[发明专利]一种可重构三冗余计算机系统及其重构降级方法

权利要求书

1.一种可重构三冗余计算机系统，其特征在于包括三个控制计算机，每个控制计算机包括接口通信模块、CPU模块和表决控制模块，三个控制计算机上电完成初始化配置和时间同步之后工作在三机冗余工作模式下，各控制计算机CPU模块分别接收外部数据，同步进行控制计算，将计算结果发送至对应的接口通信模块；同时，各控制计算机CPU模块通过表决控制模块进行数据交互，获取三个控制计算机的计算结果，对三个控制计算机的计算结果，进行故障诊断得到故障判断结果，根据故障判断结果和预设的权切换顺序，形成表示当权控制计算机编号的表决状态指令，将表决状态指令发送至三个控制计算机的表决控制模块，每个控制计算机的表决控制模块根据表决状态指令，按照3取2的原则配置当权机，由当权机输出权使能控制信号至对应的接口通信模块，并由当权机向故障机输出复位指令；在权使能信号的控制下，仅当权控制计算机接口通信模块将计算结果输出至对外接口，故障机复位重启后，通过三机交互接口同步当班机的关键数据，使故障机重新运行与其它两机保持状态一致，完成重构。

2.根据权利要求1所述的一种可重构三冗余计算机系统，其特征在于所述每个控制计算机CPU模块与三个控制计算机表决控制模块相连，CPU模块写操作将交互数据同时写入三个控制计算机表决控制模块的存储缓冲区，CPU模块读操作读取所属控制计算机的表决控制模块存储缓冲区中三个控制计算机交互数据。

3.根据权利要求1所述的一种可重构三冗余计算机系统，其特征在于当任意一个控制计算机发生故障次数超过预设次数时，当权机对该故障机进行断电操作，三冗余计算机系统运行在双机主从工作模式，一个控制计算机为当权机，另一个控制计算机为非当权机，其中，当权机通过表决控制模块向非当权机发送健康状态信号，非当权机根据当权机健康状态信号判断当权机的健康状态，当当权机“不健康”时，非当权机表决控制模块向当权机发送夺权指令，并对当权机进行复位操作，非当权机切换自身为当权机，发出权使能有效信号，接管三冗余计算机系统对外接口通信权，三冗余计算机系统工作在单机工作模式；否则，三冗余计算机系统保持在双机工作模式。

4.根据权利要求2所述的一种可重构三冗余计算机系统，其特征在于所述当权机健康状态信号包括心跳信号、电压状态信息和双机时间信息，当所有健康状态信号与预设值均一致时，认为当权机“健康”，否则，认为当权机“不健康”。

5.根据权利要求1所述的一种可重构三冗余计算机系统，其特征在于每个控制计算机对三个控制计算机的计算结果进行表决的原则为：对三份计算结果进行比对，如果三份计算结果相互之间的偏差均未超出设定阈值，则认为无故障机，如果其中一份计算结果与这两份计算结果偏差超出设定阈值，则认为该计算结果所对应的控制计算机为故障机；如果三份计算结果相互之间的偏差均超出设定阈值，则认为三机均为故障机。

6.根据权利要求1所述的一种可重构三冗余计算机系统，其特征在于所述三个控制计算机独立供电。

7.根据权利要求1所述的一种可重构三冗余计算机系统，其特征在于所述三个控制计算机之间的所有外部接口信号和内部交互信号均采取隔离措施进行隔离。

8.根据权利要求1所述的一种可重构三冗余计算机系统，其特征在于所述控制计算机中的表决控制单元通过FPGA实现。

9.一种可重构三冗余计算机系统的重构降级方法，其特征在于三个控制计算机上完成初始化配置与时间同步之后，三冗余计算机系统工作在三机工作模式下，一个为当权机，另外两控制计算机为非当权机，三个控制计算机进行如下步骤：

(1)、每个控制计算机同步进行控制计算，每个控制计算机实时获取另外两个控制计算机的计算结果，之后，对三个控制计算机的计算结果，进行故障诊断，得到故障判断结果，根据故障判断结果和预设的权切换顺序，形成表示当权控制计算机编号的表决状态指令；

(2)、采用3取2的原则对表示当权控制计算机编号的表决状态指令配置当权机，由当权机输出权使能信号，所述权使能信号控制当权控制计算机将计算结果输出至外部接口，之后转入步骤(3)；

(3)、当故障判断结果为三个控制计算机均无故障机时，三冗余计算机系统保持在三机工作模式下，由当权机将计算结果三取二输出，下一个周期到来时从步骤(1)开始执行；当故障判断结果为存在一个故障机时，转入步骤(4)；当故障判断结果为存在三个故障机时，系统停止工作；

(4)、判断该故障机发生故障的次数是否超过预设值，如果未超过，则转入步骤(5)，超过则转入步骤(6)；

(5)、由当权机将故障机复位，故障机复位重启后，获取当权机的所有运行过程数据，使故障机与其它两机保持同步，完成重构，三个控制计算机保持在三机工作模式下，下一个周期到来时从步骤(1)开始执行；

(6)、由当权机对故障机进行断电操作，三冗余计算机系统工作在双机主从工作模式，一个控制计算机为当权机，另一个控制计算机为非当权机；当权机向非当权机发送健康状态信号，之后进入步骤(7)；

(7)、非当权机判断当权机健康状态信号是否与预设值一致，如果一致，则在下一个周期到来时，重复执行步骤(6)～步骤(7)；如果不一致，则非当权机向当权机发送夺权指令，接管三冗余计算机系统对外接口通信权，三冗余计算机系统工作在单机工作模式。