鄭歡歡，戴 航，張慧翔

(西北工業(yè)大學(xué)自動化學(xué)院，西安710072)

1 引言

隨著對空間技術(shù)研究、開發(fā)和應(yīng)用水平的不斷提升，各國相繼研制并發(fā)射了大量面向各種任務(wù)的航天器。由于空間環(huán)境惡劣，部分航天器在未完成任務(wù)時，發(fā)生部分功能故障，導(dǎo)致了整個任務(wù)失敗，因此，可更換模塊化設(shè)計就應(yīng)運而生［1］?？筛鼡Q模塊化設(shè)計把模塊的內(nèi)部組件集成分裝，通過標(biāo)準(zhǔn)總線接口連接。系統(tǒng)功能分散到一系列獨立的單元功能模塊中，當(dāng)遇到模塊故障，立即進行模塊更換。通過設(shè)計可更換模塊單元，可有效提高系統(tǒng)的可靠性和可用性［2］。

CAN總線［3］具有可靠性高、實時性好、靈活性強的突出特點，已經(jīng)越來越多的應(yīng)用于航空領(lǐng)域［4］。針對航空領(lǐng)域的CAN總線應(yīng)用需求，德國Stock航空系統(tǒng)公司還專門在CAN總線基本規(guī)范的基礎(chǔ)上設(shè)計了一種 CANaerospace［5-6］高層應(yīng)用協(xié)議。因此，應(yīng)用CAN總線作為高可用數(shù)據(jù)通信的標(biāo)準(zhǔn)接口具有可行性。

航天器系統(tǒng)中包含有大量的計算機模塊，用于完成各種計算和檢測任務(wù)。為保證系統(tǒng)可持續(xù)運行，本文設(shè)計了一種基于冗余CAN總線、支持可更換操作的高可用計算機系統(tǒng)。該系統(tǒng)設(shè)計包括計算機系統(tǒng)組成和更換模式，以及通信系統(tǒng)設(shè)計，最后通過實驗進行該系統(tǒng)的功能驗證。

2 高可用計算機系統(tǒng)的組成和更換模式

高可用計算機系統(tǒng)包含計算機工作模塊、計算機溫備模塊、計算機冷備模塊和計算機外部存儲模塊，各個模塊構(gòu)成一種分布式的計算平臺，如圖1所示。各個計算機模塊具有相同的硬件結(jié)構(gòu)和配置。計算機外部存儲模塊為所有的計算機模塊提供可靠、持久的外部存儲能力。各個模塊之間通過CAN 總線進行命令和數(shù)據(jù)交互。

圖1 高可用計算機系統(tǒng)的組成

計算機模塊的定義如下:①計算機工作模塊:處于工作狀態(tài)的計算機模塊，執(zhí)行一定的任務(wù);②計算機溫備模塊:指處于待命狀態(tài)的計算機模塊，該模塊在邏輯上與整個系統(tǒng)斷開。溫備模塊中存在一個系統(tǒng)后臺任務(wù)，只接收特定的指令;③計算機冷備模塊:指處于斷電狀態(tài)的計算機模塊，該模塊未上電加載軟件系統(tǒng)，在物理上與整個系統(tǒng)斷開。

基于以上高可用計算機系統(tǒng)組成，可更換計算機系統(tǒng)更換模式如圖2所示。計算機系統(tǒng)中的每個節(jié)點可在四種狀態(tài)之間轉(zhuǎn)換。各種狀態(tài)描述如下:①工作狀態(tài):節(jié)點計算機模塊正常執(zhí)行系統(tǒng)任務(wù);②溫備狀態(tài):已加電的正常計算機模塊，但未執(zhí)行系統(tǒng)任務(wù);③冷備狀態(tài):未加電的正常計算機模塊，處于備份狀態(tài);④可更換狀態(tài):節(jié)點出現(xiàn)永久故障，無法繼續(xù)執(zhí)行任務(wù)，已被監(jiān)控節(jié)點斷電，標(biāo)記為可更換狀態(tài)。

圖2 高可用計算機系統(tǒng)的更換模式

整個可更換計算機系統(tǒng)中的節(jié)點在監(jiān)控節(jié)點的控制下進行調(diào)度和狀態(tài)轉(zhuǎn)換。應(yīng)該說明，監(jiān)控節(jié)點并不屬于中心控制節(jié)點，只是一個分布式節(jié)點，執(zhí)行系統(tǒng)監(jiān)控的任務(wù)。為了增強系統(tǒng)的可靠性，可能有多個節(jié)點同時執(zhí)行監(jiān)控任務(wù)。

3 基于冗余CAN總線的通信系統(tǒng)設(shè)計

3.1 基于控制器級的冗余CAN總線結(jié)構(gòu)

典型的CAN總線電路可分為3個環(huán)節(jié)，即微處理器、總線控制器、總線驅(qū)動器。因此，CAN總線的典型冗余方法［7］包括驅(qū)動器級冗余，控制器級冗余和系統(tǒng)級冗余。其中，系統(tǒng)級冗余的可靠性最高，但系統(tǒng)構(gòu)成相對比較復(fù)雜，成本最高。相比之下，在大多數(shù)應(yīng)用中采用控制器級的冗余設(shè)計即可滿足要求，即采用兩套獨立的總線電纜、總線驅(qū)動器、總線控制器，如果其中一套發(fā)生故障，另一套仍能維持系統(tǒng)的正常運行。本文采用CAN總線控制器級冗余方式，總線冗余結(jié)構(gòu)如圖3所示。

圖3 控制級CAN總線冗余結(jié)構(gòu)

3.2 系統(tǒng)硬件設(shè)計

根據(jù)圖3控制器級冗余結(jié)構(gòu)，設(shè)計了高可用計算機模塊。模塊由核心板和底板組成，核心板上集成MPC8313處理器，256M的SDRAM以及16M的FLASH，可擴展NAND FLASH為256M。2個千兆以太網(wǎng) PHY芯片，分別連接 MPC8313的 TSEC1和TSEC2接口;1個RS232串口作為系統(tǒng)監(jiān)控串口，直接控制系統(tǒng);2路CAN總線控制器，實現(xiàn)基于控制器級總線冗余。

CAN控制器采用Philips公司獨立的CAN總線控制器SJA1000，它支持BasicCAN和PeliCAN兩種工作模式，是64字節(jié)的FIFO結(jié)構(gòu)，具有擴展的接收緩沖器，支持CAN2.0協(xié)議，位速率可達1M bit/s，可自動完成鏈路層以下的收發(fā)工作。

CAN總線收發(fā)器選用PCA82C250，它提供了CAN控制器與物理總線之間的接口。

支持更換過程的熱插拔控制器是Maxim公司的MAX4271，它采用了集成限流方案，簡化了浪涌抑制設(shè)計，為更換過程中帶電熱插拔提供了電路保護和支持。

3.3 協(xié)議設(shè)計

系統(tǒng)采用含有29位標(biāo)識符的擴展幀格式，通過設(shè)置標(biāo)識符［8］的內(nèi)容，實現(xiàn)不同功能。具體幀ID分配表見表1所示。

表1 幀ID分配表

協(xié)議報文各字段定義如下:①報文類型編碼:不同的消息類型，區(qū)分節(jié)點間通信的基本功能;②節(jié)點編碼:源節(jié)點即發(fā)送節(jié)點，目標(biāo)節(jié)點是接收節(jié)點;③SegPolo即分段標(biāo)志，用于信息多幀傳輸時區(qū)分中間幀和結(jié)束幀。

3.4 故障檢測

論文設(shè)計的高可用計算機系統(tǒng)采用了兩種故障檢測［9］方法:被動檢測和主動檢測。

3.4.1 被動檢測

由于采用的是控制級的CAN總線冗余，擁有單獨的傳輸介質(zhì)、總線驅(qū)動器和總線控制器，所以可以分別獨立檢測到兩條總線的故障。在每一總線單元中使用發(fā)送錯誤計數(shù)器和接收發(fā)送計數(shù)器兩種計數(shù)來進行故障界定。計數(shù)規(guī)則為:

(1)發(fā)送器/接收器直到幀末尾都沒有錯誤，則判定報文有效。如果檢測到錯誤后，就給發(fā)送接收計數(shù)累加。當(dāng)然當(dāng)發(fā)送或者接收的報文有效時計數(shù)值遞減，最小值為0;

(2)當(dāng)錯誤計數(shù)器值大于96時，表明總線被嚴(yán)重干擾，CAN控制器置位錯誤寄存器，并發(fā)出錯誤中斷;

(3)當(dāng)錯誤計數(shù)器值大于127時，節(jié)點為“錯誤認(rèn)可”狀態(tài)(“錯誤認(rèn)可”狀態(tài):參與總線通信，本節(jié)點在啟動下一個發(fā)送之前處于等待狀態(tài))，從而導(dǎo)致了該節(jié)點發(fā)出“激活錯誤”標(biāo)志;

(4)當(dāng)錯誤計數(shù)器值大于或者等于256時，節(jié)點進入游離狀態(tài)，并發(fā)送出離線中斷。CPU收到錯誤中斷信號或者離線中斷信號，得知節(jié)點通訊出現(xiàn)故障后，切換總線通道同時清除錯誤中斷信號。如果再次出現(xiàn)錯誤，清除錯誤中斷信號，說明是節(jié)點總線故障。節(jié)點脫離總線。

3.4.2 主動檢測

失效檢測一般采用超時機制實現(xiàn)，即通過被檢測對象在規(guī)定時間T內(nèi)有無應(yīng)答來判斷失效，有兩種最基本的檢測方法:心跳檢測和輪詢檢測方法。

心跳檢測:被檢測進程按照一定的時間間隔，定期向失效檢測器發(fā)送心跳信息。如果失效檢測器超過某一期限沒有收到心跳消息，則認(rèn)為被檢測對象失效。

輪詢檢測:失效檢測器q定時發(fā)送查詢消息，檢查被檢測對象p的狀態(tài)，被檢測對象p收到查詢消息后返回應(yīng)答消息，如果失效檢測器超過一定時間間隔沒有收到應(yīng)答消息，則認(rèn)為被檢測對象失效。

系統(tǒng)中的各個節(jié)點在上電后，每隔T1時間向總線發(fā)送心跳消息。在T1時間內(nèi)，監(jiān)控節(jié)點沒有收到某一節(jié)點的心跳消息，就向總線廣播輪詢報文(輪詢檢測)，T1時間沒有收到心跳消息，就進行總線切換;切換后再次向總線廣播輪詢消息，還是沒有收到，則認(rèn)定該節(jié)點失效。

4 功能驗證實驗

按照圖1所示模型，搭建了驗證實驗平臺，采用兩個計算機模塊，一個作為工作模塊，一個作為溫備模塊。應(yīng)用兩條CAN總線，測控計算機通過周立功的USBCANⅡ模塊接入總線網(wǎng)絡(luò)，作為系統(tǒng)的外部存儲模塊。實驗過程如下:

(1)檢測是否正常工作:測控計算機向總線中各計算機工作模塊發(fā)送帶有隱藏文字的圖片，計算機工作模塊把有用的文字信息提取出來返回給測控計算機。在測控計算機監(jiān)控界面上，可觀察到計算機工作模塊持續(xù)返回的文字信息。

(2)檢測總線切換功能:正常工作狀態(tài)，將工作總線從系統(tǒng)中拔出，從監(jiān)控界面上看到總線切換的過程，稍有停頓后正常工作，測控計算機收到連貫的文字信息。

(3)檢測計算機模塊切換功能:正常工作狀態(tài)，將計算機工作模塊拔出，脫離系統(tǒng)。監(jiān)控界面上，可以看到計算機工作模塊心跳消失，總線重新進行身份認(rèn)證過程，計算機溫備模塊接替工作，稍有停頓后正常工作，測控計算機收到連貫的文字信息。

根據(jù)測試結(jié)果看出，整個系統(tǒng)的應(yīng)用層協(xié)議簡潔實用、可靠性高、可擴展性強，達到了預(yù)期目標(biāo)，較快地實現(xiàn)了節(jié)點和總線的切換。

5 結(jié)束語

設(shè)計了一種高可用可更換計算機系統(tǒng)，通過冗余CAN總線和控制器級的冗余硬件結(jié)構(gòu)提高系統(tǒng)的可靠性和可用性。系統(tǒng)實現(xiàn)了被動和主動的故障檢測模式。實現(xiàn)了高可用可更換計算機的原型系統(tǒng)，驗證實驗表明系統(tǒng)達到了預(yù)定的設(shè)計目標(biāo)，具有較好的可用性。

［1］ 陳小前，袁建平，姚雯.航天器在軌服務(wù)技術(shù)［M］.北京:中國宇航出版社，2009.

［2］ 王大鵬，譚春林，張博楠.載人航天器在軌維修性系統(tǒng)設(shè)計［J］.中國空間科學(xué)技術(shù)，2010，5:16-22.

［3］ 饒運濤，鄒繼軍，鄭勇蕓.現(xiàn)場總線CAN原理與應(yīng)用技術(shù)［M］.北京:北京航空航天大學(xué)出版社，2003.

［4］ 梁君，熊華鋼.CAN總線及其較高層網(wǎng)絡(luò)協(xié)議在航空航天上的可適用性探討［J］.導(dǎo)彈與航天運載技術(shù)，2004(4):47-50.

［5］ CAN aerospace interface specification for airborne CAN app lications V1.7［Z］.Germany:Stock Flight Systems，2001.

［6］ 任立平，周軍.CAN總線高層協(xié)議CANaerospace及其設(shè)計應(yīng)用［J］.測控技術(shù)，2008，27(2):59-61.

［7］ 禹春來，許化龍，劉根旺，等.CAN總線冗余方法研究［J］.測控技術(shù)，2003，22(10):28-41.

［8］ 許航，白瑞林，嚴(yán)惠.CAN總線上層協(xié)議的設(shè)計［J］.計算機工程，2007，33(24):258-266.