Numen3000空管自动化系统升降级设计

张朋 张佳静

摘要：随着民航空管事业的飞速发展，空管自动化系统已然成为保障飞行安全的重要组成部分。为了能够给管制提供优质的系统服务，这就要求自动化系统应具备较高的稳定性和可靠性。文章主要介绍了Numen3000空管自动化系统的工作状态及工作状态之间的转换，分析了关于升降级功能所包含的关键模块及各模块所担负的职能，列举了空管系统降级运行的几种场合及系统能力恢复后该如何升级的方法。

关键词：空管自动化；系统降级；系统升级；运行状态

中图分类号：TP311文献标志码：A

0 引言

空管自动化系统（以下简称“系统”）是一套实时处理系统，每天24小时不间断运行，确保空中交通管制信息连续、准确、稳定地提供给管制人员进行空中交通管制。该系统设计采用国际上广泛使用并得到公认的设计理念和设计方法，进行模块化和多重冗余，具有可扩展性、可开放性，易于与其他相关系统互联，便于用户随着空管业务的发展进行扩充和升级［1-2］。

该系统雷达航迹处理服务器由两台监视数据处理机和两台旁路监视数据处理机组成。飞行计划数据处理服务器由2台飞行数据处理服务器和1台旁路飞行数据处理服务器组成。网络组成采用业务网和信号网络分离的方式，业务网A、B、C三网和信号接入D、E网。A、B网在主用模式下进行数据传输，C网在降级模式下进行数据传输，雷达信号源数据通过D、E前置网络接入系统。在这种系统架构下，系统若出现两台主用处理服务器都故障、主用业务传输网络A、B网都故障或者主用信号接入网络D、E网故障的情况下，系统需要切换到降级模式下运行［3］。技术人员排除完故障后，系统需要人工切换到主用模式下工作。本文主要对空管自动化系统关于升降级的设计进行分析和讨论。

1 空管自动化系统工作模式

系统按照系统处理能力，分为两类工作状态：主用工作状态和降级工作状态。在主用工作状态下，系统提供的服务完备，能够完成雷达数据处理、ADSB数据处理、多监视源融合处理［4］、飞行数据处理、气象情报处理、数据及数据库管理、系统监控和管制席位操作和显示的全部设计功能；降级分为监视数据SDP降级和飞行数据FDP降级。在降级工作状态下，系统只实现系统设计的部分主要功能，包括：单路监视数据处理、多路监视数据融合处理、航迹与飞行计划自动/人工方式的相关/去相关、人工挂标牌即RADTAG功能、目标高度的QNH修正、紧急状态告警、短期冲突告警、最低安全高度告警、禁区侵入告警、二次代码重复提示、SPI提示功能。

1.1 监视数据SDP工作状态

监视数据处理模块（Surveillance Data Processing，SDP）由热冗余的主监视数据处理模块（Main Surveillance Data Processing，MSDP）和旁路监视数据处理模块（Bypass Surveillance Data Processing，BSDP）组成。MSDP部署在两台主用监视数据处理服务器SDP1和SDP2上。BSDP部署在两台旁路监视数据处理服务器BSDP上。MSDP和BSDP独立存在，在物理上和逻辑上相互分离，分别接入自己独立的监视源。

主用监视数据处理服务器采用了双机冗余热备份方式，互为冗余的两台服务器分为主机和备机。系统正常运行时，由MSDP服务主机提供航迹处理的服务，当主机因为软件或者硬件故障而停止服务时，系统会自动切换主备机，原来的备机变为主机来提供服务，系统不会受到影响。当互为热备份的双MSDP都不能正常工作时，系统将自动切换到BSDP降级状态，此时，由旁路监视数据处理服务器BSDP来满足包括进近和远地塔台在内的系统所有席位的航迹监视和管制服务要求，但只提供必要的功能。

1.2 飞行数据FDP工作状态

飞行数据处理模块（Flight Data Processing，FDP）由热冗余的主用飞行数据处理模块（Main Flight Data Processing，MFDP）和旁路监视数据处理模块（Bypass Flight Data Processing，BFDP）组成。MFDP部署在两台主用飞行数据处理服务器FDP1和FDP2上。BFDP部署在旁路飞行数据处理服务器BFDP上。

主用飞行数据处理服务器采用了双机冗余热备份方式，互为冗余的两台服务器分为主机和备机。系统正常运行时，由MFDP服务主机提供飞行计划处理的服务，当主机因为软件或者硬件故障而停止服务时，系统会自动切换主备机，原来的备机变为主机来提供服务，系统不会受到影响。当互为热备份的双MFDP都不能正常工作时，系统将自动切换到BFDP降级状态，此时，由旁路飞行数据处理服务器BFDP来满足包括进近和远地塔台在内的系統所有席位的飞行计划数据处理和管制服务功能。

1.3 系统工作状态转换

系统运行过程中，内部主要维护的工作状态包括正常模式、SDP降级模式、SDP可升级模式、FDP降级模式和FDP可升级模式。这几种工作状态可由一种工作状态切换到另一种工作状态，实现系统的升降级转换。这几种工作状态相关说明如下：（1）正常模式：监视数据处理运行在主用模式MSDP和飞行数据处理运行在主用模式MFDP，管制界面Position位置显示为NORM。（2）SDP降级模式：两台主用MSDP服务器均不能正常工作，系统将从MSDP降级到BSDP工作模式，管制界面Position位置显示为DEGD。（3）SDP可升级模式：主用MSDP服务器恢复正常工作后，系统变为可升级状态，主任管制界面Position位置显示为LOWS。等待MSDP和BSDP主路旁路同步数据完成后，可在主任管制席Info窗口的switch选项窗口中升级到MSDP工作状态。（4）FDP降级模式：两台主用MFDP服务器均不能正常工作，系统将从MFDP降级到BFDP工作模式，管制界面Position位置显示为DEGD。（5）FDP可升级模式：主用MFDP服务器恢复正常工作后，系统变为可升级状态，主任管制界面Position位置显示为LOWF。可在主任管制席Info窗口的switch选项窗口中升级到MFDP工作状态。这几种系统工作状态的转换如图1所示。

2 升降级设计与实现

2.1 总体设计

系统正常运行时，工作在正常模式，提供完备的系统服务。当两台主用MSDP或者MFDP处理服务器都故障的条件下，系统降级到旁路BSDP或者BFDP工作模式。当主用MSDP或者MFDP处理服务器恢复的条件下，系统变为MSDP或者MFDP可升级模式。处于可升级模式状态下，需要人工在主任席位进行升级操作，升级操作后，系统切换回工作模式工作。

基于单一职责原则（Single Responsibility Principle，SRP）让每个对象各司其职，各尽所能，然后再基于“高内聚，低耦合”的设计思想，系统采用分层设计的方式，分为运行平台层、系统能力计算层、业务处理层和展示层［5］。运行平台层主要负责采集系统的服务器工作状态、主备机状态、软件运行状态、网络状态等信息，把采集到的信息发送给系统能力计算层，并且负责根据通告的系统能力进行系统升降级的处理，处理后把当前系统能力和目前所处的工作状态数据进行持久化保存。系统能力计算层负责根据采集的信息计算当前的SDP和FDP系统能力。当系统能力变化或者收到其他模块的索取消息时，向系统通告当前的系统能力。业务处理层负责处理雷达航迹数据和飞行计划数据，把处理的结果发送给展示层显示。展示层负责把业务处理层处理的航迹数据和

飞行计划数据结果展示到管制界面上，当系统需要升级到主用状态时，需要在主任席管制界面上人工切换到主用工作状态。

2.2 系统升降级相关模块

空管自动化系统关于升降级功能主要涉及的软件模块为：SMPS系统监控服务进程、ZLS总联双机服务进程、SDD态势显示进程、SDP综合航迹处理进程、TPP航迹相关处理进程、AGN网络状态采集模块。各模块的相关说明如下：（1）SMPS系统监控服务进程：主要负责当前系统SDP、FDP处理能力的通告。系统主用MSDP和MFDP服务正常，系统能力分别为2，旁路BSDP和BFDP服务正常，系统能力分别为1。故SMPS向系统中通告的SDP和FDP的可能的系统能力分别0，1，2，3这几种值。（2）ZLS总联双机服务进程：主要负责根据接收SMPS进程通告的当前系统能力，进行降级的处理。当收到主任席的升级操作后，进行系统升级。（3）SDD态势显示进程：主要负责根据接收的SMPS进程通告的当前系统能力，进行系统状态的显示。当主用MSDP和MFDP服务恢复后，主任席进行升级的操作。（4）SDP综合航迹处理进程：主要负责根据接收SMPS进程通告的当前系统能力，进行升降级功能相关的处理。（5）TPP航迹相关处理进程：主要负责根据接收SMPS进程通告的当前系统能力，进行升降级功能相关的处理。当MSDP系统能力恢复后，等待SDP航迹处理数据同步完成后，通知主任席SDD可以进行系统升级。（6）AGN网络状态采集进程：主要负责采集系统中各主机、网络设备的网络状态，把采集的结果发送给SMPS进程。SMPS进程根据网络状态作相应的处理。相关进程间关系如图 2所示。

2.3 系统降级的场景

系统会根据SDP、FDP软件状态，双机服务器状态，业务网络状态，信号接入前置网络状态等信息来判断当前的系统能力，根据当前的系统能力进行升降级的处理。下面介绍几种降级运行的场景：（1）当双机服务器主备机状态发送变化时，SMPS进程会根据当前的主机来重新计算SDP和FDP的系统能力，若发生变化，则向系统通告当前的系统能力。当MSDP或者MFDP工作不正常时，系统降级运行。（2）当SDP和FDP软件状态发生变化时，重新计算系统能力。若发生变化，则向系统通告当前的系统能力。当MSDP或者MFDP工作不正常时，系统降级运行。（3）主用SDP或者FDP服务器的A、B网络断开，此时主用业务数据无法传输，系统将降级到旁路运行。（4）主用SDP服务器的信号接入D、E网络断开，此时主用信号数据无法接入，系统将降级到旁路运行。（5）终端区和区管的网络断开，此时终端区将FDP降级到本地FDP处理。

2.4 系统升级操作

系统在降级模式下运行，技术人员通过查看系统主机状态、软件状态、网络状态等信息，对系统进行降级问题的排查分析。等待排除完相关故障，主用MSDP或者MFDP模式处理能力恢复后，可以在主任管制席上Info窗口的switch选项窗口中升級到主用工作状态。

3 结语

空管自动化系统有主备机的冗余机制和旁路处理能力，保证了该系统的高可靠性，是一套优秀的空管自动化系统。本文主要对空管自动化系统的关于升降级功能设计方面展开讨论。对于系统的工作状态、降级运行的场景、故障排除后如何升级做了简单的介绍。本研究可以帮助相关人员对这一方面有一个大概的了解，对于今后的升降级故障排查提供一些思路，以便尽快地解决故障恢复系统正常运行。

参考文献

［1］乔亮，王兴隆，张鹏.空管自动化系统Eurocat-X软件可靠性建模分析［J］.科技信息，2010（25）：49-50.

［2］任升，高原，顾文杰.集群系统分布式任务故障冗余管理机制的设计与实现［J］.江苏科技信息，2015（21）：63-64.

［3］杨银霞.关于Skynet-X空管自动化系统降级的案例分析［J］.科技创新，2017（3）：193-194.

［4］杜实，任景瑞.基于时间的交叉航路冲突解脱研究［J］.江苏科技信息，2016（23）：46-48.

［5］师鹏.分层技术在计算机软件开发中的应用［J］.无线互联科技，2020（4）：44-45.

（编辑 王永超）