CN103869781B - 一种非相似三余度机载电气负载管理中心 - Google Patents

Abstract

本发明公开一种非相似三余度电气负载管理中心，由三余度通道的电气负载管理中心，以及辅助控制中心构成。三余度通道电气负载管理中心的核心控制芯片分别采用两片DSP及一片FPGA，采用不同的核心控制芯片，导致硬件结构上有较大差别，实现了硬件层面的非相似余度设计。核心控制芯片均采用DSP的两个余度在软件设计方面采用不同的编程语言及算法，实现了软件层面的非相似余度设计。三余度通道电气负载管理中心同步采集数据，生成电气负载控制指令，通过辅助控制中心进行表决，被使能的一通道电气负载管理中心工作，其他通道关闭。本发明采用非相似余度设计，可以减少同态故障，提高系统的任务可靠性，具有较高的实用价值。

Description

一种非相似三余度机载电气负载管理中心

技术领域

本发明涉及到机载配电技术、计算机技术、通讯技术等方面，属于航空电气系统领域。具体涉及一种基于DSP和FPGA的非相似三余度机载电气负载管理中心，可应用于无人机机载配电系统。

背景技术

随着近年来多电/全电飞机的快速发展，电气机载设备大幅度增加，这对飞机的配电系统提出了更高的要求。为适应多电/全电飞机的配电需求，目前主要采用的是先进的固态配电和负载的自动管理技术以实现飞机的自动配电。自动配电系统是指以飞机电气系统处理机为控制系统，采用多路传输技术，通过汇流条控制器、负载管理中心、电气远程终端、固态功率控制器、大电流机电混合式功率控制器对飞机电气负载进行自动管理的配电系统。自动配电系统通过智能管理和固态功率控制器的联合应用，由座舱内的综合显示装置显示系统状态，微型计算机代替了飞行人员的操作，每个固态功率控制器接通或断开电气负载必须按负载要求的逻辑方程进行，飞机上每个电气负载都对应一个逻辑控制方程。自动配电系统在减轻配电系统的重量，实现负载自动管理，保证供电的质量，提高系统的容错能力和可靠性方面具有优势。

电气负载管理中心是多电/全电飞机自动配电系统中的关键部件，它的作用是保证飞机上所有用电设备连续的提供满足规定技术性能的电能，保证用电设备的正常工作，若供电系统发生故障时，能够及时的按照预定的方案进行容错处理。它利用智能模块来代替飞行人员的操作，进行自动控制和负载管理，可大大减少配电系统的电缆长度以及飞行人员的负担，改善现有的配电方式和负载管理方法。

为了提高配电系统的可靠性，电气负载管理中心多采用余度设计，比较常见的是相似余度设计。相似余度是指各余度通道使用相同结构的软硬件设计，虽然相似余度设计结构简单，降低了开发成本，但是由于各余度通道之间的耦合十分紧密，容易发生同态故障，即在某种特定的工作状态和工作环境下各余度同时失效。

发明内容

为解决上述问题，本发明提出非相似三余度机载电气负载管理中心，应用于无人机机载配电系统，有效的减少了机载电气负载管理中心的同态故障，提高了系统的任务可靠性。

本发明三余度电气负载管理中心，具有三个余度，以及一个辅助控制系统。

令三个余度分别为ELMC1、ELMC2与ELMC3；其中，ELMC1、ELMC2的核心控制芯片均采用一片DSP；ELMC3的核心控制芯片采用一片FPGA。

ELMC1、ELMC2与ELMC3均用来实现：

a、采集SSPC的状态信息，包括开关状态信息、负载状态信息以及跳闸状态信息，并生成SSPC所对应的负载状态方程。

b、接收PSP发送的负载请求供电标志位，并生成相应的电源请求方程；根据不同供电状态下的负载的供电优先级不同，在电气负载管理系统提前定义好负载管理优先级方程；根据电源请求方程和负载管理优先级，以及SSPC的负载状态方程，生成其电气负载控制方程，得到电气负载控制信号，即SSPC的开通关断命令，并向各个SSPC发送对应的开通或关断指令，控制各个SSPC的开通或关断。

c、向PSP传输SSPC的状态信息。

所述辅助控制系统的核心控制芯片采用一片FPGA，用来对ELMC1、ELMC2中的DSP，及ELMC3中FPGA发送同步信号，使ELMC1、ELMC2、ELMC3三余度实现任务级同步，即同步采集SSPC状态信息，同步接收PSP的电源请求指令；且当ELMC1、ELMC2、ELMC3生成负载控制信号之后，分别向辅助控制系统发送准备就绪指令；待辅助控制系统接受到ELMC1、ELMC2、ELMC3发送的准备就绪指令后，向ELMC1、ELMC2、ELMC3发送传输指令，此时ELMC1、ELMC2、ELMC3向辅助控制系统传输生成的负载控制信号，辅助控制系统通过表决系统，对ELMC1、ELMC2、ELMC3传输的负载控制信号进行表决，得到ELMC1、ELMC2、ELMC3的使能信号，控制ELMC1、ELMC2、ELMC3的使能和关断。

所述ELMC1与ELMC2采用不同的编程语言实现功能，ELMC1中DSP的串行通信接口的发送器操作和接收器操作采用中断方式来完成；ELMC2中DSP的串行通信接口的发送器操作和接收器操作采用查询方式来完成。

本发明的优点为：

1、本发明非相似三余度机载电气负载管理中心，其中，两余度电气负载管理中心的核心控制芯片采用DSP，另外一余度则采用FPGA，实现硬件层面上的非相似余度设计；而核心控制芯片为DSP的两个余度则采用不同的语言编程，不同的算法实现软件功能，实现了软件层面的非相似余度设计，可以有效的减少电气负载管理中心的同态故障，提高系统的任务可靠性；

2、本发明非相似三余度机载电气负载管理中心，其中，辅助控制系统中的表决系统采用三余度电气负载管理中心的负载控制信号进行表决；三个余度通过RS422通讯方式采集供电系统处理机以及的固态功率控制器的状态数据，并通过电气负载控制方程得到负载控制信号，将负载控制信号直接传输到负载控制系统，进行三余度表决，有利于得到更为准确的负载控制信号，快速地向固态功率控制器发送控制指令。

说明书附图

图1为本发明非相似三余度机载电气负载管理中心整体结构框图；

图2为本发明非相似三余度机载电气负载管理中心中，余度ELMC1和余度ELMC2的结构框图；

图3为本发明非相似三余度机载电气负载管理中心，余度ELMC3的硬件结构框图。

图4为本发明非相似三余度机载电气负载管理中心工作流程图；

图5为本发明非相似三余度机载电气负载管理中心，在三个余度均有效的情况下表决方式流程图；

图6为本发明非相似三余度机载电气负载管理中心，在二个余度有效的情况下表决方式流程图。

具体实施方式

下面将结合附图和具体实施例对本发明作出进一步的详细说明。

本发明非相似三余度电气负载管理中心通过RS422总线与供电系统处理机（PSP）以及固态功率控制器（SSPC）实现通讯，如图1所示。所述非相似三余度电气负载管理中心具有ELMC1、ELMC2和ELMC3三个余度，还包括一个辅助控制系统。

其中，ELMC1、ELMC2的核心控制芯片均采用一个DSP，具体型号为TMS320F28335。ELMC3的核心控制芯片采用一个FPGA，具体型号为EP4CE30F23I7。ELMC1、ELMC2与ELMC3功能相同，包括：

a、采集SSPC的状态信息，包括开关状态信息、负载状态信息以及跳闸状态信息，并生成SSPC所对应的负载状态方程；

b、接收PSP发送的负载请求供电标志位，并生成相应的电源请求方程；根据不同供电状态下的负载的供电优先级不同，在电气负载管理中心提前定义好负载管理优先级方程；根据电源请求方程和负载管理优先级，以及SSPC的负载状态方程，生成其电气负载控制方程，得到电气负载控制信号，即SSPC的开通关断命令，并向各个SSPC发送对应的开通或关断指令，控制其开通或关断。

c、向PSP传输SSPC的状态信息（开通状态或关断状态），以供飞行人员查看负载的状态。

上述ELMC1、ELMC2与ELMC3中，ELMC1与ELMC2采用相同的控制芯片，而ELMC3采用与ELMC1、ELMC2不同的核心控制芯片，因此具有不同的硬件电路；由此，实现了ELMC3与ELMC1和ELMC2间硬件层面上的非相似设计。ELMC1与ELMC2分别采用不同的软件编程语言及操作方式实现自身功能；其中，ELMC1的软件编程语言采用C语言，其DSP的串行通信接口的发送器操作和接收器操作采用中断方式来完成；ELMC2的软件编程语言采用C++语言，其DSP的串行通信接口的发送器操作和接收器操作采用查询方式来完成，由此，实现了ELMC1和ELMC2软件层面上的非相似余度设计。

如图2、图3所示，ELMC1、ELMC2与ELMC3中均还包括有电源模块、外扩存储模块、RS422通讯模块、信息交互传输模块；且ELMC1与ELMC2中均还具有CAN通讯接口模块。

其中，ELMC1、ELMC2中的电源模块核心芯片均采用双路输出低压差电压调整器芯片TPS767D301，可将直流+5V电源转换为+3.3V和+1.9V两路直流电源，分别为ELMC1、ELMC2中的DSP及其它模块提供电源。ELMC3中的电源模块核心芯片由两片电压转换芯片构成；其中一片型号为TPS70445，可将+5V直流电源转换为+3.3V和+1.2V电源，为FPGA及其它模块提供电源；另一片型号为AMS1117_2.5，可将+5V直流电源转换为+2.5V电源，为FPGA提供+2.5V电源。

ELMC1、ELMC2中的信息交互传输模块由DSP的I/O接口构成，用来实现ELMC1与ELMC2中的DSP与辅助控制系统的信息交互传输；ELMC3中的信息交互传输模块由FPGA的I/O接口构成，用来实现ELMC3中的FPGA与辅助控制系统的信息交互传输。

ELMC1、ELMC2中的CAN通讯模块主要由DSP的eCAN通讯外设构成，用来通过CAN通讯串口实现ELMC1与ELMC2中的DSP与上位机的通讯；ELMC3中通过FPGA的I/O接口及软件编程实现与上位机的RS232串口通讯；由此通过可以在线实时观察各SSPC的状态信息。ELMC1、ELMC2与ELMC3中的RS422通讯模块均具有PSP通讯部分与SSPC通讯部分，分别实现ELMC1、ELMC2和ELMC3与PSP和SSPC间进行通讯。上述ELMC1与ELMC2中的PSP通讯部分与SSPC通讯部分均由DSP的串行通信接口（SCI）以及信号转换电路构成；ELMC3中的PSP通讯部分与SSPC通讯部分均由FPGA的I/O接口以及信号转换电路构成。上述ELMC1、ELMC2与ELMC3中PSP通讯部分与SSPC通讯部分的信号转换电路核心芯片均采用可编程多协议收发器MAX3160，分别实现ELMC1、ELMC2中的DSP，以及ELMC3中FPGA的通用异步收发传输器（UART）和RS422协议之间的信号转换，实现ELMC1、ELMC2和ELMC3与PSP和SSPC的RS422通讯，实现数据传输。

ELMC1、ELMC2的外扩存储模块由DSP的外部接口模块（XINTF）和外部存储芯片两部分构成，用于存储ELMC1、ELMC2中DSP采集的SSPC状态信息。ELMC3的外扩存储模块主要由FPGA的I/O接口和外部存储芯片两部分构成，用于存储ELMC3中FPGA采集的SSPC状态信息。所述ELMC1、ELMC2与ELMC3中的外扩存储模块采用512K异步COMS静态随机存取存储器IS61LV51216芯片，实现采集的SSPC的状态信息存入存储器，也可随时读取查看历史信息。

所述辅助控制系统的核心控制芯片采用一片FPGA，具体型号为EP4CE30F23I7，用来对ELMC1、ELMC2中的DSP，及ELMC3中FPGA发送同步信号，使ELMC1、ELMC2、ELMC3三余度实现任务级同步，即同步采集SSPC状态信息，同步接收PSP的电源请求指令。当ELMC1、ELMC2、ELMC3生成负载控制信号之后，分别向辅助控制系统发送准备就绪指令；待辅助控制系统接受到ELMC1、ELMC2、ELMC3发送的准备就绪指令后，向ELMC1、ELMC2、ELMC3发送传输指令，此时ELMC1、ELMC2、ELMC3向辅助控制系统传输生成的负载控制信号，辅助控制系统通过表决系统，对ELMC1、ELMC2、ELMC3传输的负载控制信号进行表决，得到ELMC1、ELMC2、ELMC3的使能信号，控制ELMC1、ELMC2、ELMC3的使能和关断。

如图4所示，本发明三余度电气负载管理中心的工作过程为：

在三余度电气负载管理中心启动后，ELMC1、ELMC2、ELMC3分别开始执行自检测程序，若不成功则重新自检测；直至自检测成功后，ELMC1、ELMC2、ELMC3分别向辅助控制系统发送各自的状态指令，表明各自接收数据就绪；待ELMC1、ELMC2、ELMC3接受数据就绪之后，辅助控制系统向ELMC1、ELMC2、ELMC3发送数据采集控制指令，此时，ELMC1、ELMC2、ELMC3同步采集PSP发出的负载请求供电标志位，各个SSPC的开关状态、负载状态及跳闸状态。ELMC1、ELMC2、ELMC3分别由负载请求供电标志位R，结合电源请求方程得到电源请求标志位Z；并由各SSPC开关状态、负载状态及跳闸状态，结合负载状态方程得到各SSPC的电气负载状态标志位F；并根据在ELMC1、ELMC2、ELMC3中提前定义的电气负载供电优先级表，得到各SSPC负载管理优先级P。通过电气负载控制方程：

C＝F*P*Z

得到各个SSPC的负载控制信号C；负载控制信号C中每个SSPC的开通关断是由其控制标志位（1或0）决定。因此多个SSPC时，他们的控制标志位为一个数据串，如0010001101001100……（位数不定，取决于SSPC个数），每一位分别代表一个SSPC的控制标志位。

当ELMC1、ELMC2、ELMC3生成负载控制信号之后，分别向辅助控制系统发送准备就绪指令；ELMC1、ELMC2、ELMC3分别向辅助控制系统发送各自的状态信息，表明传输负载控制信号就绪，待ELMC1、ELMC2、ELMC3全部就绪之后，辅助控制系统分别向ELMC1、ELMC2、ELMC3发送数据传输控制指令；此时，ELMC1、ELMC2、ELMC3将各自得到的负载控制信号发送至辅助控制系统，辅助控制系统通过表决系统对接受到的负载控制信号同时进行表决，得到表决结果，即：ELMC1、ELMC2、ELMC3的使能和关断信号。辅助控制系统分别向ELMC1、ELMC2、ELMC3发出使能或关断信号，控制ELMC1、ELMC2、ELMC3中被使能的余度向SSPC发送负载控制信号，向PSP发送各个SSPC的状态信息。而ELMC1、ELMC2、ELMC3中被关断的余度不向各个SSPC发送负载控制信号，也不向PSP发送各个SSPC的状态信息，但其它功能依然正常执行。

如图5所示，令ELMC1、ELMC2、ELMC3生成的负载控制信号为C1、C2、C3，对辅助控制系统的表决系统设计进行说明：

令ELMC1、ELMC2、ELMC3的优先级定义为ELMC1>ELMC2>ELMC3。ELMC1、ELMC2、ELMC3的使能信号E定义为一个八位的二进制数据，其第5、3、1位分别表示ELMC1、ELMC2、ELMC3的使能标志位，1表示该余度使能，0表示该余度关断。三余度故障检测信号G定义为一个八位的二进制数据，其第6和5、4和3、2和1位分别表示ELMC1、ELMC2、ELMC3的故障检测标志位，00表示该余度正常；01表示该余度暂时性故障，需进行应答检测；11表示该余度永久性故障，需要切断。

由此在ELMC1、ELMC2、ELMC3均有效时：对ELMC1、ELMC2、ELMC3生成的负载控制信号C1、C2、C3进行表决，具体如下：

若C1=C2=C3，则根据ELMC1、ELMC2、ELMC3的优先级，使能ELMC1，关断ELMC2、ELMC3，使能信号E=00010000。

若C1=C2≠C3，则根据ELMC1、ELMC2、ELMC3的优先级，使能ELMC1，关断ELMC2、ELMC3，E=00010000。同时，判定ELMC3出现暂时性故障，辅助控制系统向ELMC3发出故障检测信号G=00000001；ELMC3接收到故障检测信号后，向辅助控制系统反馈应答信号，若应答信号正确，则恢复故障检测信号G=00000000，不予切断ELMC3的RS422通讯模块。若应答信号错误，则判断ELMC3永久故障，G=00000011，切断ELMC3的RS422通讯模块，ELMC3失效。下一周期时，表决系统进入ELMC1和ELMC2的两余度表决。

若C1=C3≠C2，则根据ELMC1、ELMC2、ELMC3的优先级，使能ELMC1，关断ELMC2、ELMC3，E=00010000。同时，判定ELMC2出现暂时性故障，辅助控制系统向ELMC2发出故障检测信号G=00000100；ELMC2接收到故障检测信号后，向辅助控制系统反馈应答信号，若应答信号正确，则恢复故障检测信号G=00000000，不予切断ELMC2的RS422通讯模块。若应答信号错误，则判断ELMC2永久故障，G=00001100，切断ELMC2的RS422通讯模块，ELMC2失效。下一周期时，表决系统进入ELMC1和ELMC3的两余度表决。

C2=C3≠C1，则根据ELMC1、ELMC2、ELMC3的优先级，使能ELMC2，关断ELMC1、ELMC3，E=00000100。同时，判定ELMC1出现暂时性故障，辅助控制系统向ELMC2发出故障检测信号G=00010000；ELMC1接收到故障检测信号后，向辅助控制系统反馈应答信号，若应答信号正确，则恢复故障检测信号G=00000000，不予切断ELMC1的RS422通讯模块。若应答信号错误，则判断ELMC1永久故障，G=00110000，切断ELMC1的RS422通讯模块，ELMC1失效。下一周期时，表决系统进入ELMC2和ELMC3的两余度表决。

若C1≠C2≠C3，辅助控制系统暂时不发送使能信号，则ELMC1、ELMC2、ELMC3均出现暂时性故障，此时，辅助控制系统分别向ELMC1、ELMC2、ELMC3发送检测信号G=00010101，对ELMC1、ELMC2、ELMC3进行应答检测，由ELMC1、ELMC2、ELMC3向辅助控制系统反馈应答信号，切断ELMC1、ELMC2、ELMC3中应答信号错误的余度。若ELMC1、ELMC2、ELMC3中的两个应答错误，则应答信号正确的余度使能；若ELMC1、ELMC2、ELMC3均应答错误，则全部关断ELMC1、ELMC2、ELMC3；若ELMC1、ELMC2、ELMC3中的一个余度应答错误，则进入下一周期，表决系统进入两余度表决。

如图6所示，所述两余度的表决如下：

令两个有效余度为ELMC1与ELMC2，由此，

若C1=C2，则使能ELMC1，关断ELMC2，使能信号E=00010000。

若C1≠C2，则辅助控制系统暂时不发送使能信号，先判定ELMC1与ELMC2均出现暂时性故障，对ELMC1与ELMC2发送故障检测信号G=00010111，进行应答检测，关断应答错误的余度。

Claims (2)

1.一种非相似三余度电气负载管理中心，其特征在于：具有三个余度，以及一个辅助控制系统；

令三个余度的电气负载管理中心分别表示为ELMC1、ELMC2与ELMC3；其中，ELMC1、ELMC2的核心控制芯片均采用一个DSP；ELMC3的核心控制芯片采用一个FPGA；

上述ELMC1、ELMC2与ELMC3均用来实现：

a、采集SSPC的状态信息，包括开关状态信息、负载状态信息以及跳闸状态信息，并生成SSPC所对应的负载状态方程；

b、接收供电系统处理机PSP发送的负载请求供电标志位，并生成相应的电源请求方程；根据不同供电状态下的负载的供电优先级不同，在电气负载管理中心提前定义好负载管理优先级方程；根据电源请求方程和负载管理优先级，以及SSPC的负载状态方程，生成其电气负载控制方程，得到电气负载控制信号，即SSPC的开通关断指令，并向各个SSPC发送对应的开通或关断指令，控制各个SSPC的开通或关断；

c、向供电系统处理机PSP传输SSPC的状态信息；

所述辅助控制系统的核心控制芯片采用一片FPGA，用来对ELMC1、ELMC2中的DSP，及ELMC3中FPGA发送同步信号，使三个余度电气负载管理中心ELMC1、ELMC2、ELMC3实现任务级同步，即同步采集SSPC状态信息，同步接收供电系统处理机PSP的电源请求指令；且当ELMC1、ELMC2、ELMC3生成负载控制信号之后，分别向辅助控制系统发送准备就绪指令；待辅助控制系统接受到ELMC1、ELMC2、ELMC3发送的准备就绪指令后，向ELMC1、ELMC2、ELMC3发送传输指令，此时ELMC1、ELMC2、ELMC3向辅助控制系统传输生成的负载控制信号，辅助控制系统通过表决系统，对ELMC1、ELMC2、ELMC3传输的负载控制信号进行表决，得到ELMC1、ELMC2、ELMC3的使能信号，控制ELMC1、ELMC2、ELMC3的使能和关断；

所述ELMC1与ELMC2采用不同的编程语言实现功能，ELMC1中DSP的串行通信接口的发送器操作和接收器操作采用中断方式来完成；ELMC2中DSP的串行通信接口的发送器操作和接收器操作采用查询方式来完成。

2.如权利要求1所述一种非相似三余度电气负载管理中心，其特征在于：所述表决系统的表决方式为：

令ELMC1、ELMC2、ELMC3生成的负载控制信号为C1、C2、C3；ELMC1、ELMC2、ELMC3的优先级定义为ELMC1>ELMC2>ELMC3；

在ELMC1、ELMC2、ELMC3均有效时：对ELMC1、ELMC2、ELMC3生成的负载控制信号C1、C2、C3进行表决：

若C1＝C2＝C3，则使能ELMC1，关断ELMC2、ELMC3；

若C1＝C2≠C3，则使能ELMC1，关断ELMC2、ELMC3；同时，判定ELMC3出现暂时性故障，辅助控制系统向ELMC3发出故障检测信号；ELMC3接收到故障检测信号后，向辅助控制系统反馈应答信号，若应答信号正确，则恢复故障检测信号，不予切断ELMC3的RS422通讯模块；若应答信号错误，则判断ELMC3永久故障，切断ELMC3的RS422通讯模块，ELMC3失效；则在下一周期时，表决系统进入两余度电气负载管理中心ELMC1和ELMC2的表决；

若C1＝C3≠C2，则根据ELMC1、ELMC2、ELMC3的优先级，使能ELMC1，关断ELMC2、ELMC3；同时，判定ELMC2出现暂时性故障，辅助控制系统向ELMC2发出故障检测信号；ELMC2接收到故障检测信号后，向辅助控制系统反馈应答信号，若应答信号正确，则恢复故障检测信号不予切断ELMC2的RS422通讯模块；若应答信号错误，则判断ELMC2永久故障，切断ELMC2的RS422通讯模块，ELMC2失效；则在下一周期时，表决系统进入两余度电气负载管理中心ELMC1和ELMC3的表决；

C2＝C3≠C1，则根据ELMC1、ELMC2、ELMC3的优先级，使能ELMC2，关断ELMC1、ELMC3；同时，判定ELMC1出现暂时性故障，辅助控制系统向ELMC1发出故障检测信号；ELMC1接收到故障检测信号后，向辅助控制系统反馈应答信号，若应答信号正确，则恢复故障检测信号，不予切断ELMC1的RS422通讯模块；若应答信号错误，则判断ELMC1永久故障，切断ELMC1的RS422通讯模块，ELMC1失效；在下一周期时，表决系统进入两余度电气负载管理中心ELMC2和ELMC3的表决；

若C1≠C2≠C3，辅助控制系统暂时不发送使能信号，则ELMC1、ELMC2、ELMC3均出现暂时性故障，此时，辅助控制系统分别向ELMC1、ELMC2、ELMC3发送检测信号，对ELMC1、ELMC2、ELMC3进行应答检测，由ELMC1、ELMC2、ELMC3向辅助控制系统反馈应答信号，切断ELMC1、ELMC2、ELMC3中应答信号错误的余度；若ELMC1、ELMC2、ELMC3中的两个应答错误，则应答信号正确的余度使能；若ELMC1、ELMC2、ELMC3均应答错误，则全部关断ELMC1、ELMC2、ELMC3；若ELMC1、ELMC2、ELMC3中的一个余度应答错误，则进入下一周期，两余度电气负载管理中心表决系统进入表决；

所述两余度电气负载管理中心的表决如下：

令两个有效余度电气负载管理中心为ELMC1与ELMC2；

若C1＝C2，则使能ELMC1，关断ELMC2；

若C1≠C2，则辅助控制系统暂时不发送使能信号，先判定ELMC1与ELMC2均出现暂时性故障，对ELMC1与ELMC2发送故障检测信号，进行应答检测，关断应答错误的余度。