一种航天光纤总线的交换单元热备份方法

张 莹，肖练刚，张继生，田 丰，周 华

(北京航天自动控制研究所，北京 100084)

【信息科学与控制工程】

一种航天光纤总线的交换单元热备份方法

张 莹，肖练刚，张继生，田 丰，周 华

(北京航天自动控制研究所，北京 100084)

为了提高航天应用中交换式光纤总线的可靠性，保证数据的正确实时传输，针对在该拓扑结构中处于关键节点的交换单元，提出了一种热备份冗余方法。该方法采用了两个硬件结构完全相同的交换单元，通过硬件冗余和FPGA的软件可编程模块实现故障检测、故障隔离、通道切换与故障报警等功能。通过Quartus的仿真试验，验证了该方法的可行性，具有很强的工程实用价值。

光纤；交换单元；热备份；高可靠性；冗余

在航天领域中，交换式拓扑结构的光纤总线凭借其高带宽，质量轻，低延迟，低误码率，抗干扰能力强，可连接的设备多等优势已经得到应用。在该拓扑结构中，处于中心位置的交换单元担负着单机之间进行数据交换的枢纽任务。交换单元一旦发生故障，将对整个总线系统造成巨大影响。为了保证总线系统稳定运行，保证数据正确实时传输，需要提高总线交换单元的可靠性。

提高可靠性需要从两个方面考虑，即故障预防和故障容错[1]。故障预防是选择可靠性高的元器件，在一定程度上抑制故障的产生[1]。故障容错是指系统在出现一定的运行性故障时，能依靠系统内部的能力保持系统连续正确地执行各个功能[2]。容错技术的实质是利用冗余思想屏蔽故障，降低系统的失效率。如在总线式拓扑结构的1553B总线中采用的热备份冗余技术是采用一套完全一样的链路进行备份，主链路故障时切换到备用链路[3]；在交换式拓扑结构的AFDX中采用网络双冗余的“热备份”方式，避免了单一网络的故障[4]。

目前交换式拓扑结构的光纤总线还没有使用冗余热备份，本文针对其进行了交换单元的冗余热备份设计，该设计主要采用了两个硬件结构完全相同的交换单元来实现故障检测，故障隔离，通道切换与故障报警等功能。

1 交换单元热备份系统基础简介

1.1 交换单元热备份系统的主要概念

交换单元的热备份系统属于一种集群[5]，集群是指一组相互独立的节点在网络中表现为单一的系统，并以单一的形式进行管理。这些节点拥有一个共同的名字和任务，节点之间可以协调管理，屏蔽故障。具有高扩展性，高可用性，高性能，高性价比等优点。

交换单元的热备份系统又是一个简单的并联系统。A/B通道都正常时属于双冗余状态，A/B通道只有一个工作时属于单通道状态。A/B通道都故障时系统崩溃。

1.2 热备份系统的可靠性分析

因为热备系统为简单并联系统，可用Kaufman A等提出的组合模型[6]来分析系统的可靠度。系统正常工作有3种情况：① 两个交换单元节点都工作正常。②A交换单元工作正常，B有故障并且能够被监测定位。③B交换单元工作正常，A有故障并且能够被监测定位。系统的可靠性为

R(t)=R1(t)R2(t)+R1(t)(1-R2(t))C2+

R2(t)(1-R1(t))C1

(1)

其中：R1(t)、C1分别表示交换单元A的可靠度、故障覆盖率；R2(t)、C2分别表示交换单元B的可靠度、故障覆盖率。

若A/B的可靠度和故障覆盖率完全一样，R1(t)=R2(t)=Rm(t)且当C1=C2=1时，式(1)化为

R(t)=1-(1-Rm(t))2

(2)

假设一个交换单元节点的可靠度为

Rm(t)=exp(-1.238×103t)

(3)

则系统可靠度化为

Rm(t)=1-(1-exp(-1.238×103t))

(4)

双冗余系统和无冗余系统的可靠性曲线如图1所示。如此可见双冗余热备份系统大大提高了系统的可靠性。

2 交换单元热备份系统架构方案

该系统的架构如图2所示。系统由两个独立的硬件结构完全相同的节点组成。主备同时接受外部数据，又同时不断更新本节点和对方节点的状态，进行状态的监督和判断。在主交换单元硬件或者软件发生故障时，能够及时检测定位，并能自动实时切换成备用交换单元，保证整个总线的数据传输不中断，继续完成正常的任务要求。

主备交换单元之间有专门的通信通道，是辅助两个通道的冗余配置，保证整个总线系统的正常工作。通过该通道可实现主/备的角色确认、切换及状态和数据同步等。

图2 系统的体系结构

2.1 交换单元的硬件结构方案

节点的硬件结构参与实现主备的切换控制，每个节点包括以下3个部分：

1) AVAGO的光电模块AFBR57R5APZ，光电模块实现光电转换功能，此光电模块采用850 nm波长的短波，可以实现全双工的数据收发。

2) TI的串并转换芯片TLK3132。该芯片进行串并/并串转换，同时实现8B/10B编解码。

3) ALTERA的FPGA芯片EPC4CGX50DF27I7，FPGA是实现交换和冗余功能的主要芯片。其中除了FPGA主备之间的数据通信，状态指示(主备角色指示信号和心跳信号)，实时切换模块外，剩余的模块是完全独立的。

2.2 交换单元的FPGA逻辑设计要点

实现主备切换主要有以下4点设计原则：

1) 主/备交换单元确认：上电时，通过读取板上Flash里存储的诸元数据进行主备角色的确认；诸元数据可由外部发送指令帧进行装订。

2) 主/备交换单元数据同步：交换单元收到的数据分为两种情况处理。如果主备交换单元只对外部收到的数据进行转发，则主备同时接收，主交换单元进行转发的处理，备用交换单元不做任何输出，数据的同步是由外部来统一触发。如果对于收到的数据进行处理并能产生新的数据，则主备之间进行有用新数据的通信，保证主备数据状态的一致性。

3) 主/备交换单元切换(故障屏蔽)：主备交换单元切换的条件分为软件故障，硬件故障，手动切换。具体的故障判据包括主交换单元软件运行发生严重故障无法通信，硬件出现电压异常，监控软件无响应或者监控的数据发生严重偏差，主备之间通信异常认定主单元故障。

4) 故障检测：故障种类繁杂，从光纤协议模型层面上把故障分为3类。物理层存在由硬件问题引发的掉电、检测不到光信号等故障；编码层存在出现持续乱码或者无码状态等故障；协议层存在持续握手失败，登陆失败等故障。这些软硬件的故障可以通过CRC效验，算术逻辑运算，看门狗，心跳检测，异常中断，环路法等方式进行检测。

3 实现热备份冗余的具体方法

热备份的实现主要体现在FPGA的模块设计上，主要包括初始化模块，数据收发模块，主备状态指示模块，故障监控模块，数据同步模块，切换控制模块等。结构如图3所示。

图3 FPGA模块框图

3.1 双冗余系统的主备单元正常工作流程

主单元的工作流程如图4所示：在初始化后，先进行链路握手，握手完毕后进行帧登录，由此完成整个链路的连接；随后读取主备指示模块确定本身为主模块，进行帧接收、处理及转发；工作中一旦发生故障切换警告则进行通道切换。

备用单元的工作流程与主单元的区别仅在于其不进行数据帧的转发。

3.2 实现热备份冗余管理的重要过程

3.2.1 主备单元指示过程

主备指示模块要对主备信号进行检测和处理并实时确定主备状态和切换状态。根据故障信息的综合，确定通道的有效性，并监视对方的有效性，与通道切换模块共同完成切换任务。主备指示具体的工作流程如图5所示。

图4 主单元工作流程

图5 主备指示流程

3.2.2 故障检测过程

故障检测模块需要对总线数据状态、主备间数据通信状态、主备角色指示状态、对端心跳信号进行实时监控，判断和处理。通常采用CRC效验码，故障保险，安全失效逻辑等方法。在发生故障时协同切换模块、主备指示模块进行主备切换。故障检测的具体分类如图6所示。

3.2.3 主备切换控制过程

根据主备状态指示模块和故障检测模块发来的消息进行主备单元切换的判定。不同的故障类型，其判定条件有所差异，具体切换流程如图7所示。

4 仿真实验

本研究的设计仿真平台采用的是Altera公司的FPGA/CPLD开发工具Quartus 8.0版本。验证主单元故障时能够及时切换变为备用单元。

图6 故障分类

图7 主备切换流程

4.1 典型故障类型具体设计

为了验证主备的切换，针对一种典型的故障类型即主单元误码率过高进行主备切换。

local_cnt_out置高时代表此单元为主交换单元。

当帧开始发送后(frame_trans_beg有一个脉冲)，等待一段时间收到的回复帧为拒接帧(rjt_received)。当主单元系统判断收到的拒接帧超过一定数量，认定主单元误码率过高，进行切换告警(shift_alert置高)。

4.2 仿真实验

故障仿真图如图8，在12.96 μs左右，主单元系统判定拒收帧达到上限，认定误码率过高有故障，进行切换告警(shift_alert置高)，从而开始进行主备切换。

在仿真图9中，对两个交换单元接收和转发的数据进行采集。在开始的一段时间内，冗余交换单元转发的数据(reveive_frame)是交换单元a接收的数据(rt_a_frame)。在13.0 μs左右，log_a置高，表明交换单元a完全退登录，冗余交换单元转发的数据是交换单元b接收的数据(rt_b_frame)，此时主备切换完成。整个网络结构正常工作，实现了主备切换功能。

仿真的时钟周期定为20 ns。对比仿真图8、图9,从开始切换到切换结束，只占用了3个时钟周期，切换时间属于ns级，表明切换具有快速性。

图8 主单元误码故障仿真图

图9 两个交换单元接收和转发的数据采集

5 结束语

分析了航天光纤总线的一种交换单元热备份冗余的设计思路和关键技术，利用软硬件实现了交换单元的高可靠性，为未来航天总线的高可靠性提供了一种简单可行的方案。

[1] 郝顺义.一种多模冗余结构存储器系统的容错设计与研究[J].计算机测量与控制,2009,17(1):190-194.

[2] AVIZIENNIS A.Fault tolerant systerm[C].IEEE Trans.Computers,1976:56-60.

[3] 宾辰忠.基于1553B总线的实时消息流实现与控制[J].计算机测量与控制,2005,13(9):967-969.

[4] 杨峰.AFDX网络技术综述[J].电子技术应用,2016,42(4):4-6,19.

[5] 史文路.双机热备份系统的研究与设计[D].南京:南京工业大学,2006.

[6] KAUFMAN A.Mathematic Models for the Study of the Reliability of Systems[M].Academic Press Jnc,1977.

[7] ANSI INCITS.Fiber Channel Fabric Generic Requirements (FC-FG)[Z].1996.

[8] 邱毅.一种交换式光纤总线系统监控方法研究[J].兵器装备工程学报,2016,37(2):53-57.

[9] 李小云，胡之惠.基于热备份的主备倒换在高端路由器中的应用[J].现代电子技术,2005(11):71-72,76.

[10]程新明.一种二模冗余计算机的设计与实现[J].空军雷达学院学报,2001,15(3):42-45.

[11]韩卫东.程控交换单元原理和维护[M].北京:电子工业出版社,1998.

(责任编辑杨继森)

A Exchange-Unit Hot-Backup Design Method f the Fiber Optic Bus in Spacecraft

ZHANG Ying, XIAO Lian-gang, ZHANG Ji-sheng, TIAN Feng, ZHOU Hua

(Beijing Aerospace Automatic Control Institute, Beijing 100084, China)

In order to improve the high reliability of the switching fiber bus in aerospace applications, and to ensure the correct real-time transmission of data, in this paper, a kind of hot backup redundancy method was proposed, which is based on the exchange unit of the key nodes.The method used two same switching nodes in hardware structures. And through the hardware redundancy and software programmable software modules of FPGA, we achieved fault detection, fault isolation and channel switching and fault alarm and other functions. The feasibility of the method was verified by the simulation experiment of Quartus, which is of great practical value.

fiber; switch; hot-backup; high-reliability; redundancy

2016-08-27；

2016-09-25

总装共用技术基金“运载火箭多元异构自主组合控制系统技术”(9140A201003)

张莹(1991—)，女，硕士研究生，主要从事导航制导与控制研究。

10.11809/scbgxb2017.01.025

张莹，肖练刚，张继生，等.一种航天光纤总线的交换单元热备份方法[J].兵器装备工程学报，2017(1):106-109.

format:ZHANG Ying, XIAO Lian-gang, ZHANG Ji-sheng, et al.A Exchange-Unit Hot-Backup Design Method of the Fiber Optic Bus in Spacecraft[J].Journal of Ordnance Equipment Engineering,2017(1):106-109.

TJ768.3

A