葉上華，李雪源，陳朋瑞

（航空工業(yè)西安航空計算技術(shù)研究所，陜西 西安 710068）

0 引 言

隨著綜合模塊化航電子系統(tǒng)（Intergrated Modular Avionics，IMA）的發(fā)展，軟件加卸載和更新維護(hù)的需求日益增加，因此ARINC615A數(shù)據(jù)加載通信協(xié)議規(guī)定了航空電子系統(tǒng)數(shù)據(jù)加卸載行為，其中包括查找信息、上傳以及下載功能涉及的通信過程和格式，但通信協(xié)議缺乏對所上傳數(shù)據(jù)進(jìn)行校驗的機(jī)制，因此航空電子系統(tǒng)中運行的軟件可能會存在與機(jī)上軟硬件不兼容的風(fēng)險，造成航空電子系統(tǒng)運行故障，甚至導(dǎo)致安全事故[1]。本文提出基于ARINC615A數(shù)據(jù)加載通信協(xié)議的數(shù)據(jù)加載軟硬件兼容性校驗方法，該方法針對IMA系統(tǒng)中的通用處理模塊（General Processing Module，GPM）設(shè)計了一種可加載映射表，利用可加載映射表改進(jìn)上傳通信過程使其具有校驗機(jī)制，最后實現(xiàn)了軟件核心功能[2]。改進(jìn)后的上傳通信通過識別出與航空電子系統(tǒng)不兼容的數(shù)據(jù)文件拒絕其上傳，進(jìn)一步保障航空電子系統(tǒng)運行的可靠性和安全性。

1 數(shù)據(jù)通信協(xié)議研究

綜合模塊化航空電子系統(tǒng)是一個分布式的計算平臺，由機(jī)柜和標(biāo)準(zhǔn)化的硬件模塊組成，包括GPM、交換機(jī)模塊以及遠(yuǎn)程數(shù)據(jù)集中器。系統(tǒng)中的設(shè)備通過實時可靠的航空電子全雙工交換式以太網(wǎng)（Avionics Full Duplex Switched Ethernet，AFDX）進(jìn)行通信，其中GPM模塊支持?jǐn)?shù)據(jù)計算功能，交換機(jī)模塊支持?jǐn)?shù)據(jù)傳輸功能，遠(yuǎn)程數(shù)據(jù)集中器將傳感器等設(shè)備信號經(jīng)由交換機(jī)傳至GPM進(jìn)行數(shù)據(jù)計算。IMA系統(tǒng)的駐留應(yīng)用軟件運行在GPM模塊上，GPM采用實時操作系統(tǒng)為駐留應(yīng)用軟件提供可計算的資源。隨著應(yīng)用規(guī)模的不斷擴(kuò)大，一個航空電子駐留應(yīng)用往往由運行在不同GPM中的多個軟件功能構(gòu)成，這些應(yīng)用軟件功能按照空間和時間2個因素進(jìn)行分區(qū)，因此駐留應(yīng)用又稱為分區(qū)應(yīng)用[3]?？臻g分區(qū)指每個分區(qū)由模塊集成者根據(jù)空間分隔需求為每個分區(qū)分配最大數(shù)量的資源；時間分區(qū)通過配置表為每個模塊中的軟件功能靜態(tài)分配時間片。時間片的分配具有周期性和固定性，因此每個分區(qū)應(yīng)用功能都在特定時間周期內(nèi)執(zhí)行。

數(shù)據(jù)加載分區(qū)應(yīng)用軟件采用ARINC615A數(shù)據(jù)加載通信協(xié)議滿足IMA系統(tǒng)對維護(hù)軟件的加卸載要求。ARINC615A數(shù)據(jù)加載通信協(xié)議是由運行在AFDX網(wǎng)絡(luò)中的地面端加載器和目標(biāo)機(jī)即GPM模塊組成。地面端加載器運行數(shù)據(jù)加載客戶端軟件，GPM模塊運行數(shù)據(jù)加載分區(qū)應(yīng)用軟件。數(shù)據(jù)加載客戶端軟件和數(shù)據(jù)加載分區(qū)應(yīng)用軟件根據(jù)ARINC615A數(shù)據(jù)加載通信協(xié)議的規(guī)定進(jìn)行大量的消息通信，共同完成以下功能。

（1）查詢功能。數(shù)據(jù)加載分區(qū)應(yīng)用軟件接收數(shù)據(jù)加載客戶端軟件的查詢請求，獲取目標(biāo)機(jī)硬件信息并組織查詢應(yīng)答包發(fā)送給數(shù)據(jù)加載客戶端軟件，以完成加載器對目標(biāo)機(jī)的查找。

（2）信息功能。數(shù)據(jù)加載分區(qū)應(yīng)用軟件接收數(shù)據(jù)加載客戶端軟件的信息請求，通過信息功能來告知當(dāng)前目標(biāo)機(jī)名稱、序列號以及軟件名稱等相關(guān)設(shè)備信息。

（3）上傳功能。數(shù)據(jù)加載分區(qū)應(yīng)用軟件接收數(shù)據(jù)加載客戶端軟件的上傳請求后，從該請求包中得到加載器所要上傳的文件列表，通過解析文件列表，數(shù)據(jù)加載分區(qū)應(yīng)用軟件依次請求數(shù)據(jù)加載客戶端軟件上傳的數(shù)據(jù)文件，從而實現(xiàn)獲取數(shù)據(jù)文件的目的。

（4）下載功能。數(shù)據(jù)加載分區(qū)應(yīng)用軟件接收數(shù)據(jù)加載客戶端軟件的下載請求后，通過向加載器發(fā)送目標(biāo)機(jī)所有的文件列表，由數(shù)據(jù)加載客戶端軟件對需要下載的文件進(jìn)行選擇，或者由目標(biāo)機(jī)直接接收數(shù)據(jù)加載客戶端軟件所需要下載的文件列表請求，而后數(shù)據(jù)加載分區(qū)應(yīng)用軟件將需要下載的數(shù)據(jù)文件發(fā)送給數(shù)據(jù)加載客戶端軟件。

2 上傳通信改進(jìn)

數(shù)據(jù)加載分區(qū)應(yīng)用軟件為IMA系統(tǒng)提供軟件更新維護(hù)的功能，使得GPM模塊可以上傳和下載數(shù)據(jù)。本小節(jié)提出可加載映射表的設(shè)計思想，將其作為兼容性校驗的標(biāo)準(zhǔn)，通過判斷待上傳的加載項是否與GPM模塊軟硬件兼容，從而決定是否允許其進(jìn)行上傳通信。利用可加載映射表對上傳通信進(jìn)行改進(jìn)，使上傳通信具有校驗機(jī)制。

2.1 可加載映射表

可加載映射表針對IMA系統(tǒng)的GPM模塊設(shè)計，包含一個模塊可兼容的所有加載項信息。每個加載項均具有多種屬性，如加載項名稱、描述和所占存儲空間大小等。本文經(jīng)過梳理，提煉出7個屬性作為兼容性校驗的關(guān)鍵屬性，分別是硬件兼容碼和可加載項配置信息。硬件兼容碼包含機(jī)柜位置和模塊位置2個關(guān)鍵屬性，根據(jù)機(jī)柜位置和模塊位置可以確定可加載映射表所在模塊的相關(guān)信息，凡是不滿足該硬件屬性的加載項均被拒絕上傳?？杉虞d項配置信息包含5個屬性，分別是可加載項名稱、可加載項ID、可加載項的平臺主版本號、平臺次版本號以及應(yīng)用程序版本號。其中，可加載項名稱和可加載項ID可以唯一識別一個特定的可加載項，其余的3個關(guān)鍵屬性則可以依次得出平臺版本和應(yīng)用版本的控制信息。

GPM模塊的可加載映射表是由硬件兼容碼和多個可加載項配置信息2個部分內(nèi)容組成的二進(jìn)制文件，結(jié)構(gòu)如圖1所示。

圖1 可加載映射表結(jié)構(gòu)

對于每個待上傳的加載項，其必須符合可加載軟件飛機(jī)零部件（Loadable Software Airplane Parts，LSAP）的格式規(guī)定。LSAP包含1個頭文件和1個或多個數(shù)據(jù)文件，根據(jù)使用需求選擇是否提供支持文件，支持文件包含數(shù)據(jù)文件的配置信息。IMA系統(tǒng)要求必須提供支持文件。根據(jù)所提出的關(guān)鍵屬性，結(jié)合支持文件和可加載映射表，對于特定的加載項，GPM模塊的數(shù)據(jù)加載分區(qū)應(yīng)用軟件利用支持文件中的加載項信息和可加載映射表對比，就可以確定該加載項是否被目標(biāo)機(jī)兼容。

2.2 可校驗的上傳通信

根據(jù)所提出的可加載映射表，對ARINC615A通信協(xié)議的上傳通信進(jìn)行改進(jìn)。上傳通信就是從地面端數(shù)據(jù)加載器到目標(biāo)機(jī)數(shù)據(jù)加載分區(qū)應(yīng)用軟件上傳文件的消息通信過程，本文利用可加載映射表使其能夠識別出不符合GPM模塊軟硬件兼容的加載項并拒絕上傳。為方便表述，將改進(jìn)后的上傳通信稱為可校驗上傳通信。

ARINC615A通信協(xié)議的上傳功能包括3個階段，如圖2所示。初始化階段用于目標(biāo)機(jī)與地面端加載器的通信狀態(tài)初始化，目標(biāo)機(jī)應(yīng)根據(jù)其當(dāng)前狀態(tài)決定是否接受上傳通信請求，并將結(jié)果發(fā)送給地面端加載器。列表傳輸階段目標(biāo)機(jī)應(yīng)獲取地面端加載器的上傳文件列表，表中包含地面端加載器給目標(biāo)機(jī)的上傳文件名。文件傳輸階段目標(biāo)機(jī)應(yīng)接收地面端加載器發(fā)送給目標(biāo)機(jī)的數(shù)據(jù)文件[4]。

圖2 ARINC615A協(xié)議上傳通信過程

上傳通信的3個階段都會產(chǎn)生相應(yīng)的消息，地面端加載器和目標(biāo)機(jī)數(shù)據(jù)加載分區(qū)應(yīng)用軟件通過大量的協(xié)議文件交互完成此功能?？尚ｒ炆蟼魍ㄐ旁诹斜韨鬏旊A段添加軟硬件校驗機(jī)制，列表傳輸階段目標(biāo)機(jī)接收到頭文件以后進(jìn)行解析，按照ARINC615A協(xié)議的規(guī)定，此時需要獲取數(shù)據(jù)文件的名稱，然后依次向地面端加載器發(fā)起數(shù)據(jù)文件傳輸請求，但改進(jìn)后的列表傳輸階段則會通過解析頭文件獲取支持文件的名稱，通過向地面端加載器請求支持文件獲取加載項的配置信息，而后對支持文件進(jìn)行解析。首先，支持文件中加載項的機(jī)柜位置、模塊位置應(yīng)與可加載映射表中可加載項的硬件兼容碼相同；其次，支持文件中加載項的主平臺版本號應(yīng)與可加載映射表中可加載項的主平臺版本號相同，所有加載項都應(yīng)具有相同的主平臺版本號；再次，支持文件中加載項的次平臺版本號應(yīng)小于或等于可加載映射表中可加載項的次平臺版本號，每個可加載項的次平臺版本號可能具有差異；最后，支持文件中加載項的應(yīng)用程序版本號應(yīng)等于可加載映射表中可加載項的應(yīng)用程序版本號。通過解析支持文件和可加載映射表，當(dāng)所有加載項滿足兼容條件時才會進(jìn)入文件傳輸階段，否則本次上傳通信因存在軟硬件不兼容的加載項而結(jié)束。

3 數(shù)據(jù)加載分區(qū)應(yīng)用軟件實現(xiàn)

為了驗證可校驗上傳通信功能的可行性，本文對目標(biāo)端數(shù)據(jù)加載分區(qū)應(yīng)用軟件的基本功能進(jìn)行實現(xiàn)。數(shù)據(jù)加載分區(qū)應(yīng)用軟件采用分層設(shè)計的邏輯架構(gòu)，通過對數(shù)據(jù)加載分區(qū)應(yīng)用軟件功能的分析，對其進(jìn)行結(jié)構(gòu)化劃分，最終完成整個應(yīng)用的設(shè)計。軟件架構(gòu)如圖3 所示[5]。

圖3 數(shù)據(jù)加載分區(qū)應(yīng)用軟件架構(gòu)

數(shù)據(jù)加載分區(qū)應(yīng)用軟件自頂向下分為應(yīng)用層和協(xié)議層。應(yīng)用層通過調(diào)用協(xié)議層接口完成任務(wù)啟動終止以及各類協(xié)議和軟件的初始化、目標(biāo)機(jī)配置管理接口調(diào)用等。協(xié)議層包括ARINC615A通信協(xié)議、ARINC 665 協(xié)議以及簡單文件傳輸協(xié)議（Trivial File Transfer Protocol，TFTP）[6,7]。TFTP 協(xié)議是實現(xiàn)文件傳輸所遵循的規(guī)定，包括讀文件請求、寫文件請求、發(fā)送文件以及接收文件等。數(shù)據(jù)加載分區(qū)應(yīng)用軟件和加載端軟件進(jìn)行通信的文件格式定義遵循ARINC665協(xié)議，包含對通信過程中文件的結(jié)構(gòu)體定義、生成、解析以及文件生成后或解析時用到的數(shù)據(jù)完整性、正確性的校驗算法等。通信過程核心功能的實現(xiàn)則符合ARINC615A協(xié)議的規(guī)定，包括實現(xiàn)應(yīng)用層調(diào)用所需的接口、對數(shù)據(jù)加載通信協(xié)議流程的處理以及上傳通信及其他功能的實現(xiàn)。

在此對可校驗的上傳通信涉及到的函數(shù)接口進(jìn)行介紹，如表1所示。

表1 可校驗的上傳通信函數(shù)接口說明

整個過程中，接口函數(shù)互相配合調(diào)用來保證數(shù)據(jù)通信完整正確的執(zhí)行。實驗結(jié)果表明，數(shù)據(jù)加載分區(qū)應(yīng)用軟件功能正常、運行穩(wěn)定，滿足預(yù)期設(shè)計。

4 結(jié) 論

通過研究ARINC615A數(shù)據(jù)加載通信協(xié)議的上傳通信過程，設(shè)計出適用于IMA系統(tǒng)的可加載映射表，改進(jìn)了ARINC615A數(shù)據(jù)加載通信協(xié)議的上傳通信，使其具有數(shù)據(jù)加載兼容性校驗功能，實現(xiàn)了整個數(shù)據(jù)加載分區(qū)應(yīng)用軟件，充分保證了綜合模塊化航空電子系統(tǒng)上傳文件的可用性和正確性，提高了系統(tǒng)的可靠性和安全性。在今后的研究中還需繼續(xù)探索，進(jìn)一步優(yōu)化數(shù)據(jù)加載校驗方法的性能。