一般來說，系統(tǒng)總是由多個子系統(tǒng)組成，而子系統(tǒng)又是由更小的子系統(tǒng)組成，直到細分到電阻器、電容器、電感、晶體管、集成電路、機械零件等小元件的復雜組合，其中任何一個元件發(fā)生故障都會成為系統(tǒng)出現(xiàn)故障的原因。

因此，硬件可靠性設計在保證元器件可靠性的基礎上，既要考慮單一控制單元的可靠性設計，更要考慮整個控制系統(tǒng)的可靠性設計。

影響硬件可靠性的因素

（1）元件失效。元件失效有三種：

一是元件本身的缺陷，如硅裂、漏氣等。

二是加工過程、環(huán)境條件的變化加速了元件、組件的失效。

三是工藝問題，如焊接不牢、篩選不嚴等。

（2）設計不當：

在計算機控制系統(tǒng)中，許多元器件發(fā)生的故障并不是元件本身的問題，而是系統(tǒng)設計不合理或元器件使用不當所造成。

在設計過程中，如何正確使用各種型號的元器件或集成電路，是提高硬件可靠性不可忽視的重要因素。

（1）電氣性能

元器件的電氣性能是指元器件所能承受的電壓、電流、電容、功率等的能力，在使用時要注意元器件的電氣性能，不能超限使用。

（2）環(huán)境條件

計算機控制系統(tǒng)的工作環(huán)境有時相當惡劣，由于環(huán)境因素的影響，不少系統(tǒng)的實驗室試驗情況雖然良好，但安裝到現(xiàn)場并長期運行就頻出故障。

其原因是多方面的，包括溫度、干擾、電源、現(xiàn)場空氣等對硬件的影響。因此，設計系統(tǒng)時，應考慮環(huán)境條件對硬件參數(shù)的影響，元件設備須經(jīng)老化試驗處理。

（3）組裝工藝

在硬件設計中，組裝工藝直接影響硬件系統(tǒng)的可靠性。由于工藝原因引起的故障很難定位排除，一個焊點的虛焊或似接非接很可能導致整個系統(tǒng)在工作過程中不時地出現(xiàn)工作不正?，F(xiàn)象。

另外，設計印制電路板時應考慮元器件的布局、引線的走向、引線的分類排序等。

提高硬件可靠性的一般方法

在計算機控制系統(tǒng)的整體設計中，如何提高系統(tǒng)硬件的可靠性是整個系統(tǒng)設計的關鍵，系統(tǒng)硬件設計時常需采用必要的可靠性措施：

（1）電路設計

據(jù)統(tǒng)計，影響計算機控制系統(tǒng)可靠性的因素約45%來自系統(tǒng)設計。為了保證系統(tǒng)的可靠性，在對其電路設計時應考慮最極端的情況。

各種電子元器件的特性不可能是一個恒定值，總是在其額定(典型)參數(shù)的某個范圍內；同時，電源、電壓也有一個波動范圍。

最壞的設計方法是考慮所有元件的公差，并取其最不利的數(shù)值核算電路每一個規(guī)定的特性。如果這一組參數(shù)值能保證電路正常工作，那么在公差范圍內的其他所有元件值都能使電路可靠地工作。

在設計應用系統(tǒng)電路時，還要根據(jù)元器件的失效特征及其使用場所采取相應的措施，對容易產(chǎn)生短路的部件以串聯(lián)方式復制，對容易產(chǎn)生開路的部分以并聯(lián)方式復制。

（2）元器件選擇

在確定元器件參數(shù)之后，還要確定元器件的型號，這主要取決于電路所允許的公差范圍。由于制造工藝所限，有些元器件參數(shù)的公差范圍可能較大，如電容器電容量等。

另外，元件或器件的額定工作條件包括多個方面(如電流、電壓、頻率、機械參數(shù)以及環(huán)境溫度等)，設計時要考慮參數(shù)裕量，并在運行時盡量保證接近元器件的設計工作溫度。

（3）結構設計

結構可靠性設計是硬件可靠性設計的最后階段。

結構設計時，首先應注意元器件及部件的安裝方式，其次是控制系統(tǒng)工作環(huán)境的條件(如通風、除濕、防塵等)。

（4）噪聲抑制

噪聲對模擬電路的影響會直接影響系統(tǒng)精度，噪聲對數(shù)字電路也會造成誤動作。因此，在工程設計中必須采用噪聲抑制和屏蔽措施。

對于模擬應用系統(tǒng)，可在電源端增加一些低通濾波電路來抑制由電源引入的干擾；對于數(shù)字系統(tǒng)，通常采用濾波器和接地系統(tǒng)；同時，在整體結構布局時應注意元器件的位置和信號線的走向。

對于電磁干擾、電場干擾可采用電磁屏蔽、靜電屏蔽來隔離噪聲，也可采用接地、去耦電容等措施來減少噪聲的影響。

（4）冗余設計

硬件冗余設計可以在元件級、子系統(tǒng)級或系統(tǒng)級上進行，必然增加硬件和成本。

因此，設計時應仔細權衡采用硬件冗余的利弊關系。在計算機控制系統(tǒng)中，主要采用控制單元冗余和控制系統(tǒng)冗余來提高系統(tǒng)硬件可靠性。

單元可靠性設計

控制與接口單元是指能獨立完成某些測控功能的功能模塊，其可靠性設計主要包括微處理器系統(tǒng)的冗余設計、輸入輸出通道干擾的抑制、電源系統(tǒng)干擾的抑制、控制單元運行狀態(tài)的監(jiān)視等。

（1）I/O通道干擾的抑制

模擬量輸入通道常態(tài)干擾的頻率通常高于被測信號的頻率，因此可考慮采用濾波網(wǎng)絡對模擬量輸入信號進行濾波。

可采用各種形式的金屬屏蔽層做好信號傳送線路的屏蔽工作，將信號線與外界電磁場有效地隔離開來；在系統(tǒng)既有模擬電路又有數(shù)字電路時，數(shù)字地與模擬地要分開，最后只在一點相連，以防相互干擾。

I/O通道一般應采用光電耦合器進行電氣隔離，既可避免構成地環(huán)路，還可有效地抑制噪聲。另外，在輸入輸出通道上應采用一定的過壓保護電路。

（2）電源系統(tǒng)干擾的抑制

同一電源網(wǎng)路上有較多大功率設備時，在控制單元與供電電源之間可加入三相隔離變壓器，以防止電網(wǎng)干擾侵入控制系統(tǒng)。

在整機的電源線入口處，可通過增加電源濾波器來防止其他電子設備與本系統(tǒng)之間產(chǎn)生相互干擾。在機內獨立的印刷板上應安裝小型電源濾波器，以防止板與板之間的相互干擾。

由于開關電源具有較強的抗工頻電壓波動和頻率波動能力，同時能隔離從電源線進入的傳導干擾，適當場合可選用開關電源。

必要時，系統(tǒng)輸入輸出通道和其他設備可考慮采用獨立的供電電源，實行電源分組供電。另外，邏輯電路板上的直流電源線和接地線要注意合理布線。

（3）控制單元運行狀態(tài)監(jiān)視

可使用看門狗定時器(WDT)監(jiān)視控制單元的運行狀態(tài)。WDT的輸出直接連到CPU的中斷請求端或控制單元的復位端，WDT的每次“定時到”溢出脈沖信號均能引起CPU的中斷或復位。WDT受CPU控制，可對其重新設置時間常數(shù)或刷新。

定時器重新開始計時，只要程序正常運行就不會產(chǎn)生定時中斷或系統(tǒng)復位。一旦程序執(zhí)行出錯或發(fā)生程序亂飛、死機現(xiàn)象，看門狗定時器就會產(chǎn)生溢出脈沖信號，引起定時中斷或復位，從而使控制單元重新啟動或進入中斷服務程序進行糾錯處理。

（4）控制單元的掉電保護

對付電網(wǎng)瞬間斷電或電壓突然下降的有效方法就是掉電保護，對計算機測控系統(tǒng)可外加不間斷電源(UPS)，對測控系統(tǒng)中的控制單元可增加掉電保護電路，并慎重設計。

掉電信號由硬件電路檢測，加到控制單元CPU的外部中斷輸入端。軟件中斷將掉電中斷規(guī)定為高級中斷，使控制單元CPU能及時對掉電做出反應。在掉電中斷子程序中，首先進行現(xiàn)場保護，保存當時重要的狀態(tài)參數(shù)。當電源恢復正常時，CPU重新復位，恢復現(xiàn)場并繼續(xù)未完成的工作。

（5）控制單元冗余設計

常用的控制單元冗余設計包括熱備份并聯(lián)冗余和冷備份并聯(lián)冗余，兩者都是以增加成倍的硬件投資來換取系統(tǒng)硬件的可靠性。

（1）熱備份并聯(lián)冗余是將若干功能相同的控制單元并聯(lián)運行，同步執(zhí)行相同的處理程序，當并聯(lián)系統(tǒng)中至少有一個控制單元工作正常時，整個系統(tǒng)即維持正常工作。

為了提高控制單元的可靠性和經(jīng)濟性，常采用雙機熱備份并聯(lián)方式。對受控系統(tǒng)而言，雙機熱備份并聯(lián)方式只是其中一個控制單元完成測控任務，另一個控制單元處于并行工作的待命狀態(tài)。

但兩個控制單元同步執(zhí)行同樣的程序，一旦自檢系統(tǒng)發(fā)現(xiàn)主控單元有故障時，則待命狀態(tài)的備控單元自動切換上去，代替主控單元使系統(tǒng)繼續(xù)正常運行。在設計雙機熱備份系統(tǒng)時，要解決以下兩個主要問題：

1）雙機同步。雙機同步一般是以事件作為同步令牌，其中事件可由設計者定義。

如系統(tǒng)的工作過程為：輸入接口采集由傳感器送來的數(shù)據(jù)，在CPU內將采集到的數(shù)據(jù)和設定值進行比較、處理，最后得到本次的控制量輸出。那么，事件可劃分為數(shù)據(jù)采集和數(shù)據(jù)處理兩個事件。

當應用系統(tǒng)啟動時，兩機同時執(zhí)行第一事件，即采集狀態(tài)數(shù)據(jù)。當?shù)谝皇录瓿珊?，再將兩結果進行比較，如果相同則繼續(xù)第二事件；若有錯誤，則主控單元自動切換，用備控單元代替主控單元。只要主控單元工作正常，則備控單元一直處于待命狀態(tài)。

當事件進行數(shù)據(jù)處理時，若超出精度范圍，則認為其中一個數(shù)據(jù)可能有錯誤，這時可以讓雙機重新轉到本事件的首地址再執(zhí)行一遍。若仍有差錯，則再轉到故障檢測程序。這種軟件回卷方法可以消除某些偶然性因素的影響。

2）故障檢測。可以利用兩機各自的自檢程序分別進行自檢，找出發(fā)生故障的控制單元。如果故障機是主控單元，則可進行自動切換，使程序繼續(xù)執(zhí)行下一個事件。

為了能及時切換，可以根據(jù)任務的特點多設置一些事件，使得雙機同步校驗次數(shù)增多。

所謂切換是指通過輸入輸出接口相互交換雙機狀態(tài)，一旦某控制單元出錯，另一控制單元就可及時知道。當備控單元發(fā)現(xiàn)主控單元有故障時，就可以發(fā)出控制信號，使主控單元自動退出控制，備控單元代替主控單元使系統(tǒng)繼續(xù)正常運行。

（2）冷備份并聯(lián)冗余設計中，備份的控制單元平時不加電工作，只在發(fā)現(xiàn)主控單元出故障時才用其代替主控單元。冷備份的控制單元在硬件結構、軟件實現(xiàn)上都與主控單元完全一樣，各種聯(lián)機設備都安置到位，處于接通電源即可投入正常工作的冷備份狀態(tài)。

冷備份并聯(lián)系統(tǒng)中的冷熱切換可以用人工操作轉換，也可以自動切換。在設計成自動切換時，主控單元必須設置各路(或關鍵幾路)報警信號。若發(fā)現(xiàn)超限現(xiàn)象，則及時輸出切換信號去觸發(fā)冷備份系統(tǒng)的電源觸點，使備份單元投入正常運行。
審核編輯：何安