车炯晖 刘夏青 吴斌

摘要：在航空电子系统中，机电系统是飞机的重要组成部分之一，本文通过提出一种双余度通道切换逻辑，实时工作中按照该策略设定当前计算机通道健康分数，根据健康分数进行主备系统切换工作，有效提升了机电系统的数据资源共享能力和容错重构能力。

关键词：机电系统;健康分数;主备系统

中图分类号： TP391        文献标识码：A

文章编号：1009-3044（2021）08-0193-02

Abstract： Utility system is one of most important part of aircraft in avionics system.this paper proposes a dual redundancy channel switching logic. According to the strategy， the current computer channel health score is set in real-time work， and the active and standby systems are switched according to the health score， which effectively improves the data resource sharing ability and fault-tolerant reconstruction of the utility system ability.

Key words： utility system;health score;active and standby system

航空机电系统领域内，为提高系统的可靠性及容错能力，通常采用双余度技术满足使用要求。双余度设计主要基于“双功能通道+BIT电路+切换逻辑”的方式。本文主要介绍一种双余度计算机的工作通道切换逻辑，该策略通过独立于CPU的切换策略来对产品功能通道进行打分，CPU通过通道的分值来确定主备通道的切换。同时，当CPU程序跑飞时，通过看门狗叫信号，可以实现整机的主备切换。

1 通道切换管理策略

通道故障切换主要由两个部分组成，打分机制和得权机制。其中，打分机制针对通道的故障情况进行打分。由于机电管理计算机对于重要的控制通道都是双余度设计。因此，对于同一个被控对象有两路输出和BIT电路。而打分机制对于无故障情况打健康分满分10分，对BIT电路故障，但不影响控制通道输出的打健康分7分，对于控制通道故障的打健康分2分，对于控制通道和BIT通道均故障的打健康分0分。对于机上重要控制信号按照上述方法建立打分表。同时，处理器故障采用一票否决制，健康分总分直接清0。

得权机制可以分为抢权机制和放权机制两种。对于抢权机制来说，可能会存在由于信道故障引发的双通道同时抢夺控制权的可能，因此不建议使用。本文采用放权机制，当工作通道认为自己通道打分低于备份通道时，主动将控制权交给备份通道。

2 通道切换逻辑及其互锁的实现

如图1所示，左边表示A机某重要控制信号通路的通道切换逻辑，右边表示B机某重要控制信号的通道切换逻辑。其中，自锁信号为0时表示本通道锁定，不予使用。BIT位根据对本通道的打分选择写1还是写0。控制位用于在CPU故障时，整机切换时使用，且一旦发生了CPU故障且发生了切换，A通道将在本次飞行任务中永久禁止使用。

2.1 通道切换逻辑的上电工作序列

通道切换逻辑上电执行的步骤如下：

1）上电开始，控制位和BIT位被初始化成0，这时双机该通道都为锁定状态。

2） 程序初始化时读取机位号，向A机控制位写1，A机BIT位写1;向B机控制位写0，BIT位写1。这时A机该通道自锁信号为1（A机该通道使能），B机为0（B机该通道被锁定）。

3）向A机该通道控制位写1， BIT位写1;向B机该通道控制位写1，BIT位写1（使能切换）。

2.2 通道切换逻辑在通道发生故障时的切换策略

假设A机该通道发生了故障，通过双机信道获得B机该通道的打分情况来做出判断：

1） 如果B机为满分10分且A机为7分，则向上位机报告A机故障情况，A机继续工作，同时B机准备输出该通道控制指令，保证在接收到通道切换指令时可以做到无缝切换。

2） 当A通道得分为2分或者0分时，则通知上位机，同时告知B通道输出控制指令，然后向A通道BIT位写0，则B通道则可以无缝切换得到控制权。

3）另外，当A通道得分为2分时，A通道控制通路已经失效，仅留存BIT电路正常，A机周期性的通过信道将BIT信息发给B机，作为B机该通道的备份BIT。

2.3 通道切换逻辑在整机发生异常时的切换策略

当上电时A通道故障或者由于供电异常导致A通道机电管理计算机没有上电时，由于互锁信号进行了下拉，B通道将自动被使能。同时，B机上报上位机A机不存在或者存在异常。

假设当A通道在运行时CPU跑飞，则看门狗叫信号会自动将所有通道的控制位写0，则此时A机整机被禁止，B机开始接管所有控制命令。同时，B机将上报上位机A机发生了异常。

2.4 通道切换逻辑在双机信道异常时的处理策略

当A机和B机之间的信道存在异常时，每个机电管理计算机都无法获得他机的通道打分情况，则向上位机报告双机信道故障，并通过上位机获得他机的通道打分情况。然后根据上位机下发的打分情况选择使能或者禁止对应通道。

2.5 单机与上位机信道异常时的处理策略

假设当A机与上位机通信中断，上位机将向B机发送与A机通信故障。此时B机将通过与A机互通的信道获得A机准备上发的数据并代为转发给上位机。同时上位机会将准备下发给A机的信息发给B机，由B机转发给A机。A机和B机仍能根据打分情况使能和禁止对应通道。

3 结束语

本文通过与上位机的通信信道、交叉传输信道和通道切换逻辑，实现了一种具有数據资源共享和容错重构的双余度机电系统。在产品部分功能或通信信道功能丧失时，可以有效地进行系统的架构重组，保证了重要控制信号的可靠性和安全性，对机电系统的发展具有重要的意义。

参考文献：

[1] 王梅，姬进.双余度信号容错处理与故障注入方法[J].电子科技，2013，26（6）：40-41，63.

[2] 孙波，石鑫.非相似余度计算机的研究[J].装备制造技术，2015（4）：257-259.

[3] 程俊强，杨菊平.多余度飞控计算机通道故障逻辑技术研究[J].现代电子技术，2014，37（10）：43-46.

[4] 常博博，赵刚.一种双余度计算机通道切换策略[J].信息通信，2017，30（5）：66-67.

[5] 章鹤，张桢.机载供电系统处理机余度管理技术研究[J].信息通信，2017，30（9）：42-44.

[6] 周雨田，初源良，王杰.双机双控容错系统的设计和实现[J].东北电力技术，2001，22（9）：35-38.

[7] Department of Defense. MIL-STD-1760E：Aircraft/store electrical interconnection system[S].U.S.：department of Defense， 2007.

【通联编辑：唐一东】