摘要 提出一種基于at91rm9200處理器的高可靠雙機(jī)溫備解決方案。利用eplc6、max6374設(shè)計(jì)兩個(gè)冗余的外部watchdog監(jiān)控處理器系統(tǒng)的工作狀態(tài)，利用at91rm9200自帶的watchdog作為內(nèi)部監(jiān)測機(jī)制監(jiān)控處理器本身的故障；設(shè)計(jì)并給出了以at91rm9200為核心的監(jiān)控機(jī)制的具體實(shí)現(xiàn)，包括心跳信號的發(fā)送和中斷服務(wù)程序的設(shè)計(jì)。

　　關(guān)鍵詞 at91rm9200 watchdog雙機(jī)客錯(cuò)系統(tǒng) 溫備 高可靠系統(tǒng)

　　本文設(shè)計(jì)了一種以at91rm9200處理器為核心的高可靠嵌入式系統(tǒng)。系統(tǒng)具有兩臺機(jī)組，當(dāng)一臺機(jī)組發(fā)生故障后，另一臺機(jī)組接管工作并繼續(xù)運(yùn)行。系統(tǒng)提供外部和內(nèi)部watchdog(看門狗)監(jiān)控機(jī)制構(gòu)成一級冗余、兩級監(jiān)控的可靠性設(shè)計(jì)方案。其中外部watchdog分別采用max6374和以eplc6 fpga構(gòu)建的監(jiān)控電路，而內(nèi)部watchdog則利用at91rm9200自帶的watchdog模塊實(shí)現(xiàn)。本文分別從硬件和軟件兩個(gè)角度闡述系統(tǒng)的實(shí)現(xiàn)。

　　1 系統(tǒng)總體結(jié)構(gòu)設(shè)計(jì)

　　1．1 at91rm9200處理器

　　at91rm9200是atrnel公司生產(chǎn)的一款工業(yè)級arm9處理器，內(nèi)嵌arm920t arm thumb處理器核，主頻為180 mhz時(shí)性能可達(dá)200 mips，并內(nèi)置16 kb sram和128 kb rom。外部總線接口(ebi)支持sdram等存儲器，帶有7個(gè)外部巾斷源，1個(gè)快速中斷源和4個(gè)32位pio控制器，最多支持122個(gè)可編程i／o端口。同時(shí)該芯片還內(nèi)嵌ethemet maclo／100m接口，并提供usb 2．0全速主機(jī)端口與設(shè)備接口，以及其他常用的外部接口。

　　1.2 系統(tǒng)結(jié)構(gòu)設(shè)計(jì)

　　為了提高可靠性，本系統(tǒng)采用基于溫備的系統(tǒng)級可靠性設(shè)計(jì)方案。溫備是在熱備和冷備的基礎(chǔ)上發(fā)展起來的一種雙機(jī)容錯(cuò)技術(shù)，它是指兩臺機(jī)組同時(shí)加電，但只有主機(jī)處于工作狀態(tài)，備機(jī)處于“溫態(tài)”(空轉(zhuǎn)等待接管主機(jī)工作的狀態(tài))。當(dāng)主機(jī)發(fā)生故障時(shí)，由備機(jī)接替主機(jī)繼續(xù)工作。故障機(jī)修復(fù)完畢后成為新的備機(jī)。與熱備相比，溫備方案具有實(shí)現(xiàn)簡單、性能穩(wěn)定等優(yōu)點(diǎn)；相對于冷備方案，溫備方案中的備機(jī)能夠在主機(jī)故障后快速重啟系統(tǒng)，從而最小化系統(tǒng)短時(shí)故障造成的損失。

　　系統(tǒng)具有兩個(gè)處理器模塊，每個(gè)處理器模塊都以at9lrm9200作為計(jì)算核心，稱為“機(jī)組”。每臺機(jī)組可以單獨(dú)成為一個(gè)獨(dú)立的子系統(tǒng)完成各項(xiàng)任務(wù)。系統(tǒng)還具有一塊仲裁板，用于仲裁數(shù)據(jù)信號以及控制雙機(jī)的工作方式。系統(tǒng)結(jié)構(gòu)框圖如圖1所示。

　　利用at91rm9200自帶的多種外設(shè)接口，每臺機(jī)組中除了具備處理器模塊之外，還帶有以太網(wǎng)接口、usb接口(用于連接usb接口無線網(wǎng)卡)和rs232串行接口。利用網(wǎng)絡(luò)通信的特有工作方式，每臺機(jī)組上的有線網(wǎng)絡(luò)接口連接到一個(gè)集線器，usb接幾無線網(wǎng)卡工作于managed模式，因此網(wǎng)絡(luò)接口信號不需要集中的仲裁輸入／輸出，系統(tǒng)只需仲裁板提供對串口輸入／輸出信號的仲裁。這種方式也為雙機(jī)之間傳遞同步信息提供一種有效途徑：運(yùn)行于雙機(jī)中的應(yīng)用程序可以利用有線網(wǎng)絡(luò)或無線網(wǎng)絡(luò)傳遞同步信息，當(dāng)主機(jī)發(fā)生故障后，備機(jī)中的用戶程序可以從最近的同步點(diǎn)開始工作，從而最小化主機(jī)故障造成的損失。

　　仲裁板上的控制邏輯通過兩臺機(jī)組的控制信號接口獲取各機(jī)組當(dāng)前工作狀態(tài)，從而判斷當(dāng)前系統(tǒng)的工作模式，并據(jù)此控制機(jī)組與外部設(shè)備的連接。控制邏輯還負(fù)責(zé)向兩臺機(jī)組提供當(dāng)前系統(tǒng)的工作狀況，以便為運(yùn)行于機(jī)組中的應(yīng)用程序提供決策參考。

　　1.3 系統(tǒng)可靠性方案設(shè)計(jì)

　　為了提高整個(gè)系統(tǒng)的可靠性，須根據(jù)溫備的特點(diǎn)設(shè)計(jì)各種監(jiān)控機(jī)制。本系統(tǒng)針對每一臺機(jī)組均設(shè)有watchdog電路用于監(jiān)控機(jī)組運(yùn)行。一旦某臺機(jī)組發(fā)牛故障，經(jīng)過一定時(shí)間后，故障機(jī)相應(yīng)的watchdog會檢測到故障的出現(xiàn)，并通過向故障機(jī)組發(fā)送nreset信號復(fù)位故障機(jī)組，同時(shí)向另一臺機(jī)組發(fā)送irq信號以通知接管工作�？刂七壿嫳３种鳈C(jī)與外部設(shè)備的連接，一旦主機(jī)發(fā)生故障，控制邏輯將更改工作狀態(tài)，接通新主機(jī)與外部設(shè)備的連接。

　　在系統(tǒng)中，采用內(nèi)部和外部兩級監(jiān)控策略。內(nèi)部監(jiān)控方案利用at91rm9200處理器內(nèi)部watchdog模塊實(shí)現(xiàn)；外部監(jiān)控方案則利用仲裁板中的eplc6 fpga和專用watchdog芯片max6374實(shí)現(xiàn)。其中，max6374芯片是實(shí)現(xiàn)外部監(jiān)控功能的主體。當(dāng)max6374損壞時(shí)，則采用位于ep1c6內(nèi)部利用硬件描述語言實(shí)現(xiàn)的watchdog接管外部監(jiān)控工作，從而構(gòu)成冗余的外部監(jiān)控機(jī)制。內(nèi)部監(jiān)控機(jī)制的優(yōu)先級低于仲裁板上外部監(jiān)控機(jī)制的優(yōu)先級。如果仲裁板上的兩個(gè)watchdog均發(fā)生失效，因而不能重啟cpu板時(shí)，at9lrm9200的內(nèi)部watchdog將會發(fā)生作用，重啟cpu。這是通過控制內(nèi)外兩種watchdog計(jì)數(shù)時(shí)間的長短來實(shí)現(xiàn)的。將max6374的定時(shí)時(shí)間設(shè)置為3s，eplc6的定時(shí)時(shí)間設(shè)置為4s，而at9lrm9200內(nèi)部watchdog定時(shí)時(shí)間設(shè)置為5 s。因此at91rm9200內(nèi)部軟件watchdog和仲裁板上的硬件watchdog構(gòu)成了系統(tǒng)中的兩級監(jiān)控、一級冗余的監(jiān)控機(jī)制。系統(tǒng)的可靠性設(shè)計(jì)方案示意圖如圖2所示。

　　摘要 提出一種基于at91rm9200處理器的高可靠雙機(jī)溫備解決方案。利用eplc6、max6374設(shè)計(jì)兩個(gè)冗余的外部watchdog監(jiān)控處理器系統(tǒng)的工作狀態(tài)，利用at91rm9200自帶的watchdog作為內(nèi)部監(jiān)測機(jī)制監(jiān)控處理器本身的故障；設(shè)計(jì)并給出了以at91rm9200為核心的監(jiān)控機(jī)制的具體實(shí)現(xiàn)，包括心跳信號的發(fā)送和中斷服務(wù)程序的設(shè)計(jì)。

　　關(guān)鍵詞 at91rm9200 watchdog雙機(jī)客錯(cuò)系統(tǒng) 溫備 高可靠系統(tǒng)

　　本文設(shè)計(jì)了一種以at91rm9200處理器為核心的高可靠嵌入式系統(tǒng)。系統(tǒng)具有兩臺機(jī)組，當(dāng)一臺機(jī)組發(fā)生故障后，另一臺機(jī)組接管工作并繼續(xù)運(yùn)行。系統(tǒng)提供外部和內(nèi)部watchdog(看門狗)監(jiān)控機(jī)制構(gòu)成一級冗余、兩級監(jiān)控的可靠性設(shè)計(jì)方案。其中外部watchdog分別采用max6374和以eplc6 fpga構(gòu)建的監(jiān)控電路，而內(nèi)部watchdog則利用at91rm9200自帶的watchdog模塊實(shí)現(xiàn)。本文分別從硬件和軟件兩個(gè)角度闡述系統(tǒng)的實(shí)現(xiàn)。

　　1 系統(tǒng)總體結(jié)構(gòu)設(shè)計(jì)

　　1．1 at91rm9200處理器

　　at91rm9200是atrnel公司生產(chǎn)的一款工業(yè)級arm9處理器，內(nèi)嵌arm920t arm thumb處理器核，主頻為180 mhz時(shí)性能可達(dá)200 mips，并內(nèi)置16 kb sram和128 kb rom。外部總線接口(ebi)支持sdram等存儲器，帶有7個(gè)外部巾斷源，1個(gè)快速中斷源和4個(gè)32位pio控制器，最多支持122個(gè)可編程i／o端口。同時(shí)該芯片還內(nèi)嵌ethemet maclo／100m接口，并提供usb 2．0全速主機(jī)端口與設(shè)備接口，以及其他常用的外部接口。

　　1.2 系統(tǒng)結(jié)構(gòu)設(shè)計(jì)

　　為了提高可靠性，本系統(tǒng)采用基于溫備的系統(tǒng)級可靠性設(shè)計(jì)方案。溫備是在熱備和冷備的基礎(chǔ)上發(fā)展起來的一種雙機(jī)容錯(cuò)技術(shù)，它是指兩臺機(jī)組同時(shí)加電，但只有主機(jī)處于工作狀態(tài)，備機(jī)處于“溫態(tài)”(空轉(zhuǎn)等待接管主機(jī)工作的狀態(tài))。當(dāng)主機(jī)發(fā)生故障時(shí)，由備機(jī)接替主機(jī)繼續(xù)工作。故障機(jī)修復(fù)完畢后成為新的備機(jī)。與熱備相比，溫備方案具有實(shí)現(xiàn)簡單、性能穩(wěn)定等優(yōu)點(diǎn)；相對于冷備方案，溫備方案中的備機(jī)能夠在主機(jī)故障后快速重啟系統(tǒng)，從而最小化系統(tǒng)短時(shí)故障造成的損失。

　　系統(tǒng)具有兩個(gè)處理器模塊，每個(gè)處理器模塊都以at9lrm9200作為計(jì)算核心，稱為“機(jī)組”。每臺機(jī)組可以單獨(dú)成為一個(gè)獨(dú)立的子系統(tǒng)完成各項(xiàng)任務(wù)。系統(tǒng)還具有一塊仲裁板，用于仲裁數(shù)據(jù)信號以及控制雙機(jī)的工作方式。系統(tǒng)結(jié)構(gòu)框圖如圖1所示。

　　利用at91rm9200自帶的多種外設(shè)接口，每臺機(jī)組中除了具備處理器模塊之外，還帶有以太網(wǎng)接口、usb接口(用于連接usb接口無線網(wǎng)卡)和rs232串行接口。利用網(wǎng)絡(luò)通信的特有工作方式，每臺機(jī)組上的有線網(wǎng)絡(luò)接口連接到一個(gè)集線器，usb接幾無線網(wǎng)卡工作于managed模式，因此網(wǎng)絡(luò)接口信號不需要集中的仲裁輸入／輸出，系統(tǒng)只需仲裁板提供對串口輸入／輸出信號的仲裁。這種方式也為雙機(jī)之間傳遞同步信息提供一種有效途徑：運(yùn)行于雙機(jī)中的應(yīng)用程序可以利用有線網(wǎng)絡(luò)或無線網(wǎng)絡(luò)傳遞同步信息，當(dāng)主機(jī)發(fā)生故障后，備機(jī)中的用戶程序可以從最近的同步點(diǎn)開始工作，從而最小化主機(jī)故障造成的損失。

　　仲裁板上的控制邏輯通過兩臺機(jī)組的控制信號接口獲取各機(jī)組當(dāng)前工作狀態(tài)，從而判斷當(dāng)前系統(tǒng)的工作模式，并據(jù)此控制機(jī)組與外部設(shè)備的連接�？刂七壿嬤�負(fù)責(zé)向兩臺機(jī)組提供當(dāng)前系統(tǒng)的工作狀況，以便為運(yùn)行于機(jī)組中的應(yīng)用程序提供決策參考。

　　1.3 系統(tǒng)可靠性方案設(shè)計(jì)

　　為了提高整個(gè)系統(tǒng)的可靠性，須根據(jù)溫備的特點(diǎn)設(shè)計(jì)各種監(jiān)控機(jī)制。本系統(tǒng)針對每一臺機(jī)組均設(shè)有watchdog電路用于監(jiān)控機(jī)組運(yùn)行。一旦某臺機(jī)組發(fā)牛故障，經(jīng)過一定時(shí)間后，故障機(jī)相應(yīng)的watchdog會檢測到故障的出現(xiàn)，并通過向故障機(jī)組發(fā)送nreset信號復(fù)位故障機(jī)組，同時(shí)向另一臺機(jī)組發(fā)送irq信號以通知接管工作�？刂七壿嫳３种鳈C(jī)與外部設(shè)備的連接，一旦主機(jī)發(fā)生故障，控制邏輯將更改工作狀態(tài)，接通新主機(jī)與外部設(shè)備的連接。

　　在系統(tǒng)中，采用內(nèi)部和外部兩級監(jiān)控策略。內(nèi)部監(jiān)控方案利用at91rm9200處理器內(nèi)部watchdog模塊實(shí)現(xiàn)；外部監(jiān)控方案則利用仲裁板中的eplc6 fpga和專用watchdog芯片max6374實(shí)現(xiàn)。其中，max6374芯片是實(shí)現(xiàn)外部監(jiān)控功能的主體。當(dāng)max6374損壞時(shí)，則采用位于ep1c6內(nèi)部利用硬件描述語言實(shí)現(xiàn)的watchdog接管外部監(jiān)控工作，從而構(gòu)成冗余的外部監(jiān)控機(jī)制。內(nèi)部監(jiān)控機(jī)制的優(yōu)先級低于仲裁板上外部監(jiān)控機(jī)制的優(yōu)先級。如果仲裁板上的兩個(gè)watchdog均發(fā)生失效，因而不能重啟cpu板時(shí)，at9lrm9200的內(nèi)部watchdog將會發(fā)生作用，重啟cpu。這是通過控制內(nèi)外兩種watchdog計(jì)數(shù)時(shí)間的長短來實(shí)現(xiàn)的。將max6374的定時(shí)時(shí)間設(shè)置為3s，eplc6的定時(shí)時(shí)間設(shè)置為4s，而at9lrm9200內(nèi)部watchdog定時(shí)時(shí)間設(shè)置為5 s。因此at91rm9200內(nèi)部軟件watchdog和仲裁板上的硬件watchdog構(gòu)成了系統(tǒng)中的兩級監(jiān)控、一級冗余的監(jiān)控機(jī)制。系統(tǒng)的可靠性設(shè)計(jì)方案示意圖如圖2所示。