高危場所安全監(jiān)控系統(tǒng)雙冗余控制器的設計與實現(xiàn)

，，

(北京明航技術研究所，北京 100023)

現(xiàn)代艦船上存在事關艦船生命的高危場所，如彈庫、燃料庫等，一旦發(fā)生危險，有可能造成艦毀人亡的后果。因此，需要在艦船的高危場所配置安全監(jiān)控系統(tǒng)，在發(fā)生危險時及時報警，采取措施對危險進行控制，消除危險或減少事故造成的損失[1-2]。

1 安全監(jiān)控系統(tǒng)

高危場所安全監(jiān)控系統(tǒng)結構見圖1。

圖1 安全監(jiān)控系統(tǒng)結構

安全監(jiān)控系統(tǒng)工作流程：安裝在高危場所內(nèi)部的傳感器和探測器探測到危險情況時，將信息傳遞給控制器，控制器對信息進行融合，對危險等級進行判斷，并根據(jù)不同情況進行決策，根據(jù)決策結果向設備驅(qū)動器發(fā)出控制信號，設備驅(qū)動器驅(qū)動防火防爆安全設備開始工作。

控制器作為安全監(jiān)控系統(tǒng)的核心部件，具有信息采集、數(shù)據(jù)融合、決策及控制輸出等功能，是系統(tǒng)的關鍵部件，必須具備如下關鍵特性。

1)高可靠性。由于高危場所安全監(jiān)控系統(tǒng)是一個無人值守系統(tǒng)，在海上艦船環(huán)境條件下全天候24 h連續(xù)運行，監(jiān)控的對象是高危場所，因此，要求設備具有高可靠性，特別要保證在發(fā)生危險情況時，設備能夠正確運行，按照預定的決策方法對危險情況進行控制。

為滿足高可靠性的要求，必須在體系結構設計、軟件設計和硬件設計中采用可靠性措施，如冗余容錯設計、故障自動切換機制和高可靠性模塊設計技術等。

2)快速響應特性。一般來講，危險發(fā)現(xiàn)越早、對其抑制越早，其產(chǎn)生的危害就越小，因此，當危險情況發(fā)生時，系統(tǒng)必須能夠快速響應，及時采取措施，達到及早抑制危險的效果，使得危害造成的影響最小，因此，快速響應特性也是高危場所安全監(jiān)控系統(tǒng)必不可少的關鍵特性。

2 冗余方案

為滿足高危場所安全監(jiān)控系統(tǒng)高可靠性及快速響應的需要，可以采用多種方法，例如，控制器采用高可靠單機系統(tǒng)，或者采用冗余控制器系統(tǒng)等方法。其中，高可靠單機系統(tǒng)實現(xiàn)簡單，但是其核心元器件，如高可靠CPU、高可靠存貯器等很難獲得，并且價格昂貴，因此，實際應用中多采用冗余控制器系統(tǒng)。

常用的控制器冗余方式分類方法有多種，按冗余的工作方式分，有熱備份、溫備份和冷備份；按冗余模塊的數(shù)量分類，可以有雙冗余、3冗余和4冗余等；按控制器耦合的緊密程度分類，可以有松散耦合方式及緊耦合方式。冗余結構見圖2。

圖2 冗余結構示意

在松散耦合方式中，控制器間一般通過通信接口連接，其工作方式是控制器間通過通信接口交換信息，探測對方是否處于工作狀態(tài)，一旦某臺控制器探測到對方工作異常，則接管控制權。

在緊耦合方式下，控制器間通過硬件電路互相探測控制器的工作狀態(tài)，根據(jù)工作狀態(tài)通過硬件電路將控制權切換到可用的控制器中。

松散耦合方式設計簡單，只需在通用的控制器上加上通信接口即可，而且很容易在異構控制器間實現(xiàn)，這種方式的主要缺點是：判斷控制器異常實際上是通過控制器的軟件實現(xiàn)，切換也通過軟件實現(xiàn)，故切換速度慢，同時軟件設計較復雜。松散耦合冗余方式的方案一般實時性要求不高、但有可靠性要求。

緊耦合方式由于需要加上額外的硬件處理電路，設計較復雜，由于故障判斷和切換由硬件實現(xiàn)，因此，控制切換速度快，故障判斷快速可靠；判斷過程不需要或僅需要很少的軟件干預，故障處理軟件設計相對簡單。緊耦合冗余控制器切換時間短，一般常用在實時響應要求較高，不允許有失控的場所使用，如在火箭、導彈、衛(wèi)星等實時性和可靠性要求較高的設備中使用。

考慮上述兩種冗余方式的不同特點以及高危場所安全監(jiān)控系統(tǒng)的關鍵特性要求，綜合考慮可靠性、設計復雜性及成本等具體因素，在高危場所安全監(jiān)控系統(tǒng)設計中采用緊耦合雙冗余設計。

3 雙冗余控制器設計

在圖2的雙冗余結構中，每個獨立的冗余模塊由控制器和冗余控制電路組成，其原理框圖見圖3。

每個冗余模塊由一個控制器及冗余控制電路組成，其中控制器是一個通用的控制器，包含微處理器、存貯器、輸入電路、輸出電路、通信接口和現(xiàn)實電路等；冗余控制電路在圖3的虛框中示出，它包含復位電路、錯誤探測電路、狀態(tài)輸出電路、狀態(tài)輸入電路和主/備狀態(tài)指示電路5個部分。復位電路輸出復位信號(reset)，直接連接至控制器中CPU的復位信號端和錯誤探測電路的輸入端，復位電路的輸入連接控制器的看門狗信號(watch dog)；錯誤探測電路連接2個輸入：來自控制器的自檢錯誤輸出信號(error)以及來自復位電路的復位信號，其輸出包括“正常”和“錯誤”兩種狀態(tài)，實際工作中，該狀態(tài)輸出通過狀態(tài)輸出電路隔離后傳遞到另一個冗余模塊中；狀態(tài)輸入電路接收來自另一個冗余模塊的狀態(tài)輸出信號，經(jīng)過緩沖的信號連接到控制器CPU的硬件中斷端口上，使得控制器能夠快速探測到另一個控制器的狀態(tài)變化；主/備狀態(tài)指示電路是一個預置的位信號，用于設置控制器是“主控制器”或“從控制器”，控制器中的CPU可以讀取到此信號，判斷自身的狀態(tài)，在本設計中，只有一個惟一主控制器和一個惟一的備控制器。

圖3 冗余模塊原理示意

冗余電路工作原理如下：系統(tǒng)運行后，2個冗余模塊中的錯誤探測電路開始不間斷地探測控制器的狀態(tài)，如果錯誤探測電路探測到某個給定時間內(nèi)復位信號或者自檢錯誤輸出信號到達指定的次數(shù)，則可以判斷出控制器出現(xiàn)錯誤，不能正常工作，此時錯誤探測電路輸出“錯誤”狀態(tài)，同時，發(fā)出“處理器錯誤”的警告信號，另一個控制器接收到上述狀態(tài)變化后，判斷自己是否掌握控制權，若不是，則接管控制權，實現(xiàn)控制權的切換。上述過程即實現(xiàn)了控制器間控制權的簡單的無縫切換。

實際的設計中，電路部分采用了可編程器件實現(xiàn)，僅由2片小規(guī)模GAL編程實現(xiàn)了上述電路邏輯；與另一個冗余模塊的信號連接采用了電氣隔離設計，具體實現(xiàn)中采用了光耦和器進行電路的電氣隔離，電氣隔離特性保證故障不會從一個冗余模塊向另一個冗余模塊蔓延；由于設計中采用了簡化設計的指導思想，設計出的整個冗余控制電路本身極其簡單，所用元器件很少；選用元器件時，元器件均選用軍標高的可靠器件；在實際的冗余模塊結構設計中，控制器和冗余控制電路設計為一體，安裝在一個機箱內(nèi)，保證了控制器和冗余控制電路連接的可靠性。上述一系列設計措施充分保證了冗余控制電路具有極高的可靠性。

4 應用情況

采用雙冗余控制器構成的高危場所安全監(jiān)控系統(tǒng)，其原理見圖4。

圖4 雙冗余控制器組成的安全監(jiān)控系統(tǒng)

在圖4中，采用了雙冗余控制器，系統(tǒng)中包含1臺主控制器和1臺備控制器，主、備控制器及其各自冗余控制電路分別安裝在單獨的箱體內(nèi)，其間通過電纜連接，主、備控制器與設備驅(qū)動箱通過電纜連接。正常工作時，主、備控制器同時運行，并互相檢測對方的運行狀態(tài)，當主控制器出現(xiàn)異常或者備份控制器檢測到主控制器不能正常工作時，通過雙冗余切換機制立即切換到備控制器工作，當主控制器恢復正常后又可充當備用控制器加入到系統(tǒng)中工作。

系統(tǒng)的工作方式采用了熱備份方式，備控制器與主控制器一樣，其輸入的傳感器信息完全相同，都通過現(xiàn)場總線輸入，它們的輸出也連接到同一個設備驅(qū)動箱中，主、備控制器同時運行。由于采用了熱備份，兩臺控制器在運行時同時接收傳感器信息，根據(jù)傳感器信息進行決策計算，因此，當主控制權在主、備控制器間切換時，相對于松散耦合及冷備份和溫備份的手動或軟件切換方式而言，獲得控制權的控制器不需要重新獲取傳感器信息以及重新進行決策計算，可以直接采用本控制器計算出的決策結果并輸出到設備驅(qū)動箱，由于沒有獲得傳感器信息及重新進行決策計算的時間開銷，提高了在控制權切換時系統(tǒng)輸出的速度，可以保證控制輸出的實時性。

實際的工作過程中，由于主、備兩臺控制器同時出現(xiàn)故障(雙點故障)的概率極小，同時，一臺控制器出現(xiàn)故障時，會給出警告信號，可以通過維修手段來恢復其工作狀態(tài)，因此，對比單控制器結構，采用上述雙冗余控制器結構的高危場所安全監(jiān)控系統(tǒng)具有很高的可靠性及可用性。

5 結束語

基于上述雙冗余控制器方案實現(xiàn)的雙冗余、緊耦合、熱備份的安全監(jiān)控系統(tǒng)已經(jīng)在多個型號艦船高危場所的安全監(jiān)控中實際采用。長時間的設備運行及測試結果證明：該設計具有高可靠性和快速反應能力，在單控制器故障的條件下仍然能夠保證系統(tǒng)可靠完成安全監(jiān)控任務。

[1] 易 軍.一種高可靠性嵌入式系統(tǒng)的主備切換設計[J].電腦與信息技術,2005(6):30-32.

[2] 滿夢華，原 亮，丁國良，等.嵌入式高可靠性異構雙機冗余系統(tǒng)的設計[J].計算機應用, 2009,29(8):2143-2145.