安占新 許傳明 王曉玲

北京航天自動(dòng)控制研究所，北京 100854

目前，航天控制領(lǐng)域普遍采用冗余方案進(jìn)行系統(tǒng)設(shè)計(jì)，使用3臺(tái)計(jì)算機(jī)三冗余，或者使用2臺(tái)計(jì)算機(jī)熱備份。每臺(tái)計(jì)算機(jī)的輸入數(shù)據(jù)完全相同，并完成相同的計(jì)算和控制功能，比如三冗余的箭載計(jì)算機(jī)、三冗余的時(shí)序控制計(jì)算機(jī)、熱備份的1553B總線控制器以及無備份的組合導(dǎo)航計(jì)算機(jī)。

三冗余飛行控制軟件運(yùn)行在箭載計(jì)算機(jī)上；熱備份的總線控制器軟件運(yùn)行在1553B總線控制器計(jì)算機(jī)上；組合導(dǎo)航軟件運(yùn)行在組合導(dǎo)航計(jì)算機(jī)上。這些軟件之間通過1553B總線、RS485總線、雙口RAM進(jìn)行交互，通過共用時(shí)鐘和周期中斷進(jìn)行同步[1]，組成了多模式、異構(gòu)軟件系統(tǒng)[2]。系統(tǒng)中的各軟件需要協(xié)同工作，以完成飛行控制功能，因此，軟件設(shè)計(jì)人員需要進(jìn)行冗余設(shè)計(jì)，比如，飛行控制軟件需要確保在同一個(gè)計(jì)算周期進(jìn)入飛行控制狀態(tài)，每個(gè)計(jì)算周期內(nèi)獲得的輸入數(shù)據(jù)要一致；總線控制器軟件需要確保在進(jìn)行主備機(jī)狀態(tài)切換后，發(fā)送的控制指令完整、不丟失、不重復(fù)。

本文對(duì)三冗軟件之間、三冗余軟件與不冗余軟件之間以及三冗余軟件與熱備份軟件之間實(shí)時(shí)交互數(shù)據(jù)的同步性和一致性進(jìn)行分析，找出造成多模異構(gòu)冗余軟件系統(tǒng)不同步的時(shí)機(jī)、方式等影響因素，在此基礎(chǔ)上提出消除這些因素的軟件設(shè)計(jì)思想，給出確保冗余軟件系統(tǒng)同步和一致的設(shè)計(jì)方案。

1 多模異構(gòu)冗余軟件系統(tǒng)不同步的方式

根據(jù)冗余軟件系統(tǒng)的結(jié)構(gòu)模式，多模異構(gòu)冗余軟件系統(tǒng)不同步的方式主要有3種：三冗余軟件間的不同步、三冗余軟件與不冗余軟件之間的不同步、三冗余軟件與熱備份軟件之間的不同步。根據(jù)不同步的內(nèi)容，多模異構(gòu)冗余軟件系統(tǒng)不同步的方式主要有3種：軟件運(yùn)行不同步、信號(hào)或者數(shù)據(jù)輸入不同步、軟件控制輸出不同步。

三冗余軟件之間存在軟件運(yùn)行不同步、信號(hào)或者數(shù)據(jù)輸入不同步。三冗余軟件與不冗余軟件之間存在信號(hào)或者數(shù)據(jù)輸入不同步、軟件控制輸出不同步。三冗余軟件與熱備份軟件之間存在信號(hào)或者數(shù)據(jù)輸入不同步、軟件控制輸出不同步。

1.1 三冗余軟件間的不同步性分析

1)軟件運(yùn)行不同步。

三冗余軟件分別運(yùn)行在相同的3臺(tái)計(jì)算機(jī)上，由于軟件運(yùn)行在不同的CPU上，上電順序、上電過程存在不確定性，使得三冗余軟件運(yùn)行不會(huì)完全同步[3]。因此，可能會(huì)導(dǎo)致在計(jì)算周期N，三冗余軟件中的一個(gè)軟件開始計(jì)時(shí)，進(jìn)行周期為S的周期控制，而三冗余軟件中的其他2個(gè)軟件由于已經(jīng)錯(cuò)過了本周期N的周期控制信號(hào)S，需要在計(jì)算周期N+1開始計(jì)時(shí)，進(jìn)行周期為S的周期控制。這樣三冗余軟件系統(tǒng)出現(xiàn)了計(jì)時(shí)不一致，開始運(yùn)算的初始輸入不同，可能導(dǎo)致三冗余軟件每周期的計(jì)算結(jié)果不同，控制輸出信號(hào)不同。

圖1 三冗余軟件間運(yùn)行不同步

2)信號(hào)或者數(shù)據(jù)輸入不同步

三冗余軟件在完成同一測(cè)試項(xiàng)目時(shí)，由于測(cè)試控制命令的隨機(jī)性以及軟件運(yùn)行方式的限制，可能存在三冗余軟件中的某一個(gè)軟件或者2個(gè)軟件在控制周期N查詢收到了測(cè)試命令M，而另外2個(gè)軟件或者1個(gè)軟件在控制周期N+1查詢收到了測(cè)試命令M,從而導(dǎo)致三冗余軟件執(zhí)行測(cè)試命令M的時(shí)刻不同，它們的測(cè)試結(jié)果會(huì)有所差別。

圖2 三冗余軟件間信號(hào)或數(shù)據(jù)輸入不同步

1.2 三冗余軟件與熱備份軟件間不同步分析

1)信號(hào)或者數(shù)據(jù)輸入不同步

由于三冗余軟件與熱備份軟件運(yùn)行不同步，在熱備份軟件切換前后，三冗余軟件正在獲取熱備份軟件的狀態(tài)信息，可能會(huì)出現(xiàn)：三冗余軟件的某1個(gè)或者2個(gè)軟件獲取到切換前熱備份軟件1為主機(jī)，而另外2個(gè)軟件或者1個(gè)軟件獲取到切換后熱備份軟件2為主機(jī)。這樣三冗余軟件在本控制周期內(nèi)從不同的熱備份軟件錄取控制計(jì)算周期內(nèi)的輸入信號(hào)或者數(shù)據(jù)，導(dǎo)致三冗余軟件計(jì)算不一致。

圖3 三冗余軟件與熱備份軟件間信號(hào)或者數(shù)據(jù)輸入不同步

2)軟件控制輸出不同步。

三冗余軟件的控制指令通過熱備份軟件中的主機(jī)軟件輸出到執(zhí)行機(jī)構(gòu)執(zhí)行，因此，當(dāng)熱備份軟件發(fā)生切換時(shí)，切換后的軟件在本控制周期內(nèi)可能會(huì)因未收到三冗余軟件的控制指令而不執(zhí)行相應(yīng)的控制功能。

在控制周期N，三冗軟件向熱備份軟件的主機(jī)軟件發(fā)出了控制命令L，熱備份軟件的主機(jī)軟件在本周期內(nèi)執(zhí)行了控制命令L。而在控制周期M，三冗余軟件向熱備份軟件的主機(jī)軟件發(fā)出了控制命令K，此時(shí)，熱備份軟件進(jìn)行了主輻機(jī)切換，在控制周期M內(nèi)，切換后的主機(jī)軟件沒有收到控制命令K，因此，不會(huì)執(zhí)行控制命令K，導(dǎo)致控制命令K丟失，未執(zhí)行。

圖4 三冗余軟件與熱備份軟件間控制輸出不同步

1.3 三冗余軟件與不冗余軟件間不同步分析

由于三冗余軟件運(yùn)行的不同步性，三冗余軟件獲取不冗余軟件輸入的數(shù)據(jù)或者信號(hào)可能不同步，導(dǎo)致三冗余軟件的計(jì)算結(jié)果存在偏差。

控制周期N，在不冗余軟件向三冗余軟件輸出數(shù)據(jù)或者信號(hào)之前，三冗余軟件1和3已經(jīng)執(zhí)行了獲取不冗余軟件數(shù)據(jù)或者信號(hào)的操作，因此，三冗余軟件1和3本周期未錄取到不冗余軟件的數(shù)據(jù)或者信號(hào)。而三冗余軟件2在不冗余軟件向三冗余軟件輸出數(shù)據(jù)或者信號(hào)之后，執(zhí)行獲取不冗余軟件數(shù)據(jù)或者信號(hào)的操作，因此三冗余軟件2錄取到了不冗余軟件的輸入數(shù)據(jù)或者信號(hào)，在本控制周期內(nèi)參與了控制。因此，三冗余軟件2與軟件1和3的計(jì)算結(jié)果可能會(huì)存在差異。

圖5 三冗余軟件與不冗余軟件間不同步

2 多模異構(gòu)冗余軟件系統(tǒng)同步策略

2.1 延時(shí)等待策略

三冗余軟件間軟件運(yùn)行不同步的特點(diǎn)是：運(yùn)行速度慢的軟件必須完成當(dāng)前正在進(jìn)行的工作才能進(jìn)行后續(xù)工作。因此，運(yùn)行較快的軟件必須延時(shí)等待運(yùn)行較慢的軟件，以便達(dá)到同步運(yùn)行的目的。

在延時(shí)等待的過程中，運(yùn)行較快的軟件需要實(shí)時(shí)查詢運(yùn)行較慢軟件的狀態(tài)，一旦得知其它2個(gè)軟件已經(jīng)準(zhǔn)備好，則借助硬件S周期同步信號(hào)進(jìn)行計(jì)時(shí)，進(jìn)入周期運(yùn)算。冗余軟件之間交互狀態(tài)可以通過雙口RAM、FIFO或者狀態(tài)量。

如圖6所示，在第N周期，三冗余軟件2已經(jīng)初始化完畢，但是，若其未獲得三冗余軟件1和三冗余軟件3初始化完畢的信號(hào)，則需要等待，直到第N+1周期，三冗余軟件才一起同步進(jìn)行計(jì)時(shí)，開始周期運(yùn)算。

圖6 三冗余軟件間延時(shí)等待同步策略

2.2 交互表決策略

三冗余軟件間信號(hào)或者數(shù)據(jù)輸入不同步的特點(diǎn)是：三冗余軟件未在同一個(gè)運(yùn)算周期開始測(cè)試。因此，三冗余軟件通過雙口RAM、FIFO或者狀態(tài)量進(jìn)行測(cè)試命令交互[4-5]，以便在同一測(cè)試周期開始測(cè)試。

如圖7所示，在周期控制信號(hào)S到達(dá)時(shí)刻，三冗余軟件交互地面測(cè)試命令。因此，雖然控制信號(hào)在第N周期內(nèi)到來，但是，在第N周期開始時(shí)刻，三冗余軟件交互的地面測(cè)試命令無測(cè)試M命令；在第N周期，軟件查詢?nèi)哂嗪蟮臏y(cè)試命令，但無法查詢到進(jìn)行測(cè)試M命令。在第N+1周期的開始時(shí)刻，三冗余軟件交互測(cè)試命令，能夠查詢到冗余后測(cè)試M命令，三冗余軟件在同一周期進(jìn)行同步測(cè)試。

圖7 三冗余軟件間交互表決同步策略

2.3 串行操作策略

三冗余軟件與熱備份軟件間信號(hào)或者數(shù)據(jù)輸入不同步、三冗余軟件與不冗余軟件間不同步的特點(diǎn)是：軟件操作時(shí)間點(diǎn)沖突。因此，如果在控制周期T內(nèi)將軟件操作串行進(jìn)行，則能夠避免軟件操作沖突。以三冗余軟件與不冗余軟件間不同步為例進(jìn)行說明。

在控制周期T開始時(shí)刻，不冗余軟件向三冗余軟件輸出數(shù)據(jù)或者信號(hào)，在控制周期內(nèi)的T/3時(shí)刻，三冗余軟件獲取不冗余軟件的數(shù)據(jù)或者信號(hào)，這樣，三冗余軟件獲取的數(shù)據(jù)和信號(hào)就是一致的。

圖8 三冗余軟件與熱備份軟件及不冗余軟件間串行同步策略

2.4 記憶重發(fā)策略

三冗余軟件與熱備份軟件間軟件控制輸出不同步的特點(diǎn)是：由于熱備份軟件切換時(shí)刻與冗余軟件計(jì)算輸出時(shí)刻相同，導(dǎo)致切換后熱備份軟件中主機(jī)不能發(fā)送冗余軟件的命令。因此，三冗余軟件在發(fā)送命令時(shí)需要同時(shí)發(fā)送給熱備份軟件中的主機(jī)和輔機(jī)。熱備份軟件收到冗余軟件的命令后，保存此命令，如果本機(jī)是主機(jī)，且此命令尚未發(fā)送，則發(fā)送此命令。發(fā)送完畢后，主機(jī)記錄此命令已經(jīng)發(fā)送完畢；同時(shí)，輔機(jī)可以通過1553B總線MT監(jiān)測(cè)此命令，如果監(jiān)測(cè)到總線上主機(jī)發(fā)送此命令成功，則記錄此命令已經(jīng)完成發(fā)送。

如圖9所示，在發(fā)生故障時(shí)，熱備份軟件主輔機(jī)切換，切換前的主機(jī)未發(fā)送控制命令K。切換后的主機(jī)檢測(cè)到：三冗余軟件已經(jīng)發(fā)送命令K；控制命令K未發(fā)送成功。切換后的主機(jī)根據(jù)上述情況以及本機(jī)為主機(jī)的狀態(tài)，發(fā)送控制命令K，直至發(fā)送成功。硬件切換機(jī)制保證熱備份軟件在同一時(shí)刻僅一個(gè)軟件能夠發(fā)送控制命令。

圖9 三冗余軟件與熱備份軟件記憶重發(fā)策略

3 結(jié)論

在分析造成多模異構(gòu)冗余軟件系統(tǒng)不同步的時(shí)機(jī)、方式等影響因素的基礎(chǔ)上，根據(jù)影響因素的不同特點(diǎn)提出了確保冗余軟件系統(tǒng)數(shù)據(jù)同步和一致的延時(shí)等待、交互表決、串行操作以及記憶重發(fā)的同步控制策略。經(jīng)過工程實(shí)踐證明，這些控制策略簡(jiǎn)單易行，對(duì)其它軟件冗余系統(tǒng)進(jìn)行同步控制設(shè)計(jì)有一定的借鑒意義。