聶 飛,李 健

(中國電子科技集團(tuán)公司第三十二研究所,上海 201808)

0 概述

隨著航空電子技術(shù)的發(fā)展,20世紀(jì)40年代至90年代航電系統(tǒng)的發(fā)展經(jīng)歷了分立式航電體系[1]、聯(lián)合式航電體系和綜合式航電體系[2-3]3個階段,由于座艙顯控系統(tǒng)(Cockpit Display System,CDS)中顯示設(shè)備硬件和顯示管理軟件的功能越來越復(fù)雜,設(shè)備間接口差異問題愈加突出[4],因此傳統(tǒng)模式下的座艙顯控系統(tǒng)已不能滿足日益復(fù)雜的設(shè)計要求[5]。在此背景下,ARINC組織于2001年制定ARINC661規(guī)范[6],該規(guī)范簡化了顯控開發(fā)流程、縮短了開發(fā)周期并降低了開發(fā)成本,航電系統(tǒng)開始步入開放式綜合航電體系階段,成為一種基于軟件定義的高度綜合化航空電子體系。事實上,空客A380是ARINC661規(guī)范的首次應(yīng)用,其主要工作集中于軟件層面,包括控件庫的實現(xiàn)、嵌入式顯示圖形的生成以及用戶程序的設(shè)計。隨著ARINC661規(guī)范在空客A380的成功應(yīng)用,空客A400M和波音787也基于ARINC661規(guī)范進(jìn)行設(shè)計[7],并且ARINC661規(guī)范體現(xiàn)出的優(yōu)勢得到了國內(nèi)研究機(jī)構(gòu)和研究人員的高度重視,其相關(guān)工程應(yīng)用也在逐步開展,如某國產(chǎn)飛機(jī)的航電顯示系統(tǒng)就引入了ARINC661規(guī)范進(jìn)行設(shè)計,并于近期完成相關(guān)功能驗證。本文主要研究ARINC661規(guī)范在航電分布式顯控系統(tǒng)中的應(yīng)用,以解決分布式顯示、競爭條件和失效檢測等問題。

1 ARINC661規(guī)范

1.1 ARINC661圖形庫

ARINC661規(guī)范定義了航空設(shè)備圖形顯示的邏輯分層,將一個完整的圖形顯示劃分為顯示單元、窗口、層和依附到層上的控件,其中:顯示單元是一個基本的顯示圖形渲染器;窗口繪制在顯示單元中,類似于通用計算機(jī)桌面顯示窗口;層是窗口的重要組成部分,也是ARINC661消息事件的基本載體;控件依附在層上,是用戶可視的基本圖形元素。圖1描述了顯示單元、窗口、層和控件之間的邏輯關(guān)系。

圖1 顯示單元、窗口、層和控件之間的邏輯關(guān)系Fig.1 Logical relationship of display unit,window,layers and widgets

1.2 ARINC661通信協(xié)議

ARINC661圖形庫定義的各類圖形顯示控件依據(jù)屬性分為交互式控件和非交互式控件,用戶應(yīng)用(User Application,UA)按照協(xié)議格式與圖形界面交互式控件進(jìn)行信息交互,通信協(xié)議格式定義如表1所示。1 Byte的幀頭(A661_BEGIN_BLOCK)定義了幀數(shù)據(jù)的開始,1 Byte的Layer Id標(biāo)識了圖形層信息,緊跟其后是2 Byte的Context number數(shù)據(jù)位,4 Byte的Size定義了通信數(shù)據(jù)幀的總長度,Run-time Parameter定義了修改控件參數(shù)的具體命令,最后是1 Byte的數(shù)據(jù)幀結(jié)束關(guān)鍵字(A661_END_BLOCK)和預(yù)留位(Reserved)[6],基于ARINC661規(guī)范的UA邏輯功能通過數(shù)據(jù)通信協(xié)議實現(xiàn)對控件屬性參數(shù)的設(shè)置[8]。

表1 ARINC661通信協(xié)議格式定義Table 1 Definition of ARINC661 communication protocol format

2 基于ARINC661規(guī)范的分布式顯控設(shè)計

2.1 分布式顯控架構(gòu)

分布式顯控需求源于近年來航電系統(tǒng)任務(wù)的多元化,系統(tǒng)中單個顯控設(shè)備已經(jīng)不能滿足多任務(wù)顯示需求,多顯示設(shè)備集成的分布式CDS已然成為一種趨勢[9],由于國內(nèi)大型飛機(jī)發(fā)展起步晚,國外航空巨頭技術(shù)封鎖,因此目前基于ARINC661規(guī)范進(jìn)行CDS開發(fā)方面的研究工作仍處于起步階段[10]。

開放式綜合航電體系將顯控系統(tǒng)分為顯示系統(tǒng)和邏輯控制系統(tǒng)兩部分,顯示系統(tǒng)與邏輯控制系統(tǒng)間通過物理航電總線(ARINC664/ARINC429)進(jìn)行連接[11-12]。圖2給出了開放式綜合航電系統(tǒng)邏輯示意圖。座艙顯示系統(tǒng)包含多個分布式顯控設(shè)備,這些設(shè)備可以分為頭顯、平顯以及多功能顯示[9],每個顯控設(shè)備中駐留ARINC661顯示控制服務(wù)應(yīng)用,對外提供基于ARINC661的圖形顯示和標(biāo)準(zhǔn)ARINC664通信接口。綜合模塊化航空電子(Integrated Modular Avionics,IMA)機(jī)箱中駐留了顯示單元對應(yīng)的邏輯控制應(yīng)用,通過邏輯應(yīng)用對圖形界面顯示的控制完成多個顯控單元相同界面顯示、數(shù)據(jù)同步、不同界面顯示等功能,操作員可以直觀地在顯示系統(tǒng)上獲取各類傳感器以及系統(tǒng)的信息數(shù)據(jù),同時通過對顯示系統(tǒng)操作實現(xiàn)人機(jī)交互功能[13]。當(dāng)操作員發(fā)送消息到地面服務(wù)站時,消息由顯控設(shè)備封裝為ARINC661數(shù)據(jù)包經(jīng)航電網(wǎng)絡(luò)傳遞到用戶應(yīng)用,用戶應(yīng)用解析ARINC661數(shù)據(jù)包交付通信管理單元(Communication Management Unit,CMU)處理后由電臺發(fā)送到地面基站[14-16]。

圖2 開放式綜合航電系統(tǒng)邏輯示意圖Fig.2 Logical schematic diagram of open integrated avionic system

2.2 顯控數(shù)據(jù)同步設(shè)計

顯控單元間的顯示數(shù)據(jù)同步主要解決多個操作員操作不同顯示單元的同一顯示界面或不同界面時顯示數(shù)據(jù)的同步問題。文獻(xiàn)[17]中描述了綜合航電系統(tǒng)的典型組成,并對系統(tǒng)硬件和軟件架構(gòu)進(jìn)行介紹,提出一種基于ARINC661規(guī)范的顯示系統(tǒng)設(shè)計方法,該設(shè)計方法給出了單個顯控的場景設(shè)計。文獻(xiàn)[9]提出一種多顯控單元間的UA畫面處理技術(shù),使用ARINC661圖形層的特性和會話機(jī)制,設(shè)計一種單個UA處理不同顯示器畫面的方法,由于顯示數(shù)據(jù)通過窗體部件產(chǎn)生事件觸發(fā)顯示刷新,多個顯示器顯示數(shù)據(jù)具備獨立性,因此未對數(shù)據(jù)進(jìn)行實時同步和操作互斥。在ARINC661規(guī)范中,顯示控件屬性改變基于事件觸發(fā),對圖形顯控的邏輯控制可以簡化為對圖形控件的池化管理,所有顯示控件匯聚為一個公用的資源池,控制層的多個UA可以根據(jù)顯示需要訪問資源池獲取顯示數(shù)據(jù),并周期更新到業(yè)務(wù)層的顯控用戶端,整個過程無需進(jìn)行UA間的數(shù)據(jù)同步。圖3顯示了圖形庫池化管理分層設(shè)計。

圖3 圖形庫池化管理分層設(shè)計Fig.3 Layered design of pooling management of graphics library

業(yè)務(wù)層是一組顯示單元的集合,這些顯示單元可以顯示同一窗口,也可以根據(jù)操作員需要切換顯示不同的窗口,每個顯示單元中駐留了ARINC661顯控服務(wù)、ARINC664通信和失效檢測節(jié)點應(yīng)用,顯控服務(wù)負(fù)責(zé)對ARINC661命令解析,通過圖形單元完成對窗口、層、控件的顯示控制,ARINC664通信軟件負(fù)責(zé)完成網(wǎng)絡(luò)通信虛鏈路管理、數(shù)據(jù)包解析和發(fā)送,失效檢測節(jié)點配合控制層顯控管理完成顯控單元失效檢測。

控制層由不同的用戶應(yīng)用終端節(jié)點(User Application End Point,UAEP)組成,不同的UAEP通過應(yīng)用邏輯控制業(yè)務(wù)層的圖形顯示,單個UAEP可以控制多個顯控用戶,也可以由多個UAEP控制一個顯控用戶,由于底層使用公共的資源池保證了顯控圖形數(shù)據(jù)的一致性,因此控制層接收來自顯控單元和電臺的消息事件進(jìn)行事件邏輯處理,并按照預(yù)定設(shè)計控制業(yè)務(wù)層完成圖形顯示,監(jiān)控CDS運行狀態(tài)實現(xiàn)系統(tǒng)失效檢測和故障管理。

資源池是顯控數(shù)據(jù)同步的關(guān)鍵,圖形控件實例化對象池化設(shè)計保證了圖形元素屬性的一致性,在多個顯控顯示同一窗口時,UAEP只需檢測CDS激活狀態(tài)并周期刷新該界面圖形顯示屬性即可保證顯示的一致性,在顯示不同界面時,UAEP分別讀取不同的實例化對象進(jìn)行圖形屬性刷新,同時對于ARINC661可編輯控件,通過編輯控制參數(shù)實現(xiàn)編輯權(quán)控制,保證了多個操作員操作同一控件的互斥性。

2.3 數(shù)據(jù)記憶競爭條件設(shè)計

ARINC661競爭條件產(chǎn)生的原因是數(shù)據(jù)異步交互產(chǎn)生的請求響應(yīng)不一致。為了解決ARINC661規(guī)范的這一缺陷,ARINC組織于2013年發(fā)布的ARINC661-5版本中詳細(xì)描述了競爭條件問題,并建議開發(fā)者使用控件屬性和Context number來解決系統(tǒng)競爭條件問題,其中ARINC661控件屬性方案由于具有局限性,只能在一定的場景下降低競爭條件發(fā)生的概率。Context number方案建議開發(fā)者在數(shù)據(jù)通信過程中檢測交互命令的Context number,并主動丟棄Context number不一致的數(shù)據(jù)包,該方案會對人機(jī)交互流程帶來影響,操作員在執(zhí)行顯控操作時,顯示界面可能會出現(xiàn)不響應(yīng)的情況,主動丟棄的數(shù)據(jù)幀可能包含重要過程數(shù)據(jù)[6]。本文設(shè)計采用網(wǎng)絡(luò)推演算法,搭建競爭條件延時模型,通過數(shù)據(jù)記憶解決競爭條件問題。圖4描述了分布式顯控系統(tǒng)中的網(wǎng)絡(luò)模塊交互延時模型,為確定網(wǎng)絡(luò)模型中TSysLatencyMax和TPublisherLatencyMax延遲參數(shù)的上確界,在此引入到達(dá)曲線和服務(wù)曲線兩個概念,按照研究網(wǎng)絡(luò)傳輸時延時定義的網(wǎng)絡(luò)基礎(chǔ)元素,假設(shè)一個到達(dá)曲線為α的數(shù)據(jù)流通過一個服務(wù)曲線為β的網(wǎng)絡(luò)元素,則延遲表達(dá)式為d(t)≤h(α,β)=max{x2-x1},其中,α(x1)=β(x2),t≥x2≥x1≥0[18-19],h(α,β)表示特定到達(dá)曲線和服務(wù)曲線下的最大延遲值。

圖4 分布式顯控系統(tǒng)中的網(wǎng)絡(luò)交互延時模型Fig.4 Network interaction delay model in distributed display and control system

在實現(xiàn)中對產(chǎn)生競爭條件的控件參數(shù)數(shù)據(jù)進(jìn)行Context number信息綁定,使得控件參數(shù)數(shù)據(jù)與Context number數(shù)值強(qiáng)關(guān)聯(lián),依據(jù)網(wǎng)絡(luò)演算數(shù)據(jù)動態(tài)調(diào)整節(jié)點數(shù)據(jù)鏈表,保持有效數(shù)據(jù)鏈表深度為Ni。用戶應(yīng)用在更新控件參數(shù)數(shù)據(jù)時,找到待更新控件的參數(shù),若當(dāng)前鏈表中有效數(shù)據(jù)深度小于動態(tài)鏈表深度Ni,則更新記憶數(shù)據(jù)節(jié)點,否則刪除無效節(jié)點數(shù)據(jù),并將最新數(shù)據(jù)和對應(yīng)的Context number記錄在數(shù)據(jù)首節(jié)點位置。圖5描述了控件參數(shù)更新過程,該算法將競爭條件時間域內(nèi)的數(shù)據(jù)完整保存在深度為Ni的鏈表中,當(dāng)競爭條件發(fā)生時,UA通過遍歷參數(shù)鏈表Context number數(shù)值對請求命令進(jìn)行響應(yīng),從而將數(shù)據(jù)從競爭條件中恢復(fù)出來,保證數(shù)據(jù)請求和響應(yīng)的一致性。

圖5 控件參數(shù)更新過程Fig.5 Process of updating control parameters

2.4 顯控管理失效檢測算法

失效檢測是分布式系統(tǒng)中實現(xiàn)高可用性的關(guān)鍵技術(shù)之一,也是可靠性通信、失效恢復(fù)和動態(tài)重構(gòu)等功能的基礎(chǔ)[20]。文獻(xiàn)[21]提出綜合航電系統(tǒng)故障處理機(jī)制,其中失效檢測、故障隔離、異常檢測為故障處理的主要方法。傳統(tǒng)失效檢測算法多數(shù)集中在通過統(tǒng)計到達(dá)心跳消息延遲來獲得最大的延遲值,并將此值作為網(wǎng)絡(luò)超時的上限值實現(xiàn)失效檢測,其檢測時間受網(wǎng)絡(luò)波動影響較大,其后出現(xiàn)的Chen-FD算法依據(jù)離散心跳延遲來預(yù)測下一個心跳消息的到達(dá)時間,在此基礎(chǔ)上通過動態(tài)計算閾值來調(diào)整心跳超時時間,該算法的優(yōu)點是提供了一個較好的心跳延遲超時估算方法,提高了實時檢測的準(zhǔn)確性。Ф-FD算法利用心跳到達(dá)時間的正態(tài)分布特性,計算出時間T之前的心跳到達(dá)概率,并以此為可疑級別與設(shè)定的閾值P比較來判斷系統(tǒng)是否失效。本文設(shè)計借鑒Ф-FD失效檢測算法,結(jié)合機(jī)載航空應(yīng)用環(huán)境和計算資源條件,提出一種適用于航電顯控的失效檢測算法,通過算法模型在系統(tǒng)控制層構(gòu)建一個自適應(yīng)顯控管理單元(Adaptive Display Management Unit,ADMU),完成系統(tǒng)失效檢測和管理。假設(shè)顯控單元Dk以固定周期Δt向ADMU發(fā)送心跳消息,發(fā)送消息內(nèi)容為符合ARINC661規(guī)范的握手?jǐn)?shù)據(jù)包,其中消息頭的VL字段標(biāo)明了當(dāng)前消息的來源,記錄最近一次收到心跳消息的時間為Ti,當(dāng)前時間為T,將心跳到達(dá)時間差記為ΔTi,環(huán)境溫度M∈(-50 ℃,80 ℃),V為第V次獲取心跳差的記錄消息,V為整數(shù),Δ?為ΔTi接收到心跳差的標(biāo)準(zhǔn)均值,具體計算公式如下:

取滑動窗口N,i為獲取心跳差記錄次數(shù),環(huán)境溫度M對心跳消息到達(dá)時間差ΔTi的影響因子為λM,由此得到環(huán)境溫度影響因子為λM,具體計算公式如下:

約定記錄處理器使用率U∈(1%,100%),參照溫度影響因子計算方式獲得處理器使用率在滑動窗口N內(nèi)對心跳消息到達(dá)時間差的影響因子為KU,具體計算公式如下:

λM和KU隨系統(tǒng)運行在滑動窗口N內(nèi)不斷更新,建立T時刻心跳失效可疑度模型為:

其中,ФT越逼近于1時,顯控單元與ADMU之間的通信故障可疑度越高,當(dāng)ФT大于系統(tǒng)設(shè)定的失效閾值門限P時,啟動鏈路異常流程,重新建立通信鏈路,駐留在IMA中的ADMU同時與顯控單元進(jìn)行多路徑失效檢測,通過舉手表決對故障進(jìn)行詳細(xì)定位,并依據(jù)故障類型執(zhí)行恢復(fù)和告警流程。

3 實驗結(jié)果與分析

3.1 實驗環(huán)境

在實驗室環(huán)境中,采用Esterel公司的SCADE顯控仿真器和IMA平臺搭建地空數(shù)據(jù)鏈通信仿真環(huán)境,實驗邏輯框圖如圖6所示。兩臺聯(lián)想商用主機(jī)(因特爾i5-6500雙核,4 GB DDR3內(nèi)存)安裝SCADE A661開發(fā)套件,并集成A661座艙顯控系統(tǒng)模擬器用作駕駛艙顯控仿真。IMA機(jī)箱內(nèi)置多核處理器,IMA內(nèi)駐留機(jī)載數(shù)據(jù)鏈應(yīng)用,該應(yīng)用符合基于ACRAS空地網(wǎng)絡(luò)的ARINC622-4規(guī)范,數(shù)據(jù)鏈地面服務(wù)應(yīng)用符合ARINC618面向字符的空地通信規(guī)范,仿真設(shè)備間通過AFDX交換機(jī)進(jìn)行互聯(lián)[22]。

圖6 地空數(shù)據(jù)鏈通信仿真環(huán)境邏輯示意圖Fig.6 Logic schematic diagram of ground-air data link commnuication simulation environment

3.2 實驗數(shù)據(jù)分析

3.2.1 分布式顯控功能實驗

本文使用自動化測試工具對顯控界面切換、控件信息輸入、按鈕事件等業(yè)務(wù)操作進(jìn)行錄制,模擬兩個操作員同時操作不同顯控單元的同一顯示窗口、同一顯示層、不同顯示窗口、不同顯示層等工作,實驗共循環(huán)100次,單個循環(huán)過程為40 min,TS為自動化測試在兩個顯控平臺的同步啟動時差,TR為數(shù)據(jù)同步刷新周期,TD為同步顯示延遲誤差,PE為實驗故障終止率。表2給出了分布式顯控功能測試結(jié)果,其中“—”表示由于實驗預(yù)置條件限制,因此該項數(shù)據(jù)無記錄統(tǒng)計意義。

表2 分布式顯控功能測試結(jié)果Table 2 Test results of distributed display and control function

從實驗結(jié)果可知,在兩套顯控仿真平臺上,通過航空數(shù)據(jù)鏈軟件進(jìn)行功能覆蓋,ARINC661規(guī)范定義的窗口操作、層操作、控件操作及互斥和業(yè)務(wù)功能能夠正常運行,在平臺同步啟動測試的場景下,顯示刷新延遲誤差在±10 ms以內(nèi),按照人眼對圖像連續(xù)性24 frame/s的感知要求,滿足圖像顯示的一致性要求。

3.2.2 ARINC661競爭條件實驗

表3給出了ARINC661競爭條件的3種解決方案的實驗數(shù)據(jù)對比,由此可知控件屬性解決方案雖然不存在丟包問題,但數(shù)據(jù)錯誤率較高。ARINC661推薦Context number解決方案能夠有效檢測競爭條件數(shù)據(jù)包,隨著用戶應(yīng)用數(shù)據(jù)刷新周期的降低,丟包率逐步增加,極端場景下丟包率高達(dá)100%。數(shù)據(jù)記憶解決方案能夠?qū)Ω偁帡l件數(shù)據(jù)包進(jìn)行完整恢復(fù),實驗條件下PM和PE均為0,有效解決了競爭條件帶來的數(shù)據(jù)丟失和數(shù)據(jù)錯誤問題。

表3 ARINC661競爭條件測試結(jié)果Table 3 Test results of ARINC661 competition conditions

3.2.3 顯控管理失效檢測實驗

失效檢測流程通過持續(xù)周期地檢測接收消息來判斷功能單元是否正確運行,并基于檢測速度和準(zhǔn)確性來確定失效檢測能力。為驗證顯控管理單元失效檢測能力,將上述實驗環(huán)境放置在溫箱環(huán)境中,模擬世界范圍內(nèi)熱氣候類型的誘發(fā)條件,同時構(gòu)造ADMU駐留的處理器資源使用場景,單組檢測周期為120 min,實驗條件如圖7所示。

圖7 失效檢測環(huán)境預(yù)置條件Fig.7 Preset conditions for failure detection environment

實驗共循環(huán)12次,顯控心跳發(fā)送周期Δt為500 ms,滑動窗口N為1 000,失效檢測閾值門限為0.4、0.5、0.6、0.8,實驗過程中隨機(jī)斷開虛鏈路連接,模擬分布式顯控失效條件,并統(tǒng)計有效接收數(shù)據(jù)包數(shù)量、虛警計數(shù)、失效檢測時間,通過計算得到失效檢測虛警率和平均失效檢測時間,如表4所示。

表4 顯控管理失效檢測結(jié)果Table 4 Results of failure detection for display and control management

實驗結(jié)果表明,在閾值門限趨向于1時,虛警率無限逼近于0,同時平均失效檢測時間同步增加,在閾值門限取值為0.6時,單次虛警率降低至0.048 3%。該失效檢測模型兼顧了機(jī)載航電系統(tǒng)環(huán)境與資源因素,通過調(diào)整閾值門限可有效控制分布式顯控系統(tǒng)的虛警率和平均失效檢測時間,滿足航電分布式顯控在不同嚴(yán)酷等級應(yīng)用場景下的失效檢測需求。

4 結(jié)束語

ARINC661規(guī)范因其在開發(fā)周期、成本和接口標(biāo)準(zhǔn)化方面的優(yōu)勢已逐步成為航電系統(tǒng)的主流解決方案。為此,本文提出基于ARINC661規(guī)范的航電分布式顯控設(shè)計方案,解決了座艙顯控系統(tǒng)分布式顯示、競爭條件和顯控失效檢測問題,在復(fù)雜航電系統(tǒng)應(yīng)用中具有較高的使用和推廣價值。今后研究工作將主要集中于探索座艙顯控系統(tǒng)的深度學(xué)習(xí)能力,以期推進(jìn)我國航空電子領(lǐng)域的技術(shù)水平。