久元溦，刘志宏，翟耘萱，田园，耿振华

（北京空间机电研究所，北京 100094）

0 引言

星载航天产品通常工作在无人干预、空间辐射环境恶劣的空间环境中。因此，星载航天产品需满足长寿命、高可靠性的需求[1]。在星载航天产品中，通信总线网络运行的可靠性是决定航天产品工作任务成功与否的重要因素之一。冗余备份通信方案是常用于提高星载航天产品通信功能可靠性，降低单点故障率的方法[2]。

冗余备份通信方案通常分为冷备份方式和热备份方式。冷备份方式是对单机进行冗余设计，形成主份与备份通信模块，在通信时总线中只有一套模块处于运行状态[3]。冷备份方式设计简单，但通常单机产品需采用全冗余设计，需占用较多的器件资源，且电子学单机的体积和重量也会成倍地增加。通常搭载火箭具有严格的载重限制，其对于星载航天产品的重量有较为严苛的要求[4]。并且，在故障状态下，冷备份方式需要人为干预进行主备切换操作，不具备自主的实时恢复能力。因此冷备份方式在实际应用时具有一定的局限性。热备份方式是在通信时总线中主份模块和备份模块同时工作，在单份故障状态下不需人为干预即可依靠正常工作的模块维持正常工作状态。热备份方式在设计时可仅针对通信模块进行冗余设计，其对器件资源和重量的占用会大幅度地减少。

本文基于RS-485总线设计了一种冗余热备份通信系统。同时，文章详细地介绍了遥控遥测消息通信策略，通过仿真验证了该通信策略的可行性，该技术方案可有效地应用于星载航天产品中，提高通信功能的可靠性，降低单点故障率。

1 冗余热备份通信系统构成

本文介绍的冗余热备份通信系统采用RS-485电气接口作为总线的物理层接口。RS-485总线具有组网简单、成本低、可靠性高和通用性强等优点[5]。总线网络有1个总线控制器和N个远程终端。总线控制器作为遥控数据的发送端和遥测数据的接收端。远程终端接收遥控数据并返回遥测数据[6]。冗余热备份通信系统的组成示意图如图1所示。

图1 冗余热备份通信系统网络结构

2 冗余热备份通信策略

2.1 数据格式定义

总线上的数据序列基本传输单位为N+4 bit，其中包含N bit有效数据，1 bit起始位，1 bit标识位，1 bit奇偶校验位，1 bit停止位。该数据序列有两种数据类型，即指令字和数据字，通过标识位进行区分[7]。数据序列的格式如图2所示。

图2 数据序列的格式约定

其中，起始位固定为低电平，停止位固定为高电平，奇偶校验位用作有效数据的奇偶校验。标识位为高电平时表示该数据序列为指令字，低电平时为数据字。指令字内的有效数据用作指示远程终端的地址、操作类型（遥控消息或遥测消息）和数据字个数。数据字内的有效数据为具体的遥控或遥测数据。同时，为了加强通信系统的可靠性，可在有效的数据内增加校验字节[8]。例如：可采用累加校验和的方式进行数据校验，即除最后一个字节外的所有字节数据累加求和，取低字节部分作为校验和字节内容，若结果与最后一个字节数据一致，则判断校验结果正确。

数据总线上的消息格式分为两类，即遥控消息和遥测消息。遥控消息由总线控制器发出，含1个遥控指令字和X个遥控数据字。远程终端通过指令字内的有效数据判断为本远程终端且操作类型为遥控消息时，接收后续的X个遥控数据字。遥测消息由总线控制器发出遥测轮询，即1个遥测指令字。远程终端通过指令字内的有效数据判断为本远程终端且操作类型为遥测消息时，向总线控制器发出对应的Y个遥测数据字。

2.2 通信策略

2.2.1 遥控消息处理策略

每次遥控消息中，总线控制器发送1个遥控指令字和X个遥控数据字。当远程终端收取的数据满足图2定义的数据字格式，奇偶校验正确时，视为有效的遥控数据字，更新遥控数据包中的对应位。远程终端接收遥控数据字时，为避免外部输入异常导致状态机死锁，程序中需设置超时退出机制：若远程终端接收到遥控指令字后，因奇偶校验错误或总线控制器未发出遥控数据字等原因导致超过时间tk1未接收到有效的遥控数据字停止位，远程终端判断为数据字超时，不再收取当前遥控数据字，可整包遥控数据字丢弃并退出接收遥控数据字状态。例如：程序约定各字时间间隔为tkint，总线传输每个数据位的时间为tbit，则tkint+（N+4）tbit

2.2.2 遥测消息处理策略

每次遥测消息中，总线控制器发送1个遥测指令字，收取Y个遥测数据字。当总线控制器收取的数据满足图2定义的数据字格式，奇偶校验正确时，视为有效的遥测数据字，更新遥测数据包中的对应位。总线控制器发送遥测指令字后，为避免外部输入异常导致收取遥测数据字的状态机死锁，程序中需设置超时退出机制。

a）若总线控制器发送完遥测指令字停止位后，远程终端不反馈遥测数据字，导致总线控制器超过时间tc1未收到遥测数据字停止位，总线控制器软件判断为响应超时，不再收取远程终端的遥测数据字，退出接收遥测数据字状态机。例如：程序约定远程终端应在tyc内反馈遥测数据字，总线传输每个数据位的时间为tbit，因此tyc+（N+4）tbit

b）若远程终端在tyc内反馈遥测数据字，且各个数据字的时间间隔满足要求，但因奇偶校验错误等原因导致超过时间tc2未接收到有效的遥测数据字停止位，总线控制器判断为数据字超时，不再收取当前遥测数据字，可整包遥测数据字丢弃退出接收遥测数据字状态，或该数据字保留上一次的值并转为收取下一遥测数据字。例如：程序约定各个遥测数据字的时间间隔为tcint，总线传输每个数据位的时间为tbit， 则tcint+（N+4） tbit

2.2.3 冗余热备份处理策略

通常，发送节点同时在主备份接口发送相同的数据序列，但因硬件电路、电缆长度的差异性，接收节点接收到的主份数据可能整体超前或落后于备份数据。则热备份处理策略如图3所示。

假设，主备份间数据序列超前或落后的时间间隔不超过tdelay，发送节点先后发送两条消息的时间间隔大于tint。则图3中的时间限制需满足以下条件： 即tdelay

图3 热备份处理策略

2.2.4 软件架构

根据硬件系统架构和数据处理策略，总线控制器和远程终端的软件架构组成如图4-5所示。

图4 总线控制器软件架构

图5 远程终端软件架构

3 仿真与验证

通过ModelSim对上述软件架构进行仿真。仿真过程中，分别针对遥控消息和遥测消息的收发进行了测试用例的设计。如图6所示，远程终端可正确地处理热备份遥控消息。如图7所示，总线控制器可正确地收取热备份遥测数据包。图8-9针对单份出现通信失效的情况进行了仿真，仿真结果表明单份通信模块故障时，该软件架构可自主地进行仲裁切换，通信仍然正确有效。上述仿真结果表明热备份处理策略具有可行性，可实际应用于星载航天产品通信系统中。

图6 遥控数据字接收仿真波形图

图7 遥测数据字接收仿真波形图

图8 单份通信失效时遥控数据字接收仿真波形图

4 结束语

本文提出了一种冗余热备份通信策略及软硬件实现方法。该方法基于RS-485总线，仲裁过程清晰明了，在单份通信模块故障时可快速、无缝地切换，无需人为干预即可恢复正常通信状态，可有效地降低单点故障率。仿真结果证明了该冗余热备份方案设计的正确性和可行性。该方案可有效地提高星载航天产品通信功能的可靠性，可实际应用于星载航天产品通信系统中。

图9 单份通信失效时遥测数据字接收仿真波形图