制器为主控制器，参与主控，B控制器为备控制器，参与内部监控。三节点分别定义 为节点1，节点2，节点3，因此每个节点的控制器名称为节点IA，IB表示节点1的A控制器和B 控制器;2A，2B表示节点2的A控制器和B控制器;3A，3B表示节点3的A控制器和B控制器。 [0037] 2.节点内表决监控
[0038] a.状态信号一致性比较监控，对离散量、数字状态量信号采取一致性监控，A控制 器与B控制器比较一致，选择A控制器数据进入节点级表决监控；
[0039] b.非状态信号门限比较监控，对模拟量信号、数字量还原的非状态信号采取设置 门限方式的比较监控，当A控制器与B控制器的差值绝对值小于门限值，认为节点内比较一 致，选择A控制器数据进入节点级表决监控；
[0040] c.当上述a项和b项出现比较不一致时，记录为故障状态，置该节点为问题节点，分 别选择A控制器数据和B控制器数据进入节点级表决监控；
[0041] 3.节点级表决监控
[0042] a.状态指示信号，当三节点的状态指示信号比较一致时，表决值取采样值；
[0043] b.非状态信号三节点表决算法为，三信号中选择中值，作为监控的基准值，如果其 他两非中值信号与中值信号之间的差在门限范围内，则该非中值信号为正常，否则该非中 值信号为故障;若两个非中值信号与中值信号之差均超过门限，则形成1:1:1的奇异故障， 认为信号均故障；若其中一个非中值信号与中值信号之差超过门限，另外一个非中值信号 与中值信号之差在监控门限之内，形成2:1的情况，这时，判定超出监控门限的为故障，另一 个非中值信号为正常。
[0044] 4.故障检测、故障隔离、故障重构策略
[0045] a.当出现节点内比较不一致时，置为问题节点，使用问题节点A控制器数据参与节 点间的表决监控，监控到该A控制器数据故障时，认为问题节点A控制器故障，进行重构，问 题节点B控制器参与节点间的表决监控，反之，当问题节点A控制器正常，B控制器故障，则置 问题节点B控制器故障，由A控制器单独参与节点间的表决监控，此时三节点间均正常工作， 余度不降级；
[0046 ] b.当节点内比较一致，节点间三余度监控出现某一节点故障，则判定为该节点失 效，置该节点失效，放弃对系统的控制权，系统余度降级为2节点；
[0047] c.系统降级为两节点后，节点内比较监控策略不变，节点间比较不一致时，降级策 略为：出现问题节点的首先降级，未出现问题节点的不降级。当无问题节点仍出现节点比较 不一致时，缺省使用当前控制节点，剔除故障节点。
[0048]容错节点故障转换矩阵见表一
【主权项】
1. 一种提升可用性的监控对容错系统余度管理方法，其特征在于:所述方法包括以下 步骤： 1) 节点内表决监控 1.1) 状态信号一致性比较监控，对离散量、数字状态量信号采取一致性监控，A控制器 与B控制器比较一致，选择A控制器数据进入节点级表决监控； 1.2) 非状态信号门限比较监控，对模拟量信号、数字量还原的非状态信号采取设置门 限方式的比较监控，当A控制器与B控制器的差值绝对值小于门限值，认为节点内比较一致， 选择A控制器数据进入节点级表决监控； 1.3) 当步骤1.1)和步骤1.2)出现比较不一致时，记录为故障状态，置该节点为问题节 点，分别选择A控制器数据和B控制器数据进入节点级表决监控； 2) 节点级表决监控 2.1) 状态指示信号，当三节点的状态指示信号比较一致时，表决值取采样值； 2.2) 进行非状态信号三节点表决； 三信号中选择中值，作为监控的基准值，如果其他两非中值信号与中值信号之间的差 在门限范围内，则该非中值信号为正常，否则该非中值信号为故障； 若两个非中值信号与中值信号之差均超过门限，则形成1:1:1的奇异故障，认为信号均 故障； 若其中一个非中值信号与中值信号之差超过门限，另外一个非中值信号与中值信号之 差在监控门限之内，形成2:1的情况，判定超出监控门限的为故障，另一个非中值信号为正 常。2. 根据权利要求1所述的提升可用性的监控对容错系统余度管理方法，其特征在于:所 述方法还包括 3) 故障检测、故障隔离、故障重构策略； 3.1) 当出现节点内比较不一致时，置为问题节点，使用问题节点A控制器数据参与节点 间的表决监控，监控到该A控制器数据故障时，认为问题节点A控制器故障，进行重构，问题 节点B控制器参与节点间的表决监控； 当问题节点A控制器正常，B控制器故障，则置问题节点B控制器故障，由A控制器单独参 与节点间的表决监控，此时三节点间均正常工作，余度不降级； 3.2) 当节点内比较一致，节点间三余度监控出现某一节点故障，贝lj判定为该节点失效， 置该节点失效，放弃对系统的控制权，系统余度降级为2节点； 3.3) 系统降级为两节点后，节点内比较监控策略不变，节点间比较不一致时，降级策略 为：出现问题节点的首先降级，未出现问题节点的不降级；当无问题节点仍出现节点比较不 一致时，缺省使用当前控制节点，剔除故障节点。
【专利摘要】本发明一种提升可用性的监控对容错系统余度管理方法，包括：节点内表决监控，A控制器与B控制器比较一致，选择A控制器数据进入节点级表决监控；节点级表决监控，三节点的三信号中选择中值，作为监控的基准值，如果其他两非中值信号与中值信号之间的差在门限范围内，则该非中值信号为正常，否则该非中值信号为故障。本余度管理方法实现基于监控对的容错三节点、双节点容错计算机的冗余管理；能够确保节点容错计算机系统系统数据的可信；本方法比基于故障静默的监控对容错减缓了系统的余度降级，通过软硬件结合方式，当某一节点内发生一次故障时，实现备份控制器可重构为主控制器，保证了系统的不降级。
【IPC分类】G06F11/16, G06F11/20, G06F11/30, G06F11/00
【公开号】CN105550053
【申请号】CN201510908972
【发明人】马小博, 解文涛, 夏德天, 刘帅, 颜松桢, 杜文亮
【申请人】中国航空工业集团公司西安航空计算技术研究所
【公开日】2016年5月4日
【申请日】2015年12月9日