MCU进行切换；小于，则返回步骤二。

步骤六、所述主MCU通过CPLD输出电源控制信号。

进一步，本发的冗余双MCU热备份控制系统的使用方法中，在步骤二到步骤六中，主MCU还实时向CPLD发送心跳信号，当CPLD接收主MCU发送心跳信号时间间隔是否大于预定值，则进行MCU切换。

具体地，MCU切换步骤包括：

步骤701、放弃对所述双口RAM的ROM1的占用；

步骤702、切换通讯模块的总线和电源控制信号的输出；

步骤703、(等待2ms)备份MCU切换为主MCU，并标记原主MCU故障(此步骤再加标记是避免没有心跳信号之后，切换掉的MCU不会进行自身故障标记，上述步骤五中的标记是另一种故障情况，此时能够进行自身故障标记)。

具体地，在主MCU或备份MCU出现故障时，包括如下处理步骤：

步骤801、所述冗余双MCU热备份控制系统重新上电(上电时，是先运行tload，再引导Work工作，要做代码自恢复必须在Bootload引导阶段进行，所以需要重新上电)。

步骤802、故障MCU通过未发生故障的MCU的work程序段数据进行work程序段数据恢复。

进一步，在步骤802中包括：

步骤8021、判断出故障的MCU是否是自身故障；如果是，则占用所述双口RAM的规定内存地址ROM1，写入本MCU故障标记，并进行步骤803；否则，占用所述双口RAM的规定内存地址ROM1，写入另一个MCU故障标记，并进行步骤804。

步骤8022、接收另一个MCU更新到ROM2中的work程序段数据，进行work程序段数据恢复。

步骤8023、在ROM2中接收另一个MCU准备好的标记后，将自身的work程序段数据传递至ROM1中，供另一个MCU进行work程序段数据恢复。

另外，通过如下几个阶段对本发明的冗余双MCU热备份控制系统的使用方法做进一步说明：

阶段一、硬件架构设计：

具体结构见图1，采用双MCU+双口RAM+CPLD的嵌入式系统硬件架构。数字、模拟量的采集同时驱动两个MCU的输入，两个抢占式的MCU通过双口RAM的不同的内存区域地址访问进行数据交互和程序同步，最终使用CPLD作为总线选择器来控制外围设备并进行冗余MCU切换模块。

阶段二、PCB设计：

为了防止电磁干扰同时影响两个MCU，这两个MCU在PCB上的物理位置需要有一定距离，芯片的物理放置方向做了90度的角度差异，使用的单独的电源和信号地，它们分别通过滤波电路和系统的整个信号电源和信号地相连。

阶段三、正常工作软件运行设计：

两个MCU的运行过程如图2，具体分为以下3个方面：

1)抢占式主、备份MCU：

两个MCU的Work程序，上电时同时通过令旗的方式抢占双口RAM的规定内存地址RAM1，抢占成功并在RAM1中作标记并成为主MCU，主MCU执行完备的电源控制管理程序，CPLD保证其抢占外设的总线和控制信号的输出，备份MCU占用双口RAM的另一规定内存地址RAM2,这里的RAM1和RAM2实为在一个双口RAM芯片中由不同的2个令旗代表使用权的2个内存段空间。

2)主MCU运行软件设计：

主MCU运行过程中，将采集的信号、通讯指令、工作状态、输出信号、同步序号等数据增加CRC数据校验后在双口RAM的ROM1中备份(同步开始)，然后进入控制状态机程序执行，状态机程序运行完成等待备份MCU的状态机执行结果。当主MCU在双口RAM的ROM2中读取到备份MCU的状态机执行结果后(同步完成)，与自己运行的结果作比较判断，如发现结果不一致，则根据既定的规则进行卷回重算或报错处理。

3)备份MCU运行软件设计：

备份MCU运行过程中不进行信号采集、通讯处理等操作处理流程，其不间断查看ROM1的令旗状态，判断主MCU是否交出控制权。并同时对ROM1中的同步数据进行监视，一旦主MCU完成有效数据更新，备份MCU读取相关数据，简单计算后执行和主MCU相同的状态机程序，完成后将运算结果和同步序号写入双口RAM的ROM2，以备主MCU查询。

阶段四、MCU故障检测软件设计：

1)自检故障：

MCU对自身的内部RAM，ADC等作自检或校准，如出错则判断为MCU故障。

2)通讯故障：

MCU通讯端口，连续出现接收、发送数据故障，则判断为MCU故障。

3)信号采样故障：

主MCU的数据采样出现明显超出限定极限范围的值或存在明显不合理的数据，如未使能电源输出，却采样到存在不正常的电压数据等情况，则判断为信号采样故障，则判断为MCU故障。

4)状态机程序运算结果不一致

主MCU运行状态机程序的结果和备份MCU运行结果不一致，则主MCU将程序卷回重算，如失败次数超3次，则判断MCU故障，主MCU主动要求进行切换。

5)MCU复位或死机：

MCU在正常工作时，产生一个5ms周期的心跳信号给仲裁切换模块。仲裁切换模块监测到10ms的心跳信号的消失，则判断MCU故障。

阶段五、MCU故障仲裁切换设计：

仲裁切换模块在CPLD中执行，其必须简单可靠的进行仲裁。CPLD通过两个MCU的故障状态信号和心跳信号进行仲裁，一旦发现故障MCU，则强迫双口RAM的故障侧MCU交出ROM1的令旗，并将外设的总线和输出控制信号进行切换，运行的MCU如发现已抢占ROM1的令旗则对ROM1标记，并运行完整的程序，释放ROM2令旗。

主、备份MCU记录本次上电进行切换次数，任意一个MCU切换次数大于2，则表明整个系统存在不可恢复故障，需上报进行人工维护。

阶段六、代码自恢复软件设计：

双MCU都采用Bootload和Work两段式代码形式，上电时先运行BootLoad程序，用于基于串口的在线编程和基于双口RAM的代码恢复，如未有代码更新需求则跳转运行正常的Work程序。如存在一个MCU的Work代码失效的情况，可以通过BootLoad程序利用另一个正常的MCU的Work代码更新自己的Work代码，已达到失效工作代码自恢复。

具体地，恢复流程主要由下面几点：

1)代码失效标记判断：

11)用于备份MCU的软件数据同步的RAM2中的数据三次10ms内未进行同步，主MCU在FLASH中标记需要对备份MCU进行代码恢复。

12)MCU自检或本身外设出现异常，重启后任存在相同故障，自主在FLASH中标记需要进行代码恢复。

2)重新上电自恢复：

系统如出现一个MCU的Work段代码失效的情况，则进入代码恢复流程，如图4，如两个MCU的Work段代码或任一个MCU的BootLoad代码失效，则判定系统存在不可恢复故障，记录FLASH后，切入Work段代码运行后上报。其中对应的BootLoad的代码失效标准为如下：

21)程序判断BootLoad应当占用的RAM区，未有数据更新；

22)连续写入FLASH或校验出错3次。

另外，本发明的冗余双MCU热备份控制系统的使用方法中，存在一个work代码区失效的情况下，正常流程如下：

步骤a、两个MCU的Bootload程序读取自身FLASH的恢复标记，判断是否需要work代码恢复。

步骤b、有恢复标记则抢占RAM1，并写入数据通知本MCU或者另一MCU需要恢复代码。如抢占RAM1失败，则读取RAM1的数据和自己读取的FLASH的恢复标记做对比判断，分以下情况继续执行：

b1)、2个MCU都需要恢复代码，系统报错，都在BootLoad程序中等待；

b2)、1个MCU需要恢复代码则通过RAM1和RAM2的数据交换完成代码恢复。

步骤3、将2个MCU的代码段做读出校验，正确则恢复流程完成，切入Work段程序执行。出错一次返回上一个步骤进行，出错三次则系统报错。

综上所述，本发明的本发明冗余双MCU热备份控制系统的使用方法，完成了低成本小体积的双MCU的热备份嵌入式控制系统在电源控制上的实现，同时完成了任意一个MCU的代码失效的自恢复功能，能够有效提高电源控制系统的可靠性，满足复杂电磁环境的电源控制要求。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (6)

1.一种冗余双MCU热备份控制系统的使用方法，其特征在于，包括如下步骤：

步骤一、两个MCU主动抢占双口RAM的规定内存地址ROM1，抢占成功的MCU作为主MCU，另一个MCU作为备份MCU，占用所述双口RAM的另一规定内存地址ROM2；

步骤二、所述主MCU通过CPLD占用通讯模块的总线，获取控制指令；同时，所述主MCU通过信号调理模块采集外部数据进行处理，然后在所述双口RAM的ROM1中更新上述控制指令和处理后的数据，并执行状态机程序；

步骤三、所述备份MCU根据所述双口RAM中主MCU更新的数据来执行状态机程序，并将执行结果更新到所述双口RAM的ROM2中；

步骤四、所述主MCU获取备份MCU更新到所述ROM2的执行状态机结果数据，并与自身的执行状态机结果数据进行比较；判断是否一致，如果不一致，则进行步骤五；如果一致则进行步骤六；

步骤五、判断不一致次数是否大于预定阈值，大于则标记MCU故障，并通知CPLD控制MCU进行切换；小于，则返回步骤二；

步骤六、所述主MCU通过CPLD输出电源控制信号。

2.根据权利要求1所述的冗余双MCU热备份控制系统的使用方法，其特征在于，在步骤二到步骤六中，所述主MCU还实时向所述CPLD发送心跳信号，当所述CPLD接收所述主MCU发送心跳信号时间间隔大于预定值，则进行MCU切换。

3.根据权利要求1或2所述的冗余双MCU热备份控制系统的使用方法，其特征在于，MCU切换步骤包括：

步骤701、放弃对所述双口RAM的ROM1的占用；

步骤702、切换通讯模块的总线和电源控制信号的输出；

步骤703、备份MCU切换为主MCU，并标记原主MCU故障。

4.根据权利要求3所述的冗余双MCU热备份控制系统的使用方法，其特征在于，在所述步骤四中，所述主MCU未获取备份MCU更新到所述ROM2的执行状态机结果数据，则标记备份MCU故障。

5.根据权利要求3所述的冗余双MCU热备份控制系统的使用方法，其特征在于，在所述主MCU或备份MCU出现故障时，包括如下处理步骤：

步骤801、所述冗余双MCU热备份控制系统重新上电；

步骤802、故障MCU通过未发生故障的MCU的work程序段数据进行work程序段数据恢复。

6.根据权利要求5所述的冗余双MCU热备份控制系统的使用方法，其特征在于，在步骤802中包括：

步骤8021、判断出故障的MCU是否是自身故障；如果是，则占用所述双口RAM的规定内存地址ROM1，写入本MCU故障标记，并进行步骤803；否则，占用所述双口RAM的规定内存地址ROM1，写入另一个MCU故障标记，并进行步骤804；

步骤8022、接收另一个MCU更新到ROM2中的work程序段数据，进行work程序段数据恢复；

步骤8023、在ROM2中接收另一个MCU准备好的标记后，将自身的work程序段数据传递至ROM1中，供另一个MCU进行work程序段数据恢复。

Images