任务管理计算机系统余度软件关键技术研究

郭勇 段海军 马倩 王亮

[摘要]本文对任务管理计算机系统结构进行了介绍，根据系统构型，提出了软件容错机制要求，划分软件功能形成系统软件总体设计方案。对软件总体设计进行了描述，并对软件设计中的关键技术进行研究，重点分析了双握手同步、交叉传输设计、数据表决与数据监控四个方面，为实现系统容错软件提供了解决方案。

[关键词]热备份；容错；余度技术；余度管理软件

Abstract：Based on the discussion on the system architecture of Mission Management Computer，the applicable redundancy scheme was introduced in this paper.The key technologies of redundancy management software was then discussed thoroughly in this paper， the application of these key technologies in engineering practice was also included.

Key Word：Hot backup； Error Tolerances；Redundancy technology； Redundancy managements of tware

引言

1）任务管理计算机系统（MMC）的主要功能包括航电分系统状态、航电分系统工作模式、系统故障处置、任务规划数据加载等功能[1]。受到体积、功耗、重量及基础研究水平的限制，早期任务管理计算机没有余度概念，其容错能力较差、故障检测模式单一、故障检测率较低，任务管理计算机的故障也会直接导致每次飞行任务的失败[2]。

2）基于对任务系统可靠性和容错性的要求，研究在小低轻、高空、长航时、高安全前提下，仍能保持任务管理功能的冗余架构方法是必要的[3]。本文即针对高空长航时任务管理计算机可靠性指标要求，运用余度技术研究了双余度分级余度计算机，设计实现了任务管理计算机系统余度软件，提高系统可靠性。

1、系统概述

1.1双余度任务管理计算机系统概述

双余度任务管理计算机采用同构型双通道主备兼容错结构，每个通道可以独立的实现任务管理功能。任务管理计算机作为任务分系统的核心处理器，主要完成航电分系统的控制与管理，航电系统任务分配，同时作为GJB289A总线的控制器，完成总线信息调度与传输。

1.2系统软件概述

1.2.1任务管理计算机采用双余度配置，双余度通道工作方式为主备工作方式，双通道同时工作，正常时由主通道输出，主通道故障时切换到备份通道输出，满足系统一次故障工作要求。根据任务管理计算机的结构及功能，将任务管理软件分为三部分，见图2.

1.2.2三部分软件的对应的产品功能为：

a.任务管理软件：此部分软件实现航电分系统的控制与管理功能，包括航电分系统状态，航电分系统工作模式、系统故障处置、任务规划数据加载等。

b.余度管理软件：此部分软件作为航电管理软件的开发平台，选用VxWorks操作系统，主要实现产品的自检测、余度管理、故障检测等功能。

c.BIM软件：此部分软件实现成品技术协议中的接口管理功能包括外部输入输出接口管理及内部ARINC659总线的收发功能。

1.3余度管理軟件主要通过ARINC659总线接收BIM模块的数据，对数据进行表决监控，将表决结果提供给任务管理软件，同时接收任务管理软件的输出指令将输出指令通过ARINC659总线发送给BIM模块。本文主要介绍余度管理软件的设计。

2、余度管理软件总体设计

1）双通道任务管理计算机软件每通道运行相同任务：初始化、同步、数据采集、余度管理、航电任务处理、故障处理、数据输出和BIT等几个重要的环节。任务管理计算机开机初始化后，进入同步程序。同步程序就是让双通道计算机同时开始运行，保证通道计算机采集的是同一任务周期的数据，并且输出结果也是同一任务周期中计算出来的。这是其他任务的基础，只有通道机采集的是同一任务周期数据，才能保证后面的交叉传输和数据比较的正确。在完成了同步程序后，通道计算机就可以同时进行采集数据，数据交叉传输，数据比较监控，再表决出一组航电应用软件需要的数据，进行应用的运算；并将输出的数据进行比较，输出。这样就完成了一个任务周期的双余度任务。

3、余度管理软件关键技术实现

3.1余度设计与余度管理是提高计算机系统容错能力、可靠性和安全性的手段

通过在线信号监控可以及时发现系统故障模块；通过同步技术可以保证各冗余模块间保持步调一致地工作，在“某一时刻”同时完成同一任务的某个基本动作。通过故障的隔离、切换来实现故障的处理；通过监控、表决输入输出信号来选择信号。这些都是实现容错与高可靠性的手段。

3.2余度管理技术主要研究的内容包括以下方面：

1） 同步、交叉传输技术；

2） 数据表决和数据监控；

3） 故障监控隔离技术；

3.3双通道同步设计

在任务管理计算机系统中，各计算机运行相同的计算任务，将计算结果进行比较、表决，从而达到提高整个余度飞行控制计算机可靠性的目的。为保证各飞行控制计算机在比较、表决时的数据是同一次计算的结果，以维持计算数据的一致性，就必须同步，使各飞行控制计算机在同一段时间内运行相同的计算任务。

本系统中计算机同步的过程是在系统同步程序的管理下，通过专用同步信号线，完成双通道之间的同步。包括初始同步和周期同步。初始同步上电进行周期任务之前进行；周期同步则在每个任务周期开始都会进行一次。同步算法采用握手方式：任务计算机开始同步后，输出一个逻辑高同步离散量，然后在限定时段内查询另外通道响应逻辑高，在握手成功后，再输出一个逻辑低，读另外通道是否输出低，若成功则双通道均保持同步离散输出为逻辑低。同步算法流程图如图1。

3.4数据交叉传输设计

数据交叉传输通道是双余度任务管理计算机互相通讯的通道，本设计中交叉传输功能由ARINC659总线的“窗口”实现，数据采集功能由BIM模块完成，BIM模块完成数据采集后，通过ARINC659总线将采集的数据进行网络广播。CPM模块通过659窗口可以获得本通道BIM采集的数据和外通道BIM采集的数据，根据刷新标来判定该数据是否为有效数据，以这种方式来实现不同通道数据的交叉传输。

3.5数据输入输出表决设计

输入与输出表决监控是对计算机所采样的双通道数据进行表决与监控。计算机的所有接口信号均是双余度的，输入输出表决监控包括离散量输入比较监控、模拟量输入比较监控、數字量输入比较监控。

a.离散量输入表决监控实现的方法为：对A/B通道输入的离散量进行全同比较，如果比较一致，表决值取A通道；如果比较出现不一致，表决值取上拍历史值。

b.模拟量输入表决监控实现的方法为：对A/B通道输入的模拟量两信号求差，差值的绝对值与门限值0.5V进行比较，如果差值在门限内，表决值取两信号均值；如果超限，表决值取上拍历史值。

c.数字量输入表决监控实现的方法为：对A/B通道输入的数字量RS422输入信号进行还原，对还原后的离散量和模拟量进行表决。

3.6故障监控设计

1） 故障综合是将任务管理计算机系统的故障状态及飞控计算机自身的故障进行统计综合，并将故障信息进行编码和存储。它包括故障记录和故障申报。

2）当任务管理计算机系统双通道采用互监控方式对每一拍的采集数据进行故障判断，并进行故障纪录，当发生瞬态故障时，对该故障类型瞬态故障计数加1，并判断该计数值是否大于永久故障门限，若该计数值已经大于门限值，就认为该路数据发生永久故障，进行相应的故障处理。同时任务管理计算机还需要进行自身状态的监控，若出现错误，则仍按照上面描述的方法进行故障处理。

4、结束语

本文以双余度任务管理计算机为背景，研究设计余度管理软件，并获得应用。工程实际应用结果表明，MMC实现可靠性指标满足设计要求，所设计的余度管理软件能够保证任务管理计算机间数据的可靠传输。

参考文献

[1]牛文生.机载计算机发展的现状和趋势[J].计算机科学，2006.vol1，33，231-232

[2]潘计辉，张盛兵，张小林，张小静.三余度机载计算机设计与实现[J].西北工业大学学报，2013.10，798-802

[3]柳孔明，徐宏哲，黄俊.三余度飞控计算机架构及其可靠性研究[J].现代电子技术，2012.06：103-106

[4]Dominique， Britxe， Pascal Traverse. AIRBUS A320/A330/A340 Electrical Flight Controls， A Family of Fault-Tolerant Systems[R].IEEE 1993，616

[5]Greg Loegering， David Evans.THE EVOLUTION OF THE GLOBAL HAWK & MALD AVIONICS SYSTEMS[R]，IEEE 1999.06

作者简介

郭勇（1986-11-）男，陕西西安人，工程师，主要研究方向为机载大规模嵌入式软件研究.