CN112130486A - 一种电力继电保护设备智能出口模块及其容错控制方法 - Google Patents

Abstract

本发明公开一种电力继电保护设备智能出口模块及其容错控制方法，智能出口模块包括出口继电器和出口电源，出口继电器通过一可控电源回路可控连接出口电源；容错控制方法包括：检查指令处理代码是否出错，若出错则进行代码修复，若无法修复则生成出口电源闭锁信号；接收外部出口电源启动信号和出口指令信号，基于出口指令信号执行指令处理代码，得到用于控制电源回路导通或断开的出口控制信号；响应于出口电源闭锁信号生成和/或出口电源启动信号为低电平，则控制所述电源回路与出口电源断开连接。利用本发明可解决电力继电保护设备智能出口模块受单粒子效应影响时，引起继电器出口回路误动或者拒动的问题，提升继电保护装置的可靠性。

Description

一种电力继电保护设备智能出口模块及其容错控制方法

技术领域

本发明涉及电力系统继电保护技术领域，特别是一种可抗单粒子效应的电力继电保护设备智能出口模块及其容错控制方法。

背景技术

近年来，国内各大电网均发生过因继电保护装置误动引起的停电事故，给国民经济与生活带来很大的危害。随着电力技术的发展，电网的复杂程度日益增加，继电保护设备越来越复杂，继电保护设备使用的出口控制模块的复杂度也越来越高。为满足智能出口模块功能需求，模块中使用的控制器的集成度更高，控制器的工艺制程更先进，但也带来了负面影响，控制器的单粒子翻转、单粒子功能中断和单粒子瞬态脉冲等一系列单粒子效应也越来越明显。如何保证继电保护设备不因自身原因错误输出跳闸出口信号而引起保护误动和拒动，尤其是降低单粒子效应带来的影响是一个亟须解决的问题。

针对单粒子效应问题，现有技术采用的解决方案有以下几种：

1）系统在检测出芯片受单粒子效应影响时，通过对FPGA芯片复位或者DSP芯片复位的方式来解决。但这种处理方式存在实时性差的缺陷，直接参照这种方法对用于继电保护装置出口模块的控制器进行处理，运行在控制器里面的应用程序从出现异常到纠正回来的时间很可能超出继电保护一次出口的允许时间，将引起保护拒动；

2）通过继电保护出口闭锁解决。但这种处理方式一般未考虑主控制器或者闭锁控制器出现单粒子效应时的检错和纠错机制，当单粒子效应引起主控制器或者闭锁控制器误动作时，继电器出口回路可能会发生误动或者拒动。

发明内容

本发明的目的是提供一种可抗单粒子效应的电力继电保护设备智能出口模块及其容错控制方法，解决电力继电保护设备智能出口模块受单粒子效应影响时，引起继电器出口回路可能会发生的误动或者拒动的问题，提升继电保护装置的可靠性。

本发明采用的技术方案如下：

第一方面，本发明提供一种电力继电保护设备智能出口模块容错控制方法，智能出口模块包括出口继电器和出口电源，出口继电器通过一电源回路连接出口电源；方法包括：

检查指令处理代码是否出错，若出错，则按照预设的纠错策略进行代码修复，若指令处理代码无法通过所述纠错策略修复，则生成出口电源闭锁信号；

接收外部输入的出口电源启动信号；

接收外部输入的出口指令信号，并响应于接收到所述出口指令信号，执行所述指令处理代码对出口指令信号进行处理，得到用于控制所述电源回路导通或断开的出口控制信号；

响应于出口电源闭锁信号生成和/或出口电源启动信号为低电平，则控制所述电源回路与出口电源断开连接，否则控制所述电源回路与出口电源连通。

以上方案中，出口电源闭锁信号生成可理解为闭锁信号为高电平，当指令处理代码正常时则闭锁信号为低电平，出口电源将仅能在闭锁信号低电平且出口电源启动信号高电平时，与继电器所连接的电源回路相连通，从而支持继电器的出口动作。

指令处理代码出错包括由单粒子效应影响造成的出错，或者由其他因素导致。当指令处理代码因为各种原因出错且无法修复，皆会导致出口电源闭锁信号高电平，从而使得继电器所连接的电源回路与出口电源断开连接，继电器无法动作，此时即使指令处理代码执行的结果使得继电器所在的电源回路导通，由于无法连接出口电源，仍然无法实现继电器动作。这样就避免了单粒子效应造成出口逻辑出错，导致出口误动。

可选的，智能出口模块还包括指令处理单元MCU和出口电源控制单元；

方法还包括：响应于智能出口模块上电，在MCU的片内RAM中加载预存储的指令处理代码；

所述指令处理代码的原始代码预存储于MCU的片内Flash中；检查指令处理代码是否出错以及对出错的指令处理代码进行代码修复的进程运行于MCU的片内Flash中。

以上方案中，出口电源控制单元可采用开关电源模块实现电源的接入或断开。

由于每次上电后片内RAM中的代码都是重新加载的，可使得偶然的单粒子效应等故障造成的影响不会延续到其它次模块启动后的运行。其能够通过Flash中预存储的代码对RAM受单粒子效应影响后出错的代码进行修复。同时，相比较于出口控制命令的交互和控制逻辑运算，对代码进行检错和纠错的实时性要求较低，将出口指令交互和出口逻辑控制过程，与代码检错和代码纠错分开分别运行在片内RAM和Flash中，可提高出口控制效率。

可选的，本发明方法中，检查指令处理代码是否出错为：在智能出口模块上电后，MCU主循环程序在运行中实时检查加载至片内RAM的指令处理代码是否出错。

可选的，所述指令处理代码包括第一指令处理代码和第二指令处理代码；

MCU通过两个通信通道分别接收出口指令信号，并分别执行第一指令处理代码和第二指令处理代码对接收到的出口指令信号进行处理，获得处理结果信号；MCU通过两个处理结果信号控制继电器所连接的电源回路导通或断开。

可选的，MCU中，片内RAM包括用于加载和运行指令处理代码的代码区，以及用于存储代码校验码的数据区；

检查指令处理代码是否出错包括：

读取第一指令处理代码/第二指令处理代码内容；

根据第一指令处理代码/第二指令处理代码内容计算校验码；

判断RAM代码区的第一指令处理代码和第二指令处理代码，与Flash区预存储的相应原始代码是否内容一致，若RAM代码区的第一指令处理代码和第二指令处理代码与Flash区的相应原始代码均一致则未出错，否则将代码内容不一致的第一指令处理代码或第二指令处理代码判断为代码出错。

可选的，方法还包括：在检查指令处理代码是否出错过程中，响应于代码未出错，将计算得到的第一指令处理代码/第二指令处理代码的校验码写入RAM数据区；对应第一指令处理代码和第二指令处理代码的校验码在RAM数据区中分别存储；

所述按照预设的纠错策略进行代码修复包括：

a）判断出错指令处理代码的RAM代码区代码与Flash内存储的原始代码是否只有1bit位不同，若是，则转至步骤b），否则转至步骤d）；

b）计算Flash内原始代码的校验码，并判断RAM数据区中校验码与原始代码的校验码是否一致：若一致，则将Flash内原始代码作为正确代码，对RAM代码区的相应出错代码进行修复，并将计算得到的校验码更新至相应的RAM数据区，覆盖原校验码；否则转至步骤c）；

c）计算RAM代码区出错指令处理代码的校验码，并将其与当前RAM数据区存储的相应校验码进行比较：若两者一致，则将RAM代码区出错指令处理代码作为正确代码，对Flash内的相应原始代码进行修复；若两者不一致，则判断为出错指令处理代码无法通过纠错策略修复；

d）判断为出错指令处理代码无法通过纠错策略修复。

由于一般单粒子效应导致的代码错位为代码仅1bit位不同，因此当不属于这种情形时，可认为智能出口模块或MCU或代码本身发生了单粒子效应之外的其它异常情况，或者更严重的内存异常情况。前述方案已经表明，当出错指令代码无法通过纠错策略修复时，将生成出口电源闭锁信号，此时即使出口控制信号的电平组合正确，出口继电器由于无法连通出口电源，将同样无法动作。

对代码的纠错可使得代码正常运行并获得对应指令出口信息的正确结果，可防止出口继电器拒动。

可选的，步骤c）还包括，响应于出错指令处理代码无法通过纠错策略修复，输出单粒子效应报警信号；

步骤d）还包括，输出其它错误报警信号。

可使得工作人员更直观的判断当前错误类型，有针对性的实施检查和修复工作。

可选的，第一指令处理代码和第二指令处理代码的执行步骤均包括：

获取出口指令信号报文；

对出口指令信号报文进行解析和校验；

对校验通过的出口指令信号报文，根据其中的出口指令信息，执行预设的出口控制逻辑运算，根据出口控制逻辑运算结果生成控制信号并输出。

本发明对出口指令信号报文的校验可为常规的CRC校验，以验证报文本身是否合法，对于校验不通过的出口指令信号报文，可丢弃相应报文，且后续操作不再执行，从而通过双重路径保障出口指令信号报文出错时出口继电器不会出现误动。

可选的，未出错或已修复的第一指令处理代码/第二指令处理代码在执行出口控制逻辑时，根据不同的出口指令信息，运算得到不同的控制信号，进而通过MCU引脚输出相应电平的出口控制信号；

出口继电器所连接的电源回路响应于接收到预设电平组合的出口控制信号时导通。

可选的，MCU上电时，对应第一指令处理代码控制信号输出的MCU引脚置位为高电平，对应第二指令处理代码控制信号输出的MCU引脚清零为低电平；

出口继电器所连接的电源回路导通对应的预设电平组合为：第一指令处理代码执行完毕得到低电平控制信号，第二指令处理代码执行完毕得到高电平控制信号；

第一指令处理代码执行的控制逻辑为：若控制指令信息为要求出口继电器动作，则清零相应的MCU引脚为低电平，若控制指令信息为要求出口继电器返回，则置位相应的MCU引脚为高电平；

第二指令处理代码执行的控制逻辑为：若控制指令信息为要求出口继电器动作，则置位相应的MCU引脚为高电平，若控制指令信息为要求出口继电器返回，则清零相应的MCU引脚为底电平。

以上出口控制逻辑与电源回路导通条件的组合，使得无论哪一个代码处理环节出错，出口继电器都无法正常动作，从而较大限度的避免了出口继电器的误动。

第二方面，本发明提供一种电力继电保护设备智能出口模块，包括指令处理单元MCU、出口电源控制单元、出口继电器和出口电源，出口继电器通过一可控电源回路可控电连接出口电源；

MCU接收外部出口指令信号，并在接收到出口指令信号后，执行预设指令处理代码，以根据出口指令信号得到用于控制所述电源回路导通或断开的出口控制信号；

所述MCU主循环程序在运行中实时检查指令处理代码是否出错，若出错，则按照预设的纠错策略进行代码修复，若指令处理代码无法通过所述纠错策略修复，则生成出口电源闭锁信号，传输至出口电源控制单元；

出口电源控制单元接收外部输入的出口电源启动信号，所述出口电源控制单元响应于接收到出口电源闭锁信号和/或出口电源启动信号为低电平，则控制所述电源回路与出口电源断开连接，否则控制所述电源回路与出口电源连通。

以上方案中，出口电源控制电路可采用由可控开关器件组成的电子电路或其与微控制器的组合，可采用开关电源模块，使得出口电源闭锁信号生成后，能够断开出口电源与电源回路之间的连通。

可选的，MCU包括RAM和Flash，所述指令处理代码的原始代码预存储于MCU的片内Flash中；MCU在每次上电时将Flash内存储的指令处理代码加载至RAM中；

片内Flash还存储有，用于在运行时实时检查片内RAM中的指令处理代码是否出错以及对出错的指令处理代码进行代码修复的进程代码。

可选的，所述指令处理代码包括对应不同出口控制逻辑的第一指令处理代码和第二指令处理代码，MCU通过两路CAN总线分别接收外部出口指令信号，并分别利用第一指令处理代码和第二指令处理代码对出口指令信号进行处理和出口逻辑运算，进而分别根据出口逻辑运算的结果通过不同的MCU引脚输出出口控制信号。

可选的，所述电源回路包括连接在第一电源与公共端之间的第一三极管T1、第一光耦OP1、第二光耦OP2和第二三极管T2，T1和T2分别为PNP型晶体管和NPN型晶体管，MCU的两个出口控制信号输出引脚分别连接T1和T2的基极，T1的发射极连接第一电源，集电极连接OP1发光端的正极，OP1发光端的负极接地，受光端发射极连接OP2受光端集电极，OP2受光端发射极接地，发光端正极连接第一电源，发光端负极连接T2集电极，T2的发射极连接公共端；出口继电器线圈连接在OP1受光端集电极与出口电源输出端之间。

以上方案中，T1、T2、OP1、OP2的组合使得当且仅当T1基极输入低电平，T2基极输入高电平时，出口继电器线圈能够经由OP1受光端、OP2受光端后接地，此时即视为电源回路导通，若此时出口电源正常接入则整个回路导通电源可使得出口继电器正常动作。

MCU的Flash中运行的代码检错和代码纠错逻辑可参考第一方面方法中的相关内容。

有益效果

本发明通过预存指令处理代码，并在每次装置上电时重新加载用于运行出口控制逻辑的代码，并对加载的代码进行检错和纠错，可避免偶然的单粒子效应对MCU控制器的片内RAM带来影响时，导致的出口误动或拒动。通过在代码纠错失败时生成出口电源闭锁信号，控制出口电源与继电器线圈所连电源回路断开连接，可使得即使代码运行结果使得电源回路导通，仍会因为无法接入出口电源而不会导致出口继电器误动。

同时本发明使用软件代码双路径，硬件出口电路双分支，使得MCU受单粒子效应影响时，能够更好的防止MCU控制出口继电器误动，进一步提升继电保护装置的可靠性。

附图说明

图1所示为本发明电力继电保护设备智能出口模块原理示意图；

图2所示为本发明指令处理单元MCU与电源回路和出口继电器的电路连接示意图；

图3所示为本发明指令处理单元MCU的原理示意图；

图4所示为本发明对RAM内指令处理代码进行检错，以及对指令处理代码进行纠错修复的实施例流程示意图。

具体实施方式

以下结合附图和具体实施例进一步描述。

本发明的发明构思为：一方面，通过每次装置运行重新加载指令处理代码避免单粒子效应导致代码出错的长期影响；

第二方面，通过对每次重新加载的指令处理代码进行检错和纠错，避免出口逻辑执行结果错误；

第三方面，通过在指令处理代码出错并无法修复时生成出口电源闭锁信号，来控制出口电源与电源回路之间的通断，使得即使代码运行的结果输出能够控制电源回路导通，也因无法接入出口电源而无法使得出口继电器正常动作，从而防止误动；

第四方面，通过双路信道接收出口指令信号，并利用双路径软件代码分别对出口指令信号进行处理和出口逻辑运算，进而通过硬件出口电路双分支，由指定的双引脚电平组合控制电源回路的通断，使得MCU受单粒子效应影响时，更好的防止MCU控制出口继电器误动。

实施例1

本实施例介绍一种电力继电保护设备智能出口模块容错控制方法，参考图1所示，智能出口模块包括出口继电器和出口电源，出口继电器通过一电源回路连接出口电源；方法包括：

检查指令处理代码是否出错，若出错，则按照预设的纠错策略进行代码修复，若指令处理代码无法通过所述纠错策略修复，则生成出口电源闭锁信号；

接收外部输入的出口电源启动信号；

接收外部输入的出口指令信号，并响应于接收到所述出口指令信号，执行所述指令处理代码，对出口指令信号进行处理，得到用于控制所述电源回路导通或断开的出口控制信号；

响应于出口电源闭锁信号生成和/或出口电源启动信号为低电平，则控制所述电源回路与出口电源断开连接，否则控制所述电源回路与出口电源连通。

以上方案中，出口电源闭锁信号生成可理解为闭锁信号为高电平，当指令处理代码正常时则闭锁信号为低电平，出口电源将仅能在闭锁信号低电平且出口电源启动信号高电平时，与继电器所连接的电源回路相连通，从而支持继电器的出口动作。

指令处理代码出错包括由单粒子效应影响造成的出错，或者由其他因素导致。当指令处理代码因为各种原因出错且无法修复，皆会导致出口电源闭锁信号高电平，从而使得继电器所连接的电源回路与出口电源断开连接，继电器无法动作，此时即使指令处理代码执行的结果使得继电器所在的电源回路导通，由于无法连接出口电源，仍然无法实现继电器动作。这样就避免了单粒子效应造成出口逻辑出错，导致出口误动。

实施例1-1

基于实施例1，本实施例具体介绍智能出口模块的容错控制方法。

在实施例1的基础上，本实施例中，智能出口模块还包括指令处理单元MCU和出口电源控制单元；指令处理代码的原始代码预存储于MCU的片内Flash中；检查指令处理代码是否出错以及对出错的指令处理代码进行代码修复的进程运行于MCU的片内Flash中。

方法还包括：响应于智能出口模块上电，在MCU的片内RAM中加载预存储的指令处理代码；

检查指令处理代码是否出错为：在智能出口模块上电后，MCU主循环程序在运行中实时检查加载至片内RAM的指令处理代码是否出错。

由于每次上电后片内RAM中的代码都是重新加载的，可使得偶然的单粒子效应等故障造成的影响不会延续到其它次模块启动后的运行。其能够通过Flash中预存储的代码对RAM受单粒子效应影响后出错的代码进行修复。同时，相比较于出口控制命令的交互和控制逻辑运算，对代码进行检错和纠错的实时性要求较低，将出口指令交互和出口逻辑控制过程，与代码检错和代码纠错分开分别运行在片内RAM和Flash中，可提高出口控制效率。

MCU中，片内RAM包括用于加载和运行指令处理代码的代码区，以及用于存储代码校验码的数据区；

指令处理代码包括第一指令处理代码和第二指令处理代码，MCU通过两个通信通道分别接收出口指令信号，进而执行第一指令处理代码和第二指令处理代码分别对出口指令信号进行处理，进而通过两个处理结果信号控制继电器所连接的电源回路导通或断开；

检查指令处理代码是否出错包括：

读取第一指令处理代码/第二指令处理代码内容；

根据第一指令处理代码/第二指令处理代码内容计算校验码；

判断RAM代码区的第一指令处理代码和第二指令处理代码，与Flash区预存储的相应原始代码是否内容一致，若RAM代码区的第一指令处理代码和第二指令处理代码与Flash区的相应原始代码均一致则未出错，否则将代码内容不一致的第一指令处理代码或第二指令处理代码判断为代码出错。

也即代码检错需要分别对第一指令处理代码和第二指令处理代码进行，其中一个代码出错则认为指令处理代码出错，若无法修复将会生成出口电源闭锁信号。

为了方便代码纠错，本实施例方法还包括：在检查指令处理代码是否出错过程中，响应于代码未出错，将计算得到的第一指令处理代码/第二指令处理代码的校验码写入RAM数据区；对应第一指令处理代码和第二指令处理代码的校验码在RAM数据区中分别存储；

所述按照预设的纠错策略进行代码修复包括：

a）判断出错指令处理代码的RAM代码区代码与Flash内存储的原始代码是否只有1bit位不同，若是，则转至步骤b），否则转至步骤d）；

b）计算Flash内原始代码的校验码，并判断RAM数据区中校验码与原始代码的校验码是否一致：若一致，则将Flash内原始代码作为正确代码，对RAM代码区的相应出错代码进行修复，并将计算得到的校验码更新至相应的RAM数据区，覆盖原校验码；否则转至步骤c）；

c）计算RAM代码区出错指令处理代码的校验码，并将其与当前RAM数据区存储的相应校验码进行比较：若两者一致，则将RAM代码区出错指令处理代码作为正确代码，对Flash内的相应原始代码进行修复；若两者不一致，则判断为出错指令处理代码无法通过纠错策略修复；

d）判断为出错指令处理代码无法通过纠错策略修复。

由于一般单粒子效应导致的代码错位为代码仅1bit位不同，因此当不属于这种情形时，可认为智能出口模块或MCU或代码本身发生了单粒子效应之外的其它异常情况，或者更严重的内存异常情况。前述方案已经表明，当出错指令代码无法通过纠错策略修复时，将生成出口电源闭锁信号，此时即使出口控制信号的电平组合正确，出口继电器由于无法连通出口电源，将同样无法动作。

对代码的纠错可使得代码正常运行并获得对应指令出口信息的正确结果，可防止出口继电器拒动。

以上检查指令处理代码是否出错与对指令代码进行修复的过程可配合进行，即参考图4所示，先针对一段代码依次进行检错和纠错，再针对另一端代码进行检错和纠错。任一段代码出错且不可修复都将导致出口电源闭锁信号生成，出口继电器无法正常动作。

进一步的，为了使得工作人员更直观的判断当前错误类型，有针对性的实施检查和修复工作，步骤c）还包括，响应于出错指令处理代码无法通过纠错策略修复，输出单粒子效应报警信号；步骤d）还包括，输出其它错误报警信号。

如图1-3所示，MCU通过多路通信通道CAN1和CAN2接收所述出口指令信号，进而分别基于出口指令信号执行第一指令处理代码和第二指令处理代码；MCU通过第一指令处理代码与第二指令处理代码的执行结果输出，控制出口继电器所连接的电源回路导通或断开；

参考图3，第一指令处理代码和第二指令处理代码的执行步骤均包括：

获取出口指令信号报文；

对出口指令信号报文进行解析和校验；

对校验通过的出口指令信号报文，根据其中的出口指令信息，执行预设的出口控制逻辑运算，根据出口控制逻辑运算结果生成控制信号并输出。

本发明对出口指令信号报文的校验可为常规的CRC校验，以验证报文本身是否合法，对于校验不通过的出口指令信号报文，可丢弃相应报文，且后续操作不再执行，从而通过双重路径保障出口指令信号报文出错时出口继电器不会出现误动。

参考图2，未出错或已修复的第一指令处理代码/第二指令处理代码在执行出口控制逻辑时，根据不同的出口指令信息，运算得到不同的控制信号，进而通过MCU引脚输出相应电平的出口控制信号；

出口继电器所连接的电源回路响应于接收到预设电平组合的出口控制信号时导通。

MCU上电时，对应第一指令处理代码控制信号输出的MCU引脚置位为高电平，对应第二指令处理代码控制信号输出的MCU引脚清零为低电平；

出口继电器所连接的电源回路导通对应的预设电平组合为：第一指令处理代码执行完毕得到低电平控制信号，第二指令处理代码执行完毕得到高电平控制信号；

第一指令处理代码执行的控制逻辑为：若控制指令信息为要求出口继电器动作，则清零相应的MCU引脚为低电平，若控制指令信息为要求出口继电器返回，则置位相应的MCU引脚为高电平；

第二指令处理代码执行的控制逻辑为：若控制指令信息为要求出口继电器动作，则置位相应的MCU引脚为高电平，若控制指令信息为要求出口继电器返回，则清零相应的MCU引脚为底电平。

以上出口控制逻辑与电源回路导通条件的组合，使得无论哪一个代码处理环节出错，出口继电器都无法正常动作，从而较大限度的避免了出口继电器的误动。

实施例2

本实施例介绍一种电力继电保护设备智能出口模块，包括指令处理单元MCU和出口电源控制单元出口继电器和出口电源，出口继电器通过一可控电源回路可控电连接出口电源；

MCU接收外部出口指令信号，并在接收到出口指令信号后，执行预设指令处理代码，以根据出口指令信号得到用于控制所述电源回路导通或断开的出口控制信号；

所述MCU主循环程序在运行中实时检查指令处理代码是否出错，若出错，则按照预设的纠错策略进行代码修复，若指令处理代码无法通过所述纠错策略修复，则生成出口电源闭锁信号，传输至出口电源控制单元；

出口电源控制单元接收外部输入的出口电源启动信号，所述出口电源控制单元响应于接收到出口电源闭锁信号和/或出口电源启动信号为低电平，则控制所述电源回路与出口电源断开连接，否则控制所述电源回路与出口电源连通。

以上方案中，出口电源控制电路可采用由可控开关器件组成的电子电路或其与微控制器的组合，可采用开关电源模块，使得出口电源闭锁信号生成后，能够断开出口电源与电源回路之间的连通。

MCU包括RAM和Flash，所述指令处理代码的原始代码预存储于MCU的片内Flash中；MCU在每次上电时将Flash内存储的指令处理代码加载至RAM中；

片内Flash还存储有，用于在运行时实时检查片内RAM中的指令处理代码是否出错以及对出错的指令处理代码进行代码修复的进程代码。

指令处理代码包括对应不同出口控制逻辑的第一指令处理代码和第二指令处理代码，MCU通过两路CAN总线分别接收外部出口指令信号，并分别利用第一指令处理代码和第二指令处理代码对出口指令信号进行处理和出口逻辑运算，进而分别根据出口逻辑运算的结果通过不同的MCU引脚输出出口控制信号。

参考图2所示，电源回路包括连接在第一电源与公共端之间的第一三极管T1、第一光耦OP1、第二光耦OP2和第二三极管T2，T1和T2分别为PNP型晶体管和NPN型晶体管，MCU的两个出口控制信号输出引脚分别连接T1和T2的基极，T1的发射极经连接第一电源VCC1，集电极经电阻R1连接OP1发光端的正极，OP1发光端的负极接地，受光端发射极连接OP2受光端集电极，OP2受光端发射极接地，发光端正极经电阻R2上拉连接至第一电源VCC1，发光端负极连接T2集电极，T2的发射极连接公共端；出口继电器线圈连接在OP1受光端集电极与出口电源输出端之间。

以上方案中，T1、T2、OP1、OP2的组合使得当且仅当T1基极输入低电平，T2基极输入高电平时，出口继电器线圈能够经由OP1受光端、OP2受光端后接地，此时即视为电源回路导通，若此时出口电源正常接入则整个回路导通电源可使得出口继电器正常动作。

相应的，若出口指令信号为要求出口继电器动作，且出口指令信号校验结果正确，同时第一指令处理代码和第二指令处理代码未出错或已修复，则经其两指令处理代码不同的出口控制逻辑运算后，MCU的引脚1由第一指令处理代码的出口控制信号控制清0，引脚2由第二指令处理代码的出口控制信号控制置1，即可实现T1和T2的导通，从而使得OP1和OP2的受光端导通，则出口继电器线圈所在的电源回路导通。由于指令处理代码未出错或已修复，因此出口电源闭锁信号为低电平，即视为出口电源控制单元未接收到闭锁信号，则出口电源正常输出VCC2，电源回路、出口继电器线圈与出口电源VCC2导通，即实现正常动作输出。

MCU的Flash中运行的代码检错和代码纠错逻辑可参考第一方面方法中的相关内容，可参考图4。

如图3所示，MCU包括RAM代码区和RAM数据区，在RAM代码区设计有两个相互独立的代码段，即代码段1-第一指令处理代码和代码段2-第二指令处理代码，RAM数据区用于分别存放代码检错以及修复过程中产生的分别对应第一指令处理代码和第二指令处理代码的校验码。

MCU在一个定时中断任务中执行如下步骤的指令处理操作：

S1:代码段1/代码段2在运行中读取CAN1/ CAN2报文，然后对报文进行解析和校验。如果报文的CRC校验不通过，丢弃报文，代码段1/代码段2中的程序不再进行进一步的处理，等待新的报文；如果报文的CRC校验通过，代码段1/代码段2中的程序进行步骤2的处理；

S2：代码段1根据CAN1报文中的出口指令信息，执行出口控制逻辑；若逻辑运算结果要求出口继电器动作，则清零出口继电器对应的MCU输出管脚1；若逻辑运算结果要求出口继电器返回，则置位MCU输出管脚1；MCU上电初始运行时，置位输出管脚1。

代码段2根据CAN2报文中的出口命令，执行出口控制逻辑。若逻辑运算结果要求出口继电器动作，则置位出口继电器对应的MCU输出管脚2；若逻辑运算结果要求出口继电器返回，则清零MCU输出管脚2；MCU上电初始运行时，清零输出管脚2。

MCU以主循环程序形式在Flash区运行代码检错和代码纠错，流程如图4所示，具体步骤如下：

S1：先选择一个代码段（1或2均可），读取其FLASH中的原始代码段的内容并同步计算校验码，再读取其RAM代码段的内容并与FLASH代码段内容进行比较，如果二者一致，则用新计算的校验码刷新RAM中存放的校验码，跳转至步骤S6，否则执行下一步；

S2：判断FLASH与RAM代码段整个内容是否只有1bit位不同，若是，则执行下一步，否则跳转至步骤5；

S3：比较新计算的FLASH代码段的校验码与RAM中存放的校验码是否一致，若是，则调用纠错程序对RAM代码段进行纠错，再跳转至步骤6,否则执行下一步；

S4：计算RAM代码段的校验码，与RAM中存放的校验码进行比较，若二者一致，则调用纠错程序对FLASH代码段进行纠错，再跳转至步骤6,否则执行下一步；

S5：检测程序判断发生了比单粒子效应更严重的内存异常情况，置位闭锁输出管脚，输出闭锁信号；

S6：跳转至步骤1，对另一代码段执行S1-S5的操作。

通过以上程序设置，可使得任一代码段出错或无法修复时，均会生成出口电源闭锁信号，导致出口继电器无法动作。

图1示出了本实施例的一种应用例系统，系统包括中央处理器模块以及智能出口模块，智能出口模块及本实施例的智能出口模块，其所接收的出口指令信号和出口电源启动信号均由中央处理器模块发出。中央处理器模块可为电力继电保护系统中用于各出口继电器集中控制的逻辑运算模块。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

以上结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims (13)

1.一种电力继电保护设备智能出口模块容错控制方法，智能出口模块包括出口继电器和出口电源，出口继电器通过一电源回路连接出口电源；其特征是，包括：

检查指令处理代码是否出错，若出错，则按照预设的纠错策略进行代码修复，若指令处理代码无法通过所述纠错策略修复，则生成出口电源闭锁信号；

接收外部输入的出口指令信号，并响应于接收到所述出口指令信号，执行所述指令处理代码对出口指令信号进行处理，得到用于控制所述电源回路导通或断开的出口控制信号；

接收外部输入的出口电源启动信号；

响应于出口电源闭锁信号生成和/或出口电源启动信号为低电平，则控制所述电源回路与出口电源断开连接，否则控制所述电源回路与出口电源连通。

2.根据权利要求1所述的方法，其特征是，智能出口模块还包括指令处理单元MCU和出口电源控制单元；所述方法还包括：响应于智能出口模块上电，在MCU的片内RAM中加载预存储的指令处理代码；所述指令处理代码的原始代码预存储于MCU的片内Flash中；

检查指令处理代码是否出错以及对出错的指令处理代码进行代码修复的进程运行于MCU的片内Flash中。

3.根据权利要求2所述的方法，其特征是，检查指令处理代码是否出错为：

MCU主循环程序在运行中实时检查加载至片内RAM的指令处理代码是否出错。

4.根据权利要求2所述的方法，其特征是，

所述指令处理代码包括第一指令处理代码和第二指令处理代码；

所述出口控制信号的获得包括：MCU通过两个通信通道分别接收出口指令信号，并分别执行第一指令处理代码和第二指令处理代码对接收到的出口指令信号进行处理，获得处理结果信号，两个处理结果信号即为出口控制信号；

MCU通过两个处理结果信号控制继电器所连接的电源回路导通或断开。

5.根据权利要求4所述的方法，其特征是，MCU中，片内RAM包括用于加载和运行指令处理代码的代码区，以及用于存储代码校验码的数据区；

检查指令处理代码是否出错包括：

读取第一指令处理代码/第二指令处理代码内容；

根据第一指令处理代码/第二指令处理代码内容计算校验码；

判断RAM代码区的第一指令处理代码和第二指令处理代码，与Flash区预存储的相应原始代码是否内容一致，若RAM代码区的第一指令处理代码和第二指令处理代码与Flash区的相应原始代码均一致则未出错，否则将代码内容不一致的第一指令处理代码或第二指令处理代码判断为代码出错。

6.根据权利要求5所述的方法，其特征是，方法还包括：在检查指令处理代码是否出错过程中，响应于代码未出错，将计算得到的第一指令处理代码/第二指令处理代码的校验码写入RAM数据区；

对应第一指令处理代码和第二指令处理代码的校验码在RAM数据区中分别存储；

所述按照预设的纠错策略进行代码修复包括：

a）判断出错指令处理代码的RAM代码区代码与Flash内存储的原始代码是否只有1bit位不同，若是，则转至步骤b），否则转至步骤d）；

b）计算Flash内原始代码的校验码，并判断RAM数据区中校验码与原始代码的校验码是否一致：若一致，则将Flash内原始代码作为正确代码，对RAM代码区的相应出错代码进行修复，并将计算得到的校验码更新至相应的RAM数据区，覆盖原校验码；否则转至步骤c）；

c）计算RAM代码区出错指令处理代码的校验码，并将其与当前RAM数据区存储的相应校验码进行比较：若两者一致，则将RAM代码区出错指令处理代码作为正确代码，对Flash内的相应原始代码进行修复；若两者不一致，则判断为出错指令处理代码无法通过纠错策略修复；

d）判断为出错指令处理代码无法通过纠错策略修复。

7.根据权利要求5所述的方法，其特征是，步骤c）还包括，响应于出错指令处理代码无法通过纠错策略修复，输出单粒子效应报警信号；

步骤d）还包括，输出其它错误报警信号。

8.根据权利要求4所述的方法，其特征是，

第一指令处理代码和第二指令处理代码的执行步骤均包括：

获取出口指令信号报文；

对出口指令信号报文进行解析和校验；

对校验通过的出口指令信号报文，根据其中的出口指令信息，执行预设的出口控制逻辑运算，根据出口控制逻辑运算结果生成控制信号并输出。

9.根据权利要求4所述的方法，其特征是，未出错或已修复的第一指令处理代码/第二指令处理代码在执行出口控制逻辑时，根据不同的出口指令信息，运算得到不同的控制信号，进而通过MCU引脚输出相应电平的出口控制信号；

出口继电器所连接的电源回路响应于接收到预设电平组合的两个出口控制信号时导通。

10.根据权利要求9所述的方法，其特征是，MCU上电时，对应第一指令处理代码控制信号输出的MCU引脚置位为高电平，对应第二指令处理代码控制信号输出的MCU引脚清零为低电平；

出口继电器所连接的电源回路导通对应的预设电平组合为：第一指令处理代码执行完毕得到低电平控制信号，第二指令处理代码执行完毕得到高电平控制信号；

第一指令处理代码执行的控制逻辑为：若控制指令信息为要求出口继电器动作，则清零相应的MCU引脚为低电平，若控制指令信息为要求出口继电器返回，则置位相应的MCU引脚为高电平；

第二指令处理代码执行的控制逻辑为：若控制指令信息为要求出口继电器动作，则置位相应的MCU引脚为高电平，若控制指令信息为要求出口继电器返回，则清零相应的MCU引脚为底电平。

11.一种电力继电保护设备智能出口模块，其特征是，包括指令处理单元MCU、出口电源控制单元、出口继电器和出口电源，出口继电器通过一可控电源回路可控电连接出口电源；

MCU接收外部出口指令信号，并在接收到出口指令信号后，执行预设指令处理代码，以根据出口指令信号得到用于控制所述电源回路导通或断开的出口控制信号；

所述MCU主循环程序在运行中实时检查指令处理代码是否出错，若出错，则按照预设的纠错策略进行代码修复，若指令处理代码无法通过所述纠错策略修复，则生成出口电源闭锁信号，传输至出口电源控制单元；

出口电源控制单元接收外部输入的出口电源启动信号，所述出口电源控制单元响应于接收到出口电源闭锁信号和/或出口电源启动信号为低电平，则控制所述电源回路与出口电源断开连接，否则控制所述电源回路与出口电源连通。

12.根据权利要求11所述的电力继电保护设备智能出口模块，其特征是，MCU包括片内RAM和片内Flash，所述指令处理代码的原始代码预存储于MCU的片内Flash中；MCU在每次上电时将Flash内存储的指令处理代码加载至RAM中；

片内Flash还存储有，用于在运行时实时检查片内RAM中的指令处理代码是否出错以及对出错的指令处理代码进行代码修复的进程代码；

所述指令处理代码包括对应不同出口控制逻辑的第一指令处理代码和第二指令处理代码，MCU通过两路CAN总线分别接收外部出口指令信号，并分别利用第一指令处理代码和第二指令处理代码对出口指令信号进行处理和出口逻辑运算，进而分别根据出口逻辑运算的结果通过不同的MCU引脚输出出口控制信号。

13.根据权利要求11所述的电力继电保护设备智能出口模块，其特征是，所述电源回路包括连接在第一电源与公共端之间的第一三极管T1、第一光耦OP1、第二光耦OP2和第二三极管T2，T1和T2分别为PNP型晶体管和NPN型晶体管，MCU的两个出口控制信号输出引脚分别连接T1和T2的基极，T1的发射极连接第一电源，集电极连接OP1发光端的正极，OP1发光端的负极接地，受光端发射极连接OP2受光端集电极，OP2受光端发射极接地，发光端正极连接第一电源，发光端负极连接T2集电极，T2的发射极连接公共端；

出口继电器线圈连接在OP1受光端集电极与出口电源输出端之间。

Images