CN107239433A - 一种三冗余计算机同步方法 - Google Patents

Abstract

一种三冗余计算机同步方法，三冗余计算机包含：表决模块，以及结构完全相同的第一CPU模块、第二CPU模块和第三CPU模块，表决模块包含结构完全相同且相互独立的三个冗余表决单元，每一个表决单元都包含高精度时钟源和表决FPGA，每一个CPU模块都包含CPU板FPGA和处理器，三冗余计算机根据多时钟源动态故障诊断与切换方法实现时钟脉冲同步，然后三冗余计算机根据同一个同源时钟信号，实现计算机中软件时间基准的同步。本发明能够解决冗余计算机时钟冗余和软件同步问题，成本低，可靠性高，简单易行。

Description

一种三冗余计算机同步方法

技术领域

本发明涉及运载火箭与航天器计算机系统，尤其涉及一种三冗余计算机同步方法。

背景技术

由于冗余计算机在高可靠与低成本的独特的优势，在未来的各种类型的上面级、快速响应的液体小火箭、固体小运载、空射小运载和用于载人探月的重型运载火箭上将具有广泛的应用。

随着我国空间应用、科学探测、载人航天的发展，国际商业发射与国际合作的日益加深，运载火箭发射任务越来越多，高密度快速发射成为运载火箭的发展趋势。为了提高中国运载火箭的整体水平和能力，满足未来20—30年航天发展的需求，保持我国运载技术在世界航天领域的地位，我国开展了研制新一代快速发射运载火箭。

新一代快速发射运载火箭要求高可靠和低成本，缩短研制周期，并减少对高等级器件的依赖。采用“一体化、自主控制、集成化、低成本”冗余技术，可应用于国内各种运载火箭或航天器的计算机系统。

目前的冗余计算机存在时钟冗余不同步和软件不同步的问题，在控制周期实时需求较高的系统中，无法实现快速故障诊断与决策，同时，由于不同步问题，冗余系统存在状态差异，增加故障诊断的复杂度。

发明内容

本发明提供一种三冗余计算机同步方法，能够解决冗余计算机时钟冗余和软件同步问题，成本低，可靠性高，简单易行。

为了达到上述目的，本发明提供一种三冗余计算机同步方法，三冗余计算机包含：表决模块，以及结构完全相同的第一CPU模块、第二CPU模块和第三CPU模块，表决模块包含结构完全相同且相互独立的三个冗余表决单元，每一个表决单元都包含高精度时钟源和表决FPGA，每一个CPU模块都包含CPU板FPGA和处理器，所述的同步方法包含以下步骤：

步骤S1、三冗余计算机根据多时钟源动态故障诊断与切换方法实现时钟脉冲同步；

步骤S2、三冗余计算机根据同一个同源时钟信号，实现计算机中软件时间基准的同步。

所述的步骤S1中，所述的多时钟源动态故障诊断与切换方法包含以下步骤：

三个CPU模块中的CPU板FPGA分别获取表决模块中三个表决单元发送的三个同步脉冲信号，选择其中一个同步脉冲信号作为三个CPU模块的同源时钟信号，根据时钟三取二选择逻辑对发生故障的同步脉冲信号进行诊断，并根据同步脉冲的选择策略进行同步脉冲信号的切换。

所述的同步脉冲的选择策略包含：

根据预先设定的同步脉冲信号的优先级顺序来切换同步脉冲信号，上电时默认使用优先级顺序最高的同步脉冲信号。

所述的同步脉冲信号故障包含：

干扰产生的误脉冲、脉冲常为高、脉冲常为低、脉冲提前到来、脉冲推迟到来、脉冲脉宽变宽和脉冲脉宽变窄。

所述的同步脉冲信号故障诊断方法包含：

三个CPU模块通过自身的高精度晶振，监测接收到的同步脉冲信号，测量其脉冲宽度的偏差是否在允许范围之内，若2个以上的CPU模块监测到某个同步脉冲信号的宽度超过允许范围，则判定该同步脉冲信号发生故障，则根据同步脉冲的选择策略进行同步脉冲的切换。

所述的步骤S2中，实现计算机中软件时间基准同步的方法包含以下步骤：

步骤S2.1、三个CPU模块上电复位后，处理器中的监控软件启动汇编脚本从EEPROM中拷贝监控软件和飞行软件至SRAM中，并开始运行监控软件；

步骤S2.2、三个CPU模块中的飞行软件都进入查询等待状态，监控软件通过三个表决FPGA进行三机数据交互，查询三机的启动状态；

步骤S2.3、三机的启动状态均准备正常后，三个CPU模块共同启动，监控软件配置启动接收同步脉冲信号；

步骤S2.4、三个CPU板FPGA获取同一个同源时钟信号进行计时，三机中的飞行软件开始同步运行。

所述的同步方法还包含：飞行软件在运行过程中的同步方法，包含以下步骤：

每个CPU模块中的CPU板FPGA为对应的处理器提供来自于同一个同步脉冲信号的同源时钟信号，处理器根据同源时钟信号进行计时，每到达触发时间时，触发软件中断，中断后再次同步运行三机中的飞行软件，实现软件运行同步。

本发明具有以下有益效果：

1、高可靠性

采用三冗余计算机同步方法，保证三冗余时钟在一度或两度故障状态下，保持提供高精度的同步时钟信号。

2、简易性

三冗余计算机同步方法，不需要复杂的硬件逻辑设计，且软硬件耦合度较低，硬件主要提供同源时钟，软件仅需保证初始同步起始点共同计数，可以在各种高精度同步的冗余计算机中适用，软硬件设计方法简单易行。

3、低成本

运载飞控计算机作为飞行控制核心，要求高可靠性，以往采用的方法主要是提高元器件的关键等级，以及大量的筛选、验证试验，采用三机全冗余方案，可有效的提高系统可靠性，降级研制成本，扩大火箭在发射市场的竞争力，进而占有更多的市场份额。

附图说明

图1是三冗余计算机的结构示意图。

图2是本发明提供的一种三冗余计算机同步方法的流程图。

图3是同步脉冲选择策略的示意图。

图4是脉冲故障诊断和脉冲切换的流程图。

图5是三机上电时钟同步示意图。

图6是软件上电运行原理图。

图7是初始上电主要软件流程图。

图8是飞行软件在运行过程中的同步示意图。

具体实施方式

以下根据图1～图8，具体说明本发明的较佳实施例。

如图1所示，三冗余计算机包含：表决模块4，以及结构完全相同的第一CPU模块1、第二CPU模块2和第三CPU模块3。

所述的表决模块4包含结构完全相同且相互独立的三个冗余表决单元，即：第一表决单元5、第二表决单元6和第三表决单元7。所述的第一表决单元5发送第一同步脉冲信号给第一CPU模块1、第二CPU模块2和第三CPU模块3，所述的第二表决单元6发送第二同步脉冲信号给第一CPU模块1、第二CPU模块2和第三CPU模块3，第三表决单元7发送第三同步脉冲信号给第一CPU模块1、第二CPU模块2和第三CPU模块3，第一CPU模块1、第二CPU模块2和第三CPU模块3之间两两进行数据交互。

所述的每一个表决单元都包含高精度时钟源和表决FPGA，表决FPGA对高精度时钟源提供的高精度晶振进行处理后输出同步脉冲信号给第一CPU模块1、第二CPU模块2和第三CPU模块3。本实施例中，所述的高精度时钟源采用20MHz高稳晶振，具体型号为ZC550-20MHZ-5V-5ppm（具体技术指标：稳定度：5PPM；工作温度范围：-55℃~85℃；工作电压：5V），通过晶振脉冲计数，当计数为20次时，输出1ms时钟脉冲至第一CPU模块1、第二CPU模块2和第三CPU模块3。第一表决单元5包含第一高精度时钟源8和第一表决FPGA11，第二表决单元6包含第二高精度时钟源9和第二表决FPGA12，第三表决单元7包含第三高精度时钟源10和第三表决FPGA13。

所述的每一个CPU模块都包含CPU板FPGA和处理器，CPU板FPGA接收来自三个表决单元的三个同步脉冲信号，对同步脉冲信号进行三取二表决后，选择一路脉冲信号输出给处理器，实现三冗余计算机的同步。第一CPU模块1包含第一CPU板FPGA14和第一处理器17，第二CPU模块2包含第二CPU板FPGA15和第二处理器18，第三CPU模块3包含第三CPU板FPGA16和第三处理器19。

如图2所示，本发明提供一种三冗余计算机同步方法，包含以下步骤：

步骤S1、三冗余计算机根据多时钟源动态故障诊断与切换方法实现时钟脉冲同步；

步骤S2、三冗余计算机根据同一个同源时钟信号，实现计算机中软件时间基准的同步。

所述的步骤S1中，所述的多时钟源动态故障诊断与切换方法包含以下步骤：

三个CPU模块中的CPU板FPGA分别获取表决模块中三个表决单元发送的三个同步脉冲信号，选择其中一个同步脉冲信号作为三个CPU模块的同源时钟信号，根据时钟三取二选择逻辑对发生故障的同步脉冲信号进行诊断，并根据同步脉冲的选择策略进行同步脉冲信号的切换，保证三冗余时钟在一度或两度故障状态下，提供连续的高精度的同步时钟信号。

所述的同步脉冲的选择策略包含：根据预先设定的同步脉冲信号的优先级顺序来切换同步脉冲信号，上电时默认使用优先级顺序最高的同步脉冲信号。如图3所示，第一同步脉冲信号的优先级为1，第二同步脉冲信号的优先级为2，第三同步脉冲信号的优先级为3，同步脉冲信号的切换次序为1->2，2->3、3->1，即当权机的同步脉冲信号出现故障，三个计算机中的CPU板FPGA自主表决采用另一个同步脉冲信号，三机同步时钟硬件保证误差小于10us。

所述的同步脉冲信号故障包含：干扰产生的误脉冲（该误脉冲是由于冗余三机晶振焊点接触不良和晶振硬件故障等导致的）、脉冲常为高、脉冲常为低、脉冲提前到来、脉冲推迟到来、脉冲脉宽变宽和脉冲脉宽变窄。

所述的同步脉冲信号故障诊断方法包含：三个CPU模块通过自身的高精度晶振，监测接收到的同步脉冲信号，测量其脉冲宽度的偏差是否在允许范围之内（允许偏差10%），若2个以上的CPU模块监测到某个同步脉冲信号的宽度超过允许范围，则判定该同步脉冲信号发生故障。

如图4所示，三冗余计算机上电后，三个CPU模块中的CPU板FPGA分别同时获取三个同步脉冲信号，诊断是否有同步脉冲信号发生故障，依次诊断脉冲是否常为高、脉冲是否常为低、脉冲是否提前到来、脉冲是否推迟到来、脉冲脉宽是否变宽和脉冲脉宽是否变窄，若没有脉冲信号发生故障，则默认使用第一同步脉冲信号，若正在使用的第一同步脉冲信号发生故障，则切换到第二同步脉冲信号，若正在使用的第二同步脉冲信号发生故障，则切换到第三同步脉冲信号，若正在使用的第三同步脉冲信号发生故障，则切换到第一同步脉冲信号，以此类推。

所述的步骤S2中，实现计算机中软件时间基准同步的方法包含以下步骤：

步骤S2.1、三个CPU模块上电复位后，处理器中的监控软件启动汇编脚本从EEPROM中拷贝监控软件和飞行软件至SRAM中，并开始运行监控软件；

步骤S2.2、三个CPU模块中的飞行软件都进入查询等待状态，监控软件通过三个表决FPGA进行三机数据交互，查询三机的启动状态；

步骤S2.3、三机的启动状态均准备正常后，三个CPU模块共同启动，监控软件配置启动接收同步脉冲信号；

步骤S2.4、三个CPU板FPGA获取同一个同源时钟信号进行计时，三机中的飞行软件开始同步运行。

如图5所示，第一CPU板FPGA、第二CPU板FPGA和第三CPU板FPGA选择同一个同源时钟信号输出至第一CPU模块、第二CPU模块和第三CPU模块中，用于软件的外部中断信号，作为软件同步流程的最小时间单元，第一CPU模块、第二CPU模块和第三CPU模块通过三机“数据交互”实现启动状态的通知，当均获取相互间软件启动状态准备正常后，同时采用“同步脉冲”进行计时，可保证软件时间基准的同步性，本实施例中，同步脉冲信号的精度为1ms。

如图6和图7所示，计算机上电复位后，首先监控软件启动汇编脚本从EEPROM中拷贝监控软件、飞行软件至SRAM中，并从监控软件开始运行，监控软件在所有中断屏蔽的条件下进行系统自检，三机由于硬件启动、执行存在时间的差异，软件在实际情况下一般为不同步状态。

三机同步步骤如下：

a、三机飞行软件通过“循环等待”状态，查询其它两机三机交互接口，更改“上电启动状态标识”变量；

b、当三机均获取到正常启动标识时，退出“循环等待”状态；

c、三机共同开始运行，配置启动接收1ms同步脉冲信号，时间误差小于10us；

d、通过获取1ms同源时钟脉冲计数，保证长时间时钟偏差均小于10us。

三机间存在启动时间误差，三机启动时间误差t1、t2的值小于±100us。

三冗余计算机在软件运行过程中，三个CPU模块中的软件运行工作流程不一致，存在运行分支不一致的情况，需要进行同步。本发明提供的一种三冗余计算机同步方法还可以实现飞行软件在运行过程中的同步，如图8所示，具体包含以下步骤：

每个CPU模块中的CPU板FPGA为对应的处理器提供来自于同一个同步脉冲信号的1ms的同源时钟信号，处理器根据同源时钟信号进行计时，每到达触发时间（比如20ms）时，触发软件中断，中断后再次同步运行三机中的飞行软件，实现软件运行同步。

本发明采用的方法，其有益效果是：

1、高可靠性

采用三冗余计算机同步方法，保证三冗余时钟在一度或两度故障状态下，保持提供高精度的同步时钟信号。

2、简易性

三冗余计算机同步方法，不需要复杂的硬件逻辑设计，且软硬件耦合度较低，硬件主要提供同源时钟，软件仅需保证初始同步起始点共同计数，可以在各种高精度同步的冗余计算机中适用，软硬件设计方法简单易行。

3、低成本

运载飞控计算机作为飞行控制核心，要求高可靠性，以往采用的方法主要是提高元器件的关键等级，以及大量的筛选、验证试验，采用三机全冗余方案，可有效的提高系统可靠性，降级研制成本，扩大火箭在发射市场的竞争力，进而占有更多的市场份额。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。

Claims (7)

1.一种三冗余计算机同步方法，其特征在于，三冗余计算机包含：表决模块，以及结构完全相同的第一CPU模块、第二CPU模块和第三CPU模块，表决模块包含结构完全相同且相互独立的三个冗余表决单元，每一个表决单元都包含高精度时钟源和表决FPGA，每一个CPU模块都包含CPU板FPGA和处理器，所述的同步方法包含以下步骤：

步骤S1、三冗余计算机根据多时钟源动态故障诊断与切换方法实现时钟脉冲同步；

步骤S2、三冗余计算机根据同一个同源时钟信号，实现计算机中软件时间基准的同步。

2.如权利要求1所述的三冗余计算机同步方法，其特征在于，所述的步骤S1中，所述的多时钟源动态故障诊断与切换方法包含以下步骤：

三个CPU模块中的CPU板FPGA分别获取表决模块中三个表决单元发送的三个同步脉冲信号，选择其中一个同步脉冲信号作为三个CPU模块的同源时钟信号，根据时钟三取二选择逻辑对发生故障的同步脉冲信号进行诊断，并根据同步脉冲的选择策略进行同步脉冲信号的切换。

3.如权利要求2所述的三冗余计算机同步方法，其特征在于，所述的同步脉冲的选择策略包含：

根据预先设定的同步脉冲信号的优先级顺序来切换同步脉冲信号，上电时默认使用优先级顺序最高的同步脉冲信号。

4.如权利要求2所述的三冗余计算机同步方法，其特征在于，所述的同步脉冲信号故障包含：

干扰产生的误脉冲、脉冲常为高、脉冲常为低、脉冲提前到来、脉冲推迟到来、脉冲脉宽变宽和脉冲脉宽变窄。

5.如权利要求2所述的三冗余计算机同步方法，其特征在于，所述的同步脉冲信号故障诊断方法包含：

三个CPU模块通过自身的高精度晶振，监测接收到的同步脉冲信号，测量其脉冲宽度的偏差是否在允许范围之内，若2个以上的CPU模块监测到某个同步脉冲信号的宽度超过允许范围，则判定该同步脉冲信号发生故障，则根据同步脉冲的选择策略进行同步脉冲的切换。

6.如权利要求1所述的三冗余计算机同步方法，其特征在于，所述的步骤S2中，实现计算机中软件时间基准同步的方法包含以下步骤：

步骤S2.1、三个CPU模块上电复位后，处理器中的监控软件启动汇编脚本从EEPROM中拷贝监控软件和飞行软件至SRAM中，并开始运行监控软件；

步骤S2.2、三个CPU模块中的飞行软件都进入查询等待状态，监控软件通过三个表决FPGA进行三机数据交互，查询三机的启动状态；

步骤S2.3、三机的启动状态均准备正常后，三个CPU模块共同启动，监控软件配置启动接收同步脉冲信号；

步骤S2.4、三个CPU板FPGA获取同一个同源时钟信号进行计时，三机中的飞行软件开始同步运行。

7.如权利要求1-6中任意一项所述的三冗余计算机同步方法，其特征在于，所述的同步方法还包含：飞行软件在运行过程中的同步方法，包含以下步骤：

每个CPU模块中的CPU板FPGA为对应的处理器提供来自于同一个同步脉冲信号的同源时钟信号，处理器根据同源时钟信号进行计时，每到达触发时间时，触发软件中断，中断后再次同步运行三机中的飞行软件，实现软件运行同步。