📚 课程目录第2章航电计算平台体系结构解析

2. 航电计算平台体系结构解析

要理解航电计算平台的异常诊断与恢复，必须先看清它“长什么样、怎么分层、故障会沿哪条路径传播”。现代航电计算平台的主流形态是综合模块化航电（IMA，Integrated Modular Avionics）：用少量高性能通用计算模块（CPM/IOM）替代过去大量分散的专用LRU，通过共享机箱、共享电源与共享网络，把多个飞机功能（如显示、飞行管理、大气数据、发动机指示）以软件分区的方式驻留在同一硬件资源上。这种“资源共享、功能隔离”的结构，正是后续分区、虚拟化与余度设计的出发点。

一、IMA架构：从资源集中到功能隔离

典型IMA平台由若干机架（Cabinet）组成，机架内插有通用处理模块（GPM）、输入输出模块（IOM）、电源模块（PSM）和网络交换模块（SWM）。模块之间通过背板总线（如ARINC 659、AFDX或航空以太网）互联，对外则通过AFDX/ARINC 664、ARINC 429、CAN、离散量等接口与传感器、作动器、显示器通信。其核心思想是：硬件资源被“池化”，功能以软件形式按需分配。

以某双通道IMA机架为例：GPM-A与GPM-B互为余度，各自运行一组分区；IOM负责采集大气数据计算机、惯性基准、无线电高度表等输入，并把输出送往显示与飞控。若GPM-A失效，GPM-B通过健康监控与重构逻辑接管关键分区，同时降级非关键功能（如客舱显示），保证飞行必需功能继续可用。这一“资源—功能—余度”的映射关系，是诊断时判断“故障影响范围”的第一依据。

二、分区与虚拟化：隔离是诊断的前提

IMA最关键的机制是分区（Partition）。每个分区是一段在时间与空间上被严格隔离的软件执行环境：空间上，分区拥有独立的地址空间，不能读写其他分区的内存；时间上，分区按固定时间窗口轮转调度，例如每10 ms主帧内，P1占2 ms、P2占3 ms、P3占2 ms，剩余为系统开销。这种“时间+空间”双重隔离由ARINC 653标准定义，通常由分区操作系统（如VxWorks 653、LynxOS-178、Deos）实现。

虚拟化则进一步把硬件资源抽象为多个虚拟平台。分区内运行的应用只看到“自己的CPU、内存和IO”，实际由虚拟机监控器（Hypervisor）或分区OS统一分配。诊断时，这一层决定了故障的“边界”：如果P2显示分区崩溃，健康监控会捕获其异常并重启该分区，而不会影响P1飞行管理分区。反之，若共享的AFDX交换模块或电源模块故障，则可能同时影响多个分区，属于“共因故障”，必须靠余度通道隔离。

分区配置的典型参数包括：主帧周期（如10 ms）、各分区时间窗口、分区优先级、内存配额、端口（Sampling/Queuing）与刷新率。诊断时先核对这些参数是否被意外修改，再判断是应用故障还是配置故障。

三、余度设计：从双余度到比较监控

航电平台普遍采用余度设计提升可用性。常见形式有：双余度（A/B通道互为备份）、三余度（三通道表决）、以及“双通道+比较器”结构。以双余度为例，A、B通道同时运行相同功能，输出经交叉比较：若两者一致，正常输出；若不一致，由健康监控与表决逻辑判断哪一路可信，隔离故障通道并切换到单通道工作。

余度设计的关键参数是故障检测覆盖率与切换时间。例如某飞控计算机要求：通道故障检测覆盖率≥95%，切换时间≤100 ms。诊断时，若发现切换时间超标，往往不是计算模块本身问题，而是交叉监控链路（如CCDL）或同步机制异常。因此，余度诊断必须同时检查“计算—比较—切换”三个环节。

四、典型硬件与软件栈

硬件栈自下而上通常为：电源模块（PSM）→ 背板总线 → 通用处理模块（GPM，含多核CPU、内存、缓存）→ 输入输出模块（IOM）→ 网络交换模块（SWM）。软件栈则分为：硬件抽象层/板级支持包（BSP）→ 分区操作系统/ Hypervisor → 分区应用 → 健康监控与故障管理（HM/FM）。

以某型IMA平台为例，其软件栈可简化为：

应用层：飞行管理(FMS)、显示(CDS)、大气数据(ADS)、发动机指示(EICAS)
分区OS：ARINC 653 分区调度 + 端口通信 + 健康监控
Hypervisor：多核资源分配、时间隔离、内存保护
BSP：CPU初始化、中断、看门狗、BIT自检
硬件：GPM(多核) + IOM + PSM + SWM + 背板

诊断时，这一栈结构决定了排查顺序：先看硬件BIT与电源/温度，再看BSP与Hypervisor日志，然后检查分区OS调度与端口状态，最后定位到具体应用分区。若故障表现为“多个分区同时异常”，优先怀疑共享资源（电源、交换模块、背板）；若仅单个分区异常，则优先怀疑该分区应用或其配置。

注意：分区隔离并不意味着“绝对安全”。共享的CPU缓存、内存带宽、AFDX虚链路仍可能成为故障传播路径。诊断共因故障时，必须把“共享资源”单独作为一类对象检查，而不能只看分区内部。

五、诊断视角下的体系结构要点

综合来看，IMA体系结构给异常诊断提供了三条清晰线索：资源线（电源、背板、交换模块是否正常）、分区线（分区调度、内存、端口是否越界或超时）、余度线（交叉监控、表决、切换是否按预期工作）。实际排故时，可先通过健康监控获取分区状态与BIT结果，再结合AFDX丢包统计与电源监控数据，判断故障属于单分区、单通道还是共因故障，从而选择“重启分区”“切换通道”或“降级功能”的恢复策略。理解这套结构，后续的分区故障注入、余度切换测试与恢复流程才有明确的落点。