电磁轴承(AMB)是利用可控电磁吸力将转子悬浮起来的一种新型高性能轴承，由于其具有无接触、无摩擦、高速度、高精度、不需润滑和密封等一系列的优良品质，在交通、超高速超精密加工、航空航天等高科技领域有着广泛的应用。
　　由于磁悬浮系统本征不稳定，控制系统的好坏将会直接决定磁轴承的性能。控制系统主要实现方式分为模拟控制和数字控制。由于先进控制理论的应用，近年来国内外在数字控制方面发展很快，数字控制器将是未来磁轴承控制的主流，且90%以上的数字控制器都采用了DSP。它们一般是通过图1所示的流程实现的^[1][3][4][5]。磁轴承大多应用于高速旋转机械，控制系统一旦失效，将会带来比较严重的后果。随着工业领域及航空航天领域应用开发的日益拓展，对控制系统可靠性的要求日益提高，即要求系统具有一定的容错功能。国外对此进行了研究，弗吉尼亚大学提出了应用于航天器上的四DSP容错磁悬浮控制系统^[1][4]。文献表明，国内在磁轴承控制器容错领域还没有相应的研究。本文从工业应用要求和成本的角度考虑，对图1虚线方框内的控制器进行容错设计，提出了双DSP容错控制器。而对于传感器、线圈和功率放大器部分的容错设计，本文不进行讨论。
1 磁悬浮控制器的容错设计分析
　　容错的一般含义就是在系统出现不希望事件时，仍能正确执行所规定的算法。冗余是实现容错和提高可靠性的一种方法，也是最有效的方法，故本次设计采用冗余技术来实现容错。冗余技术主要有四种实现方法：硬件冗余、软件冗余、时间冗余、信息冗余，其中后三种都是在硬件无故障和运行时间、程序空间拥有余量的情况下使用。但对于磁轴承DSP控制系统，其本身的时间余地和程序空间余量都非常有限，故主要采用硬件冗余，即采用多DSP冗余设计。
　　在多机" title="多机">多机冗余系统设计中，关键问题是多机的重构策略、多机的仲裁切换逻辑及多机运行的同步等问题。在大规模集中控制的中央级，通常都采用了比较完善、复杂的切换逻辑，多机同步和系统重构都借助于机间通信来传递彼此的信息来实现的。这些方案均不宜用于DSP等小规模的终端系统，要通过专门的硬件系统来进行支持。因为这些系统相对于上述功能强大的中央控制系统有四个明显的特点：(1)系统结构较简单、成本较低；(2)软硬件资源比较缺乏；(3)必须具备很好的实时性能；(4)运行时间余度太小。通过以上分析，提出了针对工业应用的双机热备冗余控制系统设计方案。

2 设计原理
　　系统结构如图2所示，其中实现冗余的核心控制模块是通过CPLD来实现的。实践表明，由于CPLD是通过硬件逻辑实现的，故比由软件控制的DSP可靠性高^[1][2][4]。模拟信号输入分别直接接到两个DSP的A/D" title="A/D">A/D输入端，由两个DSP同步进行运算，经过中心仲裁模块(由硬件故障判决模块和输出总线表决模块共同决定)决定主DSP，由主DSP来控制输出到D/A的数据、时序和RS232接口。其中的核心控制模块主要由以下几个部分组成：输入信号处理模块、复位模块、时钟模块、硬件故障判决模块和输出总线表决模块、中心仲裁模块、报警输出模块、中断处理模块等。

2.1 输入缓冲模块
　　为了消除输入端输入阻抗带来的影响，对于数字信号增加一级缓冲器，这样既可以减小外围电路的影响，也可以实现DSP与外围电路的输入隔离。在此系统中，主要是进行RS232和晶振、复位、外部中断输入信号的缓冲(RS232的输出接口是由主DSP进行控制)，对于模拟信号通过电压跟随器来实现阻抗匹配，减小误差并缩短A/D转换的时间。
2.2 DSP时钟同步的实现
　　由于本设计方案是通过DSP的完全同步来实现冗余控制的，故DSP的同步能否实现，是此方案实现的基本条件。采用双DSP共同使用一个晶振信号，系统工作时，待电源稳定和晶振完全起振后，才对DSP进行复位，这样便顺利地使DSP完成时钟级的同步。通过对实验室现有的控制系统的测试，电源稳定和晶振稳定起振所需的时间大约是40ms，故复位时间应选择大于40ms。为了提高其抗干扰性，复位后的信号要先经过施密特触发器，再经过CPLD缓冲后接到DSP的复位端。
2.3 硬件故障判决模块
　　硬件故障判决模块判断DSP是否出现了硬件故障，本设计中将每个DSP的CLKOUT的输出信号作为判决硬件故障的基本办法。如果DSP硬件工作正常，CLKOUT引脚将输出固定的时钟波形；如果系统的CLKOUT没有时钟波形输出，则认为该DSP硬件不正常，由中心仲裁模块来隔离这个不正常的DSP。其具体实现方案如图3所示。CLKOUT信号经由CPLD实现的分频器后送到单稳态触发器74LS123，若系统的CLKOUT信号不正常，74LS123会产生跳变，驱使中心仲裁模块隔离不正常的DSP。

2.4 输出总线表决模块
　　输出总线表决模块主要实现系统的容错，解决系统的软故障(是指程序运行中偶然出现的谬误，通过复位手段即可以消除)。其方法是比较总线的输出数据(参照目前的控制器设计，不需要输入总线外加接口)信号是否相同，如果不相同，则表明某个DSP或者两个DSP都产生了软故障，系统抑制错误输出；并由中心仲裁模块对此情况进行处理，使系统实现容错功能。考虑到A/D转换器的误差，在应用中只对输出数据总线的高8位进行表决，由任一个DSP的输出WR信号启动比较操作，如果不相同，则将输出的不正常状况通知中心仲裁模块。
2.5 中心仲裁模块
　　中心仲裁模块主要是分析由输出总线表决模块和硬件故障判决模块输出的结果，并作出判断，确定主DSP。主DSP的功能主要是控制对外的输出，包括控制D/A总线输出和RS232输出。
2.5.1 中心仲裁模块的仲裁方式
　　当硬件判决模块和软件表决模块都没有报错时，系统采用默认的DSP1为主DSP；如果硬件判决模块有一块DSP报错，则隔离出错的DSP，没有出错的DSP将会成为主DSP ，并且输出报警信号；如果两个DSP都报错，则会报告系统的错误，并提供控制系统产生错误的接口信号，让系统在最短的时间内启动安保系统(对于磁轴承便是迅速停止高速旋转的轴，还应该包括实际应用的环境所需的保护操作)。当两个DSP都没有产生DSP硬件报错的时候，如果软件表决模块报错，则通过CPLD启动复位信号，重新复位两个DSP，并且由CPLD核心控制模块记录复位次数；如果系统连续复位次数超过四次且没有出现一次正确的输出总线结果，或两个DSP在线自检均没有通过，将会发出类似两个DSP硬件报错的情况，启动安保系统；如果有一个DSP自检不通过，则隔离自检不通过的DSP，系统输出报警信号，主DSP控制权交给没有出错的DSP；如果复位次数小于四次，且出现了正确的输出总线结果，CPLD模块会清除复位计数次数，并且由两个DSP共同工作，主DSP依然是DSP1。
2.5.2 DSP软件的实现
　　系统的软件流程框图如图4所示，其中虚线框内是通过CPLD实现的。在DSP系统中，使用了看门狗模块来解决系统程序跑飞问题。系统复位后，通过检测看门狗电路复位标志位(此标志位用来区分是否为由仲裁模块引起的复位)来检测是否为系统程序跑飞，如果是系统看门狗复位，则通过软件使DSP产生输出总线报错，其结果与输出总线报错处理方式一样；否则为由仲裁模块引起的复位，执行在线自检，如果在线自检不通过，CPLD会自动隔离硬件。其中，为减小系统的复位花销时间并控制系统的连续性，存储数据时采用了双口RAM idt7133，这样可以在复位后快速采用前一次计算的暂存数据(相互取对方数据，并且与自己的数据进行平均)，使控制系统持续地工作，即让复位对系统的影响降到最小。