发动机冗余电控系统切换控制方法.pdf

本发明公开了一种发动机冗余电控系统切换控制方法。通过在主备电路板之间采用数字信号对主备状态进行实时监测，根据监测信息产生主备控制命令。其中，实现对主备状态的监测主要是通过比较对方传送的特征信号，利用连续刷新的特征信号确定对方的状态是否正常，并根据主备状态信息确定切换逻辑电路控制状态，提高切换的准确性和可靠性。具有设定灵活，结构上简单、可靠、稳定的优点。

1、  发动机冗余电控系统切换控制方法，其特征在于该方法至少包括以下的步骤：
a.主、备用系统装置周期性的通过信息交换电路向对方提供状态确认特征信息和工作数据，进行相互间的状态监视和数据同步；
b.备用系统装置在根据对方提供的状态确认特征信息确认对方工作正常时，接收对方工作数据，保持主、备用系统装置间的数据同步；
c.备用系统在根据对方提供的状态确认特征信息确认对方故障或在一定周期内未收到对方正常状态确认特征信息时，输出控制命令字使对方输出无效并复位对方处理器，置己方输出使能并在同步数据基础上开始工作；
d.故障系统在重新复位后若未能恢复正常，则继续维持当前工作状态，同时工作系统会周期性的向主备控制电路发送输出控制命令字以尝试恢复故障系统；
e.故障系统在重新复位后若恢复正常，则通过信息交换电路向对方提供状态确认特征信息并接收对方提供的工作数据，并通过对主备控制电路发送命令字设置己方的输出禁止控制；
f.工作系统在确认故障系统恢复正常后，通过向主备控制电路发送输出控制命令字取消对原故障系统对控制，恢复对方的自主控制；
g.状态处理电路根据输入信号的逻辑值，与特定的逻辑组合进行匹配，产生相应的控制信号，否则不发信号。

2、  根据权利要求1所述的发动机冗余电控系统切换控制方法，其特征在于：所述的主备控制逻辑电路根据CPU处理器的命令字产生控制逻辑输出，所述的命令字至少包括：本地输出禁止/使能命令字、远程输出禁止/使能命令字和远程处理器复位命令字。

3、  根据权利要求1或2所述的发动机冗余电控系统切换控制方法，其特征在于：所述的状态处理逻辑电路根据输入信号产生控制输出操作信号，所述的控制输出操作信号至少包括：输出禁止/使能信号和处理器复位信号。

4、  根据权利要求1或2所述的发动机冗余电控系统切换控制方法，其特征在于：所述的主备控制电路的命令字由数据总线或一组I/O接口的特定逻辑值组合构成，控制输出操作信号也采用一组逻辑信号组合为不同控制信号。

5、  根据权利要求3所述的发动机冗余电控系统切换控制方法，其特征在于：所述的控制命令字和输出的主备切换控制信号均由一组特定的逻辑值构成，该逻辑值由逻辑电路组合或编程确定，故障判定周期和故障复位控制周期值由主备逻辑控制电路根据切换性能要求通过软件的查询周期确定。

发动机冗余电控系统切换控制方法
(一)技术领域
本发明涉及一种以发动机电控系统，特别涉及一种发动机冗余电控系统切换电路及控制方法。
(二)背景技术
为了提高系统的可靠性，系统中的关健单元或系统通常采用主备热备份的冗余技术。所谓主备热备份是指相同的两个单元或系统同时工作，一个为正常工作用，另一个为备用，当正常工作用的单元或系统出现故障时，系统应能够自动启用备用单元或切换到备用系统，保证系统工作的连续性。
在发动机电子控制设备中，系统的可靠性是极为重要的，特别在一些关键应用领域如电站机组发动机控制、军用舰船主/辅发动机控制等，为保证在电控系统故障的情况下维持柴油机不间断的应急运行，均有必要采用热备份电控系统，该系统包括主、备两个相对独立的分系统，在主系统正常时发动机在主控制系统的控制下运行，备用系统处在监视状态，一旦主系统出现故障或主系统外围关键电路出现故障，则由备用系统接替主系统完成对发动机的应急运行控制。
在现有发动机电控系统中，一般是单系统，在出现故障时必须停机更换，不能实现故障时的应急连续运行。对热备份技术的研究与应用，在通讯设备领域相对较多，但由于发动机控制系统涉及的输入、输出信号数量多，类型复杂，既有开关量多输入输出，又有各种模拟信号。在保证主、备系统工作的协调性、切换的平稳性，避免发生故障的控制系统对工作系统的干扰，其技术要求与通讯设备有很大区别。也曾有一些对发动机热备份电控系统的探讨性研究，但仅限于主备系统的自动鉴别措施等，且采取的电路一般都为简单的逻辑门电路和单一的控制信号源，尚不具备实用价值，因此也没有相关的实际应用。
目前已知的冗余切换控制方法中，当互为冗余的两个逻辑对象同时上电时，通过设定一个定时器的方式来确定逻辑对象的逻辑状态，相关专利文献请参考公开号为CN1275000A的中国专利申请。公开号1591348A的中国专利申请文件《冗余切换控制方法及电路》采用三输入端与非逻辑电路实现故障的判别与冗余切换，实现了根据故障程度来决定是否切换和手动切换的功能。
但总的来说，现有的冗余切换电路和方法均存在如下的一些缺点：
1.采用简单的门电路来实现冗余逻辑处理，不能对系统故障时可能产生的错误信号进行鉴别，影响该冗余电路工作的可靠性；
2.采用单一的逻辑信号作为输入信号，在受到外界干扰时容易产生错误动作；
3.对系统上电复位处理不完善，没有提供上电复位过程的逻辑信号，以实现对外部接口的有效控制；
4.不具有数据同步接口，不能保证冗余系统状态同步，满足不了系统切换平稳过渡的要求；
5.不具备对故障系统重新复位以尝试恢复系统的功能。
(三)发明内容
本发明的目的在于提供一种用以提高主备系统切换的可靠性、平稳性和实时性的发动机冗余电控系统切换控制方法。
本发明的组成为：
本发明的产品的技术方案是：它包括分别设置于两块功能结构相同的电路板上的主、备用系统装置控制电路，每个控制电路包括CPU处理器，其特征在于每个控制电路至少包括：
信息交换电路，用于主、备用系统装置按一定的周期刷新工作状态字，向对方确认自己的工作状态特征信息，否则被判定为系统故障，在正常工作时工作系统装置将当前的工作状态数据和操作指令传递给备用系统装置；
CPU接口电路，用于接收CPU处理器发送的命令字，进行数据锁存和读写控制操作，并将CPU处理器发送的命令字输出给主备控制逻辑电路；
主备控制逻辑电路，用于处理CPU接口电路接收的CPU处理器发送的命令字，根据CPU接口电路提供的命令字与预设的命令字特征值进行匹配，产生相应的控制输出操作信号，如不能与设定命令字值匹配，则不改变当前状态；
状态处理逻辑电路，用于接收对方控制逻辑电路产生的控制输出操作信号，根据本地主备控制逻辑电路产生的控制输出操作信号和对方主备控制逻辑电路产生的控制输出操作信号，产生本地操作信号；
CPU接口电路输入和系统处理器数据总线或IO端口连接，其输出连接主备控制逻辑电路的输入；主备控制逻辑电路的输出分两组：一组连接本地状态处理逻辑电路，一组连接对方状态处理逻辑电路；状态处理逻辑电路的输入连接本地和对方主备控制逻辑电路的输出，并根据输入信号逻辑关系输出复位和IO控制信号，连接本地CPU复位电路和IO输出控制电路。信息交换电路分别连接各自的处理器通讯端口，并在主备系统之间收发交叉连接。
本发明的控制方法为：至少包括以下的步骤：
a.主、备用系统装置周期性的通过信息交换电路向对方提供状态确认特征信息和工作数据，进行相互间的状态监视和数据同步；
b.备用系统装置在根据对方提供的状态确认特征信息确认对方工作正常时，接收对方工作数据，保持主、备用系统装置间的数据同步；
c.备用系统在根据对方提供的状态确认特征信息确认对方故障或在一定周期内未收到对方正常状态确认特征信息时，输出控制命令字使对方输出无效并复位对方处理器，置己方输出使能并在同步数据基础上开始工作；
d.故障系统在重新复位后若未能恢复正常，则继续维持当前工作状态，同时工作系统会周期性的向主备控制电路发送输出控制命令字以尝试恢复故障系统；
e.故障系统在重新复位后若恢复正常，则通过信息交换电路向对方提供状态确认特征信息并接收对方提供的工作数据，并通过对主备控制电路发送命令字设置己方的输出禁止控制；
f.工作系统在确认故障系统恢复正常后，通过向主备控制电路发送输出控制命令字取消对原故障系统对控制，恢复对方的自主控制；
g.状态处理电路根据输入信号的逻辑值，与特定的逻辑组合进行匹配，产生相应的控制信号，否则不发信号。
本发明中CPU接口电路、主备控制逻辑电路和状态处理逻辑电路可以采用一组独立逻辑器件或一片可编程逻辑器件完成。
通过信息交换电路，主、备用系统进行相互监视、状态确认，完成数据和操作指令的传递，实现主、备系统的切换控制和数据同步，保证系统切换后的状态一致性。
CPU接口电路采用逻辑电路或可编程逻辑器件构成，用于接收CPU发送的命令字，实现对CPU命令字的接收和锁存处理。
主备控制逻辑电路根据CPU接口电路锁存的命令字产生控制逻辑输出。所述的命令字至少包括：本地输出禁止/使能命令字、远程输出禁止/使能命令字、远程处理器复位命令字等。
状态处理逻辑电路根据主、备电控系统的主备控制逻辑电路输入信号产生控制输出，所述的控制输出至少包括：输出禁止/使能信号、处理器复位信号等。
信息交换电路可以采用双口RAM构成，也可以通过现场总线方式，实现冗余控制系统中主、备控制系统间的数据交换。
主备控制电路的命令字由数据总线或一组I/O接口的特定逻辑值组合构成，其输出信号也采用一组逻辑信号组合为不同控制信号。
状态处理逻辑电路的输入信号包括主、备系统的主备控制电路根据命令字产生的控制逻辑输出。
冗余电控系统切换电路的主备控制命令字和输出的主备切换控制信号均由一组特定的逻辑值构成，该逻辑值由逻辑电路组合或编程确定，故障判定周期和故障复位控制周期值由主、备控制系统根据切换性能要求和CPU复位时序要求通过软件设定的定时周期确定。
本发明可以提高主备系统切换的可靠性、平稳性和实时性，并着重解决以下问题：
1.避免系统故障和干扰而产生的错误信号影响冗余切换电路工作状态；
2.避免上电过程冗余系统输出逻辑的不确定性或逻辑冲突；
3.避免系统切换过程中对发动机控制的不连续，影响发动机的平稳性；
4.实现对故障系统的自动复位。
本发明通过在主备电路板之间采用数字信号对主备状态进行实时监测，根据监测信息产生主备控制命令。其中，实现对主备状态的监测主要是通过比较对方传送的特征信号，利用连续刷新的特征信号确定对方的状态是否正常，并根据主备状态信息确定切换逻辑电路控制状态，提高切换的准确性和可靠性。本发明由硬件和软件相结合实现，设定灵活，结构上简单、可靠、稳定。
(四)附图说明
图1为现有统冗余切换电路的结构示意图；
图2为本发明发动机冗余电控系统切换电路的结构示意图；
图3为本发明的状态逻辑示意图。
(五)具体实施方式
下面结合附图及实施例对本发明作进一步详细的说明。
结合图2，本实施例切换电路至少包括：CPU接口电路、主备控制逻辑电路、状态处理逻辑电路以及信息交换电路。
CPU处理器通过CPU接口电路提供命令字给主备控制逻辑电路，该命令字包括：本地输出禁止/使能命令字、远程输出禁止/使能命令字、远程处理器复位命令字。该命令字的写入要符合总线的写逻辑时序，避免复位过程中或系统异常时可能产生的错误信号。
假定CPU接口电路采用16位总线接口，主备控制逻辑命令字定义为：本地输出禁止命令字—0xaaa0；本地输出使能命令字—0xaa0a；远程输出禁止/CPU复位命令字—0x5550；远程输出禁止/CPU复位取消命令字—0x5505；远程控制取消命令字—0x5555。其他值为无效数据，禁止本地输出并取消远程控制。
主备控制逻辑电路根据CPU接口电路提供的数据与预设的命令字特征值进行匹配，产生相应的控制信号。该控制信号包括“本地输出禁止/使能”控制信号，“远程输出禁止/使能”信号和“远程CPU复位”信号。其中“远程输出禁止/使能”信号和“远程CPU复位”信号提供给对方状态处理逻辑电路，采用多信号组合的特征值方式输出，以提高系统的可靠性。假定主备控制逻辑电路输出的主备控制信号采用8个信号值，定义远程输出禁止/CPU复位输出逻辑值为0x55；远程输出禁止/CPU复位取消命令字为0xaa；其他值取消远程控制。
如输入时序不对或不能与设定命令字值匹配，则不改变当前状态，以避免因处理器或总线故障产生的错误操作。
状态处理逻辑电路根据本地主备控制逻辑电路产生的控制信号和对方主备控制逻辑电路产生的控制信号，产生“本地输出使能/禁止”信号和“本地CPU复位信号”，以隔离非工作系统的输出控制或尝试重起动故障系统。
信息交换电路一方面实现主、备系统装置的状态监测，工作时主、备控制系统必须按一定的周期刷新状态字，向对方确认自己的工作状态特征信息，否则被判定为系统故障；另一方面在主、备系统正常时工作系统要实时通过信息交换电路把系统当前的工作状态数据、操作指令等传递给备用系统，使备用系统与工作系统同步，保证在切换时两者状态的一致性和切换过程发动机控制的平稳性。
结合图3，本实施例的具体工作过程是：
1.系统上电后，由于主、备系统的CPU接口数据不和任何命令字匹配，主备控制逻辑电路输出一“本地输出禁止”信号，取消“远程输出禁止”和“远程CPU复位”信号，使在系统在上电到系统正常运行过程中禁止任何输出控制信号和主、备控制信号，主、备系统各自独立地进行系统的复位和系统初始化操作。
2.主、备控制系统各自独立完成系统初始化后，主系统CPU根据初始化结果输出本地输出使能命令字0xaa0a，备系统CPU输出本地输出禁止控制命令字0xaaa0，使主、备系统分别运行在工作和备用状态。
3.主、备系统分别周期性地刷新并通过信息交换电路向对方提供运行状态标志，接收、处理对方提供的运行状态标志。同时工作系统(主系统)定时向备用系统提供工作状态数据和操作指令等。若备用系统正常，则备用系统接收工作系统提供的工作状态数据和操作指令，保持系统状态的同步。
4.若备用系统故障，工作系统CPU向主备控制逻辑电路输出“远程输出禁止/CPU复位”命令字0x5550和“远程输出禁止/CPU复位取消”命令字0x5505，使工作系统向备用系统输出“输出禁止”和“处理器复位”逻辑信号；备用系统的状态处理逻辑电路根据该信号产生控制信号中止输出，并向处理器提供一复位时序信号，尝试重新起动备用系统。
5.若主系统故障，无法正确刷新状态特征字和提供运行数据，备系统CPU输出远程输出禁止/CPU复位”命令字0x5550和“远程输出禁止/CPU复位取消”命令字0x5505，使备用系统向工作系统输出“输出禁止”和“处理器复位”逻辑信号；工作系统的状态处理逻辑电路根据该信号产生控制信号中止输出并复位，备用系统CPU再通过输出本地输出使能命令字0xaa0a，使备用系统转入工作状态。
6.主系统重新复位后若恢复正常，则转入备用状态，同时通过信息交换电路向工作系统提供状态信息和刷新状态标志，接收工作系统提供的运行状态数据和操作指令，保持和工作系统的同步。
6.主系统若恢复正常转入备用状态后，输出“本地输出禁止”命令字0xaaa0禁止本地输出控制，当前工作系统输出“远程控制取消”命令字0x5555撤消控制信号，恢复对方的自主控制权。
8.主、备系统均正常时通过外部输入切换指令，主、备系统的CPU各自独立通过向主备控制逻辑电路输出命令字完成输出禁止或使能的切换操作，实现输出使能或禁止的独立控制，同时通过信息交换电路进行运行状态标志的交换与确认。