CN115913906A - 一种船用冗余控制系统及方法 - Google Patents

Abstract

本发明公开了一种船用冗余控制系统及方法，所述系统包括第一冗余控制器模块和第二冗余控制器模块，二者之间连接有数据同步链路；还包括第一控制器模块和第二控制器模块，第一控制器模块通过第一GPMC接口与第一冗余控制器模块连接，第二控制器模块通过第二GPMC接口与第二冗余控制器模块连接；第一控制器模块和第二控制器模块中，其中一个为主机，另一个为从机，主机和从机均能接收冗余控制网数据，从机每个扫描周期与主机进行一次完整的数据同步。本发明将运行中的所有数据在备控制器或冗余控制器进行备份，当主控制器发生故障时，备控制器能在允许的时间内运行并继续执行工作，达到主备控制器无缝切换。

Description

一种船用冗余控制系统及方法

技术领域

本发明属于冗余控制领域，具体涉及一种船用冗余控制系统及方法。

背景技术

船用自动化系统采用的冗余控制方式主要是双控制器并行的热备冗余，对两个控制器配置相同的组态程序后同时运行。在正常情况下，主控制器与下挂的所有I/O设备建立主连接，主控制器和I/O设备之间会进行数据交换；备控制器与下挂的I/O设备建立备用连接，备用控制器不与I/O设备进行数据交换，也无法对I/O设备中数据进行修改。

主控制器与备用控制器之间保持同步状态，当主控制器出现故障时，备用控制器会接管自动化系统的控制权，将之前的"主连接"转换为"备用连接"，同时将之前的"备用连接"转换为"主连接"，此时备用控制器成为主控制器。当I/O设备接收到控制权转换状态信号时，它必须保证将最新的数据发送给新的主控制器。

采用这种冗余控制方式存在以下缺点：备用控制器与主控制器的数据交互仅限于工作状态的正常与否，并不能得知主控制器正在进行的运算内容。如果主控制器出现故障时，正在进行的运算还未完成，在控制权切换后，备用控制器必须在下一个扫描周期重新从I/O模块采集数据后再进行运算，也可能会因为缺少触发条件而不再执行控制指令。这种冗余控制方式无法保证切换时控制功能的连贯性，会产生功能的中断或者通道的扰动。

发明内容

本发明的目的在于克服上述现有技术中存在的不足，将运行中的所有数据在备控制器或冗余控制器进行备份，当主控制器发生故障时，备控制器能在允许的时间内运行并继续执行工作，达到主备控制器无缝切换。

为实现上述发明目的，第一方面，本发明提供一种船用冗余控制系统，包括第一冗余控制器模块和第二冗余控制器模块，二者之间连接有数据同步链路；还包括第一控制器模块和第二控制器模块，所述第一控制器模块通过第一GPMC接口与所述第一冗余控制器模块连接，所述第二控制器模块通过第二GPMC接口与所述第二冗余控制器模块连接；所述第一控制器模块和第二控制器模块中，其中一个为主机，另一个为从机，主机和从机均能接收冗余控制网数据，从机每个扫描周期与主机进行一次完整的数据同步，第一冗余控制器模块和第二冗余控制器模块间实时地相互诊断，当主机出现影响控制的故障时，从机自身在两个扫描周期内转换为主机。

进一步地，所述第一控制器模块和第二控制器模块均包括冗余仲裁逻辑模块，用于实现二者之间的冗余仲裁。

进一步地，所述第一冗余控制器模块和第二冗余控制器模块均包括冗余仲裁接口电路，用于实现二者之间的冗余仲裁。

进一步地，所述冗余仲裁接口电路适于提供所属冗余控制器模块的冗余状态指示信号，所述冗余状态指示信号至少包括心跳、在位、故障、主机、从机。

进一步地，所述数据同步链路为LVDS链路。

进一步地，所述第一冗余控制器模块和第二冗余控制器模块均为FPGA，所述第一控制器模块和第二控制器模块均为ARM。

第二方面，本发明提供一种船用冗余控制方法，基于第一方面任一技术方案所述的船用冗余控制系统，包括如下步骤：(1)判断是否是主机，如不是主机，则接收校验同步数据；如是主机，则向对方发送同步数据和本机状态，并继续下一步；(2)判断对方是否在位，如不在位，则判断自身是否是主机；如在位，则接收对方状态，并继续下一步；(3)接收对方状态后，如对方发生故障且自身未发生故障，则判断自身是否是主机，如是主机，则上报从机状态并继续运行；如不是主机，则切换为主机并记录切换事件；如对方未发生故障或自身发生故障，则继续运行。

进一步地，还包括在第一冗余控制器模块和第二冗余控制器模块之间进行心跳监测，步骤如下：(11)判断来自第一控制器模块或第二控制器模块的心跳是否超时；如存在超时，则通过与超时的控制器模块对应的冗余控制器模块向该超时的控制器模块发送在位查询报文；(12)判断指定时间内是否收到查询应答，如未收到，则通过系统网向该超时的控制器模块发送在位查询报文；(13)判断指定时间内是否收到查询应答，如未收到时，判断自身是否为主机；如不是主机，则切换为主机；如是主机，则上报从机不在位，并结束监测。

进一步地，在热备模式中，控制器模块的状态包括可识别故障状态、不在位状态、系统网异常状态、控制网异常状态和正常状态。

进一步地，所述可识别故障状态包括电压异常、RAM异常、ROM异常、指令集异常以及所有的软件可识别故障；所述不在位状态包括冗余控制器模块不在位、复位、掉电、时钟丢失。

进一步地，所述不在位状态的识别方式是根据心跳信号、系统网数据、控制网数据以及热备通道数据四方面综合考虑；其中心跳信号由冗余控制器模块处理只给出是否在位的结果，热备通道、控制网、系统网上的数据由对方监视，以上四者同时不存在才识别对方不在位。

与现有技术相比，本发明的有益效果为：

可以实现在备控制器或冗余控制器进行主备切换时，继承主控制器正在运算的数据以及控制器对外输出的相关控制指令，确保了船用自动化系统在进行控制器冗余切换时的功能连贯性。

附图说明

图1为本发明系统一个实施例的架构图；

图2为本发明方法一个实施例的流程图；

图3为本发明方法一个实施例中心跳监测流程图。

具体实施方式

下面结合附图和具体实施例，对本发明的技术方案做进一步说明。

控制器模块工作在热备冗余模式时，冗余的一对控制器模块执行同样的应用程序，一个主机，另一个为从机，当主机发生故障后可以无扰动切换到从机，冗余的关键特性包括：从机仅接收主机的同步数据；主机和从机均能接收A、B冗余控制网数据；冗余功能不需要进行任何组态工作，控制器模块自动检测冗余配置状况并在冗余配置情况下自动进行冗余处理；从机每个扫描周期进行一次完整的数据同步；冗余和切换过程不会中断控制器模块的运行过程，不会导致输出通道的扰动；冗余控制器模块间实时地进行相互诊断，当主机出现影响控制的故障(包括可识别故障、系统网异常、控制网异常)时，从机自身在两个扫描周期内切换成主机；出现故障的控制器模块可以在线更换而不影响工作中的控制器模块的控制功能。

如图1所示，冗余控制器模块FPGA之间通过一路同步LVDS链路完成数据同步，控制器模块的ARM将需要同步的数据通过GPMC接口送至FPGA，FPGA再将同步时钟TXCLK和数据TXDATA通过1片LVDS Driver将单端TTL电平转换为差分LVDS信号送至对端控制器模块，对端控制器模块接收侧通过1片LVDS Receiver将差分LVDS信号转换成单端同步时钟RXCLK和数据RXDATA信号送至FPGA，FPGA再通过GPMC接口送至ARM，完成数据同步操作。

数据同步每个运行周期至少进行一次，采用主控直接发起的方式，主控在执行完算法后发送同步数据，发送数据时增加CRC16校验，从主控在收到同步数据后，先进行CRC16的校验，无误后将数据覆盖本地算法的数据区，同步数据发送完后双方交换本机状态信息，数据同步过程中的所有数据需应答(应答帧除外)，超时需重发。

控制器模块的冗余仲裁由ARM内部的冗余仲裁逻辑模块完成，冗余控制器模块之间的冗余状态仲裁接口电路由FPGA提供，冗余仲裁接口电路需提供控制器模块的心跳、在位、故障、主机、从机等冗余状态指示信号，ARM与FPGA之间通过GPMC接口进行数据交互。

同步数据结构设计如0所示。

0同步数据结构0

冗余控制器模块之间的心跳监测工作流程如图3所示，首先判断接收冗余主控心跳是否超时，如不超时，则结束，如超时，则通过FPGA向冗余主控发送在位查询报文；然后判断制定事件内是否收到应答，如收到，则结束，如未收到，则通过系统网向冗余主控发送在位查询报文；判断制定事件内是否收到应答，未收到时判断自身是否主机，如不是主机，则切换为主机。如是主机则向工程师上报从机不在位，并结束监测。

在热备模式中，控制器模块的状态可以归纳为可识别故障状态，不在位状态，系统网异常状态，控制网异常状态和正常状态。

可识别故障状态包含电压异常、RAM异常、ROM异常、指令集异常以及所有的软件可识别故障；不在位状态包含冗余模块不在位，复位，掉电，时钟丢失。复位、掉电、时钟丢失为不可识别故障，但最终表现为模块不在位；不在位状态的识别方式是根据心跳线信号，系统网数据，控制网上数据以及热备通道数据四方面综合考虑。其中心跳线由FPGA处理只给出是否在位的结果，热备通道、控制网、系统网上的数据监视由对方处理器监视，以上四者同时不存在才认为对方不在位；

系统网异常状态包含系统网通信异常，系统网通信异常指的是系统网A和系统B都出现异常；控制网异常状态包含控制网通信异常，制网通信异常指的是控制网A和控制网B都出现异常；正常状态表示无任何故障；

从机与主机切换过程中要保证系统输出无异常扰动，切换时间不超过2个控制器模块运行周期。

如图2所示，算法执行后判断是否是主机，如不是主机，则接收校验同步数据，如是主机，则发送同步数据和本机状态；然后判断对方是否在位，如不在位，则判断自身是否是主机，如在位，则接收对方状态；接收对方状态后如对方发生故障且自身未发生故障则判断自身是否是主机，如是主机则上报从机状态并继续运行，如不是主机则切换为主机并记录切换事件；如对方未发生故障或自身发生故障则继续运行。主从切换真值表如0所示。

0主控主从切换真值表

表2中，Y都是指将自身从从机切换为主机，是在主机故障严重程度超过从机的时候就会触发的。如果更换的新从机故障严重程度低于目前主机，则会自动切换，如果两个均正常，或是故障严重程度相同，则不会切换回来。

正常状态下，主控机箱中1号槽位的控制器模块默认为主机，2号槽位的控制器模块默认为从机，槽位号的识别需依赖于槽位号编码。

本发明提出的船用自动化系统控制器的冗余方法，可以实现在冗余控制器进行主备切换时，继承主控制器正在运算的数据，以及控制器对外输出的相关控制指令，确保了船用自动化系统在进行控制器冗余切换时的功能连贯性。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (11)

1.一种船用冗余控制系统，其特征在于，包括第一冗余控制器模块和第二冗余控制器模块，二者之间连接有数据同步链路；还包括第一控制器模块和第二控制器模块，所述第一控制器模块通过第一GPMC接口与所述第一冗余控制器模块连接，所述第二控制器模块通过第二GPMC接口与所述第二冗余控制器模块连接；所述第一控制器模块和第二控制器模块中，其中一个为主机，另一个为从机，主机和从机均能接收冗余控制网数据，从机每个扫描周期与主机进行一次完整的数据同步，第一冗余控制器模块和第二冗余控制器模块间实时地相互诊断，当主机出现影响控制的故障时，从机自身在两个扫描周期内转换为主机。

2.根据权利要求1所述的船用冗余控制系统，其特征在于，所述第一控制器模块和第二控制器模块均包括冗余仲裁逻辑模块，用于实现二者之间的冗余仲裁。

3.根据权利要求1所述的船用冗余控制系统，其特征在于，所述第一冗余控制器模块和第二冗余控制器模块均包括冗余仲裁接口电路，用于实现二者之间的冗余仲裁。

4.根据权利要求3所述的船用冗余控制系统，其特征在于，所述冗余仲裁接口电路适于提供所属冗余控制器模块的冗余状态指示信号，所述冗余状态指示信号至少包括心跳、在位、故障、主机、从机。

5.根据权利要求1-4任一项所述的船用冗余控制系统，其特征在于，所述数据同步链路为LVDS链路。

6.根据权利要求1-4任一项所述的船用冗余控制系统，其特征在于，所述第一冗余控制器模块和第二冗余控制器模块均为FPGA，所述第一控制器模块和第二控制器模块均为ARM。

7.一种船用冗余控制方法，其特征在于，基于权利要求1-6任一项所述的船用冗余控制系统，包括如下步骤：

(1)判断是否是主机，如不是主机，则接收校验同步数据；如是主机，则向对方发送同步数据和本机状态，并继续下一步；

(2)判断对方是否在位，如不在位，则判断自身是否是主机；如在位，则接收对方状态，并继续下一步；

(3)接收对方状态后，如对方发生故障且自身未发生故障，则判断自身是否是主机，如是主机，则上报从机状态并继续运行；如不是主机，则切换为主机并记录切换事件；如对方未发生故障或自身发生故障，则继续运行。

8.根据权利要求7所述的方法，其特征在于，还包括在第一冗余控制器模块和第二冗余控制器模块之间进行心跳监测，步骤如下：

(11)判断来自第一控制器模块或第二控制器模块的心跳是否超时；如存在超时，则通过与超时的控制器模块对应的冗余控制器模块向该超时的控制器模块发送在位查询报文；

(12)判断指定时间内是否收到查询应答，如未收到，则通过系统网向该超时的控制器模块发送在位查询报文；

(13)判断指定时间内是否收到查询应答，如未收到时，判断自身是否为主机；如不是主机，则切换为主机；如是主机，则上报从机不在位，并结束监测。

9.根据权利要求7所述的方法，其特征在于，在热备模式中，控制器模块的状态包括可识别故障状态、不在位状态、系统网异常状态、控制网异常状态和正常状态。

10.根据权利要求9所述的方法，其特征在于，所述可识别故障状态包括电压异常、RAM异常、ROM异常、指令集异常以及所有的软件可识别故障；所述不在位状态包括冗余控制器模块不在位、复位、掉电、时钟丢失。

11.根据权利要求9或10所述的方法，其特征在于，所述不在位状态的识别方式是根据心跳信号、系统网数据、控制网数据以及热备通道数据四方面综合考虑；其中心跳信号由冗余控制器模块处理只给出是否在位的结果，热备通道、控制网、系统网上的数据由对方监视，以上四者同时不存在才识别对方不在位。

Images