簡要分析冗余備份和自動(dòng)修復(fù)

葉雷 賈海鵬

【摘要】本文簡要地對冗余備份的必要性作出了初步分析，并以自動(dòng)修復(fù)為設(shè)計(jì)目標(biāo)建立模型并加以論證。

【關(guān)鍵詞】VHDL：Very high speed integraded circuit Hardware Description Language;超高速集;成電路硬件描述語言;FPGA：Field-Programable Gate Array;現(xiàn)場可編程門陣列

1.緒論

在當(dāng)前電子產(chǎn)品日新月異的飛速發(fā)展下，社會(huì)生產(chǎn)力得到了急速的提升。在我們享受電子產(chǎn)品帶來的各種便利的同時(shí)，其副作用也開始逐步凸現(xiàn)出來，最明顯的外在表現(xiàn)就是隨著電子產(chǎn)品集成度越來越高，速度越來越快，功能變得極度細(xì)化，各種專業(yè)的單功能芯片越來越多，這使得最終的產(chǎn)品的組成也不斷趨于復(fù)雜化。

復(fù)雜化的副作用就是因元器件的種類和數(shù)量（包含集成電路內(nèi)部的晶體管）不斷攀升造成產(chǎn)品可靠性的不斷下降。依據(jù)串聯(lián)結(jié)構(gòu)的可靠性模型計(jì)算可以使用下面的公式：

λGs=ΣNiλGiΠQi

其中各參數(shù)的定義如下：

λGs：設(shè)備總失效率;

Ni：第i種元器件數(shù)量;

λGi：第i種元器件的通用失效率;

ΠQi：第i種元器件的通用質(zhì)量系數(shù)。

從公式中我們可以看出，隨著元器件的種類和數(shù)量增加，設(shè)備的失效率呈非線性變化，也就是說，即使每一個(gè)元器件的可靠性都很高，在數(shù)量的堆積下也會(huì)導(dǎo)致設(shè)備整體的可靠性下滑。這里有一個(gè)簡單的例子，那就是美國的航天飛機(jī)，據(jù)說上面的每一個(gè)元器件的可靠性都達(dá)到了六個(gè)9（99.9999%）以上，但整個(gè)航天飛機(jī)的可靠性卻不足50%。同理，現(xiàn)在的集成電路的使用的硅單晶純度達(dá)到14個(gè)9甚至更高，卻因?yàn)榧傻木w管規(guī)模動(dòng)輒數(shù)以億計(jì)，從而使得良品率過于低下而導(dǎo)致造價(jià)高昂。

解決這個(gè)問題一般依靠兩種方式，其一是繼續(xù)通過提升單個(gè)組成部分或元器件的可靠性來完成，另一種則是在這種串聯(lián)模型的基礎(chǔ)上增加一個(gè)或多個(gè)并聯(lián)模型，從而降低整體故障的風(fēng)險(xiǎn)。我們在這里只討論后一種，這種方式通常也被稱作冗余備份設(shè)計(jì)。

2.冗余備份設(shè)計(jì)的歷史和發(fā)展

冗余備份設(shè)計(jì)起源很早，已經(jīng)很難考證其由來，但是真正讓人們大規(guī)模認(rèn)識到其必要性還是來自19世紀(jì)后期發(fā)生的“愛迪生電燈事件”。事件起源于發(fā)明大王愛迪生發(fā)明白熾燈后，為了推廣白熾燈成立了專門的公司花大力氣進(jìn)行推銷，初期卻應(yīng)者寥寥。通過分析發(fā)現(xiàn)，愛迪生的電燈公司采用的是這樣的控制模型，如圖1所示。

圖1

這是一個(gè)標(biāo)準(zhǔn)的串聯(lián)模型，從發(fā)電廠到控制開關(guān)再到一長串用戶，所經(jīng)過的各個(gè)節(jié)點(diǎn)都是串在一起，用戶沒有獨(dú)立的控制權(quán)，所有的電燈開關(guān)都掌握在發(fā)電廠的手里。同時(shí)，盡管愛迪生的白熾燈在走出實(shí)驗(yàn)室的時(shí)候已經(jīng)擁有了上千小時(shí)的壽命，但是在龐大而脆弱的串聯(lián)結(jié)構(gòu)下表現(xiàn)糟糕，失效率和接入用戶數(shù)量成正比，結(jié)果就是只要其中一處發(fā)生故障（斷路），整個(gè)線路就全部癱瘓，令維修人員疲于奔命。

為了解決這個(gè)問題，愛迪生的電燈公司將控制模型作了這樣的改進(jìn)如圖2所示。

圖2

經(jīng)過改進(jìn)以后，用戶接入模式由串行改為并行，單個(gè)用戶故障（斷路）不會(huì)影響其他用戶，大大提升了整個(gè)配電系統(tǒng)的可靠性。這也成為現(xiàn)代供電系統(tǒng)的基本模型。從某種意義上來講，假設(shè)用戶的功能和用電級別相同，就可以把并聯(lián)在同一供電網(wǎng)絡(luò)內(nèi)的用戶視作互為備份。這就好比幾條相互獨(dú)立的生產(chǎn)線生產(chǎn)相同的產(chǎn)品時(shí)，其中一條故障，其余正常工作的生產(chǎn)線可以接替其任務(wù)繼續(xù)維持生產(chǎn)，有必要的情況下，在建立生產(chǎn)線的同時(shí)就需要提前建立備用的生產(chǎn)線以備隨時(shí)接替故障的生產(chǎn)線。

這樣的備份模式最大的問題在于需要人工干預(yù)。也就是說，故障部分的工作任務(wù)需要人工參與，把它承擔(dān)的功能轉(zhuǎn)移到其他的備份上。在通常的情況下，這樣的備份方式當(dāng)然沒有問題，但是在一些特殊情況下就不適合了，例如使用探測器在深海、火山或者外空間之類的區(qū)域執(zhí)行任務(wù)，或者在執(zhí)行特殊的軍事命令的時(shí)候，操作人員無法現(xiàn)場維修或與設(shè)備失去聯(lián)絡(luò)的情況下，就需要設(shè)備具有一定的自我修復(fù)的能力，以維持一些必需的基本功能的運(yùn)行。這也是未來冗余備份設(shè)計(jì)的發(fā)展趨勢之一。

3.自動(dòng)修復(fù)的冗余備份設(shè)計(jì)

需要具備自動(dòng)修復(fù)的冗余備份功能，通常情況下應(yīng)當(dāng)滿足下面幾個(gè)條件：

（1）復(fù)雜度不宜過高，過于復(fù)雜的設(shè)計(jì)同樣會(huì)降低系統(tǒng)的可靠性，

（2）成本控制：冗余設(shè)計(jì)本身必定會(huì)帶來額外的成本，在不到萬不得已的情況下，盡可能減少冗余備份的數(shù)量;

（3）部件通用化：使用最大化設(shè)計(jì)的模式，讓每個(gè)獨(dú)立的功能模塊都具有完成或輔助完成其他功能模塊的能力，盡量避免使用專用元器件;

（4）根據(jù)使用環(huán)境，盡量裁減次要功能：從理論上講，理想的冗余備份就是制造一套或多套和原件相同的產(chǎn)品，用于隨時(shí)替換故障的部分，但這顯然不可能，也不現(xiàn)實(shí)。應(yīng)當(dāng)依據(jù)各個(gè)部分的重要等級和易損程度，對冗余設(shè)計(jì)的必要性作出評估。

設(shè)計(jì)具備自動(dòng)修復(fù)的冗余備份功能，基本設(shè)計(jì)原則應(yīng)當(dāng)遵循下列原則：

（1）功能完善且獨(dú)立，可以完全代替故障模塊繼續(xù)運(yùn)行;

（2）具有獨(dú)立的故障診斷電路，能與其他并行工作的功能模塊實(shí)時(shí)同步工作狀態(tài)，以便隨時(shí)可以執(zhí)行功能移交的操作;

（3）具有防死鎖設(shè)計(jì)，以免出現(xiàn)相互判斷對方故障，造成系統(tǒng)鉗死;

（4）模塊之間采用電路相互隔離的措施，防止嚴(yán)重硬件故障造成災(zāi)難擴(kuò)散。

依據(jù)上述原則，設(shè)計(jì)出一個(gè)簡化的實(shí)驗(yàn)方案，功能結(jié)構(gòu)簡圖如圖3所示。

如圖3中所示，我們的目標(biāo)是對兩個(gè)執(zhí)行單元進(jìn)行控制，并且為了提高運(yùn)行的穩(wěn)定性，對控制功能區(qū)作了冗余備份的設(shè)計(jì)，分別為功能區(qū)A和功能區(qū)B，因二者軟硬件功能結(jié)構(gòu)完全相同，故采用模塊化設(shè)計(jì)，以便于生產(chǎn)和維護(hù)。從功能最小化的角度上看，正常運(yùn)行的時(shí)候只需要一個(gè)功能模塊即可，出現(xiàn)故障時(shí)可以通過人工干預(yù)，更換故障功能模塊。然而在某些特定情況下，我們需要功能模塊迅速自動(dòng)進(jìn)行功能的移交轉(zhuǎn)移，在不中斷當(dāng)前運(yùn)行任務(wù)的情況下繼續(xù)工作，以達(dá)到自動(dòng)修復(fù)的目標(biāo)。在這種情況下，功能單元的設(shè)計(jì)可以遵循下面的設(shè)計(jì)方案來進(jìn)行。

（1）主控單元

主控單元作為整個(gè)功能模塊的核心，應(yīng)當(dāng)具備兩個(gè)基本的功能模式，即工作模式和故障模式。

在處于工作模式的時(shí)候，必須在執(zhí)行對兩個(gè)執(zhí)行單元的控制任務(wù)的同時(shí)，依據(jù)執(zhí)行單元的反饋信息，對下一步的控制指令進(jìn)行相應(yīng)的調(diào)整，并執(zhí)行對看門狗電路的喂狗操作，在看門狗發(fā)出故障信號的時(shí)候，將故障信號通過通信單元將自檢結(jié)果發(fā)送出去，發(fā)送完畢后停止喂狗操作以關(guān)閉指令通道，交出對故障部分的功能控制權(quán)，嚴(yán)重的情況下自我封閉并通知電源，對本模塊進(jìn)行斷電保護(hù)。

在處于故障模式的時(shí)候，只接收執(zhí)行單元的反饋信息，計(jì)算執(zhí)行單元的控制指令但不發(fā)送，需要實(shí)時(shí)對工作中的功能模塊進(jìn)行監(jiān)視，分析對方發(fā)送來的自檢信號，一旦發(fā)現(xiàn)對方的自檢出現(xiàn)故障，立即開始進(jìn)行喂狗操作，將控制執(zhí)行單元的指令發(fā)送出去，接替故障單元的功能，進(jìn)入工作模式。

從上述的需求進(jìn)行分析，主控單元為了保證系統(tǒng)工作的實(shí)時(shí)性，應(yīng)當(dāng)優(yōu)先采用具有并行處理能力的元器件，利用多個(gè)任務(wù)同時(shí)執(zhí)行的優(yōu)勢將故障造成的工作中斷壓縮到最小。在實(shí)時(shí)性要求不高的場合下，再考慮使用順序執(zhí)行的處理器或其他元器件。在本次的試驗(yàn)中，采用CPLD作為主控單元的核心，利用可編程的VHDL語言的并發(fā)執(zhí)行的特點(diǎn)可以將各功能分解安排進(jìn)不同的進(jìn)程。如果需要的計(jì)算量比較大，可以將CPLD更換為容量更大、功能更多的FPGA。

（2）看門狗

看門狗的基本原理是計(jì)數(shù)器，利用喂狗信號來對計(jì)數(shù)器的計(jì)數(shù)值進(jìn)行清零。在超出等待時(shí)間還沒有等到喂狗信號，計(jì)數(shù)器產(chǎn)生溢出信號，這個(gè)信號一方面用于通知主控單元，另一面用于關(guān)閉該看門狗所監(jiān)視的功能指令的使能，避免錯(cuò)誤的指令被執(zhí)行單元所執(zhí)行?？撮T狗可以使用獨(dú)立的專用元器件來構(gòu)建，也可以將這部分功能集成到CPLD/FPGA內(nèi)部，以節(jié)約成本。

（3）緩沖器

緩沖器由帶有使能的驅(qū)動(dòng)電路和隔離器件組成，以避免干擾或其他意外情況造成故障。隔離器件根據(jù)使用的環(huán)境不同有所差別，低電壓弱電流的情況下通常可以使用光電耦合器，高電壓強(qiáng)電流下則需要使用繼電器等元器件予以保護(hù)。

（4）通信單元

依據(jù)工作環(huán)境、運(yùn)行指標(biāo)等因素，可以選擇串行通信或并行通信，根據(jù)實(shí)際情況來選用通信器件，或直接使用自定義的通信協(xié)議，將通信功能也集成到CPLD/FPGA內(nèi)部，然后在外部使用電流差分、LVDS等方式完成接口之間的匹配。

以上述功能框架設(shè)計(jì)出的控制模型，經(jīng)過仿真驗(yàn)證，基本上滿足了我們對控制目標(biāo)不間斷切換控制的需求，在進(jìn)一步完善軟件后，還可以實(shí)現(xiàn)兩個(gè)功能區(qū)各自執(zhí)行一個(gè)控制目標(biāo)的半冗余設(shè)計(jì)，從而滿足部分損壞但不致命的情況，再度提高整個(gè)系統(tǒng)的可靠性。

當(dāng)然，這種所謂的“修復(fù)”，從本質(zhì)意義上并不算是修復(fù)，只能是替換。因此，“自動(dòng)修復(fù)”從廣義的角度上講，最終目標(biāo)應(yīng)當(dāng)是融合生物技術(shù)，模仿生物本身擁有的生長恢復(fù)的能力來進(jìn)行新陳代謝——從電子到仿生，還需要漫長的探索和研究。