CN110196564B - 一种抗单粒子辐照的平滑切换双机冗余配电*** - Google Patents

Abstract

本发明提供了一种抗单粒子辐照的平滑切换双机冗余配电***，该***包括主机、备机和载荷供配电模块，其中主机和备机互为当班机和非当班机，当班机和非当班机实时地将自身的健康状态和当前工作状态发送给对方，确保非当班机和当班机知悉对方的当前工作状态；当班机根据预设的时序或者接收外部输入的配电指令输出配电控制信号至载荷供配电模块，控制载荷供配电的通断，并回采载荷供配电模块输出端的母线电压，根据回采结果，判断配电指令是否正确执行，当指令未正确执行时，则由当班机将该配电指令经内部串口发送至非当班机，并暂时启用非当班机的输出控制功能，由非当班机补充执行一次该配电指令。

Description

一种抗单粒子辐照的平滑切换双机冗余配电***

技术领域

本发明涉及一种抗单粒子辐照的平滑切换双机冗余配电***。属于电源配电技术领域。

背景技术

对于航天测控***而言，特别关注单机的可靠性，尤其是空间飞行器的单机，需要避免因空间恶劣环境造成的错误输出，通常需要采取三机冗余或双机冗余的设计方法。

(一)三机冗余

三冗余处理器一般按三模冗余、三中取二表决设计。分为紧耦合和松耦合两种模式。紧耦合的三模冗余***可靠性较高，但***设计较为复杂，信息交换量大，需要软件设计师在充分理解***设计意图后编写大量的容错管理软件。另外***总线也较难处理，若采用一套***总线，***实时性差、存在单点；若采用三套总线，占用了太多的接插件点数，使模板不能集成更多的功能，加大了***体积、重量。而松耦合的三机冗余，设计相对简单，各单机信息交换量少，减少了容错管理环节，减轻了软件设计师的负担。此外也彻底解决了***总线单点问题。三冗余技术方案的最大难点在于CPU间的同步机制。由于处理器实时性强，要周期性完成数据采集、运算、判断、控制指令输出任务，所以三机的同步十分重要。目的是消除因各处理器主频的微小差异而产生的累积误差，保证各CPU板数据采集及处理的同时性。

(二)双机冷备

***配备两台完全相同的单机，仅一台为加电状态，可以定时将数据备份至备用单机硬件，但是出现故障时备机不会自动接管，需要人工启动硬件和服务。一些承担非重要任务的地面设备可采用此种备份方法。

(三)双机并联输出

***配备两台完全相同的单机，同时为加电状态，接收控制信号并执行输出，两台单机只要有一套输出则输出有效。此类设计通常用于保通不保断的应用中，或者对两台单机分别供电，当某台单机出现故障无法关断时，对其执行断电操作。

(四)双机热备

设备内部包含热冗余的两套子设备，每个单机均能独立完成控制器内所有功能，信息控制组合内默认当班机为主机。主、备机功能和设计完全一致。

正常工作状态下，主机、备机均接收信号，主机为当班机，备机不输出。主备机通过内部通讯监测对方的工作状态，当备机监测到主机工作状态不正常，或主机自身连续出现狗咬、网络故障等情况时，判断主机故障，当班机由主机切换到备机，主备机之间可以多次来回切换。综上所述，目前常用的冗余设计方法存在以下不足：

(1)、三冗余技术方案需要使用三个完全相同的CPU板，需要较高的成本，同时也限制了设备体积的小型化，需要特别保证CPU间的同步；

(2)、双机冷备需要人工启动设备，切换所需时间较长；

(3)、双机热备冗余能够解决设备由于环境或其他因素彻底失效带来的单点故障，但对于单个通道偶发的错误输出，缺乏有效的纠正能力；并且增加了单机的功耗。

发明内容

本发明的技术解决问题是：克服现有技术的不足，提出一种抗单粒子辐照的平滑切换双机冗余配电***，避免因主备机切换导致信息的丢失。同时，通过补偿机制确保配电指令能够正确执行，不会因单粒子反转或其他硬件电路失效原因导致操作失败。

本发明的技术解决方案是：一种抗单粒子辐照的平滑切换双机冗余配电***，该***包括主机、备机和载荷供配电模块，其中主机和备机互为当班机和非当班机，当班机和非当班机实时地将自身的健康状态和当前工作状态发送给对方，确保非当班机和当班机知悉对方的当前工作状态；当班机根据预设的时序或者接收外部输入的配电指令输出配电控制信号至载荷供配电模块，控制载荷供配电的通断，并回采载荷供配电模块输出端的母线电压，根据回采结果，判断配电指令是否正确执行，当指令未正确执行时，则由当班机将该配电指令经内部串口发送至非当班机，并暂时启用非当班机的输出控制功能，由非当班机补充执行一次该配电指令。

非当班机实时监测当班机健康状态，当非当班机检测到当班机异常时，根据之前保存的当班机最新正常工作状态，开启自身的输出控制与接收外部指令功能，按照预设流程或外部指令，执行后续的配电操作，并回采操作结果，当回采操作结果执行正确时，控制原当班机重新上电复位，原当班机上电复位后默认为非当班机状态，禁用输出控制与指令接收功能，完成切机操作。

所述当班机实时监测非当班机的健康状态，当非当班机连续出现N次以上狗咬复位时，当班机向非当班机发送上电复位信号；若复位后再次出现N次狗咬，则当班机控制非当班机电源断电，停止工作，N大于等于2。

所述健康状态包括心跳信号、复位信号、供电电压。

所述工作状态包括***时间、最新外部配电指令、最近的外部配电指令执行后的配电状态。

主机和备机完全相同，包括中央处理控制器、遥控指令接收接口模块、双机交互接口模块、配电状态采集电路、配电指令解析电路、电源变换控制模块；

中央处理控制器，实时地将自身的健康状态和当前工作状态发送至双机交互接口模块，将双机交互接口模块接收的备机或者主机的健康状态和当前工作状态保存，并检测备机或者主机运行是否正常；若非当班机出现异常，则由当班机控制非当班机重启，重启再次累积连续N次狗咬，则将非当班机断电；若当班机出现异常，则开启非当班机的输出控制功能，将原当班机重启，重启后禁用输出控制功能，完成双机切换，若原当班机重启再次累积连续N次狗咬，则由新当班机控制其断电；

当班机模式下，根据预设时序生成配电指令或者接收遥控指令接收接口模块输入的配电指令，输出配电选通指令和对应通路的加电或断电驱动指令至载荷供配电模块；根据信号采集模块回采的配电结果，判断配电指令是否正确执行，如果配电指令未正确执行时，则将该配电指令发送至交互接口模块；控制非当班机遥控指令接收接口模块使能信号为“无效”状态，使得非当班机不接收外部输入的配电指令；

非当班机模式下，接收交互接口模块发送的配电指令，根据该配电指令输出配电选通指令和对应通路的加电或断电驱动指令至载荷供配电模块；当检测到当班机运行异常时，启用非当班机自身的输出控制功能与外部指令接收接口，读取保存的当班机最新正常工作状态，按照该正常工作状态之后的时序，继续生成配电指令或者接收遥控指令接收接口模块输入的配电指令，输出配电选通指令至载荷供配电模块，根据信号采集模块回采的配电结果，判断配电指令是否正确执行，如果配电指令正确执行，则将切换为当班机工作模式，并向原当班机的电源交换控制器发送重启指令；

遥控指令接收接口模块，在使能信号的控制下，当使能信号“有效”时，接收外部输入的配电指令，并输出配电指令给中央处理控制器，当使能信号“无效”时，不接受外部输入的配电指令，不输出配电指令至中央处理控制器；

信号采集模块，采集载荷供配电模块输出端各载荷的母线电压，并发送给中央处理控制器；

配电指令解析电路，将中央处理控制器发出的配电选通指令译码，选择对应通路的加电或断电驱动指令输出；对于仅需要确保接通的功率恒定配电通道，产生一对互补的加电与断电指令；对于接通和断开可靠性均有较高要求的功率恒定配电通道，共产生四对互补的加电与断电指令；

电源交换控制器，将外部输入的供配电信号进行电源转换，得到所需的二次电源电压，为对方的中央处理控制器供电，同时，接收对方中央处理控制器的控制信号，将本机重启或者断电；

复位电路，上电后产生复位信号，控制中央处理控制器复位；接受中央处理控制器输出的“喂狗”操作，预设的时间内未收到中央处理控制器输出的“喂狗”操作，则产生复位信号，控制中央处理控制器复位。

载荷供配电模块包括驱动指令融合模块、功率恒定配电管理模块、功率非恒定配电管理模块；

驱动指令融合模块，将主机与备机的同一个通路的加电或断电驱动指令并联后得到融合驱动指令，再将该融合驱动指令发送给通路对应的功率恒定配电管理模块和/或功率非恒定配电管理模块；

功率恒定配电管理模块，输出功率恒定的供电信号；

功率非恒定配电管理模块，输出功率非恒定的供电信号。

所述功率恒定配电管理模块包括：两个指令驱动模块，分别记为第一指令驱动模块和第二指令驱动模块，两个配电输出模块，分别记为第一配电输出模块和第二配电输出模块；

指令驱动模块，包括电阻R1、R2、R3、R4，三极管V1、V2，电阻R1的一端为指令驱动模块的输入端，另一端连接三极管V1的基极，电阻R2跨接在三极管V1的基极和发射极之间，三极管V1的发射极接地，三极管V1的集电极为指令驱动模块的输出端；电阻R3的一端为指令驱动模块的输入端，另一端连接三极管V2的基极，电阻R4跨接在三极管V2的基极和发射极之间，三极管V2的发射极接地，三极管V2的集电极为指令驱动模块的输出端；

配电输出模块均包括磁保持继电器K1、电阻R9、R10、R11、R12、R13、R14，MOS管MOS1；磁保持继电器K1为双端双掷开关，共有6个触点，其中两个触点接地作为开关的不动端，另两个触点悬空作为开关的第一动端，再两个触点作为开关的的第二动端，并联连接在电阻R13的一端，电阻R13的另一端分成两路，一路与电阻R14串联连接至载荷配电电源母线,另一路连接至MOS管的栅极；

第一指令驱动模块和第二指令驱动模块的输入端都连接融合后的配电指令信号；第一指令驱动模块的输出端连接功率恒定通道断电信号端；第二指令驱动模块的输出端连接功率恒定通道加电信号端；

第一配电输出模块和第二配电输出模块的MOS管的漏极连接功率恒定通道母线；第一配电输出模块和第二配电输出模块的磁保持继电器K1第一线包的一端连接功率恒定通道的断电信号，另一端通过并联的电阻R9和R10连接至设备二次电源正母线，磁保持继电器K1第二线包一端连接功率恒定通道加电信号，另一端通过并联的电阻R11和R12连接至设备二次电源正母线；

配电输出模块还包括电容C1、配电输出，电容C1和电容配电输出串联连接，跨接在载荷配电电源母线与MOS管的栅极之间。

所述配电输出模块还包括二级管V5、V6、V7、V8，所述二级管V5、V6跨接在第一配电输出模块磁保持继电器第一线包两端；所述二级管V7、V8跨接在第二配电输出模块磁保持继电器第二线包两端。

所述功率恒定配电管理模块包括：

八个指令驱动模块，记为：第一指令驱动模块、第二指令驱动模块、第三指令驱动模块、第四指令驱动模块、第五指令驱动模块、第六指令驱动模块、第七指令驱动模块、第八指令驱动模块；

四个指令保持模块，第一指令保持模块、第二指令保持模块、第三指令保持模块、第四指令保持模块；

八个配电输出模块，第一配电输出模块、第二配电输出模块、第三配电输出模块、第四配电输出模块、第五配电输出模块、第六配电输出模块、第七配电输出模块、第八配电输出模块；

指令驱动模块，包括电阻R21、R22、三极管V21，电阻R21的一端为指令驱动模块的输入端，另一端连接三极管V21的基极，电阻R22跨接在三极管V21的基极和发射极之间，三极管V1的发射极接地，三极管V21的集电极为指令驱动模块的输出端；

指令保持模块，包括磁保持继电器K3，二级管V31、V32、V33、V34，电阻R41、R42、R43、R44，所述二级管V31、V32跨接在磁保持继电器K3第一线包两端；所述二级管V33、V34跨接在磁保持继电器K3第二线包两端。磁保持继电器K3第一线包的一端连接第一输入信号，另一端通过并联的电阻R41和R42连接至设备二次电源正母线，磁保持继电器K3第二线包一端连接第二输入信号，另一端通过并联的电阻R43和R44连接至设备二次电源正母线；磁保持继电器K3为双端双掷开关，共有6个触点，其中两个触点接地作为开关的不动端，另两个触点悬空作为开关的第一动端，再两个触点作为开关的的第二动端，并联连接至指令保持输出端；

配电输出模块均包括电阻R49、R50，电容C11、C12，MOS管MOS11；电阻R49的一端连接在配电指令输入端，电阻R50的另一端分成两路，一路与电阻R49串联连接至MOS11的源极,另一路连接至MOS11的栅极，电容C11和C12串联后跨接在R49的两端；

第一指令驱动模块、第二指令驱动模块、第三指令驱动模块、第四指令驱动模块、第五指令驱动模块、第六指令驱动模块、第七指令驱动模块、第八指令驱动模块的三极管集电极输出端分别为功率非恒定通道第一断电信号、功率非恒定通道第二断电信号、功率非恒定通道第三断电信号、功率非恒定通道第四断电信号、功率非恒定通道第一加电信号、功率非恒定通道第二加电信号、功率非恒定通道第三加电信号、功率非恒定通道第三加电信号；

第一指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第一断电信号和功率非恒定通道第一加电信号；

第二指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第二断电信号和功率非恒定通道第二加电信号；

第三指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第三断电信号和功率非恒定通道第三加电信号；

第四指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第四断电信号和功率非恒定通道第四加电信号；

第一指令保持模块的指令保持输出端端连接第一配电输出模块和第二配电输出模块的配电指令输入端；

第二指令保持模块的指令保持输出端连接第三配电输出模块和第四配电输出模块的配电指令输入端；

第三指令保持模块的指令保持输出端连接第五配电输出模块和第六配电输出模块的配电指令输入端；

第四指令保持模块的指令保持输出端连接第七配电输出模块和第八配电输出模块的配电指令输入端。

第一配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第三配电模块中的MOS管源极；

第二配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第四配电模块中的MOS管源极；

第五配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第七配电模块中的MOS管源极；

第六配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第八配电模块中的MOS管源极。

本发明与现有技术相比有益效果为：

(1)、当备机通过回采确认状态后，方能完成当班机切换，使得主备切换过程不会对在轨飞行器的时序流程和接收指令造成影响；

(2)、通过硬件单路的冗余设计，任一指令驱动电路或MOS管失效均不会影响指令执行效果，避免因为单粒子反转等因素导致指令执行失败；

(3)若当班机因偶发故障导致指令未正常执行，可根据回采状态确认执行失败后，由非当班机补发一次指令，提升可靠性；

(4)、本发明切换策略通过CPU中的软件实现，不需要增加额外的硬件成本；

(5)、本发明切机后若确认主机失效则断开电源，节约电池电量。

(6)、本发明可应用于电气设备，尤其是在轨飞行器电子设备的冗余备份设计，具备灵活性强、可靠性强的特点，有利于在轨飞行器更好的执行空间试验任务。

附图说明

图1为本发明实施例双机冗余的工作流程；

图2为本发明实施例***功能框图；

图3为本发明实施例指令解析电路；

图4为本发明实施例功率恒定供电通道冗余电路；

图5为本发明实施例功率非恒定供电通道冗余电路；

图6为本发明实施例遥控指令接收模块电路。

具体实施方式

以下结合附图和具体实施例对本发明进行详细描述。

本发明提供了一种抗单粒子辐照的平滑切换双机冗余配电***，该***包括主机、备机和载荷供配电模块。

如图1所示，该***具备下列特点：

(1)、主机和备机互为当班机和非当班机，当班机和非当班机将自身的健康状态和当前工作状态发送给对方，确保非当班机和当班机知悉对方的当前工作状态；所述健康状态包括心跳信号、复位信号、供电电压；所述工作状态包括***时间、最新外部指令、最近的外部指令执行后的状态。

(2)、当班机根据预设的时序或者接收外部输入的配电指令输出配电控制信号至载荷供配电模块，控制载荷供配电的通断，并回采载荷供配电模块输出端的母线电压，根据回采结果，判断配电指令是否正确执行，当指令未正确执行时，则由当班机将该配电指令经内部串口发送至非当班机，并暂时启用非当班机的输出控制功能，由非当班机补充执行一次该配电指令。

(3)、非当班机只接收当班机健康状态和工作状态信息，不接收外部指令；

(4)、非当班机实时监测当班机健康状态，当非当班机检测到当班机连续N次狗咬或供电电压低于4.4V时，判定当班机异常，当非当班机检测到当班机异常时，根据之前保存的当班机最新正常工作状态，开启自身的输出控制与接收外部指令功能，按照预设流程或外部指令，执行后续的配电操作，并回采操作结果，当回采操作结果执行正确时，控制原当班机重新上电复位，原当班机上电复位后默认为非当班机状态，禁用输出控制与指令接收功能，完成切机操作。

(5)当班机实时监测非当班机的健康状态，当非当班机连续出现N次以上狗咬复位时，当班机向非当班机发送上电复位信号；若复位后再次出现N次狗咬，则当班机控制非当班机电源断电，停止工作。

如图2所示，主机和备机完全相同，包括中央处理控制器、遥控指令接收接口模块、双机交互接口模块、配电状态采集电路、配电指令解析电路、电源变换控制模块；

中央处理控制器，实时地将自身的健康状态和当前工作状态发送至双机交互接口模块，将双机交互接口模块接收的备机或者主机的健康状态和当前工作状态保存，并检测备机或者主机运行是否正常；若非当班机出现异常，则由当班机控制非当班机重启，重启再次累积连续N次狗咬，则将非当班机断电；若当班机出现异常，则开启非当班机的输出控制功能，将原当班机重启，重启后禁用输出控制功能，完成双机切换，若原当班机重启再次累积连续N次狗咬，则由新当班机控制其断电；

当班机模式下，根据预设时序生成配电指令或者接收遥控指令接收接口模块输入的配电指令，输出配电选通指令和对应通路的加电或断电驱动指令至载荷供配电模块；根据信号采集模块回采的配电结果，判断配电指令是否正确执行，如果配电指令未正确执行时，则将该配电指令发送至交互接口模块；控制非当班机遥控指令接收接口模块使能信号为“无效”状态，使得非当班机不接收外部输入的配电指令；

非当班机模式下，接收交互接口模块发送的配电指令，根据该配电指令输出配电选通指令和对应通路的加电或断电驱动指令至载荷供配电模块；当检测到当班机运行异常时，启用非当班机自身的输出控制功能与外部指令接收接口，读取保存的当班机最新正常工作状态，按照该正常工作状态之后的时序，继续生成配电指令或者接收遥控指令接收接口模块输入的配电指令，输出配电选通指令至载荷供配电模块，根据信号采集模块回采的配电结果，判断配电指令是否正确执行，如果配电指令正确执行，则将切换为当班机工作模式，并向原当班机的电源交换控制器发送重启指令；

遥控指令接收接口模块，在使能信号的控制下，当使能信号“有效”时，接收外部输入的配电指令，并输出配电指令给中央处理控制器，当使能信号“无效”时，不接受外部输入的配电指令，不输出配电指令至中央处理控制器；

信号采集模块，采集载荷供配电模块输出端各载荷的母线电压，并发送给中央处理控制器；

配电指令解析电路，将中央处理控制器发出的配电选通指令译码，选择对应通路的加电或断电驱动指令输出；对于仅需要确保接通的功率恒定配电通道，产生一对互补的加电与断电指令；对于接通和断开可靠性均有较高要求的功率恒定配电通道，共产生四对互补的加电与断电指令。

电源交换控制器，将外部输入的供配电信号进行电源转换，得到所需的二次电源电压，为对方的中央处理控制器供电，同时，接收对方中央处理控制器的控制信号，将本机重启或者断电。

复位电路，上电后产生复位信号，控制中央处理控制器复位；接受中央处理控制器输出的“喂狗”操作，预设的时间内未收到中央处理控制器输出的“喂狗”操作，则产生复位信号，控制中央处理控制器复位。

实施例：

下面以在轨飞行器的双冗余配电***为例，对本发明进行详细说明。

在轨飞行器的双冗余配电***可根据自身时序或通过422串口接收地面经由天基测控发送的指令，来实现对功率恒定配电通道的接通控制，以及对功率非恒定配电通道的通断控制。

如图2所示，双冗余配电***包括中央处理控制模块(包含主备两套的CPU处理电路与复位电路)、载荷供配电模块(包含主备两套的配电指令解析电路、功率恒定供配电电路和功率非恒定配电电路)以及遥控指令接收模块(包括主备两套)。

1.中央处理控制模块设计：

1.1CPU电路

当班机与非当班机各采用一个80C32型号的单片机，内置中央处理单元、128字节内部数据存储RAM、32个双向输入/输出I/O口、2个16位定时/计数器和5个两级中断结构，一个全双工串行通信口，片内时钟振荡电路。

当班机的CPU与非当班机CPU间通过内部的RS422串口，交互心跳信号、复位信号、供电电压等健康状态信息以及***时间、最新外部指令等工作状态信息。

1.2复位电路设计

设备复位电路由初始上电复位电路、“看门狗”复位和重启复位电路组成。

i.初始上电复位电路

为保证设备上电后CPU具有稳定的初始状态，同时保证振荡器进入稳定状态后软件开始运行，必须有上电复位电路，设计时采用常用的RC充电电路加施密特反相器实现。

ii.看门狗复位电路

“看门狗”电路是定时器监测电路，采用二进制计数器54HC4060配置RC电路组成，计时与软件无关，时间常数清零由软件执行“喂狗”操作。若软件出现程序“跑飞”或“死机”，则无法执行“喂狗”操作，进而出现狗咬复位。若当班机记录非当班机的连续狗咬次数累积到4次，则判定对方出现故障，控制非当班机重启，重启后再次累积连续4次狗咬，则控制非当班机断电。；若非班机记录当班机的连续狗咬次数累积到4次，则判定对方出现故障，进入双机切换流程，切换完成后，将原当班机重启。若重启后再次累积连续4次狗咬，则将原当班机断电。

iii.重启复位电路

重启复位电路选用MAX706实现，在设备上电过程中产生200ms的上电复位信号，使得80C32E***能够有效复位。当连续出现四次狗咬后，则执行重启操作；同时该芯片具有电压监测功能，若当班机监测到电源电压低于约4.4V时，将该信息告知非当班机，作为进入双机切换流程的条件，待确认切换完成后，原当班机的MAX706的RESET管脚一直输出复位电平，实现断电。若非当班机监测到电源电压低于约4.4V时，则直接使MAX706的RESET管脚一直输出复位电平，实现断电。

2.载荷供配电模块设计

2.1指令解析电路

主机指令解析电路通过主机CPU产生的输入地址线A_A0～A_A3，数据线A_D0～A_D7，板选信号A_CS_PD*，写信号A_WR*。将地址线送入3-8译码器，产生锁存器的选通信号A_SEL1～A_SEL5，然后由锁存器产生配电模块的驱动指令。

备机指令解析电路通过输入地址线B_A0～B_A3，数据线B_D0～B_D7，板选信号B_CS_PD*，写信号B_WR*。将地址线送入3-8译码器，产生锁存器的选通信号B_SEL1～B_SEL5，然后由锁存器产生配电模块的驱动指令。不同的选通信号用于选择不同的锁存器，产生不同的驱动指令。

当班机与非当班机的驱动指令并联后得到最终的驱动指令(即图3中的cmd1～cmd6)，正常状态下，由于非当班机的CPU为非使能状态，非当班机的指令解析电路不工作，驱动指令由当班机决定。当主机检测到发出的指令未执行时，则由非当班机暂时开启自身的输出控制功能，由非当班机的指令解析电路产生驱动指令，实现指令补发。

2.2功率恒定供配电管理模块

功率恒定供配电管理模块为载荷提供恒定小功率的供电输出，需要确保其接通可靠性。主备机共用同一套供配电电路，由两个MOS管并联控制。对上述的驱动指令经三极管放大驱动后作为供配电电路的控制电平，控制电平由磁保持继电器锁存状态，即使二次电源或者CPU故障，也可保持此前的状态。

如图4所示，所述功率恒定配电管理模块包括：两个指令驱动模块，分别记为第一指令驱动模块和第二指令驱动模块，两个配电输出模块，分别记为第一配电输出模块和第二配电输出模块。

指令驱动模块，包括电阻R1、R2、R3、R4，三极管V1、V2，电阻R1的一端为指令驱动模块的输入端，另一端连接三极管V1的基极，电阻R2跨接在三极管V1的基极和发射极之间，三极管V1的发射极接地，三极管V1的集电极为指令驱动模块的输出端；电阻R3的一端为指令驱动模块的输入端，另一端连接三极管V2的基极，电阻R4跨接在三极管V2的基极和发射极之间，三极管V2的发射极接地，三极管V2的集电极为指令驱动模块的输出端；

配电输出模块包括磁保持继电器K1、电阻R9、R10、R11、R12、R13、R14，MOS管MOS1；磁保持继电器K1为双端双掷开关，共有6个触点，其中两个触点(4和9)接地作为开关的不动端，另两个触点悬空(2和8)作为开关的第一动端，再两个触点(3和7)作为开关的的第二动端，并联连接在电阻R13的一端，第一线包加电的时候，开关接到不动端，第二线包加电的时候，开关接到动端。电阻R13的另一端分成两路，一路与电阻R14串联连接至载荷配电电源母线(28v),另一路连接至MOS管的栅极。

第一指令驱动模块和第二指令驱动模块的输入端都连接融合后的配电指令信号；第一指令驱动模块的输出端连接功率恒定通道断电信号端；第二指令驱动模块的输出端连接功率恒定通道加电信号端。

第一配电输出模块和第二配电输出模块的MOS管的漏极连接功率恒定通道母线；第一配电输出模块和第二配电输出模块的磁保持继电器K1第一线包的一端连接功率恒定通道的断电信号，另一端通过并联的电阻R9和R10连接至设备二次电源正母线(+12V)，磁保持继电器K1第二线包一端连接功率恒定通道加电信号，另一端通过并联的电阻R11和R12连接至设备二次电源正母线(+12V)。

配电输出模块还包括电容C1、配电输出，电容C1和电容配电输出串联连接，跨接在载荷配电电源母线(28v)与MOS管的栅极之间。

所述配电输出模块还包括二级管V5、V6、V7、V8，所述二级管V5、V6跨接在第一配电输出模块磁保持继电器第一线包两端；所述二级管V7、V8跨接在第二配电输出模块磁保持继电器第二线包两端；

本模块中，指令驱动模块的输出端为cmd1、cmd2。当cmd1驱动指令为高时，三级管V1、V2导通，功率恒定A通道断电指令被拉到低电平，此时，磁保持继电器K1和K2中线包1两端加电，开关均为断开状态，此时供配电电路中的MOS1和MOS2的栅极电压V_G为28V，MOS管为断开状态，功率恒定A通道母线不加电；当cmd2驱动指令为高时，三级管V3、V4导通，功率恒定A通道加电指令被拉到低电平，此时，磁保持继电器K1和K2中线包2两端加电，开关均为接通状态，此时供配电电路中的MOS1和MOS2的栅极电压V_G为28V在R13/R14和R19/R20上的分压，MOS管为导通状态，功率恒定A通道母线加电。

供配电电路中用于驱动指令隔离放大的三极管、磁保持继电器，用于母线供电的分压电阻、滤波电容、MOS管等，均为冗余设计，消除了单点风险。

2.3功率非恒定供配电管理模块

功率非恒定供配电管理模块根据需求为载荷提供变化功率的供电，在全飞行过程中经历多次开关，需要同时考虑接通和断开的可靠性。在功率恒定供配电管理模块的基础上，通过以下途径提高通道可靠性。

对于加电或断电指令，指令解析电路各输出四条指令，如图5，通过光耦隔离、放大三极管和磁保持继电器后，驱动最终输出的四对串并联MOS管(共八个)。

如图5所示，所述功率非恒定配电管理模块包括：

八个指令驱动模块，记为：第一指令驱动模块、第二指令驱动模块、第三指令驱动模块、第四指令驱动模块、第五指令驱动模块、第六指令驱动模块、第七指令驱动模块、第八指令驱动模块；

四个指令保持模块，第一指令保持模块、第二指令保持模块、第三指令保持模块、第四指令保持模块；

八个配电输出模块，第一配电输出模块、第二配电输出模块、第三配电输出模块、第四配电输出模块、第五配电输出模块、第六配电输出模块、第七配电输出模块、第八配电输出模块；

指令驱动模块，包括电阻R21、R22、三极管V21，电阻R21的一端为指令驱动模块的输入端，另一端连接三极管V21的基极，电阻R22跨接在三极管V21的基极和发射极之间，三极管V1的发射极接地，三极管V21的集电极为指令驱动模块的输出端；

指令保持模块，包括磁保持继电器K3，二级管V31、V32、V33、V34，电阻R41、R42、R43、R44，所述二级管V31、V32跨接在磁保持继电器K3第一线包两端；所述二级管V33、V34跨接在磁保持继电器K3第二线包两端。磁保持继电器K3第一线包的一端连接第一输入信号，另一端通过并联的电阻R41和R42连接至设备二次电源正母线，磁保持继电器K3第二线包一端连接第二输入信号，另一端通过并联的电阻R43和R44连接至设备二次电源正母线(+12V)；磁保持继电器K3的开关为双端双掷开关，共有6个触点，其中两个触点接地，两个触点作为不动端触点悬空，两个触点作为动端并联连接至指令保持输出端。

配电输出模块均包括电阻R49、R50，电容C11、C12，MOS管MOS11；电阻R49的一端连接在配电指令输入端，电阻R50的另一端分成两路，一路与电阻R49串联连接至MOS11的源极,另一路连接至MOS11的栅极，电容C11和C12串联后跨接在R49的两端；

第一指令驱动模块、第二指令驱动模块、第三指令驱动模块、第四指令驱动模块、第五指令驱动模块、第六指令驱动模块、第七指令驱动模块、第八指令驱动模块的三极管集电极输出端分别为功率非恒定通道第一断电信号、功率非恒定通道第二断电信号、功率非恒定通道第三断电信号、功率非恒定通道第四断电信号、功率非恒定通道第一加电信号、功率非恒定通道第二加电信号、功率非恒定通道第三加电信号、功率非恒定通道第三加电信号；

第一指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第一断电信号和功率非恒定通道第一加电信号；

第二指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第二断电信号和功率非恒定通道第二加电信号；

第三指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第三断电信号和功率非恒定通道第三加电信号；

第四指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第四断电信号和功率非恒定通道第四加电信号；

第一指令保持模块的指令保持输出端端连接第一配电输出模块和第二配电输出模块的配电指令输入端；

第二指令保持模块的指令保持输出端连接第三配电输出模块和第四配电输出模块的配电指令输入端；

第三指令保持模块的指令保持输出端连接第五配电输出模块和第六配电输出模块的配电指令输入端；

第四指令保持模块的指令保持输出端连接第七配电输出模块和第八配电输出模块的配电指令输入端。

第一配电输出模块中的MOS管源极连接载荷配电电源母线(28v)，MOS管漏极连接第三配电模块中的MOS管源极；

第二配电输出模块中的MOS管源极连接载荷配电电源母线(28v)，MOS管漏极连接第四配电模块中的MOS管源极；

第五配电输出模块中的MOS管源极连接载荷配电电源母线(28v)，MOS管漏极连接第七配电模块中的MOS管源极；

第六配电输出模块中的MOS管源极连接载荷配电电源母线(28v)，MOS管漏极连接第八配电模块中的MOS管源极。

本模块中，指令驱动模块的输出端为cmd3、cmd5、cmd7、cmd9、cmd4、cmd6、cmd8、cmd10。当cmd3、cmd5、cmd7、cmd9驱动指令为高时，三级管V21、V23、V25、V27导通，功率非恒定B通道断电_1/2/3/4为低电平，磁保持继电器K3、K4、K5、K6中线包1两端加电，此时供配电电路中的MOS11～MOS18的栅极电压V_G为28V，MOS管为断开状态，功率非恒定B通道母线不加电；cmd4、cmd6、cmd8、cmd10驱动指令为高时，三级管V22、V24、V26、V28导通，功率非恒定B通道加电_1/2/3/4为低电平，磁保持继电器K3、K4、K5、K6中线包2两端加电，开关均为接通状态，此时供配电电路中的MOS11～MOS18的栅极电压V_G为28V在电阻上的分压，MOS管为导通状态，功率非恒定B通道母线加电。

在该电路中，cmd5/cmd6用于驱动MOS管V11和V12，cmd7/cmd8用于驱动MOS管V13和V14，cmd9/cmd10用于驱动MOS管V15和V16，cmd11/cmd12用于驱动MOS管V17和V18。可验证任何一个指令失效，任何3只MOS管失效都不会导致负载无法加电或断电。

3.遥控指令接收模块设计

在轨飞行器主备机的遥控指令接收接口芯片AM26C32都常加电，当主机工作时控制备机接收接口的使能信号B_RX为低电平，备机不接收指令；当备机工作时，控制主机接收接口的使能信号A_RX为低电平，主机不接收指令，互不影响。如附图6所示。

4.双机冗余设计优化：

本方法中的双机冗余配电***除在配电电路上进行了冗余设计外，重点在指令补发和切换策略两方面进行了优化：

4.1切换策略

当主机(初始状态的当班机)的CPU板发生狗咬复位时，备机(处室状态的非当班机)记录的主机狗咬次数加1，若备机判断主机已连续发生四次狗咬，则进入主备切换流程。为避免此前已经加电的通道在切机过程中掉电，切机过程中主备机同时输出。根据之前保存的主机最新正常工作状态，开启备机的接收外部指令功能，按照预设流程，执行后续的操作，并回采操作结果，当回采操作结果执行正确时，将备机切换为当班机，同时控制主机重新上电复位，主机上电后默认为非当班机。

此外，若主机的MAX706监测电压端低于4.4V，将告知备机，并进入主备切换流程，切换完成后，原当班机电源断电，节省功耗。

当班机定期将***时间、最新外部指令、最近的外部指令执行后的状态备份发送非当班机，同时保存在EEPROM中。在普通飞行期间，备份每10min进行一次；在任务开展期间，由于操作密集，备份每10s进行一次。备份间隔可通过软件方便的进行修改。

4.2指令补偿

为避免因单粒子反转或电路硬件失效导致的指令失效，当班机CPU板输出任一通道(假设为A通道)加电指令后，将该指令经内部串口发送至非当班机，并在下一周期检测A通道的回采状态，若A通道的回采状态为低电平，则认为加电不成功，由当班机将非当班机的CPU输出置为有效，再补发一次A通道加电指令。同理，当班机CPU板输出任一通道(假设为B通道)断电指令后，当班机CPU需要判断B通道的回采状态，若B通道的回采状态为高电平，则将非当班机的CPU输出置为有效，再补发一次B通道断电指令。

在保持硬件电路状态不变的情况下，通过更改CPU的软件设置，控制单片机中备机输出芯片的CLK信号，能够灵活的对冗余策略进行更改，如仅主机控制、主备机并联输出或备机补发机制等。

本说明书中未进行详细描述部分属于本领域技术人员公知常识。

Claims (7)

1.一种抗单粒子辐照的平滑切换双机冗余配电***，其特征在于包括主机、备机和载荷供配电模块，其中主机和备机互为当班机和非当班机，当班机和非当班机实时地将自身的健康状态和当前工作状态发送给对方，确保非当班机和当班机知悉对方的当前工作状态；当班机根据预设的时序或者接收外部输入的配电指令输出配电控制信号至载荷供配电模块，控制载荷供配电的通断，并回采载荷供配电模块输出端的母线电压，根据回采结果，判断配电指令是否正确执行，当指令未正确执行时，则由当班机将该配电指令经内部串口发送至非当班机，并暂时启用非当班机的输出控制功能，由非当班机补充执行一次该配电指令；

所述健康状态包括心跳信号、复位信号、供电电压；所述工作状态包括***时间、最新外部配电指令、最近的外部配电指令执行后的配电状态；

主机和备机完全相同，包括中央处理控制器、遥控指令接收接口模块、双机交互接口模块、配电状态采集电路、配电指令解析电路、电源变换控制模块；

中央处理控制器，实时地将自身的健康状态和当前工作状态发送至双机交互接口模块，将双机交互接口模块接收的备机或者主机的健康状态和当前工作状态保存，并检测备机或者主机运行是否正常；若非当班机出现异常，则由当班机控制非当班机重启，重启再次累积连续N次狗咬，则将非当班机断电；若当班机出现异常，则开启非当班机的输出控制功能，将原当班机重启，重启后禁用输出控制功能，完成双机切换，若原当班机重启再次累积连续N次狗咬，则由新当班机控制其断电；

当班机模式下，根据预设时序生成配电指令或者接收遥控指令接收接口模块输入的配电指令，输出配电选通指令和对应通路的加电或断电驱动指令至载荷供配电模块；根据信号采集模块回采的配电结果，判断配电指令是否正确执行，如果配电指令未正确执行时，则将该配电指令发送至交互接口模块；控制非当班机遥控指令接收接口模块使能信号为“无效”状态，使得非当班机不接收外部输入的配电指令；

非当班机模式下，接收交互接口模块发送的配电指令，根据该配电指令输出配电选通指令和对应通路的加电或断电驱动指令至载荷供配电模块；当检测到当班机运行异常时，启用非当班机自身的输出控制功能与外部指令接收接口，读取保存的当班机最新正常工作状态，按照该正常工作状态之后的时序，继续生成配电指令或者接收遥控指令接收接口模块输入的配电指令，输出配电选通指令至载荷供配电模块，根据信号采集模块回采的配电结果，判断配电指令是否正确执行，如果配电指令正确执行，则将切换为当班机工作模式，并向原当班机的电源交换控制器发送重启指令；

遥控指令接收接口模块，在使能信号的控制下，当使能信号“有效”时，接收外部输入的配电指令，并输出配电指令给中央处理控制器，当使能信号“无效”时，不接受外部输入的配电指令，不输出配电指令至中央处理控制器；

信号采集模块，采集载荷供配电模块输出端各载荷的母线电压，并发送给中央处理控制器；

配电指令解析电路，将中央处理控制器发出的配电选通指令译码，选择对应通路的加电或断电驱动指令输出；对于仅需要确保接通的功率恒定配电通道，产生一对互补的加电与断电指令；对于接通和断开可靠性均有较高要求的功率恒定配电通道，共产生四对互补的加电与断电指令；

电源交换控制器，将外部输入的供配电信号进行电源转换，得到所需的二次电源电压，为对方的中央处理控制器供电，同时，接收对方中央处理控制器的控制信号，将本机重启或者断电；

复位电路，上电后产生复位信号，控制中央处理控制器复位；接受中央处理控制器输出的“喂狗”操作，预设的时间内未收到中央处理控制器输出的“喂狗”操作，则产生复位信号，控制中央处理控制器复位。

2.根据权利要求1所述的一种抗单粒子辐照的平滑切换双机冗余配电***，其特征在于非当班机实时监测当班机健康状态，当非当班机检测到当班机异常时，根据之前保存的当班机最新正常工作状态，开启自身的输出控制与接收外部指令功能，按照预设流程或外部指令，执行后续的配电操作，并回采操作结果，当回采操作结果执行正确时，控制原当班机重新上电复位，原当班机上电复位后默认为非当班机状态，禁用输出控制与指令接收功能，完成切机操作。

3.根据权利要求1所述的一种抗单粒子辐照的平滑切换双机冗余配电***，其特征在于所述当班机实时监测非当班机的健康状态，当非当班机连续出现N次以上狗咬复位时，当班机向非当班机发送上电复位信号；若复位后再次出现N次狗咬，则当班机控制非当班机电源断电，停止工作，N大于等于2。

4.根据权利要求1所述的一种抗单粒子辐照的平滑切换双机冗余配电***，其特征在于载荷供配电模块包括驱动指令融合模块、功率恒定配电管理模块、功率非恒定配电管理模块；

驱动指令融合模块，将主机与备机的同一个通路的加电或断电驱动指令并联后得到融合驱动指令，再将该融合驱动指令发送给通路对应的功率恒定配电管理模块和/或功率非恒定配电管理模块；

功率恒定配电管理模块，输出功率恒定的供电信号；

功率非恒定配电管理模块，输出功率非恒定的供电信号。

5.根据权利要求4所述的一种抗单粒子辐照的平滑切换双机冗余配电***，其特征在于所述功率恒定配电管理模块包括：两个指令驱动模块，分别记为第一指令驱动模块和第二指令驱动模块，两个配电输出模块，分别记为第一配电输出模块和第二配电输出模块；

指令驱动模块，包括电阻R1、R2、R3、R4，三极管V1、V2，电阻R1的一端为指令驱动模块的输入端，另一端连接三极管V1的基极，电阻R2跨接在三极管V1的基极和发射极之间，三极管V1的发射极接地，三极管V1的集电极为指令驱动模块的输出端；电阻R3的一端为指令驱动模块的输入端，另一端连接三极管V2的基极，电阻R4跨接在三极管V2的基极和发射极之间，三极管V2的发射极接地，三极管V2的集电极为指令驱动模块的输出端；

配电输出模块均包括磁保持继电器K1、电阻R9、R10、R11、R12、R13、R14，MOS管MOS1；磁保持继电器K1为双端双掷开关，共有6个触点，其中两个触点接地作为开关的不动端，另两个触点悬空作为开关的第一动端，再两个触点作为开关的的第二动端，并联连接在电阻R13的一端，电阻R13的另一端分成两路，一路与电阻R14串联连接至载荷配电电源母线,另一路连接至MOS管的栅极；

第一指令驱动模块和第二指令驱动模块的输入端都连接融合后的配电指令信号；第一指令驱动模块的输出端连接功率恒定通道断电信号端；第二指令驱动模块的输出端连接功率恒定通道加电信号端；

第一配电输出模块和第二配电输出模块的MOS管的漏极连接功率恒定通道母线；第一配电输出模块和第二配电输出模块的磁保持继电器K1第一线包的一端连接功率恒定通道的断电信号，另一端通过并联的电阻R9和R10连接至设备二次电源正母线，磁保持继电器K1第二线包一端连接功率恒定通道加电信号，另一端通过并联的电阻R11和R12连接至设备二次电源正母线；

配电输出模块还包括电容C1、配电输出，电容C1和电容配电输出串联连接，跨接在载荷配电电源母线与MOS管的栅极之间。

6.根据权利要求5所述的一种抗单粒子辐照的平滑切换双机冗余配电***，其特征在于所述配电输出模块还包括二级管V5、V6、V7、V8，所述二级管V5、V6跨接在第一配电输出模块磁保持继电器第一线包两端；所述二级管V7、V8跨接在第二配电输出模块磁保持继电器第二线包两端。

7.根据权利要求4所述的一种抗单粒子辐照的平滑切换双机冗余配电***，其特征在于所述功率非恒定配电管理模块包括：

八个指令驱动模块，记为：第一指令驱动模块、第二指令驱动模块、第三指令驱动模块、第四指令驱动模块、第五指令驱动模块、第六指令驱动模块、第七指令驱动模块、第八指令驱动模块；

四个指令保持模块，第一指令保持模块、第二指令保持模块、第三指令保持模块、第四指令保持模块；

八个配电输出模块，第一配电输出模块、第二配电输出模块、第三配电输出模块、第四配电输出模块、第五配电输出模块、第六配电输出模块、第七配电输出模块、第八配电输出模块；

指令驱动模块，包括电阻R21、R22、三极管V21，电阻R21的一端为指令驱动模块的输入端，另一端连接三极管V21的基极，电阻R22跨接在三极管V21的基极和发射极之间，三极管V1的发射极接地，三极管V21的集电极为指令驱动模块的输出端；

指令保持模块，包括磁保持继电器K3，二级管V31、V32、V33、V34，电阻R41、R42、R43、R44，所述二级管V31、V32跨接在磁保持继电器K3第一线包两端；所述二级管V33、V34跨接在磁保持继电器K3第二线包两端。磁保持继电器K3第一线包的一端连接第一输入信号，另一端通过并联的电阻R41和R42连接至设备二次电源正母线，磁保持继电器K3第二线包一端连接第二输入信号，另一端通过并联的电阻R43和R44连接至设备二次电源正母线；磁保持继电器K3为双端双掷开关，共有6个触点，其中两个触点接地作为开关的不动端，另两个触点悬空作为开关的第一动端，再两个触点作为开关的的第二动端，并联连接至指令保持输出端；

配电输出模块均包括电阻R49、R50，电容C11、C12，MOS管MOS11；电阻R49的一端连接在配电指令输入端，电阻R50的另一端分成两路，一路与电阻R49串联连接至MOS11的源极,另一路连接至MOS11的栅极，电容C11和C12串联后跨接在R49的两端；

第一指令驱动模块、第二指令驱动模块、第三指令驱动模块、第四指令驱动模块、第五指令驱动模块、第六指令驱动模块、第七指令驱动模块、第八指令驱动模块的三极管集电极输出端分别为功率非恒定通道第一断电信号、功率非恒定通道第二断电信号、功率非恒定通道第三断电信号、功率非恒定通道第四断电信号、功率非恒定通道第一加电信号、功率非恒定通道第二加电信号、功率非恒定通道第三加电信号、功率非恒定通道第三加电信号；

第一指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第一断电信号和功率非恒定通道第一加电信号；

第二指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第二断电信号和功率非恒定通道第二加电信号；

第三指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第三断电信号和功率非恒定通道第三加电信号；

第四指令保持模块的第一输入端和第二输入端分别连接功率非恒定通道第四断电信号和功率非恒定通道第四加电信号；

第一指令保持模块的指令保持输出端端连接第一配电输出模块和第二配电输出模块的配电指令输入端；

第二指令保持模块的指令保持输出端连接第三配电输出模块和第四配电输出模块的配电指令输入端；

第三指令保持模块的指令保持输出端连接第五配电输出模块和第六配电输出模块的配电指令输入端；

第四指令保持模块的指令保持输出端连接第七配电输出模块和第八配电输出模块的配电指令输入端；

第一配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第三配电模块中的MOS管源极；

第二配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第四配电模块中的MOS管源极；

第五配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第七配电模块中的MOS管源极；

第六配电输出模块中的MOS管源极连接载荷配电电源母线，MOS管漏极连接第八配电模块中的MOS管源极。

Images