分区计算与S/W容错OFP系统在无人机飞行控制中的应用

© 2013 Eun-Hae Jung，Jung-Guk Kim.出版社：ElsevierB.V.信息工程研究院负责评选和同行评议可在www.sciencedirect.comwww.sciencedirect.com在线获取ScienceDirectIERI Procedia 4（2013）253 - 2602013年电子工程与计算机科学S/W容错OFP系统基于分区计算的Eun-Hye Jeonga，Jung-Guk Kimb *a韩国外国语大学，San-89 Mohyun，Youngin 449-791，大韩民国b韩国外国语大学教授，San-89 Mohyun，Youngin 449-791，大韩民国摘要新的综合模块化航空电子体系结构的分区计算减少了传统联邦体系结构的繁重布线。另一方面，容错操作飞行程序（OFP）的无人机通常被实现为基于双节点的主备份系统。然而，在小型UAV的情况下，优选地实施S/W容错系统，该系统在单个飞行控制计算机中一起运行主系统和回收系统，以减少有效载荷。在这种情况下，由于主分区和备份分区在使用CPU和内存时不能相互干扰，因此通常使用基于虚拟化的分区。本文提出了一种新的基于实时对象划分的S/W容错OFP，TMO.p，以克服虚拟化方法的大开销。© 2013作者。由Elsevier B. V.在CC BY-NC-ND许可下开放获取。信息工程研究院负责评选和同行评议关键词：容错; OFP;无人机;分区计算; TMO; TMO.p;1. 介绍飞行控制系统要求在实时性和容错性方面具有高的可靠性和可用性。对于时效性计算，通常使用截止日期驱动的实时方案。例如，时间-* 金正国联系电话：+82-10-6206-4367传真：+82-31-339-3443电子邮件地址：jgkim@hufs.ac.kr。2212-6678 © 2013作者由Elsevier B. V.在CC BY-NC-ND许可下开放获取。信息工程研究所负责的选择和同行评审doi：10.1016/j.ieri.2013.11.036254Eun-Hye Jeong和Jung-Guk Kim / IERI Procedia 4（2013）253触发消息触发对象（TMO）模型[Kim等人，1994年]已被用于实现无人机（UAV）的作战飞行计划（OFP）[Kim，S. G.例如，2009年; Kim D. H.例如，2009; Song等人，2010年; Kim J. G.，例如，2011年]。TMO是一个实时活动对象，它有几个周期性的时间触发任务（SpM：自发方法）和消息触发任务（SvM：服务方法）作为其成员线程。对于容错，通常使用基于H/W和S/W双重化的分布式恢复块（DRB）[Kim，1989]。DRB机制已经发展到主影子TMO复制（PSTR）方案[Kim等人，1996; Kim J.等人，2011年]，以支持及时性和容错性。然而，在小型无人机的情况下，H/W复制的DRB容错系统是不优选的，因为其沉重的有效载荷。另一方面，航空电子S/W体系结构已经发展到新的综合模块化航空电子（IMA）[Morgan，1991]体系结构的分区计算，以减少传统的联邦/分布式体系结构的繁重布线。在分区计算中，根据航空电子应用标准软件接口（ARINC）653标准[AEEC，2005]，作为一组周期性/非周期性任务的每个分区在使用CPU和存储器时不得干扰其他分区。也就是说，在使用H/W资源时，具有给定周期和CPU持续时间的分区必须独立于其他分区执行。分区计算通常用于在单个飞行控制计算机（FCC）中运行多个独立的应用程序，例如驾驶舱系统、飞行控制系统和雷达系统。由于分区计算已经被引入，新的基于分区的主/备份OFP方法最近被考虑。基于划分的方法是一种适用于小型无人机的S/W容错方案，以减少有效载荷，而不使H/W二元化。在这种方法中，主OFP和备份OFP在单个FCC中分别被组织成独立的分区。这种方法来自于这样一个事实，即由于H/W可靠性的显著提高，有效载荷的减少比H/W故障的接管重要得多。在实现基于分区的容错系统时，一种可能的方法是使用虚拟化[Han等人，2011; VanderLeest等人，2010年]。通过在两个独立的虚拟机上运行主OFP和备份OFP，主OFP可以独立于备份OFP运行。然而，由于H/W仿真开销，这种方法严重地遭受缓慢的响应和缺乏及时性。在本文中，提出了一种新的基于实时对象分区模型的S/W容错OFP，称为时间触发消息触发对象分区（TMO.p）[Lee，2012]，以克服虚拟化方法的大开销。TMO.p是TMO的扩展，并且是支持基于实时对象的分区计算的模型。一个由多个SpM和SvM组成的TMO.p被赋予周期、持续时间和初始偏移。多个TMO.p的定时约束以这样的方式给出，即CPU持续时间的任何周期性出现不与其他TMO.p的持续时间重叠。此外，TMO.p的内存使用量仅限于对象的作用域。所以一个TMO.p可以称为一个轻量级分区。在该方法中，主OFP和备份OFP中的每一个被映射到OFP-TMO. p中。作为实时TMO.p引擎，RT-eCos.p [Lee等人，2012; Kim J. G.例如，[2009]已使用。RT-eCos.p是一个实时嵌入式内核，支持两级调度器，由分区调度器和截止日期驱动的任务调度器组成。为了验证该系统，硬件在环仿真（HILS）系统的无人直升机也已开发使用开源FlightGear模拟器。在第二节中，简要介绍了TMO.p模型和RT-eCos.p内核作为相关工作。第三部分介绍了基于TMO. p的无人直升机S/W容错OFP方案的设计与实现。最后，对仿真结果进行了讨论，并给出了结论。2. 相关作品本节将简要介绍TMO.p模型和用于支持TMO.p的嵌入式内核RT-eCos.p。Eun-Hye Jeong和Jung-Guk Kim / IERI Procedia 4（2013）2532552.1. TMO.p模型作为TMO模型的扩展，TMO.p [Lee，2012]支持分区概念。p是一个活动对象分区，它有几个时间触发和消息触发的任务作为其成员线程（图1）。每个TMO.p都使用自己的非重叠周期性CPU插槽，并且内存使用仅限于对象范围。对于保证时间性的计算，TMO. p实例由三种类型的对象成员组成：ODS（对象数据存储），时间触发方法（SpM：自发方法）和消息触发方法（SvM：服务方法）。SpM是由预先给定的定时约束激活的周期性成员线程，并且必须在给定的截止日期内完成其周期性执行。SvM也是一个成员线程，它由来自另一个方法的事件消息激活。SvM也被调度为在预先给定的截止日期内完成消息处理。在OFP应用中，SPM主要用于周期性感测和生成控制输出。SVM用于处理来自地面控制站（GCS）的请求消息。除了给成员线程的时间约束外，还为非重叠计算给出了TMO.p本身的时间约束。它们是周期、持续时间和初始偏移。所有TMO.p的定时约束必须被安排成使得TMO.p没有重叠，通过使用可重复性分析器[Kim H. J.等人，2008年]。在此TMO.p方案中，TMO.p的实时成员线程只能在TMO.p处于其持续时间内时执行。因此，如果TMO.p的持续时间结束，即使消息处理尚未完成，SvM也会挂起。2.2. RT-eCos.pRT-eCos.p [Lee等人，2012; Kim J. G.例如，2009]是一个基于开源eCos3.0开发的内核，支持TMO. p的分区计算，提供了一个两级实时调度器Watch-dog Real-time Scheduler（WRS）。高级调度程序是负责按时激活和停用TMO.p分区的分区调度程序。底层任务调度程序仅在TMO.p处于活动状态时，以截止日期驱动的方式调度TMO.p的成员线程（SpM和SvM）。任务级调度器支持基于任务的最早截止日期优先（EDF）和最小松弛优先（LLF）策略。RT-eCos.p的功能可以概括如下： TMO的及时激活和停用 通过事件消息 分区间和任务间通信 针对SPM和SvM的Fig. 1. TMO.p实例256Eun-Hye Jeong和Jung-Guk Kim / IERI Procedia 4（2013）2533. 基于TMO. p的软件容错OFP系统无人直升机接收来自地面控制系统的飞行模式指令，然后OFP利用来自GPS/INS、高度航向参考系统（AHRS）和直升机伺服致动器切换模块（SWM）的当前传感器值计算要发送到控制点的控制信号值。四个控制点是横向循环，纵向循环，集体和尾桨。五种基本的自动飞行模式是起飞、悬停、自动着陆、点导航和多点导航。在基于TMO. p的容错OFP系统中，OFP被双重化为一个主分区和一个备份分区，如图2所示。它接管以下五种故障： 控制点值增量变化超出限制（故障通知故障） 时间触发（SpM）和消息触发任务（SvM） 主OFP崩溃（失效-静默故障） 由于主OFP的错误操作（拜占庭式故障），飞机在高度、俯仰、滚转或偏航方面的状态不佳主OFP分区使用改进后的更先进的飞行控制算法，而备份OFP使用安全验证算法。该方法通过增大控制量变化的上下限，实现无人直升机的快速机动和升降。主OFP分区和备份OFP分区中的每一个都由对象数据存储（ODS）、引导和控制SpM（GnC-SpM）、健康监视器SvM和GCS读取器任务组成。ODS存储AHRS、GPS、控制点、飞机性能参数和飞行模式的当前值。在读取传感器值之后，主OFP和备用OFP的每个GnC-SpM周期性地计算控制点的下一个值。主GnC-SpM唤醒主Health-Monitor-SvM，进行验收测试，并在执行结束时进行系统检查。根据验收测试和系统检查的结果，主Health-Monitor-SvM将成功/失败消息作为心跳发送到备份Health-Monitor-SvM。备份GnC-SpM唤醒备份Health-Monitor-SvM，以决定是否需要接管。两个OFP分区的任务结构化方案存在如下差异： 主服务器的GCS读取器任务被组织到一个消息触发线程（SvM）中，这样它就可以在收到来自GCS的命令后立即激活。这对于更快地响应GCS是更好的，但是它增加了调度的不确定性，因为激活的GCS读取器SvM可能会干扰GnC-SpM的执行。但是，备份的GCS读取器任务被组织为使用非阻塞轮询I/O的时间触发任务（SpM）。该方案在提供更快的响应方面具有缺点，但它具有增加调度的可预测性的优点。 主TMO.p的所有成员线程的调度策略都设置为最早截止日期优先（EDF）策略。这也是为了快速响应。但EDF策略可能会增加调度的不确定性，由于任务抢占。但是，备份的所有成员线程的调度策略都设置为“先触发后调度”（FTFS）策略，而不进行抢占。这是为了通过增加可预测性来支持有时效性保证的计算。为了使用FTFS策略，通过使用[Kim H. J.，2008年]。以下是主要和备份Health-Monitor-SvM的主要操作顺序： 初级运行状况-监视器-SvM1. 等待接收来自主GnC-SpM的计算结果2. 根据收到的结果和飞机状态进行验收试验。3. 检查系统的最后期限违规情况。4. 成功后，向备用健康监视器发送成功消息，并向飞机和GCS进行外部输出。Eun-Hye Jeong和Jung-Guk Kim / IERI Procedia 4（2013）2532575. 失败时，向健康监视器发送失败消息，并停用主OFP分区。 备份运行状况监视器SvM1. 等待从备份GnC-SpM接收计算结果。2. 如果（primary-active），则等待来自主Health-Monitor-SvM的成功/失败消息，超时时间为1毫秒。1)在超时或故障（故障-无声故障、故障-通知故障）时，重置主用-激活标志，并向飞机和GCS进行外部输出。2)成功后，检查飞机的状态以覆盖拜占庭故障。如果（失败），则重置主活动标志，禁用主OFP分区，并进行外部输出。3. 否则做外部输出，因为主OFP分区已经被禁用。图二.基于划分的S/W容错OFP给出了两个分区的时序约束，以便使用不重叠的CPU插槽（表1）。每个GnC-SpM在主分区和备份分区中的运行周期是给定的，因此每个SpM在每个分区的运行周期内运行一次。表2中所示的SPM和SVM的截止日期是通过考虑它们的最坏情况执行时间（WCET）来设置的。表1.主OFP分区和备份OFP分区时序约束主OFP分区备份OFP分区期间20毫秒（50赫兹）20毫秒（50赫兹）持续时间初级OFP备份OFP初始偏移0初级OFP258Eun-Hye Jeong和Jung-Guk Kim / IERI Procedia 4（2013）253表2.每个分区时间限制P-GnC-SpM/B-Gnc_SPMP-HM-SvM/B-HM-SvMP-GCS-SvM/B-GCS-SpM周期20毫秒（50 Hz）无无/50 Hz截止时间8毫秒1毫秒1毫秒调度EDF/FTFSEDF/FTFS EDF/FTFS4. 实验为了验证TMO.p方案中S/W容错OFP的鲁棒性和及时性，已将一个HILS系统与FlightGear-v0.9.10仿真器一起使用（图3）。在半实物仿真环境中，主、备用飞行操纵平台接收GPS/INS、AHRS和SWM信息，并向FlightGear模拟器发送控制信号。一个连接FCC与FlightGear和GCS的桥接器已经被开发成一个输入/输出多路复用器。对于FCC，已经使用了具有ST Thomson DX-66 STPC客户端芯片的板。图4显示了模拟器的实际响应和点导航模式下故障任务转移的行为。为了显示故障任务的结束，一个虚构的故障场景已经给了半实物仿真系统。在1秒内，产生了20个具有错误控制值的连续故障。在所开发的系统中，可以更早地发现故障，但是验收测试被抑制，使得飞机在此期间的姿态变差。在注入最后一个故障之前，验收测试已经被启用以接管。结果，故障在大约11毫秒内被备份OFP分区接管，这包括到主分区的WCET的空闲时间（大约1毫秒）、RT-eCos.p的最坏情况调度延迟（大约6微秒）和备份OFP分区的WCET（大约10毫秒）（图5）。图三. S/W容错无人直升机Eun-Hye Jeong和Jung-Guk Kim / IERI Procedia 4（2013）253259见图4。(a)滚转控制，（b）俯仰控制，（c）高度变化，（d）在点导航模式图五. 主、备分区调度及故障接管时间5. 结论无人机容错飞行平台通常采用基于双节点的主备系统。然而，在小型UAV的情况下，优选地实现在单个FCC中一起运行主系统和回收系统的S/W容错系统，以减少有效载荷。针对这种情况，开发了一个基于TMO.p的S/W容错系统，以保证主备OFP的独立计算。基于TMO. p的方法与通常的虚拟机器接近了此外，TMO.p是一个非常适合实时计算的模型，因为它有时间触发和消息触发的实时线程作为其成员。260Eun-Hye Jeong和Jung-Guk Kim / IERI Procedia 4（2013）253确认根据合同，这项工作得到了国防采购计划管理局和国防发展局的支持。引用[1] 金，K. H、Kopetz，H.实时对象模型RTO.k及其潜力的实验研究。第18届IEEE计算机软件应用会议，pp。392-402，IEEE计算机协会出版社; 1994。[2] Kim，S. G.，宋，S. H、昌角，澳-地H、Kim，D. H、Heu，S.，Kim，J. G.基于TMO方案的无人直升机FCC作战飞行程序的设计与实现。第7届IFIP WG 10.2国际研讨会，SEUS 2009，LNCS，第5860卷，第102页。1-11，斯普林格，纽波特海滩; 2009年。[3] Kim，D. H、Nodir，K.，昌角，澳-地H、Kim. J. G. HELISCOPE项目：研究目标及相关技术综述。第12届IEEE面向对象/组件/服务的实时分布式计算国际研讨会。112-118，IEEE，东京; 2009年。[4] 宋，H. G.，Kim，J. G.，Heu，S.无人直升机的可感知飞行程序的设计与实现。第六届智能无人系统国际会议，pp。9-15，ICIUS，Bali; 2010.[5] Kim，J. G.，Budiyono，A.，Kim，D. M.，宋，H. G.，Kim，D. H.基于TMO的无人直升机飞行程序。飞机工程与航空航天技术：国际期刊。第83卷，第353-362，Emerald; 2011.[6] 金，K. H、Welch，H. O.恢复块的分布式执行：实时应用中统一处理硬件和软件故障的方法。IEEETransactions on Computers.第38卷，第39页。626-636，IEEE; 1989.[7] Kim，K.H.，巴塞勒湖，苏巴拉曼角DRB方案中的主影子一致性问题和恢复时间限制。第七届软件可靠性工程国际研讨会，pp。319 - 329; 1996年。[8] 金，J.，Kim. D. H.小型无人机容错作战飞行程序主影子复制方案试验分析。第14届IEEE面向对象/组件/服务的实时分布式计算国际研讨会，IEEE计算机协会出版社，pp。171-178，纽波特比奇;2011年。[9] 摩根，M.J.下一代商用飞机的集成模块化航空电子设备。第四届航空航天与电子学（NAECON）IEEE全国会议，第1卷，第110页。43-49; 1991年。[10] 航空电子工程委员会：航空电子应用软件标准接口第1部分-所需/扩展服务。航空无线电公司2005年[11] 汉，S.，Jin，H. W.：基于完全虚拟化的ARINC 653分区，第30届IEEE/AIAA数字航空电子系统会议（DASC），第7 E1 -1- 7 E1 -11页，悉尼; 2011年。[12] VanderLeest，S. H. ARINC 653虚拟机管理程序。第29届IEEE/AIAA数字航空电子系统会议，pp.5.E.2-1-5.E.2-20，IEEE，盐湖城; 2010年。[13] 李你J. T.，Kim. J. G.用于分区计算的TMO.p模型及其调度器。J. Letters and Practices inComputing：A KISSE journal，vol. 18，pp. 733-741，KISSE; 2012.[14] Kim，H. J.，Kim，J. G.：一种用于硬实时TMO系统的高效任务串行器，第11届IEEE面向对象/组件/服务的实时分布式计算国际研讨会，IEEE计算机协会出版社，第11页。405-413，奥兰多;2008年。[15] Kim，J. G.，Kim H. J.，帕克，J.H.，朱，H. T.，李湾E、Kim，S. G.，Heu，S. TMO-eCos 2.0及其实时性保证计算的开发环境。1st Software Technologies for Dependency Distributed Systems，pp.164-168，IEEE Computer Society Press，Tokyo; 2009。