基于ARINC661規范的航電分布式顯控研究

聶 飛,李 健

(中國電子科技集團公司第三十二研究所,上海 201808)

0 概述

隨著航空電子技術的發展,20世紀40年代至90年代航電系統的發展經歷了分立式航電體系[1]、聯合式航電體系和綜合式航電體系[2-3]3個階段,由于座艙顯控系統(Cockpit Display System,CDS)中顯示設備硬件和顯示管理軟件的功能越來越復雜,設備間接口差異問題愈加突出[4],因此傳統模式下的座艙顯控系統已不能滿足日益復雜的設計要求[5]。在此背景下,ARINC組織于2001年制定ARINC661規范[6],該規范簡化了顯控開發流程、縮短了開發周期并降低了開發成本,航電系統開始步入開放式綜合航電體系階段,成為一種基于軟件定義的高度綜合化航空電子體系。事實上,空客A380是ARINC661規范的首次應用,其主要工作集中于軟件層面,包括控件庫的實現、嵌入式顯示圖形的生成以及用戶程序的設計。隨著ARINC661規范在空客A380的成功應用,空客A400M和波音787也基于ARINC661規范進行設計[7],并且ARINC661規范體現出的優勢得到了國內研究機構和研究人員的高度重視,其相關工程應用也在逐步開展,如某國產飛機的航電顯示系統就引入了ARINC661規范進行設計,并于近期完成相關功能驗證。本文主要研究ARINC661規范在航電分布式顯控系統中的應用,以解決分布式顯示、競爭條件和失效檢測等問題。

1 ARINC661規范

1.1 ARINC661圖形庫

ARINC661規范定義了航空設備圖形顯示的邏輯分層,將一個完整的圖形顯示劃分為顯示單元、窗口、層和依附到層上的控件,其中:顯示單元是一個基本的顯示圖形渲染器;窗口繪制在顯示單元中,類似于通用計算機桌面顯示窗口;層是窗口的重要組成部分,也是ARINC661消息事件的基本載體;控件依附在層上,是用戶可視的基本圖形元素。圖1描述了顯示單元、窗口、層和控件之間的邏輯關系。

圖1 顯示單元、窗口、層和控件之間的邏輯關系Fig.1 Logical relationship of display unit,window,layers and widgets

1.2 ARINC661通信協議

ARINC661圖形庫定義的各類圖形顯示控件依據屬性分為交互式控件和非交互式控件,用戶應用(User Application,UA)按照協議格式與圖形界面交互式控件進行信息交互,通信協議格式定義如表1所示。1 Byte的幀頭(A661_BEGIN_BLOCK)定義了幀數據的開始,1 Byte的Layer Id標識了圖形層信息,緊跟其后是2 Byte的Context number數據位,4 Byte的Size定義了通信數據幀的總長度,Run-time Parameter定義了修改控件參數的具體命令,最后是1 Byte的數據幀結束關鍵字(A661_END_BLOCK)和預留位(Reserved)[6],基于ARINC661規范的UA邏輯功能通過數據通信協議實現對控件屬性參數的設置[8]。

表1 ARINC661通信協議格式定義Table 1 Definition of ARINC661 communication protocol format

2 基于ARINC661規范的分布式顯控設計

2.1 分布式顯控架構

分布式顯控需求源于近年來航電系統任務的多元化,系統中單個顯控設備已經不能滿足多任務顯示需求,多顯示設備集成的分布式CDS已然成為一種趨勢[9],由于國內大型飛機發展起步晚,國外航空巨頭技術封鎖,因此目前基于ARINC661規范進行CDS開發方面的研究工作仍處于起步階段[10]。

開放式綜合航電體系將顯控系統分為顯示系統和邏輯控制系統兩部分,顯示系統與邏輯控制系統間通過物理航電總線(ARINC664/ARINC429)進行連接[11-12]。圖2給出了開放式綜合航電系統邏輯示意圖。座艙顯示系統包含多個分布式顯控設備,這些設備可以分為頭顯、平顯以及多功能顯示[9],每個顯控設備中駐留ARINC661顯示控制服務應用,對外提供基于ARINC661的圖形顯示和標準ARINC664通信接口。綜合模塊化航空電子(Integrated Modular Avionics,IMA)機箱中駐留了顯示單元對應的邏輯控制應用,通過邏輯應用對圖形界面顯示的控制完成多個顯控單元相同界面顯示、數據同步、不同界面顯示等功能,操作員可以直觀地在顯示系統上獲取各類傳感器以及系統的信息數據,同時通過對顯示系統操作實現人機交互功能[13]。當操作員發送消息到地面服務站時,消息由顯控設備封裝為ARINC661數據包經航電網絡傳遞到用戶應用,用戶應用解析ARINC661數據包交付通信管理單元(Communication Management Unit,CMU)處理后由電臺發送到地面基站[14-16]。

圖2 開放式綜合航電系統邏輯示意圖Fig.2 Logical schematic diagram of open integrated avionic system

2.2 顯控數據同步設計

顯控單元間的顯示數據同步主要解決多個操作員操作不同顯示單元的同一顯示界面或不同界面時顯示數據的同步問題。文獻[17]中描述了綜合航電系統的典型組成,并對系統硬件和軟件架構進行介紹,提出一種基于ARINC661規范的顯示系統設計方法,該設計方法給出了單個顯控的場景設計。文獻[9]提出一種多顯控單元間的UA畫面處理技術,使用ARINC661圖形層的特性和會話機制,設計一種單個UA處理不同顯示器畫面的方法,由于顯示數據通過窗體部件產生事件觸發顯示刷新,多個顯示器顯示數據具備獨立性,因此未對數據進行實時同步和操作互斥。在ARINC661規范中,顯示控件屬性改變基于事件觸發,對圖形顯控的邏輯控制可以簡化為對圖形控件的池化管理,所有顯示控件匯聚為一個公用的資源池,控制層的多個UA可以根據顯示需要訪問資源池獲取顯示數據,并周期更新到業務層的顯控用戶端,整個過程無需進行UA間的數據同步。圖3顯示了圖形庫池化管理分層設計。

圖3 圖形庫池化管理分層設計Fig.3 Layered design of pooling management of graphics library

業務層是一組顯示單元的集合,這些顯示單元可以顯示同一窗口,也可以根據操作員需要切換顯示不同的窗口,每個顯示單元中駐留了ARINC661顯控服務、ARINC664通信和失效檢測節點應用,顯控服務負責對ARINC661命令解析,通過圖形單元完成對窗口、層、控件的顯示控制,ARINC664通信軟件負責完成網絡通信虛鏈路管理、數據包解析和發送,失效檢測節點配合控制層顯控管理完成顯控單元失效檢測。

控制層由不同的用戶應用終端節點(User Application End Point,UAEP)組成,不同的UAEP通過應用邏輯控制業務層的圖形顯示,單個UAEP可以控制多個顯控用戶,也可以由多個UAEP控制一個顯控用戶,由于底層使用公共的資源池保證了顯控圖形數據的一致性,因此控制層接收來自顯控單元和電臺的消息事件進行事件邏輯處理,并按照預定設計控制業務層完成圖形顯示,監控CDS運行狀態實現系統失效檢測和故障管理。

資源池是顯控數據同步的關鍵,圖形控件實例化對象池化設計保證了圖形元素屬性的一致性,在多個顯控顯示同一窗口時,UAEP只需檢測CDS激活狀態并周期刷新該界面圖形顯示屬性即可保證顯示的一致性,在顯示不同界面時,UAEP分別讀取不同的實例化對象進行圖形屬性刷新,同時對于ARINC661可編輯控件,通過編輯控制參數實現編輯權控制,保證了多個操作員操作同一控件的互斥性。

2.3 數據記憶競爭條件設計

ARINC661競爭條件產生的原因是數據異步交互產生的請求響應不一致。為了解決ARINC661規范的這一缺陷,ARINC組織于2013年發布的ARINC661-5版本中詳細描述了競爭條件問題,并建議開發者使用控件屬性和Context number來解決系統競爭條件問題,其中ARINC661控件屬性方案由于具有局限性,只能在一定的場景下降低競爭條件發生的概率。Context number方案建議開發者在數據通信過程中檢測交互命令的Context number,并主動丟棄Context number不一致的數據包,該方案會對人機交互流程帶來影響,操作員在執行顯控操作時,顯示界面可能會出現不響應的情況,主動丟棄的數據幀可能包含重要過程數據[6]。本文設計采用網絡推演算法,搭建競爭條件延時模型,通過數據記憶解決競爭條件問題。圖4描述了分布式顯控系統中的網絡模塊交互延時模型,為確定網絡模型中TSysLatencyMax和TPublisherLatencyMax延遲參數的上確界,在此引入到達曲線和服務曲線兩個概念,按照研究網絡傳輸時延時定義的網絡基礎元素,假設一個到達曲線為α的數據流通過一個服務曲線為β的網絡元素,則延遲表達式為d(t)≤h(α,β)=max{x2-x1},其中,α(x1)=β(x2),t≥x2≥x1≥0[18-19],h(α,β)表示特定到達曲線和服務曲線下的最大延遲值。

圖4 分布式顯控系統中的網絡交互延時模型Fig.4 Network interaction delay model in distributed display and control system

在實現中對產生競爭條件的控件參數數據進行Context number信息綁定,使得控件參數數據與Context number數值強關聯,依據網絡演算數據動態調整節點數據鏈表,保持有效數據鏈表深度為Ni。用戶應用在更新控件參數數據時,找到待更新控件的參數,若當前鏈表中有效數據深度小于動態鏈表深度Ni,則更新記憶數據節點,否則刪除無效節點數據,并將最新數據和對應的Context number記錄在數據首節點位置。圖5描述了控件參數更新過程,該算法將競爭條件時間域內的數據完整保存在深度為Ni的鏈表中,當競爭條件發生時,UA通過遍歷參數鏈表Context number數值對請求命令進行響應,從而將數據從競爭條件中恢復出來,保證數據請求和響應的一致性。

圖5 控件參數更新過程Fig.5 Process of updating control parameters

2.4 顯控管理失效檢測算法

失效檢測是分布式系統中實現高可用性的關鍵技術之一,也是可靠性通信、失效恢復和動態重構等功能的基礎[20]。文獻[21]提出綜合航電系統故障處理機制,其中失效檢測、故障隔離、異常檢測為故障處理的主要方法。傳統失效檢測算法多數集中在通過統計到達心跳消息延遲來獲得最大的延遲值,并將此值作為網絡超時的上限值實現失效檢測,其檢測時間受網絡波動影響較大,其后出現的Chen-FD算法依據離散心跳延遲來預測下一個心跳消息的到達時間,在此基礎上通過動態計算閾值來調整心跳超時時間,該算法的優點是提供了一個較好的心跳延遲超時估算方法,提高了實時檢測的準確性。Ф-FD算法利用心跳到達時間的正態分布特性,計算出時間T之前的心跳到達概率,并以此為可疑級別與設定的閾值P比較來判斷系統是否失效。本文設計借鑒Ф-FD失效檢測算法,結合機載航空應用環境和計算資源條件,提出一種適用于航電顯控的失效檢測算法,通過算法模型在系統控制層構建一個自適應顯控管理單元(Adaptive Display Management Unit,ADMU),完成系統失效檢測和管理。假設顯控單元Dk以固定周期Δt向ADMU發送心跳消息,發送消息內容為符合ARINC661規范的握手數據包,其中消息頭的VL字段標明了當前消息的來源,記錄最近一次收到心跳消息的時間為Ti,當前時間為T,將心跳到達時間差記為ΔTi,環境溫度M∈(-50 ℃,80 ℃),V為第V次獲取心跳差的記錄消息,V為整數,Δ?為ΔTi接收到心跳差的標準均值,具體計算公式如下:

取滑動窗口N,i為獲取心跳差記錄次數,環境溫度M對心跳消息到達時間差ΔTi的影響因子為λM,由此得到環境溫度影響因子為λM,具體計算公式如下:

約定記錄處理器使用率U∈(1%,100%),參照溫度影響因子計算方式獲得處理器使用率在滑動窗口N內對心跳消息到達時間差的影響因子為KU,具體計算公式如下:

λM和KU隨系統運行在滑動窗口N內不斷更新,建立T時刻心跳失效可疑度模型為:

其中,ФT越逼近于1時,顯控單元與ADMU之間的通信故障可疑度越高,當ФT大于系統設定的失效閾值門限P時,啟動鏈路異常流程,重新建立通信鏈路,駐留在IMA中的ADMU同時與顯控單元進行多路徑失效檢測,通過舉手表決對故障進行詳細定位,并依據故障類型執行恢復和告警流程。

3 實驗結果與分析

3.1 實驗環境

在實驗室環境中,采用Esterel公司的SCADE顯控仿真器和IMA平臺搭建地空數據鏈通信仿真環境,實驗邏輯框圖如圖6所示。兩臺聯想商用主機(因特爾i5-6500雙核,4 GB DDR3內存)安裝SCADE A661開發套件,并集成A661座艙顯控系統模擬器用作駕駛艙顯控仿真。IMA機箱內置多核處理器,IMA內駐留機載數據鏈應用,該應用符合基于ACRAS空地網絡的ARINC622-4規范,數據鏈地面服務應用符合ARINC618面向字符的空地通信規范,仿真設備間通過AFDX交換機進行互聯[22]。

圖6 地空數據鏈通信仿真環境邏輯示意圖Fig.6 Logic schematic diagram of ground-air data link commnuication simulation environment

3.2 實驗數據分析

3.2.1 分布式顯控功能實驗

本文使用自動化測試工具對顯控界面切換、控件信息輸入、按鈕事件等業務操作進行錄制,模擬兩個操作員同時操作不同顯控單元的同一顯示窗口、同一顯示層、不同顯示窗口、不同顯示層等工作,實驗共循環100次,單個循環過程為40 min,TS為自動化測試在兩個顯控平臺的同步啟動時差,TR為數據同步刷新周期,TD為同步顯示延遲誤差,PE為實驗故障終止率。表2給出了分布式顯控功能測試結果,其中“—”表示由于實驗預置條件限制,因此該項數據無記錄統計意義。

表2 分布式顯控功能測試結果Table 2 Test results of distributed display and control function

從實驗結果可知,在兩套顯控仿真平臺上,通過航空數據鏈軟件進行功能覆蓋,ARINC661規范定義的窗口操作、層操作、控件操作及互斥和業務功能能夠正常運行,在平臺同步啟動測試的場景下,顯示刷新延遲誤差在±10 ms以內,按照人眼對圖像連續性24 frame/s的感知要求,滿足圖像顯示的一致性要求。

3.2.2 ARINC661競爭條件實驗

表3給出了ARINC661競爭條件的3種解決方案的實驗數據對比,由此可知控件屬性解決方案雖然不存在丟包問題,但數據錯誤率較高。ARINC661推薦Context number解決方案能夠有效檢測競爭條件數據包,隨著用戶應用數據刷新周期的降低,丟包率逐步增加,極端場景下丟包率高達100%。數據記憶解決方案能夠對競爭條件數據包進行完整恢復,實驗條件下PM和PE均為0,有效解決了競爭條件帶來的數據丟失和數據錯誤問題。

表3 ARINC661競爭條件測試結果Table 3 Test results of ARINC661 competition conditions

3.2.3 顯控管理失效檢測實驗

失效檢測流程通過持續周期地檢測接收消息來判斷功能單元是否正確運行,并基于檢測速度和準確性來確定失效檢測能力。為驗證顯控管理單元失效檢測能力,將上述實驗環境放置在溫箱環境中,模擬世界范圍內熱氣候類型的誘發條件,同時構造ADMU駐留的處理器資源使用場景,單組檢測周期為120 min,實驗條件如圖7所示。

圖7 失效檢測環境預置條件Fig.7 Preset conditions for failure detection environment

實驗共循環12次,顯控心跳發送周期Δt為500 ms,滑動窗口N為1 000,失效檢測閾值門限為0.4、0.5、0.6、0.8,實驗過程中隨機斷開虛鏈路連接,模擬分布式顯控失效條件,并統計有效接收數據包數量、虛警計數、失效檢測時間,通過計算得到失效檢測虛警率和平均失效檢測時間,如表4所示。

表4 顯控管理失效檢測結果Table 4 Results of failure detection for display and control management

實驗結果表明,在閾值門限趨向于1時,虛警率無限逼近于0,同時平均失效檢測時間同步增加,在閾值門限取值為0.6時,單次虛警率降低至0.048 3%。該失效檢測模型兼顧了機載航電系統環境與資源因素,通過調整閾值門限可有效控制分布式顯控系統的虛警率和平均失效檢測時間,滿足航電分布式顯控在不同嚴酷等級應用場景下的失效檢測需求。

4 結束語

ARINC661規范因其在開發周期、成本和接口標準化方面的優勢已逐步成為航電系統的主流解決方案。為此,本文提出基于ARINC661規范的航電分布式顯控設計方案,解決了座艙顯控系統分布式顯示、競爭條件和顯控失效檢測問題,在復雜航電系統應用中具有較高的使用和推廣價值。今后研究工作將主要集中于探索座艙顯控系統的深度學習能力,以期推進我國航空電子領域的技術水平。