專利名稱：基于軟件同步的可降級三模冗余計算機系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及三模冗余計算機控制系統(tǒng)。
背景技術(shù)：
計算機控制技術(shù)已廣泛應(yīng)用于航天、航空和海洋工程等各種領(lǐng)域，由于計算機的廣泛應(yīng)用，其可靠性成為一個非常突出的問題，提高計算機的可靠性有兩種比較有效的方法。一種是避錯，這就需要嚴(yán)格篩選計算機元器件，完善設(shè)計，提高制造工藝，以及加強質(zhì)量管理等。但即使是這樣一個計算機系統(tǒng)，由于其所在的工作環(huán)境有各種環(huán)境應(yīng)力，如濕度、溫度、電磁干擾、強震動等，因此總避免不了出現(xiàn)故障。這就要要求計算機具有容錯能力，所謂容錯是指在出現(xiàn)一個或者幾個硬件或軟件方面的故障或錯誤的情況下，計算機系統(tǒng)能夠檢測出故障的存在并采取措施容忍故障，不影響系統(tǒng)正常工作，或者在能夠完成規(guī)定的任務(wù)的情況下降級運行。容錯最基本的的方法是冗余技術(shù)，所謂冗余技術(shù)是指是通過為系統(tǒng)增加多重資源(硬件和軟件重復(fù)配置)，實現(xiàn)對多重資源的合理管理，從而提高產(chǎn)品和系統(tǒng) 可靠性的設(shè)計方法。三模冗余系統(tǒng)是可靠性非常高的一種冗余設(shè)計技術(shù)，三個模塊同時執(zhí)行相同的操作，以多數(shù)相同的輸出作為表決系統(tǒng)的正確輸出，通常稱為三取二表決。三個模塊中只要不同時出現(xiàn)兩個相同的錯誤，就能掩蔽掉故障模塊的錯誤，保證系統(tǒng)正確的輸出。由于三個模塊是互相獨立的，兩個模塊同時出現(xiàn)錯誤是極小概率事件，故可以大大提高系統(tǒng)的可靠性?，F(xiàn)有的三模冗余系統(tǒng)既要完成三取二表決的工作，又要保持三臺計算機的同步和處理故障計算機恢復(fù)的工作，往往需要增加硬件設(shè)置，需要額外的仲裁模塊，系統(tǒng)比較復(fù)雜。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種基于軟件同步的可降級三模冗余計算機系統(tǒng)，以解決現(xiàn)有的三模冗余系統(tǒng)既要完成三取二表決的工作，又要保持三臺計算機的同步和處理故障計算機恢復(fù)的工作，往往需要增加硬件設(shè)置，系統(tǒng)比較復(fù)雜的問題。它由三臺相同的控制計算機I、通信總線2、高速通信總線3和電源管理模塊4組成；三臺控制計算機I通過通信總線2兩兩互聯(lián)，完成控制計算機I之間的同步信息傳遞和數(shù)據(jù)交換；每臺控制計算機I采用三取二表決算法對三臺控制計算機I的傳感器數(shù)據(jù)和控制運算結(jié)果進行表決；三臺控制計算機I之間通過高速通信總線3兩兩互聯(lián)完成高頻心跳監(jiān)測信號的傳遞，實現(xiàn)控制計算機I之間的狀態(tài)實時相互監(jiān)測；三臺控制計算機I通過運行降級程序?qū)崿F(xiàn)冗余系統(tǒng)的降級運行，通過運行重構(gòu)程序?qū)崿F(xiàn)冗余系統(tǒng)的重構(gòu)操作。本發(fā)明的系統(tǒng)以軟件同步為基礎(chǔ)，采用高頻監(jiān)測信號和表決算法為故障檢測手段，可以將單點故障屏蔽掉，并且可以自動完成冗余系統(tǒng)故障時的降級以及故障恢復(fù)時的系統(tǒng)重構(gòu)。本發(fā)明的優(yōu)點(I)采用軟件握手的方式，在不增加系統(tǒng)復(fù)雜度的情況下，實現(xiàn)了三臺計算機同步采集傳感器數(shù)據(jù)、同步控制運算、同步輸出結(jié)果。(2)在進行控制計算前，每臺計算機對采集的傳感器數(shù)據(jù)進行數(shù)據(jù)質(zhì)量檢測、數(shù)據(jù)表決，排除了傳感器的單點故障。在輸出結(jié)果時，對計算結(jié)果采用表決算法進行檢測，排除控制計算結(jié)果的單點故障。(3)利用高速通信總線傳遞高頻心跳監(jiān)測信號，實現(xiàn)了計算機狀態(tài)實時相互監(jiān)測。在系統(tǒng)中發(fā)生單臺計算機或兩臺計算機發(fā)生故障時，可迅速檢測出來。(4)系統(tǒng)可根據(jù)心跳監(jiān)測結(jié)果、表決結(jié)果、同步結(jié)果判斷計算機是否出現(xiàn)故障，若出現(xiàn)故障計算機，則控制電源模塊對其重啟或斷電，完成系統(tǒng)降級。(5)故障計算機恢復(fù)時，在不影響系統(tǒng)運行的情況下可將其加入到系統(tǒng)中，實現(xiàn)系 統(tǒng)重構(gòu)。


圖I是本發(fā)明系統(tǒng)的結(jié)構(gòu)示意圖，圖2是本發(fā)明系統(tǒng)工作流程示意圖，圖3是三模冗余系統(tǒng)模式轉(zhuǎn)換示意圖。
具體實施例方式具體實施方式
一下面結(jié)合圖I具體說明本實施方式。本實施方式由由三臺相同的控制計算機I、通信總線2、高速通信總線3和電源管理模塊4組成；三臺控制計算機I通過通信總線2兩兩互聯(lián)，完成控制計算機I之間的同步信息傳遞和數(shù)據(jù)交換；每臺控制計算機I采用三取二表決算法對三臺控制計算機I的傳感器數(shù)據(jù)和控制運算結(jié)果進行表決；三臺控制計算機I之間通過高速通信總線3兩兩互聯(lián)完成高頻心跳監(jiān)測信號的傳遞，實現(xiàn)控制計算機I之間的狀態(tài)實時相互監(jiān)測；三臺控制計算機I通過運行降級程序?qū)崿F(xiàn)冗余系統(tǒng)的降級運行，通過運行重構(gòu)程序?qū)崿F(xiàn)冗余系統(tǒng)的重構(gòu)操作。三臺控制計算機I利用同步信息的傳遞實現(xiàn)軟件同步，其過程為在每臺控制計算機I的程序中設(shè)置若干個同步點，控制計算機I程序運行至同步點時，通過通信總線2發(fā)送同步消息，并限時等待其他控制計算機I的同步消息，接收到其它控制計算機I的同步消息后程序繼續(xù)運行。三臺計算機I通過在同步點相互等待實現(xiàn)計算機之間的同步。傳感器數(shù)據(jù)和控制運算結(jié)果交換及表決的過程為每臺控制計算機I在完成傳感器數(shù)據(jù)采集和控制運算之后通過通信總線2向另外兩臺控制計算機I發(fā)送該計算機的數(shù)據(jù),每臺控制計算機I完成數(shù)據(jù)交換后,運行表決程序,對數(shù)據(jù)進行監(jiān)控表決,屏蔽掉傳感器、控制運算的故障，并進行相應(yīng)故障記錄。控制計算機I之間的狀態(tài)實時相互監(jiān)測的過程為每臺控制計算機I通過高速通信總線3向另外兩臺控制計算機I發(fā)送本計算機的狀態(tài)信息，包括CPU狀態(tài)信息、網(wǎng)口狀態(tài)信息、串口狀態(tài)信息、存儲器狀態(tài)信息。高速串行通信總線采用RS422串行通訊,傳輸速度為921. 6kbps。心跳監(jiān)測信號的發(fā)送周期遠(yuǎn)小于控制周期；一旦某臺控制計算機發(fā)送的心跳信號異常，即將該控制計算機從冗余系統(tǒng)中切除，系統(tǒng)降級為較低余度的冗余模式。運行降級程序?qū)崿F(xiàn)冗余系統(tǒng)降級運行的過程為工作在三模冗余狀態(tài)時，三臺控制計算機I設(shè)置為三個優(yōu)先級別，若某臺控制計算機I的心跳信號異?；蛘邆鞲衅鲾?shù)據(jù)和控制計算結(jié)果連續(xù)錯誤，另外兩臺控制計算機I運行系統(tǒng)降級程序，對電源管理模塊進行控制，讓故障計算機進行重啟，同時另外兩個計算機中具有較高優(yōu)先級的正常計算機成為主機；若重啟若干次后該故障計算機仍有故障，則對其進行斷電，系統(tǒng)降級為雙模冗余工作狀態(tài)；系統(tǒng)工作在雙模冗余狀態(tài)時，從計算機通過心跳信號對主計算機進行狀態(tài)監(jiān)測，若主計算機的心跳信號異常，則從計算機對電源管理模塊進行控制，控制主計算機進行重啟，從計算機升級為主計算機；若重啟若干次后計算機仍有故障，則主計算機控制電源管理模塊對其斷電，系統(tǒng)降級為無冗余工作狀態(tài)。實現(xiàn)冗余系統(tǒng)的重構(gòu)操作過程為系統(tǒng)工作在無冗余狀態(tài)下，當(dāng)故障計算機經(jīng)過修理排除故障后，重新加入到系統(tǒng)，通過通信總線2和高速通信總線3發(fā)送開機同步消息和心跳監(jiān)測信號。每當(dāng)一個控制周期結(jié)束，處于工作狀態(tài)的控制計算機I 一旦檢測到恢復(fù)后的計算機開機同步消息和正確心跳監(jiān)測信號，將從故障狀態(tài)恢復(fù)正常的控制計算機I加入到冗余系統(tǒng)中，使系統(tǒng)由無冗余狀態(tài)升級為雙冗余狀態(tài)；系統(tǒng)工作在雙冗余狀態(tài)下，當(dāng)故障計算機恢復(fù)后通過通信總線2和高速通信總線3發(fā)送開機同步消息和·心跳監(jiān)測信號；每當(dāng)一個控制周期結(jié)束，一旦檢測到恢復(fù)后的計算機開機同步消息和正確心跳監(jiān)測信號，兩臺正常計算機運行系統(tǒng)重構(gòu)程序?qū)⑵浼尤氲饺哂嘞到y(tǒng)中，使系統(tǒng)由雙冗余狀態(tài)升級為三模冗余狀態(tài)。每臺控制計算機根據(jù)系統(tǒng)需求擴展相應(yīng)的外設(shè)，比如串口、網(wǎng)口、A/D卡、D/A卡；計算機的通電、重啟操作可通過電源管理模塊完成；三臺控制計算機I之間通過兩套通信總線相互連接；每臺計算機包括數(shù)據(jù)采集模塊和輸出量模塊，用來采集傳感器數(shù)據(jù)和控制執(zhí)行機構(gòu)。整個冗余系統(tǒng)的工作流程如圖2所述(I)計算機上電后，首先執(zhí)行初始化程序，對系統(tǒng)進行初始化，加載驅(qū)動程序。(2)系統(tǒng)正常開機后，每臺計算機首先通過通信總線向另外兩臺計算機發(fā)送開機同步消息，計算機在接受到開機同步消息后，根據(jù)消息內(nèi)容查詢當(dāng)前系統(tǒng)中有無主機，若無主機則按照預(yù)先設(shè)定的優(yōu)先級，選擇優(yōu)先級最高的為主機。確定主機之后，主機向其它計算機發(fā)送同步應(yīng)答消息，從機接收到應(yīng)答消息后，向主機發(fā)送確認(rèn)應(yīng)答消息，三臺計算機采用三次握手機制完成初次上電開機同步，保證三臺計算機同時開始工作。(3)經(jīng)過開機同步后，系統(tǒng)進入周期性同步，該過程主要包括采集數(shù)據(jù)同步、控制計算同步、控制運算結(jié)果輸出同步。周期性同步由主計算機發(fā)起，主計算機根據(jù)被控對象的控制要求設(shè)置定時器的定時時間。定時時間一到，操作系統(tǒng)自動調(diào)用定時器信號處理程序，該程序通過通信總線向三臺計算機發(fā)送數(shù)據(jù)采集同步消息，發(fā)送同步消息后各計算機限時等待其它計算機的數(shù)據(jù)采集同步消息。若在規(guī)定時間內(nèi)未收到某臺計算機的同步消息則立即退出等待，并進行失步記錄。(4)經(jīng)過采集同步后，三臺計算機可以同時采集傳感器數(shù)據(jù)，完成數(shù)據(jù)采集后三臺計算機通過通信總線相互交換傳感器數(shù)據(jù)，進行傳感器數(shù)據(jù)質(zhì)量的檢測及數(shù)據(jù)表決，將傳感器的單點故障屏蔽掉。(5)傳感器完成采集、表決之后，程序進入控制運算同步過程，三臺計算機通過通信總線互發(fā)同步消息，并限時等待同步消息。接收到同步消息后，計算機運行控制程序進行控制運算，并將各自的計算結(jié)果發(fā)給其它計算機，每臺計算機進行計算結(jié)果的表決，實現(xiàn)輸出結(jié)果的監(jiān)控，同時表決監(jiān)控結(jié)果可作為計算機之間的互檢信息。
(6)控制運算完成后，控制計算機進入結(jié)果輸出同步過程，每臺計算機通過通信總線互相發(fā)送同步消息，并限時等待其它計算機的同步消息。接收到同步消息后，計算機進行結(jié)果輸出。(7)每臺計算機建立一個心跳監(jiān)測任務(wù)，該任務(wù)用來對計算機進行周期性自檢，并將檢測結(jié)果以高頻心跳監(jiān)測信號形式發(fā)送給其它計算機，并限時接收來自其它計算機的監(jiān)測信號，心跳信號的發(fā)送周期遠(yuǎn)小于周期性同步的周期。一旦某臺計算機的發(fā)送或接收監(jiān)測信號異常，則可迅速判斷出該計算機出現(xiàn)故障。(8)某計算機心跳信號發(fā)生異常時，系統(tǒng)中其它計算機運行系統(tǒng)降級程序，根據(jù)心跳任務(wù)的監(jiān)測結(jié)果，判斷有無計算機出現(xiàn)故障，若計算機出現(xiàn)故障則控制電源管理模塊對計算機進行重啟操作，若連續(xù)重啟若干次后計算機仍出現(xiàn)故障，則將該計算機斷電從系統(tǒng)中切除出去，高優(yōu)先級的從計算機成為主計算機，它將打開定時器，用來發(fā)起周期性同步，實現(xiàn)系統(tǒng)降級。 (9)在控制周期結(jié)束時，計算機運行降級程序，根據(jù)傳感器表決結(jié)果、控制計算表決結(jié)果、同步結(jié)果判斷有無計算機出現(xiàn)故障，若計算機出現(xiàn)故障則控制電源管理模塊對計算機進行重啟操作，高優(yōu)先級的從計算機成為主計算機，它將打開定時器，用來發(fā)起周期性同步，實現(xiàn)系統(tǒng)降級。若連續(xù)重啟若干次后計算機仍出現(xiàn)故障，則將該計算機斷電從系統(tǒng)中切除出去。(10)在控制周期結(jié)束時，計算機運行重構(gòu)程序監(jiān)測有無接收到開機同步消息，接收到開機同步消息，并確認(rèn)計算機的心跳監(jiān)測信號正常后，主機向該計算機發(fā)送開機同步應(yīng)答消息，同時所有計算機修改程序運行參數(shù)，升級為高余度的冗余系統(tǒng)，完成系統(tǒng)的重構(gòu)。操作系統(tǒng)選用實時操作系統(tǒng)為平臺，采用多進程方法設(shè)計程序，建立同步進程和 心跳進程，兩個進程之間采用本地套接字方法進行通信。心跳進程每Ims運行一次，按照上述監(jiān)測邏輯發(fā)送、接收心跳信號，并進行計算機監(jiān)測狀態(tài)的邏輯判斷，實現(xiàn)計算機狀態(tài)實時監(jiān)測。同步進程由開機同步函數(shù)、數(shù)據(jù)采集同步函數(shù)、控制運算同步函數(shù)、結(jié)果輸出同步函數(shù)、系統(tǒng)降級函數(shù)、系統(tǒng)重構(gòu)函數(shù)及主函數(shù)組成，主函數(shù)按照上述的同步邏輯分別調(diào)用各個同步函數(shù)，各個同步函數(shù)發(fā)送相應(yīng)節(jié)點同步消息，并限時等待其它計算機發(fā)送的同步消息。系統(tǒng)降級函數(shù)首先跟心跳進程通信，獲取其它計算機的心跳監(jiān)測結(jié)果，同時利用傳感器數(shù)據(jù)和控制計算結(jié)果的表決數(shù)據(jù)，進行計算機狀態(tài)判斷，并根據(jù)判斷結(jié)果進行計算機降級處理。系統(tǒng)重構(gòu)函數(shù)檢測開機同步消息，若收到某計算機的開機同步消息，并確認(rèn)心跳信號正常后，通知系統(tǒng)中所有計算機修改程序運行參數(shù)，進行系統(tǒng)重構(gòu)，升級到高余度冗余系統(tǒng)。
程序中設(shè)置一個同步計數(shù)器變量，每做一次同步該變量加1，并將該變量加入到同步消息中，計算機可以從同步消息中獲得其它計算機的同步次數(shù)，進行比較可以進行同步是否成功的判斷。
權(quán)利要求
1.基于軟件同步的可降級三模冗余計算機系統(tǒng)，其特征在于它由三臺相同的控制計算機(I)、通信總線(2)、高速通信總線(3)和電源管理模塊⑷組成；三臺控制計算機⑴通過通信總線(2)兩兩互聯(lián)，完成控制計算機(I)之間的同步信息傳遞和數(shù)據(jù)交換；每臺控制計算機(I)采用三取二表決算法對三臺控制計算機(I)的傳感器數(shù)據(jù)和控制運算結(jié)果進行表決；三臺控制計算機⑴之間通過高速通信總線⑶兩兩互聯(lián)完成高頻心跳監(jiān)測信號的傳遞，實現(xiàn)控制計算機⑴之間的狀態(tài)實時相互監(jiān)測；三臺控制計算機⑴通過運行降級程序?qū)崿F(xiàn)冗余系統(tǒng)的降級運行，通過運行重構(gòu)程序?qū)崿F(xiàn)冗余系統(tǒng)的重構(gòu)操作。
2.根據(jù)權(quán)利要求I所述的基于軟件同步的可降級三模冗余計算機系統(tǒng)，其特征在于三臺控制計算機(I)利用同步信息的傳遞實現(xiàn)軟件同步，其過程為在每臺控制計算機(I)的程序中設(shè)置若干個同步點，控制計算機(I)程序運行至同步點時，通過通信總線(2)發(fā)送同步消息，并限時等待其他控制計算機⑴的同步消息，接收到其它控制計算機⑴的同步消息后程序繼續(xù)運行；三臺計算機(I)通過在同步點相互等待實現(xiàn)計算機之間的同步。
3.根據(jù)權(quán)利要求I所述的基于軟件同步的可降級三模冗余計算機系統(tǒng)，其特征在于傳 感器數(shù)據(jù)和控制運算結(jié)果交換及表決的過程為每臺控制計算機(I)在完成傳感器數(shù)據(jù)采集和控制運算之后通過通信總線(2)向另外兩臺控制計算機(I)發(fā)送該計算機的數(shù)據(jù)，每臺控制計算機(I)完成數(shù)據(jù)交換后，運行表決程序，對數(shù)據(jù)進行監(jiān)控表決，屏蔽掉傳感器、控制運算的故障，并進行相應(yīng)故障記錄。
4.根據(jù)權(quán)利要求I所述的基于軟件同步的可降級三模冗余計算機系統(tǒng)，其特征在于控制計算機(I)之間的狀態(tài)實時相互監(jiān)測的過程為每臺控制計算機(I)通過高速通信總線(3)向另外兩臺控制計算機(I)發(fā)送本計算機的狀態(tài)信息，包括CPU狀態(tài)信息、網(wǎng)口狀態(tài)信息、串口狀態(tài)信息、存儲器狀態(tài)信息；該心跳監(jiān)測信號的發(fā)送周期遠(yuǎn)小于控制周期；一旦某臺控制計算機發(fā)送的心跳信號異常，即將該控制計算機從冗余系統(tǒng)中切除，系統(tǒng)降級為較低余度的冗余模式。
5.根據(jù)權(quán)利要求I所述的基于軟件同步的可降級三模冗余計算機系統(tǒng)，其特征在于運行降級程序?qū)崿F(xiàn)冗余系統(tǒng)降級運行的過程為工作在三模冗余狀態(tài)時，三臺控制計算機(I)設(shè)置為三個優(yōu)先級別，若某臺控制計算機(I)的心跳信號異?；蛘邆鞲衅鲾?shù)據(jù)和控制計算結(jié)果連續(xù)錯誤，另外兩臺控制計算機(I)運行系統(tǒng)降級程序，對電源管理模塊進行控制，讓故障計算機進行重啟，同時另外兩個計算機中具有較高優(yōu)先級的正常計算機成為主機；若重啟若干次后該故障計算機仍有故障，則對其進行斷電，系統(tǒng)降級為雙冗余工作狀態(tài)；系統(tǒng)工作在雙模冗余狀態(tài)時，從計算機通過心跳信號對主計算機進行狀態(tài)監(jiān)測，若主計算機的心跳信號異常，則從計算機對電源管理模塊進行控制，控制主計算機進行重啟，從計算機升級為主計算機；若重啟若干次后計算機仍有故障，則對其斷電，系統(tǒng)降級為無冗余工作狀態(tài)。
6.根據(jù)權(quán)利要求I所述的基于軟件同步的可降級三模冗余計算機系統(tǒng)，其特征在于實現(xiàn)冗余系統(tǒng)的重構(gòu)操作過程為系統(tǒng)工作在無冗余狀態(tài)下，當(dāng)故障計算機恢復(fù)后通過通訊總線(2)和高速通信總線(3)發(fā)送開機同步消息和心跳監(jiān)測信號；每當(dāng)一個控制周期結(jié)束，處于工作狀態(tài)的控制計算機(I) 一旦檢測到恢復(fù)后的計算機開機同步消息和正確心跳監(jiān)測信號，將從故障狀態(tài)恢復(fù)正常的控制計算機(I)加入到冗余系統(tǒng)中，使系統(tǒng)由無冗余狀態(tài)升級為雙冗余狀態(tài)；系統(tǒng)工作在雙冗余狀態(tài)下，當(dāng)故障計算機恢復(fù)后通過通訊總線(2)和高速通信總線(3)發(fā)送開機同步消息和心跳監(jiān)測信號；每當(dāng)一個控制周期結(jié)束，一旦檢測到恢復(fù)后的計算機開機同步消息和正確心跳監(jiān)測信號，兩臺正常計算機運行系統(tǒng)重構(gòu)程 序?qū)⑵浼尤氲饺哂嘞到y(tǒng)中，使系統(tǒng)由雙冗余狀態(tài)升級為三模冗余狀態(tài)。
全文摘要
基于軟件同步的可降級三模冗余計算機系統(tǒng)，本發(fā)明涉及三模冗余計算機控制系統(tǒng)，解決了現(xiàn)有的三模冗余系統(tǒng)需要額外的仲裁模塊，系統(tǒng)比較復(fù)雜的問題。它由三臺相同的控制計算機、通信總線、高速通信總線和電源管理模塊組成；控制計算機通過兩兩互聯(lián)的通信總線完成控制計算機之間的同步信息傳遞和數(shù)據(jù)交換；控制計算機采用三取二表決算法對傳感器數(shù)據(jù)和控制運算結(jié)果進行表決；計算機之間通過高速通信總線兩兩互聯(lián)完成高頻心跳監(jiān)測信號的傳遞，實現(xiàn)控制計算機之間的狀態(tài)實時相互監(jiān)測；三臺控制計算機通過運行降級程序?qū)崿F(xiàn)冗余系統(tǒng)的降級運行，通過運行重構(gòu)程序?qū)崿F(xiàn)冗余系統(tǒng)的重構(gòu)操作。不需要額外的仲裁模塊。
文檔編號H04L12/24GK102724083SQ20121016643
公開日2012年10月10日 申請日期2012年5月25日 優(yōu)先權(quán)日2012年5月25日
發(fā)明者丁福光, 劉向波, 劉揚, 王元慧, 王成龍, 聶兵, 趙大威, 陳興華 申請人:哈爾濱工程大學(xué)