通道

①傳輸信息的數據通路。②計算機系統中傳送信息和數據的裝置。主要有主存儲器讀寫通道和輸入、輸出通道。能接收中央處理機的命令，獨立執行通道程序，協助中央處理機控制與管理外部設備。

一個獨立於CPU的專門I/O控制的處理機，控制設備與內存直接進行數據交換。它有自己的通道命令，可由CPU執行相應指令來啓動通道，並在操作結束時向CPU發出中斷信號。通道指令的格式一般由：操作碼，記數段，內存地址段，結束標誌組成。一個系統中可設立三種類型的通道：字節多路通道、數組多路通道、選擇通道。

概述

航空機載計算機領域內，為提高系統的可靠性及容錯能力，通常採用雙餘度設計技術滿足使用要求。雙餘度設計主要基於“完整雙功能通道+在線監控電路實現主/備工作”設計理念。主要內容包括接口信號採集及處理、信號有效性監控、計算機核心處理電路的自測試、輸出控制和迴繞測試以及通道故障管理電路（含主/備工作切換）。

1.通道切換管理策略

該通道切換管理策略主要由通道故障檢測管理策略、主/備狀態的切換策略、主/備狀態是否匹配三個部分組成，雙通道根據通道故障檢測管理策略判定通道對應工作狀態是否正常，同時將本通道狀態通過硬件傳輸到另一通道，雙通道內部根據主/備狀態的切換策略判定是否進行主/備切換。

2.通道故障檢測管理策略

正常工作狀態下的狀態判定

當機載計算機雙通道都處於正常工作時，通道主控狀態設定主要有兩種方案：第一種為持續某一通道主控，另一通道備用；第二種為雙通道主控狀態根據某一外部狀態（供電、飛行次數等參數）輸入輪值更替。通道主控狀態設定方案的不同，對應的軟件通道狀態設定值也不同。

故障狀態下的狀態判定

當機載計算機在工作過程中發生故障時，主要的判定策略為：根據故障的嚴重程度（產品開發人員自行設計）對通道狀態進行賦值。。 ^[1] 

概述

在航空電子系統中，飛控計算機系統用於控制飛機的飛行功能，是電傳飛行控制系統的“大腦”，直接關係到飛機的存亡，要求具有極高的可靠性。因此單靠提高電子元器件的可靠性是遠遠不能達到要求的，必須採用容錯技術。容錯的重要方法是冗餘，餘度的設計直接決定飛控計算機的體系結構、軟件管理方法，可靠度、和複雜度等。飛控計算機系統普遍採用多餘度容錯體系結構，如蘇27的四餘度結構，F22和F35的三餘度結構等。在餘度計算機中，每一餘度稱為一個通道，每個通道均具有輸出控制能力，根據系統餘度及控制策略的不同，需要設計餘度計算機輸出控制權的確定和交接，這通常由邏輯上獨立於處理器及其他接口模塊的專用邏輯完成，這部分邏輯稱之為通道故障邏輯。通道故障邏輯是餘度計算機的重要組成部分，它根據各通道提供的自身狀態信息和其他通道信息來決定該通道是否應該擁有輸出控制權。

1通道故障邏輯的功能需求

1.1計算機餘度和系統餘度數匹配性需求

根據餘度計算機所處系統的餘度狀態，通道故障邏輯可分為兩類：

1）系統餘度和計算機餘度數相同；

2）系統無餘度或餘度數少於計算機餘度數。

1.1.1系統餘度和計算機餘度數相同

在計算機餘度和系統餘度數相同時，通道故障邏輯根據本通道自身狀態信息及其他通道指示本通道狀態信息進行判斷，然後輸出本通道是否有效的指示信號，並“切斷”本通道輸出，“切斷”的通常做法為保持預先約定的故障安全值。不論是輸入信號還是輸出信號，均為雙餘度信號，每一個計算機通道均連接有一個獨立的輸入接口和一個獨立的輸出接口。計算機的輸出接口控制需求為：通道有效時輸出，通道無效時禁止輸出，稱之為本通道自鎖邏輯。如果系統有一次故障安全的需求，則需要增加新的故障邏輯功能：任一通道失效，兩通道均禁止輸出，稱之為通道間互鎖邏輯，即本通道故障時，需要通過硬線通知另一通道的通道故障邏輯禁止其輸出。對於通道故障邏輯而言，與計算機餘度設計相同。

1.1.2系統無餘度或餘度數少於計算機餘度數

對於系統無餘度設計或通道個數少於計算機餘度個數的情形，通道故障邏輯根據本通道自身狀態信息及其他通道指示本通道狀態信息進行判斷，然後輸出本通道是否有效的指示信號，同時禁止故障通道或無控制權的通道輸出信號。在通道故障邏輯設計中，不僅需要考慮本通道是否具備輸出權，同時還需要考慮另一通道的輸出狀態。由系統的角度來看輸入/輸出的信號分配原則對於輸入信號而言，是一個輸出接口對應兩個輸入接口，計算機中的兩個通道均可使用；對於輸出接口而言，計算機的兩個通道為兩個輸出接口，與系統的連接只有一個輸入接口，此時就需要對計算機的輸出接口進行選擇，通道有效時輸出，通道無效時禁止輸出，稱之為本通道自鎖邏輯。如果本通道獲得輸出控制權，則通過自鎖邏輯，本通道輸出，但如果另一個通道也輸出，將造成輸出衝突的局面，這是不能容忍的，因此通道故障邏輯又需要具備另一個功能，在本通道輸出的同時禁止另一個通道輸出，稱通道間互鎖邏輯。通道故障邏輯與計算機餘度設計相同。

1.2安全性需求

故障邏輯的安全性需求主要來自於飛控系統的故障工作模式，也決定了故障邏輯對輸出控制權的切換和管理形式。以駕駛儀系統的雙餘度飛控計算機來説，安全性需求為關鍵故障一次故障安全，同時駕駛儀故障後允許切除駕駛儀對飛機的控制，改由飛行員通過機械或電傳方式進行手動控制，而不影響飛機的安全，此時對於故障邏輯而言，就需要通道自監控完成本通道故障的切除，通道間的監控完成另一通道的切除，即需要實現本通道的自鎖邏輯，和通道間的互鎖邏輯以保證本通道故障時和通道間互比不一致無法確定故障通道時完成飛控計算機的切除。對於三餘度的飛控計算機而言，安全性需求為關鍵故障一次故障工作，二次故障安全，此時的通道間信息來自於三餘度飛控計算機的表決，並採用少數服從多數的原則來確定故障通道，因此通道故障邏輯需要根據表決系統的結果，按照預定的原則進行判斷，如本通道自監控正常，另外兩個通道有一個通道指示本通道故障，則按照少數服從多數的原則，本通道正常；如果本通道自監控正常，另外兩個通道均指示本通道故障，則按照少數服從多數的原則，本通道應由通道故障邏輯完成切除。

1.3關鍵故障覆蓋需求

故障邏輯作為硬件切除的最後手段，必須考慮需要切除通道的關鍵故障的覆蓋率問題。該問題的考慮可以將計算機進行分割為多個故障包容區，並按照其故障形式及故障上報形式進行分類，同時需要根據瞬態故障和永久故障的相應特性設置硬件濾波或軟件濾波算法，避免虛警。

1.4故障恢復需求

故障邏輯根據其所處系統及故障發生的時機和先後順序，確定是否進行故障恢復。以雙餘度自動飛行控制計算機為例，一旦發生故障，通常是不允許故障恢復的，這是因為自動飛行控制計算機的故障並不會影響飛行安全，由飛行員進行駕駛飛行，也不會影響任務的完成。而在無備份的電傳飛控計算機系統中，則不允許所有通道全部切除，否則將導致飛機完全失去控制，導致災難性後果。

1.5獨立性需求

故障邏輯設計應獨立於模塊的軟硬件設計，同時其設計應當簡單，其可靠性指標應遠高於飛控計算機自身的可靠性。其獨立性的詳細分析依賴於FMECA分析結果，避免故障邏輯部分與模塊功能設計中有共源故障，導致模塊發生故障時，故障邏輯無法起到切除故障通道的作用。例如當主處理器時鐘故障時，將導致軟件運行故障，如果將主處理器時鐘用於故障邏輯設計，可能導致故障邏輯無法監控到軟件的運行故障 ^[2]  。

通道tōngdàoㄊㄨㄥㄉㄠˋ