《基于双DSP的热冗余CAN总线高容错性控制终端及容错控制方法.pdf》由会员分享，可在线阅读，更多相关《基于双DSP的热冗余CAN总线高容错性控制终端及容错控制方法.pdf（12页珍藏版）》请在专利查询网上搜索。
1、(10)申请公布号 CN 103149907 A (43)申请公布日 2013.06.12 CN 103149907 A *CN103149907A* (21)申请号 201310060128.2 (22)申请日 2013.02.26 G05B 19/418(2006.01) (71)申请人 哈尔滨工业大学 地址 150001 黑龙江省哈尔滨市南岗区西大 直街 92 号 (72)发明人 刘晓胜 海天翔 张鹏宇 徐殿国 (74)专利代理机构 哈尔滨市松花江专利商标事 务所 23109 代理人 张宏威 (54) 发明名称 基于双 DSP 的热冗余 CAN 总线高容错性控制 终端及容错控制方法 (5。
2、7) 摘要 基于双 DSP 的热冗余 CAN 总线高容错性控制 终端及容错控制方法， 属于自动化控制领域， 本发 明为解决现有分布式控制系统内的控制终端大 多采用冷备份， 易造成控制失效、 数据丢失和传输 超时等问题 ； 以及现有的容错机制不够完善的问 题。 本发明包括数模I/O 板和双冗余DSP 控制板， 双冗余DSP控制板包括主DSP、 从DSP、 第一CAN收 发模块、 第二 CAN 收发模块、 第三 CAN 收发模块和 第四CAN收发模块， 数模I/O板包括电源模块、 ADC 模块、 第一RS232通信模块、 第二RS232通信模块、 CPLD、 PWM 模块和 PWM 滤波自检模块，。
3、 主 DSP 和从 DSP 构成冗余， 采用自检和互检两种方式解决控 制器故障。 (51)Int.Cl. 权利要求书 2 页 说明书 6 页 附图 3 页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书2页 说明书6页 附图3页 (10)申请公布号 CN 103149907 A CN 103149907 A *CN103149907A* 1/2 页 2 1.基于双DSP的热冗余CAN总线高容错性控制终端， 其特征在于， 它包括数模I/O板和 双冗余 DSP 控制板， 双冗余 DSP 控制板包括主 DSP（1） 、 从 DSP（2） 、 第一 CAN 收发模块 （3） 、。
4、 第二 CAN 收发 模块 （4） 、 第三 CAN 收发模块 （5） 和第四 CAN 收发模块 （6） ， 数模I/O板包括电源模块 （7） 、 ADC模块 （8） 、 第一RS232通信模块 （9） 、 第二RS232通信 模块 （10） 、 CPLD（11） 、 PWM 模块 （12） 和 PWM 滤波自检模块 （13） ， 主 DSP（1） 和从 DSP（2） 之间通过 SPI 串行总线进行通信， 电源模块 （7） 的主电源电路和从电源电路为冗余备份结构， 电源模块 （7） 为主 DSP（1） 和从 DSP（2） 供电 ； ADC 模块 （8） 与主 DSP（1） 之间通过第一过程总线。
5、连接， 第一过程总线上还挂接第一 CAN 收发模块 （3） 、 第三 CAN 收发模块 （5） 、 第一 RS232 通信模块 （9） 、 CPLD（11） 和 PWM 模块 （12） ； ADC 模块 （8） 与从 DSP（2） 之间通过第二过程总线连接， 第二过程总线上还挂接第二 CAN 收发模块 （4） 、 第四 CAN 收发模块 （6） 、 第二 RS232 通信模块 （10） 、 CPLD（11） 和 PWM 模 块 （12） ， PWM 模块 （12） 的自检信号输出端与 PWM 滤波自检模块 （13） 的自检信号输入端相 连， PWM 滤波自检模块 （13） 的自检信号输出端与 。
6、ADC 模块 （8） 的 PWM 滤波自检信号模拟量 输入端相连。 2.根据权利要求1所述基于双DSP的热冗余CAN总线高容错性控制终端， 其特征在于， 它还包括开关量输入输出模块 （14） ， 开关量输入输出模块 （14） 的输入输出端与 CPLD（11） 的输入输出端相连。 3.根据权利要求2所述基于双DSP的热冗余CAN总线高容错性控制终端， 其特征在于， 它还包括 PWM 调光驱动模块 （15） ， PWM 调光驱动模块 （15） 的输入端与 PWM 模块 （12） 的输出 端相连。 4.根据权利要求3所述基于双DSP的热冗余CAN总线高容错性控制终端， 其特征在于， 它还包括模拟量输。
7、入模块 （16） 和模拟量输入自检模块 （17） ， 模拟量输入模块 （16） 的输出 端与 ADC 模块 （8） 的外部模拟量输入端相连， 模拟量输入自检模块 （17） 的模拟量自检信号 输出端与 ADC 模块 （8） 的模拟量自检信号输入端相连。 5.基于权利要求4所述基于双DSP的热冗余CAN总线高容错性控制终端的容错控制方 法， 其特征在于， 该方法包括以下步骤 ： 步骤 A1、 对主、 从 DSP 进行任务同步及时钟校对 ； 步骤 A2、 启动初始化自检， 并判断系统是否存在故障， 如果系统存在故障， 执行步骤 A6 ； 如果系统不存在故障， 执行步骤 A3 ； 步骤 A3、 判断 。
8、SPI 互检信息是否相同， 如果相同， 执行步骤 A4 ； 如果不同， 执行步骤 A5 ； 步骤 A4、 启动周期性自检， 并判断系统是否存在故障， 如果系统存在故障， 执行步骤 A6 ； 如果系统不存在故障， 返回执行步骤 A4 ； 步骤 A5、 按控制器切换机制输出数据， 完成容错控制 ； 步骤 A6、 寻找并解决故障， 完成容错控制。 6.根据权利要求5所述基于双DSP的热冗余CAN总线高容错性控制终端的容错控制方 权 利 要 求 书 CN 103149907 A 2 2/2 页 3 法， 其特征在于， 步骤 A3 中的 SPI 互检信息为 ： 控制终端在正常运行模式下， 主 DSP（1。
9、） 和 从 DSP（2） 之间将通过高速的 SPI 总线核对彼此在运行中的关键控制信息， 所述关键控制 信息包括模量的采样值、 CAN 总线上收发的远程控制指令或采样数据、 主 DSP（1） 和从 DSP （2） 运算的重要结果和预输出的数模量。 7.根据权利要求5所述基于双DSP的热冗余CAN总线高容错性控制终端的容错控制方 法， 其特征在于， 步骤 A5 所述的控制器切换机制为 ： 若各自独立同步运行的主 DSP（1） 和从 DSP（2） 之间的关键信息相同， 则选择主 DSP （1） 对外部进行输出 ； 若主 DSP（1） 和从 DSP（2） 之间的关键信息不同， 则主 DSP（1） 和。
10、从 DSP（2） 在规定 的时间内进行重新采样计算、 申请副本数据并核对彼此信息 ； 重新采样后， 若主 DSP（1） 和从 DSP（2） 的关键信息仍不相同， 则采用控制器故障自检 方式， 检测出故障源并应用切换机制， 数据流通过无故障的控制通道进行输出， 实现控制终 端的容错控制。 权 利 要 求 书 CN 103149907 A 3 1/6 页 4 基于双 DSP 的热冗余 CAN 总线高容错性控制终端及容错控 制方法 技术领域 0001 本发明涉及基于双 DSP 的热冗余 CAN 总线高容错性控制终端及容错控制方法， 属 于自动化控制领域。 背景技术 0002 在工业自动化领域里的大型。
11、化工、 石化、 冶金、 电力等企业中， 分布式控制系统内 的控制终端对于系统的安全运行十分重要。在系统处于运行状态时， 如果控制终端由于 某些元部件故障而引发整体或局部的失效， 或者因外部扰动而导致采样、 运算和输出的不 正确， 将会造成非常严重的后果， 尤其是对于航天、 航空、 能源和医疗卫生等安全关键领域 (SCS)。所以， 系统的控制终端须具备完善的冗余机制和较强的容错能力， 从而在系统发生 故障时立即发现与诊断故障 , 并可通过逻辑切换使系统在降级运行下仍然能够完成基本 功能。然而， 现有的控制终端却普遍存在下面 2 个问题 ： 0003 1、 现有的冗余策略多采用冷备份的方案， 即系。
12、统正常运行时， 互为冗余的两组控 制器内仅有一组 （主控制器） 处于工作状态。当系统出现故障时， 再切换到备用一组 （从控制 器） 。在这种方式下， 故障检测及控制器间的切换往往不及时， 必然导致系统自愈时间较长， 易造成控制失效、 数据丢失和传输超时等问题。 0004 2、 现有的容错机制不够完善。在多数情况下， 只能处理系统外电路的单一故障或 组合故障， 而无法解决因关键部件 （CPU 和电源模块） 故障而引发的系统级失效。另外， 检测 手段不够全面， 不能及时地发现、 诊断和排除错误及故障， 系统可信性较差， 易导致更大事 故的发生。 发明内容 0005 本发明目的是为了解决现有分布式控。
13、制系统内的控制终端大多采用冷备份， 易造 成控制失效、 数据丢失和传输超时等问题 ； 以及现有的容错机制不够完善的问题， 提供了一 种基于双 DSP 的热冗余 CAN 总线高容错性控制终端及容错控制方法。 0006 本发明所述基于双 DSP 的热冗余 CAN 总线高容错性控制终端， 它包括数模 I/O 板 和双冗余 DSP 控制板， 0007 双冗余 DSP 控制板包括主 DSP、 从 DSP、 第一 CAN 收发模块、 第二 CAN 收发模块、 第 三 CAN 收发模块和第四 CAN 收发模块， 0008 数模 I/O 板包括电源模块、 ADC 模块、 第一 RS232 通信模块、 第二 R。
14、S232 通信模块、 CPLD、 PWM 模块和 PWM 滤波自检模块， 0009 主 DSP 和从 DSP 之间通过 SPI 串行总线进行通信， 0010 电源模块的主电源电路和从电源电路为冗余备份结构， 电源模块为主 DSP 和从 DSP 供电 ； 0011 ADC模块与主DSP之间通过第一过程总线连接， 第一过程总线上还挂接第一CAN收 说 明 书 CN 103149907 A 4 2/6 页 5 发模块、 第三 CAN 收发模块、 第一 RS232 通信模块、 CPLD 和 PWM 模块 ； 0012 ADC模块与从DSP之间通过第二过程总线连接， 第二过程总线上还挂接第二CAN收 发。
15、模块、 第四 CAN 收发模块、 第二 RS232 通信模块、 CPLD 和 PWM 模块， PWM 模块的自检信号输 出端与 PWM 滤波自检模块的自检信号输入端相连， PWM 滤波自检模块的自检信号输出端与 ADC 模块的 PWM 滤波自检信号模拟量输入端相连。 0013 还可以进一步包括开关量输入输出模块， 开关量输入输出模块的输入输出端与 CPLD 的输入输出端相连。 0014 还可以进一步包括 PWM 调光驱动模块， PWM 调光驱动模块的输入端与 PWM 模块的 输出端相连。 0015 还可以进一步包括模拟量输入模块和模拟量输入自检模块， 模拟量输入模块的输 出端与 ADC 模块的。
16、外部模拟量输入端相连， 模拟量输入自检模块的模拟量自检信号输出端 与 ADC 模块的模拟量自检信号输入端相连。 0016 基于上述基于双DSP的热冗余CAN总线高容错性控制终端的容错控制方法包括以 下步骤 ： 0017 步骤 A1、 对主、 从 DSP 进行任务同步及时钟校对 ； 0018 步骤 A2、 启动初始化自检， 并判断系统是否存在故障， 0019 如果系统存在故障， 执行步骤 A6 ； 如果系统不存在故障， 执行步骤 A3 ； 0020 步骤 A3、 判断 SPI 互检信息是否相同， 0021 如果相同， 执行步骤 A4 ； 如果不同， 执行步骤 A5 ； 0022 步骤 A4、 启。
17、动周期性自检， 并判断系统是否存在故障， 0023 如果系统存在故障， 执行步骤 A6 ； 如果系统不存在故障， 返回执行步骤 A4 ； 0024 步骤 A5、 按控制器切换机制输出数据， 完成容错控制 ； 0025 步骤 A6、 寻找并解决故障， 完成容错控制。 0026 本发明的优点 ： 0027 （1） 基于双 DSP 的热冗余 CAN 总线高容错性控制终端采用了双模热冗余的控制 策略， 通过控制器的系统级三层自检与互检， 能够及时检测到控制终端故障， 并在故障条件 下， 显著减小系统的控制中断与延时， 全面提高系统的可靠性。 0028 （2） 基于双DSP的热冗余CAN高容错性控制终端。
18、采用了具有高精度、 高速度和高可 靠等特点的 DSP 作为系统的核心控制器， 并且配备有丰富的外部接口， 可与外界多种设备 负载进行数据交换， 能够广泛普适于工业控制系统中。 0029 （3） 基于双 DSP 的热冗余 CAN 高容错性控制终端采用双模热冗余 CAN 作为其通信 链路， 拥有强大的纠错能力及通用性， 可满足工业控制系统的通信需求。 0030 （4） 基于双 DSP 的热冗余 CAN 高容错性控制终端采用双层的物理结构， 体积小、 结 构简单、 易于拆卸维修， 可实现产品化。 0031 与其他现有产品对比 ： 目前市面上没有类似的具有高容错性的产品。 附图说明 0032 图 1 。
19、是本发明所述基于双 DSP 的热冗余 CAN 总线高容错性控制终端的结构示意 图 ； 说 明 书 CN 103149907 A 5 3/6 页 6 0033 图 2 是基于双 DSP 的热冗余 CAN 总线高容错性控制终端的容错控制方法的流程 图 ； 0034 图 3 是控制器切换机制的原理图 ； 0035 图 4 是具体实施方式六的结构示意图。 具体实施方式 0036 具体实施方式一 ： 下面结合图1说明本实施方式， 本实施方式所述基于双DSP的热 冗余 CAN 总线高容错性控制终端， 它包括数模 I/O 板和双冗余 DSP 控制板， 0037 双冗余 DSP 控制板包括主 DSP1、 从 。
20、DSP2、 第一 CAN 收发模块 3、 第二 CAN 收发模块 4、 第三 CAN 收发模块 5 和第四 CAN 收发模块 6， 0038 数模 I/O 板包括电源模块 7、 ADC 模块 8、 第一 RS232 通信模块 9、 第二 RS232 通信 模块 10、 CPLD11、 PWM 模块 12 和 PWM 滤波自检模块 13， 0039 主 DSP1 和从 DSP2 之间通过 SPI 串行总线进行通信， 0040 电源模块 7 的主电源电路和从电源电路为冗余备份结构， 电源模块 7 为主 DSP1 和 从 DSP2 供电 ； 0041 ADC 模块 8 与主 DSP1 之间通过第一过。
21、程总线连接， 第一过程总线上还挂接第一 CAN 收发模块 3、 第三 CAN 收发模块 5、 第一 RS232 通信模块 9、 CPLD11 和 PWM 模块 12 ； 0042 ADC 模块 8 与从 DSP2 之间通过第二过程总线连接， 第二过程总线上还挂接第二 CAN 收发模块 4、 第四 CAN 收发模块 6、 第二 RS232 通信模块 10、 CPLD11 和 PWM 模块 12， PWM 模块 12 的自检信号输出端与 PWM 滤波自检模块 13 的自检信号输入端相连， PWM 滤波自检 模块 13 的自检信号输出端与 ADC 模块 8 的 PWM 滤波自检信号模拟量输入端相连。。
22、 0043 本实施方式所述基于双DSP的热冗余CAN高容错性控制终端可以实现控制器的系 统级热冗余。在正常工作时， 两组控制器 （主 DSP1、 从 DSP2） 及外电路均同时采样和收发数 据， 同步运算处理， 相互间对比校验而取得一致后， 再对外部设备进行控制输出。当主 DSP1 （或从 DSP2） 出现故障时， 首先通过双 DSP 间的互监控发现故障， 然后启动控制器自检测来 定位故障， 最后合理地进行控制输出通道或传输链路间的切换。由于系统采用双 DSP 同时 运行的热冗余结构， 从而使系统不存在任何的自愈时间， 通信及控制不致中断。 0044 本实施方式所述基于双 DSP 的热冗余 C。
23、AN 总线高容错性控制终端采用双模冗余 CAN 总线作为通信链路， 传输性能较好、 低成本并兼具有良好的灵活性。两路 CAN 总线互为 备份， 通过传输过程中的数据整形、 调度控制和冗余管理算法， 极大地提高了系统远程控制 的可靠性。 0045 本实施方式所述基于双DSP的热冗余CAN高容错性控制终端拥有高速的处理器和 丰富的外部接口。DSP 作为系统的数字信号处理器， 拥有高速度、 高精度的运算能力及丰富 的外设资源。 DSP+CAN结构能够有效提高系统的整体性能与容错能力， 并可与外界多种设备 进行数据交换， 其具有简便、 可拆装的物理结构， 可真正应用于工业控制系统当中。 0046 基于。
24、双 DSP 的热冗余 CAN 高容错性控制终端采用了双层的物理结构。将两个互为 冗余的 DSP 控制板叠置于数模 I/O 板上， 以焊针相互连接。两块 DSP 控制板在空间上是上 下关系。这样精巧、 简便的设计， 极大地缩小了终端系统的体积， 并可在 DSP 板出现故障时 将其取下， 换上无故障的 DSP 板， 从而完成易拆卸组装与更换维护。 说 明 书 CN 103149907 A 6 4/6 页 7 0047 双冗余DSP控制板 ： 用于运算控制与CAN总线收发， 由两个DSP及其最小系统、 4路 CAN 收发器组成。主 DSP1 和从 DSP2 之间通过 SPI 串行总线连接， 实现相互。
25、间的信息交换、 状态监视和数据备份。 0048 数模 I/O 板 ： 用于数字信号的预处理， 模拟信号的调理、 PWM 调光驱动、 各类通信接 口与功能自检等， 包括 6 大功能模块， 详细说明如下 ： 0049 (1) 电源模块 7 0050 电源模块 7 采用冗余备份的策略， 即系统正常工作时， 两路电源分别独立地为两 个 DSP 控制板供电， 其中主电源还承担着为数模 I/O 板上各模块供电的任务。当主电源出 现故障而不能正常供电时， 通过电源切换电路立刻切换到从电源上来， 以保证供电的不间 断性。从电源故障同理。 0051 (2) 模拟信号调理模块 0052 模拟信号调理模块即ADC模。
26、块8， 能够完成对多路模拟信号的实时采集与处理。 采 集后的模拟量同时传送给两个 DSP， 在 DSP 内部 A/D 模块内进行模 / 数量的转换。 0053 (3) 开关量输入输出模块 14 0054 由于工业控制系统中控制器需要控制的 I/O 口数量较多， 而 DSP 对应的 I/O 管脚 在数量上不能满足要求， 故采用一个CPLD来扩展控制器的I/O引脚。 在离散开关量输入时， 由 CPLD 采样去抖、 以中断的形式同时传送给两个 DSP 模块。而在离散开关量输出时， CPLD 用于双冗余通道间的比较、 输出与切换控制。 0055 (4) 串口模块 0056 串口模块包括第一 RS232。
27、 通信模块 9 和第二 RS232 通信模块 10， 用于控制终端与 用户计算机或触摸液晶屏等外部上位机设备的通信， 实现将控制终端内模拟信号、 数字信 号、 故障警报及设备状态信息等实时地传输到用户计算机或外部设备， 并接收用户的各种 操作指令。 0057 (5)PWM 模块 12 0058 PWM 模块 12 可用于对电子仪表中步进电机的控制、 并对工业照明设备进行调光 等。在本发明中， 两个 DSP 均输出 PWM 波， 通过相应门电路及模拟开关的使能， 进行主从选 通控制， 保证每一时刻仅有一路正确的 PWM 波输出。 0059 (6) 自检电路 0060 控制终端内各功能模块都有其附。
28、属的自检电路， 其功能是配合控制器完成其对于 控制器及外电路功能的检验， 包括模拟信号采集处理、 PWM 输出、 离散开关量输入输出等自 检。 0061 具体实施方式二 ： 本实施方式对实施方式一作进一步说明， 它还包括开关量输入 输出模块 14， 开关量输入输出模块 14 的输入输出端与 CPLD11 的输入输出端相连。 0062 具体实施方式三 ： 本实施方式对实施方式一或二作进一步说明， 它还包括 PWM 调 光驱动模块 15， PWM 调光驱动模块 15 的输入端与 PWM 模块 12 的输出端相连。 0063 具体实施方式四 ： 本实施方式对实施方式一、 二或三作进一步说明， 它还包。
29、括模拟 量输入模块 16 和模拟量输入自检模块 17， 模拟量输入模块 16 的输出端与 ADC 模块 8 的外 部模拟量输入端相连， 模拟量输入自检模块 17 的模拟量自检信号输出端与 ADC 模块 8 的模 拟量自检信号输入端相连。 说 明 书 CN 103149907 A 7 5/6 页 8 0064 具体实施方式五 ： 下面结合图1至图3说明本实施方式， 实现本实施方式四所述基 于双 DSP 的热冗余 CAN 总线高容错性控制终端的容错控制方法包括以下步骤 ： 0065 步骤 A1、 对主、 从 DSP 进行任务同步及时钟校对 ； 0066 步骤 A2、 启动初始化自检， 并判断系统是。
30、否存在故障， 0067 如果系统存在故障， 执行步骤 A6 ； 如果系统不存在故障， 执行步骤 A3 ； 0068 步骤 A3、 判断 SPI 互检信息是否相同， 0069 如果相同， 执行步骤 A4 ； 如果不同， 执行步骤 A5 ； 0070 步骤 A4、 启动周期性自检， 并判断系统是否存在故障， 0071 如果系统存在故障， 执行步骤 A6 ； 如果系统不存在故障， 返回执行步骤 A4 ； 0072 步骤 A5、 按控制器切换机制输出数据， 完成容错控制 ； 0073 步骤 A6、 寻找并解决故障， 完成容错控制。 0074 步骤 A3 中的 SPI 互检信息为 ： 控制终端在正常运行。
31、模式下， 主 DSP1 和从 DSP2 之 间将通过高速的 SPI 总线核对彼此在运行中的关键控制信息， 所述关键控制信息包括模量 的采样值、 CAN 总线上收发的远程控制指令或采样数据、 主 DSP1 和从 DSP2 运算的重要结果 和预输出的数模量。 0075 步骤 A5 所述的控制器切换机制为 ： 0076 若各自独立同步运行的主 DSP1 和从 DSP2 之间的关键信息相同， 则选择主 DSP1 对 外部进行输出 ； 0077 若主DSP1和从DSP2之间的关键信息不同， 则主DSP1和从DSP2在规定的时间内进 行重新采样计算、 申请副本数据并核对彼此信息 ； 所述规定时间由用户自定。
32、义， 可以为 1s、 2s 或其它时间。 0078 重新采样后， 若主DSP1和从DSP2的关键信息仍不相同， 则采用控制器故障自检方 式， 检测出故障源并应用切换机制， 数据流通过无故障的控制通道进行输出， 实现控制终端 的容错控制。 0079 客观上， 工业控制系统中任何部件故障均可能造成其控制的失效， 严重时甚至会 酿成重大事故。而控制器又是系统最关键的部件， 理论上不允许其中一个或多个模块的故 障而失效。 本发明应用一定的控制故障诊断与容错控制技术， 针对控制器可能出现的故障， 采用自检和互检两种检测诊断方式， 基于先进的双模系统级热冗余结构， 在出现故障时能 够对控制器进行切换， 从。
33、而全面提高控制终端的可靠性。 0080 (1) 控制器自检 0081 主、 从控制器采用 3 层自检机制， 包括运行初始化自检、 周期性自检及事件触发性 自检。 0082 初始化自检 ： 系统开始运行后， 首先对主、 从 DSP 进行任务同步及时钟校对， 确保 系统中所有组件同时投入运行。任务同步后， 主、 从 DSP 进行初步的自检 （如离散量或模拟 量的采样） ， 判断刚投入运行的系统是否存在故障。若存在， 则提示用户在系统掉电停止运 行的状态下排除故障， 待故障解决后再投入工作。 在初始化自检无误， 则控制终端进入正常 运行模式。 0083 周期性自检 ： 主、 从 DSP 仍会在系统正。
34、常运行的过程中分别进行周期性自检， 即每 隔一段时间进行信号采样， 若检测到故障， 则同初始化自检， 提示掉电排除故障。 说 明 书 CN 103149907 A 8 6/6 页 9 0084 事件触发性自检 ： 0085 当系统互检过程中发现故障时， 控制器将启动自检以诊断故障源， 这种自检是由 随机事件触发的， 所以称作事件触发性自检。例如， 主、 从 DSP 通过 SPI 核对运算输出量， 若 多次互检的结果仍不一致， 则由主、 从 DSP 分别启动自检， 找出故障源。主、 从 DSP 的 3 层自 检机制流程如图 2 所示。 0086 (2) 控制器互检与切换 0087 控制终端在正常。
35、运行模式下， 内部的主、 从DSP间将通过高速的SPI总线核对彼此 在运行中的关键控制信息。所谓关键控制信息是指数模量的采样值、 CAN 总线上收发的远 程控制指令或采样数据、 CPU 运算中的重要结果和预输出的数模量等。若各自独立同步运 行的主、 从 DSP 之间的关键信息相同， 则选择主 DSP1 对外部进行输出。若彼此的关键信息 不同， 则主、 从 DSP 在规定的时间内进行重新采样计算、 申请副本数据并核对彼此信息。在 规定的时间内若彼此的信息仍不相同， 则采用上文提到的控制器故障自检方式， 检测出故 障源并应用切换机制， 数据流通过无故障的控制通道进行输出。下面通过控制器互检与切 换。
36、机制， 实现控制终端的容错控制， 如图 3 所示。 0088 如图 3 所示， 主、 从控制器同时接收外部的数 / 模量输入。二者经过独立的运算处 理， 均输出相应的控制量， 分别记为输出通道A与输出通道B， 并送至比较器进行比较。 当二 者输出的控制量不同， 比较器向主从控制器发出反馈信号， 提示主、 从 DSP 开启故障自检并 通过SPI总线实时核对彼此信息， 若二者信息相同， 则控制量由主控制器输出通道(默认通 道 ) 输出。若多次核对信息仍不相同， 则通过故障自检判断是哪一个控制器出现故障， 并提 示控制器输出相应的选通信号。选通电路接收来自控制器的选通信号， 通过相应门电路及 模拟开。
37、关使能， 将输出通道切换至无故障控制器通道， 输出相应的控制量， 从而实现控制器 的互检、 切换功能。 0089 具体实施方式六 ： 下面结合图 4 给出一个具体实施例。本发明所述基于双 DSP 的 热冗余 CAN 总线高容错性控制终端应用于小型商用支线飞机的航空电子系统中， 可以有效 地保证驾驶舱系统的正常运行， 避免事故的发生。 如图4所示。 数模I/O板和双冗余DSP控 制板组成一个控制终端， 作为航空电子系统主控制终端， 与其它控制终端用双冗余 CAN 总 线连接。主控制终端嵌入于座舱控制系统内， 与上位机、 显示 / 操作面板进行连接， 辅助驾 驶员有效地掌握飞行控制信息与监管各类机。
38、载电子设备。 从控制终端分布式嵌入于航电子 系统中， 实现对本地电子设备的监管， 驱动各类电气负载， 完成数字 / 模拟信号的采集与输 出。主控制终端与从控制终端间通过双模热冗余的 CAN 总线 （ARINC825 总线） 互联， 实现数 据的共享与控制命令的传输。本发明提出的基于双 DSP 的热冗余 CAN 高容错性控制终端。 说 明 书 CN 103149907 A 9 1/3 页 10 图 1 说 明 书 附 图 CN 103149907 A 10 2/3 页 11 图 2 说 明 书 附 图 CN 103149907 A 11 3/3 页 12 图 3 图 4 说 明 书 附 图 CN 103149907 A 12 。