時間觸發總線驗證技術研究

陳長勝，劉智武，王晨博，劉 洋

(中航工業西安航空計算技術研究所，西安 710068)

時間觸發總線驗證技術研究

陳長勝，劉智武，王晨博，劉 洋

(中航工業西安航空計算技術研究所，西安 710068)

TTP協議定義了一種高確定性，無沖突，高安全的通信總線，能夠滿足包括飛行控制等的安全關鍵實時控制系統的應用要求;時間觸發總線驗證技術根據TTP協議規范要求，針對研制的節點進行測試，包括基本通信測試、時鐘同步、故障注入等不同的測試場景，充分驗證被測節點的各項功能、性能；通過這些測試，表明被測節點各項指標都滿足研制需求，可用于安全關鍵實時控制系統。

安全關鍵；時間觸發總線；協議驗證

0 引言

近年來，控制系統正從集中式控制發展到分布式控制，傳感器、控制器、作動器等控制系統中的各個部件之間采用通信總線進行連接，實現數據交互，使得系統具有更高的安全性和經濟性。在控制系統中，可以按照執行計算、通信等任務的觸發條件進行分類，對于由事件的發生而觸發的系統稱為事件觸發系統，而對于由特定時間而觸發的系統則稱為時間觸發系統。分布式實時控制系統中，采用時間觸發模式能夠將可用的通信資源合理地靜態分配給系統內每個節點，通過時間觸發的協議排除了事件觸發通信協議要考慮的資源共享沖突和恢復操作等問題，提高系統的確定性和安全性。因此，多種基于時間觸發的通信總線，如FlexRay[1]、TT-CAN[2]等。相對而言，SAE AS6003[3]標準定義的時間觸發協議(TTP)總線由于設計中采用了分布式的同步算法、支持安全監護等，使其更加適合應用在安全關鍵的實時控制系統中。

TTP總線是一種基于全局同步的時間，按照預先配置的消息描述表(MEDL)進行靜態通信調度的高安全、強實時總線[4]，相對于傳統的1553B等機載總線，具有傳輸速率更高、容錯能力更強、成本更低等特點[5]，因此成功應用在民用飛機的機電系統(A380的艙內壓力控制系統、B787的動力控制系統與環境控制系統等)、飛控系統(龐巴迪C系列支線客機飛行控制等)和發動機控制系統(GE的F110發動機FADEC)等實時控制系統中，表明其有良好的應用市場和推廣前景。隨著我國在大飛機、發動機等領域的快速發展，有必要開展TTP總線技術的研究工作。

1 TTP協議

TTP采用總線型拓撲架構，物理層采用RS-485總線，無專門的總線控制器，所有節點平等地連接到總線上。TTP總線提出了一種分布式的高精度時鐘同步算法[6]，通過多個授時節點發出幀的相對時刻對網絡進行同步，避免了傳統的集中式時鐘同步技術中的授時端單節點故障問題，并且無專門的授時幀因而不增加額外的通信帶寬。基于該算法，總線上各個節點建立全局時間。總線定義了集群周期和TDMA(時分復用)環，并將TDMA環劃分為多個槽，為各個節點定義無沖突的消息發送槽位置，使得系統能夠按照時分復用的方式獨占總線，保證了通信的實時性，如圖1所示。

圖1 介質訪問策略

TTP總線定義了兩類協議服務：通信服務和安全服務。通信服務保證可靠的數據傳輸、集群的啟動、節點之間的重新整合、確認算法、容錯時鐘同步以及集群模式切換的處理，包括：

1)啟動服務：TTP控制器從未同步模式進入同步模式的過程稱為啟動。取決于TTP控制器啟動時集群通訊是否正在進行，控制器要么整合進而加入當前集群，要么發起一個集群啟動(稱作冷啟動)；

2)時鐘同步服務：TTP通信協議采用分布式的同步算法，周期性同步所有TTP節點的本地時鐘以產生一個確定精度范圍內的全局時間基；

3)確認服務：基于成員關系和隱式的校驗，發送節點在發送幀之后從最多兩個有效后繼節點發送的幀的狀態來確認自身是否正常的服務；

4)集群模式服務：考慮到許多實時系統的操作和控制過程中包含了多個相互獨立的階段，不同階段要求不同的通信配置數據，TTP支持多個集群模式，并且支持動態的集群模式更改。

安全服務支持錯誤檢測，包括：節點成員關系，派系檢測算法和主機/控制器生命標記服務，包括：

1)成員關系服務[7]：定義64位的成員關系向量，每一位代表一個節點的狀態。在一個TDMA環的一定延時內，用于保證所有有效節點的通信，調整這些節點對于每個節點的工作狀態的本地視圖；

2)派系檢測服務：派系定義為一個節點集，根據持續通信的每個幀，這些節點具有一致的控制器狀態(集群模式、當前槽位以及成員關系向量)。派系檢測服務用于檢查整個總線上是否存在不同的派系并進行恢復，從而避免系統的非一致性錯誤；

3)主機/控制器生命標記服務：在每個TDMA環中，主機和TTP控制器之間通過主機接口相互提供周期性更新的生命標記信息，以將自己的活躍狀態通知給對方，保證節點行為的正確。

TTP總線通過上述服務，使其具有實時性、安全性的技術特點，能夠滿足機載環境中飛行控制、機電控制、發動機控制等安全關鍵領域的應用要求。

2 TTP節點機

TTP節點機設計成標準PMC模塊，采用32位33MHz/66MHz的PCI總線。物理端口上采用雙余度的方式，提高系統的可用性，使得其中一個通道故障的情況下總線仍然能夠為系統提供有效的通信服務。核心邏輯采用大規模FPGA自主實現，支持時鐘同步以及基于時間觸發的總線通信服務、安全服務等。TTP節點機結構如圖2所示。

圖2 TTP節點機結構

其中，RS485驅動器實現TTP總線電平的驅動，變壓器用于總線信號的隔離保護，MEDL采用PROM保存TTP節點的通信配置信息，而FPGA作為TTP節點機的核心部件，實現TTP總線的協議控制器功能并對主機提供訪問接口。

FPGA實現的TTP總線控制器主要包含以下功能：

1)PCI總線接口：作為PCI設備端，實現主機對于節點機中相關寄存器的設置與訪問、消息的發送與接收等；

2)通信網絡接口(CNI)：定義了一組寄存器和緩沖區，用于主機與協議處理部分的信息交互。寄存器包括主機對控制器的一些參數的設定，如通信速率的配置、集群模式更改請求等，以及一些控制器向主機提供的狀態信息，如集群時間、中斷狀態、統計信息等。緩沖區包括發送消息緩沖區和接收消息緩沖區，實現主機發送和接收操作時的消息緩沖；

3)協議處理：采用狀態機的形式，支持Freeze、Init、Listen、Cold Start、Active和Passive共6種狀態。在Freeze狀態，設置相關寄存器的初始值；在Init狀態，加載MEDL表并做CRC檢驗，將MEDL中的配置信息加載到相應的寄存器中；在Listen狀態，監聽總線上的活動以確定是否加入現有的總線；在Cold Start狀態，主動發起冷啟動幀，并檢測是否有其他節點加入，從而實現總線的啟動；在Active狀態，執行正常的通信功能；由于未準備好或者主機故障等問題而處于Passive狀態時，僅接收其他節點發送的幀而不允許向其他節點發送。在這些狀態之上，協議處理單元實現啟動服務、時鐘同步服務、確認服務、集群模式服務、成員關系服務、派系檢測服務、主機/控制器生命標記服務等，為主機提供確定、安全的通信；

4)鏈路層：包括發送和接收。發送操作時按照協議狀態機的命令，組織冷啟動幀、I幀、N幀或者X幀，并提交給物理層進行發送；接收操作時從物理層接收幀內容并進行幀類型的判斷、CRC校驗等；

5)物理層：實現總線速率的控制(支持1Mbps、2Mbps、4Mbps和5Mbps等不同的速率)、曼徹斯特編解碼、幀起始符(SOF)/結束符(EOF)等的控制、串并/并串轉換功能等。

3 TTP驗證平臺

為了對研制的TTP總線節點進行驗證，建立了TTP驗證平臺，包含2種連接方式，如圖3所示。

圖3 TTP測試連接關系

圖中，(a)通信測試用于對TTP總線的規劃、加載、監控等功能的測試，(b)故障注入測試用于對TTP總線容錯功能的測試。驗證平臺中主要的設備和軟件包括：

1)TTP Cluster：包含4個TTP節點的機架，用于與TTP被測節點之間進行時鐘同步、通信、確認等功能；

2)TTP Monitor：能夠實時監控TTP總線上的幀傳輸，并且提供對總線上其他節點的數據加載，與主機之間采用以太網連接。驗證過程中，TTP Cluster中的TTP節點、TTP被測節點的MEDL和應用程序都是PC機通過TTP Monitor進行加載的；

3)TTP Disturbance：支持包括派系、固定電平、CRC校驗等多種類型的故障注入，對總線的容錯能力進行驗證，與主機之間采用串口連接；

4)TTP工具集，包括TTP-Plan、TTP-Build、TTP-Load及TTP-View，這些工具分別用于TTP總線的規劃、建立、加載和實時流量監控。

4 TTP驗證程序

TTP總線節點驗證的流程是，基于TTP總線需求定義測試程序，并為每個測試程序設計接口控制文件(ICD)，定義各個消息傳輸的源節點、目的節點、周期、長度等。在TTP-Plan中根據ICD定義測試所需的通信配置，使用TTP-Build生成各個節點的通信配置文件MEDL，并通過TTP-Load由TTP Monitor對總線上的各個節點進行MEDL和測試軟件的加載。

測試過程中，使用TTP-View工具軟件、示波器對總線上的通信進行觀察，從而判定所進行的測試項是否通過。針對338需求，共設計了52項測試用例。以下選擇其中的基本通信測試、同步測試、故障注入測試和集群模式測試等4項測試，簡單描述其覆蓋的測試需求、具體的測試過程以及測試結果的驗證。其他測試用例都與此類似。

4.1 基本通信測試

基本通信測試用于驗證TTP節點傳輸速率、發送幀的結構和支持的幀長。

4.1.1 測試需求

TTP總線應支持1Mbps，2Mbps，4Mbps和5Mbps的傳輸速率；

TTP總線N幀結構應滿足AS6003定義的格式；

TTP總線N幀應用數據最大應支持240字節。

4.1.2 測試過程

步驟1：通過TTP Monitor，將傳輸速率設為1Mbps的配置加載到各個節點；

步驟2：重啟系統；

步驟3：被測節點測試軟件循環發送應用數據長度分別為1字節、100字節和240字節的幀；

步驟4：通過示波器觀察總線上信號的特性；

步驟5：通過TTP-View觀察被測節點發出的幀格式及幀內容；

重復步驟1-步驟5，測試2Mbps，4Mbps和5Mbps傳輸速率下的通信。

4.1.3 驗證測試結果

TTP總線采用曼徹斯特編碼。在不同傳輸速率下，示波器測量到的總線信號周期和幀結束符(EOF)應該滿足表1所示的值。

表1 總線信號周期和EOF長度

不同傳輸速率下，通過TTP-View觀察到被測節點發送N幀的格式應符合AS6003規范要求，由4位幀頭、對應長度的應用數據以及24位CRC組成，各個部分的內容、長度應正確無誤。

4.2 同步測試

同步測試用于驗證TTP節點的從初始狀態到進入同步的啟動服務，以及周期性時鐘同步服務。

4.2.1 測試需求

TTP節點應該能夠通過啟動服務和時鐘同步服務保持與總線的同步，同步精度<12.75 us。

4.2.2 測試過程

步驟1：配置TDMA環為6.25 ms，每個槽1.25 ms，通過TTP Monitor將配置加載到各個節點；

步驟2：重啟系統；

步驟3：通過示波器觀察總線上各個節點發出幀的開始時間。

4.2.3 驗證測試結果

相鄰兩個節點發送幀的開始時間之差，應該穩定保持在以下范圍：

[1.25 ms-6.375 us, 1.25 ms+6.375 us]

4.3 故障注入測試

通過不同的故障注入，驗證TTP總線的確認服務、成員關系服務、派系檢測服務和主機/控制器生命標記服務。該測試采用圖2(b)中的連接方式。

4.3.1 測試需求

TTP節點應該采用確認服務，通過連續兩個有效后繼節點的狀態，判斷自己發送幀的正確性；

TTP節點應該采用成員關系向量，標識每一個節點的工作狀態；

TTP節點應該采用派系檢測服務，并在處于少數派系時重啟并重新加入派系；

TTP節點應該采用主機/控制器生命標記服務，交互各自狀態，并在一方故障時另一方不能繼續發送幀。

4.3.2 測試過程

步驟1：通過TTP Monitor將配置加載到各個節點；

步驟2：重啟系統；

步驟3：系統穩定工作后，采用信號發生器和干擾儀TTP Disturbance依次注入表2所示的各種故障；

表2 總線故障注入

步驟4：通過TTP-View和示波器觀察總線狀態。

4.3.3 驗證測試結果

指定節點故障時，被測節點的成員關系向量將對應位置為0；被測節點在成為少數派系成員時，能夠發現并重啟；

被測節點主機標記為故障(不更新生命標記)時，控制器不再發送幀。

4.4 集群模式測試

TTP總線支持最多7個集群模式，通過發起集群模式切換命令，實現不同集群模式之間的切換，從而滿足不同應用階段使用不同通信配置的要求。

4.4.1 測試需求

TTP總線支持最多7個集群模式，發起集群模式切換命令后，所有節點能夠切換到指定的集群模式。

4.4.2 測試過程

步驟1：配置包含7個集群模式的MEDL，并通過TTPMonitor將配置加載到各個節點；

步驟2：重新啟動；

步驟3：被測節點發起集群模式切換；

步驟4：通過TTP-View觀察總線的集群模式。

4.4.3 驗證測試結果

TTP總線可以按照集群模式切換命令，實現不同模式之間的切換。

5 結論

在TTP節點研制過程中，基于TTP總線需求分析形成的338條需求，建立了TTP總線驗證平臺，開發了52個測試程序。本文對TTP協議做了簡單介紹，描述了自研的TTP節點機設計，并對TTP總線驗證平臺和驗證程序做了說明。通過測試表明，研制的TTP節點滿足需求規范，具有高確定性、高安全的技術特點。

[1] 王 婧, 張 欣. 汽車網絡通信協議TTP/C和FlexRay的研究分析[J]. 北京汽車, 2006, 6:40-43.

[2] 周 震, 楊正林. 時間觸發CAN—TTCAN[J]. 汽車電器, 2005, 5:3-7.

[3]AS6003TTPCommunicationProtocol[S].SocietyofAutomotiveEngineers, 2011-2.

[4]HermannK,GunterG.TTP-Aprotocolforfault-tolerantreal-timesystems[J].IEEEComputer, 1994, 27(1):14-23.

[5] 趙 罡, 何 鋒, 王紅春,等. 航空電子環境TTP/C總線應用技術研究[J]. 航空計算技術, 2014, 44(6):110-115.

[6] 劉冬冬, 張天宏, 陳 建, 等.TTP/C協議的關鍵特性研究[J]. 計算機測量與控制, 2012, 20(10):2769-2772.

[7] 劉雙與, 郭麗娟, 張 激, 等.TTP/C協議的一致性機制研究[J]. 計算機工程, 2006, 32(5):119-121.

ResearchonVerificationofTimeTriggeredProtocol

ChenChangsheng,LiuZhiwu,WangChenbo,LiuYang

(Xi’anAeronauticsComputingTechniqueResearchInstituteofAVIC,Xi’an710068,China)

Time-triggered Protocol (TTP) defines a communication bus with high determinism, conflict-free and high safety, and it could meet the communication requirements of safety-critical real-time control systems such as flight control system. Verification of TTP is based on the demands of the protocol, designed test methods and procedures including basic communication, synchronization and fault injection to verify the functions and performance of TTP node under test. Through the tests, the TTP node is verified that it meets the requirements and it could be used in safety-critical real-time control systems.

safety-critical; time-triggered protocol; protocol verification

2017-01-17；

2017-02-09。

國家十二五基金項目(MJZ-2014-S-47)。

陳長勝(1982-)，男，安徽蕪湖人，碩士，高級工程師，主要從事機載總線與網絡方向的研究。

1671-4598(2017)04-0244-03DOI：10.16526/j.cnki.11-4762/tp

V

A