TTP总线在分布式飞控计算机系统中的应用

刘帅 马小博 程俊强

摘   要：TTP总线具有高确定性、低时延、容错支持等优点，在构建有硬实时需求的安全关键分布式容错系统中有较大优势。文章简要总结了飞控计算机系统对系统总线的需求，介绍了TTP总线分布式时钟同步与确定性通信技术，分析了TTP总线容错特性与安全性，设计了基于TTP总线的三余度分布式飞控计算机系统，测试验证了系统中的TTP总线同步精度、通信延迟与抖动、TTP总线对飞控功能的支持等，能够满足飞控计算机系统的通信需求。

关键词：时间触发协议;分布式;飞控计算机;容错

时间触发协议（Time-Triggered Protocol，TTP）是一种用于分布式容错实时系统实时通信的总线协议[1]。TTP总线采用时分多路访问的方式进行总线访问与数据传输。时钟同步机制是实现时间触发通信的基础，TTP总线控制器通过周期性运行时间同步算法，使TTP总线上所有节点的时间统一在全局时间同步精度基准内，亚微秒级的时钟同步精度可为实时控制系统中的数据传输提供实时性和确定性支持。

TTP总线在构建有硬实时需求的安全关键分布式容错系统中有较大优势，同时，其低成本特性也极具竞争性。目前，TTP总线已应用于波音787环控系统、空客A380舱压控制系统、庞巴迪C系列支线客机电传飞控系统等先进飞机的实时控制系统[2]，并在其他先进飞机实时控制系统、汽车、工业控制领域也得到了广泛应用。

1    飞控计算机系统总线需求概述

飞控系统作为高安全性的强实时系统，对系统总线通信实时性、可靠性与故障隔离性等方面均有特定需求。主要如下：

（1）强实时性。飞控系统要求系统总线通信延迟低、抖动小，具有实时确定性通信能力，以保证飞控系统的紧闭环控制。

（2）高可靠性。飞控系统要求系统总线能够支持多余度容错配置和管理，以满足系统余度设计要求，并提供故障容错能力，具有高可靠性。同时，要求系统总线传输误码率不大于10～12。

（3）高故障隔离性。飞控系统要求系统总线的故障检测能力强，能够在系统总线层进行一定程度上的故障隔离，以简化系统故障模式，降低系统设计和集成复杂性。

（4）通信带宽需求。飞控系统在周期控制过程中相对通信数据量较小，但基本上要求系统总线的带宽不低于1 MB，以避免在通信规划设计过程中出现通信的冲突。同时，通信带宽越高，对系统总线通信规划越有利。

2    TTP总线时钟同步与确定性通信

2.1  基于TTP总线的分布式时钟同步

基于TTP总线的分布式时钟同步是指系统中主机子系统利用TTP总线提供的同步全局时间基准，实现主机子系统之间的分布式时钟同步功能。在此基础上，实现主机和TTP控制器之间以一致的时间进行数据的传输，避免在数据通信过程中产生冲突。

TTP总线层时钟同步采用以下方式进行：为总线设定同步精度值并在该同步精度范围内将所有TTP总线节点的本地时钟整合到统一时钟内，主要流程如下：（1）TTP总线控制器记录接收TTP数据帧的实际到达时间并计算实际到达时间与期望时间的偏差。（2）TTP控制器根据偏差值，采用容错平均算法计算需要修正的时钟值。（3）TTP控制器依据修正策略，结合需要修正的时钟值对本地局部时钟进行修正。该同步方法利用总线上的数据帧进行，不需要额外的总线流量，总线利用效率更高。

主机子系统层分布式时钟同步是在TTP总线层时钟同步的基础上，利用TTP控制器提供同步时钟中断的方式告知主机子系统层需要发送和需要接收数据的时刻，使系统调度与总线通信系统均以同步的方式工作，从而满足整个系统同步运行的需要。

2.2  基于TTP总线的确定性通信

TTP总线支持总线型拓扑架构和星型交换架构，并在总线中定义了通信簇周期和基于时分多址（Time Division Multiple Access，TDMA）的通信調度策略，将每个TDMA周期划分为多个槽（slot），每个节点可在TDMA周期中占据一个槽用于数据发送，为各个总线节点提供无冲突的发送槽位置。总线上所有节点均按照预先定义的MEDL表，在全局时间基准下进行统一数据传输的调度[3]。

在SAE AS6003规范[4]中，将TTP总线中每个通信slot又划分为4个时间片，分别为：（1）传输前准备阶段。（2）数据传输阶段。（3）数据传输后协议控制器处理阶段。（4）空闲阶段。其中，中断处理函数可在空闲阶段进行，用于主机应用数据收发的处理。

在基于TTP总线的确定性通信调度设计中，在上一个slot的数据传输后协议控制器处理阶段，由TTP控制器向主机发送通信中断，主机接收到中断后准备数据并将数据存入发送消息缓冲区。TTP控制器则在本slot的数据传输阶段将数据发送至总线，接收节点的控制器亦在该阶段完成数据接收。接收端的控制器在数据传输后协议控制器处理阶段向主机发送数据接收中断，主机接收到中断信号后在接收缓冲区中读取数据，完成整个数据的传输过程。

由上述可知，利用TTP总线进行数据通信，端到端的数据传输时延为前一个slot的发送中断请求到本slot的接收中断请求接收后的时间差。多次请求时间差的最大值与最小值的差值则为数据传输过程中的抖动。

3    基于TTP总线的飞控计算机系统设计

3.1  飞控计算机系统架构设计

基于TTP总线的分布式飞控计算机系统架构如图1所示。系统包括三余度的分布式飞控计算机（Flight control module，FCM）和三余度的作动器控制电子（Actuator Control Electronics，ACE）;系统采用三余度TTP通信总线，每个余度的总线系统通过A/B双线进行数据传输，TTP总线通信速率为5 Mbps，采用短桩方式连接各计算机节点，以避免计算机单点故障时导致系统总线失效的情况发生。

FCM之间通过传统同步硬线进行主帧周期同步，FCM主帧周期与TTP总线通信周期采用松耦合工作方式，TTP總线通信周期配置为短周期通信，通过TTP总线分级向计算机提供的中断信号实现数据的紧耦合通信，降低通信不确定性。

飞控计算机系统通过外围硬线与外部模拟仿真设备交联，外部模拟仿真设备利用工控机等实现指令信号输入、作动与信号反馈功能的模拟仿真，如图1所示。

FCM计算机的核心由一块基于Lockstep处理架构的处理模块[5]来实现计算的高完整性，处理器采用PowerPC架构处理器，通过PCI接口实现同TTP总线的数据交互。

ACE计算机核心处理器采用德州仪器（Texas Instruments，TI）的DSP 6415，通过PCI接口与TTP总线进行数据交互，并提供多路离散量输入输出、交流模拟量采集与直流模拟量输出，同时，还提供RS485总线、ARINC429总线接口等，实现与外围模拟仿真设备的数据通信。

3.2 系统软件架构与TTP总线通信规划

飞控计算机系统软件主要包含运行在FCM计算机上的软件和运行在ACE上的软件。二者共同实现模拟飞行控制所需的系统软件功能。

FCM计算机上的系统软件设计包括4个部分：系统支持层、操作系统层、余度管理功能包和应用软件。系统采用符合ARINC653标准的分区操作系统。并在容错中间件层提供系统节点计算机的同步与余度管理及系统中断通信服务等功能。ACE上的系统软件包括3个部分：系统支持层、服务层和应用软件。

飞控计算机系统TTP簇周期配置为3 ms，每个簇周期包含2个TDMA周期，每个TDMA周期内又划分为6个slot，分别由3台FCM和3台ACE通信占用。

4    测试验证

为了进一步验证TTP总线对强实时高安全飞控计算机系统的支持情况，在上述系统架构设计基础上，配置了同步精度测试、总线延迟与抖动测试、功能测试等场景。总体测量结果表明：TTP总线的实时确定通信能力能够符合系统设计的功能性能要求。

在同步精度测试中，在同一个通道的系统总线上选取多个TTP控制节点，分别为其设置同步脉冲信号输出。大量测量数据显示，其同步精度在μs级，各节点时钟最大偏差均不超过总线配置所允许的同步精度（本测试场景设置为20 μs）。

在端到端通信延迟和抖动测试中，选取FCM之间、FCM到ACE，ACE到FCM的通信数据进行测量，统计10 000个飞控主帧周期内上述节点的通信延迟，并计算其通信抖动结果，如表1所示，FCM之间数据传输（Cross Channel Data Link，CCDL）延迟抖动较大主要是由两次操作系统开销所造成的不确定性引起的。

在系统功能测试中，通过加载模拟器设备功能和视景仿真功能，验证了该架构下飞行控制对飞机的实时响应能力以及计算机系统故障工作能力。

5    结语

本文简要介绍了飞控计算机系统对系统总线的需求，结合TTP总线特点，总结了TTP总线时钟同步、确定性通信能力;结合飞控计算机系统高可靠高安全特性，分析了TTP总线的容错特性与安全性。在此基础上，设计了基于TTP总线的分布式飞控计算机系统，并对系统中TTP总线的同步、通信延迟和抖动以及对飞控功能的支持进行了测量验证，满足预期要求。TTP总线作为低成本、高可靠容错的实时总线，预计在机载、车载等高可靠、高安全控制系统领域具有广泛应用前景。

[参考文献]

[1]刘冬冬，张天宏，陈建，等.TTP/C协议的关键特性研究[J].计算机测量与控制，2012（10）：2769-2772.

[2]陈长胜，刘智武，李晓庆，等.时间触发总线时钟同步技术研究[J].电光与控制，2017（6）：74-78.

[3]HERMANN K，GUNTER G.TTP：a protocol for fault-tolerant real-time systems[J].IEEE Computer，1994（1）：14-23.

[4]世界资料网.AS6003 TTP Communication Protocol[EB/OL].（2011-02-06）[2020-04-10].http：//www2.infoeach.com/item-89024.html.

[5]周啸，李鹏，韩强.基于60X总线的Lockstep处理器架构[J].航空计算技术，2015（1）：127-130.

Application of TTP in distributed flight control computer system

Liu Shuai， Ma Xiaobo， Cheng Junqiang

（Xian Aeronautics Computing Technique Research Institute， AVIC， Xian 710065， China）

Abstract：The TTP has the advantages of high certainty， low time delay， fault-tolerant support， etc， which has great advantages in building a safety-critical distributed fault-tolerant system with hard real-time requirements. This paper briefly summarized the flight control computer system for the demand of the system bus， introduced distributed clock synchronization and deterministic communication technology of the TTP， and analyzed the safety and fault tolerance features of TTP， then designed a distributed flight control computer system based on TTP. Lastly we tested and verified synchronous precision， communication delay and jitter， support for flight control by TTP in the system， which can meet the demand of flight control computer system of communication.

Key words：time-triggered protocol; distributed; flight control computer; fault tolerance