陳玉坤,張聲艷,劉 冬,馮忠偉,劉 洋

(中國運(yùn)載火箭技術(shù)研究院 研究發(fā)展中心，北京 100076)

雙模冗余器載計(jì)算機(jī)設(shè)計(jì)與實(shí)現(xiàn)

陳玉坤,張聲艷,劉 冬,馮忠偉,劉 洋

(中國運(yùn)載火箭技術(shù)研究院 研究發(fā)展中心，北京 100076)

器載計(jì)算機(jī)是航天器電氣系統(tǒng)的重要組成部分，其可靠性對(duì)航天器能否完成任務(wù)至關(guān)重要；為了保證航天器上計(jì)算機(jī)在出現(xiàn)故障時(shí)仍能正常工作，對(duì)雙機(jī)冗余器載計(jì)算機(jī)的體系結(jié)構(gòu)、切換策略、判別準(zhǔn)則等內(nèi)容進(jìn)行了研究，在保留主份機(jī)與雙機(jī)切換電路、備份機(jī)與雙機(jī)切換電路之間的狀態(tài)工作信號(hào)的基礎(chǔ)上，通過在主份機(jī)、備份機(jī)之間新增加一個(gè)狀態(tài)工作信號(hào)，提出了一種改進(jìn)的自主切換策略;實(shí)踐表明，運(yùn)用改進(jìn)的自主切換策略，在雙機(jī)切換電路中的自主切換模塊出現(xiàn)故障時(shí)仍能實(shí)現(xiàn)自主切換，同時(shí)將比較器設(shè)計(jì)為軟件，采用軟件表決、軟件選通的思路，消除了硬件比較器的關(guān)鍵單點(diǎn)故障，這些容錯(cuò)設(shè)計(jì)改進(jìn)能有效地提高器載計(jì)算機(jī)系統(tǒng)的可靠性，對(duì)高可靠器載計(jì)算機(jī)設(shè)計(jì)與實(shí)現(xiàn)具有較好的工程參考意義。

雙模；冗余；航天器；計(jì)算機(jī)

0 引言

隨著我國綜合國力的不斷提高和航天技術(shù)的不斷發(fā)展，航天任務(wù)的復(fù)雜度越來越高，對(duì)航天器的可靠性、安全性提出了越來越高的要求[1-2]。器載計(jì)算機(jī)在空間環(huán)境中，始終受到空間復(fù)雜環(huán)境的影響，如等離子體、高能帶電粒子、地球磁場(chǎng)、太陽電磁輻射、地球大氣輻射、流星體等空間環(huán)境因素，都會(huì)使器載計(jì)算機(jī)的可靠性變差，發(fā)生故障。在空間軌道中，除空間站外，器載計(jì)算機(jī)一般不具備可維修性，一旦出現(xiàn)故障，極易造成航天器的在軌失效。因此，關(guān)于器載計(jì)算機(jī)的容錯(cuò)技術(shù)便成了亟待深入研究的課題。

1 器載計(jì)算機(jī)容錯(cuò)方案分析

器載計(jì)算機(jī)是航天器上電氣系統(tǒng)的重要組成部分，其可靠性對(duì)航天器至關(guān)重要，器載計(jì)算機(jī)能否正常工作很大程度上決定了航天任務(wù)的成敗。要保證器載計(jì)算機(jī)工作的可靠性，必須采取容錯(cuò)設(shè)計(jì)。硬件冗余是容錯(cuò)設(shè)計(jì)的基礎(chǔ)。對(duì)于較小體積的航天器而言，由于重量、體積、功耗的限制，容錯(cuò)方案不能過于復(fù)雜，因此可以考慮動(dòng)態(tài)冗余中的雙模冗余和靜態(tài)冗余中的三模冗余。對(duì)兩種模型進(jìn)行比較，靜態(tài)三模(TMR)結(jié)構(gòu)的優(yōu)點(diǎn)是系統(tǒng)易于建立與實(shí)現(xiàn)[3]，動(dòng)態(tài)雙模冗余具有除了硬件投入少，性能價(jià)格比高之外，在可靠性方面，動(dòng)態(tài)雙模系統(tǒng)的可靠度高于靜態(tài)三模系統(tǒng)的可靠度。

基于可靠度、冗余度以及故障檢測(cè)性能等方面考慮，動(dòng)態(tài)雙模系統(tǒng)具有較大優(yōu)勢(shì)。本文重點(diǎn)對(duì)器載計(jì)算機(jī)系統(tǒng)采用動(dòng)態(tài)雙模冗余的容錯(cuò)結(jié)構(gòu)及切換策略進(jìn)行了研究，并對(duì)其中的關(guān)鍵技術(shù)進(jìn)行了分析，對(duì)開展相關(guān)的工程設(shè)計(jì)與實(shí)現(xiàn)具有一定的借鑒作用。

2 雙模冗余硬件體系結(jié)構(gòu)及切換策略

備份容錯(cuò)結(jié)構(gòu)是容錯(cuò)系統(tǒng)結(jié)構(gòu)常用的手段，同構(gòu)雙模冗余系統(tǒng)有4種工作方式，即冷備、溫備、熱備和雙工[4]。冗余必然牽涉到額外資源的增加，在航天器執(zhí)行任務(wù)過程中，結(jié)合性能、功耗、可靠性因素，器載計(jì)算機(jī)根據(jù)飛行時(shí)序常采用多種雙機(jī)冗余容錯(cuò)相結(jié)合的方案。

2.1 雙機(jī)冷備份容錯(cuò)系統(tǒng)結(jié)構(gòu)

當(dāng)航天器處于地面可控和穩(wěn)態(tài)控制時(shí)，為確保工作壽命及減少功耗，采用一熱一冷的冗余計(jì)算機(jī)系統(tǒng)方案比較合適，雙機(jī)冷備份容錯(cuò)系統(tǒng)典型結(jié)構(gòu)如圖1所示，采用具有相同功能的兩套處理器板和I/O板形成雙機(jī)冷備份容錯(cuò)結(jié)構(gòu)。雙機(jī)的切換由一塊容錯(cuò)板進(jìn)行管理，當(dāng)主份機(jī)發(fā)生故障由容錯(cuò)板切換到備份機(jī)，而當(dāng)備份機(jī)也發(fā)生故障時(shí)，主份機(jī)仍未恢復(fù)時(shí)，則切換到一塊只具備最基本功能的應(yīng)急板上。

圖1 雙機(jī)冷備份容錯(cuò)系統(tǒng)典型結(jié)構(gòu)

在這樣的系統(tǒng)中，有3個(gè)主要因素需要考慮：1)故障的檢測(cè)；2)備份機(jī)切換和加電；3)狀態(tài)的恢復(fù)。故障的檢測(cè)是實(shí)現(xiàn)這種容錯(cuò)系統(tǒng)起作用的必要基礎(chǔ)，在這樣的系統(tǒng)中，故障檢測(cè)的主要方式有：系統(tǒng)自測(cè)試、程序的重復(fù)運(yùn)行、數(shù)據(jù)區(qū)的三取二方式，以及看門狗技術(shù)。系統(tǒng)的自測(cè)試可以發(fā)現(xiàn)系統(tǒng)中的大部分故障，缺點(diǎn)是必須保證自測(cè)試部分是正常的。

2.2 雙機(jī)熱備份容錯(cuò)系統(tǒng)結(jié)構(gòu)

在初始姿態(tài)建立階段，為確保航天器工作正常和故障及時(shí)處理，器載計(jì)算機(jī)采用由兩臺(tái)熱機(jī)組成冗余計(jì)算機(jī)系統(tǒng)進(jìn)行控制的方案，當(dāng)主份機(jī)出現(xiàn)故障時(shí)，由遙控指令或者自主判別切換，將控制權(quán)由主份機(jī)轉(zhuǎn)移到備份機(jī)控制。

雙機(jī)熱備冗余的設(shè)計(jì)方案思路如下：主份機(jī)、備份機(jī)各自擁有獨(dú)立的供電，在同一時(shí)刻，主份機(jī)或備份機(jī)只有一臺(tái)單機(jī)擁有控制權(quán)；在熱冗余方式下，兩臺(tái)單機(jī)(主份機(jī)、備份機(jī))同時(shí)運(yùn)行，接收外部信號(hào)并進(jìn)行處理，在對(duì)外的輸出接口處，通過雙機(jī)切換電路將擁有控制權(quán)單機(jī)的處理信號(hào)進(jìn)行輸出。當(dāng)?shù)孛嬷缚刂行陌l(fā)現(xiàn)某臺(tái)機(jī)器發(fā)生嚴(yán)重故障、無法再使用時(shí)，可以通過遙控指令或器載自主切換電路將其斷電。故障隔離電路對(duì)出現(xiàn)故障的單機(jī)進(jìn)行隔離，保證該故障機(jī)器斷電后不影響另外一臺(tái)機(jī)器工作，雙機(jī)熱備份容錯(cuò)系統(tǒng)結(jié)構(gòu)如圖2所示。

圖2 雙機(jī)熱備份容錯(cuò)系統(tǒng)典型結(jié)構(gòu)

在圖2所示的雙機(jī)熱備份容錯(cuò)系統(tǒng)結(jié)構(gòu)中，雙機(jī)切換電路是雙機(jī)控制的硬件，其內(nèi)部采用定時(shí)監(jiān)控器配合相應(yīng)的控制邏輯電路實(shí)現(xiàn)，采用“看門狗”機(jī)制的設(shè)計(jì)思路。雙機(jī)切換電路內(nèi)都有主份機(jī)、備份機(jī)各自對(duì)應(yīng)的正常觸發(fā)器，主份機(jī)、備份機(jī)正常信號(hào)將其復(fù)位，而雙機(jī)切換電路的定時(shí)信號(hào)則置位正常觸發(fā)器。在定時(shí)信號(hào)到來之前，某單機(jī)沒有發(fā)出正常信號(hào)，即對(duì)應(yīng)的正常觸發(fā)器未被復(fù)位，則定時(shí)信號(hào)將產(chǎn)生切換信號(hào)，計(jì)算機(jī)輸出選通處于正常狀態(tài)的單機(jī)。如果兩機(jī)都正常，沒有切換信號(hào)，則主份機(jī)的輸出作為整個(gè)器載計(jì)算機(jī)的輸出，且輸出選通狀態(tài)不變。如果在某段時(shí)間內(nèi)兩機(jī)都處于不正常狀態(tài)(即兩機(jī)都不能輸出正常信號(hào))，則總是由主份機(jī)輸出，這樣保證了在最壞情況下有一個(gè)當(dāng)班機(jī)，而避免了兩機(jī)頻繁切換的情況。

2.3 雙機(jī)切換實(shí)現(xiàn)方式

在航天器駐留軌道期間，可以通過遙控方式、自主切換方式來實(shí)現(xiàn)器載計(jì)算機(jī)的雙機(jī)切換。當(dāng)?shù)孛嬷缚刂行母鶕?jù)航天器的遙測(cè)數(shù)據(jù)能夠判斷出航天器當(dāng)前工作計(jì)算機(jī)發(fā)生故障時(shí)，地面指控中心發(fā)送遙控切權(quán)指令，實(shí)現(xiàn)器載計(jì)算機(jī)的冗余切換；當(dāng)采用遙控切換命令時(shí)，自主切換功能被封鎖，兩機(jī)的輸出切換根據(jù)遙控命令確定。為了封鎖自主切換功能，通過遙控指令設(shè)置了遙控準(zhǔn)/禁自主切換的時(shí)間窗口，當(dāng)航天器處于準(zhǔn)自主切換狀態(tài)，才允許進(jìn)行器載計(jì)算機(jī)的自主切換，否則不允許自主切換。在自主狀態(tài)下當(dāng)主份機(jī)故障將執(zhí)行備份機(jī)奪權(quán)指令，其自主賦權(quán)部分由積分電路完成，保證備份機(jī)在奪權(quán)時(shí)不能在一次或一條指令下完成，必須連續(xù)多次發(fā)出奪權(quán)指令，使積分電路的輸出積累到一定的電平才能驅(qū)動(dòng)繼電器實(shí)現(xiàn)奪權(quán)，從而備份計(jì)算機(jī)成為當(dāng)班機(jī)執(zhí)行控制權(quán)。

2.4 改進(jìn)雙機(jī)切換實(shí)現(xiàn)方式

在容錯(cuò)計(jì)算機(jī)設(shè)計(jì)時(shí)，為了防止雙機(jī)切換電路中的自主切換模塊出現(xiàn)硬件故障而無法實(shí)現(xiàn)正常工作機(jī)和故障機(jī)之間的邏輯判斷，在雙機(jī)熱備份容錯(cuò)系統(tǒng)典型結(jié)構(gòu)的基礎(chǔ)上進(jìn)行了改進(jìn)，即主份機(jī)與雙機(jī)切換電路、備份機(jī)與雙機(jī)切換電路之間除了有狀態(tài)工作信號(hào)，在主份機(jī)、備份機(jī)之間新增加一個(gè)狀態(tài)工作信號(hào)，這樣在雙機(jī)切換電路中的自主切換模塊出現(xiàn)故障時(shí)仍能實(shí)現(xiàn)自主切換，增加了系統(tǒng)冗余。其工作原理為：主份機(jī)正常時(shí)，主份機(jī)同時(shí)會(huì)定時(shí)向備份機(jī)發(fā)正常工作信號(hào)；當(dāng)主份機(jī)故障時(shí)，備份機(jī)檢測(cè)不到正常信號(hào)。備份機(jī)通過雙機(jī)通訊口可以獲知主份機(jī)是否發(fā)生故障，若發(fā)現(xiàn)主份機(jī)發(fā)生故障后，且備份機(jī)自檢正常，備份機(jī)就會(huì)多次發(fā)出奪權(quán)脈沖備份機(jī)獲得控制權(quán)，進(jìn)行系統(tǒng)結(jié)構(gòu)重組。以上的自主切換可以在雙機(jī)切換電路中的自主切換模塊出現(xiàn)故障而不參與的情況下實(shí)現(xiàn)，可以容忍自主切換模塊的一度故障。其信息流如圖3所示。

圖3 改進(jìn)的雙機(jī)熱備份容錯(cuò)系統(tǒng)結(jié)構(gòu)

在設(shè)計(jì)信息交換接口時(shí)，主份機(jī)、備份機(jī)分別設(shè)計(jì)有緩存區(qū)供對(duì)方計(jì)算機(jī)通訊時(shí)使用。主份機(jī)將自己的數(shù)據(jù)寫入備份機(jī)的緩沖區(qū)，同樣，備份機(jī)將自己的數(shù)據(jù)寫入主份機(jī)緩沖區(qū)。主份機(jī)、備份機(jī)的設(shè)計(jì)電路完全相同。雙機(jī)通訊原理框圖如圖4所示。

圖4 雙機(jī)通訊原理框圖

主份機(jī)、備份機(jī)通訊流程如圖5所示，若M代表主份機(jī)，則N代表備份機(jī)；若M代表備份機(jī)，則N代表主份機(jī)。

圖5 雙機(jī)通訊設(shè)計(jì)流程圖

3 雙模雙工結(jié)構(gòu)中的比較器設(shè)計(jì)

在雙模雙工系統(tǒng)中，雙機(jī)雙工需要將主份機(jī)、備份機(jī)的結(jié)果比較后再進(jìn)行選擇輸出，因而比較器是雙模雙工系統(tǒng)容錯(cuò)設(shè)計(jì)的關(guān)鍵部件。常見的雙模雙工系統(tǒng)容錯(cuò)系統(tǒng)中，比較器多由硬件實(shí)現(xiàn)，硬件比較模塊主要由比較電路、監(jiān)測(cè)電路執(zhí)行機(jī)構(gòu)組成，根據(jù)不同冗余級(jí)別采用不同方案，比較器的可靠性成為系統(tǒng)新的“瓶頸”。

在設(shè)計(jì)中為了盡量避免硬件比較器的不利因素，將對(duì)實(shí)時(shí)性、嵌入性器載計(jì)算機(jī)系統(tǒng)可靠性的危害降到最小程度[5]。為此，提出一種解決比較器可靠性問題的方案：軟件表決、軟件選通的思路，即不設(shè)計(jì)單獨(dú)的比較器硬件單元，將比較器設(shè)計(jì)為軟件，以系統(tǒng)現(xiàn)有資源為載體建立比較系統(tǒng)，避免了比較器需要單獨(dú)監(jiān)測(cè)的可靠性問題，從而使系統(tǒng)得到優(yōu)化[6]。比較器的軟件判斷流程如圖6所示。

圖6 比較器的軟件判斷流程圖

4 航天器高可靠容錯(cuò)計(jì)算機(jī)系統(tǒng)關(guān)鍵技術(shù)

4.1 余度管理技術(shù)

余度管理技術(shù)是對(duì)余度系統(tǒng)運(yùn)行機(jī)制的籌劃和對(duì)出現(xiàn)的問題的處理，是在已確定了的系統(tǒng)硬件/軟件資源的余度配置等級(jí)的基礎(chǔ)上提高系統(tǒng)可靠性的一項(xiàng)關(guān)鍵技術(shù)。余度管理技術(shù)包括通道之間的同步技術(shù)、數(shù)據(jù)交換技術(shù)、信號(hào)的監(jiān)控和表決以及故障檢測(cè)與隔離技術(shù)等。同步技術(shù)是余度管理技術(shù)的關(guān)鍵，只有在同步情況下，對(duì)信號(hào)的監(jiān)控和比較才有一定的意義，同步技術(shù)涉及軟硬件的共同協(xié)調(diào)性；數(shù)據(jù)交換技術(shù)是信號(hào)監(jiān)控和表決的前提條件；通過信號(hào)的監(jiān)控和表決后就可以進(jìn)行故障檢測(cè)并對(duì)故障進(jìn)行隔離[7]。

4.2 可重構(gòu)容錯(cuò)算法

可重構(gòu)容錯(cuò)算法是器載計(jì)算機(jī)軟件模塊的關(guān)鍵技術(shù)。當(dāng)航天器遭受非致命性損傷或發(fā)生故障時(shí)，可重構(gòu)容錯(cuò)算法能夠針對(duì)電氣系統(tǒng)故障的不同部位、故障的類型和影響程度給出相應(yīng)的容錯(cuò)處理方案，并進(jìn)行快速的系統(tǒng)重構(gòu)控制。目前可重構(gòu)容錯(cuò)算法主要有：主動(dòng)容錯(cuò)算法、自適應(yīng)容錯(cuò)算法和智能容錯(cuò)算法等，在工程實(shí)現(xiàn)上還需要考慮算法本身的可靠性、復(fù)雜性和計(jì)算效率等。

4.3 高可信軟件的構(gòu)造與驗(yàn)證技術(shù)

在航天器計(jì)算機(jī)中，軟件的作用越來越重要，保證軟件的可信度和健壯性一直是容錯(cuò)技術(shù)研究的重要方面之一。因此研究提高現(xiàn)有軟件容錯(cuò)技術(shù)應(yīng)用的可靠性，構(gòu)建軟件的可信保障技術(shù)體系，同時(shí)利用形式化方法對(duì)空間軟件進(jìn)行驗(yàn)證，對(duì)可信性軟件驗(yàn)證的集成環(huán)境進(jìn)行開發(fā)。在航天器出現(xiàn)故障時(shí)，及時(shí)通過高可信軟件的補(bǔ)償、切換、隔離等措施，使航天器各部分功能的狀態(tài)及執(zhí)行結(jié)果更加可靠、可信。目前高可信軟件容錯(cuò)技術(shù)主要有：回卷技術(shù)、軟件陷阱、分布式恢復(fù)塊、數(shù)據(jù)重表達(dá)技術(shù)等。

5 結(jié)束語

器載計(jì)算機(jī)的可靠性與安全性是航天器能否安全的重要保證，本文詳細(xì)闡述了具備容錯(cuò)功能的器載計(jì)算機(jī)系統(tǒng)的體系結(jié)構(gòu)，分析了雙機(jī)切換策略及判別準(zhǔn)則，提出了一種改進(jìn)的自主切換策略和軟件比較器設(shè)計(jì)思路。實(shí)踐表明，這些容錯(cuò)設(shè)計(jì)改進(jìn)能有效地提高器載計(jì)算機(jī)系統(tǒng)的可靠性，對(duì)高可靠器載計(jì)算機(jī)設(shè)計(jì)與實(shí)現(xiàn)具有較好的工程參考意義。

[1] 楊孟飛, 華更新, 馮彥君，等. 航天器控制計(jì)算機(jī)容錯(cuò)技術(shù)[M]. 北京：國防工業(yè)出版社, 2014.

[2] 徐 奡, 夏德天, 鄭久壽，等. 高升力系統(tǒng)控制計(jì)算機(jī)容錯(cuò)技術(shù)研究[J]. 微電子學(xué)與計(jì)算機(jī), 2015(6): 36-40.

[3] 馬秀娟, 張秀珍, 曹喜濱，等. 容錯(cuò)星載計(jì)算機(jī)系統(tǒng)結(jié)構(gòu)設(shè)計(jì)[J]. 微處理機(jī), 2003 (2): 47-49.

[4] 肖愛斌 , 胡明明 , 任憲朝.四模冗余拜占庭容錯(cuò)計(jì)算機(jī)可靠性分析[J]. 空間控制技術(shù)與應(yīng)用, 2014 ,40(3): 42-46.

[5] 李淑俠, 魏廣平. 高可靠并行星載計(jì)算機(jī)軟件容錯(cuò)技術(shù)研究[J]. 物聯(lián)網(wǎng)技術(shù), 2014 (5): 63-64.

[6] 孫秀娟. 基于雙模冗余容錯(cuò)技術(shù)的數(shù)據(jù)采集系統(tǒng)設(shè)計(jì)[J]. 電測(cè)與儀表, 2008 (8):49-52.

[7] 高麗娜, 楊寶奎. 容錯(cuò)飛控計(jì)算機(jī)體系結(jié)構(gòu)研究[J]. 戰(zhàn)術(shù)導(dǎo)彈技術(shù), 2013 (5):107-110.

Design and Implementation of Dual Redundant Space On-board Computer System

Chen Yukun，Zhang Shengyan，Liu Dong，F(xiàn)eng Zhongwei，Liu Yang

(Research and Development Center, China Academy of Launch Vehicle Technology, Beijing 100076,China)

On-board computer system has a significant role in spacecraft electronic system，and its reliability is especially essential to achieve final mission. In order to still work normally when on-board computer has failure, system architecture, switch method and estimation rule of dual redundant space on-board computer system are introduced. On the basis of preserving the state signal between main computer and switch circuit, the state signal between backup computer and switch circuit, and the state signal between main computer and backup computer is adopted, then presents a modified independence switch method. By using modified independence switch method, independence switch function still work normally when independence switch module has failure. Comparator is implemented by adopting software vote and software switch approach, and it can eliminate hardware comparator’s key failure. Practice indicates that the redundant technology can effectively improve the reliability of space on-board computer system, and the paper has engineering application value for design and implementation of space on-board computer system with high reliability.

dual; redundance; spacecraft; computer

2016-06-03；

2016-07-14。

陳玉坤(1979-)，男，河南衛(wèi)輝市人，博士，高級(jí)工程師，主要從事數(shù)據(jù)管理系統(tǒng)和測(cè)控通信系統(tǒng)方向的研究。

1671-4598(2016)12-0130-03

10.16526/j.cnki.11-4762/tp.2016.12.037

TP301

A