CN103279404B

CN103279404B - 一种基于心跳状态字的多机系统同步及可靠性检测方法

Info

Publication number: CN103279404B
Application number: CN201310163460.1A
Authority: CN
Inventors: 熊剑平; 晏坚; 张媛; 张震; 马骋
Original assignee: Tsinghua University
Current assignee: Tsinghua University
Priority date: 2013-05-07
Filing date: 2013-05-07
Publication date: 2016-06-15
Anticipated expiration: 2033-05-07
Also published as: CN103279404A

Abstract

本发明公开了属于网络通信同步技术领域的一种基于心跳状态字的多机系统同步及可靠性检测方法，涉及互为备份系统间的状态同步与检测工作。两两系统间分别通过4根数据线连接，以构造时钟跳变的形式对“心跳状态字”进行串行传输。向对方系统发送的“心跳状态字”，彼此间进行心跳检测，系统程序将按照各种工作状态的优先级完成同步，或对对方系统工作状态进行标记；或规定时间内未收到对方系统的时钟跳变信息时，程序将对此可能失效的事件进行计数标记，并上报检测结果，本发明能够方便嵌入单片机单循环式程序中；以适用于航天应用领域中数据处理能力有限的单片机系统，不仅有效地标志了系统不同的工作状态，同时提高了空间抗辐射能力。

Description

一种基于心跳状态字的多机系统同步及可靠性检测方法

技术领域

本发明属于网络通信同步技术领域，特别涉及一种基于心跳状态字的多机系统同步及可靠性检测方法，具体说是一种双机或多机热备系统保持工作状态同步并提高可靠性的一种检测方法。

背景技术

心跳检测技术是系统同步及故障检测的关键技术之一，通过周期性地发送检测信息监测对方的状态，从而实现工作状态同步或故障检测。目前在多种网络环境、双机或多机热备系统中被广泛应用。

在一般网络通信应用中，心跳检测技术基于UDP、TCP/IP通信协议，通常用于检测网络中设备连接情况，或网络中、集群中、主备机系统中设备故障状况。常见的心跳检测流程为：由主机或主节点定时向被检设备、进程或其它网元发送简单的通讯包，如果在指定时间段内未收到对方响应，则判断对方工作异常。被检设备、进程或其它网元所回复的信息被称为“心跳包”或“心跳报文”。根据心跳检测内容的不同，网络传输中的心跳检测可分为但不限于：IP心跳、网管心跳、网关心跳、TDM（TimeDivisionMultiplex，分时复用）心跳、端口认证心跳等。

已有网络通信中的心跳检测技术，虽然克服了网络中数据流量大、IP协议可靠性低等引起的心跳包丢失问题，但是由于硬件接口的特殊要求与基于特定传输协议的软件设计复杂性，使这类心跳检测技术存在较大局限性，不能适用于端口有限且数据处理能力有限的单片微型处理器MCU（简称“单片机”）系统。

而在双机或多机热备系统中，已有技术采用心跳脉冲的方式，用高低电平标志中央处理单元CPU故障状况。此心跳检测技术不仅在硬件接口方面具有较强的通用性和扩展性，而且软件工作量非常小，可适用于各类基于低端CPU、单片机等数据处理单元的双机或多机热备系统。但是由于航天领域应用的局限性，高低电平判断机制不仅无法标志系统正常工作时不同的工作状态，更对于空间辐射中单粒子翻转事件没有任何抵抗能力，因此在航天技术领域也存在很大局限性。

综上所述，在实现本发明过程中，发明人发现现有技术至少存在如下问题：

目前基于网络传输的心跳检测技术，由于硬件接口的特殊要求与基于特定传输协议的软件设计复杂性，对于数据处理能力有限的单片机系统并不适用，且很难嵌入单片机单循环式程序中；而普通脉冲式心跳检测技术在航天技术应用中，不仅无法标志系统正常工作时不同的工作状态，更对于空间辐射中单粒子翻转事件没有任何抵抗能力，不能直接应用于航天技术领域。

发明内容

本发明的目的在于克服上述已有技术的不足，提供一种基于心跳状态字的多机系统同步及可靠性检测方法，其特征在于，基于心跳状态字的多机系统同步及可靠性检测架构为多机系统的每两个系统间分别通过两根模拟时钟数据线，简称“时钟线”和两根“心跳状态字”数据传输线，简称“心跳线”，共4根数据线连接，并分别通过SPI接口与现场可编程门阵列连接，以构造时钟跳变的形式对“心跳状态字”进行串行传输；在双机或多机热备系统中，多机热备的单片机系统不分主从，互为备份系统，彼此间进行心跳检测并上报检测结果，以适用于航天应用领域中数据处理能力有限的单片机系统，并易于嵌入单片机单循环式程序中；包括如下步骤：

1）以“心跳状态字”的形式标志各系统不同的工作状态，并实现互为备份系统间的状态同步与检测工作；

2）当检测到对方系统发送的“心跳状态字”为已定义的“合法心跳状态字”时，程序将按照各种工作状态的优先级完成同步，或对对方系统工作状态进行标记；

3）当检测到对方系统发送的“心跳状态字”为未定义的“非法心跳状态字”，或规定时间内未收到对方系统的时钟跳变信息时，程序将对此可能失效的事件进行计数标记，直到累加到一定数量后则认为对方系统已经失效，并上报上位机处理；

4）为防止航天领域中单粒子翻转事件发生，定时T₁主动向对方单片机系统以“心跳状态字”形式发送心跳信息；令失效计数变量累加到N次后判定对方失效，且失效结果通过数据通道上报上位机处理系统；这里N为程序设计的失效判断最高累加系数，其数值根据程序设计的实际需求决定；

5）所述当“心跳状态字”每发送1比特同时模拟时钟跳变一次；两片单片机系统之间判定对方失效的判决条件为：当N₁·T₁时间内未检测到对方时钟跳变，失效计数变量步增；当经历8·T₂时间接收完整“心跳状态字”后，若判定非程序定义的“合法心跳状态字”，失效计数变量步增；其中T₁是主单片机系统定时器定时时长；T₂是对方单片机系统定时器定时时长；这里N₁为程序设计的失效判断最高累加系数，其数值根据程序设计的实际需求决定；

6）当单片机系统经历8·T₂时间接收到其他完整“心跳状态字”后，根据“心跳状态字”判定对方工作状态，并判决是否进行上位机复位的功能操作。

所述“心跳状态字”是对传统网络心跳检测中“心跳包”报文的简化，并通过不同状态字记录对方系统不同的工作状态，并按各种工作状态的优先级完成同步；多个“心跳状态字”按照尽可能大的码距选取；按照程序是否做定义，而将“心跳状态字”分为“合法心跳状态字”和“非法心跳状态字”。

所述4根数据线为“2发数据线”和“2收数据线”；“2发数据线”分别为模拟时钟数据线，简称“时钟线0”及“心跳状态字”数据传输线，简称“心跳线0”；“2收数据线”为对方单片机系统的“时钟线”和“数据线”，分别简称“时钟线1”和“心跳线1”。

本发明的优点在于，1）心跳检测模块均有由基本定时中断和判断语句组成，可方便嵌入单片机单循环式程序中。2）根据“心跳状态字”判定对方工作状态，不仅有效地标志了系统不同的工作状态，同时提高了空间抗辐射能力。

附图说明

图1为发明实施例中基于心跳状态字的多机系统同步及可靠性检测方法的硬件原理框图。

图2为发明实施例中基于心跳状态字的多机系统同步及可靠性检测方法的状态转换图。

图3为发明实施例中基于心跳状态字的多机系统同步及可靠性检测方法的失效判决示意图。

图4为发明实施例中基于心跳状态字的多机系统同步及可靠性检测方法中定时中断内的心跳检测模块流程图。

图5为发明实施例中基于心跳状态字的多机系统同步及可靠性检测方法中测试模式下的心跳检测模块流程图。

图6为发明实施例中基于心跳状态字的多机系统同步及可靠性检测方法中工作模式下的心跳检测模块流程图。

具体实施方式

本发明提供一种基于心跳状态字的多机系统同步及可靠性检测方法。为了更清楚地说明本发明的技术方案，下面将对本发明描述中所需要使用的附图作简单介绍。

在目前的实施方案中，“基于心跳状态字的多机系统同步及可靠性检测”功能需嵌入单片机的单循环程序中，以实现多机热备单片机系统中对其他单片机失效情况的判决、上报以及工作状态同步。

如图1所示，本实施例为多机系统中的双机热备单片机系统，两个单片机系统为单片微控制器0和单片微控制器1；二者间分别通过2发数据线，简称“时钟线0”和“心跳线0”；2收数据线简称“时钟线1”和“心跳线1”共4根数据线连接，并分别通过SPI接口与现场可编程门阵列连接，以构造时钟跳变的形式对“心跳状态字”进行串行传输；其中单片微控制器(MCU)以C515C为例，为方便行文，下文简称“单片微控制器(MCU)0”为C515C_0，简称“单片微控制器(MCU)1”为C515C_1。

两片C515C之间通过2根时钟线和2根心跳线连接，检测对方心跳信息并同步工作状态；两片C515C将对方是否失效的判决结果通过SPI（SerialPeripheralInterface，串行外设接口）首先上报FPGA（Field-ProgrammableGateArray，现场可编程门阵列）；FPGA仅作为通道最终将判决结果上报给上位机处理。本双机热备的单片机系统不分主从，互为备份系统，彼此间进行心跳检测并上报检测结果，以适用于航天应用领域中数据处理能力有限的单片机系统，易于嵌入单片机单循环式程序中。

图2以双机热备单片机系统中C515C_0为例，描述了基于心跳状态字的多机系统同步及可靠性检测方法的状态转换关系。在此实施方案中，C515C有两个工作状态（循环），分别为图2所示的“测试模式循环”和“工作模式循环”。

在“测试模式循环”中，C515C_0接收C515C_1发送的“心跳状态字”判断对方当下工作状态：若判定对方工作于工作模式，则自动切换工作状态至工作模式，与对方状态同步；若判定对方也工作于测试模式，则需等待上位机下行工作状态切换指令完成状态切换，其中，在判定对方工作于测试模式后，还要分别判断对方是否已完成对上位机的复位功能，是则屏蔽自身复位功能，否则按程序流程执行。

在“工作模式循环”中，C515C_0继续接收C515C_1发送的“心跳状态字”，但只对“非法心跳状态字”做记录，不再做工作状态切换。

图3描述了基于心跳状态字的多机系统同步及可靠性检测方法中的失效判决方法。其中一片C515C判定对方可能失效的判据有两个：一是在N₁次T₁时长的定时中断中未检测到对方的时钟线信号的跳变，二是所接收的完整“心跳状态字”非“合法心跳状态字”；当出现上述任一情况，失效计数变量将累加1次；直到失效计数变量累加到3次，对方C515C被判定失效，失效标志位置1，且失效结果通过FPGA通道上报上位机。

本实施方案中两片C515C定时器定时时长均为65.535ms，N₁为16次，即约1s时间失效计数变量累加1次，累计3s将判定对方C515C失效，失效标志位置1；“心跳状态字”长度8比特，发送时长为8个定时时长，即约0.5s失效计数变量累加1次，连续1.5s即判定对方C515C失效，失效标志位置1。

以下将以本实施方案为例，对基于心跳状态字的多机系统同步及可靠性检测方法做具体描述。

在本实施方案中，每片C515C的心跳检测方法由定时中断中的心跳检测模块与测试模式循环或工作模式循环中的心跳检测模块组成。其中，对对方C515C的心跳时钟检测和构造时钟信号及发送“心跳状态字”的功能由定时中断中的心跳检测模块实现，如图4所示；接收与判决对方C515C所发送“心跳状态字”的功能由测试模式循环或工作模式循环中的心跳检测模块实现，如图5、图6所示。

其中上述心跳检测模块中主要计数变量及标志变量的定义与描述统一说明如下：

1s计时变量：初始值为16，当递减为0时，单片机1s计时到，用于对方单片机心跳时钟检测计时；每当检测到对方时钟线信号跳变时重置为16；

失效判断计数变量：初始值为0，当递增为3时，判定对方单片机失效；

失效标志变量：初始值为0，当失效判断计数变量递增为3时置1，标志对方单片机失效；

状态判断计数变量：初始值为0，当递增为3时，单片机自动从测试模式切换至工作模式；

测试模式判断计数变量：初始值为0，当递增为3时，单片机判定自身首次进入测试模式，尚未执行上位机复位功能；

测试模式标志变量：初始值为0，当测试模式判断计数变量递增为3时置1，标志单片机判定自身首次进入测试模式，尚未执行上位机复位功能。

定时中断中的心跳检测模块流程如图4所示，具体包括以下步骤：

步骤410，判断对方C515C失效标志是否被置1，是则跳转执行步骤450，否则由步骤420开始逐步执行。

步骤420，对1s计时变量步减。

步骤430，判断1s计时变量是否为0，是则说明1s计时内未检测到对方C515C时钟线信号跳变信息，失效判断计数变量步增；否则跳转执行步骤450。

步骤440，判断失效判断计数变量是否累加到3，是则对失效标志置1，否则对1s计时变量重置16，重新开始计时1s检测对方C515C心跳时钟信息。

步骤450，判断所发送的“心跳状态字”是否已完整发送8比特，是则重新发送，否则继续发送，同时使心跳时钟0-1跳变一次，待对方C515C接收“心跳状态字”时候查询。

测试模式循环下心跳检测模块流程如图5所示，具体包括以下步骤：

步骤510，查询对方C515C心跳时钟是否发生跳变，是则对定时中断的1s计时变量重置16，同时接收对方C515C发送的1比特“心跳状态字”内容，记录当前心跳时钟状态；否则跳转执行步骤550。

步骤520，查询是否完整接收1字节“心跳状态字”，是则继续执行以下步骤，否则继续接收剩余“心跳状态字”内容，跳转执行步骤550。

步骤530，对接收到的完整“心跳状态字”做判决，并分别选择执行步骤531-534；其中测试模式与工作模式下“心跳状态字”码距为8，测试模式中标志已完成复位功能的“心跳状态字”与其他两状态字码距为4。

步骤531，当接收“心跳状态字”为0xA8时，认为对方C515C工作于测试模式且未完成对上位机的复位功能。此时首先给各计数变量及失效标志清零，等待后续步骤查询；在3次判断对方未完成对上位机的复位功能后，对测试模式判断标志置1，等待后续步骤查询。

步骤532，当接收“心跳状态字”为0xA7时，认为对方C515C工作于测试模式且已完成对上位机的复位功能，即本C515C刚完成一次自复位或者功能执行滞后于对方C515C。此时首先给各计数变量及失效标志清零，同时对测试模式判断标志清零，等待后续步骤查询。

步骤533，当接收“心跳状态字”为0x57时，认为对方C515C工作于工作模式，此时要对状态判断计数变量累加，其他计数变量及失效标志清零，等待后续步骤查询。

步骤534，当接收“心跳状态字”非上述三种情况时，认为接收到“非法心跳状态字”，此时直接对失效判断计数变量步增。

步骤540，清空接收寄存器，准备重新开始接收“心跳状态字”。

步骤550，判断状态判断计数变量是否累加到3，是则直接切换当前测试模式至工作模式，否则执行步骤560。

步骤560，判断自身测试模式判断标志是否被置1，是则执行上位机复位功能，并改变所发送的“心跳状态字”，否则执行步骤570。

步骤570，判断失效判断计数变量是否累加到3，是则对失效标志置1，否则退出此心跳检测模块，执行C515C测试模式循环中其他程序段。

工作模式循环下心跳检测模块流程如图6所示，具体包括以下步骤：

步骤610，查询对方C515C心跳时钟是否发生跳变，是对定时中断的1s计时变量重置16，同时接收对方C515C发送的1比特“心跳状态字”内容，记录当前心跳时钟状态；否则跳转执行步骤650。

步骤620，查询是否完整接收1字节“心跳状态字”，是则继续执行以下步骤，否则继续接收剩余“心跳状态字”内容，跳转执行步骤650。

步骤630，对接收到的完整“心跳状态字”做判决，并分别选择执行步骤631～632。

步骤631，当接收“心跳状态字”为0xA8或0xA7或0x57时，在工作模式下认为接收到了“合法心跳状态字”，此时对各计数变量及失效标志清零，等待后续步骤查询。

步骤632，当接收“心跳状态字”非上述两种情况时，认为接收到“非法心跳状态字”，此时直接对失效判断计数变量步增。

步骤640，清空接收寄存器，准备重新开始接收“心跳状态字”。

步骤650，判断失效判断计数变量是否累加到3，是则对失效标志置1，否则退出此心跳检测模块，执行C515C测试模式循环中其他程序段。

结合上述定时中断中的心跳检测模块与测试模式循环中或工作模式循环中的心跳检测模块，即构成了两片C515C间基于心跳状态字的双机热备统同步及可靠性检测方法，实现了对对方失效的检测与双方工作状态的同步。

本发明的实施例具有以下优点：适用于处理能力有限的单片机系统，且心跳检测模块由基本定时中断和判断语句组成，可方便嵌入单片机单循环式程序中；采用主动周期发送合理设计的“心跳状态字”与失效计数累计的方式对对方系统失效进行判决，既不增加通信开销，同时减少误判率，适用于航天应用领域。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出的贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得任一单片机系统执行本发明各个实施例所述的方法。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，不付出创造性劳动就可以做出若干的改进和润饰，这些改进和润饰也应当视为本发明的保护范围。

Claims

1.一种基于心跳状态字的多机系统同步及可靠性检测方法，其特征在于，基于心跳状态字的多机系统同步及可靠性检测架构为多机系统的每两个系统间分别通过两根模拟时钟数据线，简称“时钟线”；和两根“心跳状态字”数据传输线，简称为“心跳线”，共4根数据线连接，并分别通过SPI接口与现场可编程门阵列连接，以构造时钟跳变的形式对“心跳状态字”进行串行传输；该“心跳状态字”是对传统网络心跳检测中“心跳包”报文的简化，并通过不同状态字记录对方系统不同的工作状态，并按各种工作状态的优先级完成同步；多个“心跳状态字”按照不小于4的码距选取；按照程序定义，将“心跳状态字”分为“合法心跳状态字”和“非法心跳状态字”；在双机或多机热备系统中，多机热备的单片机系统不分主从，互为备份系统，彼此间进行心跳检测并上报检测结果，以适用于航天应用领域中数据处理能力有限的单片机系统，并易于嵌入单片机单循环式程序中；包括如下步骤：

1)以“心跳状态字”的形式标志各系统不同的工作状态，并实现互为备份系统间的状态同步与检测工作；

2)当检测到对方系统发送的“心跳状态字”为已定义的“合法心跳状态字”时，程序将按照各种工作状态的优先级完成同步，或对对方系统工作状态进行标记；

3)当检测到对方系统发送的“心跳状态字”为未定义的“非法心跳状态字”，或规定时间内未收到对方系统的时钟跳变信息时，程序将对失效的事件进行计数标记，直到累加到一定数量后则认为对方系统已经失效，并上报上位机处理；

4)为防止航天领域中单粒子翻转事件发生，定时T₁主动向对方单片机系统以“心跳状态字”形式发送心跳信息；令失效计数变量累加到N次后判定对方失效，且失效结果通过数据通道上报上位机处理系统；这里N为程序设计的失效判断最高累加系数，其数值根据程序设计的实际需求决定；

5)当“心跳状态字”每发送1比特的同时，模拟时钟跳变一次；两片单片机系统之间判定对方失效的判决条件为：当N₁·T₁时间内未检测到对方时钟跳变，失效计数变量步增；当经历8·T₂时间接收完整“心跳状态字”后，若判定非程序定义的“合法心跳状态字”，失效计数变量步增；其中T₁是主单片机系统定时器定时时长；T₂是对方单片机系统定时器定时时长；这里N₁为程序设计的失效判断最高累加系数，其数值根据程序设计的实际需求决定；

6)当单片机系统经历8·T₂时间接收到其他完整“心跳状态字”后，根据“心跳状态字”判定对方工作状态，并判决是否进行上位机复位的功能操作。

2.根据权利要求1所述基于心跳状态字的多机系统同步及可靠性检测方法，其特征在于，所述4根数据线为“2发数据线”和“2收数据线”；“2发数据线”分别为模拟时钟数据线，简称“时钟线0”及“心跳状态字”数据传输线，简称“心跳线0”；“2收数据线”分别简称“时钟线1”和“心跳线1”。