[發(fā)明專利]一種可重構三冗余計算機系統(tǒng)及其重構降級方法

在審

• 申請?zhí)枺?/td>: 201710071264.X
• 申請日: 2017-02-09
• 公開（公告）號: CN106970857A
• 公開（公告）日: 2017-07-21
• 發(fā)明（設計）人: 程亮;余薛浩;粱珣;談學軍;梁家誠
• 申請（專利權）人: 上海航天控制技術研究所
• 主分類號: G06F11/14
• 分類號: G06F11/14;G06F11/18;G06F11/20
• 代理公司: 中國航天科技專利中心11009
• 代理人: 龐靜

1.一種可重構三冗余計算機系統(tǒng)，其特征在于包括三個控制計算機，每個控制計算機包括接口通信模塊、CPU模塊和表決控制模塊，三個控制計算機上電完成初始化配置和時間同步之后工作在三機冗余工作模式下，各控制計算機CPU模塊分別接收外部數據，同步進行控制計算，將計算結果發(fā)送至對應的接口通信模塊；同時，各控制計算機CPU模塊通過表決控制模塊進行數據交互，獲取三個控制計算機的計算結果，對三個控制計算機的計算結果，進行故障診斷得到故障判斷結果，根據故障判斷結果和預設的權切換順序，形成表示當權控制計算機編號的表決狀態(tài)指令，將表決狀態(tài)指令發(fā)送至三個控制計算機的表決控制模塊，每個控制計算機的表決控制模塊根據表決狀態(tài)指令，按照3取2的原則配置當權機，由當權機輸出權使能控制信號至對應的接口通信模塊，并由當權機向故障機輸出復位指令；在權使能信號的控制下，僅當權控制計算機接口通信模塊將計算結果輸出至對外接口，故障機復位重啟后，通過三機交互接口同步當班機的關鍵數據，使故障機重新運行與其它兩機保持狀態(tài)一致，完成重構。

2.根據權利要求1所述的一種可重構三冗余計算機系統(tǒng)，其特征在于所述每個控制計算機CPU模塊與三個控制計算機表決控制模塊相連，CPU模塊寫操作將交互數據同時寫入三個控制計算機表決控制模塊的存儲緩沖區(qū)，CPU模塊讀操作讀取所屬控制計算機的表決控制模塊存儲緩沖區(qū)中三個控制計算機交互數據。

3.根據權利要求1所述的一種可重構三冗余計算機系統(tǒng)，其特征在于當任意一個控制計算機發(fā)生故障次數超過預設次數時，當權機對該故障機進行斷電操作，三冗余計算機系統(tǒng)運行在雙機主從工作模式，一個控制計算機為當權機，另一個控制計算機為非當權機，其中，當權機通過表決控制模塊向非當權機發(fā)送健康狀態(tài)信號，非當權機根據當權機健康狀態(tài)信號判斷當權機的健康狀態(tài)，當當權機“不健康”時，非當權機表決控制模塊向當權機發(fā)送奪權指令，并對當權機進行復位操作，非當權機切換自身為當權機，發(fā)出權使能有效信號，接管三冗余計算機系統(tǒng)對外接口通信權，三冗余計算機系統(tǒng)工作在單機工作模式；否則，三冗余計算機系統(tǒng)保持在雙機工作模式。

4.根據權利要求2所述的一種可重構三冗余計算機系統(tǒng)，其特征在于所述當權機健康狀態(tài)信號包括心跳信號、電壓狀態(tài)信息和雙機時間信息，當所有健康狀態(tài)信號與預設值均一致時，認為當權機“健康”，否則，認為當權機“不健康”。

5.根據權利要求1所述的一種可重構三冗余計算機系統(tǒng)，其特征在于每個控制計算機對三個控制計算機的計算結果進行表決的原則為：對三份計算結果進行比對，如果三份計算結果相互之間的偏差均未超出設定閾值，則認為無故障機，如果其中一份計算結果與這兩份計算結果偏差超出設定閾值，則認為該計算結果所對應的控制計算機為故障機；如果三份計算結果相互之間的偏差均超出設定閾值，則認為三機均為故障機。

6.根據權利要求1所述的一種可重構三冗余計算機系統(tǒng)，其特征在于所述三個控制計算機獨立供電。

7.根據權利要求1所述的一種可重構三冗余計算機系統(tǒng)，其特征在于所述三個控制計算機之間的所有外部接口信號和內部交互信號均采取隔離措施進行隔離。

8.根據權利要求1所述的一種可重構三冗余計算機系統(tǒng)，其特征在于所述控制計算機中的表決控制單元通過FPGA實現(xiàn)。

9.一種可重構三冗余計算機系統(tǒng)的重構降級方法，其特征在于三個控制計算機上完成初始化配置與時間同步之后，三冗余計算機系統(tǒng)工作在三機工作模式下，一個為當權機，另外兩控制計算機為非當權機，三個控制計算機進行如下步驟：

(1)、每個控制計算機同步進行控制計算，每個控制計算機實時獲取另外兩個控制計算機的計算結果，之后，對三個控制計算機的計算結果，進行故障診斷，得到故障判斷結果，根據故障判斷結果和預設的權切換順序，形成表示當權控制計算機編號的表決狀態(tài)指令；

(2)、采用3取2的原則對表示當權控制計算機編號的表決狀態(tài)指令配置當權機，由當權機輸出權使能信號，所述權使能信號控制當權控制計算機將計算結果輸出至外部接口，之后轉入步驟(3)；

(3)、當故障判斷結果為三個控制計算機均無故障機時，三冗余計算機系統(tǒng)保持在三機工作模式下，由當權機將計算結果三取二輸出，下一個周期到來時從步驟(1)開始執(zhí)行；當故障判斷結果為存在一個故障機時，轉入步驟(4)；當故障判斷結果為存在三個故障機時，系統(tǒng)停止工作；

(4)、判斷該故障機發(fā)生故障的次數是否超過預設值，如果未超過，則轉入步驟(5)，超過則轉入步驟(6)；

(5)、由當權機將故障機復位，故障機復位重啟后，獲取當權機的所有運行過程數據，使故障機與其它兩機保持同步，完成重構，三個控制計算機保持在三機工作模式下，下一個周期到來時從步驟(1)開始執(zhí)行；

(6)、由當權機對故障機進行斷電操作，三冗余計算機系統(tǒng)工作在雙機主從工作模式，一個控制計算機為當權機，另一個控制計算機為非當權機；當權機向非當權機發(fā)送健康狀態(tài)信號，之后進入步驟(7)；

(7)、非當權機判斷當權機健康狀態(tài)信號是否與預設值一致，如果一致，則在下一個周期到來時，重復執(zhí)行步驟(6)～步驟(7)；如果不一致，則非當權機向當權機發(fā)送奪權指令，接管三冗余計算機系統(tǒng)對外接口通信權，三冗余計算機系統(tǒng)工作在單機工作模式。