CN112131055B - 多模式三机动态容错系统 - Google Patents

Abstract

本发明公开一种多模式三机动态容错系统，包括CPU1和CPU1加断电控制电路、CPU2和CPU2加断电控制电路以及CPU3和CPU3加断电控制电路，CPU1、CPU2和CPU3与CPU1加断电控制电路、CPU2加断电控制电路和CPU3加断电控制电路之间交叉互联，三个CPU加断电控制电路结构相同，实现对相应的CPU加电和断电的控制；并对加断电控制电路的具体结构进行设计，采用完全对等的三冗余控制电路，无单点故障，可靠性高；而且三份系统通过特定的交叉互联实现三取二互控，提高设备安全性；灵活性高，支持自主切换，支持地面遥控；具有更高的实际应用价值。

Description

多模式三机动态容错系统

技术领域

本发明属于容错计算机领域，具体涉及一种多模式三机动态容错系统。

背景技术

容错计算机主要应用在对安全性、可靠性要求较高的场合，如航空航天、船舶、一些特殊的工业控制等领域。在航天领域，因为发射风险和运营风险等，对星载计算机的安全性和可靠性要求都非常高。常规星载计算机主要使用双机备份，关键部位使用双机热备份，大部分系统使用双机冷备份，部分飞行器上也使用了三模冗余计算机。

随着空间技术的发展，出现了一种新的容错应用需求：飞行器大部分在轨运行期间采用单机工作与其它计算机冷备的方式，可满足可靠性要求，并可有效延长计算机系统寿命；当需要与其他飞行器对接或者飞行器返回时，为确保飞行器的可靠性和安全性，需依靠三机组成TMR模式来保证系统工作不被中断。

而现有技术只能支持TMR模式下的单机加电和断电，不支持冷备和热备冷备切换等的其他模式或者是由单独的一份公共电路控制三机加断电，这样就需要设计一种新的容错系统，使计算机系统能够在冷备模式和TMR模式之间进行单向、或者反复来回地切换，同时还要保证无单点故障。

发明内容

本发明针对现有技术的缺陷，提出一种多模式三机动态容错系统，为一种完全对等的三冗余控制电路，任何一处电路故障均不会导致系统失效，系统设计灵活性好、可靠性高。

本发明是采用以下的技术方案实现的：一种多模式三机动态容错系统，包括CPU1和CPU1加断电控制电路、CPU2和CPU2加断电控制电路以及CPU3和CPU3加断电控制电路，CPU1、CPU2和CPU3与CPU1加断电控制电路、CPU2加断电控制电路和CPU3加断电控制电路之间交叉互联，三个CPU加断电控制电路结构相同，实现对相应的CPU加电和断电的控制；

所述CPU1加断电控制电路包括继电器U1、电源模块G1、三极管V1、三极管V2以及继电器U1逻辑控制电路，继电器U1逻辑控制电路包括加电逻辑控制电路和断电逻辑控制电路，加电逻辑控制电路一端接收加电指令，另一端与三极管V1的基极相连，断电逻辑控制电路的一端接收断电指令，另一端与三极管V2的基极相连，三极管V1的集电极以及三极管V2的集电极分别对应的与继电器U1的上端开关端和下端开关端相连，三极管V1、V2的发射极接地，继电器U1的使能端与电源模块G1相连，CPU1的供电通过继电器U1控制电源模块G1的使能端实现，继电器U1为非磁保持继电器，上线包通过指令时，继电器U1开关打到上端，电源模块G1使能端悬空，电源模块G1电源使能有效，输出电源，下线包通过指令时，继电器U1开关打到下端，电源模块G1使能端接GND，电源模块G1电源处于禁止输出状态，CPU1板被断电；继电器U1指令驱动采用三极管V1和三极管V2，可满足继电器线包导通电流要求。

进一步的，所述加电逻辑控制电路接收的加电指令包括热备自主切机左机加电指令、热备自主切机右机加电指令、冷备自主切机左机加电指令、冷备自主切机右机加电指令、冷备自主切机使能指令、热备加电指令、地面遥控加电指令；所述断电逻辑控制电路接收的断电指令包括冷备自主切机使能、冷备自主切机左机断电指令、冷备自主切机右机断电指令、地面遥控断电指令、热备自主切机左机断电指令和热备自主切机右机断电指令。

进一步的，所述加电逻辑控制电路包括与门D1、与门D2、或门D5、或门D6、或门D7和或门D8，热备自主切机左机加电指令和热备自主切机右机加电指令连接与门D1的输入端，与门D1的输出端连接或门D8的一个输入端；冷备自主切机使能指令连接至与门D2的一个输入端，冷备自主切机左机加电指令和冷备自主切机右机加电指令连接或门D5的输入端，或门D5的输出端连接至与门D2的另一输入端，热备加电指令和地面遥控加电指令连接或门D6的输入端，或门D6的输出端以及与门D2的输出端分别连接至或门D7的输入端，或门D7的输出端连接或门D8的另一输入端，或门D8的输出端通过电阻R1与三极管V1的基极相连。

热备自主切机左机加电指令和热备自主切机右机加电指令是工作在热备模式下，三机切机原则为屏蔽单机故障，单机故障模式下其他两机是正常的，都能检测到故障单机，且同时发出关故障机的指令，因此采用D1与门逻辑电路控制这两条指令，保证两个信号同时高有效才输出到后级电路；热备加电指令和地面遥控加电指令是平行等级的并且需要立即执行，因此采用或逻辑电路D6控制这两条指令，任何一条指令都是立即输出到后级电路；冷备自主切机左机加电指令、冷备自主切机右机加电指令是在冷备模式下，冷备自主切机指令是可以进行直接加断电控制的，为防止单机故障误对其他机器进行加断电控制，采用冷备自主切机使能指令对冷备模式下的切机功能进行控制，具体实施为冷备自主切机左机加电指令和冷备自主切机右机加电指令使用或逻辑电路控制D5，任何一条指令有效都可以输出到后级，D5输出再和冷备自主切机使能信号做与逻辑电路控制D2，只有在自主切机使能有效的情况下，D5的输出才能通过D2输出到后级，当自主切机使能为低时，D2直接输出低电平，自主切机指令无法输出到后级电路。经过第一级逻辑控制电路后的指令都具有同等的控制继电器动作的权利，因此这些指令需要用或门逻辑电路D7和D8，控制后输出到三级管V1的集电级，最后驱动继电器U1进行加电动作。

进一步的，所述断电逻辑控制电路包括与门D3、与门D4、或门D9、或门D10和或门D11，冷备自主切机使能连接与门D3的一个输入端，冷备自主切机左机断电指令和冷备自主切机右机断电指令接或门D9的输入端，或门D9的输出端接与门D3的另一输入端，与门D3的输出端接或门D10的一个输入端，地面遥控断电指令接或门D10的另一输入端，热备自主切机左机断电指令和热备自主切机右机断电指令接与门D4的输入端，与门D4的输出端以及或门D10的输出端接或门D11的输入端，或门D11的输出端通过电阻R3接三极管V2的基极。

控制U1下线包导通的指令有冷备自主切机使能、冷备自主切机左机断电指令、冷备自主切机右机断电指令、地面遥控断电指令、热备自主切机左机断电指令、热备自主切机右机断电指令，这些指令中热备自主切机左机断电指令、热备自主切机右机断电指令是工作在热备模式下，三机切机原则同上热备加电控制，采用D4与门逻辑电路控制这两条指令，保证两个信号同时高有效才输出到后级电路；地面遥控断电指令是等级最高的需要立即执行，通过D10直接输出到后级；冷备自主切机左机断电指令、冷备自主切机右机断电指令设计原则同上述冷备加电控制原则，需要在冷备自主使能有效下才能控制输出，这两条指令经过或逻辑D9后再和冷备自主使能信号做与逻辑D3后输出到后级控制，经过D3、D4和D10的指令都具有同等断电的权利，再经过或逻辑D11后控制后输出到三级管(V2)的集电级，最后驱动继电器U1进行断电动作。

进一步的，所述CPU1、CPU2和CPU3均能发出切机指令，所述切机指令包括左机加电指令、右机加电指令、左机断电指令、右机断电指令，同时每个CPU也能接收其他两个CPU发送过来的切机指令

与现有技术相比，本发明的优点和积极效果在于：

本方案所提出的容错系统能够在冷备模式和TMR模式之间进行单向或者反复来回的切换电路，采用完全对等的三冗余控制电路，无单点故障，可靠性高；而且三份系统通过特定的交叉互联实现三取二互控，提高设备安全性；灵活性高，支持自主切换，支持地面遥控；具有更高的实际应用价值。

附图说明

图1为本发明实施例三模计算机三级间关系示意图；

图2为本发明实施例模式切换框图示意图；

图3为本发明实施例三机动态容错系统示意图；

图4为本发明实施例CPU1加断电控制电路的结构示意图。

具体实施方式

为了能够更加清楚地理解本发明的上述目的、特征和优点，下面结合附图及实施例对本发明做进一步说明。在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用不同于在此描述的其他方式来实施，因此，本发明并不限于下面公开的具体实施例。

如图3所示，所述多模式三机容错系统包括第一切机控制电路、第二切机控制电路和第三切机控制电路，三个切机控制电路交叉互联并分别分布在CPU1板、CPU2板和CPU3板三个板上，每一切机控制电路均包括与其对应的CPU1加断电控制电路、CPU2加断电控制电路和CPU3加断电控制电路，三个CPU加断电控制电路相同，以控制最终的电磁继电器使相应的CPU加电和断电，具体的：

本方案中三机加断电指令交叉互联，实现三机的相互控制，每个CPU都能发出左机加电指令、右机加电指令、左机断电指令、右机断电指令，同时每个CPU也能接收其他两个CPU发送过来的这些指令。如图1所示，以上指令中的左机和右机是指相对本机位置的其他两个机器，三个机器按照三角形的三个角排列以区分左右，这些指令按照名称发送到相对应关系的CPU加断电控制电路中，CPU1的左机加电指令连接到CPU2加电控制电路(加电逻辑控制电路)中，CPU1的右机加电连接到CPU3的加电控制电路中，CPU2的左机加电指令连接到CPU3加电控制电路中，CPU2的右机加电连接到CPU1加电控制电路中，CPU3的左机加电指令连接到CPU1的加电控制电路中，CPU3的右机加电连接到CPU2加电控制电路中，指令详细对应关系如图3所示。

具体的，如图4所示，以CPU1加断电控制电路为例，所述CPU1加断电控制电路包括继电器U1、电源模块G1、三极管V1、三极管V2以及继电器U1逻辑控制电路，CPU1板的供电是通过继电器U1控制电源模块G1的使能端，继电器U1为非磁保持继电器，上线包通过指令时，继电器U1开关打到上端，电源模块G1使能端悬空，电源模块G1电源使能有效，输出电源，下线包通过指令时，继电器U1开关打到下端，电源模块G1使能端接GND，电源模块G1电源处于禁止输出状态，CPU1板被断电。继电器U1指令驱动采用NPN型三极管V1，V2，可满足继电器线包导通电流要求。

继电器U1逻辑控制电路有两部分，控制上线包导通和下线包导通，对应加电和断电操作，逻辑控制电路采用或门和与门搭建而成：

控制上线包导通的指令包括热备自主切机左机加电指令、热备自主切机右机加电指令、冷备自主切机左机加电指令、冷备自主切机右机加电指令、冷备自主切机使能指令、热备加电指令、地面遥控加电指令，这些指令中热备自主切机左机加电指令和热备自主切机右机加电指令是工作在热备模式下，三机切机原则为屏蔽单机故障，单机故障模式下其他两机是正常的，都能检测到故障单机，且同时发出关故障机的指令，因此采用D1与门逻辑电路控制这两条指令，保证两个信号同时高有效才输出到后级电路；热备加电指令和地面遥控加电指令是平行等级的并且需要立即执行，因此采用或逻辑电路D6控制这两条指令，任何一条指令都是立即输出到后级电路；冷备自主切机左机加电指令、冷备自主切机右机加电指令是在冷备模式下，冷备自主切机指令是可以进行直接加断电控制的，为防止单机故障误对其他机器进行加断电控制，采用冷备自主切机使能指令对冷备模式下的切机功能进行控制，具体实施为冷备自主切机左机加电指令和冷备自主切机右机加电指令使用或逻辑电路控制D5，任何一条指令有效都可以输出到后级，D5输出再和冷备自主切机使能信号做与逻辑电路控制D2，只有在自主切机使能有效的情况下，D5的输出才能通过D2输出到后级，当自主切机使能为低时，D2直接输出低电平，自主切机指令无法输出到后级电路。经过第一级逻辑控制电路后的指令都具有同等的控制继电器动作的权利，因此这些指令需要用或门逻辑电路D7和D8，控制后输出到三级管V1的集电级，最后驱动继电器U1进行加电动作。

控制U1下线包导通的指令有冷备自主切机使能、冷备自主切机左机断电指令、冷备自主切机右机断电指令、地面遥控断电指令、热备自主切机左机断电指令、热备自主切机右机断电指令，这些指令中热备自主切机左机断电指令、热备自主切机右机断电指令是工作在热备模式下，三机切机原则同上热备加电控制，采用D4与门逻辑电路控制这两条指令，保证两个信号同时高有效才输出到后级电路；地面遥控断电指令是等级最高的需要立即执行，通过D10直接输出到后级；冷备自主切机左机断电指令、冷备自主切机右机断电指令设计原则同上述冷备加电控制原则，需要在冷备自主使能有效下才能控制输出，这两条指令经过或逻辑D9后再和冷备自主使能信号做与逻辑D3后输出到后级控制，经过D3、D4和D10的指令都具有同等断电的权利，再经过或逻辑D11后控制后输出到三级管(V2)的集电级，最后驱动继电器U1进行断电动作。

本方案中，控制相应的CPU加电和断电控制分两种控制方式，热备控制方式和其他控制方式，热备模式下的控制指令包括热备自主切机左机加电指令、热备自主切机右机加电指令、热备自主切机左机断电指令、热备自主切机右机断电指令共4条指令，热备模式下采用与逻辑控制，必须有两条指令同时发出高信号才能控制继电器动作，也就是三机系统必须有两机同时发出开机或者关机指令且必须发出对象是同一个机器，对应切机电路中热备自主切机左机加电指令、热备自主切机右机加电指令同时有效，才能控制后级电路进行加电动作，同理热备自主切机左机断电指令、热备自主切机右机断电指令也必须同时有效，才能控制后级电路进行断电动作；这是为保证热备的TMR模式三取二控制，防止单个机器故障误控制其他正常机器加断电。

除热备控制方式以外的指令都是或逻辑控制，地面遥控加电断电指令，热备加电指令、冷备自主切机指令都是单条发出高信号就可以控制某一个机器加电或者断电，为保证CPU冷备自主切机的可靠性，电路中设计了一条冷备自主切机使能控制电路，只有该电路有效后，冷备自主切机加断电指令才能输出到后级电路控制CPU加断电，防止出现故障机误切正常机的情况。

本实施例所提出的三机容错系统支持三模计算机多模式间切换功能，如图2所示，并能实现以下模式的切换；

(1)接收冷备指令，系统主机通过自主切机断电指令将三机关掉两机，由TMR工作模式切换到单机工作模式；

(2)接收热备加电指令，系统将对3机同时发出加电控制动作，将3机都加电，由单机工作模式切换为三机TMR工作模式；

(3)单机瞬态故障下接收CPU自主发出的热备自主断电信号，关掉故障机，将三机TMR降级为双机工作模式，

(4)单机瞬态故障接收CPU自主发出的热备自主加电信号，对断电机重新加电，将双机工作模式切至三机TMR工作模式；

(5)从双机热备工作模式，通过发送冷备自主切机使能和冷备自主断电指令，主机可以在关掉一机，切换到单机工作模式；

(6)单机模式下，如果某一机故障会自主发出的冷备自主切机加电指令，将它的左机开启，左机开启后通过自主切机断电指令将故障机断电，切换工作单机。

以上所述，仅是本发明的较佳实施例而已，并非是对本发明作其它形式的限制，任何熟悉本专业的技术人员可能利用上述揭示的技术内容加以变更或改型为等同变化的等效实施例应用于其它领域，但是凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与改型，仍属于本发明技术方案的保护范围。

Claims (5)

1.多模式三机动态容错系统，其特征在于，包括CPU1和CPU1加断电控制电路、CPU2和CPU2加断电控制电路以及CPU3和CPU3加断电控制电路，CPU1、CPU2和CPU3与CPU1加断电控制电路、CPU2加断电控制电路和CPU3加断电控制电路之间交叉互联，三个CPU加断电控制电路结构相同，实现对相应的CPU加电和断电的控制；

所述CPU1加断电控制电路包括继电器U1、电源模块G1、三极管V1、三极管V2以及继电器U1逻辑控制电路，继电器U1逻辑控制电路包括加电逻辑控制电路和断电逻辑控制电路，加电逻辑控制电路一端接收加电指令，另一端与三极管V1的基极相连，断电逻辑控制电路的一端接收断电指令，另一端与三极管V2的基极相连，三极管V1的集电极以及三极管V2的集电极分别对应的与继电器U1的上端开关端和下端开关端相连，三极管V1、V2的发射极接地，继电器U1的使能端与电源模块G1相连。

2.根据权利要求1所述的多模式三机动态容错系统，其特征在于：所述加电逻辑控制电路接收的加电指令包括热备自主切机左机加电指令、热备自主切机右机加电指令、冷备自主切机左机加电指令、冷备自主切机右机加电指令、冷备自主切机使能指令、热备加电指令、地面遥控加电指令；所述断电逻辑控制电路接收的断电指令包括冷备自主切机使能、冷备自主切机左机断电指令、冷备自主切机右机断电指令、地面遥控断电指令、热备自主切机左机断电指令和热备自主切机右机断电指令。

3.根据权利要求2所述的多模式三机动态容错系统，其特征在于：所述加电逻辑控制电路包括与门D1、与门D2、或门D5、或门D6、或门D7和或门D8，热备自主切机左机加电指令和热备自主切机右机加电指令连接与门D1的输入端，与门D1的输出端连接或门D8的一个输入端；冷备自主切机使能指令连接至与门D2的一个输入端，冷备自主切机左机加电指令和冷备自主切机右机加电指令连接或门D5的输入端，或门D5的输出端连接至与门D2的另一输入端，热备加电指令和地面遥控加电指令连接或门D6的输入端，或门D6的输出端以及与门D2的输出端分别连接至或门D7的输入端，或门D7的输出端连接或门D8的另一输入端，或门D8的输出端通过电阻R1与三极管V1的基极相连。

4.根据权利要求2所述的多模式三机动态容错系统，其特征在于：所述断电逻辑控制电路包括与门D3、与门D4、或门D9、或门D10和或门D11，冷备自主切机使能连接与门D3的一个输入端，冷备自主切机左机断电指令和冷备自主切机右机断电指令接或门D9的输入端，或门D9的输出端接与门D3的另一输入端，与门D3的输出端接或门D10的一个输入端，地面遥控断电指令接或门D10的另一输入端，热备自主切机左机断电指令和热备自主切机右机断电指令接与门D4的输入端，与门D4的输出端以及或门D10的输出端接或门D11的输入端，或门D11的输出端通过电阻R3接三极管V2的基极。

5.根据权利要求1所述的多模式三机动态容错系统，其特征在于：所述CPU1、CPU2和CPU3均能发出切机指令，所述切机指令包括左机加电指令、右机加电指令、左机断电指令、右机断电指令，同时每个CPU也能接收其他两个CPU发送过来的切机指令。