多核心表決式控制系統(tǒng)的研究*

譚敏哲

（華南理工大學(xué)自動化科學(xué)與工程學(xué)院，廣東廣州 510000）

0 引言

隨著各種微處理器的快速發(fā)展，其在工業(yè)控制領(lǐng)域的應(yīng)用越來越廣泛，上至人造衛(wèi)星，下至工廠流水線，都離不開微處理器。所以，微處理器或微處理器系統(tǒng)的質(zhì)量決定了工業(yè)控制系統(tǒng)的質(zhì)量?？疾煲粋€控制系統(tǒng)是否合格的主要指標(biāo)是其快速性、準(zhǔn)確性及穩(wěn)定性，其中穩(wěn)定性，又稱可靠性，是整個控制系統(tǒng)正常工作的基礎(chǔ)。具有高穩(wěn)定性的系統(tǒng)能夠在惡劣的環(huán)境下正常工作，有很強的適應(yīng)能力，對于環(huán)境未知的探測工程以及工廠中一些高溫高壓環(huán)境下的生產(chǎn)控制具有很高的實用價值。同時，工業(yè)生產(chǎn)對每一個系統(tǒng)的穩(wěn)定性也有一個基本的要求，達不到穩(wěn)定要求的系統(tǒng)顯然是沒法使用的。而這個穩(wěn)定性很大程度上就取決于微處理器的正常工作[1]。

但是，微處理器中又存在程序跑飛（俗稱死機）和芯片老化等等不安全的因素，其中程序跑飛是最難預(yù)測到的因素，目前認為主要與程序員所寫代碼的質(zhì)量和芯片工作環(huán)境有關(guān)，但由于這兩者都不容易控制，一般認為微處理器程序跑飛是一個隨機事件。但是對于一般的控制系統(tǒng)，主控制器是整個控制系統(tǒng)的核心，而主控制器往往是由單一的微處理器及周邊器件構(gòu)成。一旦微處理器程序跑飛，就意味著整個系統(tǒng)的崩潰，在工廠流水線上就意味著生產(chǎn)停滯，在一些重要的項目中，比如太空探測、人造衛(wèi)星等等則意味著整個項目的失敗。所以解決微處理器程序跑飛至關(guān)重要[2]。

1 增加微處理器穩(wěn)定性常用的方法及其局限性

由于微處理器穩(wěn)定性的重要性，人們在很早之前就開始研究增加微處理器穩(wěn)定性的辦法。

1.1 工作環(huán)境改良

最初，人們用來增加微處理器穩(wěn)定性的方法是改良工作環(huán)境，這里的工作環(huán)境主要指芯片工作的溫度、濕度、靜電環(huán)境、電源質(zhì)量等等。目前常用的方法有為CPU 增加散熱風(fēng)扇、增加靜電屏蔽外殼、研究高質(zhì)量供電電源等。直接改良工作環(huán)境的方法對于增加芯片的穩(wěn)定性效果是相當(dāng)明顯的。不過，對于很多控制領(lǐng)域，如冶煉控制或者太空工業(yè)來說，對于工作環(huán)境的控制技術(shù)非常有限。同時，環(huán)境控制并不能解決微處理器由于代碼錯誤或者老化以及一些其他不穩(wěn)定因素造成的程序跑飛，增加穩(wěn)定性的能力相當(dāng)有限[3-4]。

1.2 硬件復(fù)位

硬件復(fù)位又稱看門狗計時器，是現(xiàn)在增加微處理器穩(wěn)定性的主要手段，它屬于一種補救手段。硬件復(fù)位的工作原理就是讓微處理器不斷對一個內(nèi)置或外置的定時器發(fā)送清零信號，俗稱喂狗，使得計數(shù)器的累加值不超過一個設(shè)定好的最大值。當(dāng)微處理器程序跑飛后，便不能繼續(xù)發(fā)送清零信號，當(dāng)計數(shù)器累加值超過最大值的時候，看門狗計數(shù)器對微處理器發(fā)出復(fù)位信號，同時清零計數(shù)器，使微處理器程序回到初始值重新執(zhí)行。其在程序發(fā)生錯誤但微處理器尚未損壞時具有很好的補救效果，具有很強的實用性。但是其局限性也是很明顯的，程序必定會從初始值開始執(zhí)行，這很可能會造成機械部件的誤操作或者電路信號的紊亂，造成很多不可預(yù)計的損失甚至是安全事故[3，5-6]。

1.3 軟硬件結(jié)合復(fù)位

軟硬件結(jié)合復(fù)位是最新出現(xiàn)的補救手段，從本質(zhì)上來說和硬件復(fù)位沒有區(qū)別。其主要是通過后備寄存器對芯片的工作狀態(tài)進行保存，在硬件復(fù)位后執(zhí)行一段工作狀態(tài)恢復(fù)程序，使微處理器恢復(fù)到死機前的工作狀態(tài)，而不是從頭開始執(zhí)行[4]。但是這種復(fù)位方法對于芯片復(fù)位后的初態(tài)造成的誤動作還有芯片處于死機狀態(tài)時的誤動作沒有效果，同時回到芯片跑飛前的工作狀態(tài)也有可能造成二次跑飛，使系統(tǒng)陷入死循環(huán)而無法工作。

1.4 小結(jié)

復(fù)位的方法主要屬于一種補救手段，對于芯片損壞、更換、升級等造成系統(tǒng)停止運行的情況均沒有任何效果。而且由于微處理器從死機狀態(tài)恢復(fù)需要時間，不論使用什么方法，都不可能使系統(tǒng)在持續(xù)運行的狀態(tài)下完成微處理器的重啟或更換。要進一步提高這些狀態(tài)下系統(tǒng)的穩(wěn)定性，則必須引入多核心系統(tǒng)。

2 多核心控制系統(tǒng)

2.1 一種多核心控制系統(tǒng)的定義

為了使控制系統(tǒng)能夠在各種情況下，甚至是部分芯片損壞的情況下正常工作，現(xiàn)在提出一種多核心的控制系統(tǒng)的定義：控制系統(tǒng)由多個相對獨立的微處理器組成，每個處理器均可以單獨完成處理任務(wù)，系統(tǒng)的最終輸出結(jié)果只有1 個且決定于各個單獨的微處理器的處理結(jié)果。多核心系統(tǒng)有很多實現(xiàn)方式，本文主要介紹一種基于表決機制的多核心系統(tǒng)的構(gòu)想并分析。

2.2 多核心表決式控制系統(tǒng)

多核心表決式控制系統(tǒng)，下簡稱表決式系統(tǒng)，由微處理器、表決器、輸入信號線、輸出信號線和反饋信號線構(gòu)成，如圖1。

圖1 多核心表決式控制系統(tǒng)架構(gòu)圖

該表決式系統(tǒng)屬于一種并行式處理系統(tǒng)，信號由多條輸入信號線輸入到每臺微處理器，每臺微處理器單獨對輸入信號進行處理，并且把處理結(jié)果通過輸出信號線傳送給表決器，表決器一般由不會發(fā)生程序跑飛的邏輯電路構(gòu)成，實現(xiàn)簡單的表決邏輯，然后輸出結(jié)果。反饋信號線主要用來為遲到機制服務(wù)。

2.3 遲到機制

遲到機制是多核心表決式控制系統(tǒng)的精髓，是它與傳統(tǒng)控制系統(tǒng)架構(gòu)的重要區(qū)別之一。它的作用在于協(xié)調(diào)整個多核心系統(tǒng)的工作，使每塊獨立的微處理器都工作在同一個步驟甚至是指令上。它的主要工作流程如圖2。

圖2 遲到機制工作流程圖

遲到機制的實現(xiàn)是由每塊單獨的微處理器實現(xiàn)的，微處理器在執(zhí)行了一個步驟后，進行短延時，等待別的微處理器給出結(jié)果和表決器進行結(jié)果的最終決斷。然后通過反饋信號線獲取當(dāng)前表決器決定的最終結(jié)果，并與自己的結(jié)果進行比較，若相同，則等待執(zhí)行完成后執(zhí)行下一步。當(dāng)與自己結(jié)果不同的時候，則無條件服從最終結(jié)果，調(diào)整計數(shù)器至最終結(jié)果下一步驟，并且等待表決結(jié)果，一旦到達步驟m+1 則跟隨執(zhí)行一個步驟，并在步驟m+2脫離遲到狀態(tài)。

遲到機制是仿照人們開會時的特征設(shè)計出的協(xié)調(diào)機制，表決器遵照少數(shù)服從多數(shù)的方式?jīng)Q定最終結(jié)果，與最終結(jié)果不同的一律認為是遲到者，不論是剛剛死機而被復(fù)位了的芯片，還是因為其他因素使得計算出現(xiàn)了偏差的芯片，全部都調(diào)整到最終結(jié)果的下一個狀態(tài)，并在下一個狀態(tài)進行跟隨執(zhí)行，如果執(zhí)行結(jié)果無誤，則在再下一個步驟到達正常執(zhí)行狀態(tài)，重新與其他芯片一起參與表決。

2.4 表決式系統(tǒng)分析

2.4.1 穩(wěn)定性分析

圖3 傳統(tǒng)單核心控制系統(tǒng)發(fā)生錯誤時的時序圖

圖4 未加入遲到機制時多核心系統(tǒng)發(fā)生錯誤時的時序圖

圖5 加入遲到機制后多核心系統(tǒng)發(fā)生錯誤時的時序圖

如圖3～5所示，比較上述三種系統(tǒng)發(fā)生錯誤的時候的時序圖，可以發(fā)現(xiàn)沒有遲到機制的多核心系統(tǒng)運行時間比單核心系統(tǒng)是要長一點，但是由于一個產(chǎn)品中的芯片很可能來自于同一批，當(dāng)其中一塊發(fā)生錯誤的時候，另外一塊發(fā)生錯誤的概率也大大提高?？紤]到多核心系統(tǒng)復(fù)雜度與成本的急劇上升，多核心系統(tǒng)的確不如單核心系統(tǒng)。

但是加入遲到機制后，多核心系統(tǒng)的優(yōu)勢馬上就得到了體現(xiàn)，由于芯片從錯誤狀態(tài)恢復(fù)到正常狀態(tài)的時間比較短，而且由于芯片的生產(chǎn)工藝等等的差別，很少出現(xiàn)兩塊芯片同時死機的情況，這樣就使得多核心系統(tǒng)能夠正常運行很長一段時間，由圖5 可知，雖然微處理器2、3 先后發(fā)生了錯誤，但是整個控制系統(tǒng)都能夠繼續(xù)運行，這都得益于遲到機制，實現(xiàn)系統(tǒng)穩(wěn)定性質(zhì)的飛躍。

2.4.2 表決器設(shè)計

對于表決式系統(tǒng)來說，表決器是整個系統(tǒng)的協(xié)調(diào)中心，是由可靠性極高的邏輯電路構(gòu)成的，下面就設(shè)計一種少數(shù)服從多數(shù)邏輯的表決邏輯電路，先列出邏輯真值表。

表1 表決邏輯真值表

仿真時序符合要求，表決器能夠完成表決功能，如圖7所示。

2.4.3 復(fù)雜度分析

假設(shè)1個n 位與非門復(fù)雜度相當(dāng)于n-1 個兩位與非門。

則實現(xiàn)一個n 線表決式邏輯需要：

則總共需要與非門數(shù)為：

設(shè)n=2k-1，

則有：

可知復(fù)雜度主項ε ∝kk。雖然表決式系統(tǒng)核心數(shù)越多則穩(wěn)定性越高，但是核心數(shù)增加將造成表決器復(fù)雜度的劇烈上升，制造成本大大增加。同時由于對與非門集成度的需求快速增加，難以實現(xiàn)穩(wěn)定有效的表決器，系統(tǒng)的穩(wěn)定性反而開始下降。因此使用文章所述表決式邏輯形成的多核心系統(tǒng)的核心總數(shù)將受到一定限制。

3 表決式系統(tǒng)的應(yīng)用價值

3.1 穩(wěn)定性高、恢復(fù)能力強

這點已經(jīng)在前文中說明了，此處列舉只是為了邏輯完整。

3.2 可以在不暫停的情況下進行檢修、更換、升級

當(dāng)使用時間快到達芯片壽命時，則需要對微處理器進行更換或者升級。而且日常的檢修也是必要的，但是對于一些特殊的行業(yè)來說，控制系統(tǒng)是不允許暫停的[1]，而表決式多核心控制系統(tǒng)提供了這種可能。

圖6 與非門邏輯電路圖

圖7 仿真時序圖

圖8 表決式系統(tǒng)更換芯片示意圖

如圖8 所示，在整個更換過程中，由于被暫停的工作的芯片只有一片，系統(tǒng)正常工作的6 塊芯片通過表決后將使系統(tǒng)繼續(xù)工作在一個正常狀態(tài)上，直至最后7 塊芯片全部都不是原來的芯片了，系統(tǒng)還是不需要暫停工作。在表決式系統(tǒng)中，工作狀態(tài)在多塊芯片之間傳遞和轉(zhuǎn)移，而不存在于任何一塊芯片之內(nèi)，使得系統(tǒng)可以在部分被更換或者是被損毀的狀態(tài)下正常運行。

4 結(jié)語

在傳統(tǒng)方法對于控制系統(tǒng)穩(wěn)定性提升能力有限的情況下，本文創(chuàng)新地提出了一種具有極高穩(wěn)定性的新型控制系統(tǒng)架構(gòu)，采用多片微處理器替代傳統(tǒng)的單主控制器結(jié)構(gòu)，實現(xiàn)了穩(wěn)定性質(zhì)的飛躍，突破當(dāng)前穩(wěn)定性提升的瓶頸。文章說明了這種系統(tǒng)的優(yōu)勢與不足，并且說明了遲到機制對于多核心系統(tǒng)的重要作用，對于進一步設(shè)計生產(chǎn)這種架構(gòu)的處理系統(tǒng)具有一定的參考價值。

［1］胥布工.自動控制原理［M］.北京：電子工業(yè)出版社，2011.

［2］李建中.單片機原理及入門應(yīng)用［M］.西安：西安電子科技大學(xué)出版社，2003.

［3］張鳳賜，馮曉臣，張平.消除單片機異常復(fù)位及程序跑飛影響的措施［J］.沈陽大學(xué)學(xué)報，2002（4）：77-78.

［4］梁偉，郭芳瑞.微處理器程序跑飛的精確恢復(fù)［J］.單片機與嵌入式系統(tǒng)應(yīng)用，2007（7）：68-72.

［5］孔萌.微機系統(tǒng)程序跑飛的快速診斷及處理方法［J］.長春理工大學(xué)學(xué)報，2006（3）：11-14.

［6］權(quán)建林.微機控制系統(tǒng)失控后的一種恢復(fù)方法［J］.北京紡織工學(xué)院學(xué)報，1995（6）：148-150.