[发明专利]机载余度计算机支持容错验证的无损故障注入方法

说明书

技术领域

本发明涉及一种机载余度计算机支持容错验证的故障注入方法。

背景技术

飞行安全紧密相关的机载控制系统为提高工作可靠性通常采用具有容错能力的多通道余度计算机实现对核心功能的可靠执行，如具有一次故障/工作能力的三通道余度计算机、二次故障/工作能力的四通道余度计算机，多通道余度计算机平台的容错特性需要借助故障仿真试验进行验证，故障仿真试验：向余度计算机中若干计算通道注入故障以验证其对故障识别、抑制、隔离及冗余部件切换的能力。如何注入故障是决定能否执行故障仿真试验的关键，一般的方法有方法1：物理破坏型注入，方法2：通过余度计算机自身设计的故障注入电路实现故障注入，方法3：利用计算机中断服务功能更改内部数据实现故障注入。其中方法1属产品破坏性试验成本较高，方法2虽然没有直接破坏性但由于设计了故障注入电路产品的失效数计算值必然增大（会直接降低产品基本可靠性MTBF指标），同时额外消耗产品的功率、重量、空间等系统资源，方法3较前2种方法具有优势但存在安全隐患，如果在工作时中断服务程序被异常触发导致实时有效数据被破坏则后果不堪设想。因此面向机载系统的使用特性，余度计算机的故障注入应当是不会造成物理损伤的、不以损失产品可靠性和安全工作特性为代价的“无损”故障注入方式。

发明内容

本发明目的是为验证机载安全性系统内多通道余度计算机的容错特性而提供出一种无损故障注入方法。该方法以背景技术中的方法3为基础以通过消除安全性隐患为途径借助软硬件设计相结合的思路，中断服务程序采用指令通讯的方式实现对余度计算机“无损”化的故障注入。

该机载余度计算机支持容错验证的无损故障注入方法，机载余度计算机通道主程序作为被实施故障注入的目标对象，该无损故障注入方法包括：

故障注入交互终端编辑故障内容以及向故障注入中断处理程序发送故障注入指令的过程；

故障注入交互终端发送故障注入中断请求，经中断联锁控制使能故障注入中断处理程序的过程；

执行故障注入中断处理程序的过程，主要进行以下三个步骤：

首先，判别允许故障注入的联锁硬件条件是否满足，如果条件成立则继续执行后续程序，否则通过通讯接口输出状态信息后直接退出中断处理程序；

然后，中断处理程序经通讯接口接收到故障注入交互终端送出的故障注入指令后，对指令内容进行校验判别，如果指令校验正确则继续执行后续程序，否则通过通讯接口输出状态信息后直接退出中断处理程序；

最后，对通过校验判别的故障指令进一步执行指令识别，若识别成功，则向执行故障注入；如果故障注入交互终端发出的是“退出中断”指令或无效指令，则通过通讯接口输出状态信息后退出中断处理程序。

进一步可对上述方法作如下优化限定：

上述联锁硬件条件是否满足，是通过所述中断联锁控制进行判别，使得只有当故障中断使能有效、机轮承载信号指示地面状态有效、地面使能信号有效这三种状态共同满足的情况下，才允许继续执行后续程序。

本发明具有以下优点：

1.可以使机载余度计算机具备支持容错验证的能力，在故障仿真试验中能够实现不以造成物理损伤、不以损失产品可靠性和安全工作特性为代价的“无损”化故障注入；

2.设计方案结构简明，具有工程可实现性，可以被广泛应用。

附图说明

图1为本发明的原理示意图（其中任一个通道）。

具体实施方式

本发明的技术方案如图所示由4部分组成：余度计算机通道主程序是被实施故障注入的目标对象，具有安全机制的故障注入中断服务程序是驻留在余度计算机通道内执行故障注入的嵌入式软件工具，用于编辑故障内容的故障注入交互终端和执行发送故障注入指令及中断请求的服务器构成故障注入仿真环境，故障注入中断联锁控制。