電磁軸承(AMB)是利用可控電磁吸力將轉子懸浮起來的一種新型高性能軸承，由于其具有無接觸、無摩擦、高速度、高精度、不需潤滑和密封等一系列的優良品質，在交通、超高速超精密加工、航空航天等高科技領域有著廣泛的應用。
　　由于磁懸浮系統本征不穩定，控制系統的好壞將會直接決定磁軸承的性能?？刂葡到y主要實現方式分為模擬控制和數字控制。由于先進控制理論的應用，近年來國內外在數字控制方面發展很快，數字控制器將是未來磁軸承控制的主流，且90%以上的數字控制器都采用了DSP。它們一般是通過圖1所示的流程實現的^[1][3][4][5]。磁軸承大多應用于高速旋轉機械，控制系統一旦失效，將會帶來比較嚴重的后果。隨著工業領域及航空航天領域應用開發的日益拓展，對控制系統可靠性的要求日益提高，即要求系統具有一定的容錯功能。國外對此進行了研究，弗吉尼亞大學提出了應用于航天器上的四DSP容錯磁懸浮控制系統^[1][4]。文獻表明，國內在磁軸承控制器容錯領域還沒有相應的研究。本文從工業應用要求和成本的角度考慮，對圖1虛線方框內的控制器進行容錯設計，提出了雙DSP容錯控制器。而對于傳感器、線圈和功率放大器部分的容錯設計，本文不進行討論。
1 磁懸浮控制器的容錯設計分析
　　容錯的一般含義就是在系統出現不希望事件時，仍能正確執行所規定的算法。冗余是實現容錯和提高可靠性的一種方法，也是最有效的方法，故本次設計采用冗余技術來實現容錯。冗余技術主要有四種實現方法：硬件冗余、軟件冗余、時間冗余、信息冗余，其中后三種都是在硬件無故障和運行時間、程序空間擁有余量的情況下使用。但對于磁軸承DSP控制系統，其本身的時間余地和程序空間余量都非常有限，故主要采用硬件冗余，即采用多DSP冗余設計。
　　在多機" title="多機">多機冗余系統設計中，關鍵問題是多機的重構策略、多機的仲裁切換邏輯及多機運行的同步等問題。在大規模集中控制的中央級，通常都采用了比較完善、復雜的切換邏輯，多機同步和系統重構都借助于機間通信來傳遞彼此的信息來實現的。這些方案均不宜用于DSP等小規模的終端系統，要通過專門的硬件系統來進行支持。因為這些系統相對于上述功能強大的中央控制系統有四個明顯的特點：(1)系統結構較簡單、成本較低；(2)軟硬件資源比較缺乏；(3)必須具備很好的實時性能；(4)運行時間余度太小。通過以上分析，提出了針對工業應用的雙機熱備冗余控制系統設計方案。

2 設計原理
　　系統結構如圖2所示，其中實現冗余的核心控制模塊是通過CPLD來實現的。實踐表明，由于CPLD是通過硬件邏輯實現的，故比由軟件控制的DSP可靠性高^[1][2][4]。模擬信號輸入分別直接接到兩個DSP的A/D" title="A/D">A/D輸入端，由兩個DSP同步進行運算，經過中心仲裁模塊(由硬件故障判決模塊和輸出總線表決模塊共同決定)決定主DSP，由主DSP來控制輸出到D/A的數據、時序和RS232接口。其中的核心控制模塊主要由以下幾個部分組成：輸入信號處理模塊、復位模塊、時鐘模塊、硬件故障判決模塊和輸出總線表決模塊、中心仲裁模塊、報警輸出模塊、中斷處理模塊等。

2.1 輸入緩沖模塊
　　為了消除輸入端輸入阻抗帶來的影響，對于數字信號增加一級緩沖器，這樣既可以減小外圍電路的影響，也可以實現DSP與外圍電路的輸入隔離。在此系統中，主要是進行RS232和晶振、復位、外部中斷輸入信號的緩沖(RS232的輸出接口是由主DSP進行控制)，對于模擬信號通過電壓跟隨器來實現阻抗匹配，減小誤差并縮短A/D轉換的時間。
2.2 DSP時鐘同步的實現
　　由于本設計方案是通過DSP的完全同步來實現冗余控制的，故DSP的同步能否實現，是此方案實現的基本條件。采用雙DSP共同使用一個晶振信號，系統工作時，待電源穩定和晶振完全起振后，才對DSP進行復位，這樣便順利地使DSP完成時鐘級的同步。通過對實驗室現有的控制系統的測試，電源穩定和晶振穩定起振所需的時間大約是40ms，故復位時間應選擇大于40ms。為了提高其抗干擾性，復位后的信號要先經過施密特觸發器，再經過CPLD緩沖后接到DSP的復位端。
2.3 硬件故障判決模塊
　　硬件故障判決模塊判斷DSP是否出現了硬件故障，本設計中將每個DSP的CLKOUT的輸出信號作為判決硬件故障的基本辦法。如果DSP硬件工作正常，CLKOUT引腳將輸出固定的時鐘波形；如果系統的CLKOUT沒有時鐘波形輸出，則認為該DSP硬件不正常，由中心仲裁模塊來隔離這個不正常的DSP。其具體實現方案如圖3所示。CLKOUT信號經由CPLD實現的分頻器后送到單穩態觸發器74LS123，若系統的CLKOUT信號不正常，74LS123會產生跳變，驅使中心仲裁模塊隔離不正常的DSP。

2.4 輸出總線表決模塊
　　輸出總線表決模塊主要實現系統的容錯，解決系統的軟故障(是指程序運行中偶然出現的謬誤，通過復位手段即可以消除)。其方法是比較總線的輸出數據(參照目前的控制器設計，不需要輸入總線外加接口)信號是否相同，如果不相同，則表明某個DSP或者兩個DSP都產生了軟故障，系統抑制錯誤輸出；并由中心仲裁模塊對此情況進行處理，使系統實現容錯功能?？紤]到A/D轉換器的誤差，在應用中只對輸出數據總線的高8位進行表決，由任一個DSP的輸出WR信號啟動比較操作，如果不相同，則將輸出的不正常狀況通知中心仲裁模塊。
2.5 中心仲裁模塊
　　中心仲裁模塊主要是分析由輸出總線表決模塊和硬件故障判決模塊輸出的結果，并作出判斷，確定主DSP。主DSP的功能主要是控制對外的輸出，包括控制D/A總線輸出和RS232輸出。
2.5.1 中心仲裁模塊的仲裁方式
　　當硬件判決模塊和軟件表決模塊都沒有報錯時，系統采用默認的DSP1為主DSP；如果硬件判決模塊有一塊DSP報錯，則隔離出錯的DSP，沒有出錯的DSP將會成為主DSP ，并且輸出報警信號；如果兩個DSP都報錯，則會報告系統的錯誤，并提供控制系統產生錯誤的接口信號，讓系統在最短的時間內啟動安保系統(對于磁軸承便是迅速停止高速旋轉的軸，還應該包括實際應用的環境所需的保護操作)。當兩個DSP都沒有產生DSP硬件報錯的時候，如果軟件表決模塊報錯，則通過CPLD啟動復位信號，重新復位兩個DSP，并且由CPLD核心控制模塊記錄復位次數；如果系統連續復位次數超過四次且沒有出現一次正確的輸出總線結果，或兩個DSP在線自檢均沒有通過，將會發出類似兩個DSP硬件報錯的情況，啟動安保系統；如果有一個DSP自檢不通過，則隔離自檢不通過的DSP，系統輸出報警信號，主DSP控制權交給沒有出錯的DSP；如果復位次數小于四次，且出現了正確的輸出總線結果，CPLD模塊會清除復位計數次數，并且由兩個DSP共同工作，主DSP依然是DSP1。
2.5.2 DSP軟件的實現
　　系統的軟件流程框圖如圖4所示，其中虛線框內是通過CPLD實現的。在DSP系統中，使用了看門狗模塊來解決系統程序跑飛問題。系統復位后，通過檢測看門狗電路復位標志位(此標志位用來區分是否為由仲裁模塊引起的復位)來檢測是否為系統程序跑飛，如果是系統看門狗復位，則通過軟件使DSP產生輸出總線報錯，其結果與輸出總線報錯處理方式一樣；否則為由仲裁模塊引起的復位，執行在線自檢，如果在線自檢不通過，CPLD會自動隔離硬件。其中，為減小系統的復位花銷時間并控制系統的連續性，存儲數據時采用了雙口RAM idt7133，這樣可以在復位后快速采用前一次計算的暫存數據(相互取對方數據，并且與自己的數據進行平均)，使控制系統持續地工作，即讓復位對系統的影響降到最小。