试谈高可靠分布式容错计算机架构的研究.docVIP

试谈高可靠分布式容错计算机架构的研究 　　1　确定性通信网络的选用分析 　　对于分布式机载强实时高安全控制系统而言，节点间通信的实时性与确定性是系统实现的关键。目前实时嵌入式计算机系统中普遍使用基于事件触发的串行通信协议。大量研究表明：对高可靠性系统而言，基于时间触发的总线网络的解决方案更具优势。时间触发架构(Time-triggered　Architecture，TTA)系统和事件触发架构(Even-triggered　Architecture，ETA)系统的工作原理不同。前者的控制信号来源于时间进程;后者的控制信号来源于事件的发生(如一次中断)。时间触发系统中使用的状态信息来自规定时间内的某个条件，如传感器的值;而事件信息一般是在事件发生时激活中断服务程序采取相应的措施。 　　ETA系统与TTA系统之间的基本不同与控制信号源有关。在TTA系统中控制总是驻留在分布式计算机系统的内部。TTA系统是一个物理上封闭的确定性系统。在ETA系统中，控制信号可能源自计算机内部，也可能源自计算机系统外部的环境(如中断机制转发过来的)。不可预测的环境将因而导致计算机系统的不确定性的行为。 　　从2006年开始，奥地利维也纳大学Kopet研究小组成立的了TTTech公司，开发和推广TTA通信产品，TTEthernet网络(TTE)是其最先进的技术，TTTech公司对基于时间触发以太网给出如下定义： 　　TTE=以太网+时钟同步+时间触发通信+速率受约传输+保证传输TTE通过一个内在的、集中式的调度表控制它自己的活动及外部环境之间的相互作用，而传统以太网采用的ET(Event-Triggered事件触发)型网络则受控于外界环境，并对外部事件的刺激做出响应。 　　2　分布式计算机架构设计 　　高可靠分布式容错计算机系统包括3个节点计算机，分布在3个结构独立的机箱内，满足不同的任务、不同的余度配置要求。系统整体结构采用TTE总线基础上的分布式架构。系统采用3余度高完整计算架构、保证系统在任意两次故障后，能够继续完成关键任务。从物理结构上，系统包括3个结构独立的节点，通过高速串行网络互连，从逻辑结构上，所有的模块处于同一个网络上，其中CPU模块都是对等的，即每个CPU模块都对系统的计算、余度管理等功能负责，系统中只要保留2个CPU模块，1个RDC模块，即可保证系统的工作。每个节点内RDC自动完成(即RDC发生可自检的故障，也可通过接收网络上CPU命令，由RDC完成)。 　　系统工作时3个容错计算机节点同时工作，通过TTE数据总线交换信息，节点计算机对信号源的信息进行交叉比较，再将信息进行节点间的交叉表决，最终表决值参加控制率计算。任何一个处理器故障均会由同一节点内的另一处理器隔离，任何一个节点故障(两次故障)，该节点上的任务将有其它节点代替执行。系统节点计算机之间采用松耦合的同步工作，节点计算机间的同步和交叉信息交换通过通信分区来实现。系统容错通过采用备份功能分区的切换和资源的重新分配完成。系统软件设计包括3个部分：操作系统、余度管理功能包以及应用软件。 　　3　成员一致性保证技术 　　飞行器管理计算机实现对多个任务的功能综合，满足不同安全级别、不同余度配置任务共享平台的系统要求。为保证各功能在共享硬件上运行的安全性及隔离性要求，系统需要设计管理中间件来实现系统成员一致性保证协议。成员一致性保证是实现由集中式容错向分布式容错跨域的关键。成员一致性保证技术包括：一致性决策算法、隐含确认算法。 　　飞行器管理计算机系统的每一节点机上都设置一个任务成员表单。表单中会记录所有正常运行的分区任务。每一个节点机在获取到信息时都会依据是否接收成功标志更新本地的任务成员表单。每次在信息传递的过程中，接收一方都要检查隐藏或包含CRC校验码的发送方的任务成员表单。因为所有节点机都严格按照时间触发周期的调度方式收发信息，每一节点机都会在一个时间触发周期内检查所有成员的表单。当与接收方有交联的所有任务成员表单都不同时，发送方节点机被认为是有误的。这种策略就通过节点机间的相互确认保证了系统内所有节点机的一致性。整个成员一致协议设计包含两部分：第一部分是隐含确认机制与一致性表决机制。以下是两个算法的实现原理。一致性表决算法：每个节点机维护一张本地的成员任务成员表单。当某一个节点机准备与其它节点机交换信息数据时，将自身任务执行情况添加到本地成员表单中。当接收方收到正确的信息数据时，它将发送方节点机加入到本地成员表单中。 　　节点机依据以下3个条件判断信息数据传输正确与否：信息传输须发生在预定的时间偏差内;传输活动成功完成;在将发送端加入接收端的成员表单后，双方的成员表单内容须一致。接收端检查校验发送端传输数据，如发现错误，发送端节点