基于看门狗原理的冗余保护机制

2012-06-05段沛沛王锋茂

火控雷达技术 2012年3期

段沛沛王锋茂

(1.西安石油大学西安 710065;

2.深圳市磊科实业有限公司西安 710075)

1 引言

在可靠性要求比较高的系统中，一般都会采用双主控冗余备份的方式工作，当其中一张主控板故障时，可自动切换到另一张主控板进行工作。为了实现自动切换，需要定义一套严格的机制，使只有处于活动的主控板才对系统享有完全的控制权，备用的主控板实时监视活动主控板的状态，并备份活动主控板的实时数据，一旦活动主控板发生故障，备用主控板可以立即转变为活动状态，并基于实时备份的状态继续运行。本设计基于看门狗的动态监控原理，再利用RS触发器的互锁机制，使一个系统中的两个主控板首先竞争系统控制权，竞争成功的主控板进入活动状态，竞争失败的主控板则进入备用状态。并且，如果活动态的主控板无法维持其状态时，系统的控制权会自动转移到备用的主控板上。

2 主控板设计

主控板采用统一化的设计，双机倒换功能主要由主处理器模块、双机模块和单板管理模块完成，各模块之间的关系如图1所示。两种主控板之间的接口主要有ACT互控总线、IIC管理总线和实时备份总线，ACT互控总线为三态输出，信号包括ACTin#和ACTout#，均为低电平有效，ACTin#信号均在单板接口出上拉，如果对方主控板不存在或是断电时，可保证该信号为无效的高电平。IIC管理基于IIC总线，主处理器为IIC主设备，每个单板的IIC管理模块为IIC从设备，IIC总线由ACT#信号控制，只有处于活动状态的主控板才有权利控制各单板的IIC管理模块。实时备份总线基于高速以太网，主备之间大量的动态数据通过该总线传输。

图1 应用动态双机倒换的主控板

主处理器模块实现本板状态机的切换与运行，该模块由IIC管理模块送出的PORST#信号进行复位，当主处理器复位后，首先应当禁用看门狗复位(WDEN=1)。ACT#为有效的低电平时，标识本板处于活动状态，并由ACT#信号控制打开IIC管理总线以及主控板其他对系统的管理接口，该主控板才能对系统实施管理。另外，主控板需要定期的更新WDI信号，以保持双机模块的状态。

IIC管理模块用于主控板单板，该模块接收活动的主控板发出的命令并执行，在双机倒换机制中，该模块主要用于主处理器模块的复位处理。IIC模块接受3种复位源，分别来自双机模块的WDRST#、MRRST#和IIC总线的复位命令，任意条件满足时，IIC管理模块都会向主处理器模块发出复位操作。

双机模块本板的监测以及和对方主控板进行交互、实现双机监测和切换，双机模块会监测WDI信号，如果在设定周期内没有正常收到WDI信号，双机模块会在WDRST#信号上输出低电平和ACTout#信号上输出高电平。当WDI恢复时，WDRST#信号上会立即恢复高电平，但只有ACTin#为高电平时，在ACTout#信号才能输出低电平。而且优先进入活动状态的主控板需要维持自己的活动状态，一旦该板无法维持其活动状态，将会触发双机模块重新仲裁。

双机模块由看门狗电路和与非门构成，看门狗电路实现对主处理模块的故障检测，监测结果WDO和ACTin#信号送到一个与非门的输入端。与非门的输出便为ACTout#，ACTout#信号连接到另一张主控板ACTin#，两张主控板的ACTout#信号和ACTin#信号在背板上交叉连接，组成一个RS触发器，如图2所示。主控板启动完成后，会启用自己的看门狗系统，看门狗电路的输出WDO信号才能变为高电平，RS触发器可以锁定其输出状态，能保证只有先启动起来的主控板处于活动状态，后启动的主控板无论如何也无法改变RS触发器的输出状态，除非活动的主控板故障，无法继续维持WDO状态。

图2 动态双机模块实现方式

3 双机模块设计

双机模块是双机切换的关键部分，负责两种主控板的状态仲裁，仲裁遵循优先原则，即先启动的主控板优先进入活动状态，后启动的主控板只能进入备用状态，并且不得影响正在正常运行的主控板。

4 状态机设计

主控板有4种状态，分别是断电态、启动态、活动态和备用态，它们之间的关系和切换条件如图3所示。

只有当主控板需要拔板或出现严重故障时，才会处于断电态。当主控板插入时，主控板默认为自动加电并进入启动态，该状态用于主处理机初始化，由于启动态处于不稳定期，所以主处理机加电后应当暂时禁止看门狗，待正常启动后，主处理机开始执行喂狗操作，并使能看门狗。当双机模块收到主处理机的喂狗信号后，便开始与对方主控板的双机模块竞争活动状态，如果对方此时处于非活动态(ACTin=1)，则双机模块就可以将自身的输出ACTout#置为有效，并标识本板处于活动状态(ACT=0)。如果对方主控板已经处于活动态，则双机模块将无法将自身置为活动态，所以本板只能处于备用态(ACT=1)。主处理机根据ACT信号的状态，决定自己进入活动态或备用态。

图3 主控板状态机

主控板的各种运行状态及处理方式有:

A.由启动态到活动态

当系统中只存在一张主控板时，或者另一张主控板也处于非活动态，本板的ACTin#信号就会被置为无效，所以只要主控板完成启动后，必然会转到活动态。

B.由启动态到备用态

主控板要进入备用态，另一张主控板必须为活动状态，本板的ACTin#信号由于被置为有效，所以只要主控板完成启动后，只能转到备用态。

C.活动态和备用态之间切换

除非活动的主控板自己放弃其活动态，才能转到备用态，备用的主控板才能转为活动态，主控板自己放弃活动态的可能原因有:

a.自身故障被动放弃;

b.手动切换主动放弃。

当自身故障无法维持双机模块状态时，主控板将会被看门狗强行复位，备用的双机模块将会因此而竞争到活动状态，备用的主控板也会升级为活动态。

手动切换命令只能发生在活动的主控板上，主处理器可以通过暂停喂狗的方式触发双机模块重新仲裁，如果备用主控板状态正常，将会因此而竞争到活动态，当原活动的主控板重新恢复看门狗状态后，将无法再次竞争到活动态。但如果备用主控板的状态不正常，所以也无法切换，当活动的主控板重新恢复看门狗状态后，将继续竞争到活动态，本次手动切换也将失败。