CN117872876A - 双余度离散量输出控制电路及方法 - Google Patents

Abstract

本发明的双余度离散量输出控制电路，属于机载控制领域。包含A、B两个通道，每一个通道分别包含一个CPU和一个FPGA。在同一通道内使用FPGA实现对CPU的状态监控，当发现CPU工作异常时，FPGA通过CPU＿ERR信号通知另一通道夺取控制权；在不同通道间使用CPU实现对另一通道FPGA的状态监控，当CPU检测到另一通道FPGA工作异常时，主动夺取控制权。本发明针对具有高可靠性要求的离散量输出控制场景，通过设计双余度控制器之间的连接关系和信号类型，实现了通道间工作状态监控，并针对异常情况设计了控制权切换机制，显著提高了双余度离散量输出控制系统的可靠性，特别适用于机载高安全控制领域。

Description

双余度离散量输出控制电路及方法

技术领域

本发明涉及机载静电接地组件的技术领域，尤其涉及一种双余度离散量输出控制电路及方法。

背景技术

飞机机载系统中通常包含大量的离散量输出接口，用于继电器、接触器和电磁阀的驱动控制，并且针对具有高可靠性要求的离散量输出控制场景，为了提升任务可靠性，机载设备内部通常配置了余度系统。目前，现有的双余度系统间常通过简单的信号连接和监控实现控制权切换，但控制权切换机制往往过于简单，很多故障场景难以覆盖，导致控制权切换失败，比如，在使用电平信号进行状态监控的情况下，当故障发生时，故障通道的状态信号恒定在有效状态，导致控制权切换失败，再比，如在使用电平信号进行输出控制的情况下，当故障发生时，故障通道的控制信号恒定在有效状态，导致控制权虽然切换却不能对驱动电路实现有效控制。

发明内容

有鉴于此，本发明提供的双余度离散量输出控制电路，提高双余度离散量输出控制系统的可靠性。

一种双余度离散量输出控制电路，适用于驱动器的控制，驱动器包括两个控制端，包括控制通道A和控制通道B，所述控制通道A包括CPU－A和FPGA－A，所述控制通道B包括CPU－B和FPGA－B，其中：在所述控制通道A内部，所述CPU－A输出CPU有效信号、电源有效信号、复位有效信号和软件使能信号到FPGA－A，所述FPGA－A能够输出离散量控制信号CTRL＿A；在所述控制通道B内部，CPU－B输出CPU有效信号、电源有效信号、复位有效信号和软件使能信号到FPGA－B，所述FPGA－B能够输出离散量控制信号CTRL＿B；

在所述控制通道A和控制通道B之间，所述控制通道A的FPGA－A输出CPU故障信号CPU＿ERR＿A到控制通道B的CPU－B，所述控制通道B的FPGA－B输出CPU故障信号CPU＿ERR＿B到所述控制通道A的CPU－A；

两个所述控制端分别与离散量输出控制信号CTRL＿A和离散量输出控制信号CTRL＿B相连接。

其次提供一种双余度离散量输出控制方法，应用在上述所述的双余度离散量输出控制电路中，其包括：

在控制通道A内部，当CPU－A有效信号、电源有效信号、复位有效信号和软件使能信号同时有效，且，所述控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期正常时，所述FPGA－A依据CPU－A指令输出所述离散量输出控制信号CTRL＿A，并通过CPU故障信号CPU＿ERR＿A周期喂狗，则，所述控制通道A和控制通道B均为工作正常，所述控制通道A分配控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号同时有效，且控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期异常时，所述FPGA－A依据CPU－A指令输出离散量输出控制信号CTRL＿A，并通过CPU故障信号CPU＿ERR＿A周期喂狗，则，控制通道A工作正常、控制通道B工作异常，控制通道A分配控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号不全有效，且，控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期正常时，所述FPGA－A将离散量输出控制信号CTRL＿A输出禁止，并将CPU－A故障信号CPU＿ERR＿A置为恒定电平，恒定电平为停止喂狗的信号，则，在控制通道B内部，当CPU－B检测到控制通道A输出的CPU故障信号CPU＿ERR＿A喂狗周期异常时，所述CPU－B获取控制权，FPGA－B依据CPU－B指令输出离散量输出控制信号CTRL＿B，并通过CPU故障信号CPU＿ERR＿B周期喂狗，则，控制通道A工作异常，控制通道B工作正常，控制通道A失去控制权，控制通道B获取控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号不全有效，且所述控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期异常时，所述FPGA－A将离散量输出控制信号CTRL＿A输出禁止，并将CPU故障信号CPU＿ERR＿A置为恒定电平，恒定电平用于停止喂狗，则，控制通道A和控制通道B工作异常，控制通道A和通道B均失去控制权。

有益效果

本发明针对具有高可靠性要求的离散量输出控制场景，通过设计双余度控制器之间的连接关系和信号类型，使用看门狗监控代替了电平监控，实现了通道间工作状态监控，并针对异常情况设计了控制权切换机制，及，通过设计双余度控制器之间的连接关系和信号类型，使用双看门狗监控策略，实现了通道间工作状态的有效监控，并针对异常情况设计了控制权切换机制，显著提高了双余度离散量输出控制系统的可靠性，特别适用于机载高安全控制领域。

附图说明

为了更清楚地说明本公开实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为双余度离散量输出控制电路架构图。

具体实施方式

下面结合附图对本公开实施例进行详细描述。

以下通过特定的具体实例说明本公开的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本公开的其他优点与功效。显然，所描述的实施例仅仅是本公开一部分实施例，而不是全部的实施例。本公开还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本公开的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

要说明的是，下文描述在所附权利要求书的范围内的实施例的各种方面。应显而易见，本文中所描述的方面可体现于广泛多种形式中，且本文中所描述的任何特定结构及/或功能仅为说明性的。基于本公开，所属领域的技术人员应了解，本文中所描述的一个方面可与任何其它方面独立地实施，且可以各种方式组合这些方面中的两者或两者以上。举例来说，可使用本文中所阐述的任何数目个方面来实施设备及/或实践方法。另外，可使用除了本文中所阐述的方面中的一或多者之外的其它结构及/或功能性实施此设备及/或实践此方法。

还需要说明的是，以下实施例中所提供的图示仅以示意方式说明本公开的基本构想，图式中仅显示与本公开中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

另外，在以下描述中，提供具体细节是为了便于透彻理解实例。然而，所属领域的技术人员将理解，可在没有这些特定细节的情况下实践方面。

参见图1所示的双余度离散量输出控制电路，适用于驱动器的控制，驱动器包括两个控制端，包括控制通道A和控制通道B，(FPGA为可编程逻辑电子硬件，简称为FPGA)和(CPU为控制器，简称为CPU)，控制通道A包括CPU－A和FPGA－A，控制通道B包括CPU－B和FPGA－B，其中，

在控制通道A内部，CPU－A输出CPU有效信号(如，看门狗电路的输出信号)、电源有效信号、复位有效信号和软件使能到FPGA－A的信号，FPGA－A能够输出离散量控制信号CTRL＿A；在控制通道B内部，CPU－B输出CPU有效信号(如，看门狗电路的输出信号)、电源有效信号、复位有效信号和软件使能到FPGA－B的信号，FPGA－B能够输出离散量控制信号CTRL＿B；

在控制通道A和控制通道B之间，控制通道A的FPGA－A输出CPU故障信号CPU＿ERR＿A到控制通道B的CPU－B，控制通道B的FPGA－B输出CPU故障信号CPU＿ERR＿B(看门狗电路的输出信号)到控制通道A的CPU－A；两个控制端分别与离散量输出控制信号CTRL＿A和离散量输出控制信号CTRL＿B相连接，具体的：

驱动器被离散量输出控制信号CTRL＿A或离散量输出控制信号CTRL＿B所控制，(双余度计算机管理系统，一般，设置控制通道A优先级高)其中，

当任意一个控制信号由低电平变高电平时，离散量输出控制信号CTRL＿A或离散量输出控制信号CTRL＿B输出有效；当任何一个控制信号由高电平变低电平时，离散量输出控制信号CTRL＿A或离散量输出控制信号CTRL＿B输出禁止，即为，信号输出无效；

在控制通道A和控制通道B内部，两个FPGA通过CPU有效信号实现对CPU的“看门狗”电路监控，防止CPU故障时因CPU有效信号恒定在有效状态产生的误判，CPU以固定周期喂狗，若产生“狗叫”信号，则，判定CPU－A或CPU－B运行异常；

在控制通道A和控制通道B之间，两个CPU通过CPU故障信号实现对FPGA的看门狗监控，防止FPGA故障时因CPU故障信号恒定在有效状态产生的误判，FPGA以固定周期喂狗，若产生“狗叫”信号，则，判定FPGA－A或FPGA－B运行异常。

其次提供一种双余度离散量输出控制方法，应用在上述的的双余度离散量输出控制电路中，其包括：

在控制通道A内部，当CPU－A有效信号、电源有效信号、复位有效信号和软件使能信号同时有效，且，控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期正常时，FPGA－A依据CPU－A指令输出离散量输出控制信号CTRL＿A，并通过CPU故障信号CPU＿ERR＿A周期喂狗，则，控制通道A和控制通道B均为工作正常，控制通道A分配控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号同时有效，且控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期异常时，FPGA－A依据CPU－A指令输出离散量输出控制信号CTRL＿A，并通过CPU故障信号CPU＿ERR＿A周期喂狗，则，控制通道A工作正常、控制通道B工作异常，控制通道A分配控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号不全有效(说明，CPU－A异常)，且，控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期正常时，FPGA－A将离散量输出控制信号CTRL＿A输出禁止，并将CPU－A故障信号CPU＿ERR＿A置为恒定电平，恒定电平为停止喂狗的信号，则，在控制通道B内部，当CPU－B检测到控制通道A输出的CPU故障信号CPU＿ERR＿A喂狗周期异常时，CPU－B获取控制权，FPGA－B依据CPU－B指令输出离散量输出控制信号CTRL＿B，并通过CPU故障信号CPU＿ERR＿B周期喂狗，则，控制通道A工作异常，控制通道B工作正常，控制通道A失去控制权，控制通道B获取控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号不全有效，且控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期异常时，FPGA－A将离散量输出控制信号CTRL＿A输出禁止，并将CPU故障信号CPU＿ERR＿A置为恒定电平，恒定电平用于停止喂狗，则，控制通道A和控制通道B工作异常，控制通道A和通道B均失去控制权。

进一步的，控制通道A为主通道，控制通道B为从通道，控制通道A有优先控制权，当控制通道A工作异常时，控制通道B夺取控制权。

举例说明

对CPU有效信号采用看门狗监控而不是电平监控进行详细说明。在控制通道内部，CPU分别输出CPU有效信号、电源有效信号、复位有效信号和软件使能信号到FPGA，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号同时有效时，判定CPU工作正常，否则认为CPU工作异常。在电源有效信号、复位有效信号和软件使能信号均采用电平监控的情况下，CPU有效信号仍然采用电平监控时，当CPU工作异常，其GPIO成为恒定电平，如果CPU有效信号、电源有效信号、复位有效信号和软件使能信号均为有效状态时，FPGA不能判定CPU工作异常，出现状态误判。而CPU有效信号采用看门狗监控时，当CPU工作异常后，其CPIO成为恒定电平，FPGA可以通过监控看门狗喂狗周期判定CPU工作异常，避免状态误判，提升了状态监控策略的健壮性。

对CPU故障信号采用看门狗监控而不是电平监控进行详细说明。当CPU故障信号采用电平监控时，如果FPGA工作异常，其IO成为恒定电平且为有效状态时，另一个通道的CPU就不能判定该通道工作异常，出现状态误判，导致控制权切换失败；当CPU故障信号采用看门狗监控时，如果FPGA输出的CPU故障信号成为恒定电平，另一个通道的CPU可以通过监控看门狗喂狗周期判定当前通道工作异常，避免状态误判，提升了状态监控策略的健壮性。

对驱动器采用边沿控制方式而不是电平控制方式进行详细说明。当驱动器采用电平控制方式时，如果FPGA工作异常，其输出的控制信号CTRL信号成为恒定电平且为有效状态时，即使另一个通道通过监控CPU故障信号夺取了控制权，也不能实现对驱动电路的有效控制；当驱动器采用边沿控制时，如果FPGA工作异常，其输出的控制信号CTRL信号成为恒定电平时，另一个通道通过监控CPU故障信号夺取了控制权，通过控制其输出信号CTRL的边沿就能实现对驱动电路的有效控制。

对CPU工作正常而FPGA工作异常的情况进行详细说明。在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号同时有效，且控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期正常，但是FPGA工作异常时，FPGA输出的离散量输出控制信号CTRL＿A不能正常翻转，成为恒定电平，CPU故障信号CPU＿ERR＿A也成为恒定电平，停止喂狗。此时在控制通道B内部，当CPU检测到控制通道A输出的CPU故障信号CPU＿ERR＿A喂狗周期异常时夺取控制权，FPGA依据CPU指令输出离散量输出控制信号CTRL＿A，并通过CPU故障信号周期喂狗。此时控制通道A工作异常，控制通道B工作正常，控制通道A失去控制权，控制通道B具有控制权。这种情况是由FPGA异常导致的控制通道A故障，本发明也可以覆盖监控并实现控制权切换。

以上所述，仅为本公开的具体实施方式，但本公开的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本公开揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本公开的保护范围之内。因此，本公开的保护范围应以权利要求的保护范围为准。

Claims (6)

1.一种双余度离散量输出控制电路，适用于驱动器的控制，驱动器包括两个控制端，其特征在于，包括控制通道A和控制通道B，所述控制通道A包括CPU－A和FPGA－A，所述控制通道B包括CPU－B和FPGA－B，其中：在所述控制通道A内部，所述CPU－A输出CPU有效信号、电源有效信号、复位有效信号和软件使能信号到FPGA－A，所述FPGA－A能够输出离散量控制信号CTRL＿A；在所述控制通道B内部，CPU－B输出CPU有效信号、电源有效信号、复位有效信号和软件使能信号到FPGA－B，所述FPGA－B能够输出离散量控制信号CTRL＿B；

在所述控制通道A和控制通道B之间，所述控制通道A的FPGA－A输出CPU故障信号CPU＿ERR＿A到控制通道B的CPU－B，所述控制通道B的FPGA－B输出CPU故障信号CPU＿ERR＿B到所述控制通道A的CPU－A；

两个所述控制端分别与离散量输出控制信号CTRL＿A和离散量输出控制信号CTRL＿B相连接。

2.根据权利要求书1所述的双余度离散量输出控制电路，其特征在于，所述驱动器被所述离散量输出控制信号CTRL＿A或离散量输出控制信号CTRL＿B所控制，其中，

当任意一个控制信号由低电平变高电平时，离散量输出控制信号CTRL＿A或离散量输出控制信号CTRL＿B输出有效；

当任何一个控制信号由高电平变低电平时，离散量输出控制信号CTRL＿A或离散量输出控制信号CTRL＿B输出禁止。

3.根据权利要求书1所述的双余度离散量输出控制电路，其特征在于，

在所述控制通道A和控制通道B内部，两个FPGA通过CPU有效信号实现对CPU的“看门狗”电路监控，防止CPU故障时因CPU有效信号恒定在有效状态产生的误判，CPU以固定周期喂狗，若产生“狗叫”信号，则，判定CPU－A或CPU－B运行异常。

4.根据权利要求书1所述的双余度离散量输出控制电路，其特征在于，在所述控制通道A和控制通道B之间，两个CPU通过CPU故障信号实现对FPGA的看门狗监控，防止FPGA故障时因CPU故障信号恒定在有效状态产生的误判，FPGA以固定周期喂狗，若产生“狗叫”信号，则，判定FPGA－A或FPGA－B运行异常。

5.一种双余度离散量输出控制方法，其特征在于，应用在如权利要求1至4任意一项所述的双余度离散量输出控制电路中，其包括：

在控制通道A内部，当CPU－A有效信号、电源有效信号、复位有效信号和软件使能信号同时有效，且，所述控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期正常时，所述FPGA－A依据CPU－A指令输出所述离散量输出控制信号CTRL＿A，并通过CPU故障信号CPU＿ERR＿A周期喂狗，则，所述控制通道A和控制通道B均为工作正常，所述控制通道A分配控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号同时有效，且控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期异常时，所述FPGA－A依据CPU－A指令输出离散量输出控制信号CTRL＿A，并通过CPU故障信号CPU＿ERR＿A周期喂狗，则，控制通道A工作正常、控制通道B工作异常，控制通道A分配控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号不全有效，且，控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期正常时，所述FPGA－A将离散量输出控制信号CTRL＿A输出禁止，并将CPU－A故障信号CPU＿ERR＿A置为恒定电平，恒定电平为停止喂狗的信号，则，在控制通道B内部，当CPU－B检测到控制通道A输出的CPU故障信号CPU＿ERR＿A喂狗周期异常时，所述CPU－B获取控制权，FPGA－B依据CPU－B指令输出离散量输出控制信号CTRL＿B，并通过CPU故障信号CPU＿ERR＿B周期喂狗，则，控制通道A工作异常，控制通道B工作正常，控制通道A失去控制权，控制通道B获取控制权；

在控制通道A内部，当CPU有效信号、电源有效信号、复位有效信号和软件使能信号不全有效，且所述控制通道B输出的CPU故障信号CPU＿ERR＿B喂狗周期异常时，所述FPGA－A将离散量输出控制信号CTRL＿A输出禁止，并将CPU故障信号CPU＿ERR＿A置为恒定电平，恒定电平用于停止喂狗，则，控制通道A和控制通道B工作异常，控制通道A和通道B均失去控制权。

6.根据权利要求书5所述的双余度离散量输出控制方法，其特征在于，所述控制通道A为主通道，控制通道B为从通道，控制通道A有优先控制权，当控制通道A工作异常时，控制通道B夺取控制权。