雙冗余熱備份技術的綜合控制設備設計與實現

羅悅，陶然，趙明，李正天

(1.北京電子工程總體研究所，北京 100854；2.北京航天自動控制研究所，北京 100854)

0 引言

目前，為滿足地面武器裝備車輛低成本、高可靠、信息化的發展需求，采用集成化、一體化的綜合控制設備完成車輛的一體化控制功能已成為未來發展的重要方向[1]，車載綜合控制設備作為武器裝備可靠執行任務的地面核心控制設備，主要功能包括流程控制、人機交互、接收其他車載設備狀態信息并進行分析處理、對外發送控制命令完成控制功能，其可靠性、安全性將直接影響裝備車輛的整車性能，同時綜合控制設備作為裝車設備，其使用環境條件惡劣，會受到外界環境的各種干擾，可能導致設備出現死機、通信故障、程序跑飛等故障，一旦綜合控制設備出現故障后，地面裝備車輛的任務將被迫終止，最終導致武器裝備無法正常使用。因此車載綜合控制設備已逐步采用容錯技術來提高可靠性[2]，即針對關鍵設備、部件、元器件采用冗余熱備份的設計方法，但并非余度越多設備可靠性越高，因為余度提高后對應的冗余部件也將增加，使得用于故障檢測和余度切換的部件增多[3]，仲裁模塊功能越復雜，可靠性反而可能降低[4]。本文提出一種基于雙冗余熱備份技術的綜合控制設備，通過仲裁方式實現主、備狀態監測及故障切換功能，通過同步軟件模塊實現余度間的任務同步，對系統軟件改動小、易于實現，提高了地面裝備的任務可靠性。

1 冗余熱備份方案設計

冗余熱備份即為當一個設備出現故障后，另一個熱備份的設備在無人為干涉情況下實現快速、平滑地切換，接管主設備的所有功能，確保設備故障切換后執行任務的持續性[5-6]。

實現冗余熱備份的方式包括整機熱備和板級熱備2種，同時板級熱備可采取對所有板卡進行熱備份設計或者針對部分板卡進行熱備份設計，針對綜合控制設備的故障模式進行分析，發現電源模塊和CPU模塊是設備的故障易發點，因此針對設備中的關鍵部件電源模塊、CPU模塊采用雙冗余熱備份設計來提高可靠性，同時基于仲裁方式對冗余的2個CPU模塊進行余度管理[7]，由于電源模塊的熱備份技術比較成熟，本設計中不再贅述。

數據同步技術是實現冗余熱備份的關鍵技術，熱備份的設備需要知道主設備的運行狀態，并與之保持一致才能保證故障切換后設備可以接續當前狀態繼續運行。目前同步方式包括時鐘同步、任務同步、松散同步[8]，時鐘同步適用于高精度的實時計算系統中，要求冗余的2個模塊在時鐘周期內執行嚴格數據同步過程，需要硬件設計的支持且實現難度較大；任務同步以任務為單位實施同步減少了余度之間的交互及同步等待時間，適用于基于任務調度方式工作的設備中；而松散同步適用于對雙機同步精度要求不高的設備中。數據同步可以通過反射內存卡、雙端口RAM的存儲器、磁盤陣列方式實現[9-10]，也可以通過串、并行通訊鏈路實現，基于反射內存卡或雙端口RAM的數據同步方式需要對設備硬件進行重新設計，難度大、成本高，通常高精度時鐘同步方式采用此方法，而基于串、并行通訊鏈路進行數據同步的方式簡單易操作、成本低，滿足任務級同步的非大數據量同步交互需求。由于綜合控制設備主要執行流程控制及通信功能，不進行算法處理，在輸入相同情況下每一過程的執行結果是確定的，因此采取基于通信鏈路的任務同步方式，即可以降低數據同步的復雜度，同時也滿足綜合控制設備的同步功能需求。

綜合考慮可靠性、復雜度、實現難度以及成本因素，車載綜合控制設備采用板卡級熱備份方式，針對CPU模塊及電源模塊進行冗余熱備設計，同時采用仲裁的方式實現余度管理共能，并采用基于任務的數據同步方法進行同步設計。

2 冗余熱備份綜合控制設備設計

2.1 硬件設計

綜合控制設備包括2個硬件完全相同的CPU模塊、1個仲裁模塊、2個冗余的電源模塊、1個背板模塊以及其他功能模塊，各模塊通過VPX總線與背板模塊相連接，原理圖如圖1所示。其中CPU模塊具有自檢測功能，通過模塊上自帶傳感器及自檢程序完成對自身狀態的實時監測，2個CPU模塊的DVI視頻輸出信號連接至仲裁模塊，仲裁模塊控制主CPU模塊的視頻信號輸出至顯示屏，同時仲裁模塊將外部鍵盤、鼠標的USB信號進行一分為二的分路處理后輸入給2個CPU模塊，2個CPU模塊通過直連網線實現數據通信完成主、備間的任務同步功能。

仲裁模塊完成對2個CPU模塊的心跳檢測，接收CPU模塊的狀態信息，完成故障的處理，實現2個CPU模塊的主備切換功能，完成CPU模塊對外輸出信號的切換控制功能，包括鍵盤、USB、IO信號，仲裁模塊通過 RS422 串口與2個CPU模塊進行數據通訊，CPU模塊通過RS422串口定時向仲裁模塊發送心跳數據及自身運行狀態信息。仲裁模塊實施故障的分析處理，完成對2個CPU模塊的通、斷電控制功能及對外輸出信號的切換控制功能，包括鍵盤、鼠標、視頻信號，從而實現綜合控制設備2個CPU模塊的主備切換功能。

綜合控制設備上電后，默認第1個槽位上的CPU模塊為主CPU模塊，負責與外部的通訊、控制功能，另一個作為熱備份CPU模塊，只接收外部的數據，不對外發送信息，2個CPU模塊上電自檢無誤后開始工作，構成雙余度系統，2個CPU模塊定時以10 ms的間隔向仲裁模塊發送心跳信息，仲裁模塊根據CPU模塊的健康狀態信息及心跳監測狀態[11]判斷CPU模塊是否出現故障。

2.2 故障檢測

故障檢測是完成高可靠仲裁切換的重要保證條件，綜合控制設備的故障檢測包括以下幾個方面：

(1) CPU模塊硬件故障[12]：每個CPU模塊上電后，采用自檢程序實時對自身工作狀態進行監控，自檢狀態包括對CPU模塊溫度、CPU使用率、CPU電壓值、CPU工作頻率、內存溫度、內存使用率等進行快速自檢，若自檢結果不正常則直接發送狀態信息給仲裁模塊；

(2) 2個CPU模塊定時向仲裁模塊發送心跳，如果仲裁模塊連續5次未接收到某個CPU模塊的心跳，則認為該CPU模塊出現故障；

(3) CPU模塊上運行的應用軟件中設置看門狗，用看門狗定時器監控程序狀態，當程序出現跑飛或鎖死故障時，向仲裁模塊上報故障狀態；

(4) 通信鏈路故障：CPU模塊與外部節點通信過程中，因為通信鏈路故障導致數據接收或發送失敗，CPU模塊向仲裁模塊上報故障狀態；

(5) 如果2個CPU模塊之間的直連網線出現鏈路故障，導致數據同步失敗，輸出主CPU模塊的結果，同時將故障信息上報給仲裁模塊;

(6) 2個CPU模塊的同步不一致故障：如果2個CPU模塊進行任務同步過程中出現同步結果不一致，導致2個CPU模塊的狀態不一致，此時綜合控制設備將輸出主CPU模塊的處理結果，同時上報故障信息。

故障檢測的流程圖如圖2所示。

2.3 切換處理

綜合控制設備上電后，主CPU模塊、備CPU模塊同時上電工作，構成雙余度系統，仲裁模塊根據CPU模塊的健康狀態信息及心跳監測狀態判斷CPU模塊是否出現故障。當仲裁模塊監測到某一CPU模塊出現故障后，立即進行故障的切換處理，同時在綜合控制設備前面板上通過狀態指示燈進行故障指示，仲裁模塊的切換處理方式如下：

(1)當主CPU模塊出現故障時，仲裁模塊進行主備切換處理，切換工作完成將對外輸出的視頻信號以及輸入的鍵盤、鼠標等USB信號從故障CPU模塊切換到正常CPU模塊上，同時對主CPU模塊實施斷電處理，備CPU模塊后續以單余度狀態工作，不再進行任務同步操作，并向綜合控制系統內的其他節點發送切換通知，當節點收到切換通知后，向綜合控制設備發送數據時僅對正常工作的CPU模塊發送即可。

圖1 一種基于仲裁方式的雙冗余熱備份綜合控制設備原理框圖Fig.1 Functional block diagram of synthetic control equipment based on dual hot-redundancy

圖2 故障檢測流程圖Fig.2 Flow chart of fault detection

(2) 如果備CPU模塊出現故障，則直接將備CPU模塊進行斷電處理，主CPU模塊后續以單余度狀態工作，不再進行任務同步操作，同時向綜合控制系統內的其他節點發送切換通知。

(3) 如果2個CPU模塊均出現故障，則仲裁模塊對2個CPU模塊均實施斷電處理，綜合控制設備故障，等待維修。

3 基于任務的數據同步處理方法設計

設備工作過程中，2個冗余熱備份CPU模塊運行相同的軟件，需要進行數據同步從而保證彼此狀態的一致性和任務同步性[13-15]。本文提出的任務同步方法包括3個部分的同步，分別為設備自身業務處理后的狀態數據同步、發送給外部節點的輸出數據同步、接收外部節點發送數據的同步。將CPU模塊上的軟件分為業務模塊及任務同步模塊，業務模塊實現單余度時的設備功能，任務同步模塊實現2個冗余CPU模塊之間的任務數據同步。具體同步方式如圖3所示。

圖3 一種雙冗余熱備份設備的任務同步原理圖Fig.3 Task synchronization schematic diagram of hot-redundancy device

3.1 自身業務狀態數據同步

將業務模塊按功能分成多個任務來執行，當任務執行結束后調用任務同步模塊進行一次數據同步操作，同時任務同步模塊實施心跳狀態的發送處理，具體過程如下：

(1) CPU模塊上電后，應用軟件自啟動開始運行，業務模塊定時調用任務同步模塊向仲裁模塊發送心跳信息；

(2) 如果一個CPU模塊完成任務1(CPU-A)，調用任務同步模塊完成任務同步過程；

(3) 任務同步模塊接收到任務同步請求后，創建一個同步任務，然后該CPU模塊通過直連網線向另一個余度的CPU模塊(CPU-B)發送同步數據；

(4) CPU-B接收到同步數據后，交給任務同步模塊，任務同步模塊等待任務模塊的任務同步請求，接收到業務模塊發送的同步請求后，同樣創建一個同步任務；

(5) CPU-B的任務同步模塊將2個CPU模塊的同步任務數據進行比對，將同步結果發送給CPU-A的任務同步模塊;

(6) 2個CPU模塊的任務同步模塊將同步結果發給業務模塊，然后結束同步任務；

(7) CPU模塊收到同步結果后，如果相同則繼續下一個任務，如果不同則將故障狀態信息發送給仲裁模塊，同時將故障狀態進行提示，等待人機交互的處理結果;

(8) 在等待過程中設置最長等待時間，超時后結束等待同時將超時故障發送給仲裁模塊，同時將超時故障狀態進行提示，等待人機交互的處理結果。

3.2 輸入數據同步處理

設備接收外部節點的通信數據，如果無需應答處理，則2個CPU模塊接收到數據后進行輸入同步處理，如果有應答機制，則2個CPU模塊接收到數據后先進行接收應答然后進行輸入同步處理，輸入同步設計的具體實施方式如下：外部節點發送數據給綜合控制設備時，同時向2個冗余CPU模塊發送，當CPU模塊收到數據后，調用任務同步模塊完成任務同步，確保2個CPU模塊收到數據的一致性，如果2個CPU模塊接收到的數據不一致，則將故障狀態信息進行提示，同時向仲裁模塊上報故障信息，進行異常處理。

3.3 輸出數據同步處理

設備向外部節點發送數據時，2個CPU模塊進行輸出同步設計，具體實施方式如下：CPU模塊向外發送數據時，首先調用任務同步模塊完成同步，確保輸出數據的一致性，主CPU模塊向外部節點發送數據，備CPU模塊不向外發送數據，如果兩個CPU模塊輸出數據不一致，則將故障狀態信息進行提示，同時向仲裁模塊上報故障信息，進行異常處理。

如果在業務模塊的某一任務執行中出現故障，仲裁模塊實施冗余切換同時通知備份的CPU模塊升級為主CPU模塊并接管所有系統任務，由于同步是在每次任務完成后進行的，此時備份的CPU模塊未能獲得主CPU模塊當前的同步狀態，因此備份的CPU模塊在接管任務后，首先進行回滾操作，即CPU模塊將業務模塊的操作滾回上一次任務結束點上重新執行該次任務，確保不出現故障切換導致的數據丟失或任務不連續問題。

雙冗余熱備份設備的數據同步技術是實現高可靠性余度管理的核心技術，本文提出的針對綜合控制設備的任務級數據同步方法，通過余度之間的通信鏈路及運行在CPU模塊上的任務同步軟件模塊實現了2個CPU模塊間的任務同步，這種方法易于實現，對現有設備的硬件、軟件改動量小，可靠性高。

4 結束語

雙冗余熱備份技術是提高設備可靠性的重要設計手段，本設計提出的車載綜合控制設備針對CPU模塊采取雙冗余熱備份的設計，通過仲裁模塊實現故障監測及切換處理，同時采用基于任務的數據同步，提出一種數據同步方法，在不改變設備自身業務處理軟件的狀態下實現主、備間的狀態同步，保證了綜合控制設備任務的不間斷，提高了地面裝備車輛的整體可靠性。