CN111352338A - 一种双余度飞控计算机及余度管理方法 - Google Patents

Abstract

本发明提供了一种双余度飞控计算机及余度管理方法，属于飞行控制技术领域。双余度飞控计算机包括相似余度、热备份的主机、副机，以及通讯模块、故障检测模块、仲裁切换电路模块，其余度管理方法包括基于比较点的任务同步处理、基于交叉比较法的故障检测及容错处理，采用本发明的技术方案可以有效提高无人机系统的可靠性，保证在主机出现故障后，能够有效切换至备机，使无人机恢复正常工作继续完成任务。

Description

一种双余度飞控计算机及余度管理方法

技术领域

本发明属于飞行控制技术领域，涉及一种双余度飞控计算机及余度管理方法，用于提高无人机飞行过程的可靠性等级。

背景技术

目前我国现有无人机大都采用单回路的单余度配置，但无人机系统中飞控计算机出现故障或者失效，不仅飞行任务不能完成，甚至会导致整架无人机的坠毁，有时还会造成地面设施及人员的损伤。现代无人机的用途日益增多，为使其更好的完成任务，必需保证无人机系统的可靠性，余度技术是提高无人机系统可靠性的行之有效的方法。现有的双余度飞控计算机，缺少完善的同步机制，通常只是僵化的采用时钟同步，给飞控解算带来较大的资源消耗，另外时钟同步需要专门的硬件支持，总线上的瞬时故障极易产生共性错误，受计数频率漂移、间歇性故障及恢复等因素的影响，两计算机的实时时钟会发生相互异步的情况，同时现有的双余度飞控软件缺少余度管理策略、故障处理方法，降低了飞控系统的可靠性和软件的冗余效果。

发明内容

针对现有技术中存在的双余度飞控计算机缺少完善的同步机制、缺少故障检测及恢复环节等技术问题，本发明提供了一种可有效提供无人机飞行可靠性和安全性的双余度飞控计算机及余度管理方法。

本发明解决上述技术问题采用的技术方案如下：

本发明提供了一种双余度飞控计算机，包括主机、副机、通讯模块、故障检测模块、仲裁切换电路模块；所述主机和副机用于采集、记载模拟量和数字量信号，进行飞控解算及工作流程处理；所述通讯模块用于主机和副机之间的数据通讯；所述故障检测模块用于实时监控主、副机的故障并进行处理；所述仲裁切换电路模块根据主机、副机的自检信号、互检信号控制输出一路信号驱动执行机构。

进一步的，所述主机、副机均包括CPU模块、复位时钟电路，所述CPU模块用于信号采集和处理，所述复位时钟电路用于上电复位和掉电复位。

进一步的，所述通讯模块采用双端口RAM。

进一步的，所述主机、副机采用相似余度计算机。

进一步的，所述主机、副机采用热备份。

进一步的，所述主机、副机采用并联方式。

本发明提供了一种双余度飞控计算机的余度管理方法，包括如下步骤：

S1、双余度飞控计算机进行任务同步处理

在主机、副机初始化阶段，在任务中设立至少一个比较点，对主机、副机的工作步调进行协调；

S2、双余度飞控计算机进行故障检测及容错处理

主机、副机进行任务同步判断，不同步时，进行自主式故障检测，同步时进行主机、副机数据比较，比较一致则进行数据输出，比较不一致时，进行自主式故障检测；

S3、进行输出表决。

进一步的，所述步骤S1具体包括如下步骤：

S1.1、同步启动后，主机、副机同时进入同步任务入口，主机完成飞控数据解算后，发送同步触发信号给副机，同样，副机完成飞控数据解算后，接收主机发送的同步触发信号，当副机收到主机的同步触发信号后，向主机发出回馈信号；

S1.2、主机、副机通过通讯模块相互通信，在通讯时设置同步等待周期，当主机、副机任务运行到比较点时互发同步信息，并且让各自的计时器开始计时，主机、副机等待接收对方任务的同步信号；

S1.3、在等待过程中，主机检测是否接收到副机全部数据，若“是”，则提前退出同步等待状态，进入步骤S2；若“否”，判断是否超过了预先设定的同步等待周期，若超时，则结束任务，返回一个超时异常码，置副机故障，然后进行步骤S2；若未超时，则继续等待；

同时，在等待过程中，副机检测是否接收到主机全部数据，若“是”，则提前退出同步等待状态，向主机发送数据并进入步骤S2；若“否”，判断是否超过了预先设定的同步等待周期，若超时，则结束任务，返回一个超时异常码，置主机故障，然后向主机发送数据并进行步骤S2；若未超时，则继续等待。

进一步的，所述步骤S2具体包括如下步骤：

S2.1、主机、副机先进行任务同步，若同步不成功则进入步骤S2.2；若同步成功进行主机、副机数据比较，第一次比较一致时进行数据输出，若第一次比较不一致时，进入步骤S2.2；

S2.2、再次进行任务同步，若同步不成功进入步骤2.3，若同步成功则进行第二次比较，第二次比较一致时输出数据，不一致时，进入步骤S2.3；

S2.3、启动主机、副机的BIT进行自主式故障检测；

S2.4、当BIT无法定位故障时，保持上次输出或切换到安全输出，并向地面检测人员报告紧急故障；当BIT能够定位故障时，重启故障模块；

S2.5、再进行BIT测试看看故障是否可恢复，若不能恢复正常，则停止故障计算机的工作，同时通知另一台计算机切换到单机工作模式；若故障能恢复正常，则重启故障计算机。

进一步的，所述步骤S3输出表决为：若主机无故障，无论副机有无故障，则主机输出；若主机有故障且副机无故障，则副机输出；若主机、副机均有故障，则输出钝化值。

本发明的有益效果：

本发明采用双余度飞控计算机，有效提高了无人机系统可靠性，并为双余度飞控计算机设计了余度配置和管理方法，有效保证了在主机出现故障后，能够有效切换至备机，使无人机恢复正常工作继续完成任务。

本发明主机、副机采用相似余度计算机，并通过热备份和并联方式同步工作，故障切换时间较短，重组简单，比较适合于实时性要求比较高的飞控系统。

本发明双余度飞控计算机采用任务同步处理，双机各任务模块之间保持高度的步调一致，使得两飞控计算机能够并行同步工作，保证准确地切换故障检测模块，实现机构上的冗余重构，达到容错目的。采用基于交叉比较法的故障检测及容错处理，可以有效进行故障检测及恢复。

附图说明

所包括的附图用来提供对本发明实施例的进一步的理解，其构成了说明书的一部分，用于例示本发明的实施例，并与文字描述一起来阐释本发明的原理。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的具体实施例提供的双余度飞控计算机原理图；

图2为本发明的具体实施例提供的双机任务同步流程图；

图3为本发明的具体实施例提供的故障检测流程图。

具体实施方式

下面对本发明的具体实施例进行详细说明。在下面的描述中，出于解释而非限制性的目的，阐述了具体细节，以帮助全面地理解本发明。然而，对本领域技术人员来说显而易见的是，也可以在脱离了这些具体细节的其它实施例中实践本发明。

在此需要说明的是，为了避免因不必要的细节而模糊了本发明，在附图中仅仅示出了与根据本发明的方案密切相关的设备结构和/或处理步骤，而省略了与本发明关系不大的其他细节。

余度技术是提高无人机系统可靠性的行之有效的方法，本发明采用双余度飞控计算机，并为之设计余度配置和管理方法，保证在主机出现故障后，能够有效切换至备机，使无人机恢复正常工作继续完成任务。

本发明综合考虑双余度飞控计算机的结构特点，设计了双余度飞控计算机容错结构及余度管理方法，在容错结构设计方面，包括余度数选择、余度飞控计算机构型选择、双机热备份的工作方式选择、双余度飞控计算机硬件结构设计方法等内容；在余度管理方式方面，包括双机通信方式、双余度软件同步设计、故障检测、输入设计表决等内容。

一、双余度飞控计算机容错结构

本发明提供的双余度飞控计算机，如图1所示，包括主机、副机、通讯模块、故障检测模块、仲裁切换电路模块；主机和副机用于采集、记载模拟量和数字量信号，进行飞控解算及工作流程处理；通讯模块用于主机和副机之间的数据通讯；故障检测模块用于实时监控主、副机的故障并进行处理；仲裁切换电路模块是根据主机、副机的自检信号、互检信号控制输出一路信号驱动执行机构。

上述主机、副机均包括CPU模块、复位时钟电路。其中，CPU模块用于信号采集和处理，采集机载模拟量传感设备通过信号调理得到的模拟量和机载数字接口传感设备通过串口信号处理电路得到的数字量信号；复位时钟电路用于上电复位和掉电复位，用来监测主、副机的状态和系统的供电电压。

上述通讯模块采用双端口RAM，即在主机、副机之间加一双端口RAM，主副机可同时访问双端口RAM，通过双端口RAM实现双机相互通信、数据共享，双机通信是无人机飞控计算机实现余度容错功能的基础环节。

上述仲裁切换电路模块是双余度飞控计算机可靠性的核心部分，它解决了发生故障时，系统输出的准连续性问题，使工作进程不受系统故障的影响，它的逻辑是根据主机、副机的自检信号、互检信号控制输出一路信号驱动执行机构。双余度飞控计算机系统中，外部输入信号同时送给主机和副机，通过它们各自计算处理及同步之后，主机和副机均会产生各自的输出，而任一时刻只能有一个系统在有效地驱动执行机构，这就需要仲裁切换逻辑电路进行通道控制，来判断是哪个输出。若主机无故障，无论副机有无故障，则主机输出；若主机有故障且副机无故障，则由仲裁切换电路切换至副机输出；若两计算机均有故障，则整个飞控计算机将不能正常工作，输出钝化值。

本发明采用双余度计算机结构，具有主副机同步可靠稳定、可实时监测系统故障实时处理的优点。

本发明双余度飞控计算机构型采用相似余度计算机，即备用计算机与主控计算机结构、功能完全相同，大大降低了系统的设计难度、复杂程度以及开发难度，使系统余度可靠有效、开发容易且成本低廉，有效缩短研究周期。

本发明双余度飞控计算机采用热备份余度方式，主机和副机同时工作(如接受输入数据、进行数据处理等)且随时准备代替主控计算机工作，切换的时间短。

本发明双余度飞控计算机采用了双机并联余度方式，双机同步运行，当主机故障时，可迅速切换使备用机进行输出控制。这种工作方式的突出优点是切换时间较短，重组简单，比较适合于实时性要求比较高的飞控系统。

二、双余度飞控计算机余度管理方法

本发明提供的一种双余度飞控计算机的余度管理方法，如图2、3所示，包括如下步骤：

S1、双余度飞控计算机进行任务同步处理

在双余度飞控计算机中，双机各任务模块之间必需保持高度的步调一致，使得两飞控计算机能够并行同步工作，这样才能保证准确地切换故障检测模块，实现机构上的冗余重构，达到容错目的。时钟同步需要专门的硬件支持，总线上的瞬时故障极易产生共性错误，受计数频率漂移、间歇性故障及恢复等因素的影响，两计算机的实时时钟会发生相互异步的情况，所以本发明选择了双机任务同步流程图。

在主机、副机初始化阶段，在任务中设立一个或多个比较点，对输出的中间结果和最后输出进行一致性判断，同时对主机、副机的工作步调进行协调。

比较点是事先在程序中预设好的若干个重要的程序数据比对点。

主机、副机任务同步流程如图2所示，具体步骤为：

S1.1、同步启动后，主机、副机同时进入同步任务入口，双机相互独立工作，主机完成飞控数据解算后，发送同步触发信号给副机，随后通过无线电设备开始向地面发送遥测信息。同样，副机完成飞控数据解算后，接收主机发送的同步触发信号，当副机收到主机的同步触发信号后，向主机发出回馈信号。

S1.2、主机、副机通过通讯模块相互通信，在通讯时设置同步等待周期，当主机、副机任务运行到比较点时互发同步信息，并且让各自的计时器开始计时，主机、副机等待接收对方任务的同步信号。

S1.3、在等待过程中，主机检测是否接收到副机全部数据，若“是”，则提前退出同步等待状态，进入故障检测及容错处理步骤S2；若“否”，判断是否超过了预先设定的同步等待周期，若超时，则结束任务，返回一个超时异常码，置副机故障，然后进行故障检测及容错处理步骤S2；若未超时，则继续等待；

同时，在等待过程中，副机检测是否接收到主机全部数据，若“是”，则提前退出同步等待状态，向主机发送数据并进入故障检测及容错处理步骤S2；若“否”，判断是否超过了预先设定的同步等待周期，若超时，则结束任务，返回一个超时异常码，置主机故障，然后向主机发送数据并进行故障检测及容错处理步骤S2；若未超时，则继续等待。

当双余度飞控计算机发生非致命性故障时，双机运用通信模块进行同步协调，再次同步进入下一周期运作，即回到步骤S1.1。

S2、双余度飞控计算机进行故障检测及容错处理

故障检测是余度管理的重要组成部分。如果两飞控计算机的对应数据不一致，则说明其中一个通道的计算机或者两个通道的计算机同时出现了故障。为了保证系统能继续正常运行，我们需要及时检测到故障并将其定位、处理。

双余度飞控计算机进行故障检测时对发生的故障主要分为致命性故障和非致命性故障两类。致命性故障主要是指CPU发生故障导致失去控制，此时CPU看门狗会通过心跳线发出中断信号，系统软件会调用致命性故障中断服务程序。在处理非致命性故障过程中通常采用自主式故障检测和比较式故障检测两种方法。在采用双余度飞控计算机时，可采用交叉比较法进行监控，流程图如图3所示，具体步骤如下：

S2.1、主机、副机先进行任务同步，若同步不成功则进入步骤S2.2；若同步成功进行主机、副机数据比较，第一次比较一致时进行数据输出，若第一次比较不一致时，进入步骤S2.2；

S2.2、再次进行任务同步，若同步不成功说明有故障，需进行自主式故障检测，进入步骤2.3，若同步成功则进行第二次比较，第二次比较一致时输出数据，不一致时，进入步骤S2.3；

S2.3、启动主机、副机的自测试程序(BIT)进行自主式故障检测；

S2.4、当BIT无法定位故障时，保持上次输出或切换到安全输出(爬高、直飞)，并向地面检测人员报告紧急故障；当BIT能够定位故障时，重启故障模块；

S2.5、再进行BIT测试看看故障是否可恢复，若不能恢复正常，说明出现的是不可恢复型故障，则停止故障计算机的工作，同时通知另一台计算机切换到单机工作模式；若故障能恢复正常，说明出现的是可恢复型故障，则重启故障计算机。

S3、通过仲裁切换电路模块进行输出表决

表决过程的具体步骤如下：

1)主机无故障，无论副机有无故障，则主机输出；

2)主机有故障且副机无故障，则由仲裁切换电路切换至副机输出；

3)两计算机均有故障，则两台飞控计算机将不能正常工作，输出钝化值。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

本发明未详细说明部分为本领域技术人员公知技术。

Claims (10)

1.一种双余度飞控计算机，其特征在于，包括主机、副机、通讯模块、故障检测模块、仲裁切换电路模块；所述主机和副机用于采集、记载模拟量和数字量信号，进行飞控解算及工作流程处理；所述通讯模块用于主机和副机之间的数据通讯；所述故障检测模块用于实时监控主、副机的故障并进行处理；所述仲裁切换电路模块根据主机、副机的自检信号、互检信号控制输出一路信号驱动执行机构。

2.根据权利要求1所述的双余度飞控计算机，其特征在于，所述主机、副机均包括CPU模块、复位时钟电路，所述CPU模块用于信号采集和处理，所述复位时钟电路用于上电复位和掉电复位。

3.根据权利要求1所述的双余度飞控计算机，其特征在于，所述通讯模块采用双端口RAM。

4.根据权利要求1所述的双余度飞控计算机，其特征在于，所述主机、副机采用相似余度计算机。

5.根据权利要求1所述的双余度飞控计算机，其特征在于，所述主机、副机采用热备份。

6.根据权利要求1所述的双余度飞控计算机，其特征在于，所述主机、副机采用并联方式。

7.一种根据权利要求1～6中任一项所述双余度飞控计算机的余度管理方法，其特征在于，包括如下步骤：

S1、双余度飞控计算机进行任务同步处理

在主机、副机初始化阶段，在任务中设立至少一个比较点，对主机、副机的工作步调进行协调；

S2、双余度飞控计算机进行故障检测及容错处理

主机、副机进行任务同步判断，不同步时，进行自主式故障检测，同步时进行主机、副机数据比较，比较一致则进行数据输出，比较不一致时，进行自主式故障检测；

S3、进行输出表决。

8.根据权利要求7所述的余度管理方法，其特征在于，所述步骤S1具体包括如下步骤：

S1.1、同步启动后，主机、副机同时进入同步任务入口，主机完成飞控数据解算后，发送同步触发信号给副机，同样，副机完成飞控数据解算后，接收主机发送的同步触发信号，当副机收到主机的同步触发信号后，向主机发出回馈信号；

S1.2、主机、副机通过通讯模块相互通信，在通讯时设置同步等待周期，当主机、副机任务运行到比较点时互发同步信息，并且让各自的计时器开始计时，主机、副机等待接收对方任务的同步信号；

S1.3、在等待过程中，主机检测是否接收到副机全部数据，若“是”，则提前退出同步等待状态，进入步骤S2；若“否”，判断是否超过了预先设定的同步等待周期，若超时，则结束任务，返回一个超时异常码，置副机故障，然后进行步骤S2；若未超时，则继续等待；

同时，在等待过程中，副机检测是否接收到主机全部数据，若“是”，则提前退出同步等待状态，向主机发送数据并进入步骤S2；若“否”，判断是否超过了预先设定的同步等待周期，若超时，则结束任务，返回一个超时异常码，置主机故障，然后向主机发送数据并进行步骤S2；若未超时，则继续等待。

9.根据权利要求7所述的余度管理方法，其特征在于，所述步骤S2具体包括如下步骤：

S2.1、主机、副机先进行任务同步，若同步不成功则进入步骤S2.2；若同步成功进行主机、副机数据比较，第一次比较一致时进行数据输出，若第一次比较不一致时，进入步骤S2.2；

S2.2、再次进行任务同步，若同步不成功进入步骤2.3，若同步成功则进行第二次比较，第二次比较一致时输出数据，不一致时，进入步骤S2.3；

S2.3、启动主机、副机的BIT进行自主式故障检测；

S2.4、当BIT无法定位故障时，保持上次输出或切换到安全输出，并向地面检测人员报告紧急故障；当BIT能够定位故障时，重启故障模块；

S2.5、再进行BIT测试看看故障是否可恢复，若不能恢复正常，则停止故障计算机的工作，同时通知另一台计算机切换到单机工作模式；若故障能恢复正常，则重启故障计算机。

10.根据权利要求7所述的余度管理方法，其特征在于，所述步骤S3输出表决为：若主机无故障，无论副机有无故障，则主机输出；若主机有故障且副机无故障，则副机输出；若主机、副机均有故障，则输出钝化值。

Images