电液伺服系统是大型控制系统的执行机构，它的工作原理是根据控制系统的指令信号，通过电液伺服控制器来控制电液伺服阀的开度，进而控制油缸活塞的位置，来驱动执行机构，在工业领域有着广泛的应用。电液伺服控制器是电液伺服系统的重要组成部分，是完成各种伺服控制算法，实现电液伺服系统实时运动控制的关键。对于有较高可靠性要求的电液伺服系统，单纯提高电子元器件的可靠性是远远不能达到要求的，必须采用余度方式。余度方式就是利用硬件或软件冗余提高系统运行可靠性的一种方法，这种方法虽然会降低系统的基本可靠性，但能够达到提高系统的任务可靠性的目的。

1 系统架构

1.1 系统组成

电液伺服系统组成如图1所示。电液伺服系统由控制器、液压功率驱动装置(PDU)、旋转作动器(GAR)、机械组件和相应传感器构成。控制器和PDU为电气连接;PDU和GAR为机械连接。PDU和GAR中各包含一个角位移传感器(RVDT)，用于测量PDU和GAR的旋转角度，由于 PDU和GAR为同轴连接，其旋转角度理论上完全一致，故这两个RVDT也用于互比监控。P DU中包含一个测速传感器，用于监控系统是否超速运行。GAR的机械组件上设置有超行程微动开关，用于检测GAR是否超过设定的旋转角度。

控制器根据控制曲线对GAR进行控制，在GAR运动过程中通过PDU和GAR上的RVDT检测运动角度。当GAR偏转到设定的减速角度时，控制器根据该反馈信号减少指令输出;当GAR偏转到设定的停止角度时，控制器根据该反馈信号停止指令输出。

1.2 双余度方案选择

对于双余度系统，一般包括简单独立双余度、基于交叉增强的独立双余度和基于模型监控的独立双余度三种构型。三种双余度构型示意见图2、三种双余度构型对比见表1。

1)简单独立双余度系统结构依靠自身硬件的自监控策略，故障检测覆盖率小于1，因此其不适用于安全关键系统，但采用松耦合方式，较高的系统可用性而适用于任务系统。因其硬件资源消耗最少，其基本可靠性也是最高的，通过对输入环节、控制解算环节和输出环节进行完善的自监控及BIT设计，仍然可以使故障检测覆盖率接近于1;

2)基于交叉增强的独立双余度系统结构依靠交叉增强互比结合自监控电路可达到较高的故障检测率，但硬件电路需成倍增加，基本可靠性降低，同时也增加了经济成本，在重量、体积等也要作出相应牺牲，其单通道故障检测覆盖率随冗余硬件的增加会增加。

3)基于模型监控的独立双余度系统结构是在简单独立双余度容错结构的基础上增加模型监控，而模型监控依靠精确模型可对系统全过程参数进行择点监控，提高单通道的故障检测覆盖率。精确模型的建立则需要花费较高的代价，必须通过理论计算并结合试验来完成。

根据以上要求及考虑，针对控制器可靠性需求和系统的余度配置策略，控制器采用如下的系统结构：

1)采用简单独立双余度容错体系结构，实现系统一次故障工作;

2)采取完善的软硬件白监控和BIT设计，提高单通道故障检测覆盖率;

3)采用热备份的主/备工作方式，提高系统的可用性。

2 控制器设计

控制器原理框图见图3，采用简单独立双余度构型。每台控制器机箱内包含2个相似余度通道，采用主/备式松耦合的工作方式，备份形式为热备份，运行相同软件。通道内处理器模块通过局部总线访问接口模块。

每个通道的组成图见图4，包括主控组件、接口组件和电源组件。[page]

主控组件完成指令接收、控制律解算、通道故障逻辑和BIT等工作;接口组件完成信号调理、信号隔离、V/I转换和指令输出等工作;电源模块将外部供电转换为控制器内部使用的5 V、±15 V和7V/1800Hz等二次电源。

主控组件采用高性能DSP芯片TMS320C6415作为核心处理器，该处理器是高性能的定点DSP，可用于复杂控制算法和数据处理算法的实现;本控制器设置DSP主频为480 MHz;接口组件中，模拟量通过求差比例变换、滤波等处理后进行A/D转换，通过精密压控电流源电路，输出-20mA～+20mA直流电流控制PDU的伺服阀的开闭程度;电源组件由+5VDC功率转换单元、者±15VDC功率转换单元、1800Hz信号发生器、1800Hz AC功率转换单元等几个功能单元组成。
 

3 余度管理策略

3.1 故障管理

故障综合是将整个系统所发生的全部故障(包括各功能单元的瞬态故障及永久故障)逐一进行分类、登记，并根据预先制定的综合准则，实施申报等级的划分与显示方案的处理。故障按照严重程度可分为一般故障和严重故障，按照时间特性可分为瞬时故障和永久故障。

针对永久和瞬时故障的特点设计相应故障过滤器。故障过滤采用上下限计数方法，故障过滤的参数包括故障门限和每次故障采样时间(监控器监控速率)。当故障数小于门限值时，将故障状况进行综合后进行记录，同时继续监控原故障点，不进行通道切换。当故障数超过门限时，瞬态故障变为永久故障，此时按照预先设置的故障严重程度分类，当此永久故障为一般故障时，将故障状况进行综合后进行记录并上报，不进行通道切换;当此永久故障为严重故障时，立即进行通道切换操作，然后将故障状况进行综合后进行记录并上报;如果切换后依然存在严重故障，则备份通道也切断输出，控制器仅保留监测通讯功能。

3.2 通道故障逻辑

控制器的主/备通道都有通道故障逻辑电路，各通道的通道故障逻辑根据本地通道状态输出控制器的状态信息，用于接通/切断控制器。控制器的通道故障逻辑如图5。

通过对软件自监控信号、硬件监控信号、看门狗信号和另一通道有效信号的逻辑综合处理，可以得出目前本通道的状态，有效的通道将控制系统运行。通道故障逻辑设计切换为单向：当主通道有效时，由主通道控制系统运行;当主通道失效，切换到备份通道，由备份通道控制系统运行，期间即使主通道故障消失也不能再取得系统控制权。

3.3 工作模式

控制器包含正常工作模式和故障工作模式。

3.3.1 正常工作模式

正常工作模式下，系统由控制器主通道进行控制，控制器备份通道处于热备份随动状态。

3.3.2 故障工作模式

故障工作模式包括：电气一次故障工作模式，电气两次故障安全模式和超行程故障安全模式。

电气一次故障工作模式：系统为双余度配置，控制器由主通道进行输出控制，当出现一次电气故障时，控制器将故障通道隔离，由正常的通道进行控制，可以保证产品仍能正常工作且性能不下降。

电气两次故障安全模式：当产品出现两次电气故障，控制器切断电磁阀供电，将PDU的供油切断，使PDU的制动器将***输出端制动，进而将GAR保持在当前位置。

超行程故障安全模式：当GAR偏转角度超出设置行程时，超行程告警开关触发并发出告警信号，控制器根据该信号切断电磁阀、伺服阀控制信号，将PDU的供油切断，使PDU的制动器将***输出端制动，进而将GAR保持在当前位置。

4 测试数据与分析

控制器在主通道和备份通道分别控制系统运转时，输出指令为-2mA、-5mA、-10mA、2mA、5mA和10mA时，在实验室测试的数据见表2。

由于PDU的伺服阀存在零位偏移，可以看出正向转动速度要快于反向转动速度，在小电流情况下尤为明显。从试验结果可以看出，主通道和备份通道分别控制系统运转时，GAR全行程时间一致，说明控制器在一次故障情况下可以保证产品仍能正常工作且性能不下降。

5 结论

结合电液伺服系统的特点，提出一种以数字信号处理器TMS320C6415为核心的双余度电液伺服控制器，实现系统控制、监控和故障管理等任务。基于通道故障逻辑的主/备工作方式，实现了一次故障工作、二次故障安全的目标，提高了系统的可靠性和安全性，适用于对可靠性和安全性要求较高的场合。