CN109613846A - 一种高安全的双余度过载表决启动方法 - Google Patents

Abstract

本发明公开了一种高安全的双余度过载表决启动方法，该方法通过两余度控制器之间的信息交互，采用如下策略：双余度控制系统进行定时周期故障检测，双余度控制系统的周期自检测结果通过串口进行信息交互。如果控制器A或控制器B皆正确，则输出启动信号采用两控制器与逻辑关系输出；如果控制器A或控制器B出现一路问题，采用或输出逻辑，避免出现两控制器A、B中任意一个出现问题，系统将无法输出启动信号的问题。本发明方法根据系统健康状态进行判断表决，在提高系统任务可靠性的同时，可提高系统的安全性。

Description

一种高安全的双余度过载表决启动方法

技术领域

本发明涉及过载启动技术，尤其涉及一种高安全的双余度过载表决启动方法。

背景技术

一般情况，采用双余度的过载启动方法，硬件启动信号输出采用或逻辑输出，或逻辑输出提高了系统的可靠性，但一定程度上降低了系统的安全性，增加了系统误触发的概率。本发明通过双余度系统之间的信息交互，根据系统健康状态进行判断表决，在提高系统任务可靠性的同时，可提高系统的安全性。

发明内容

本发明要解决的技术问题在于针对现有技术中的缺陷，提供一种高安全的双余度过载表决启动方法。

本发明解决其技术问题所采用的技术方案是：一种高安全的双余度过载表决启动方法，包括：控制器A和控制器B；所述控制器A和控制器B通过串口或状态位进行信息交互；

具体步骤如下：

1)传感器采集数据并处理；

2)对控制器A和控制器B进行定时周期故障检测，周期自检测结果通过串口进行信息交互；

3)根据周期自检测结果获得控制器A和控制器B之间是否有通讯故障，并明确控制器A和控制器B是否存在影响过载判断的故障；

4)若控制器A和控制器B之间存在通讯故障则上报故障，并返回步骤1)；

5)若控制器A存在影响过载判断的故障，则控制器B通过串口收到故障信息后，判断控制器B是否存在影响过载判断的故障；

若控制器B不存在影响过载判断的故障，控制器B监控过载值达到设定启动条件时，控制器B的启动信息立即开始触发输出启动信号；

若控制器B存在影响过载判断的故障，通过串口交互故障信息后，均不输出启动信号；

6)若控制器A不存在影响过载判断的故障，控制器A监控过载值达到设定启动条件时，控制器A的启动信息通过串口或状态位传递到控制器B；

控制器B接收到控制器A的启动信息后，判断控制器B是否存在影响过载判断的故障；

若控制器B不存在影响过载判断的故障，控制器B监控过载值达到设定启动条件时，触发输出启动信号；

若控制器B存在影响过载判断的故障，则控制器A通过串口收到故障信息后，触发输出启动信号。

本发明产生的有益效果是：

1、本发明方法中，如果控制器A或控制器B皆正确，则输出启动信号采用两控制器与逻辑关系输出；如果控制器A或控制器B出现一路问题，采用或输出逻辑，避免出现两控制器A、B中任意一个出现问题，系统将无法输出启动信号的问题。根据系统健康状态进行判断表决，在提高系统任务可靠性的同时，可提高系统的安全性。

2、可用于多种机型应急定位系统。该方法也可以应用于汽车防撞等触发系统，具有良好的应用前景。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明实施例的结构示意图；

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，一种高安全的双余度过载表决启动方法，包括：控制器A和控制器B；所述控制器A和控制器B通过串口或状态位进行信息交互；

具体步骤如下：

1)传感器采集数据并处理；

2)对控制器A和控制器B进行定时周期故障检测，周期自检测结果通过串口进行信息交互；

3)根据周期自检测结果获得控制器A和控制器B之间是否有通讯故障，并明确控制器A和控制器B是否存在影响过载判断的故障；

4)若控制器A和控制器B之间存在通讯故障则上报故障，并返回步骤1)；或者根据需要进行控制器A的单板启动，即控制器A自身监控过载值达到设定启动条件，立即开始输出启动信号；

5)若控制器A存在影响过载判断的故障，则控制器B通过串口收到故障信息后，判断控制器B是否存在影响过载判断的故障；

若控制器B不存在影响过载判断的故障，控制器B监控过载值达到设定启动条件时，控制器B的启动信息立即开始触发输出启动信号；

若控制器B存在影响过载判断的故障，通过串口交互故障信息后，均不输出启动信号；

6)若控制器A不存在影响过载判断的故障，控制器A监控过载值达到设定启动条件时，控制器A的启动信息通过串口或状态位传递到控制器B；

控制器B接收到控制器A的启动信息后，判断控制器B是否存在影响过载判断的故障；

若控制器B不存在影响过载判断的故障，控制器B监控过载值达到设定启动条件时，触发输出启动信号；

若控制器B存在影响过载判断的故障，则控制器A通过串口收到故障信息后，触发输出启动信号。

按照该控制策略，分别对如下三种情况的工作过程进行描述。

当控制器A、B皆正常时，控制器A或控制器B处于对等的控制地位，实时监控过载值，需控制器A或控制器B都监控到过载值达到设定条件时，才输出启动信号。在此控制逻辑下控制器B启动信号输出的条件是当控制器A监控到过载值达到设定启动条件，控制器A的启动信息会通过串口或状态位传递到控制器B，此时控制器B并不触发，直至自身监控过载值达到设定启动条件时，才开始输出启动信号。

当控制器A、B中有一个正常时，控制器A或控制器B处于对等的控制地位，实时监控过载值。当控制器A或控制器B有一个出现故障时，错误信息会通过串口传送给正常控制器，此时正常控制器的控制策略是不再查询有问题的控制器是否发出启动信息，只要自身监控过载值达到设定启动条件，立即开始输出启动信号。

当控制器A、B中都不正常时，控制器A或控制器B处于对等的控制地位，实时监控过载值。当控制器A或控制器B都出现故障，将不会输出启动信号。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (1)

1.一种高安全的双余度过载表决启动方法，其特征在于，包括：控制器A和控制器B；所述控制器A和控制器B通过串口或状态位进行信息交互；

具体步骤如下：

1)传感器采集数据并处理；

2)对控制器A和控制器B进行定时周期故障检测，周期自检测结果通过串口进行信息交互；

3)根据周期自检测结果获得控制器A和控制器B之间是否有通讯故障，并明确控制器A和控制器B是否存在影响过载判断的故障；

4)若控制器A和控制器B之间存在通讯故障则上报故障，并返回步骤1)；

5)若控制器A存在影响过载判断的故障，则控制器B通过串口收到故障信息后，判断控制器B是否存在影响过载判断的故障；

若控制器B不存在影响过载判断的故障，控制器B监控过载值达到设定启动条件时，控制器B的启动信息立即开始触发输出启动信号；

若控制器B存在影响过载判断的故障，通过串口交互故障信息后，均不输出启动信号；

6)若控制器A不存在影响过载判断的故障，控制器A监控过载值达到设定启动条件时，控制器A的启动信息通过串口或状态位传递到控制器B；

控制器B接收到控制器A的启动信息后，判断控制器B是否存在影响过载判断的故障；

若控制器B不存在影响过载判断的故障，控制器B监控过载值达到设定启动条件时，触发输出启动信号；

若控制器B存在影响过载判断的故障，则控制器A通过串口收到故障信息后，触发输出启动信号。