柴油机电控化和智能化是柴油机发展的必然方向，即便是技术更新较慢的国内船舶柴油机领域也已经告别机械控制走向了电子控制，船舶柴油机电子控制由最初的电子调速逐步扩展到相继增压、EGR、VGT等多个方面，国内船舶柴油机高压共轨燃油喷射技术也有了长足的进步，电子控制技术逐渐渗透到柴油机各个子系统。ECS相较于传统的机械控制系统的主要不足是系统可靠性较差，但是船舶动力系统在维修保障方面的特点要求船舶发动机整机具有更高的可靠性。冗余控制是提高控制系统可靠性的主要手段之一。ECS由传感器、ECU和执行器组成，热冗余控制从这三个方面展开即冗余传感器信息诊断与融合技术、多ECU冗余技术、冗余执行器设计与控制方法。国外船舶柴油机ECS已经使用冗余控制系统，如MTU公司的F型ECS使用一主一备的控制架构，但是由于国外技术封锁，ECS冗余设计技术细节并无公布。国内研究方面宋百龄等^[1-2]等发表过关于电子调速冗余设计方面的论文，更多冗余设计应用于飞机控制系统和基于PLC的过程控制系统^[3-4]。但是并没有文献明确指出热冗余ECU设计和控制策略、实时控制系统冗余ECU间通信技术设计以及冗余电磁铁执行器的切换控制方法，本文将重点针对这几点展开研究。

本文以目前在我国船舶柴油机领域广泛应用的位置式燃油喷射柴油机电子调速器为研究对象，以实现控制系统典型故障下柴油机无停车连续运行为目标，研究柴油机ECS多ECU冗余技术和冗余电磁执行器控制技术。最终在发动机台架上验证热冗余电子调速器的调速性能。

1 柴油机热冗余电子控制 1.1 柴油机电子控制系统特点分析

柴油机ECS主要包括ECU、转速传感器和执行器。系统组成和原理图如图 1所示。传感器将物理量信号转化为电信号传递给ECU，ECU设有微ECU(MCU)负责电信号的采集、计算并输出控制信号控制执行器完成控制功能。无论是电子调速器的第一代柴油机电子控制还是以柔性燃油喷射控制为代表的单体泵和高压共轨技术，控制系统三要素基本原理均未发生实质性变化。以柴油机电子调速器为对象研究柴油机热冗余电子控制技术具有通用性，且能直接移植到其他柴油机控制领域。

1.2 双ECU冗余技术

双机热冗余控制技术是指在使用两块相同的ECU完成柴油机的控制功能，其中一块ECU为主ECU，另一块双ECU为辅助ECU，主ECU故障情况下辅助ECU接管主ECU控制空能继续完成发动机控制，实现典型故障情况下柴油机无故障连续运行的技术。冗余是提升控制系统可靠性的重要途径之一，实现在主ECU(主ECU)故障时，通过通信协调，自动“无扰”切换到另一个ECU(辅助ECU)，由辅助ECU进行控制。双ECU热冗余控制的目标是提升系统在典型故障情况下的可用性^[5-6]。双ECU热冗余的设计关键是ECU冗余策略、双ECU数据通信、双ECU运行状态控制策略。

1.3 ECU冗余设计

ECU冗余有两种常用方法：1)单个ECU关键电路冗余，2)使用两块相同的ECU共同完成一个功能。第1种方式只对关键电路冗余设计，对控制系统可靠性改善有限。第2种方式是ECU整机冗余，更加充分提升控制系统的可靠性，适用于单套ECU成本和复杂度较低的应用场合。结合电子调速器的软、硬件特点设计双ECU热冗余电子调速器，主要特点是单机基础上增加一套相同的ECU；两只转速传感器分别连接到两个ECU上；双位移传感器和两路线圈绕组所组成的电磁铁执行器。其中两个ECU通过CAN总线数据共享。整体链接关系如图 2所示。双绕组电磁铁执行器的特点是两路线圈可以独立工作推动油泵齿杆。两个ECU分别连接双绕组电磁执行器的两个绕组线圈。控制器A和线圈1以及控制器B和线圈2组成了两套独立的控制回路。

1.4 双ECU数据通信技术

两个独立的ECU必须通过有效的通信才能构成一个整体，因此双ECU之间数据共享是ECU冗余功能实现的基础。双ECU数据共享具有以下功能：1)通过心跳通信机制实现双ECU故障互诊断^[3]；2)双机工作状态协调；3)作为双机故障状态下的通信，保证切换过程中控制量的连续。常用的双ECU通信方式有双端口RAM和总线通信方式。双端口RAM适合于大数据量通信，CAN总线通信方式相比于双端口RAM通信方式虽然不能实现大量数据通信，但是结构简单且可靠性高。柴油机电子调速器是实时控制系统，系统计算周期为毫秒级，因此要求在检测到故障时，双机系统能够快速的对故障做出响应，因此故障紧急通信有较高的实时性要求，同时柴油机电子控制双ECU之间不需要大量的数据通信，因此选择使用CAN总线作为冗余ECU数据共享的方式^[7]。

根据MC9S12XEP100单片机的特点设计了基于XGATE、软件中断的冗余ECU CAN总线数据通信方式。单片机的CAN接收中断使能，并有XGATE响应CAN接收中断。根据热冗余ECU间3种数据通信的需求分别使用3个软件中断来触发这3种不同的通信模式。其中软件中断0用来响应CPU12的心跳通信请求，软件中断1用来响应CPU12的常规数据通信请求，软件中断7用来响应CPU12的紧急通信请求。其中软件中断7具有最高的中断优先级以保证故障紧急通信的实时性。软件中断由CPU12触发并有XGATE响应，XGATE和CPU12之间通过数据共享RAM区交换数据，双ECU之间需要共享的数据首先传送到共享RAM区，再通过CAN总线发送到对方ECU。使用信号量上锁机制避免数据读写冲突问题，冗余ECU之间通信都完全由XAGTE管理，程序更加独立。

双ECU的CAN总线通信波特率高达500 kbit/s，如此高的通信速率是为了保证双机数据共享的实时性，当然允许使用如此高的通信波特率是也是建立在双ECU之间通信距离很近的基础上。为了保证双ECU运行的同步，双ECU的CAN通过软件中断方式触发，在程序中设置了四个位置触发软件中断1，在触发软件中断的同时也会将软件中断触发位置告知XGATE并通过CAN总线发送给对方ECU。

1.5 双机运行状态控制策略设计 1.5.1 双机运行控制状态定义

双冗余ECU必须严格协调双ECU的工作状态和工作关系，确保控制功能不出现紊乱。根据双机热冗余ECU的硬件结构设计，

冗余系统可以工作在3个工作模式下：1)双机状态；2)单机状态；3)双机故障状态；

ECU的健康状态分为状态：1)无故障正常状态；2)故障状态；

ECU的工作状态可以分为3个状态：1)主机状态；2)备份机状态；3)故障状态。

表 1介绍双机热冗余电子调速器在3个工作状态下的工作特性。

双机状态下热冗余的两个ECU均无故障，处于正常工作状态。此时主ECU负责控制量计算，辅助ECU负责故障互诊断，辅助ECU输出的控制量是由主ECU计算得到并通过CAN总线通信传送给辅助ECU。辅助ECU负责故障自诊断以及监视主机的运行状态。备份机不断的进行控制量连续性的计算时刻准备着接替主机完成柴油机控制工作。双机状态下如果主ECU或者辅助ECU检测到故障冗余控制系统由双机状态迁移为单机状态。

单机状态一个ECU正常工作，另一个ECU故障。单机工作状态与单ECU系统无区别。为了避免短时偶发故障状态下控制权反复切换，单机状态不能再迁移为双机冗余状态，单机状态要一直维持到本次运行结束，ECU重新上电。单机状态下如果ECU再次发生故障则双机热冗余控制系统由单机状态切换为双机故障状态。

双机故障状态下柴油机将会停机直到下一次系统重新上电检测到故障排除。

1.5.2 双机初始工作状态仲裁

热冗余ECU初始工作状态仲裁是实现双机热冗余功能的第一步。本文设计采用抢占式和预制式结合的主机仲裁方法。ECU上电之后ECU首先进行硬件初始化以及初始故障诊断，如果初始故障诊断没有检测到故障则进一步检测是否收到首次心跳通信，如果没有收到对方机首次心跳通信则发送首次心跳帧，检测是否收到对方心跳应答，如果收到对方心跳应答则本机置为主机，对方机为备份机，电子调速器工作状态为双机状态。如果一段时间内仍然没有收到心跳通信则表明可能存在CAN总线通信故障或者对方机故障。按照预置状态确定当前机工作状态，具体存在哪种故障则需要首次发动机启动进一步判断。本文设计的双机热备系统工作状态确定流程如图 6所示。

2 双ECU故障切换控制策略设计

根据双机热冗余控制系统的功能目标，主ECU故障时辅助ECU切入，同时主ECU切出，切换过程中需要保证柴油机连续稳定运行。切换过程中控制策略和控制算法需要详细设计以保证控制性能。双机热冗余控制系统故障切换主要涉及以下几个环节：1)故障控制系统故障诊断，主要是完成对电子调速器故障诊断和分级；2)故障处理，针对不同等级的判断采用哪种故障处理方式。3)切换过程中双机工作状态的协调和切换前后控制量的计算。系统检测到不同的故障可以做出不同的处理，一种方式是软件重组，这种方式对系统的控制性能几乎没有影响；另一种处理方式是硬件重组，这种处理方式涉及到控制系统硬件的变化，故对控制系统性能有一定的影响。这里仅以转速传感器断线故障为例说明故障诊断和双机切换过程。

2.1 转速传感器断线故障诊断

电子调速器使用磁电式转速传感器采集发动机转速，使用单片机的输入捕捉模块采集计算发动机转速。转速传感器故障诊断程序运行在输入捕捉中断的中断服务函数中，基于相邻两个下降沿时间差合理性检测以及阈值检测判断转速传感器是否发生故障。转速传感器发生故障则转速传感器故障标志位置位，同时触发故障紧急通信软件中断。软件中断服务函数负责故障分级与故障处理。转速传感器断线属于一级故障，需要将故障传感器连接的ECU切出，无故障ECU接管控制权。

故障切换过程包含以下几个步骤，CAN总线发送故障请求帧数据通知另一个ECU准备接管控制权。同时故障传感器对应的ECU迁移为故障状态。无故障ECU在接收到故障ECU的故障请求帧通信之后进行控制量连续计算，工作状态转换为主机工作模式，将对方ECU健康状态标志位置为故障状态，无故障ECU单独继续完成发动机的控制^[8]。双机切换控制策略设计如图 7所示。

通过切断信号发生器信号线的方式模拟发动机转速传感器故障，通过示波器测量故障诊断的实时性测试，结果如图 8所示。测试结果表明，转速传感器故障诊断时间为26.6 ms，控制权切换时间为1.3 ms。

2.2 双线圈电磁铁执行器切换控制方法

热冗余控制系统切换过程中维持控制性能在可接受的范围内是热冗余控制的主要要求，切换过程中执行器位置的连续稳定是满足这一要求的基础。电磁铁类执行器是柴油机电子控制中常用的执行器类型，双线圈电磁铁执行器由双线圈工作切换为单线圈工作的切换控制方法具有通用性。根据双机热冗余电子调速器的切换前后的工作状态，双机状态下两个ECU分别链接执行器的两个线圈，执行器输出的力是两个线圈电磁力之和，相当于两个环节的并联。如果单机发生故障，故障ECU停止工作，执行器由原来的双线圈同时工作迁移为单线圈单独工作，控制系统由原来的并联环节变为单一的环节。因此为了维持切换过程中以及切换前后发动机转速稳定，需要解决两个方面的问题。1)执行器位置环的控制参数问题；2)双线圈工作和单线圈工作输出力的一致问题。

2.2.1 控制参数整定

双机热冗余电子调速器切换前后的状态示意图和双闭环PID计算原理图如图 9所示，切换前后双机冗余份电子调速器由原来的两个回路并联降级为单个回路，双回路并联与单个回路的区别在于系统增益的改变，因此切换后为了维持单个线圈工作位置环的稳定需要增大PID控制环节的比例项增益，位置环积分项和微分项参数值不变就可以维持位置环稳定运行^[9-10]。

双闭环PID控制包括外环转速环以及内环位置环，内环和外环都是位置式PID，外环根据转速偏差的计算结果实质上是一个期望的喷油量，喷油量又是执行器位置的函数，故转速环计算结果相当于是一个期望的执行器位置，即作为位置环PID计算的输入值。切换控制前主机进行双闭环PID计算，并将最终的计算结果即线圈驱动占空比传递给从机。切换后从机开始双闭环PID计算，最终计算结果驱动从机对应的线圈。

图 10为电磁铁执行器受力分析图。图中F为线圈电磁力，F_a为弹簧恢复力，F_f为执行器阻尼力。

由受力分析图可知电磁铁线圈通电产生电磁力克服回位弹簧的回复力和油泵的阻尼力推动执行器拉杆带动油泵齿条，执行器稳定在一个位置弹簧回复力不变，油泵阻尼力与齿条的运动速度有关暂不考虑，因此只需要维持切换前后线圈产生的电磁力就可以维持执行器输出位置的稳定。

2.2.2 控制量连续性计算

双机热冗余电子调速器切换前后维持执行器输出位移不变，电磁铁执行器工作过程受力分析如图 10所示。

根据麦克斯韦电磁场理论，电磁铁稳态工作时电磁力的计算公式为^[11]

$ \mathit{\pmb{F}} = \frac{{{\phi ^2}}}{{2{\mu _0}S}} = \frac{{{\mathit{\pmb{B}}^2}}}{{2{\mu _0}}}S $

(1)

式中: ϕ为工作气隙磁通，Wb；B为工作气隙磁感应强度；μ₀为真空导磁率，其值为4π×10^-7 Wb/(A·m)；S为磁路截面积；

如果不考虑漏磁及其他连接部位存在的气隙，认为主气隙即为衔铁行程，此时直流电磁铁的气隙(铁芯行程)磁感应强度B为

$ \mathit{\pmb{B}} = \frac{{N \cdot U}}{{R\delta }}{\mu _0} = \frac{{N\mathit{\pmb{I}}}}{\delta }{\mu _0} $

(2)

式中：N为线圈匝数, I为电流强度, U为电源电压, R为绕线电阻，δ为气隙长度。

将式(2)代入式(1)可得

$ \mathit{\pmb{F}} = \frac{{{{\left( {N\mathit{\pmb{I}}} \right)}^2}{\mu _0}}}{{2{\delta ^2}}}S = K \cdot {\mathit{\pmb{I}}^2} $

(3)

式中$K = \frac{{{N^2}{\mu _0}}}{{2{\delta ^2}}}S$。

冗余系统为双机状态时执行器双线圈电磁铁吸力为

$ {\mathit{\pmb{F}}_1} = k \cdot \mathit{\pmb{I}}_1^2 $

(4)

$ {\mathit{\pmb{F}}_2} = k \cdot \mathit{\pmb{I}}_2^2 $

(5)

$ \mathit{\pmb{F}} = {\mathit{\pmb{F}}_1} + {\mathit{\pmb{F}}_2} $

(6)

式中：F₁、F₂分别为线圈1、2产生的电磁力，I₁、I₂分别为线圈1、2电流，k为常数系数，F为总的电磁力。

当转速传感器故障，双机切换为备份ECU单独工作，此时只有单线圈工作，为保证电磁力不变，单线圈电流应变为原来的$\sqrt 2 $倍，此时电磁力公式为

$ {\mathit{\pmb{F}}_1} + {\mathit{\pmb{F}}_2} = 2{\mathit{\pmb{F}}_2} = k \cdot {\left( {\sqrt 2 {\mathit{\pmb{I}}_2}} \right)^2} $

(7)

根据上述分析结果，双机热冗余电子调速器由双线圈同时工作切换为单线圈工作后单线圈电流需要变为原来的$\sqrt 2 $倍才能维持执行器位置不变。切换过程中认为单个线圈的电阻不变，电磁铁执行器采用PWM驱动方式，线圈两端的等效电压和PWM占空比成正比^[12]。因此切换过程中将非故障机位置环PID积分项的偏差累加值赋值为原来的$\sqrt 2 $倍。

双机热冗余电子调速器切换前后的另一个状态改变计算主机由主机转换为备份机。转速-位置双闭环串级PID控制算法中转速环计算结果是作为位置环的位置目标值，因此为了维持切换后发动机的运行稳定，需要将故障ECU的转速环计算结果传递给备份ECU。

双机热冗余电子调速器在发生故障切换后故障机将停止执行器输出控制，为了保证故障控制器的可靠切出，设计逻辑电路保证故障控制器被动切出，并且在故障控制系统重新上电之前无论故障机的故障是否消除都会使故障机的输出处于被动关闭状态，以保证系统的运行安全。逻辑电路的设计将在另一篇论文中详细描述，此处将不再展开。

3 实验验证

为了验证双机热冗余电子调速器的运行和切换控制策略的功能性能，在潍柴X6170ZC-05 W柴油机上进行配机实验，柴油机具体参数如表 2所示。配机实验主要包括两个方面的内容：1)静态位置环切换实验，主要是验证切换过程中齿条位置的稳定性。2)双机热冗余电子调速器调速实验和切故障模拟切换实验。

3.1 静态位置环切换实验

静态位置环切换实验在发动机不运行的情况下通过信号发生器模拟发动机转速，执行器稳定之后切断一路转速模拟信号，模拟发动机转速传感器断线，观察切换过程中齿条位置变化情况，实验曲线如图 11所示。切换过程中齿条位置波动0.2 mm，稳定时间小于0.5 s。表明了切换控制算法快速准确性。

表 3为空载时各工况点故障切换配机实验结果，由表 3可以看出空载情况下双机热冗余电子调速器切换瞬态转速波动率最大为3.2%，并且随着转速的提高瞬态转速波动率降低，各工况点切换稳定时间为2.5 s左右。

3.2 双机热冗余电子调速器配机实验

双机热冗余电子调速器调速性能实验需要验证双机切换过程中和切换前后的调速性能。实验工况分为两组，第1组是不同转速空载，第2组是根据发动机推进特性曲线选择0%、25%、50%、75%、90%工况点。实验过程中切断主机转速传感器信号线，观察切换过程中齿条位置波动以及发动机转速波动情况，以此验证本双机热冗余电子调速器的切换性能。分析双机热冗余电子调速器切换调速率、切换稳定时间，双机切换过程属于瞬态扰动，故以电站柴油机瞬态调速性能指标作为性能参照。空载工况点实验结果如图 12所示。推进特性工况点如图 13所示。

表 4为推进特性各工况点故障切换配机实验结果，由表 4可以看出，随转速与负载的增加，故障切换瞬态转速波率由2.4%减小至0.9%。稳定时间由2.2 s减小至0.9 s。这种减小的趋势原因是不同柴油机工况下切换过程中齿条位置的波动范围和稳定时间是一致的，即喷油量的扰动是一致的。随着负载的增加发动机和测功器整体转动惯量增大，故随着负载的增加转速波动减小。根据实验结果对比表 5不同电站等级调速性能指标要求，双机热冗余电子调速器的切换过程中切换调速率和稳定时间满足二级电站关于瞬态调速率和稳定时间的指标要求。

4 结论

1) 双机热冗余电子调速器切换过程中柴油机运行稳定需要保证控制量的连续性，通过转速环PID和位置环PID切换过程赋值保证控制量的连续性。

2) 双线圈工作切换为单线圈工作时保证执行器输出力不变的方法是将单线圈的控制占空比变换为原来的$\sqrt 2 $倍。

3) 设计的硬件级冗余的双机热冗余电子调速器能够提升电子调速器在典型故障情况下的可用性，可以实现柴油机在控制器典型故障情况下无故障连续运行。