CN114185260B - 一种提高电子控制器任务可靠性的方法 - Google Patents

Abstract

本发明提出了一种提高电子控制器任务可靠性的方法，利用内总线的快速传输能力，将电子控制器的内部资源碎片化，通过总线的形式进行重组，实现参数级余度重构功能，当出现非相似故障时，通过隔离、内部资源的重构，确保任务的正常执行，在相同的硬件资源下使任务可靠性成倍提高。

Description

一种提高电子控制器任务可靠性的方法

技术领域

本发明属于计算机自动化控制技术领域，具体地说，涉及一种提高电子控制器任务可靠性的方法。

背景技术

典型的电子控制器根据终端用户的指令，采集控制系统的各种参数(例如温度、压力、电机转速、传感器位置信号)，控制执行机构的输出(例如电机转动、阀门打开)，最终驱动执行机构从而实现预期的操作。目前，电子控制器已广泛应用于工业自动化、航空航天、核能等领域。在工业领域，普遍未采用余度设计，电子控制器内部或外围任何故障均可能造成系统瘫痪。工业领域对任务可靠性要求低，但在航空航天、核能等领域，系统运行时间久，可靠性要求高，系统不受控会造成重大经济损失或人员伤亡，对电子控制器容错能力、任务可靠性要求高。

传统的提高电子控制器任务可靠性的方法通常是采用余度设计：电子控制器内部采用独立的两余度或多余度架构，当第一个余度内部出现问题时，切换到第二个余度，当第二个余度内部出现问题时，切换到第三个余度，多个余度均出现问题时，会导致控制功能功能丧失，任务失败。采用余度设计的方法可以使得任务可靠性成倍提高，但余度设计会造成电子控制器体积、重量、成本的成倍增加，余度不能够无限制增加，且当各控制余度出现非相似故障时，无法利用其它余度的资源完成预定任务。

发明内容

本发明针对现有技术的上述缺陷，提出了一种提高电子控制器任务可靠性的方法，利用内总线的快速传输能力，将电子控制器的内部资源碎片化，通过总线的形式进行重组，实现参数级余度重构功能，当出现非相似故障时，通过隔离、内部资源的重构，确保任务的正常执行，在相同的硬件资源下使任务可靠性成倍提高。

本发明具体实现内容如下：

本发明提出了一种提高电子控制器任务可靠性的方法，包括以下步骤：

步骤1：将电子控制器根据运行功能，进行功能分解，得到多个功能类型的功能模块；每个功能类型的所述功能模块对应自身分解后实现的功能以及自检和总线通信功能；一个所述功能类型的功能模块包括一个以上的完整实现对应功能类型的功能子模块；

步骤2：将电子控制器中包含的嵌入式软件和硬件与各个类型的功能模块进行对应，并生成元器件清单；具体原则为：将实现某个类型的功能的嵌入式软件和硬件用来和功能模块进行对应；

步骤3：设定目标失效率；然后计算每个功能类型的功能模块对应的失效率，并结合每个功能类型的功能模块的功能子模块的具体的数量，计算得到每个功能类型的功能子模块的具体选取数量；选取出的功能子模块对应电子控制器实现的所有功能类型，且选取出的功能子模块结合构成的电子控制器的预期失效率低于目标失效率；

步骤4：采用双向通信总线将所有的功能子模块连接起来；

步骤5：设置控制系统，采集各个功能子模块的状态信息，根据步骤3中计算得到的各个类型的功能模块中的功能子模块的选取数量，选择对应数量的工作状态无故障的功能子模块连接构建得到所需的电子控制器。

为了更好地实现本发明，进一步地，所述步骤3中，对于单个功能类型的功能模块，计算失效率的操作为：

计算单个功能模块中的一个功能子模块的失效率，然后将单个功能模块的单个功能子模块的失效率做m次幂计算得到单个功能模块的的失效率；所述m为单个功能模块中的功能子模块具体选取的个数。

为了更好地实现本发明，进一步地，所述预期失效率的计算方法为：计算出构建电子控制器所选取的所有单个功能模块的失效率，然后将所有功能模块的失效率相加得到预期失效率。

为了更好地实现本发明，进一步地，所述步骤5中包括以下步骤：

步骤5.1：采用自检功能对功能子模块的自身故障进行故障自检测；对于故障自检测合格的，接通与控制系统交联的非总线信号，将功能模块接入控制系统；对于故障自检测不合格的，通过双向通信总线向其他功能子模块发出自身故障信息，并断开与控制系统交联的非总线信息；

步骤5.2：对于故障自检测合格并接入控制系统的功能子模块，通过双向通信总线获取其他功能子模块的状态信息以及自检测信息；

步骤5.3：本功能子模块对于接收到的模块自检状态不正常的功能子模块或者本功能子模块判断对方工作不正常的功能子模块，不采信数据，转向读取接收模块自检状态正常以及本功能子模块判断对方工作正常的功能子模块的数据；

步骤5.4：根据设定的目标失效率选取各个功能模块中相应数量的正常工作的功能子模块连接搭建电子控制器。

为了更好地实现本发明，进一步地，所述双向通信总线采用CAN总线或RS485总线或1394B总线。

本发明与现有技术相比具有以下优点及有益效果：

本发明采用功能模块的合理划分方法、内总线架构以及故障时重构技术。通过对功能模块进行失效率计算，评估出确保控制系统安全性、可靠性的最小功能模块数量，从而平衡电子控制器内部资源分配，避免某个功能模块出现“过设计”。内总线架构及余度重构方法是本方法的关键点，通过电子控制器内部资源重组的方式，实现电子控制器的余度重构，解决了传统余度切换模式中，非相似故障造成电子控制器功能彻底丧失的情况。与现有的技术相比，本发明在相同的硬件规模下，将电子控制器的任务可靠性成倍提升，解决航空了航天、核能、防务领域对任务可靠性要求高领域的控制安全问题。同时可以减少冗余设计，降低设计成本。

附图说明

图1为划分功能模块的示意图；

图2为对功能模块进行功能子模块划分的示意图；

图3为图2中划分后各个功能模块包括多个功能子模块的示意图；

图4为将各个功能模块之间连接的示意图；

图5为选取无故障且对应数量的功能子模块进行连接构成系统的示意图；

图6为步骤5的流程示意图；

图7为功能分解的示例图；

图8为功能模块包括多个功能子模块的任务可靠性示例图；

图9为功能子模块之间数据总线连接的示例图；

图10为选取无故障的功能子模块重构实习的示例图；

图11为设置双余度进行切换的示例图。

具体实施方式

为了更清楚地说明本发明实施例的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，应当理解，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例，因此不应被看作是对保护范围的限定。基于本发明中的实施例，本领域普通技术工作人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“设置”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；也可以是直接相连，也可以是通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

实施例1：

本实施例提出了一种提高电子控制器任务可靠性的方法，如图1、图2、图3、图4、图5所示，包括以下步骤：

步骤1：将电子控制器根据运行功能，进行功能分解，得到多个功能类型的功能模块；每个功能类型的所述功能模块对应自身分解后实现的功能以及自检和总线通信功能；一个所述功能类型的功能模块包括一个以上的完整实现对应功能类型的功能子模块；

步骤2：将电子控制器中包含的嵌入式软件和硬件与各个类型的功能模块进行对应，并生成元器件清单；具体原则为：将实现某个类型的功能的嵌入式软件和硬件用来和功能模块进行对应；

步骤3：设定目标失效率；然后计算每个功能类型的功能模块对应的失效率，并结合每个功能类型的功能模块的功能子模块的具体的数量，计算得到每个功能类型的功能子模块的具体选取数量；选取出的功能子模块对应电子控制器实现的所有功能类型，且选取出的功能子模块结合构成的电子控制器的预期失效率低于目标失效率；

步骤4：采用双向通信总线将所有的功能子模块连接起来；

步骤5：设置控制系统，采集各个功能子模块的状态信息，根据步骤3中计算得到的各个类型的功能模块中的功能子模块的选取数量，选择对应数量的工作状态无故障的功能子模块连接构建得到所需的电子控制器。

工作原理：随着电子信息技术的发展，CPU处理能力大大提升，电子控制器内部总线通信速度快速提高。本发明针对现有余度设计电子控制器资源利用率不高，内部各余度出现非相似故障时电子控制器不能正常工作问题，利用内总线的快速传输能力，将电子控制器的内部资源碎片化，通过总线的形式进行重组，实现参数级余度重构功能，当出现非相似故障时，通过隔离、内部资源的重构，确保任务的正常执行，在相同的硬件资源下使任务可靠性成倍提高。

实施例2：

本实施例在上述实施例1的基础上，如图6所示，为了更好地实现本发明，进一步地，所述步骤5中包括以下步骤：

步骤5.1：采用自检功能对功能子模块的自身故障进行故障自检测；对于故障自检测合格的，接通与控制系统交联的非总线信号，将功能模块接入控制系统；对于故障自检测不合格的，通过双向通信总线向其他功能子模块发出自身故障信息，并断开与控制系统交联的非总线信息；

步骤5.2：对于故障自检测合格并接入控制系统的功能子模块，通过双向通信总线获取其他功能子模块的状态信息以及自检测信息；

步骤5.3：本功能子模块对于接收到的模块自检状态不正常的功能子模块或者本功能子模块判断对方工作不正常的功能子模块，不采信数据，转向读取接收模块自检状态正常以及本功能子模块判断对方工作正常的功能子模块的数据；

步骤5.4：根据设定的目标失效率选取各个功能模块中相应数量的正常工作的功能子模块连接搭建电子控制器。

本实施例的其他部分与上述实施例1相同，故不再赘述。

实施例3：

本实施例在上述实施例1-2任一项的基础上，如图7、图8、图9、图10、图11所示，给出具体实施举例：

(1)功能细分：如图7所示，将电子控制器功能分解，得到最小功能模块。各功能模块除了实现要求的功能，还应具备自检及总线通信功能；功能模块包括数据处理电路、信号采集电路、控制输出电路等等，其中功能模块有划分出实现其功能的元器件ABCD等等作为功能子模块；

(2)计算出各功能模块的失效率：电子控制器是典型的电子设备，其故障率的数学模型为：

λ_S＝∑λ_Si(总故障率λ_S为功能模块故障率λ_Si之和).....①

λ_Si＝∑λ_Sin(功能模块故障率λ_Si为单元内各组成部分故障率λ_Sin之和).....②

式中：

λ_S——电子控制器的故障率；

λ_Si——第i个模块的故障率；

λ_Sin——模块中第n个元器件的故障率(可通过器件手册查询)。

(3)确定功能模块数量：如图8所示，任务可靠性(MTBCF)与失效率成反比，任务可靠性一般由飞机总体设计单位根据安全性指标分配而来，是设计目标值。根据任务可靠性目标值带入公式可得到失效率的目标值λ_S(目标值)。对于涉及飞行安全的系统为提高可靠性需要采用多余度设计，相同模块采用并联的方式，只要一个模块正常工作既能确保任务的完成，通过增加相同功能模块的数量可降低该功能失效的概率，即λ_并联后＝λ_{si(单个模块失效率)}m_{(模块数量)}，带入公式λ_S＝∑λ_Si。调整各功能模块数量m(为正整数)，使总的失效率λ_Si不大于λ_S(目标值)且总的模块数量最少，从而得到满足任务可靠性要求的功能模块数量m；

(4)如图9所示，各功能模块通过双向内部监控总线进行连接，各模块通过监控总线命令进行控制指令,并进行数据交付；

(5)构建控制模型：

各模块将自身状态上报到内总线上，每个模块均能收到并识别总线上所有模块的状态。当单个模块自检状态正常时该模块即为有效的控制节点，当无法获取某个模块状态或该模块上报的状态为故障时其它模块标记该模块为无效节点，从有效节点中找到一条正确的控制链路，电子控制器即使用该链路，完成控制功能；

对于故障的模块，其它模块不采信该模块的数据，故障模块输入输出的非总线信号通过开关与系统断开，确保不对其它节点造成影响，总线信号仍保持通信，用于其他模块获取其状态信息；当自检状态变为正常后，故障模块重新加入控制节点并参与控制；重构示意图见图10；

重构模式相同的功能模块只要有一个正常工作整个电子控制器即能正常工作，例如图10中相同数据处理电路失效率为λ_si-1，数量为2，则两个模块均失效的概率为λ_si-1×λ_si-1，即λ_si-1 ²；同理可得到另外两个功能的失效率，则系统任务失效概率为：

λ_重构＝λ_si-1 ²+λs_i-2 ²+λ_si-3 ⁴；

将图10中相同硬件资源(即数量相同的功能模块)按传统余度切换模式进行架构，数据处理电路A、信号采集电路A及控制输出电路A/B构成一个余度，其它构成另外一个余度，两个余度彼此独立，互为备份，见图11。该模式下单个余度的失效概率为λ_A＝λ_B＝λ_si-1+λ_si-2+λ_si-3 ²,由于两个余度完全相同，故系统任务失效概率为：

λ_切换＝λ_A×λ_B＝(λ_si-1+λ_si-2+λ_si-3 ²)²；

假设数据处理电路、信号采集电路失效率均为1×10^-2，控制输出电路失效率为1×10^-1，带入公式①及公式②，可得到为λ_重构＝3×10^-4，λ_切换＝9×10^-4,任务可靠性提高了3倍。

本实施例的其他部分与上述实施例1-2任一项相同，故不再赘述。

实施例4：

本实施例在上述实施例1-3任一项的基础上，如图1、图2、图3、图4、图5、图6所示，设计一款高可靠性的电子控制器，要求控制器功能失效的概率不大于λ_{si(目标值)}。

第一步进行架构设计，对电子控制器功能进行划分，得到基本子功能模块A,B,N，系统架构的原则是合理划分内部资源，各模块电路规模相当，各功能彼此独立，当任一子功能失效时，电子控制器功能丧失，任务失败。

第二步对子功能模块进行初步设计，各功能模块由独立的嵌入式软件及硬件组成，得到元器件清单，根据器件手册查找每个器件的失效率，根据公式1○计算单个模块失效率，依次得到λ_SA,λ_SB，。。。。λ_SN。

第三步确定各功能模块数量；根据公式λ_并联＝λ_{si(单个模块失效率)}m(模块数量)及公式λ_S＝∑λ_Si，可得到：λ_{si(预期值）}=λ_sa ^m1+λ_sb ^m2+λ_sc ^m3....λ_sn ^mn。调节m1～mn的值，找出使λ_{si(预期值)}≤λ_{si(目标值)}时对应的各模块数量。

例如某系统要求失效率≯3×10^-4，系统由三部分组成，任一功能缺失系统不工作，三个功能模块失效率分别为λ_sa=1×10^-2，λ_sb=1×10^-2，λ_sc=1×10^-1，则λ_{si(预期值）}=λ_sa ^m1+λ_sb ^m2+λ_sc ^m3,调整m1、m2、m3的值，得到对应的失效率，找到满足要求时模块数量最少的组合。具体分析如下表1举例说明：

表1分析方法

第四步将所有模块通过内总线连接，内总线采用高速带隔离功能的总线，例如工业上常用的CAN总线、RS485总线、1394B总线，各功能模块为独立的节点，可通过总线发送自身的状态、运行参数、采集的数据，并获取其它模块的控制信息。

第五步构建控制模型；各模块片上控制软件除了完成模块功能，还需要增加余度监控及重构功能，片上软件工作流程图见图6。控制软件根据各模块的工作状态自动寻找控制链路：各模块将自身状态上报到内总线上，每个模块均能收到并识别总线上所有模块的状态，当单个功能模块自检状态正常时该模块即为有效的控制节点；当无法获取某个模块状态或该功能模块上报的状态为故障时其它模块标记它为无效节点；从有效节点中找到一条正确的控制链路，电子控制器使用该链路，完成控制功能如图5中的箭头链路；对于故障的模块，系统不采信该模块的数据且控制该模块无输出，该模块置于挂起隔离状态，从而确保不对其它节点造成影响；当故障消失后，故障模块重新加入控制节点。

本实施例的其他部分与上述实施例1-3任一项相同，故不再赘述。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围之内。

Claims (4)

1.一种提高电子控制器任务可靠性的方法，其特征在于，包括以下步骤：

步骤1：将电子控制器根据运行功能，进行功能分解，得到多个功能类型的功能模块；每个功能类型的所述功能模块对应自身分解后实现的功能以及自检和总线通信功能；一个所述功能类型的功能模块包括一个以上的完整实现对应功能类型的功能子模块；

步骤2：将电子控制器中包含的嵌入式软件和硬件与各个类型的功能模块进行对应，并生成元器件清单；具体原则为：将实现某个类型的功能的嵌入式软件和硬件用来和功能模块进行对应；

步骤3：设定目标失效率；然后计算每个功能类型的功能模块对应的失效率，并结合每个功能类型的功能模块的功能子模块的具体的数量，计算得到每个功能类型的功能子模块的具体选取数量；选取出的功能子模块对应电子控制器实现的所有功能类型，且选取出的功能子模块结合构成的电子控制器的预期失效率低于目标失效率；

步骤4：采用双向通信总线将所有的功能子模块连接起来；

步骤5：设置控制系统，采集各个功能子模块的状态信息，根据步骤3中计算得到的各个类型的功能模块中的功能子模块的选取数量，选择对应数量的工作状态无故障的功能子模块连接构建得到所需的电子控制器；

步骤5.1：采用自检功能对功能子模块的自身故障进行故障自检测；对于故障自检测合格的，接通与控制系统交联的非总线信号，将功能模块接入控制系统；对于故障自检测不合格的，通过双向通信总线向其他功能子模块发出自身故障信息，并断开与控制系统交联的非总线信息；

步骤5.2：对于故障自检测合格并接入控制系统的功能子模块，通过双向通信总线获取其他功能子模块的状态信息以及自检测信息；

步骤5.3：本功能子模块对于接收到的模块自检状态不正常的功能子模块或者本功能子模块判断对方工作不正常的功能子模块，不采信数据，转向读取接收模块自检状态正常以及本功能子模块判断对方工作正常的功能子模块的数据；

步骤5.4：根据设定的目标失效率选取各个功能模块中相应数量的正常工作的功能子模块连接搭建电子控制器。

2.如权利要求1所述的一种提高电子控制器任务可靠性的方法，其特征在于，所述步骤3中，对于单个功能类型的功能模块，计算失效率的操作为：

计算单个功能模块中的一个功能子模块的失效率，然后将单个功能模块的单个功能子模块的失效率做m次幂计算得到单个功能模块的的失效率；所述m为单个功能模块中的功能子模块具体选取的个数。

3.如权利要求2所述的一种提高电子控制器任务可靠性的方法，其特征在于，所述预期失效率的计算方法为：计算出构建电子控制器所选取的所有单个功能模块的失效率，然后将所有功能模块的失效率相加得到预期失效率。

4.如权利要求1或2或3所述的一种提高电子控制器任务可靠性的方法，其特征在于，所述双向通信总线采用CAN总线或RS485总线或1394B总线。