一種非相似雙余度四機(jī)自監(jiān)控容錯控制方法
【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及嵌入式計(jì)算機(jī)技術(shù)領(lǐng)域，具體涉及一種非相似雙余度四機(jī)自監(jiān)控容錯 控制方法。
【背景技術(shù)】
[0002] 非相似雙余度四機(jī)通常由兩個完全相同的通道構(gòu)成，其中一個作為主通道，一個 作為備通道;每個通道各采用兩個處理器，這兩個處理器類型互不相同，其中一個作為主控 處理器負(fù)責(zé)輸出最終運(yùn)算結(jié)果，另一個作為監(jiān)控處理器僅起到監(jiān)測作用；系統(tǒng)中具有一個 獨(dú)立的輸出比較和通道切換控制的仲裁單元，如圖1所示。
[0003] 四個處理器同時(shí)執(zhí)行相同的任務(wù)。同一個通道內(nèi)，主控處理器與監(jiān)控處理器通過 雙端口RAM或交叉數(shù)據(jù)鏈(Cross Channel Date Link，以下簡稱(XDL)進(jìn)行數(shù)據(jù)交換。當(dāng)主 通道的監(jiān)控處理器發(fā)現(xiàn)其運(yùn)算結(jié)果與主控處理器運(yùn)算結(jié)果不一致時(shí)，將監(jiān)測結(jié)果送至仲裁 單元;但因判據(jù)不足，仲裁單元無法判定是主控處理器故障還是監(jiān)控處理器故障，但一般認(rèn) 定是主通道發(fā)生故障，于是仲裁單元將系統(tǒng)切換到備通道繼續(xù)工作。如果在后續(xù)工作過程 中，備通道也出現(xiàn)監(jiān)控處理器與主控處理器運(yùn)算結(jié)果不一致情況時(shí)，系統(tǒng)已無冗余通道可 供切換，為不使故障擴(kuò)散，系統(tǒng)只能輸出預(yù)設(shè)的安全信號。
[0004] 現(xiàn)有的非相似雙余度四機(jī)的控制方式存在如下缺陷：
[0005] (1)故障定位相對粗略
[0006] 同一通道中對雙機(jī)運(yùn)算結(jié)果進(jìn)行比較，只能判斷出結(jié)果相同還是不同，不能判斷 出哪個結(jié)果是對的，哪個結(jié)果是錯的，也就無法定位故障處理器系統(tǒng)。
[0007] (2)資源利用率不高
[0008] 當(dāng)主通道故障，系統(tǒng)整體切換到備通道后，原通道中可能存在的狀態(tài)完好的處理 器及其它電路不能再為系統(tǒng)所利用。
[0009] (3)容錯能力不夠高
[0010] 主通道發(fā)生一次故障系統(tǒng)可切換到備通道;備通道再次發(fā)生故障系統(tǒng)必須安全輸 出。系統(tǒng)只能做到一次故障工作，二次故障安全。
[0011] (4)存在單點(diǎn)故障隱患
[0012] 仲裁單元是公共資源，若仲裁單元發(fā)生故障，將導(dǎo)致整個系統(tǒng)容錯機(jī)制的崩潰。

【發(fā)明內(nèi)容】

[0013] 有鑒于此，本發(fā)明提供了一種非相似雙余度四機(jī)自監(jiān)控容錯控制方法，能夠充分 利用系統(tǒng)資源，準(zhǔn)確定位故障處理器，避免仲裁單元故障導(dǎo)致的單點(diǎn)故障，并能實(shí)現(xiàn)二次故 障工作，三次故障安全，提高系統(tǒng)的可靠性及使用壽命。
[0014] 本發(fā)明的非相似雙余度四機(jī)自監(jiān)控容錯控制方法，包括如下步驟：
[0015] 步驟1，構(gòu)建包括4個處理器的控制系統(tǒng)：
[0016] 所述4個處理器之間采用同步串行通道進(jìn)行連接，進(jìn)行兩兩之間的信息交互，四個 處理器同時(shí)處理相同的子任務(wù)，預(yù)設(shè)各處理器的優(yōu)先級順序;各子任務(wù)周期內(nèi)僅有一個處 理器為當(dāng)班機(jī)，由當(dāng)班機(jī)輸出最終的子任務(wù)運(yùn)算結(jié)果，其中，默認(rèn)優(yōu)先級別高的非故障處理 器為當(dāng)前子任務(wù)周期內(nèi)的當(dāng)班機(jī)；
[0017]步驟2，在子任務(wù)起始處，各處理器向其他處理器發(fā)送同步請求，并接收其他處理 器發(fā)送的同步請求;各處理器根據(jù)當(dāng)前的控制系統(tǒng)工作模式以及接收到的同步請求數(shù)量， 標(biāo)識故障機(jī)，產(chǎn)生自己的子任務(wù)啟動信號，并根據(jù)自身時(shí)鐘執(zhí)行子任務(wù)；
[0018] 步驟3，各處理器完成子任務(wù)后，通過同步串行通道將運(yùn)算結(jié)果及握手請求發(fā)送給 其它處理器，并接收其它處理器的運(yùn)算結(jié)果及握手請求;各處理器根據(jù)當(dāng)前的控制系統(tǒng)工 作模式以及接收到的握手請求數(shù)量，標(biāo)識故障機(jī)，并用無效數(shù)據(jù)代替故障機(jī)的運(yùn)算結(jié)果;各 處理器對接收到的所有運(yùn)算結(jié)果進(jìn)行少數(shù)服從多數(shù)的表決，形成一致的最終運(yùn)算結(jié)果，并 判斷與最終運(yùn)算結(jié)果不一致的處理器為故障機(jī)，判斷當(dāng)前優(yōu)先級最高的非故障的處理器為 當(dāng)班機(jī);各處理器將其對故障機(jī)和當(dāng)班機(jī)的判斷結(jié)果發(fā)送給其它三個處理器，等待其它處 理器的判斷結(jié)果；
[0019] 步驟4,各處理器在接收到其他處理器發(fā)送的故障機(jī)和當(dāng)班機(jī)的判斷結(jié)果后，根據(jù) 當(dāng)前的控制系統(tǒng)工作模式以及接收到的判斷結(jié)果數(shù)量，對接收到的所有判斷結(jié)果進(jìn)行少數(shù) 服從多數(shù)的表決，形成一致的最終當(dāng)班機(jī)和故障機(jī)判斷結(jié)果；
[0020] 步驟5，由步驟4最終確定的當(dāng)班機(jī)輸出步驟3確定的最終運(yùn)算結(jié)果，該最終運(yùn)算結(jié) 果即為非相似雙余度四機(jī)對該子任務(wù)的運(yùn)算結(jié)果;轉(zhuǎn)入下一個子任務(wù)，返回步驟2,直至所 有子任務(wù)執(zhí)行完畢或控制系統(tǒng)安全輸出。
[0021] 進(jìn)一步地，所述步驟1中，各處理器的優(yōu)先級順序按各處理器的處理速度快慢排 序，處理速度最慢的處理器優(yōu)先級最高，處理速度最快的處理器優(yōu)先級最低。
[0022] 進(jìn)一步地，所述步驟2中，當(dāng)4個處理器均未發(fā)生故障，即當(dāng)前工作模式為四機(jī)模式 時(shí)，如果各處理器在設(shè)定的時(shí)間內(nèi)接收到2個或2個以上的同步請求，則各處理器標(biāo)識同步 請求未送達(dá)的處理器為故障機(jī)，各自產(chǎn)生自己的子任務(wù)啟動信號，并根據(jù)自身時(shí)鐘執(zhí)行子 任務(wù);如果某處理器在設(shè)定的時(shí)間內(nèi)未收到2個或2個以上的同步請求，則該處理器不執(zhí)行 子任務(wù)，其他處理器在之后的步驟中將該處理器標(biāo)識為故障機(jī)；
[0023]當(dāng)3個處理器未發(fā)生故障、1個處理器發(fā)生故障，即當(dāng)前工作模式為三機(jī)模式時(shí)，如 果各處理器在設(shè)定的時(shí)間內(nèi)接收到1個或1個以上的同步請求，則各處理器標(biāo)識同步請求未 送達(dá)的處理器為故障機(jī)，各自產(chǎn)生自己的子任務(wù)啟動信號，并根據(jù)自身時(shí)鐘執(zhí)行子任務(wù);如 果某各處理器在設(shè)定的時(shí)間內(nèi)未收到1個或1個以上的同步請求，則該處理器不執(zhí)行子任 務(wù)，其他處理器在之后的步驟中將該處理器標(biāo)識為故障機(jī)；
[0024] 當(dāng)2個處理器未發(fā)生故障、2個處理器發(fā)生故障，即當(dāng)前工作模式為雙機(jī)模式時(shí)，如 果各處理器在設(shè)定的時(shí)間內(nèi)接收到1個同步請求，則各處理器各自產(chǎn)生自己的子任務(wù)啟動 信號，并根據(jù)自身時(shí)鐘執(zhí)行子任務(wù);如果各處理器在設(shè)定的時(shí)間內(nèi)未收到同步請求，則該處 理器不執(zhí)行子任務(wù)，系統(tǒng)安全輸出。
[0025] 進(jìn)一步地，所述步驟3中，當(dāng)4個處理器均未發(fā)生故障，即當(dāng)前工作模式為四機(jī)模式 時(shí)，如果各處理器在設(shè)定的時(shí)間內(nèi)接收到2個或2個以上的握手請求，則各處理器標(biāo)識握手 請求未送達(dá)的處理器為故障機(jī)，并用無效數(shù)據(jù)代替其運(yùn)算結(jié)果;如果某處理器在設(shè)定的時(shí) 間內(nèi)未收到2個或2個以上的握手請求，則該處理器一直等待，其他處理器在之后的步驟中 將該處理器標(biāo)識為故障機(jī)；
[0026] 當(dāng)3個處理器未發(fā)生故障、1個處理器發(fā)生故障，即當(dāng)前工作模式為三機(jī)模式時(shí)，如 果各處理器在設(shè)定的時(shí)間內(nèi)接收到1個或1個以上的握手請求，則各處理器標(biāo)識握手請求未 送達(dá)的處理器為故障機(jī)，并用無效數(shù)據(jù)代替其運(yùn)算結(jié)果；如果某處理器在設(shè)定的時(shí)間內(nèi)未 收到1個或1個以上的握手請求，則該處理器一直等待，其他處理器在之后的步驟中將該處 理器標(biāo)識為故障機(jī)；
[0027] 當(dāng)2個處理器未發(fā)生故障、2個處理器發(fā)生故障，即當(dāng)前工作模式為雙機(jī)模式，如果 各處理器在設(shè)定的時(shí)間內(nèi)接收到1個握手請求，則各處理器對接收到的所有運(yùn)算結(jié)果進(jìn)行 表決；如果各處理器在設(shè)定的時(shí)間內(nèi)未收到握手請求，則該處理器一直等待，系統(tǒng)安全輸 出。
[0028] 進(jìn)一步地，所述步驟4中，當(dāng)4個處理器均未發(fā)生故障，即當(dāng)前工作模式為四機(jī)模式 時(shí)，如果各處理器在設(shè)定的時(shí)間內(nèi)接收到2個或2個以上的判斷結(jié)果，則各處理器標(biāo)識判斷 結(jié)果未送達(dá)的處理器為故障機(jī)，并用無效數(shù)據(jù)代替其判斷結(jié)果;如果某處理器在設(shè)定的時(shí) 間內(nèi)未收到2個或2個以上的判斷結(jié)果，則該處理器一直等待，其他處理器在之后的步驟中 將該處理器標(biāo)識為故障機(jī)；
[0029]當(dāng)3個處理器未發(fā)生故障、1個處理器發(fā)生故障，即當(dāng)前工作模式為三機(jī)模式時(shí)，如 果各處理器在設(shè)定的時(shí)間內(nèi)接收到1個或1個以上的判斷結(jié)果，則各處理器標(biāo)識判斷結(jié)果未 送達(dá)的處理器為故障機(jī)并用無效數(shù)據(jù)代替其判斷結(jié)果;如果某處理器在設(shè)定的時(shí)間內(nèi)未收 到1個或1個以上的判斷結(jié)果，則該處理器一直等待，其他處理器在之后的步驟中將該處理 器標(biāo)識為故障機(jī)；
[0030] 當(dāng)2個處理器未發(fā)生故障、2個處理器發(fā)生故障，即當(dāng)前工作模式為雙機(jī)模式，如果 各處理器在設(shè)定的時(shí)間內(nèi)接收到1個判斷結(jié)果，則各處理器對接收到的判斷結(jié)果進(jìn)行表決； 如果各處理器在設(shè)定的時(shí)間內(nèi)