CN114608398A - 一种高可靠引信解保装置及其主从控制器软件状态机设计方法 - Google Patents

Abstract

本发明公开了一种高可靠引信解保装置及其主从控制器软件状态机设计方法，属于引信电子安全与解除保险装置设计领域。该装置，包括安全与解除保险控制模块、高压充电模块和起爆模块三部分。其中的主从控制器状态机设计方法基于双控制器控制三级保险解除机制，明确ESAD解保起爆过程中的有限个解保状态，设计主从控制状态机状态转换；主从控制器在各级解保状态下，控制各级保险有效解除及保险件通断控制，并实时反馈解保、起爆指令识别确认信号及周期性向引信反馈ESAD解保状态信息包，确保ESAD工作于安全可控状态，有效避免ESAD提前解保及意外解保的风险，提高ESAD的可靠性。

Description

一种高可靠引信解保装置及其主从控制器软件状态机设计 方法

技术领域

本发明涉及引信电子安全与解除保险装置设计领域，尤其是一种高可靠性的引信电子安全与解除保险装置，以及其中的主从控制器状态机设计方法。

背景技术

直列式引爆作为第五代引信安全起爆系统采用的主流技术，具有高瞬发度、高安全性等优点，其核心部件为电子安全与解除保险装置(ElectronicSafetyandArmingDevice,ESAD)。ESAD作为引信电子安全控制系统的核心，采用无隔爆炸序列安全控制技术，集安全与解保控制、数据交互通信、高压电源充电储能、起爆功能于一体，判别引信通过工作线缆输入的解保时序激励信号及自身环境传感器感应信号，依次解除各级保险，控制高压电路升压储能，完成解保起爆功能，实现引爆战斗部；在整个解保过程中，若ESAD出现任何异常状态，将不再继续完成任何解保工作，锁死在安全状态，保证不造成任何意外伤害。

目前，电子安全与解除保险逻辑控制模块采用三个独立的保险件，即两个静态保险件和一个动态保险件进行设计，避免单点失效和共因失效。而且，在控制器软件及硬件方面采用“阈值+时间窗+顺序”的原则对环境激励信号进行判别，以提高系统的安全性。

然而，现有技术虽然均实现了ESAD设计的功能性要求，但是在安全性、可靠性方面仍然存在提升的空间。例如，南京理工大学的张兆鑫在《迫弹引信环境信息智能处理及控制电路设计》一文中，采用ARM与CPLD双控制器控制引信安全系统，但仅在CPLD中实现A/D控制功能是采用状态机设计；北华航天工业学院的王帅帅在《引信电子安全与控制系统设计》一文中，采用C8051单片机与CPLD双控制器控制引信安全系统，但仅在CPLD控制器主流程控制模块中采用有限状态机设计实现解保起爆功能。这其中最主要问题之一是ESAD系统各级解保状态没有明确且严格的划分，而且各个解保状态相互耦合会引起严重的不安全性。

发明内容

本发明的目的是克服现有技术中存在的不足，提供一种高可靠引信解保主从控制器状态机设计方法，本设计方法基于双控制器控制三级保险解除机制，明确ESAD解保起爆过程中的有限个解保状态，设计主从控制状态机状态转换；主从控制器在各级解保状态下，控制各级保险有效解除及保险件通断控制，并实时反馈解保、起爆指令识别确认信号及周期性向引信反馈ESAD解保状态信息包，确保ESAD工作于安全可控状态，有效避免ESAD提前解保及意外解保的风险，提高ESAD的可靠性。

一种高可靠引信解保装置，包括安全与解除保险控制模块、高压充电模块和起爆模块三部分。进一步地，所述安全与解除保险控制模块由安全逻辑主控制器、安全逻辑从控制器、静态保险件1、静态保险件2、动态保险件、一级电源供电电路、二级电源供电电路、二级供电电源地线电路、环境激励信号1电路、环境激励信号2电路、RS422通信模块、加速度传感器模块、高压分压隔离电路组成，安全逻辑主从控制器以“阈值+时间窗+顺序”原则判别环境激励信号，解算安全距离，依次解除三级保险，共同控制高压充电模块完成充电储能，共同控制起爆模块完成起爆工作。

所述高可靠引信解保装置各部件具体连接关系如下所述：

①所述一级电源供电电路与安全逻辑主控制器、安全逻辑从控制器和引信分别连接，引信通过一级电源供电电路为安全逻辑主控制器和安全逻辑从控制器分别供电。

②所述RS422通信模块与安全逻辑主控制器的UART通信接口和引信通信接口分别连接，通过RS422通信模块实现安全逻辑主控制器与引信之间交互通信；安全逻辑主控制器通过I/O端口与高压分压隔离电路连接，实现对高压电容电压检测；环境激励信号2电路与安全逻辑主控制器I/O端口和引信分别连接，实现安全逻辑主控制器对环境激励信号2的判别；安全逻辑主控制器通过I/O端口与静态保险件2连接，通过控制I/O端口输出信号实现对第二级保险的解除。

③所述安全逻辑从控制器通过ADC采集接口与加速度传感器模块连接，实现对加速度传感器感应加速度值的采集；二级电源供电电路与安全逻辑从控制器I/O端口和引信分别连接，实现安全逻辑从控制器对二级电源供电信号的判别；环境激励信号1电路与安全逻辑从控制器I/O端口和引信分别连接，实现安全逻辑从控制器对环境激励信号1的判别；安全逻辑从控制器通过I/O端口与静态保险件1连接，通过控制I/O端口输出信号实现对第一级保险的解除。

④所述安全逻辑主控制器通过I/O端口与动态保险件接口1连接，安全逻辑从控制器通过I/O端口与动态保险件接口2连接，安全逻辑主控制器和安全逻辑从控制器通过控制I/O端口输出信号共同控制第三级保险解除；安全逻辑主控制器通过I/O端口与起爆模块接口1连接，安全逻辑从控制器通过I/O端口与起爆模块接口2连接，安全逻辑主控制器和安全逻辑从控制器通过控制I/O端口输出信号，共同控制起爆模块进行起爆。

⑤所述安全逻辑主控制器与安全逻辑从控制器之间通过SPI通信接口及由多个I/O端口构成的I/O组合连接，安全逻辑主控制器通过控制I/O组合输出不同电平信号组合，向安全逻辑从控制器告知系统工作模式、状态转换触发条件信息及解保状态信息，安全逻辑从控制器通过SPI握手通信方式，向安全逻辑主控制器上报状态转换触发条件信息及解保状态信息。

⑥所述静态保险件1与二级供电电源地线电路连接，静态保险件2与二级电源供电电路连接，动态保险件串接于静态保险件1和静态保险件2之间；二级电源供电电路分别与高压充电模块、起爆模块、引信连接，二级供电电源地线电路与引信地线连接，引信通过二级电源供电模块为高压充电模块和起爆模块供电。

⑦所述动态保险件与高压充电模块连接，动态保险件驱动高压充电模块完成充电储能；起爆模块与高压充电模块连接，由安全逻辑主、从控制器共同控制起爆模块工作，完成对高压充电模块中高压电容存储能量的瞬时释放。

一种高可靠引信解保主从控制器软件状态机设计方法，其特征在于：以双控制器控制三级保险解保硬件电路为载体，将ESAD系统解保状态转换触发条件分配至安全逻辑主、从控制器中，约束ESAD系统解保状态转换，可靠完成ESAD系统解保起爆功能；其中，ESAD系统各级解保状态为互斥关系，安全逻辑主、从控制器同一时间有且只有一个状态在执行。

本发明所实现的ESAD系统有两种工作模式，即测试状态模式和工作状态模式。其中，测试状态模式下，ESAD识别环境激励信号1、环境激励信号2以及起爆测试指令，有效识别起爆测试指令后，安全逻辑主、从控制器不输出起爆控制信号，目的是为了ESAD装有火工品时，可安全验证各个环境激励信号电路接口及通信电路接口是否正常；工作状态模式下，ESAD以“阈值+时间窗+顺序”原则识别环境激励信号1、环境激励信号2，采集加速度传感器感应的加速值，解算安全距离，依次完成三级保险解除，控制高压充电模块进行充电储能，控制起爆模块实现起爆功能。

基于所设计硬件电路，一种高可靠引信解保主从控制器软件状态机设计方法，可靠实现ESAD系统解保起爆功能。ESAD系统状态机包含安全逻辑主、从控制器状态机。以下安全逻辑主控制器均简称为MCU1，安全逻辑从控制器均简称为MCU2，具体安全逻辑主控制器状态机、安全逻辑从控制器状态机设计如下所述。

MCU1状态机设计如下所述：

步骤一：

MCU1上电处于MCU1初态，完成端口及外设初始化，进入MCU1自检态。

步骤二：

MCU1自检状态下，MCU1完成环境激励信号2初态、高压充电电容初始安全电压检测，并接收MCU2上报的MCU2自检结果，完成ESAD系统自检项判别，若任一自检项检测异常，转入步骤九，进入MCU1锁死状态；若自检项均正常，MCU1接收引信通过RS422通信发送的工作模式指令，识别有效后，控制I/O组合输出不同电平信号组合告知MCU2执行工作状态模式或测试状态模式，并开始周期性通过RS422通信向引信反馈ESAD解保状态信息包。MCU1如果判别工作状态指令有效，转入步骤三，进入MCU1一级解保状态，执行MCU1工作状态模式状态转换；MCU1如果判别测试状态指令有效，转入步骤十，进入MCU1信号1检测状态，执行测试状态模式状态转换。

步骤三：

MCU1一级解保状态下，MCU1在时间窗T2建立前对环境激励信号2提前出现、安全距离解算、过载存在、第一级保险解除结果进行判别。若MCU1在时间窗T2建立前，环境激励信号2判别无效，且安全距离解算无效，且过载存在无效，MCU1检测到MCU2通过SPI通信上报的第一级保险解除状态信息有效，则以第一级保险有效解除为起点建立时间窗T2，进入MCU1二级解保状态；若在时间窗T2建立前，环境激励信号2判别有效或安全距离解算有效或过载存在有效，转入步骤九，进入MCU1锁死状态。

步骤四：

MCU1二级解保状态下，MCU1在时间窗T2内，完成对环境激励信号2判别结果、安全距离解算结果、过载存在结果判别，若判别结果为环境激励信号2有效且安全距离解算无效、过载存在无效，控制静态保险件2闭合，控制I/O组合输出不同电平信号组合告知MCU2第二级保险正常解除，进入MCU1三级解保状态；若在时间窗T2内，环境激励信号2判别无效或过载存在有效，转入步骤九，进入MCU1锁死状态。

步骤五：

MCU1三级解保状态下，MCU1判别时间窗T2计时是否结束，若时间窗T2计时结束且MCU2安全距离解算有效，MCU1控制与动态保险件连接的I/O引脚输出高电平，进入解保状态；若MCU1判别到过载存在有效，MCU1控制与动态保险件连接的I/O引脚保持输出低电平，转入步骤九，进入MCU1锁死状态。

步骤六：

解保状态下，高压充电模块开始工作，为高压电容进行充电储能，MCU1对高压电容充电是否完成进行检测，若高压电容充电完成，输出解保确认信号，进入激发状态。

步骤七：

激发状态下，MCU1接收并判别引信通过RS422通信发送的起爆工作指令，若判别有效，MCU1控制I/O组合输出不同电平信号组合告知MCU2系统处于起爆状态，控制静态保险件2断开，控制与动态保险件连接的I/O引脚输出低电平，使高压模块停止为高压电容进行充电储能，并控制与起爆模块连接的I/O引脚输出高电平，并反馈引炸确认信号，进入MCU1工作末态；

步骤八：

MCU1工作末态下，MCU1保持周期性向引信发送ESAD解保状态信息包，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令及执行任何解保功能。

步骤九：

MCU1锁死状态下，MCU1保持周期性向引信发送当前ESAD解保状态信息包，控制静态保险件2断开，控制与动态开关保险件连接的I/O控制引脚输出低电平，控制与起爆模块连接的I/O控制引脚输出低电平，控制I/O组合输出不同电平信号组合告知MCU2进入MCU2锁死状态，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令及执行任何解保功能。

步骤十：

MCU1信号1检测状态下，MCU1判别MCU2上报的环境激励信号1判别结果，若识别到环境激励信号1判别有效，进入MCU1信号2检测状态。

步骤十一：

MCU1信号2检测状态下，MCU1循环判别环境激励信号2，若环境激励信号2判别有效，进入起爆测试状态。

步骤十二：

起爆测试状态下，MCU1接收并判别引信通过RS422发送的起爆测试指令，若起爆测试指令判别有效，立即输出起爆测试指令确认信号，进入MCU1测试末态。

步骤十三：

MCU1测试末态下，MCU1通过RS422通信保持周期性向引信发送当前ESAD解保状态信息包，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令及执行任何解保功能。

MCU2状态机设计如下所述：

步骤一：

MCU2上电处于MCU2初态，完成端口及外设初始化，进入MCU2自检态。

步骤二：

MCU2自检状态下，MCU2完成环境激励信号1初态、加速度传感器加速度初值检测，并将自检结果通过SPI通信上报MCU1；若MCU2任一自检项检测异常，转入步骤六，进入MCU2锁死状态；若MCU2自检项均正常，开始识别I/O组合电平信号指示信息，判别执行工作状态模式或测试状态模式。如果检测I/O组合电平信号指示进入工作状态模式，转入步骤三，进入MCU2一级解保状态，执行MCU2工作状态模式状态转换，完成解保状态转换；如果检测I/O电平信号指示进入测试状态模式，转入步骤七，进入MCU2信号1检测状态，执行MCU2测试状态模式状态转换，完成测试状态转换。

步骤三：

MCU2一级解保状态下，MCU2循环判别二级电源供电信号，以二级电源供电信号判别有效为起点，建立时间窗T1，在时间窗T1内对环境激励信号1进行判别，若在时间窗T1内，环境激励信号1判别有效，控制静态保险件1闭合，并通过SPI通信向MCU1上报第一保险解除状态信息，进入MCU2三级解保状态；若MCU1在时间窗T1内，环境激励信号1判别无效，通过SPI通信上报环境激励信号1判别无效信息，转入步骤六，进入MCU2锁死状态。

步骤四：

MCU2三级解保状态下，MCU2通过ADC模块采集加速度传感器感应的加速度电压值，通过积分方式解算安全距离，若解算出的安全距离满足要求且确认MCU1第二级保险正常解除，MCU2控制与动态保险件连接的I/O控制引脚输出高电平，并通过SPI通信向MCU1上报安全距离有效信息，进入MCU2工作末态；若MCU2在解算安全距离过程中，检测到过载存在有效，通过SPI通信上报过载存在有效信息，转入步骤六，进入MCU2锁死状态。

步骤五：

MCU2工作末态下，MCU2判别MCU1通过I/O组合电平信号告知的起爆状态指示信息，控制静态保险件1断开，控制与动态保险件连接的I/O控制引脚输出低电平，控制与起爆模块连接的I/O控制引脚输出高电平，关闭不再使用的定时器及外设中断，不再判别MCU1通过I/O组合电平信号告知的任何解保状态信息且不再执行任何解保功能。

步骤六：

MCU2锁死状态下，MCU2控制静态保险件2断开，控制与动态保险件连接的I/O控制引脚输出低电平，控制与起爆模块连接的I/O控制引脚输出低电平，关闭不再使用的定时器及外设中断，不再判别MCU1通过I/O组合电平信号告知的任何解保状态指示信息，且不再执行任何解保功能。

步骤七：

MCU2信号1检测状态下，MCU2循环判别环境激励信号1是否有效，若环境激励信号1判别有效，通过SPI通信向MCU1上报环境激励信号1判别有效信息，进入MCU2测试末态。

步骤八：

MCU2测试末态下，MCU2关闭不再使用的定时器及外设中断，不再执行任何解保功能。

本发明一种高可靠引信解保主从控制器软件状态机设计方法，将ESAD系统解保过程中的各个状态及状态转换条件分散至双控制器上，控制器之间相互告知触发状态转换条件、环境激励信号识别结果信息以及解保状态信息；本发明一种高可靠引信解保主从控制器软件状态机设计方法和现有技术相比，明确引信解保的多个状态，约束状态转换触发条件，主从控制器之间通过SPI通信及I/O端口组合进行通信，相互同步解保状态。

本发明的效果：

①ESAD的双控制器具有主控制器与丛控制器之分，与引信交互通信由主控制器实现，便于对ESAD解保起爆过程进行解保状态明确且严格划分，而且易于在主从控制器上进行状态机部署，提高了ESAD控制解保起爆的可靠性；

②主机通过I/O组合输出不同电平信号组合，主动告知从控制器ESAD系统工作模式及从控制器状态转换触发条件，丛控制器通过SPI通信方式，主动向主控制器上报丛控制器解保状态信息及主控制器状态转换触发条件，增强了状态转换的实时性，有效避免了主从控制器信息交互延迟带来的解保延迟风险；

③通过约束每个状态转换条件，对ESAD主从控制器解保状态进行明确的划分，确保ESAD工作于可控状态内，有效提高ESAD解保起爆的可靠性；

④设置ESAD工作及测试状态两种模式，且工作与测试状态模式实现完全不同的功能，实现ESAD在装火工品前与装火工品后可安全地进行ESAD状态验证。

附图说明

下面结合附图对本发明作进一步的说明：

图1是本发明所述的一种高可靠引信电子安全与解保装置结构示意图；

图2是本发明所述ESAD主从控制器软件状态机状态转换逻辑图。

具体实施方式

为使本发明实施的目的、技术方案和优点更加清楚，下面结合附图对本发明的实施例进行详细描述。

实施例1：

一种高可靠引信解保主从控制器软件状态机设计方法。如附图1所示，电子安全与解除保险装置由安全与解除保险控制模块、高压充电模块、起爆模块三部分组成；进一步地，安全与解除保险控制模块包括安全逻辑主控制器、安全逻辑从控制器、RS422通信模块、加速度传感器模块、一级电源供电电路、二级电源供电电路、二级供电电源地线电路、环境激励信号1电路、环境激励信号2电路、静态保险件1、静态保险件2、动态保险件、高压分压隔离电路。

进一步地，安全逻辑主从控制器接受一级电源供电，开始进行自检。ESAD系统自检正常后，安全逻辑主控制器以第一级保险解除为起点建立时间窗T2，对环境激励信号2以“阈值+时间窗+顺序”原则进行有效性判别，并控制静态保险件2解除第二级保险；安全逻辑主控制器判别到时间窗T2计时结束且安全距离解算满足要求，控制动态信号1输出高电平，与安全逻辑从控制器共同控制高压电源模块工作；安全逻辑主控制器有效识别引信通过RS422通信发送的起爆工作指令时，控制起爆信号1输出高电平，与安全逻辑从控制器共同控制起爆模块完成起爆工作。

安全逻辑从控制器以二级电源供电信号判别有效为起点建立时间窗T1，对环境激励信号1以“阈值+时间窗+顺序”原则进行有效性判别，控制静态保险件1解除第一级保险；第一级保险正常解除后，安全逻辑从控制器通过ADC采集加速度传感器感应的加速度电压值，通过积分方式解算安全距离，控制动态信号2输出高电平，与安全逻辑主控制器共同控制高压电源模块工作；安全逻辑从控制器检测到安全逻辑主控制器通过I/O组合输出的电平信号为工作起爆有效指示时，控制起爆信号2输出高电平，与安全逻辑主控制器共同控制起爆模块完成起爆工作；

安全逻辑主从控制器通过SPI通信接口及三个I/O端口构成的I/O组合实现主从控制器交互通信。安全逻辑主控制器控制I/O组合输出不同电平信号传输有效指示，主动向安全逻辑从控制器告知ESAD系统工作模式、安全逻辑主控制器解保状态信息及安全逻辑从控制器解保状态转换触发条件；安全逻辑从控制器通过SPI通信，向安全逻辑主控制器主动上报安全逻辑从控制器解保状态信息及安全逻辑主控制器状态转换触发条件。安全逻辑主控制器通过SPI中断方式接收安全逻辑从控制器上报的信息，并将相应状态标志位置位；安全逻辑从控制器通过定时器中断方式检测安全逻辑主控制器告知有效指令信息，并将相应状态标志位置位。

一种高可靠引信解保主从控制器软件状态机设计方法，通过附图2所示状态机转换实现ESAD解保起爆功能。ESAD系统状态机包含安全逻辑主、从控制器状态机。以下安全逻辑主控制器均简称为MCU1，安全逻辑从控制器均简称为MCU2，ESAD安全逻辑主控制器软件状态机、安全逻辑从控制器软件状态机实现如下所述。

MCU1状态机实现如下所述：

Step1：

MCU1接收一级电源供电后处于MCU1初态，完成端口及外设初始化，进入MCU1自检态。

Step2：

MCU1自检状态下，MCU1完成环境激励信号2初态、高压充电电容初始安全电压检测，并接收MCU2通过SPI通信上报的MCU2自检结果，完成ESAD系统自检项判别，若任一自检项检测异常，转入Step9，进入MCU1锁死状态；若自检项均正常，MCU1接收引信通过RS422通信发送的工作模式指令，判断ESAD系统进入工作状态模式还是测试状态模式，并控制I/O组合输出不同电平信号组合告知MCU2执行相应状态模式，通过RS422通信开始周期性向引信反馈ESAD解保状态信息包。如果ESAD系统执行工作状态模式，转入Step3，进入MCU1一级解保状态；如果ESAD系统执行测试状态模式，转入Step10，进入MCU1信号1检测状态。

Step3：

MCU1一级解保状态下，MCU1在时间窗T2建立前对环境激励信号2提前出现、安全距离解算、过载存在状态位进行判别，若时间窗T2建立前，环境激励信号2判别无效，且安全距离解算无效，且过载存在无效，检测并判别MCU2上报的第一级保险解除状态信息；MCU1以第一级保险解除状态信息有效为起点，建立时间窗T2，进入MCU1二级解保状态；若MCU1在时间窗T2建立前，环境激励信号2判别有效或安全距离解算有效或过载存在有效，转入Step9，进入MCU1锁死状态。

Step4：

MCU1二级解保状态下，MCU1在时间窗T2内，对环境激励信号2、安全距离解算、过载存在是否有效进行判别，若判别环境激励信号2有效且安全距离解算及过载存在均无效，控制静态保险件2闭合，控制I/O组合输出不同电平信号告知MCU2第二级保险正常解除，进入MCU1三级解保状态；若MCU1在时间窗T2内，判别环境激励信号2无效或过载存在有效，转入Step9，进入MCU1锁死状态。

Step5：

MCU1三级解保状态下，MCU1检测时间窗T2计时是否结束，若时间窗T2计时结束且MCU2安全距离解算有效，控制动态信号1输出高电平，进入解保状态；若MCU1判别过载存在有效，控制动态信号1引脚保持输出低电平，转入Step9，进入MCU1锁死状态。

Step6：

解保状态下，高压模块开始工作，为高压电容进行充电储能，MCU1对高压电容充电是否完成进行检测，若高压电容充电完成，MCU1控制输出解保确认信号，进入激发状态。

Step7：

激发状态下，MCU1接收并判别引信通过RS422通信发送的起爆工作指令，若判别有效，控制I/O组合输出不同电平信号告知MCU2ESAD系统处于起爆状态，控制静态保险件2断开，控制动态信号1输出低电平，使高压充电模块停止充电储能，控制起爆信号1引脚输出高电平，并控制输出反馈引炸确认信号，进入MCU1工作末态。

Step8：

MCU1工作末态下，MCU1保持周期性通过RS422通信向引信发送ESAD解保状态信息包，关闭不再使用的定时器及外设中断，不再接收引信发送的任何通信指令，且不再执行任何解保功能。

Step9：

MCU1锁死状态下，MCU1保持周期性通过RS422通信向引信发送当前ESAD解保状态信息包，控制静态保险件2断开，控制动态信号1输出低电平，控制起爆信号1输出低电平，控制I/O组合输出不同电平信号告知MCU2进入MCU2锁死状态，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令，且不再执行任何解保功能。

Step10:

MCU1信号1检测状态下，MCU1判别MCU2上报的环境激励信号1判别结果信息，若判别到环境激励信号1判别有效，进入MCU1信号2检测状态。

Step11：

MCU1信号2检测状态下，MCU1以“阈值”原则循环对环境激励信号2进行判别，若环境激励信号2判别有效，进入起爆测试状态。

Step12：

起爆测试状态下，MCU1接收并判别引信通过RS422通信发送的起爆测试指令，若起爆测试指令判别有效，立即反馈起爆测试指令确认信号，进入MCU1测试末态。

Step13：

MCU1测试末态下，MCU1保持周期性通过RS422通信向引信发送当前ESAD解保状态信息包，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令，且不再执行任何解保功能。

MCU2状态机实现如下所述：

Step1：

MCU2接收一级电源供电后处于MCU2初态，完成端口及外设初始化，进入MCU2自检态。

Step2：

MCU2自检状态下，MCU2完成环境激励信号1初态、加速度传感器初始加速度值检测，并将自检结果通过SPI通信上报MCU1；若MCU2任一自检项检测异常，转入Step6，进入MCU2锁死状态；若MCU2自检项均正常，MCU2开始判别I/O组合电平信号有效指示信息，判断MCU2执行工作状态模式或测试状态模式。如果MCU2检测到I/O组合电平信号指示ESAD系统工作于工作状态模式，转入Step3，进入MCU2一级解保状态；如果MCU2检测到I/O组合电平信号指示ESAD系统工作于测试状态模式，转入Step7，进入MCU2信号1检测状态。

Step3:

MCU2一级解保状态下，MCU2以“阈值”原则循环判别二级电源供电信号，以二级电源供电信号判别有效为起点，建立时间窗T1，在时间窗T1内对环境激励信号1判别，若在时间窗T1内，环境激励信号1判别有效，控制静态保险件1闭合，并通过SPI通信向MCU1上报第一保险解除状态信息，进入MCU2三级解保状态；MCU2若在时间窗T1内，判别环境激励信号1无效，通过SPI通信向MCU1上报环境激励信号1判别无效信息，转入Step6，进入MCU2锁死状态。

Step4:

MCU2三级解保状态下，MCU2通过ADC模块采集加速度传感器感应加速度电压值，进行滤波处理，解算过载值，进而通过积分方式解算安全距离，若解算出的安全距离满足要求且确认MCU1第二级保险正常解除，控制动态信号2输出高电平，通过SPI通信向MCU1上报安全距离解算有效信息，进入MCU2工作末态；MCU2若在解算安全距离过程中，检测到过载存在有效，通过SPI通信向MCU1上报过载存在有效信息，转入Step6，进入MCU2锁死状态。

Step5:

MCU2工作末态下，MCU2检测MCU1通过I/O组合电平信号告知的起爆状态信息，控制静态保险件1断开，控制动态信号2输出低电平，控制起爆信号2输出高电平，关闭不再使用的定时器及外设中断，不再判别MCU1通过I/O组合电平信号告知的任何解保状态信息，且不再执行任何解保功能。

Step6:

MCU2锁死状态下，MCU2控制静态保险件2断开，控制动态信号2输出低电平，控制起爆信号2输出低电平，关闭不再使用的定时器及外设中断，不再判别MCU1通过I/O组合电平信号告知的任何解保状态信息，且不再执行任何解保功能。

Step7:

MCU2信号2检测状态下，MCU2循环以“阈值”原则判别环境激励信号1，若环境激励信号1判别有效，通过SPI通信向MCU1上报环境激励信号1判别有效信息，进入MCU2测试末态。

Step8:

MCU2测试末态下，MCU2关闭不再使用的定时器及外设中断，不再执行任何解保功能。

本发明达到的效果：本发明便于将ESAD主从控制器解保起爆过程进行明确严格的状态划分，所设计主从控制器状态机在分别主从控制器上便于部署，而且所设计各个解保状态触发转换条件能确保ESAD系统工作于可控状态范围内，有效避免ESAD提前解保及意外解保的风险，提高了ESAD解保起爆可靠性；主控制器通过I/O组合输出不同电平信号组合，主动告知从控制器ESAD系统工作模式及从控制器的状态转换触发条件，以及丛控制器通过SPI握手通信方式，主动向主控制器上报丛控制器解保状态信息及主控制器状态转换触发条件，增强了状态转换及解保起爆的实时性，有效避免主从控制器信息交互延迟所带来的解保起爆延迟风险；设置ESAD工作及测试状态两种模式，且工作与测试状态模式所实现功能完全不同，可实现ESAD在未装有火工品时，进行解保起爆测试，在装有火工品后，安全可靠的进行ESAD状态验证。

以上所述，仅为本发明具体实施方式，但本发明保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之间所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内，同时本发明说明书中未作详细描述的内容均属于本领域技术人员公知的现有技术。

Claims (2)

1.一种高可靠引信解保装置，其特征在于，包括安全与解除保险控制模块、高压充电模块和起爆模块三部分；

所述安全与解除保险控制模块由安全逻辑主控制器MCU1、安全逻辑从控制器MCU2、静态保险件1、静态保险件2、动态保险件、一级电源供电电路、二级电源供电电路、二级供电电源地线电路、环境激励信号1电路、环境激励信号2电路、RS422通信模块、加速度传感器模块、高压分压隔离电路组成，安全逻辑主从控制器通过以“阈值+时间窗+顺序”原则判别环境激励信号，解算安全距离，依次解除三级保险，共同控制高压充电模块完成充电储能，共同控制起爆模块完成起爆工作；

所述一级电源供电电路与安全逻辑主控制器、安全逻辑从控制器和引信分别连接，引信通过一级电源供电电路为安全逻辑主控制器和安全逻辑从控制器分别供电。

所述RS422通信模块与安全逻辑主控制器的UART通信接口和引信通信接口分别连接，通过RS422通信模块实现安全逻辑主控制器与引信之间交互通信；安全逻辑主控制器通过I/O端口与高压分压隔离电路连接，实现对高压电容电压检测；环境激励信号2电路与安全逻辑主控制器I/O端口和引信分别连接，实现安全逻辑主控制器对环境激励信号2的判别；安全逻辑主控制器通过I/O端口与静态保险件2连接，通过控制I/O端口输出信号实现对第二级保险的解除。

所述安全逻辑从控制器通过ADC采集接口与加速度传感器模块连接，实现对加速度传感器感应加速度值的采集；二级电源供电电路与安全逻辑从控制器I/O端口和引信分别连接，实现安全逻辑从控制器对二级电源供电信号的判别；环境激励信号1电路与安全逻辑从控制器I/O端口和引信分别连接，实现安全逻辑从控制器对环境激励信号1的判别；安全逻辑从控制器通过I/O端口与静态保险件1连接，通过控制I/O端口输出信号实现对第一级保险的解除。

所述安全逻辑主控制器通过I/O端口与动态保险件接口1连接，安全逻辑从控制器通过I/O端口与动态保险件接口2连接，安全逻辑主控制器和安全逻辑从控制器通过控制I/O端口输出信号共同控制第三级保险解除；安全逻辑主控制器通过I/O端口与起爆模块接口1连接，安全逻辑从控制器通过I/O端口与起爆模块接口2连接，安全逻辑主控制器和安全逻辑从控制器通过控制I/O端口输出信号，共同控制起爆模块进行起爆。

所述安全逻辑主控制器与安全逻辑从控制器之间通过SPI通信接口及由多个I/O端口构成的I/O组合连接，安全逻辑主控制器通过控制I/O组合输出不同电平信号组合，向安全逻辑从控制器告知系统工作模式、状态转换触发条件信息、解保状态信息，安全逻辑从控制器通过SPI握手通信方式，向安全逻辑主控制器上报状态转换触发条件信息及解保状态信息。

所述静态保险件1与二级供电电源地线电路连接，静态保险件2与二级电源供电电路连接，动态保险件串接于静态保险件1和静态保险件2之间；二级电源供电电路分别与高压充电模块、起爆模块、引信连接，二级供电电源地线电路与引信地线连接，引信通过二级电源供电模块为高压充电模块和起爆模块供电。

所述动态保险件与高压充电模块连接，动态保险件驱动高压充电模块完成充电储能；起爆模块与高压充电模块连接，由安全逻辑主、从控制器共同控制起爆模块工作，完成对高压充电模块中高压电容存储能量的瞬时释放。

2.一种如权利要求1所述的高可靠引信解保装置中的主从控制器软件状态机设计方法，其特征在于：以双控制器控制三级保险解保硬件电路为载体，将ESAD系统解保状态转换触发条件分配至安全逻辑主、从控制器中，约束ESAD系统解保状态转换，可靠完成ESAD系统解保起爆功能；其中，ESAD系统各级解保状态为互斥关系，主、从控制器同一时间有且只有一个状态在执行。

本发明所实现的ESAD系统有两种工作模式，即测试状态模式和工作状态模式。其中，测试状态模式下，ESAD识别环境激励信号1、环境激励信号2以及起爆测试指令，有效识别到起爆测试指令后，安全逻辑主、从控制器不输出起爆控制信号；工作状态模式下，ESAD以“阈值+时间窗+顺序”原则识别环境激励信号1、环境激励信号2，采集加速度传感器感应的加速值，解算安全距离，依次完成三级保险解除，控制高压充电模块进行充电储能，控制起爆模块实现起爆功能。

所述MCU1状态机设计过程如下：

步骤一：

MCU1上电处于MCU1初态，完成端口及外设初始化，进入MCU1自检态。

步骤二：

MCU1自检状态下，MCU1完成环境激励信号2初态、高压充电电容初始安全电压检测，并接收MCU2上报的MCU2自检结果，完成ESAD系统自检项判别，若任一自检项检测异常，转入步骤九，进入MCU1锁死状态；若自检项均正常，MCU1接收引信通过RS422通信发送的工作模式指令，识别有效后，控制I/O组合输出不同电平信号组合告知MCU2执行工作状态模式或测试状态模式，并开始周期性通过RS422通信向引信反馈ESAD解保状态信息包。MCU1如果判别工作状态指令有效，转入步骤三，进入MCU1一级解保状态，执行MCU1工作状态模式状态转换；MCU1如果判别测试状态指令有效，转入步骤十，进入MCU1信号1检测状态，执行测试状态模式状态转换。

步骤三：

MCU1一级解保状态下，MCU1在时间窗T2建立前对环境激励信号2提前出现、安全距离解算、过载存在、第一级保险解除结果进行判别。若MCU1在时间窗T2建立前，环境激励信号2判别无效，且安全距离解算无效，且过载存在无效，MCU1检测到MCU2通过SPI通信上报的第一级保险解除状态信息有效，则以第一级保险有效解除为起点建立时间窗T2，进入MCU1二级解保状态；若在时间窗T2建立前，环境激励信号2判别有效或安全距离解算有效或过载存在有效，转入步骤九，进入MCU1锁死状态。

步骤四：

MCU1二级解保状态下，MCU1在时间窗T2内，完成对环境激励信号2判别结果、安全距离解算结果、过载存在结果判别，若判别结果为环境激励信号2有效，且安全距离解算无效，且过载存在无效，控制静态保险件2闭合，控制I/O组合输出不同电平信号组合告知MCU2第二级保险正常解除，进入MCU1三级解保状态；若在时间窗T2内，环境激励信号2判别无效或过载存在有效，转入步骤九，进入MCU1锁死状态。

步骤五：

MCU1三级解保状态下，MCU1判别时间窗T2计时是否结束，若时间窗T2计时结束且MCU2安全距离解算有效，MCU1控制与动态保险件连接的I/O引脚输出高电平，进入解保状态；若MCU1判别到过载存在有效，MCU1控制与动态保险件连接的I/O引脚保持输出低电平，转入步骤九，进入MCU1锁死状态。

步骤六：

解保状态下，高压充电模块开始工作，为高压电容进行充电储能，MCU1对高压电容充电是否完成进行检测，若高压电容充电完成，输出解保确认信号，进入激发状态。

步骤七：

激发状态下，MCU1接收并判别引信通过RS422通信发送的起爆工作指令，若判别有效，MCU1控制I/O组合输出不同电平信号组合告知MCU2系统处于起爆状态，控制静态保险件2断开，控制与动态保险件连接的I/O引脚输出低电平，使高压模块停止为高压电容进行充电储能，并控制与起爆模块连接的I/O引脚输出高电平，并反馈引炸确认信号，进入MCU1工作末态；

步骤八：

MCU1工作末态下，MCU1通过RS422通信保持周期性向引信发送ESAD解保状态信息包，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令及执行任何解保功能。

步骤九：

MCU1锁死状态下，MCU1通过RS422通信保持周期性向引信发送当前ESAD解保状态信息包，控制静态保险件2断开，控制与动态开关保险件连接的I/O控制引脚输出低电平，控制与起爆模块连接的I/O控制引脚输出低电平，控制I/O组合输出不同电平信号组合告知MCU2进入MCU2锁死状态，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令及执行任何解保功能。

步骤十：

MCU1信号1检测状态下，MCU1判别MCU2上报的环境激励信号1判别结果，若识别到环境激励信号1判别有效，进入MCU1信号2检测状态。

步骤十一：

MCU1信号2检测状态下，MCU1循环判别环境激励信号2，若环境激励信号2判别有效，进入起爆测试状态。

步骤十二：

起爆测试状态下，MCU1接收并判别引信通过RS422发送的起爆测试指令，若起爆测试指令判别有效，立即输出起爆测试指令确认信号，进入MCU1测试末态。

步骤十三：

MCU1测试末态下，MCU1通过RS422通信保持周期性向引信发送当前ESAD解保状态信息包，关闭不再使用的定时器及外设中断，不再接收引信发送的任何指令及执行任何解保功能。

所述MCU2状态机设计过程如下：

步骤一：

MCU2上电处于MCU2初态，完成端口及外设初始化，进入MCU2自检态。

步骤二：

MCU2自检状态下，MCU2完成环境激励信号1初态、加速度传感器加速度初值检测，并将自检结果通过SPI通信上报MCU1；若MCU2任一自检项检测异常，转入步骤六，进入MCU2锁死状态；若MCU2自检项均正常，开始识别I/O组合电平信号指示信息，判别执行工作状态模式或测试状态模式。如果检测I/O组合电平信号指示进入工作状态模式，转入步骤三，进入MCU2一级解保状态，执行MCU2工作状态模式状态转换，完成解保状态转换；如果检测I/O电平信号指示进入测试状态模式，转入步骤七，进入MCU2信号1检测状态，执行MCU2测试状态模式状态转换，完成测试状态转换。

步骤三：

MCU2一级解保状态下，MCU2循环判别二级电源供电信号，以二级电源供电信号判别有效为起点，建立时间窗T1，在时间窗T1内对环境激励信号1进行判别，若在时间窗T1内，环境激励信号1判别有效，控制静态保险件1闭合，并通过SPI通信向MCU1上报第一保险解除状态信息，进入MCU2三级解保状态；若MCU1在时间窗T1内，环境激励信号1判别无效，通过SPI通信上报环境激励信号1判别无效信息，转入步骤六，进入MCU2锁死状态。

步骤四：

MCU2三级解保状态下，MCU2通过ADC模块采集加速度传感器感应的加速度电压值，通过积分方式解算安全距离，若解算出的安全距离满足要求且确认MCU1第二级保险正常解除，MCU2控制与动态保险件连接的I/O控制引脚输出高电平，并通过SPI通信向MCU1上报安全距离解算有效信息，进入MCU2工作末态；若MCU2在解算安全距离过程中，检测到过载存在有效，通过SPI通信向MCU1上报过载存在有效信息，转入步骤六，进入MCU2锁死状态。

步骤五：

MCU2工作末态下，MCU2判别MCU1通过I/O组合电平信号告知的起爆状态指示信息，控制静态保险件1断开，控制与动态保险件连接的I/O控制引脚输出低电平，控制与起爆模块连接的I/O控制引脚输出高电平，关闭不再使用的定时器及外设中断，不再判别MCU1通过I/O组合电平信号告知的任何解保状态信息且不再执行任何解保功能。

步骤六：

MCU2锁死状态下，MCU2控制静态保险件2断开，控制与动态保险件连接的I/O控制引脚输出低电平，控制与起爆模块连接的I/O控制引脚输出低电平，关闭不再使用的定时器及外设中断，不再判别MCU1通过I/O组合电平信号告知的任何解保状态指示信息，且不再执行任何解保功能。

步骤七：

MCU2信号1检测状态下，MCU2循环判别环境激励信号1是否有效，若环境激励信号1判别有效，通过SPI通信向MCU1上报环境激励信号1判别有效信息，进入MCU2测试末态。

步骤八：

MCU2测试末态下，MCU2关闭不再使用的定时器及外设中断，不再执行任何解保功能。

Images