采用復(fù)雜可編程邏輯器件實現(xiàn)雙模冗余切換管理模塊的設(shè)計1引言在工業(yè)自動化領(lǐng)域中，大型化工、石化、冶金、電力等企業(yè)，對控制系統(tǒng)長期有效、可靠運(yùn)行有著特殊的要求。冗余是重要的容錯技術(shù)之一，是提高整機(jī)及系統(tǒng)可靠性的一種重要設(shè)計技術(shù)，特別是對于復(fù)雜的、有高可靠性和長壽命要求的大、中型設(shè)備和無法維修或要求不停機(jī)維修的控制系統(tǒng)或設(shè)備。由于控制器是控制系統(tǒng)的核心，因此控制器實現(xiàn)冗余對于控制系統(tǒng)的高可靠性有著重要作用。針對有中心裁決器雙模冗余控制器一旦裁決電路出現(xiàn)故障，仍然會造成控制系統(tǒng)停機(jī)的問題，本文對雙模板熱備份技術(shù)（雙模冗余技術(shù)）的實現(xiàn)方法進(jìn)行新的嘗試，即在控制器上與背板接口處，使用CPLD（ComplexProgrammableLogicDvice，復(fù)雜可編程邏輯器件）芯片設(shè)計冗余切換管理模塊，實現(xiàn)對嚴(yán)重故障出現(xiàn)后冗余切換信息的管理。文中給出了一種能實現(xiàn)冗余功能的基于ARM的嵌入式控制器結(jié)構(gòu)，以及冗余切換管理模塊的設(shè)計和仿真驗證。2雙模冗余控制器與單個控制器可靠性比較雙模冗余控制器是在控制系統(tǒng)中增加一個控制器作為備份，兩個控制器同時插在背板上，通過背板總線進(jìn)行相互間以及與其它I/O模塊的通信。可修產(chǎn)品可靠性的主要指標(biāo)有可靠度函數(shù)R（t）和平均故障間隔時間MTBF（MeanTimeBetweenFailure）＝冗余控制器的總可靠度函數(shù)是Rn（t）=1-（1-R1（t））n，其中：n＝冗余度+1，R1（t）為單個控制器的可靠度函數(shù)。冗余度是指冗余部件所用的硬件數(shù)與工作部件的硬件數(shù)的比值。設(shè)單個控制器壽命服從參數(shù)為λ的指數(shù)分布，即R1（t）=e-λt，其中0《λ《1，則由以上公式計算可得：MTBF1＝1/λ，R2（t）=2e-λt-e-2λt≈e-λt（1+λ）》e-λt=R1（t），MTBF2=3/（2λ）。由此得出結(jié)論：第一，雙模冗余控制器總可靠度比單個控制器可靠度高；第二，雙模冗余控制器總平均故障間隔時間是單控制器時的1.5倍，相當(dāng)于使用壽命增至單個控制器的1.5倍；第三，雙模冗余控制器滿足控制系統(tǒng)對單控制器故障不停機(jī)維修的要求。3無中心裁決器控制器系統(tǒng)結(jié)構(gòu)雙模冗余控制器在具體實現(xiàn)上分有中心裁決器和無中心裁決器兩種。有中心裁決器雙模冗余是在兩個控制器之外加入裁決電路，將兩個控制器的輸出先進(jìn)行比較，結(jié)果相同才輸出到背板總線上，裁決電路作為兩個控制器的公用電路，一旦出現(xiàn)故障，則整個控制系統(tǒng)將無法繼續(xù)工作。無中心裁決器雙模冗余沒有裁決電路，是在每個控制器上增加冗余切換管理邏輯，使得兩個控制器在物理層面完全相互獨(dú)立，任何一個控制器出現(xiàn)故障都不會影響到整個控制系統(tǒng)的正常運(yùn)行。本文采用復(fù)雜可編程邏輯器件（CPLD）設(shè)計冗余切換管理模塊，實現(xiàn)了一種無中心裁決器雙模冗余控制器。在控制系統(tǒng)中，冗余的兩個相同控制器同時工作，在任一時刻只有一個控制器（主控制器）的輸出有效。控制器結(jié)構(gòu)如圖1，信號說明如下：（1）冗余的兩個控制器之間的互聯(lián)通道有AT91M40800的串口USART0和一組冗余切換信息，這組冗余切換信息分別包括兩個控制器的主用、切換和備份信息：master_I、switch_I和backup_I接收來自另一個控制器的冗余信息，而master_O、switch_O和backup_O則送出本控制器的冗余信息。（2）CPU送給CPLD的信號線，時鐘clk、復(fù)位reset、片選cs、讀read、系統(tǒng)檢測信號test、和看門狗溢出信號nwdovf；（3）CPLD送給CPU的信號，冗余信息向量表（data）、自檢請求信號selftest_req、控制器輸出控制信號output_con。（4）其余信號，背板電路提供的槽號信號bank（低電平為‘0’號控制器，高電平為’1’號控制器）、人為復(fù)位信號reset_man、人為切換信號switch_man、3.3V和5.0V電壓監(jiān)控power33和power5。4冗余切換管理模塊設(shè)計與仿真4.1冗余切換管理模塊設(shè)計冗余切換管理模塊用來實現(xiàn)接收嚴(yán)重故障信號以及對冗余信息檢測和切換管理，即當(dāng)主控制器檢測出故障時，冗余切換管理模塊給出切換信號，備控制器的冗余切換管理模塊接收到該信號后，通過output_con送給CPU進(jìn)行中斷處理，將當(dāng)前備控制器轉(zhuǎn)成為主控制器。冗余切換管理模塊如圖2，其各模塊功能如下：（1）延時和切換故障向量管理模塊冗余的兩個控制器在啟動時為了避免相互競爭產(chǎn)生的不確定性，對‘1’號控制器（bank=’1’）上CPU送來的檢測結(jié)果信號test進(jìn)行延時處理，而將‘0’號控制器（bank=’0’）設(shè)為默認(rèn)的主控制器?！?’號控制器在啟動正常工作后，立刻屏蔽掉延遲電路?？刂破魃峡赡艹霈F(xiàn)的每一種需要切換的嚴(yán)重故障，將其監(jiān)測信號線連接到CPLD上，每根信號線的狀態(tài)稱為一個切換故障向量，所有向量的集合稱為切換故障向量表。實驗系統(tǒng)定義的切換故障向量包括：①CPU可控故障，指主、備控制器之間能夠正常通信，主控制器在運(yùn)行過程中當(dāng)檢測出嚴(yán)重故障時，能夠主動正常給出切換故障信息test，送給CPLD。②電源故障，控制器中電源管理模塊對每種電源的電壓進(jìn)行監(jiān)控和管理，power33和power5分別監(jiān)控3.3V和5.0V電壓。③CPU故障，對如程序跑飛等軟件因素造成的CPU故障，由看門狗通過nwdovf送來低電平脈沖。④人為設(shè)置故障，包括人為的復(fù)位（reset_man）和切換（switch_man）。控制器在運(yùn)行期間，延時和切換故障向量管理模塊根據(jù)切換故障向量表的內(nèi)容，向下一級模塊送出系統(tǒng)是否正常工作的信號sgood。（2）切換信號產(chǎn)生模塊如果控制器出現(xiàn)故障，需要切換，此時根據(jù)備控制器是否可用（backupb）決定是否產(chǎn)生切換信號送給備控制器。（3）切換信號接收模塊當(dāng)前控制器如果是備控制器，該模塊時刻監(jiān)控來自主控制器送過來的切換信息（switchb）是否有效，如果有效，則送給CPU一個控制器輸出控制中斷。（4）接口管理模塊存放控制器的冗余向量表，包括本控制器產(chǎn)生的冗余向量——MASTER_CUR、SWITCH_CUR、BACKUP_CUR和來自冗余的控制器的冗余向量——MASTER_R、SWITCH_R和BACKUP_R。CPU可以讀取冗余向量表的內(nèi)容。4.2控制器的冗余切換管理模塊仿真驗證CPLD編程是在ActiveHDL6.1環(huán)境下，選用器件95108－7，使用VHDL語言［3］編寫完成。冗余的兩個控制器的切換管理模塊仿真驗證結(jié)果如圖2，其中信號*0是‘0’號控制器的信號；信號*1是‘1’號控制器的信號。在整個仿真過程中，兩個控制器各自的時鐘不同步，但頻率相同為16MHz。工作過程如下：（1）雙控制器同時上電啟動：‘0’號控制器為默認(rèn)的主控制器（master0=‘1’，backup0=‘0’），‘1’號控制器為備用控制器（master1=‘0’，backup1=‘1’）。（2）工作過程中，假設(shè)‘0’號控制器CPU檢測到故障發(fā)生（test_0由‘1’變成‘0’），立刻給出低電平切換脈沖（switch0=‘0’），同時給本控制器CPU發(fā)自檢請求（selftest_req=‘1’）并修改輸出控制信號（output_con=‘0’），使當(dāng)前‘0’號控制器不再是主控制器（master0=‘0’）；而‘1’號控制器檢測到低電平的switch0后成為主控制器（master1=‘1’，backup1=‘0’），同時向CPU發(fā)出輸出控制中斷申請（output_con=’1’）。5結(jié)束語本文給出了一種基于CPLD的控制器冗余的實現(xiàn)方法，嘗試在嵌入式控制器中加入冗余切換管理模塊，對控制器上可能出現(xiàn)的嚴(yán)重故障進(jìn)行監(jiān)控并對冗余切換信息進(jìn)行管理。實驗系統(tǒng)控制器CPU采用AT91M40800-33AI［4］，系統(tǒng)時鐘16MHz，CPLD芯片采用XC95108PQ100－7。在實驗中，分別針對CPU能否正確給出切換故障信息的受控和非受控故障情況，設(shè)計了軟件處理數(shù)據(jù)中斷故障、以太網(wǎng)切斷線路故障、看門狗溢出故障、屏蔽供電的電源掉電故障、人為切換故障、硬件人為復(fù)位和拔除主控制器故障，控制器冗余的控制系統(tǒng)仍然能夠正常運(yùn)行。通過在實驗系統(tǒng)中的使用表明，冗余切換管理模塊的加入，首先，使得兩個控制器在物理層面上完全相互獨(dú)立，任何一個控制器故障都不會影響控制系統(tǒng)的正常運(yùn)行。解決了有中心裁決器的冗余實現(xiàn)方法中，一旦裁決器出現(xiàn)故障，仍然會引起控制系統(tǒng)停機(jī)的問題。其次，將原先由軟件探測來完成的對冗余切換信息進(jìn)行管理的功能下放到硬件電路，由CPLD來完成，加快了對嚴(yán)重故障的檢測和反應(yīng)速度，縮短了冗余控制器的切換時