唐坤，劉文烽

（1.廣西科技大學(xué)電氣與工程學(xué)院，廣西 柳州 545006；2.柳州市自動(dòng)化科學(xué)研究所，廣西 柳州 545006）

電動(dòng)汽車主控制器雙機(jī)熱備的設(shè)計(jì)

唐坤1，劉文烽2

（1.廣西科技大學(xué)電氣與工程學(xué)院，廣西 柳州 545006；2.柳州市自動(dòng)化科學(xué)研究所，廣西 柳州 545006）

文章主要介紹一種基于電動(dòng)汽車主控制器的雙機(jī)熱備份設(shè)計(jì)方案，對雙機(jī)備份技術(shù)進(jìn)行研究，并分析其各種工作模式的結(jié)構(gòu)和特點(diǎn)以及可能產(chǎn)生的故障類型，提出故障檢測方法。電動(dòng)汽車主控制器即使在發(fā)生故障時(shí)也能實(shí)現(xiàn)無縫切換。其特點(diǎn)是簡化仲裁模塊，提高系統(tǒng)的可靠性，降低系統(tǒng)性能消耗，確保系統(tǒng)能夠無間斷的可靠運(yùn)行。

雙機(jī)；熱備份；故障檢測；仲裁

10.16638 /j.cnki.1671-7988.2016.10.006

CLC NO.: U472.4 Document Code: A Article ID: 1671-7988 (2016)10-17-03

引言

隨著日益加劇環(huán)境和污染問題，電動(dòng)汽車憑借其零污染、高效率以及結(jié)構(gòu)簡易的優(yōu)點(diǎn)越來越受到人們的青睞。電動(dòng)汽車主控制器作為整個(gè)電動(dòng)汽車的通信與控制樞紐，其穩(wěn)定、可靠、有效、持續(xù)的運(yùn)行直接關(guān)系到整個(gè)電動(dòng)汽車的安全行駛。一旦電動(dòng)汽車的主控制器發(fā)生嚴(yán)重故障，將會(huì)帶來慘重的后果。綜上因素，想要提高電動(dòng)汽車主控制器的可靠性一方面要提高單臺(tái)嵌入式處理器的可靠性；另一方面要從系統(tǒng)冗余的角度進(jìn)行設(shè)計(jì)，提高系統(tǒng)容錯(cuò)能力。[1]現(xiàn)在，在許多的嵌入式實(shí)時(shí)系統(tǒng)中，越來越多地采用雙機(jī)備份的結(jié)構(gòu)。因此，雙機(jī)備份技術(shù)的研究有著重要的現(xiàn)實(shí)意義。

本文設(shè)計(jì)基于電動(dòng)汽車的主控制器，其需要采集車速、溫度等實(shí)時(shí)數(shù)據(jù)，并對這些實(shí)時(shí)數(shù)據(jù)及時(shí)的進(jìn)行響應(yīng)處理，要求系統(tǒng)必須不間斷的運(yùn)行，并且能夠?qū)?shù)據(jù)準(zhǔn)確的處理。針對主控制器的這些工作特點(diǎn)，設(shè)計(jì)了雙機(jī)熱備系統(tǒng)。處理器的雙機(jī)冗余設(shè)計(jì)保證了主控制器的可用性；而熱備份技術(shù)的采用，能夠?qū)崿F(xiàn)系統(tǒng)不間斷運(yùn)行，以及在發(fā)生故障時(shí)實(shí)現(xiàn)無縫切換，較大程度上提高了電動(dòng)汽車的可靠性。

1、雙機(jī)備份的研究

在工程實(shí)現(xiàn)中，雙機(jī)備份通常為同構(gòu)型雙機(jī)備份，其原理為兩套具有相同內(nèi)外在特征的處理單元，能夠執(zhí)行相同的任務(wù)。[2]兩套處理單元分別被定義為一主機(jī)和一備機(jī)，即主機(jī)為處于工作狀態(tài)的處理單元，備機(jī)為處于等待狀態(tài)的處理單元。當(dāng)主機(jī)發(fā)生故障時(shí)，備機(jī)通過切換裝置承擔(dān)起與主機(jī)相同的工作，進(jìn)而保證整個(gè)控制系統(tǒng)的可靠運(yùn)行。按照工作模式不同，通常雙機(jī)冗余備份分為雙機(jī)冷備份模式、雙機(jī)溫備份模式和雙機(jī)熱備份模式。

1.1 雙機(jī)冷備份模式

雙機(jī)冷備份模式是指系統(tǒng)工作時(shí)只有一套處理單元加電，另外一套斷電冷備用。外部監(jiān)控設(shè)備檢測到主機(jī)故障時(shí)，備機(jī)加電啟動(dòng)并通過手動(dòng)或自動(dòng)切換裝置接替主機(jī)工作，備機(jī)轉(zhuǎn)換為主機(jī)，發(fā)生故障的處理單元排除故障后轉(zhuǎn)換為冷備份狀態(tài)。冷備份模式設(shè)計(jì)簡單，但是由于處理單元從加電到正常工作通常需要一定時(shí)間，雙機(jī)冷備份模式無法完全滿足實(shí)時(shí)性系統(tǒng)的需求。

1.2 雙機(jī)溫備份模式

雙機(jī)溫備份模式是指系統(tǒng)工作時(shí)兩套處理單元同時(shí)加電，但只有一套處理單元處于工作狀態(tài)，另一套處理單元處于等待或故障診斷狀態(tài)。當(dāng)主機(jī)出現(xiàn)故障時(shí)，能夠迅速自動(dòng)切換，由備機(jī)接替主機(jī)工作。發(fā)生故障的處理單元排除故障后轉(zhuǎn)換為備機(jī)狀態(tài)。與雙機(jī)冷備份模式相比，雙機(jī)溫備份模式縮短了主備機(jī)的切換時(shí)間，減小了系統(tǒng)故障造成的損失。與雙機(jī)熱備份模式相比，結(jié)構(gòu)簡單，性能消耗較小。

1.3 雙機(jī)熱備份模式

雙機(jī)熱備模式是雙機(jī)溫備模式的一種升級，通常帶有同步裝置，保證兩套處理單元產(chǎn)生的關(guān)鍵數(shù)據(jù)同步。其分為主從模式和全雙工模式。主從模式指當(dāng)系統(tǒng)工作時(shí)，兩套處理單元同時(shí)加電，并且都處于工作狀態(tài)。但只有主機(jī)的處理結(jié)果輸出。[3]當(dāng)主機(jī)發(fā)生故障時(shí)，主備機(jī)通過同步裝置，能夠?qū)崿F(xiàn)“無縫切換”，并接替主機(jī)控制，從而保證了控制的連貫性和穩(wěn)定性。全雙工模式指當(dāng)系統(tǒng)工作時(shí)，兩套控制單元同時(shí)加電，同時(shí)工作，產(chǎn)生兩個(gè)處理結(jié)果。然后兩個(gè)處理結(jié)果需要經(jīng)過表決器進(jìn)行比較選擇對外輸出的結(jié)果，表決器的設(shè)計(jì)十分復(fù)雜，輸出若相同則通過表決；若不同則有多種比較方法。因此，全雙工模式設(shè)計(jì)十分復(fù)雜，對兩套控制單元的時(shí)序同步、數(shù)據(jù)同步等要求十分嚴(yán)格。然而，其實(shí)現(xiàn)無縫切換的性能也十分優(yōu)越。

綜上所述，可用度較高的模式為雙機(jī)熱備模式，考慮到汽車主控制器對實(shí)時(shí)性的要求，但對控制的同步要求并不十分的嚴(yán)格，只需當(dāng)系統(tǒng)出現(xiàn)故障時(shí)通過切換裝置能夠迅速的將主機(jī)從系統(tǒng)切除并將備機(jī)投入系統(tǒng)使系統(tǒng)仍能不間斷地正常工作即可。并且考慮到系統(tǒng)對性能消耗和復(fù)雜性的約束，選用STM32F107作為該系統(tǒng)的處理單元，以及uC/OS-II作為操作系統(tǒng)，采用雙機(jī)熱備份主從模式設(shè)計(jì)方案以提高系統(tǒng)可靠性。

2、雙機(jī)熱備份主從模式的設(shè)計(jì)

2.1 雙機(jī)熱備份主從模式的整體結(jié)構(gòu)

電動(dòng)汽車主控制器主要功能包括對整車的控制（儀表、燈光、電動(dòng)座椅等）和對驅(qū)動(dòng)、電力以及ABS防抱死系統(tǒng)的監(jiān)控等，是整個(gè)汽車控制系統(tǒng)的中樞神經(jīng)，對汽車的安全運(yùn)行至關(guān)重要，實(shí)時(shí)性要求較高。圖3.1為電動(dòng)汽車主控制器雙機(jī)熱備份主從模式的結(jié)構(gòu)框圖，本方案中，以心跳信號(hào)作為仲裁的依據(jù)，兩套處理單元互為備機(jī)，系統(tǒng)工作時(shí)處理單元1作為主機(jī)，處理單元2作為備機(jī)，處理單元1和處理單元2并行執(zhí)行相同的處理計(jì)算，且處理單元1和處理單元2各有獨(dú)自的外圍控制邏輯和外設(shè)，這樣不會(huì)引起系統(tǒng)資源的競爭，增加了整體系統(tǒng)的穩(wěn)定性，當(dāng)然這樣是以花費(fèi)更多的硬件設(shè)施為代價(jià)的。通過可編程邏輯器EPM240T100C5N的軟件編程來實(shí)現(xiàn)對兩套處理單元輸出的仲裁，其根據(jù)處理單元1和處理單元2周期性發(fā)送的心跳信號(hào)的頻率來判斷處理單元1和處理單元2的狀況，由于EPM240T100C5N具有并行處理的特性，所以能夠?qū)崿F(xiàn)心跳信號(hào)的同步檢測。當(dāng)兩套處理單元都正常工作時(shí)，心跳信號(hào)按照設(shè)定的頻率正常輸出給仲裁單元，仲裁單元默認(rèn)處理單元1繼續(xù)作為主機(jī)，輸出選擇控制信號(hào)控制選擇模塊的通道1導(dǎo)通，通道2閉合，處理單元1的處理結(jié)果通過CAN總線和RS232分別發(fā)送給各個(gè)電子控制單元和人機(jī)界面；當(dāng)檢測到處理單元1的心跳信號(hào)正常，而處理單元2的心跳信號(hào)的輸出頻率異?；驒z測不到心跳信號(hào)時(shí)，處理單元1繼續(xù)作為主機(jī)，同時(shí)可編程邏輯器EPM240T100C5N發(fā)出處理單元2故障的報(bào)警；當(dāng)檢測到處理單元2的心跳信號(hào)正常，而處理單元1的心跳信號(hào)輸出頻率異常或檢測不到心跳信號(hào)時(shí)，仲裁模塊輸出選擇控制信號(hào)控制選擇模塊的通道1和通道2完成切換，即處理單元2作為主機(jī)接替處理器單元1的工作，同時(shí)可編程邏輯器EPM 240T100C5N發(fā)出處理單元1故障的報(bào)警，處理單元1排除故障后作為備機(jī)。當(dāng)開關(guān)置于手動(dòng)狀態(tài)時(shí)(即圖中位置),通過觸發(fā)器發(fā)出選擇控制信號(hào)，實(shí)現(xiàn)手動(dòng)選擇處理結(jié)果的輸出。[4]同時(shí)存儲(chǔ)模塊將兩套處理單元工作產(chǎn)生的主要參數(shù)以及實(shí)時(shí)狀態(tài)存儲(chǔ)起來并實(shí)現(xiàn)相互共享。

2.2 故障分析與檢測

故障檢測是雙機(jī)系統(tǒng)基本的功能實(shí)現(xiàn)，基于電動(dòng)汽車主控制器的運(yùn)行特點(diǎn)，要求故障檢測必須能夠及時(shí)準(zhǔn)確的分辨故障的種類，以便能夠快速定位故障；并且要求故障檢測占用系統(tǒng)的消耗應(yīng)盡量要小。根據(jù)故障對系統(tǒng)造成的影響，本方案將故障進(jìn)行了分類，如表1所示。

表1 故障分類

本方案中只采用心跳機(jī)制來判斷電動(dòng)汽車主控制器的處理單元的實(shí)時(shí)運(yùn)行狀態(tài)。所謂心跳機(jī)制是指處理單元定時(shí)的發(fā)送一個(gè)自定義的信號(hào)，用以告知對方自己還“活著”或正在正常運(yùn)行。心跳信號(hào)的定時(shí)周期的設(shè)定尤為重要，如果定時(shí)周期過長，將會(huì)造成檢測的滯后，不利于故障的及時(shí)恢復(fù)，如果定時(shí)周期過短，將會(huì)造成處理單元性能的過度消耗，不利于整個(gè)系統(tǒng)的快速運(yùn)行。確定定時(shí)周期后，通過檢測在定時(shí)周期內(nèi)心跳信號(hào)的頻率來分辨故障的類型，若為故障1，心跳信號(hào)自動(dòng)屏蔽該種故障，故系統(tǒng)不作處理；若為故障2或3，將通過檢測心跳信號(hào)頻率進(jìn)行故障分辨，進(jìn)行相應(yīng)的故障恢復(fù)操作。

2.3 仲裁模塊的設(shè)計(jì)

為了提高系統(tǒng)的穩(wěn)定性，本方案采用了現(xiàn)場可編程邏輯控制器EPM240T100C5N作為仲裁控制單元，其具有的并行處理特性簡化了心跳信號(hào)的同步過程，同時(shí)減小了處理單元的性能消耗。當(dāng)故障仲裁模塊的控制流程如圖2所示。在可編程邏輯控制器程序設(shè)計(jì)中，處理單元1的模塊和處理單元2的模塊同時(shí)對心跳信號(hào)在定時(shí)周期內(nèi)的頻率進(jìn)行計(jì)數(shù)，若與正常運(yùn)行的設(shè)定值相等，則相應(yīng)模塊的故障標(biāo)志為0，否則故障標(biāo)志為1，主模塊通過對處理單元1模塊和處理單元2模塊的故障標(biāo)志的值判斷兩套處理單元的運(yùn)行情況。若兩個(gè)故障標(biāo)志位的值都為0（兩套處理單元都正常運(yùn)行），則通過運(yùn)行狀態(tài)位的值，判斷此時(shí)的主機(jī)，并輸出相應(yīng)處理單元的選擇控制信號(hào)；若兩個(gè)故障標(biāo)志位的值分別為0和1（有一個(gè)處理單元發(fā)生故障），則將運(yùn)行狀態(tài)位設(shè)定為故障標(biāo)志位為0的處理單元的對應(yīng)值，并輸出相應(yīng)處理單元的選擇控制信號(hào)；若兩個(gè)故障標(biāo)志位的值都為1（兩套處理單元都異常，這種情況發(fā)生概率很?。瑒t沒有選擇控制信號(hào)產(chǎn)生。若此時(shí)轉(zhuǎn)換開關(guān)接通仲裁單元，則選擇控制信號(hào)控制選擇模塊的相應(yīng)通道導(dǎo)通，另一個(gè)通道關(guān)閉。

3、結(jié)束語

對雙機(jī)備份的各種模式及特點(diǎn)進(jìn)行了研究，結(jié)合電動(dòng)汽車主控制器運(yùn)行的特點(diǎn)，最終應(yīng)用了雙機(jī)熱備份主從模式。本方案中結(jié)合了心跳機(jī)制、仲裁切換和故障分辨等技術(shù)，并有效的將PLCD與嵌入式系統(tǒng)的結(jié)合。本方案主要針對于電動(dòng)汽車的主控制器，已在電動(dòng)汽車仿真平臺(tái)得到應(yīng)用，證明該方案顯著提高了主控制器運(yùn)行的可靠性。在運(yùn)行的處理單元故障的情況下，實(shí)現(xiàn)處理單元的無縫切換，保證了系統(tǒng)的不間斷運(yùn)行且準(zhǔn)確可靠。能夠準(zhǔn)確的對故障進(jìn)行分辨，縮短了故障的定位及恢復(fù)時(shí)間。可編程邏輯控制器的應(yīng)用極大的簡化了仲裁模塊的硬件及軟件的設(shè)計(jì)，提高可靠性的同時(shí)降低了處理模塊的性能消耗，大大降低了汽車的主控制器失效對汽車帶來的風(fēng)險(xiǎn)。同時(shí)，本方案具有一定的普遍性，在其他的嵌入式系統(tǒng)中均可應(yīng)用并為其他方案提供了借鑒。

[1] 趙豫峰,張善從. 一種雙機(jī)熱備的嵌入式計(jì)算機(jī)系統(tǒng)設(shè)計(jì)[J].研究與開發(fā),2013,32(5),75-78.

[2] 唐仁杰.列車控制車載子系統(tǒng)雙機(jī)容錯(cuò)模擬研究[D].西南交通大學(xué)，2007.

[3] 張科超, 崔剛. 實(shí)時(shí)嵌入式系統(tǒng)中的雙機(jī)熱備份容錯(cuò)設(shè)計(jì)[J]. 計(jì)算機(jī)研究與發(fā)展,2010,47(SUPPL)133-136.

[4] 索紅軍.嵌入式系統(tǒng)中熱備份雙機(jī)切換技術(shù)研究[J]. 嵌入式系統(tǒng)應(yīng)用,2008,24(3-2)32-33,44.

Dual-Unit Hot-Standby Design of Center Controller of Electric Vehicle

Tang Kun1, Liu Wenfeng2
( 1.institute of electrical and engineering of guangxi university of science and technology, Guangxi Liuzhou 545006; 2. Liuzhou automation science institute, Guangxi Liuzhou 545006 )

The paper introduces a design of hot-standby system based on electric vehicle center controller, and studies the technology of Dual-Unit standby. The fault detection method is proposed in the paper, through the analysis of the technology of Dual-Unit standby of structure and characteristics of the various modes and the possible fault types. The design enables electric vehicle center controller to realize seamless switching when a fault occurs. The characteristic is to simplify the arbitration module, improve the reliability of the system, reduce the consumption of system resources, and ensure that the system run reliably without interruption.

dual-unit; hot-standby; fault detection; arbitration

U472.4

A

1671-7988(2016)10-17-03

唐坤，（1987.11-），男，碩士，就讀于廣西科技大學(xué)。研究方向：智能控制與應(yīng)用。