高小安，皮 操，于丹丹，吳 康

(上海航天控制技術(shù)研究所·上?！?01109)

0 引 言

箭載計(jì)算機(jī)(簡(jiǎn)稱箭機(jī))是運(yùn)載火箭的核心部件之一，其可靠性設(shè)計(jì)的優(yōu)劣直接影響著運(yùn)載火箭的飛行安全。飛行控制軟件(簡(jiǎn)稱飛控軟件)在箭機(jī)中運(yùn)行，完成火箭飛行過(guò)程中的制導(dǎo)、導(dǎo)航、姿控、時(shí)序控制、故障診斷、遙測(cè)信息組織等飛行控制功能，引導(dǎo)火箭按照預(yù)定的彈道穩(wěn)定飛行，將載荷送入預(yù)定軌道。余度技術(shù)可以有效地提高系統(tǒng)的可靠性和容錯(cuò)能力，因而必須從箭機(jī)的體系結(jié)構(gòu)設(shè)計(jì)入手，采用余度技術(shù)，從根本上提高系統(tǒng)的容錯(cuò)性與殘存能力，實(shí)現(xiàn)故障軟化，以消除故障對(duì)系統(tǒng)正常工作的影響[1-2]。

全數(shù)字仿真設(shè)計(jì)是一種解決方案，可綜合解決軟硬件一體化系統(tǒng)中軟件依賴硬件環(huán)境的耦合難題[3]。它能去掉軟硬件的耦合性，雖然與真實(shí)的軟件運(yùn)行環(huán)境有所偏差，但有助于系統(tǒng)算法的設(shè)計(jì)驗(yàn)證、故障模擬與快速排除。本文針對(duì)飛控軟件對(duì)高可靠性的要求，研究了三冗余飛控軟件數(shù)字仿真平臺(tái)的設(shè)計(jì)思路，通過(guò)三通道表決技術(shù)提高了故障檢測(cè)率，重點(diǎn)論述了冗余配置、數(shù)字仿真平臺(tái)架構(gòu)、同步算法、交叉?zhèn)鬏數(shù)汝P(guān)鍵技術(shù)。

1 冗余系統(tǒng)的配置

余度系統(tǒng)是指通過(guò)對(duì)重復(fù)資源的合理管理和調(diào)度，使其執(zhí)行同一指令，完成同一任務(wù)而布局的系統(tǒng)。其目標(biāo)是實(shí)現(xiàn)在異常情況下的故障適應(yīng)能力，是提高系統(tǒng)任務(wù)可靠性與安全性的一種主要和常用的手段[4]。

合理的余度構(gòu)型是余度設(shè)計(jì)最早也是最為關(guān)鍵的環(huán)節(jié)之一。冗余結(jié)構(gòu)可分為4種模式：①被動(dòng)冗余結(jié)構(gòu)，其中的冗余模塊在待命狀態(tài)下是“冷備件”冗余；②主動(dòng)冗余結(jié)構(gòu)，其中的冗余模塊在待命狀態(tài)下是“熱備件”冗余；③半主動(dòng)冗余結(jié)構(gòu)，其中的冗余模塊在待命狀態(tài)下是“溫備件”冗余；④混合冗余結(jié)構(gòu)是混合的復(fù)雜系統(tǒng)，其中部分冗余模塊為被動(dòng)結(jié)構(gòu)，部分冗余模塊是主動(dòng)結(jié)構(gòu)[5]。為保證運(yùn)載火箭在通道切換瞬間的穩(wěn)定性，通道間的控制量需做到無(wú)縫切換，結(jié)合系統(tǒng)對(duì)體積、質(zhì)量、可靠性的要求，以及系統(tǒng)復(fù)雜度、成本等因素，箭機(jī)冗余系統(tǒng)采用了同構(gòu)型熱備份的三余度工作模式，如圖1所示。

3個(gè)CPU的飛行控制軟件均運(yùn)行于箭機(jī)中，輸入數(shù)據(jù)通過(guò)三路獨(dú)立的通道進(jìn)入箭機(jī)CPU，供飛控軟件使用。3套飛控軟件通過(guò)內(nèi)部總線實(shí)現(xiàn)時(shí)間同步與數(shù)據(jù)交互，并將表決后的運(yùn)算結(jié)果通過(guò)獨(dú)立的三路傳輸通道發(fā)送給輸出控制器終端。

圖1 三冗余箭機(jī)冗余結(jié)構(gòu)示意圖Fig.1 The sketch diagram of triple-redundant rocket computer redundancy structure

2 三冗余飛控軟件數(shù)字仿真平臺(tái)設(shè)計(jì)

2.1 軟件系統(tǒng)的總體設(shè)計(jì)

三冗余飛控?cái)?shù)字仿真平臺(tái)運(yùn)行于Windows系統(tǒng)平臺(tái)，采用從3份外部數(shù)據(jù)文件中獲取測(cè)試輸入數(shù)據(jù)的方式，模擬飛控軟件的輸入數(shù)據(jù)來(lái)源。采用模擬箭機(jī)硬件接口的方法解決飛控軟件在運(yùn)行時(shí)所依賴的硬件資源，并通過(guò)數(shù)據(jù)記錄保存飛控軟件的輸出結(jié)果，系統(tǒng)的總體設(shè)計(jì)如圖2所示。

圖2 三冗余飛控軟件數(shù)字仿真平臺(tái)的總體設(shè)計(jì)示意圖Fig.2 The sketch diagram of overall design of triple-redundant fly control software digital emulation platform

飛行控制軟件仿真平臺(tái)主要包括了計(jì)算機(jī)接口模擬模塊、箭地接口模擬模塊、測(cè)試裝訂數(shù)據(jù)模擬模塊、流程控制功能模塊等模塊。外部輸入數(shù)據(jù)文件在經(jīng)過(guò)數(shù)據(jù)編碼、解算、轉(zhuǎn)換等處理后，與箭機(jī)硬件模擬接口模塊進(jìn)行數(shù)據(jù)交互，將數(shù)據(jù)傳遞給三冗余飛控軟件。飛行控制軟件的數(shù)字仿真平臺(tái)對(duì)飛控軟件的外部各單機(jī)功能進(jìn)行模擬，并保存計(jì)算結(jié)果。

2.2 箭機(jī)硬件接口模擬設(shè)計(jì)

飛控軟件數(shù)字仿真平臺(tái)創(chuàng)建出了一塊芯片內(nèi)存空間和寄存器空間，作為處理器的操作空間。當(dāng)飛控軟件的操作執(zhí)行完后，對(duì)內(nèi)存和寄存器進(jìn)行分析，模擬寄存器的數(shù)據(jù)讀寫(xiě)功能。同時(shí)，對(duì)飛控軟件、硬件相關(guān)的處理和操作進(jìn)行模擬和等效，使用接口虛擬化技術(shù)完成替代。對(duì)于飛控軟件的運(yùn)行環(huán)境(包括外圍硬件接口、處理器等資源)進(jìn)行等效，例如對(duì)A/D芯片接口、D/A芯片接口、RS422接口、雙口RAM訪問(wèn)接口的數(shù)據(jù)地址進(jìn)行等效，對(duì)處理器的操作、寄存器、中斷、數(shù)據(jù)類(lèi)型等進(jìn)行軟件功能等效。

2.3 外部單機(jī)功能模擬設(shè)計(jì)

外部單機(jī)為飛控軟件的運(yùn)行提供輸入數(shù)據(jù)來(lái)源、輸出數(shù)據(jù)通道及反饋來(lái)源。慣性測(cè)量單元模擬模塊模擬由陀螺儀測(cè)量的角增量累加和信息、由加速度計(jì)測(cè)量的視速度增量累加和輸出信息。速率陀螺模塊模擬姿態(tài)角速率陀螺輸入信號(hào)。舵反饋接口模塊模擬執(zhí)行部件、發(fā)送伺服舵擺反饋消息。GPS接口模擬獲取GPS數(shù)據(jù)、發(fā)送PPS秒脈沖的功能。箭地通信模塊模擬箭機(jī)與地面測(cè)試計(jì)算機(jī)的通信內(nèi)容及數(shù)據(jù)交互應(yīng)答機(jī)制。測(cè)試裝訂數(shù)據(jù)模塊模擬需要輸入的GPS數(shù)據(jù)、測(cè)量采集的數(shù)據(jù)、箭機(jī)裝訂數(shù)據(jù)。

2.4 流程控制模擬設(shè)計(jì)

流程控制功能模塊控制數(shù)字仿真平臺(tái)軟件的啟動(dòng)/停止，控制箭機(jī)飛控軟件的程序數(shù)據(jù)裝訂、調(diào)零測(cè)試等流程，使飛控軟件定時(shí)轉(zhuǎn)換其在飛行階段中的功能，以及發(fā)送起飛、耗關(guān)信號(hào)。

3 余度冗余管理

3.1 同步算法設(shè)計(jì)

在飛行過(guò)程中，為滿足故障無(wú)縫切換的需求，3個(gè)CPU必須同步進(jìn)行工作。同步是指3個(gè)CPU的周期任務(wù)在同一周期內(nèi)進(jìn)行，相同任務(wù)在三通道內(nèi)盡可能在同一時(shí)刻執(zhí)行。若不能采用同步方式工作，則3個(gè)CPU間的周期任務(wù)則不能保證在同一拍完成，這意味著3個(gè)CPU的采樣與控制不能夠同時(shí)進(jìn)行，無(wú)法實(shí)現(xiàn)3個(gè)CPU之間的無(wú)縫切換，將可能導(dǎo)致運(yùn)載火箭在飛行瞬間的不穩(wěn)定。

導(dǎo)致飛控軟件3個(gè)CPU不能同步的原因主要包括：(1)通道啟動(dòng)耗時(shí)差異；(2)晶振誤差的累積。通道啟動(dòng)耗時(shí)差異是指由3個(gè)CPU操作系統(tǒng)啟動(dòng)耗時(shí)的不同而產(chǎn)生的差異，這種差異將導(dǎo)致三通道不能同時(shí)進(jìn)入飛控程序。晶振誤差的累積是導(dǎo)致3個(gè)CPU不能同步的另外一個(gè)原因。

在軟件設(shè)計(jì)過(guò)程中，針對(duì)啟動(dòng)耗時(shí)的差異性，可采用開(kāi)機(jī)同步技術(shù)；針對(duì)晶振誤差累積導(dǎo)致的差異，可采用毫秒周期同步技術(shù)，同時(shí)可結(jié)合任務(wù)特點(diǎn)提出飛行階段的轉(zhuǎn)化同步要求。時(shí)間同步穿插在整個(gè)飛行控制程序中，飛控程序的流程圖如圖3所示。

圖3 飛控軟件時(shí)間同步處理的過(guò)程示意圖Fig.3 The sketch diagram of fly control software time synchronization disposal process

毫秒中斷是飛控軟件運(yùn)行的基礎(chǔ)，飛控軟件的事件及10ms軟中斷均由毫秒中斷觸發(fā)。在2個(gè)CPU計(jì)數(shù)計(jì)滿1ms時(shí)，毫秒中斷會(huì)被立刻觸發(fā)，進(jìn)而保證了3個(gè)CPU毫秒中斷的同時(shí)觸發(fā)。

針對(duì)周期性的工作任務(wù)，如10ms工作任務(wù)，需進(jìn)行時(shí)間同步，確保3個(gè)CPU的工作不錯(cuò)拍、漏拍。對(duì)涉及到階段轉(zhuǎn)換的指令，需通過(guò)表決進(jìn)行時(shí)間同步，以確保各CPU同時(shí)進(jìn)行階段轉(zhuǎn)換。

3.2 故障注入設(shè)計(jì)

三余度飛控計(jì)算機(jī)的故障主要包括以下4類(lèi)：

a)鏈路故障：在傳輸過(guò)程中，交叉?zhèn)鬏敵霈F(xiàn)鏈路故障，進(jìn)而無(wú)法正常發(fā)送和接收數(shù)據(jù)；

b)余度計(jì)算機(jī)故障：計(jì)算機(jī)本身出現(xiàn)故障；

c)軟件故障：算法出現(xiàn)故障，可通過(guò)在計(jì)算結(jié)果中加入白噪聲來(lái)進(jìn)行模擬；

d)通道內(nèi)故障：當(dāng)一個(gè)通道內(nèi)有2個(gè)以上CPU被同時(shí)使用時(shí)，出現(xiàn)CPU計(jì)算結(jié)果不一致的現(xiàn)象。

上述的幾類(lèi)故障，可通過(guò)軟件模擬得以實(shí)現(xiàn)，軟件模擬策略如表1所示。

表1 故障輸入設(shè)計(jì)表Tab.1 Fault input designTable

根據(jù)前面提到的幾類(lèi)故障，需在軟件中通過(guò)裝訂數(shù)據(jù)模塊進(jìn)行故障注入。根據(jù)裝訂參數(shù)的不同，表決模塊會(huì)選擇不同的輸出，如用白噪聲模擬干擾，用無(wú)輸出模擬鏈路模擬故障或計(jì)算機(jī)故障。

3.3 冗余表決設(shè)計(jì)

3.3.1 輸入輸出監(jiān)控表決

三余度飛控計(jì)算機(jī)系統(tǒng)必須配有故障檢測(cè)環(huán)節(jié)，以監(jiān)控軟件的運(yùn)行狀態(tài)。故障檢測(cè)主要的作用在于檢測(cè)系統(tǒng)是否出現(xiàn)了故障，還要針對(duì)出現(xiàn)故障的通道采取相應(yīng)的措施，以進(jìn)行隔離。三余度飛控軟件使用比較監(jiān)控法進(jìn)行輸入輸出表決。

輸入表決監(jiān)控對(duì)計(jì)算機(jī)所采樣的3個(gè)通道的數(shù)據(jù)進(jìn)行表決與監(jiān)控。在應(yīng)用比較監(jiān)控算法之前，必須要確定比較門(mén)限的閾值。監(jiān)控門(mén)限值十分重要，其大小直接影響著監(jiān)控器的報(bào)警性能，進(jìn)而影響了系統(tǒng)的故障檢測(cè)能力。過(guò)大的門(mén)限值將導(dǎo)致故障的漏檢率大，過(guò)小的門(mén)限值則導(dǎo)致虛警率大。

輸入數(shù)據(jù)采用門(mén)限比較法。假設(shè)門(mén)限ε為硬件的誤差值，數(shù)字量輸入的表決監(jiān)控周期為20ms。若用A、B、C分別表示A、B、C 3通道采樣的模擬量數(shù)據(jù)，每個(gè)通道都將收到的3個(gè)數(shù)據(jù)按大小順序進(jìn)行排列。假定A為小值，B為中值，C為大值，故障安全值為限幅值M。輸入輸出監(jiān)控表決采用取中間值的算法，算法的流程如圖4所示。

圖4 輸入輸出表決算法的過(guò)程示意圖Fig.4 The sketch diagram of input and output vote arithmetic process

為驗(yàn)證算法的可靠性，飛控軟件仿真平臺(tái)設(shè)計(jì)了算例，對(duì)輸入輸出監(jiān)控表決算法進(jìn)行測(cè)試，測(cè)試的結(jié)果如表2所示。

表2 輸入輸出監(jiān)控表決算例Tab.2 Examples of input and output monitoring voting

如表2所示，3路輸入數(shù)據(jù)通過(guò)3路外部輸入文件的數(shù)據(jù)體現(xiàn)，安全限幅值M和安全門(mén)限ε為軟件固定設(shè)計(jì)參數(shù)，根據(jù)不同飛行階段和飛行時(shí)間裝訂不同的數(shù)值。比較軟件輸出結(jié)果與預(yù)期結(jié)果可知，軟件表決的實(shí)際輸出與期望輸出一致。

3.3.2 三冗余飛控軟件的交叉通信診斷

3個(gè)CPU通過(guò)數(shù)據(jù)鏈交換獲取數(shù)據(jù)，并根據(jù)3個(gè)計(jì)算機(jī)的采集數(shù)據(jù)進(jìn)行自監(jiān)控和互監(jiān)控。每個(gè)CPU都給出針對(duì)3個(gè)飛控計(jì)算機(jī)的一組監(jiān)控結(jié)果，然后進(jìn)行表決。表決模塊根據(jù)多數(shù)原則判斷哪個(gè)CPU出現(xiàn)了故障，并根據(jù)故障信息進(jìn)行故障通道切換和顯示。為避免瞬時(shí)故障和來(lái)回切機(jī)的影響，可設(shè)置故障容忍門(mén)限，以排除瞬時(shí)故障，實(shí)現(xiàn)抗兩度故障的能力。

在圖1所示的交叉通信鏈路結(jié)構(gòu)中，輸入信號(hào)通過(guò)單獨(dú)3路線路進(jìn)行數(shù)據(jù)傳輸，3個(gè)CPU具有獨(dú)立的處理能力，并具有三機(jī)交互能力。3個(gè)輸出接收模塊也具備數(shù)據(jù)交互能力。三冗余通信線路具有一度故障適應(yīng)能力，即當(dāng)其中任何1個(gè)通信節(jié)點(diǎn)出現(xiàn)故障時(shí)，系統(tǒng)均能夠正常通信；同時(shí)，三冗余飛控軟件具有非同源二度故障的容忍能力。

三冗余飛控軟件對(duì)通信線路進(jìn)行故障診斷，若在約定時(shí)間內(nèi)無(wú)數(shù)據(jù)接收/發(fā)送，則判定該條通路故障，并對(duì)故障通路進(jìn)行隔離，同時(shí)將其他通道的數(shù)據(jù)轉(zhuǎn)發(fā)給故障通道的CPU。3個(gè)CPU之間通過(guò)心跳進(jìn)行檢測(cè)，若1個(gè)CPU在連續(xù)時(shí)間內(nèi)失去心跳，則判定其為故障，三冗余飛控軟件即降級(jí)為主從雙冗余系統(tǒng)實(shí)現(xiàn)運(yùn)行。

4 結(jié) 論

本文提出了一種運(yùn)載火箭三冗余飛控軟件數(shù)字仿真平臺(tái)設(shè)計(jì)方案，通過(guò)選擇合適的冗余模式，建立了三冗余飛控軟件數(shù)字仿真平臺(tái)的軟件總體架構(gòu)，給出了實(shí)現(xiàn)余度冗余策略、同步算法、冗余表決等關(guān)鍵技術(shù)工程的軟件流程。測(cè)試結(jié)果表明，該方案設(shè)計(jì)合理，不僅較好地完成了飛控計(jì)算機(jī)的余度管理任務(wù)，而且有效地保證了系統(tǒng)的可靠性與容錯(cuò)能力。