摘    要：本文介绍了应用于磁轴承的双DSP热备容错控制方案，该方案采用时钟同步技术，由总线表决模块实现系统的容错处理，硬件判决模块实现硬件故障判断。由中心仲裁模块根据两判决模块的结果进行复杂的仲裁，并完成切换和完善的报警逻辑，从而提高了磁轴承控制系统的可靠性。

关键词：容错；磁轴承； 控制器； CPLD； DSP

引言

电磁轴承(AMB)是利用可控电磁吸力将转子悬浮起来的一种新型高性能轴承，具有无接触、无摩擦、高速度、高精度、不需润滑和密封等一系列特点，在交通、超高速超精密加工、航空航天等高科技领域有着广阔的前景。

由于磁悬浮系统本征不稳定，控制系统的好坏将会直接决定磁轴承的性能。近年来国内外在数字控制方面发展很快，数字控制器将是未来的磁轴承控制的主流，图1为数字磁轴承控制系统结构框图。本文从工业应用的要求和成本考虑，对图1虚线方框内的控制器进行了容错设计，提出了双DSP容错控制器的方案，而对于传感器、线圈和功率放大器部分的容错设计本文不进行讨论。
磁悬浮控制器的容错设计分析

冗余是实现容错和提高可靠性的一种有效方法，对于磁轴承DSP控制系统来说，其本身的时间余量和程序空间余量都非常有限，故主要是采用硬件冗余，即采用多DSP冗余设计来提高系统的可靠性。

在多机冗余系统设计中，关键问题是多机的重构策略、多机的仲裁切换逻辑及多机运行的同步等。小规模的终端系统相对于功能强大的中央控制系统有四个明显的特点：系统结构较简单、成本较低；软硬件资源比较缺乏；必须具备很好的实时性能；运行时间余度太小。通过以上分析与对成本的考虑，本文提出了针对工业应用的双机热备冗余控制系统设计方案。

设计原理

本控制系统结构如图2所示，其中冗余核心控制功能是通过CPLD来实现的。模拟信号分别输入到两个DSP进行运算，由中心仲裁模块选择主DSP，然后由主DSP来处理输出到D/A转换的数据、时序和RS-232的输出信号。

输入缓冲模块

为了消除输入端输入阻抗带来的影响，对于数字信号增加一级缓冲器，可以减小外围电路的干扰。本系统中，主要是进行RS-232和晶振、复位、外部中断输入信号的缓冲(RS-232的输出接口由主DSP进行控制)。另外，对于模拟信号本设计通过电压跟随器来实现阻抗匹配，并减小了误差和A/D转换的时间。

DSP时钟同步的实现

由于本设计方案是通过DSP的完全同步来实现冗余控制的，故采用双DSP共同使用一个晶振信号的方式。系统工作时，要待电源稳定和晶振完全起振后，才能对DSP进行复位。通过对实验室现有的控制系统的测试，电源稳定和晶振稳定起振的时间大概是40ms，故复位时间应选择大于该值。此外，为了提高其抗干扰性，复位后的信号经过施密特触发器后最好先经过CPLD缓冲，然后再接到DSP的复位端。

硬件故障判决模块

本设计中使用每个DSP CLKOUT引脚的输出信号作为判决硬件故障的基本条件。如果DSP硬件正常工作，CLKOUT引脚将输出固定的时钟波形；如果系统的CLKOUT没有时钟波形输出，将认为该DSP硬件不正常，然后由中心仲裁模块来隔离该DSP。其具体实现方法就是CLKOUT信号经CPLD实现的分频器后送到单稳态触发器74LS123，若系统的CLKOUT信号不正常，74LS123会产生跳变，驱使中心仲裁模块隔离不正常DSP。

输出总线表决模块

输出总线表决模块主要实现系统的容错，解决系统的软故障。当两DSP的总线输出信号进行比较时，如果不相同，则表明某个DSP或者两个DSP都产生了软故障，系统抑止错误输出，并由中心仲裁模块对此情况进行处理，使系统实现容错功能。考虑到A/D转换的误差，本设计只对输出数据总线的高8位进行表决。 

中心仲裁模块

中心仲裁模块主要是分析由输出总线表决模块和硬件故障判决模块输出的结果，并做出判断，确定主DSP。主DSP的功能主要是控制对外的输出，包括控制D/A转换输出和RS-232的输出。

中心仲裁模块的仲裁方式

当硬件判决模块和软件表决模块都没有报错，则系统采用默认的DSP1为主DSP；如果硬件判决模块有一块DSP报错，则隔离出错的DSP，另一个为主DSP ，并且报警；如果两个DSP都报错，则会报告系统的错误，并提供控制系统产生错误的接口信号，让系统在最短的时间里启动安保系统。当两个DSP都没有产生DSP硬件报错时，如果软件表决模块报错，则通过CPLD启动复位信号，重新复位两个DSP，并由CPLD核心控制模块记录复位次数，如果系统连续复位次数超过四次且没有出现一次正确的输出总线结果或两个DSP在线自检均没有通过，将会启动安保系统；如果有一个DSP自检不通过，则隔离该DSP，系统会输出报警信号，同时主DSP控制权交给另一DSP；如果复位次数小于四次，且出现了正确的输出总线结果，CPLD模块会清除复位计数次数，主DSP依然是DSP1。

DSP软件实现

系统的软件流程框图如图3所示，其中虚线方框内是通过CPLD实现的。在DSP系统中，使用了看门狗模块，来解决系统程序跑飞问题。系统复位后，通过检测看门狗电路复位标志位来检测系统程序状态，如果是系统看门狗复位，通过软件使DSP产生输出总线报错，其结果与输出总线报错处理方式一样；否则为由仲裁模块引起的复位，并且执行在线自检。如果在线自检不通过，CPLD会自动隔离硬件。设计中为减小系统的复位时间和控制系统的连续性，存储数据的时候采用了双口RAM idt7133，这样可以在复位后快速的采用前一次计算的暂存数据(相互取对方数据，并且与自己的数据进行平均)，从而使复位对系统的影响降到最小。

在线自检的实现

通过CPLD中心仲裁模块来控制信号传输控制门，实现A/D转换，转换成基准电平(本设计采用2.5V)后再通过实际的控制算法来计算，并将结果输出到CPLD与离线计算好的结果(存储在CPLD上)进行比较，如果实时计算结果和离线结果相同，则表示系统自检通过，否则，自动隔离自检不通过的DSP。

系统的可靠性评估

系统的中心控制模块是采用CPLD实现的，其可靠性远高于基于程序实现的DSP，本系统中把CPLD的故障率近似认为是0，即平均无故障时间远大于DSP。

根据电子系统模型可知，单机的可靠性随时间变化服从指数分布，即为Ri(t)=e-lit(li为故障率)，所以单机系统的平均无故障时间为1/l，而本方案的无平均故障时间为：

显然，本系统的无故障时间为单机运行的1.5倍，较大的提高了控制器系统的可靠性。

结语

本文提出的磁悬浮容错控制器方案，采用了软硬件协同设计，实现了故障诊断和系统重建的功能，较大的提高了控制器的可靠性，为磁轴承的工业推广应用提供了性能保障。