基于Cortex—M3的自动扶梯安全控制器的设计

屈省源

摘要：针对近几年自动扶梯发生的严重安全事故，本文按照电气/电子/可编程电子安全相关系统功能安全标准IEC6150，研究了双机冗余系统的硬件冗余技术和方法，提出了基于双机热备份的高可靠性自动扶梯安全控制器的双CPU的系统方案，重点介绍了硬件总体设计方案，同时提出了一种典型的仲裁电路和看门狗电路的设计方案。

关键词：自动扶梯 安全控制器 冗余系统

中图分类号：TU857 文献标识码：A 文章编号：1007-9416（2016）07-0007-01

近年来，自动扶梯系统在使用中，由于电子元器件的故障和误动作，发生了一系列的安全事故，造成了极大的伤亡事故和财产损失。为了避免此类事故的再次发生，国家质检总局在GB 16899-2011《自动扶梯和自动人行道的制造与安装安全规范》明确要求在自动扶梯和自动人行道系统中要安装能直接监控自动扶梯和自动人行道运行的安全控制器。基于安全控制器构建的安全相关系统独立于过程控制系统，能够在危险事件发生之前正确地执行其安全功能，避免造成重大人员伤亡和财产损失，是保障生产安全的重要措施。

可靠性高是安全控制器的主要特点，一般采用冗余技术实现。安全控制器的冗余技术主要有软件冗余和硬件冗余。目前硬件冗余所包含的种类主要有四种：电源的冗余、控制器冗余、通信网络的冗余和I/O模块的冗余。硬件冗余切换速度比较快，虽然在成本上有所增加，但是对于安全控制器而言还是可以接受的。

本文主要提出了一种基于STM32F106的具有容错技术的双CPU安全控制器的硬件设计方案。

1 整体设计方案

本文所提出的安全控制器的总体方案如图1所示。

该控制器主要包含的硬件冗余技术有：（1）控制器冗余；（2）最小系统及报警装置冗余；（3）接口模块冗余。每个控制器都连接一个接口模块，接口模块都连接到总线上，控制器之间会定时发送心跳信号以确保对方是否处于正常工作状态，每个工作周期都会进行数据传输，在数据的末端会添加CRC校验符，确保数据传输的正确性与完整性。

当出现如下故障时控制器会切换或报警：（1）掉电；（2）控制器本身出现硬件故障；（3）接口模块出现故障。

当备控制器与主控制器的通讯出现问题时，备控制器将通过与主控制器之间的所有连接进行最终的确认，若所有通讯方式均无效，则可以认定主控制器目前可能掉电，备控制器将报警并将相应的故障指示灯点亮。若通过检测发现接口模块工作正常而控制器工作不正常，则说明可能出现故障（2），此时备控制器将报警并点亮相应的故障指示灯。两个接口模块通讯或接口模块检测总线数据时，如若备用接口模块发现主接口模块出现问题，将通知备用控制器，备用控制器再请求主控制器做判断。

2 仲裁电路设计

仲裁电路是冗余控制器的关键之一。主要确保主控制器和备用控制器的正确切换。本控制器采用的仲裁电路如图2所示。

其中F_CPU_A和F_CPU_B分别是主、备用CPU的状态信号。 EN_CPU_A和EN_CPU_B分别是主、备用CPU的使能信号。S是手动切换开关。由于主CPU和备用CPU是完全对称的结构和功能，所以可以用S切换开关确定工作的CPU。

如果S接到高电平VCC，则默认是主CPU先工作。当主CPU故障时，F_CPU_A为高电平，则EN_CPU_A信号无效，EN_CPU_B使能信号有效，备用CPU工作。当2个CPU都故障时，则电路完全不工作。

3 看门狗电路设计

安全控制器中CPU是核心部件。为了能有效监测CPU的工作状态，本控制器在电路上也做了硬件看门狗设计。硬件看门狗的结构图如图3所示。

本控制器采用SP706作为看门狗电路的主芯片。具有复位输出、低电压监测和手动复位等功能。

在上电的过程中，当Vcc达到1V，RESET将为一个稳定的逻辑低电平，一般为0.4V或者更低。当Vcc升高后，RESET将保持LOW。当Vcc超过复位阀值时，一个内部定时器将产生200ms 的RESET信号。当Vcc跌至复位阀值以下时，RESET保持低电平。如果在初始化复位的过程中产生掉电，复位脉冲将至少持续140ms。在下电的过程中，当Vcc跌至复位阀值以下，RESET将保持为LOW，并稳定在0.4V或更低，直到Vcc低于1V。

在+5V稳压器产生压差之前，选择分压比使PFI上的电压降至1.25V以下。使用PPFO以中断CPU，这样可以监测CPU的工作电压。

4 结语

采用冗余技术是保证安全控制器可靠工作的技术之一。本文主要讨论了安全控制器的硬件设计方案。采用硬件看门狗技术能进一步提高控制器的工作可靠性。

参考文献

[1]IEC61508，FunetionalSafetyofEleetrieaFElectrirogrammablee

leetrieSafety-RelatedSystelns [S].

[2]李哲毓，崔逸群，田园等.现场总线控制器冗余功能设计与实现[J].热力发电，2014（2）：93-95.

[3]Ran L，Junfeng W，Haiying W. Design method of CAN BUS network communication structure for electric vehicle[C].Strategic Technology （IFOST）， 2010International Forum on. IEEE， 2010：326-329.