空間機(jī)器人中央計(jì)算機(jī)的雙機(jī)熱備份

互為備份的中央控制計(jì)算機(jī)采用完全相同的設(shè)計(jì)，通過內(nèi)部和外部的CAN總線與控制模塊和指令系統(tǒng)分別相連。熱備份時(shí)，主、備機(jī)從CAN總線上同時(shí)接收數(shù)據(jù)，但只有主機(jī)可以通過CAN總線向外部輸出指令及控制數(shù)據(jù)。
主備機(jī)之間通過RS485總線相連，實(shí)現(xiàn)雙機(jī)之間數(shù)據(jù)監(jiān)測(cè)和同步等功能。在主機(jī)和備機(jī)的PIO口分別引出一條心跳線，定時(shí)發(fā)出脈沖信號(hào)，用來檢查判斷對(duì)方機(jī)是否具備基本運(yùn)行能力。雙機(jī)進(jìn)行切換時(shí)，通過仲裁邏輯電路改變雙機(jī)系統(tǒng)的當(dāng)班權(quán)，完成系統(tǒng)的切換操作。

2 雙機(jī)熱備份策略
為保證空間機(jī)器人系統(tǒng)正常、穩(wěn)定地運(yùn)行，根據(jù)空間機(jī)器人中央控制計(jì)算機(jī)雙機(jī)熱備份系統(tǒng)的特點(diǎn)，主備雙機(jī)需要根據(jù)系統(tǒng)的同步數(shù)據(jù)和心跳信號(hào)對(duì)對(duì)方機(jī)的運(yùn)行情況進(jìn)行監(jiān)測(cè)，保持主備雙機(jī)同步運(yùn)行。當(dāng)系統(tǒng)發(fā)生故障時(shí)利用系統(tǒng)同步數(shù)據(jù)和心跳信號(hào)，定位系統(tǒng)發(fā)生的故障，并對(duì)故障源進(jìn)行判斷，完成切換。在切換后，系統(tǒng)將嘗試恢復(fù)故障，整個(gè)策略示意如圖2所示。

2．1 心跳信號(hào)
心跳信號(hào)是該中央控制計(jì)算機(jī)運(yùn)行時(shí)發(fā)送的周期性脈沖信號(hào)，是中央控制計(jì)算機(jī)正常運(yùn)行的判斷依據(jù)。
主備雙機(jī)可以通過對(duì)對(duì)方機(jī)心跳信號(hào)的監(jiān)測(cè)，來判斷對(duì)方機(jī)是否正常運(yùn)行，同時(shí)心跳信號(hào)也是裁決故障時(shí)的一種輔助判據(jù)。當(dāng)發(fā)現(xiàn)備機(jī)無心跳信號(hào)時(shí)，主機(jī)切換到單機(jī)模式，備機(jī)由外部指令系統(tǒng)進(jìn)行處理；當(dāng)發(fā)現(xiàn)主機(jī)無心跳信號(hào)時(shí)，備機(jī)獲得當(dāng)班權(quán)變?yōu)橹鳈C(jī)并進(jìn)行輸出，主機(jī)交由外部指令系統(tǒng)處理。
2．2 同步監(jiān)測(cè)
雙機(jī)同步是雙機(jī)熱備份系統(tǒng)能夠正常進(jìn)行系統(tǒng)監(jiān)測(cè)，對(duì)故障進(jìn)行正確判斷的基礎(chǔ)。正確的同步策略是雙機(jī)系統(tǒng)能夠及時(shí)檢測(cè)出軟件故障并執(zhí)行正確切換動(dòng)作的前提，也是保證系統(tǒng)在故障發(fā)生之后成功恢復(fù)的關(guān)鍵要素。
為了保證雙機(jī)能夠長期、穩(wěn)定地處于同步之中，維持系統(tǒng)正常運(yùn)行，制定4項(xiàng)關(guān)鍵同步方法。
①雙機(jī)時(shí)鐘周期同步。當(dāng)主備雙機(jī)上電后，在主機(jī)啟動(dòng)周期定時(shí)器的同時(shí)，應(yīng)同時(shí)向備機(jī)發(fā)出消息，通知備機(jī)啟動(dòng)周期定時(shí)器。由于空間機(jī)器人系統(tǒng)以生命周期為單位執(zhí)行任務(wù)，所以生命周期的同步是整個(gè)系統(tǒng)保持同步的基礎(chǔ)。若該操作失敗，必須重新進(jìn)行周期定時(shí)器的同步。
②雙機(jī)任務(wù)初始化同步。為保證主備雙機(jī)任務(wù)在同一時(shí)間啟動(dòng)，應(yīng)在任務(wù)啟動(dòng)指令傳遞到主機(jī)時(shí)，由主機(jī)向備機(jī)發(fā)出指令，啟動(dòng)備機(jī)任務(wù)，使備機(jī)進(jìn)人工作模式，其具體步驟如圖3所示。

③雙機(jī)同步數(shù)據(jù)的實(shí)時(shí)監(jiān)測(cè)。機(jī)器人執(zhí)行任務(wù)期間，主備雙機(jī)將在每個(gè)系統(tǒng)生命周期的開始向?qū)Ψ綑C(jī)發(fā)送同步數(shù)據(jù)，并將收到的數(shù)據(jù)與自身數(shù)據(jù)進(jìn)行比對(duì)，完成對(duì)系統(tǒng)同步數(shù)據(jù)的實(shí)時(shí)監(jiān)測(cè)。
為保證對(duì)系統(tǒng)監(jiān)測(cè)的全面性和判斷故障的準(zhǔn)確性，提取任務(wù)號(hào)、任務(wù)階段號(hào)、系統(tǒng)周期、實(shí)際關(guān)節(jié)角度以及一個(gè)隨機(jī)碼作為系統(tǒng)的同步數(shù)據(jù)，如表1所列。

④雙機(jī)再同步。當(dāng)發(fā)現(xiàn)雙機(jī)系統(tǒng)的數(shù)據(jù)出現(xiàn)兩個(gè)周期以內(nèi)的超前或滯后現(xiàn)象時(shí)，不認(rèn)為發(fā)生系統(tǒng)故障而進(jìn)行切換，而是直接更新備機(jī)同步數(shù)據(jù)，使備機(jī)重新與主機(jī)同步。
2．3 裁決邏輯
裁決是雙機(jī)熱備份系統(tǒng)中至關(guān)重要的一個(gè)環(huán)節(jié)。誘發(fā)空間機(jī)器人系統(tǒng)出現(xiàn)故障的原因很多，在其工作的空間環(huán)境中存在著大量高能粒子，極易使中央控制計(jì)算機(jī)電位發(fā)生反轉(zhuǎn)造成系統(tǒng)失常。通信線路的故障和隨機(jī)產(chǎn)生的誤碼率也很容易造成系統(tǒng)失常。通過分析總結(jié)，空間機(jī)器人系統(tǒng)最易出現(xiàn)3種故障類型，即雙機(jī)通信線路故障、系統(tǒng)任務(wù)流程故障和系統(tǒng)控制數(shù)據(jù)故障。為保證雙機(jī)熱備份系統(tǒng)及時(shí)、準(zhǔn)確地檢測(cè)故障，判斷故障源，做出正確的切換動(dòng)作，分別為3種故障制定相應(yīng)的故障裁決邏輯。
(1)雙機(jī)通信線路故障
裁決邏輯：當(dāng)RS485接收模塊連續(xù)3周期沒有接收到對(duì)方的同步數(shù)據(jù)時(shí)，給出故障信號(hào)。為避免計(jì)算機(jī)重復(fù)進(jìn)行裁決判斷，停止同步數(shù)據(jù)發(fā)送，同時(shí)檢測(cè)備機(jī)心跳信號(hào)。若備機(jī)心跳信號(hào)停止，則由主機(jī)主動(dòng)停止備機(jī)電源；若對(duì)方心跳信號(hào)正常，則由外部指令決定備機(jī)狀態(tài)。其實(shí)現(xiàn)流程如圖4所示。

(2)雙機(jī)任務(wù)流程故障
為有效、準(zhǔn)確地判斷雙機(jī)任務(wù)流程故障，借助隨機(jī)碼表來對(duì)其進(jìn)行輔助判斷。隨機(jī)碼表是一個(gè)32×16的二維short型數(shù)組，數(shù)組中的各個(gè)元素互不相同，查詢生成同步數(shù)據(jù)隨機(jī)碼的公式如下：

式中X為隨機(jī)碼表行號(hào)，Y為隨機(jī)碼表列號(hào)，TaskID為任務(wù)號(hào)，PhaseNum為任務(wù)階段號(hào)，ClcNum為任務(wù)周期號(hào)。
主備雙機(jī)存儲(chǔ)同一份隨機(jī)碼表，利用上述公式確定每周期的隨機(jī)碼作為同步數(shù)據(jù)，發(fā)送給對(duì)方機(jī)。這樣做大大簡化了裁決邏輯，也可檢測(cè)出CPU邏輯運(yùn)算單元的錯(cuò)誤。
裁決邏輯：主備機(jī)首先比較同步數(shù)據(jù)中隨機(jī)碼，若隨機(jī)碼不同，則進(jìn)一步比較任務(wù)號(hào)、階段號(hào)、周期號(hào)。若比較結(jié)果相同，則給出計(jì)算機(jī)邏輯運(yùn)算故障信號(hào)；若不同，將對(duì)方同步數(shù)據(jù)與己方前后兩周期數(shù)據(jù)比較。若發(fā)現(xiàn)匹配數(shù)據(jù)，進(jìn)行備機(jī)與主機(jī)再同步；若失敗，給出任務(wù)流程故障信號(hào)。其實(shí)現(xiàn)程序流程如圖5所示。