引 言 
    測(cè)控設(shè)備在信號(hào)檢測(cè)、工業(yè)控制、醫(yī)療儀器、航空航天等領(lǐng)域應(yīng)用十分廣泛。目前測(cè)控系統(tǒng)大多是以工業(yè)控制計(jì)算機(jī)作為控制中心。但是這種方法主要有以下缺點(diǎn)： 一是工業(yè)控制計(jì)算機(jī)控制通信功能相對(duì)比較弱，要增強(qiáng)控制通信功能就必須外加很多電路，從而使系統(tǒng)設(shè)計(jì)復(fù)雜，系統(tǒng)可靠性難以提高；二是工業(yè)控制計(jì)算機(jī)體積較 大，不能滿(mǎn)足某些特定行業(yè)的需要；三是工業(yè)控制計(jì)算機(jī)不適合于環(huán)境惡劣和可靠性要求很高的場(chǎng)合。 
    在航空領(lǐng)域中，有眾多的測(cè)控儀器。這些儀器不僅要求可靠性高、重量輕、體積小，而且要求計(jì)算機(jī)抗惡劣環(huán)境能力強(qiáng)、能夠與各種不同的航電設(shè)備通信。而機(jī)載燃 油測(cè)控計(jì)算機(jī)就是一種典型的航空測(cè)量?jī)x器，它為航空器駕駛員和其它航空設(shè)備提供重要的信息。它的工作是否可靠，直接關(guān)系到人民的生命財(cái)產(chǎn)安全。  
針對(duì)以上情況，我們采用了通信功能強(qiáng)大的芯片MPC860為主要處理器，設(shè)計(jì)了一種以硬件容錯(cuò)為基礎(chǔ)的高可信賴(lài)的專(zhuān)用計(jì)算機(jī)。

1 硬件容錯(cuò)模型 
    容錯(cuò)技術(shù)主要是依靠資源的冗余和系統(tǒng)重構(gòu)資源的精心組織來(lái)完成的。隨著半導(dǎo)體元件體積的縮小及成本的下降，以及超大規(guī)模集成電路的發(fā)展，在計(jì)算機(jī)容錯(cuò)系統(tǒng)的設(shè)計(jì)中采用硬件冗余成為當(dāng)前比較常用的方法。硬件冗余分為被動(dòng)硬件冗余、主動(dòng)硬件冗余和混合硬件冗余。 
    被動(dòng)硬件冗余又稱(chēng)為靜態(tài)硬件冗余。它應(yīng)用了故障掩蔽的概念，即是指冗余結(jié)構(gòu)并不隨故障情況變化的冗余形式。通常采用的結(jié)構(gòu)是三模冗余TMR(Triple Modular Redundancy)和二模冗余結(jié)構(gòu)。為了進(jìn)一步提高系統(tǒng)的可靠性，可以采用N模冗余(NMR)。NMR與TMR的原理相同，只是采用N個(gè)相同的模塊。 N一般為奇數(shù)，以方便進(jìn)行多數(shù)表決。NMR可以容忍(N一1)/2個(gè)故障模塊。 
    主動(dòng)硬件冗余又稱(chēng)為動(dòng)態(tài)硬件冗余，主要采用重組技術(shù)。它通過(guò)故障檢測(cè)、故障定位及故障恢復(fù)來(lái)達(dá)到容錯(cuò)的一種技術(shù)。主動(dòng)硬件冗余的形式有雙機(jī)比較、備用替換 和成對(duì)備用。 帶熱備份的雙機(jī)比較系統(tǒng)是在增強(qiáng)型雙機(jī)比較系統(tǒng)的基礎(chǔ)上，增加了一個(gè)熱備計(jì)算機(jī)，通常系統(tǒng)中帶有進(jìn)行故障定位的自診斷程序。系統(tǒng)的工作原理是，系統(tǒng)開(kāi)始以 雙機(jī)運(yùn)行，當(dāng)雙機(jī)比較系統(tǒng)出現(xiàn)故障時(shí)，啟動(dòng)自診斷程序進(jìn)行故障定位，定位故障后，切換開(kāi)關(guān)將故障機(jī)器從系統(tǒng)中切除并換上處于正常工作狀態(tài)的熱備計(jì)算機(jī)。系 統(tǒng)繼續(xù)以雙機(jī)模式運(yùn)行。 
    根據(jù)上述增強(qiáng)型雙機(jī)比較系統(tǒng)模型及實(shí)際課題應(yīng)用要求，我們?nèi)サ袅吮容^器，熱備份計(jì)算機(jī)，提出了圖1所示的簡(jiǎn)化雙機(jī)熱備系統(tǒng)結(jié)構(gòu)模型，并加以實(shí)現(xiàn)。 

    圖1中，系統(tǒng)啟動(dòng)時(shí)默認(rèn)將計(jì)算機(jī)A作為主系統(tǒng)輸出，計(jì)算機(jī)B作為熱備機(jī)使用。A機(jī)與B機(jī)并行執(zhí)行相同的計(jì)算，且A機(jī)和B機(jī)各有獨(dú)自的外圍控制邏輯和外設(shè)， 既不會(huì)引起系統(tǒng)資源的競(jìng)爭(zhēng)，又增加了整體系統(tǒng)的穩(wěn)定性。當(dāng)然，這樣是以花費(fèi)更多的硬件設(shè)施為代價(jià)的。主備用機(jī)之間的切換用專(zhuān)門(mén)設(shè)計(jì)的仲裁檢測(cè)電路來(lái)實(shí)現(xiàn)。 仲裁檢測(cè)電路根據(jù)A機(jī)與B機(jī)周期向它發(fā)送的自檢信號(hào)來(lái)判斷A機(jī)系統(tǒng)與B機(jī)系統(tǒng)運(yùn)行的狀況，并控制切換開(kāi)關(guān)K1、K2的操作。①如果A機(jī)與B機(jī)均正常運(yùn)行， 則將A機(jī)的運(yùn)行結(jié)果作為系統(tǒng)輸出；②如果A機(jī)正常而B(niǎo)機(jī)故障，亦將A機(jī)的運(yùn)行結(jié)果作為系統(tǒng)輸出，同時(shí)將B機(jī)的運(yùn)行故障狀態(tài)報(bào)告給A機(jī)，并向B機(jī)進(jìn)行復(fù)位控 制操作；③如果A機(jī)故障，B機(jī)正常，則進(jìn)行開(kāi)關(guān)切換操作，將B機(jī)的運(yùn)行結(jié)果作為系統(tǒng)輸出，同時(shí)將A機(jī)的運(yùn)行故障狀態(tài)報(bào)告給B機(jī)，并向A機(jī)進(jìn)行復(fù)位控制操作 (所有的操作過(guò)程均作為日志文件保存在系統(tǒng)內(nèi)，停機(jī)后根據(jù)日志記錄將故障機(jī)轉(zhuǎn)入維修)；④如果A機(jī)與B機(jī)均故障，則由仲裁電路發(fā)出報(bào)警信號(hào)，表明系統(tǒng)不可 用。

2 設(shè)計(jì)方案及系統(tǒng)結(jié)構(gòu) 
    本系統(tǒng)的設(shè)計(jì)目標(biāo)是實(shí)現(xiàn)一個(gè)機(jī)載 燃油測(cè)量嵌入式容錯(cuò)管理