0 引　言

余度技术是提高系统任务可靠性与安全可靠性的一种重要手段，余度部件效能的发挥程度主要取决于余度管理策略和方法，余度管理技术广泛应用于航空试验机^[1]、无人机^{[2 – 4]}、客机^[5]、飞行控制^[7]、机载计算机^[8]、液压伺服回路^[9]等，但在船舶操纵领域相关研究和应用均较少^[10]。

操舵控制余度系统的关键技术之一是余度管理技术，余度管理是决定系统可靠性的关键因素，也是容错管理的主要功能，操舵控制系统的故障容错能力主要通过系统的余度管理来实现^[6]。余度管理通过硬件与软件结合的方法，保证基于余度设计的系统正确协调地工作，监控系统运行并完成故障检测及处理工作的功能。余度管理是余度和容错设计的核心，是余度系统获取高任务可靠性的关键技术。

为提高船舶操舵控制系统的可靠性，确保船舶在全球各海域和复杂海况下安全可靠航行，本文提出基于余度设计的体系结构，采用最新的余度管理技术，运行位于舵机操控室的4套指令发送箱的余度管理软件，以实现系统的余度管理和容错控制功能。

1 实现途径

在操舵控制余度系统中，操舵控制余度计算机通过局域以太网及CAN总线实现互联，并与各操舵部位相连接。4套操舵控制余度计算机独立运行相同的余度管理软件，完整的软件处理包括初始化、同步、数据输入/采集、输入/采集数据交叉传输、输入/采集数据比较、控制律计算、输出数据交叉传输、输出数据比较和故障处理等几个重要环节。余度管理软件主要通过同步算法、数据交叉链路算法、表决算法等关键算法实现系统的余度管理功能。

4套操舵控制余度计算机通道间采用交叉数据链路（CCDL）进行信息交换，采用任务级同步算法实现通道同步工作。4个通道始终热备份运行相同任务，基于交叉数据链路对操舵相关数据进行表决和监控。在实时运行中，为了消除各通道之间的时钟误差，保证各通道在参加表决监控时必须同步工作，在每一周期执行任务之前，首先对各有效通道进行同步。通过同步监控对同步结果进行检测，如发现某个通道在规定的时间内未参加同步，则判该通道与其他通道失步，在本周期后面的处理中失步通道不再参加表决。

在任意时刻，系统选取某一余度计算机作为主计算机（控制权计算机），主计算机除有权进行控制输出外，同时还由其发出指令对故障通道进行隔离。在系统无故障且表决结果满足多数一致的条件时，系统采用固定优先级的策略，由1#通道的余度计算机掌握控制权并输出控制量，2#、3#和4#通道的余度计算机处于监控状态，参与表决但不进行控制输出。在高优先级通道故障时，系统次优先级通道将按照固定的优先级顺序依次接管控制权。在表决结果不满足多数一致的条件时，选取置信度最高的通道接管控制权。

在自动操舵方式下，在某一特定同步周期，各操舵控制箱余度计算机根据该同步周期的航向、航速、经纬度等导航信息，通过交叉数据链路传输，经通道交叉表决后，采用该同步周期统一的航向、航速和经纬度等导航信息进行控制律运算，计算出指令舵角，各通道计算结果再次通过交叉数据链路，在通道间进行交叉表决，确定1路作为该同步周期的指令舵角信号发送至系统总线，作为操舵控制输出指令。由于船舶运动姿态数据变化相对缓慢，且输入信号的不一致最终会体现在计算的输出信号上，所以输入信号的表决可以省略，这样也可减少CAN总线的传输负担，提高传输的效率和可靠性。

2 同步及表决算法

余度管理的关键环节在于同步处理和表决处理2个环节。

在操舵控制余度系统中，各余度计算机运行相同的计算任务，将计算结果进行比较、表决，从而达到提高整个余度控制系统可靠性的目的。为保证各余度控制计算机在比较、表决时的数据是同一次计算的结果，以维持计算数据的一致性，就必须同步（见图2），使各余度控制计算机在同一段时间内运行相同的计算任务。操舵控制余度系统采用任务级同步算法实现各余度计算机的同步，任务级同步算法无法实现物理（硬件）意义上的精确同步，各通道之间最大的同步误差为系统设定的同步上限。各通道余度计算机以操作系统用户任务的最高优先级启动同步任务，各余度计算机的同步帧在CAN总线上传输，各同步帧采用高优先级的帧ID（ID值越小优先级越高），以确保同步帧在CAN总线中传输的实时性。同步算法由余度管理程序的同步任务模块完成。

各通道余度计算机启动后进入同步任务，在各通道取得同步后，才可进行操舵控制计算。在每个同步周期，各通道操舵控制余度计算机运行应用程序进行操舵控制计算，得到计算结果后进入同步点（由信号量进行控制）。在同步点，各通道操舵控制余度计算机首先产生本周期的同步帧，携带记录发送操舵控制余度计算机的编号，运行周期序号等信息，广播到其他操舵控制余度计算机。操舵控制余度计算机检查收到的其他余度计算机的同步帧，判断其他操舵控制余度计算机进入同步点或是处于同步接收等待状态。

如果操舵控制余度计算机在同步等待时间到达上限之前收到所有其他操舵控制余度计算机的合理同步帧，则同步成功，计算出操舵控制余度计算机进入同步点与收到最后一个同步帧之间的时间，将此值作为时间差参数传递给上层应用软件，结束本次同步；否则，认为操舵控制余度计算机同步失败。通知上层应用程序按照同步算法传递的时间差参数进行延时，以保证在下一个运行周期四通道中的各操舵控制余度计算机的应用程序同时开始。

在自动操舵模式下，操舵控制箱的控制输入信号为指令航向和实际航向、航速、经纬度，输出信号为指令舵角。故障通道不具有表决权，工作正常的通道进入同步环节。同步算法是表决算法的前提和基础，未同步的通道自动取消本同步周期的表决资格，取得同步的通道进入表决环节。在操舵控制余度系统中，未发生故障且取得同步的通道具有表决权。

各通道计算机在任务启动后，根据各计算周期计算结果的正确度开始计算自身的置信度。以固定的优先级和变化的置信度作为表决的权重指标。表决算法由余度管理程序表决任务模块完成。表决任务模块负责控制指令的表决输出。

操舵控制箱1、操舵控制箱2、操舵控制箱3和操舵控制箱4通过交叉数据链路（CCDL）交换各自计算/采集的指令舵角（指令舵角在自动操舵模式下通过控制律计算取得，在手动操舵模式下通过AD采集取得）。采用多数一致表决方式，误差在设定范围内认为一致，计算结果为多数一致的通道具有表决权，对于某特定同步周期，在具有表决权的通道中按照设定优先级确定唯一通道输出指令舵角。

余度管理表决算法流程图如图3所示。在无故障通道的情况下，在四通道输出结果一致（4:0）的情况下，以设定优先级高的通道输出作为表决输出。当四通道输出为3:1或2:1:1的情况时，满足多数一致的要求，以设定优先级高的通道输出作为表决输出。当四通道输出为2:2或1:1:1:1的情况时，不满足多数一致的要求，以置信度高的通道作为主通道，主通道发出表决不一致系统报警，并提示操舵人员进行干预。

3 仿真结果

对该型操舵控制系统设备进行半物理仿真试验，半物理仿真试验包括回转试验和自动航迹仿真试验，具体仿真试验结果如图4和图5所示。

图4为船舶四通道输出出现2:2的情况时的回转试验仿真曲线，此时不满足多数一致的要求，以置信度高的高优先级通道输出作为表决输出，从图中可以看出，根据本文所提出的表决处理算法，仍能保证操舵仪输出正确且有效的输出指令，船舶能较为准确地完成回转试验。

图5为某通道输出指令与其他三通道（3:1）不一致时的某型船舶自动航迹仿真曲线图。通过仿真曲线图显示，在某通道输出指令出现故障时，根据本文所提出的表决处理算法，仍能保证操舵仪输出正确且有效的输出指令，船舶能较为准确地跟踪给定航迹，且航迹稳定精度满足操舵仪指标要求。

4 结　语

本文针对于大型船舶自动操舵仪操舵故障问题，提出采用四指令发送箱余度管理技术，通过数据交叉链路和控制指令/监控报警表决处理的冗余设计，当N（N≤3）套指令发送箱发生故障下，保证系统还能正常运行，有效工作。该型操舵仪系统通过回转和自动航迹的半物理仿真试验，其中回转试验输出指令出现2:2的情况时，该操舵仪经表决处理输出正确且有效的控制指令，船舶能较为准确地完成回转试验；在进行自动航迹的半物理仿真试验，某通道输出指令与其他三通道（3:1）不一致时，该操舵仪经表决处理，仍能保证操舵仪输出正确且有效的控制指令，船舶能较为准确地跟踪给定航迹，且航迹稳定精度满足操舵仪指标要求。