，，

(北京明航技術(shù)研究所，北京 100023)

現(xiàn)代艦船上存在事關(guān)艦船生命的高危場所，如彈庫、燃料庫等，一旦發(fā)生危險，有可能造成艦毀人亡的后果。因此，需要在艦船的高危場所配置安全監(jiān)控系統(tǒng)，在發(fā)生危險時及時報警，采取措施對危險進行控制，消除危險或減少事故造成的損失[1-2]。

1 安全監(jiān)控系統(tǒng)

高危場所安全監(jiān)控系統(tǒng)結(jié)構(gòu)見圖1。

圖1 安全監(jiān)控系統(tǒng)結(jié)構(gòu)

安全監(jiān)控系統(tǒng)工作流程：安裝在高危場所內(nèi)部的傳感器和探測器探測到危險情況時，將信息傳遞給控制器，控制器對信息進行融合，對危險等級進行判斷，并根據(jù)不同情況進行決策，根據(jù)決策結(jié)果向設(shè)備驅(qū)動器發(fā)出控制信號，設(shè)備驅(qū)動器驅(qū)動防火防爆安全設(shè)備開始工作。

控制器作為安全監(jiān)控系統(tǒng)的核心部件，具有信息采集、數(shù)據(jù)融合、決策及控制輸出等功能，是系統(tǒng)的關(guān)鍵部件，必須具備如下關(guān)鍵特性。

1)高可靠性。由于高危場所安全監(jiān)控系統(tǒng)是一個無人值守系統(tǒng)，在海上艦船環(huán)境條件下全天候24 h連續(xù)運行，監(jiān)控的對象是高危場所，因此，要求設(shè)備具有高可靠性，特別要保證在發(fā)生危險情況時，設(shè)備能夠正確運行，按照預(yù)定的決策方法對危險情況進行控制。

為滿足高可靠性的要求，必須在體系結(jié)構(gòu)設(shè)計、軟件設(shè)計和硬件設(shè)計中采用可靠性措施，如冗余容錯設(shè)計、故障自動切換機制和高可靠性模塊設(shè)計技術(shù)等。

2)快速響應(yīng)特性。一般來講，危險發(fā)現(xiàn)越早、對其抑制越早，其產(chǎn)生的危害就越小，因此，當危險情況發(fā)生時，系統(tǒng)必須能夠快速響應(yīng)，及時采取措施，達到及早抑制危險的效果，使得危害造成的影響最小，因此，快速響應(yīng)特性也是高危場所安全監(jiān)控系統(tǒng)必不可少的關(guān)鍵特性。

2 冗余方案

為滿足高危場所安全監(jiān)控系統(tǒng)高可靠性及快速響應(yīng)的需要，可以采用多種方法，例如，控制器采用高可靠單機系統(tǒng)，或者采用冗余控制器系統(tǒng)等方法。其中，高可靠單機系統(tǒng)實現(xiàn)簡單，但是其核心元器件，如高可靠CPU、高可靠存貯器等很難獲得，并且價格昂貴，因此，實際應(yīng)用中多采用冗余控制器系統(tǒng)。

常用的控制器冗余方式分類方法有多種，按冗余的工作方式分，有熱備份、溫備份和冷備份；按冗余模塊的數(shù)量分類，可以有雙冗余、3冗余和4冗余等；按控制器耦合的緊密程度分類，可以有松散耦合方式及緊耦合方式。冗余結(jié)構(gòu)見圖2。

圖2 冗余結(jié)構(gòu)示意

在松散耦合方式中，控制器間一般通過通信接口連接，其工作方式是控制器間通過通信接口交換信息，探測對方是否處于工作狀態(tài)，一旦某臺控制器探測到對方工作異常，則接管控制權(quán)。

在緊耦合方式下，控制器間通過硬件電路互相探測控制器的工作狀態(tài)，根據(jù)工作狀態(tài)通過硬件電路將控制權(quán)切換到可用的控制器中。

松散耦合方式設(shè)計簡單，只需在通用的控制器上加上通信接口即可，而且很容易在異構(gòu)控制器間實現(xiàn)，這種方式的主要缺點是：判斷控制器異常實際上是通過控制器的軟件實現(xiàn)，切換也通過軟件實現(xiàn)，故切換速度慢，同時軟件設(shè)計較復(fù)雜。松散耦合冗余方式的方案一般實時性要求不高、但有可靠性要求。

緊耦合方式由于需要加上額外的硬件處理電路，設(shè)計較復(fù)雜，由于故障判斷和切換由硬件實現(xiàn)，因此，控制切換速度快，故障判斷快速可靠；判斷過程不需要或僅需要很少的軟件干預(yù)，故障處理軟件設(shè)計相對簡單。緊耦合冗余控制器切換時間短，一般常用在實時響應(yīng)要求較高，不允許有失控的場所使用，如在火箭、導(dǎo)彈、衛(wèi)星等實時性和可靠性要求較高的設(shè)備中使用。

考慮上述兩種冗余方式的不同特點以及高危場所安全監(jiān)控系統(tǒng)的關(guān)鍵特性要求，綜合考慮可靠性、設(shè)計復(fù)雜性及成本等具體因素，在高危場所安全監(jiān)控系統(tǒng)設(shè)計中采用緊耦合雙冗余設(shè)計。

3 雙冗余控制器設(shè)計

在圖2的雙冗余結(jié)構(gòu)中，每個獨立的冗余模塊由控制器和冗余控制電路組成，其原理框圖見圖3。

每個冗余模塊由一個控制器及冗余控制電路組成，其中控制器是一個通用的控制器，包含微處理器、存貯器、輸入電路、輸出電路、通信接口和現(xiàn)實電路等；冗余控制電路在圖3的虛框中示出，它包含復(fù)位電路、錯誤探測電路、狀態(tài)輸出電路、狀態(tài)輸入電路和主/備狀態(tài)指示電路5個部分。復(fù)位電路輸出復(fù)位信號(reset)，直接連接至控制器中CPU的復(fù)位信號端和錯誤探測電路的輸入端，復(fù)位電路的輸入連接控制器的看門狗信號(watch dog)；錯誤探測電路連接2個輸入：來自控制器的自檢錯誤輸出信號(error)以及來自復(fù)位電路的復(fù)位信號，其輸出包括“正?！焙汀板e誤”兩種狀態(tài)，實際工作中，該狀態(tài)輸出通過狀態(tài)輸出電路隔離后傳遞到另一個冗余模塊中；狀態(tài)輸入電路接收來自另一個冗余模塊的狀態(tài)輸出信號，經(jīng)過緩沖的信號連接到控制器CPU的硬件中斷端口上，使得控制器能夠快速探測到另一個控制器的狀態(tài)變化；主/備狀態(tài)指示電路是一個預(yù)置的位信號，用于設(shè)置控制器是“主控制器”或“從控制器”，控制器中的CPU可以讀取到此信號，判斷自身的狀態(tài)，在本設(shè)計中，只有一個惟一主控制器和一個惟一的備控制器。

圖3 冗余模塊原理示意

冗余電路工作原理如下：系統(tǒng)運行后，2個冗余模塊中的錯誤探測電路開始不間斷地探測控制器的狀態(tài)，如果錯誤探測電路探測到某個給定時間內(nèi)復(fù)位信號或者自檢錯誤輸出信號到達指定的次數(shù)，則可以判斷出控制器出現(xiàn)錯誤，不能正常工作，此時錯誤探測電路輸出“錯誤”狀態(tài)，同時，發(fā)出“處理器錯誤”的警告信號，另一個控制器接收到上述狀態(tài)變化后，判斷自己是否掌握控制權(quán)，若不是，則接管控制權(quán)，實現(xiàn)控制權(quán)的切換。上述過程即實現(xiàn)了控制器間控制權(quán)的簡單的無縫切換。

實際的設(shè)計中，電路部分采用了可編程器件實現(xiàn)，僅由2片小規(guī)模GAL編程實現(xiàn)了上述電路邏輯；與另一個冗余模塊的信號連接采用了電氣隔離設(shè)計，具體實現(xiàn)中采用了光耦和器進行電路的電氣隔離，電氣隔離特性保證故障不會從一個冗余模塊向另一個冗余模塊蔓延；由于設(shè)計中采用了簡化設(shè)計的指導(dǎo)思想，設(shè)計出的整個冗余控制電路本身極其簡單，所用元器件很少；選用元器件時，元器件均選用軍標高的可靠器件；在實際的冗余模塊結(jié)構(gòu)設(shè)計中，控制器和冗余控制電路設(shè)計為一體，安裝在一個機箱內(nèi)，保證了控制器和冗余控制電路連接的可靠性。上述一系列設(shè)計措施充分保證了冗余控制電路具有極高的可靠性。

4 應(yīng)用情況

采用雙冗余控制器構(gòu)成的高危場所安全監(jiān)控系統(tǒng)，其原理見圖4。

圖4 雙冗余控制器組成的安全監(jiān)控系統(tǒng)

在圖4中，采用了雙冗余控制器，系統(tǒng)中包含1臺主控制器和1臺備控制器，主、備控制器及其各自冗余控制電路分別安裝在單獨的箱體內(nèi)，其間通過電纜連接，主、備控制器與設(shè)備驅(qū)動箱通過電纜連接。正常工作時，主、備控制器同時運行，并互相檢測對方的運行狀態(tài)，當主控制器出現(xiàn)異?；蛘邆浞菘刂破鳈z測到主控制器不能正常工作時，通過雙冗余切換機制立即切換到備控制器工作，當主控制器恢復(fù)正常后又可充當備用控制器加入到系統(tǒng)中工作。

系統(tǒng)的工作方式采用了熱備份方式，備控制器與主控制器一樣，其輸入的傳感器信息完全相同，都通過現(xiàn)場總線輸入，它們的輸出也連接到同一個設(shè)備驅(qū)動箱中，主、備控制器同時運行。由于采用了熱備份，兩臺控制器在運行時同時接收傳感器信息，根據(jù)傳感器信息進行決策計算，因此，當主控制權(quán)在主、備控制器間切換時，相對于松散耦合及冷備份和溫備份的手動或軟件切換方式而言，獲得控制權(quán)的控制器不需要重新獲取傳感器信息以及重新進行決策計算，可以直接采用本控制器計算出的決策結(jié)果并輸出到設(shè)備驅(qū)動箱，由于沒有獲得傳感器信息及重新進行決策計算的時間開銷，提高了在控制權(quán)切換時系統(tǒng)輸出的速度，可以保證控制輸出的實時性。

實際的工作過程中，由于主、備兩臺控制器同時出現(xiàn)故障(雙點故障)的概率極小，同時，一臺控制器出現(xiàn)故障時，會給出警告信號，可以通過維修手段來恢復(fù)其工作狀態(tài)，因此，對比單控制器結(jié)構(gòu)，采用上述雙冗余控制器結(jié)構(gòu)的高危場所安全監(jiān)控系統(tǒng)具有很高的可靠性及可用性。

5 結(jié)束語

基于上述雙冗余控制器方案實現(xiàn)的雙冗余、緊耦合、熱備份的安全監(jiān)控系統(tǒng)已經(jīng)在多個型號艦船高危場所的安全監(jiān)控中實際采用。長時間的設(shè)備運行及測試結(jié)果證明：該設(shè)計具有高可靠性和快速反應(yīng)能力，在單控制器故障的條件下仍然能夠保證系統(tǒng)可靠完成安全監(jiān)控任務(wù)。

[1] 易 軍.一種高可靠性嵌入式系統(tǒng)的主備切換設(shè)計[J].電腦與信息技術(shù),2005(6):30-32.

[2] 滿夢華，原 亮，丁國良，等.嵌入式高可靠性異構(gòu)雙機冗余系統(tǒng)的設(shè)計[J].計算機應(yīng)用, 2009,29(8):2143-2145.