机载分布式双余度机电系统的容错与重构

陈 奎

（中航工业西安航空计算技术研究所，陕西西安，710065）

机载分布式双余度机电系统的容错与重构

陈 奎

（中航工业西安航空计算技术研究所，陕西西安，710065）

机电系统是飞机系统的重要组成部分，其可靠性和技术的先进性直接影响到飞机的性能。本文利用分布式双余度容错技术、系统重构技术、高速航空总线技术，对机载分布式双余度机电系统进行研究和设计，并重点讨论了该系统的组成、工作原理、系统容错和系统重构和异常处理。

系统容错；系统重构；异常处理

0　引言

飞机机电系统是飞机的重要组成部分，其性能和可靠性直接影响到飞机的性能和可靠性。因而有必要对机电系统内各个专用控制器资源进行整理和归纳，减少机载产品数量和机上电缆重量，实现机电系统内数据共享，提高机电系统综合管理水平，同时，还要进一步提高系统可靠性和安全性，增加系统容错能力，实现系统故障重构功能，从而达到实现机电系统内最优控制管理和进一步综合化的拓展。而采用分布式双余度系统是一个较为合适的方案。

1　分布式双余度机电系统组成结构

在分布式双余度系统中，由一台双余度机电管理计算机和可配置数量的双余度远程接口单元组成。UMC作为机电系统的运算和控制中心，通过两个高速航空总线网络收集所有远程接口单元采集到的数据信息。并对机电内部信息进行分析、综合处理，并将最终结果上报给上位机。机电管理计算机和远程接口单元通过高速、智能1394B总线网络进行信息交换，机电管理计算机完成机电系统信息综合处理，远程接口单元完成机电数据采集、机电作动器驱动以及机电数据上传。

2　分布式双余度机电系统工作原理

在分布式双余度机电系统中。机电管理计算机和远程接口单元都是双余度架构，机电管理计算机的A通道和远程接口单元的A通道组成一个总线网络，完成信息交换；机电管理计算机的B通道和远程接口单元的B通道组成另外一个总线网络，完成信息交换；在机电管理计算机内部A、B通道之间设置高速交叉数据链路，将两个独立的机电内网络数据在机电管理计算机内部的A、B通道之间实现数据共享；两条总线网络同时工作。

远程接口单元采用统一的软硬件平台，根据飞机上不同的机位信号，自动加载远程接口单元内部的表驱动，实现自动配置，完成该位置的产品功能。

在该系统中，当机电管理计算机或远程接口单元中的任何一个产品双通道同时故障而导致无法完成该节点功能时，该产品进入安全模式，封锁所有总线接口通讯、输出接口进入自锁状态，以保障飞机其它机电系统的安全。同时在机电管理计算机和远程接口单元内部均设置功能模块相关监控机制。该系统中所有节点都具备自身故障监测、定位、隔离能力，并根据故障点自动完成资源配置，实现故障后系统资源重组，完成系统功能。

3　分布式双余度机电系统容错和影响性分析

分布式双余度机电系统由机电管理计算机和多个远程接口单元构成。由于系统任务的关键程度不同，将系统任务配置单节点节任务和双节点机任务，同时在节点机内部全部配置成双通道任务。因此该系统中节点机级容错和影响性分析分为：节点机内部单通道故障和节点机内部双通道故障两种模式。

① 节点机内部单通道故障时，故障通道封锁所有总线接口，并将所有驱动输出接口置为安全态，该节点机进入单通道工作模式；与该节点机故障通道相交联的信号丧失一个余度；对于仅仅配置到该节点机上信号，降级为单余度模式；对于配置到包含该节点机和另外一个节点机上的信号，降级为双余度工作模块。在该故障模式下，系统余度降级，系统功能可以正常实现。

② 节点机内部双通道故障时，故障节点机封锁所有总线接口，并将所有驱动输出接口置为安全态，该节点机进入安全工作模式；对于仅仅配置到该节点机上信号，丧失功能；对于配置到包含该节点机和另外一个节点机上的信号，降级为双余度工作模块。在该故障模式下，系统中一个节点机功能丧失，系统功能降级，无法完全实现系统全部功能。

4　分布式双余度机电系统容错和重构

为实现分布式双余度机电系统容错和重构功能，在硬件上配置如下功能：看门狗检测功能、电源异常检测功能、智能总线底层校验功能、硬件连锁功能以及故障注入检测功能。

① 看门狗检测功能。在该系统中的每个节点里通过FPGA设计可配置看门狗检测功能，用来检测处理器运行状态，当出现异常时，该看门狗告警信号连锁到本通道的通道控制逻辑中，实现将本通道故障处理；

② 电源异常检测功能。在该系统中的每个节点里设置独立的电源异常检测电路，同时对输入到产品的电源信号和产品内部的二次电源进行检测，当外部输入电压超出规定时，产品产生告警信息，记录此告警信息，当检测到产品内部二次电源故障时，记录该故障信息。

③ 智能总线底层校验功能。该系统中大量使用智能总线，在总线层对数据进行循环冗余码校验、垂直奇偶校验等校验功能，并将结果上报软件，参与系统通道控制逻辑。

④ 硬件连锁功能。当通道功能丧失时，通过硬件连锁功能封锁总线输出，并将驱动输出连锁到安全状态。

⑤ 故障注入检测功能。在每个节点中设置故障注入检测功能，当从外界注入故障后，触发节点内部的通道故障逻辑，导致节点失效，便于验证通道故障逻辑功能和开展系统故障注入试验。

5　结束语

本文在分布式技术、双余度容错技术以及高速航空总线技术的基础上，通过对分布式双余度的系统架构、资源管理、容错策略等进行研究，设计完成了一个具有故障识别、资源共享以及容错重构功能的分布式双余度机电系统。该系统具有可靠性高、可扩展性好以及减少机载产品数量等优点。目前使用这种集故障识别、资源共享以及容错重构功能的分布式双余度机电系统，已在某重点科研项目中成功运用，不仅填补了国产飞机在先进分布式双余度机电系统上的空白，同时为后续的飞机平台级大综合奠定技术基础。

［1］ Valentino，G.J.；Johnson，D.L.Advanced photonic subsystems to implement reconfigurable，fault-tolerant avionics. Digital Avionics Systems，2001.DASC.20th Conference

［2］唐利红，邵清.嵌入式系统中基于DAG的容错调度算法设计［J］.信息技术， 2015， ，（2）：138～141，146.

［3］杨芳萍，陈海鸿，吕浩音，王艳丽，张中琦.多通道余度模型的表决控制算法和可靠性分析［J］.兰州理工大学学报，2015， 41（1）：107-111.

The Fault-Tolerant and reconfiguration technique of distributed dualredundancy on airborne electromechanical system

Chen Kui
（AVIC Xi'an Aeronautics Computing Technique Research Institute，Xi'an 710065，China）

The Advancement and reliability of the electromechanical system will directly affects the performance of the aircraft，since it is an important part of the aircraft systems.This paper makes a research on the design of distributed dual-redundancy electromechanical system which uses the faulttolerant technology，system reconfiguration technology and high-speed avionics bus technology， and the composition of the system， working principle and fault tolerance，as well as reconfiguration mechanism are mainly discussed.

system fault-tolerant technology；system reconfiguration；exception handing

陈奎（1985-），男，安徽阜阳人，本科，工程师，主要研究方向为机载机电系统计算机。