CN110413456A - 三冗余数据逐级表决系统及方法 - Google Patents

Abstract

本发明提供了一种三冗余数据逐级表决系统及方法，包括：三个处理器模块、三个表决模块、两个数据接收转换模块、一组指令接收执行装置；三个处理器模块通过并行总线与三个表决模块交叉互联；其中，每个表决模块均独立完成数据的比对、表决；每个表决模块通过独立串口与两个数据接收转换模块通信连接；两个数据接收转换模块将表决模块发送的表决结果数据进行转换后，得到控制权切换指令，并将控制权切换指令发送给指令接收执行装置；指令接收执行装置根据控制权切换指令实现对三个处理器模块的控制权切换。本发明采用逐级表决的方式进行故障检测，无需进行全数据比对，可以在最初检出故障单机，从而提高了表决实现的效率。

Description

三冗余数据逐级表决系统及方法

技术领域

本发明涉及计算机技术领域，具体地，涉及三冗余数据逐级表决系统及方法。

背景技术

星载计算机是卫星的核心单元，因其在轨飞行阶段具备不可维修性，一旦发生故障，容易造成卫星在轨失效，从而给国家造成巨大经济和名誉的损失。因此，星载计算机多采用双冗余架构计算机。

目前随着卫星轨道捕获制动、姿轨一体化控制技术的发展，对计算机提出了高可靠、实时、不间断工作的需求。但是，传统的双冗余架构计算机，在主机故障切换至备机时，往往重新建立状态需要几秒甚至几分钟的时间，这就无法满足实时性极高的任务需求了。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种三冗余数据逐级表决系统及方法。

根据本发明提供的一种三冗余数据逐级表决系统，包括：三个处理器模块、三个表决模块、两个数据接收转换模块、一组指令接收执行装置；三个处理器模块通过并行总线与三个表决模块交叉互联；其中，每个处理器模块都同时连接三个表决模块，每个表决模块均独立完成数据的比对、表决；每个表决模块通过独立串口与两个数据接收转换模块通信连接；两个数据接收转换模块将所述表决模块发送的表决结果数据进行转换后，得到控制权切换指令，并将所述控制权切换指令发送给所述指令接收执行装置；所述指令接收执行装置根据所述控制权切换指令实现对三个处理器模块的控制权切换。

可选地，三个处理器模块中设置任一处理器模块为主机，其他处理器模块为客机；其中，所述主机具备双向读写数据功能，所述客机仅具备写入数据功能；三个处理器模块之间通过数据缓存区进行数据的存取。

可选地，三个处理器模块包括第一处理器模块、第二处理器模块、第三处理器模块；三个表决模块包括第一表决模块、第二表决模块、第三表决模块；其中，针对第一表决模块，第一处理器模块为主机，第二处理器模块和第三处理器模块为客机；针对第二表决模块，第二处理器模块为主机，第一处理器模块和第三处理器模块为客机；针对第三表决模块，第三处理器模块为主机，第一处理器模块和第二处理器模块为客机。

可选地，三个处理器模块完成单机自检之后，将本机相关数据发送给三个表决模块；三个表决模块对主机和客机对应的本机相关数据进行比对校验，得到第二级表决结果；三个表决模块将第二级表决结果通过串行通信接口发送给两个数据接收转换模块，并转发数据接收转换模块反馈的表决执行状态信息给三个处理器模块。

可选地，所述指令接收执行装置包括继电器，所述继电器设置在三个处理器模块的回路中；所述继电器根据控制权切换指令实现对三个处理器模块的控制权切换。

可选地，三个处理器模块，具体用于：通过自检本机数据，输出1字节自检结果用于表示无故障，若自检有故障则输出其他参数，并通过数据交互将本机相关数据写入其他处理器模块中；其中，所述本机数据包括：本机冷复位次数和/或本机控制周期；若本机冷复位次数超过预设阈值，和/或本机控制周期超时，则诊断本机故障；

三个表决模块，具体用于：根据数据重要性排序，按顺序逐个字节比对三个处理器模块的本机相关数据进行比较，并根据预设的表决策略得到二级表决结果；其中，所述本机相关数据包括：软件自检结果、标志位、计数值、选择标志、控制标志、模式标志、故障标志、预留标志中的任一或者任多组合。

可选地，两个数据接收转换模块，具体用于：

根据三个表决模块发送的二级表决结果进行同步字、校验和检查；

判读三个表决模块发送的数据一致性，如果有大于等于2路的数据一致，则对数据内容进行判读；

判断故障类型，并根据故障类型确定控制权切换策略；

根据控制权切换策略生成控制权切换指令。

可选地，每一处理器模块在向表决模块写入数据后，向包计数寄存器写入当前数据包的包标识，并将写包计数寄存器的操作作为本机表决数据已更新的标志；处理器模块通过中断计数器，控制写包计数寄存器的操作同步进行；

若存在处理器模块自诊断本机已在本控制周期内出现超时或本机已和其他两机控制周期起点不同步，并且未能在预定的时间点执行向包计数寄存器写入当前数据包的包标识操作，则该机只填写表决数据，不再执行写包计数寄存器的操作；

对于每个表决模块，从第一个处理器模块更新完表决数据开始计时，若其他机处理器模块在设定的超时控制时间内，也更新完表决数据，则启动对三个处理器模块的表决；

若在设定的超时控制时间内，其他处理器模块未更新本机相关数据，则认为其他处理器模块数据更新超时，表决模块按照现有的本机相关数据启动表决，并且在表决结果寄存器中将对应处理器模块的超时状态位置位；

若三个处理器模块均更新了本机相关数据，但数据包的标志标示不一致，则表决模块仍启动表决，并在表决结果寄存器中反馈时间标示的不一致情况。

可选地，

若处理器模块的自检结果为故障，则不再继续后续的判断，直接输出对应处理器模块的故障字；

若三个处理器模块的自检结果为正常，则启动表决模块，若表决模块输出的二级表决结果包含故障类型，则不再后续的判断；

若表决模块输出的二级表决结果不包含故障类型，则启动两个数据接收转换模块；直到表决结束。

本发明还提供一种三冗余数据逐级表决方法，通过上述任一项所述的三冗余数据逐级表决系统对三冗余系统进行故障检测。

与现有技术相比，本发明具有如下的有益效果：

本发明提供的三冗余数据逐级表决系统及方法，采用逐级表决的方式，使得数据流更清晰；无需进行全数据比对，可以在最初检出故障单机，从而提高了表决实现的效率。另外，本发明中的各模块独立性强，降低了传统三机冗余计算机因为表决数据、表决逻辑和表决执行相互耦合导致的可靠性较低的风险，便于故障隔离和分析。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1为三冗余数据逐级表决系统的结构示意图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。

图1为三冗余数据逐级表决系统的结构示意图，如图1所示，本实施例中的系统可以包括：三个处理器模块、三个表决模块、两个数据接收转换模块、一个指令接收执行装置；其中，三个处理器模块包括第一处理器模块、第二处理器模块、第三处理器模块；三个表决模块包括第一表决模块、第二表决模块、第三表决模块；两个数据接收转换模块包括第一数据接收转换模块、第二数据接收转换模块。三个处理器模块用于执行第一级表决，三个表决模块用于执行第二级表决，两个数据接收转换模块用于执行第三级表决，最后由指令接收执行装置输出执行指令脉冲。

参见图1，三个处理器模块通过并行总线与三个表决模块交叉互联，即每个处理器模块都同时连接三个表决模块，每个表决模块均独立完成三组数据的比对、表决，然后通过两个独立串口分别输出至两个数据接收转换模块，两个数据接收转换模块接收表决结果并把结果数据转换成相应的“控制权切换”指令执行脉冲输出，由指令接收执行装置实现三机控制权的切换，完成三机系统状态切换。

本实施例中，首先由处理器模块通过自检本机数据，输出1字节自检结果，用于表示无故障，如自检有故障则输出其他参数。同时将本机数据交互写入表决模块，然后表决模块提供共N个字节(存于FPGA内寄存器)重要参数硬件表决能力，数据按重要性排序，按顺序逐个字节比对三个处理器模块的数据，一旦发现错误则中断比较，并根据比对结果输出故障单机的故障结果，否则输出无故障。数据接收和转换模块接收表决结果并把结果数据转换成相应的指令执行脉冲信号输出，经过指令接收执行装置后，实现三个处理器模块控制权的切换，完成三机系统状态切换。

本实施例中，表决模块和数据接收转换模块电路功能均是基于ATMEL公司的A54SX72可编程器件设计的，解决了传统三冗余表决计算机采用局部分立元器件做部分电路逻辑表决的高复杂度和高成本问题。指令接收执行装置采用继电器组实现三机控制权的互锁逻辑，当指令脉冲赋权处理器A时，同时关断赋权处理器B和处理器C，同理，指令脉冲赋权处理器B时，同时关断赋权处理器A和处理器C；指令脉冲赋权处理器C时，同时关断赋权处理器A和处理器B，确保三个处理器中始终只有一台处理器具有控制权。

参见图1，本实施例中的表决过程可以分为三级：GNC软件表决、表决模块FPGA(Field-Programmable Gate Array，现场可编程门阵列)表决，以及数据接收和转换模块硬件表决执行。其中，GNC软件是指加载在飞船的制导、导航与控制分系统的程序或者指令。

GNC软件表决：处理器软件(处理器A、处理器B、处理器C)通过自检本机冷复位次数和控制周期是否超时，输出1字节自检结果，“某设定值”表示无故障，其他参数表示有故障。本机冷复位次数超过3次，或本机控制周期超时，则诊断本机故障。处理器软件无故障时，累加心跳信号。处理器软件出现故障时，不再累加心跳信号。

表决模块FPGA表决：表决模块提供共N个字节(存于FPGA内寄存器)重要参数硬件表决能力，数据按重要性排序如下：软件自检结果(1字节故障标志)、某标志(2字节)、某计数(2字节)、某选择标志(2字节)、某控制标志(2字节)、某模式标志(2字节)、某故障标志(2字节)、某组合标志(2字节)、预留1(2字节)、预留2(1字节)等等。

表决时机：每一处理模块中的处理器软件在向表决模块三个表决FPGA写完N个字节表决数据后，向包计数寄存器写入当前数据包的包标识(发送表决数据时的中断个数)，写包计数寄存器的动作作为本机表决数据已更新的标志(FPGA自己判更新)。

处理器软件利用中断计数器，使三机“写包计数寄存器”操作同步进行。若某机自诊断本机已在本控制周期内出现超时或本机已和其他两机控制周期起点不同步，未能在预定的时间点执行“写包计数寄存器”，则该机只填写表决数据，不再“写包计数寄存器”。

对于每个表决FPGA，从第一个处理器更新完表决数据开始计算，其他机处理器如果在设定的超时控制时间内，也更新完表决数据，即启动对三机数据的表决。

若在设定的超时控制时间内，其他处理器未更新本机的表决数据，则认为其他处理器数据更新超时，表决模块FPGA按照现有的三机表决数据启动表决，并且在表决结果寄存器中置对应机的超时状态位。

如果三机处理器均更新了表决数据，但数据包的标志标示不一致，表决模块FPGA仍启动表决，并在表决结果寄存器中反馈时间标示的不一致情况。(自检的结果需要返回让软件可读)表决时判到软件自检结果(1字节故障标志)错误就不再继续后续的判断，直接输出该机故障字。

表决策略：表决模块FPGA的每控制周期根据数据重要性按数据段依次表决，表决策略如下表：

1)首先处理器A自检状态，若处理器A自检故障(软件自检结果错误)，则直接输出处理器A故障，不再进行后续表决；若处理器A正常，再依次判断处理器B、处理器C的自检状态；若处理器B或处理器C自检故障，则直接输出处理器B或处理器C故障，不再进行后续表决。

2)三机自检均正常后，再执行N-1个字节数据的表决，表决策略如表1所示。

表1

如优先级靠前的数据表决出故障则给出故障标志，结束本周期表决；如无故障则继续表决下一数据，依此类推，直至该周期所有数据表决结束。

第三级数据接收和转换模块表决：表决模块发送给数据接收和转换模块协议内容包括：同步字、模式字、权状态信号、表决信息以及异或校验；具体表决策略如表2所示。

表2

数据接收和转换模块反馈给表决模块协议信息包括：同步字、故障机信息和校验。

数据接收和转换模块反馈信息如表3所示。

表3

数据接收和转换模块FPGA按周期执行以下步骤的操作：

a)对接收到数据进行同步字、校验和检查，取指令内容，以收到的第一路数据开始计时，延时30％的周期后直接判断3路数据；

b)判读三机数据一致性，如果有大于等于2路的数据一致，则对数据内容进行判读；

c)判读数据，判断是三机或双机模式，且一机有故障，从有具体故障结果的轮次开始统计连续10次故障结果，否则重复步骤a)、b)：

若10次统计中出现8次及以上相同故障结果，则：a、若故障机为有权机，则数据接收和转换模块执行切权动作——间隔10％的周期发出设定宽度的切权脉冲(重复3次)，指令发出同时反馈故障信息给表决模块(故障反馈遥测发送次数不小于10次)，告知表决模块，数据接收和转换模块发出指令脉冲后进入1s的静默状态——复位其内部状态机；b、若故障机为无权机，则数据接收和转换模块不执行切权动作，反馈故障信息给表决模块。

若10次统计中未出现8次以上相同故障结果，数据接收和转换模块内部清零上轮次统计结果。

收到数据乱码或校验无效，不执行任何操作。

三机模式表决策略需求如表4所示。

表4

进一步地，本申请还提供一种三冗余数据逐级表决方法，应用于上述的三冗余数据逐级表决系统中，用于实现处理器的逐级表决，使得数据流更清晰，且按层级表决无需全数据比对，就可以在最初检出故障单机，从而提高了表决实现的效率。同时各模块独立性强，降低了传统三机冗余计算机因为表决数据、表决逻辑和表决执行相互耦合导致的可靠性较低的风险，便于故障隔离和分析。

本领域技术人员知道，除了以纯计算机可读程序代码方式实现本发明提供的系统及其各个装置以外，完全可以通过将方法步骤进行逻辑编程来使得本发明提供的系统及其各个装置以逻辑门、开关、专用集成电路、可编程逻辑控制器以及嵌入式微控制器等的形式来实现相同功能。所以，本发明提供的系统及其各项装置可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构；也可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。

Claims (10)

1.一种三冗余数据逐级表决系统，其特征在于，包括：三个处理器模块、三个表决模块、两个数据接收转换模块、一组指令接收执行装置；三个处理器模块通过并行总线与三个表决模块交叉互联；其中，每个处理器模块都同时连接三个表决模块，每个表决模块均独立完成数据的比对、表决；每个表决模块通过独立串口与两个数据接收转换模块通信连接；两个数据接收转换模块将所述表决模块发送的表决结果数据进行转换后，得到控制权切换指令，并将所述控制权切换指令发送给所述指令接收执行装置；所述指令接收执行装置根据所述控制权切换指令实现对三个处理器模块的控制权切换。

2.根据权利要求1所述的三冗余数据逐级表决系统，其特征在于，三个处理器模块中设置任一处理器模块为主机，其他处理器模块为客机；其中，所述主机具备双向读写数据功能，所述客机仅具备写入数据功能；三个处理器模块之间通过数据缓存区进行数据的存取。

3.根据权利要求2所述的三冗余数据逐级表决系统，其特征在于，三个处理器模块包括第一处理器模块、第二处理器模块、第三处理器模块；三个表决模块包括第一表决模块、第二表决模块、第三表决模块；其中，针对第一表决模块，第一处理器模块为主机，第二处理器模块和第三处理器模块为客机；针对第二表决模块，第二处理器模块为主机，第一处理器模块和第三处理器模块为客机；针对第三表决模块，第三处理器模块为主机，第一处理器模块和第二处理器模块为客机。

4.根据权利要求3所述的三冗余数据逐级表决系统，其特征在于，三个处理器模块完成单机自检之后，将本机相关数据发送给三个表决模块；三个表决模块对主机和客机对应的本机相关数据进行比对校验，得到第二级表决结果；三个表决模块将第二级表决结果通过串行通信接口发送给两个数据接收转换模块，并转发数据接收转换模块反馈的表决执行状态信息给三个处理器模块。

5.根据权利要求1所述的三冗余数据逐级表决系统，其特征在于，所述指令接收执行装置包括继电器，所述继电器设置在三个处理器模块的回路中；所述继电器根据控制权切换指令实现对三个处理器模块的控制权切换。

6.根据权利要求1-5中任一项所述的三冗余数据逐级表决系统，其特征在于，三个处理器模块，具体用于：通过自检本机数据，输出1字节自检结果用于表示无故障，若自检有故障则输出其他参数，并通过数据交互将本机相关数据写入其他处理器模块中；其中，所述本机数据包括：本机冷复位次数和/或本机控制周期；若本机冷复位次数超过预设阈值，和/或本机控制周期超时，则诊断本机故障；

三个表决模块，具体用于：根据数据重要性排序，按顺序逐个字节比对三个处理器模块的本机相关数据进行比较，并根据预设的表决策略得到二级表决结果；其中，所述本机相关数据包括：软件自检结果、标志位、计数值、选择标志、控制标志、模式标志、故障标志、预留标志中的任一或者任多组合。

7.根据权利要求1-5中任一项所述的三冗余数据逐级表决系统，其特征在于，两个数据接收转换模块，具体用于：

根据三个表决模块发送的二级表决结果进行同步字、校验和检查；

判读三个表决模块发送的数据一致性，如果有大于等于2路的数据一致，则对数据内容进行判读；

判断故障类型，并根据故障类型确定控制权切换策略；

根据控制权切换策略生成控制权切换指令。

8.根据权利要求1-5中任一项所述的三冗余数据逐级表决系统，其特征在于，每一处理器模块在向表决模块写入数据后，向包计数寄存器写入当前数据包的包标识，并将写包计数寄存器的操作作为本机表决数据已更新的标志；处理器模块通过中断计数器，控制写包计数寄存器的操作同步进行；

若存在处理器模块自诊断本机已在本控制周期内出现超时或本机已和其他两机控制周期起点不同步，并且未能在预定的时间点执行向包计数寄存器写入当前数据包的包标识操作，则该机只填写表决数据，不再执行写包计数寄存器的操作；

对于每个表决模块，从第一个处理器模块更新完表决数据开始计时，若其他机处理器模块在设定的超时控制时间内，也更新完表决数据，则启动对三个处理器模块的表决；

若在设定的超时控制时间内，其他处理器模块未更新本机相关数据，则认为其他处理器模块数据更新超时，表决模块按照现有的本机相关数据启动表决，并且在表决结果寄存器中将对应处理器模块的超时状态位置位；

若三个处理器模块均更新了本机相关数据，但数据包的标志标示不一致，则表决模块仍启动表决，并在表决结果寄存器中反馈时间标示的不一致情况。

9.根据权利要求1-5中任一项所述的三冗余数据逐级表决系统，其特征在于，

若处理器模块的自检结果为故障，则不再继续后续的判断，直接输出对应处理器模块的故障字；

若三个处理器模块的自检结果为正常，则启动表决模块，若表决模块输出的二级表决结果包含故障类型，则不再后续的判断；

若表决模块输出的二级表决结果不包含故障类型，则启动两个数据接收转换模块；直到表决结束。

10.一种三冗余数据逐级表决方法，其特征在于，通过权利要求1-9中任一项所述的三冗余数据逐级表决系统对三冗余系统进行故障检测。