嵌入式系統的高可用性：始終可用

　　設計人員正在調整各種高可用體系結構，以滿(mǎn)足客戶(hù)對用于下一代超級可靠嵌入式系統應用的持久數據接口的需求。

　　要 點(diǎn)

　　·高速串行數據鏈路和交換結構技術(shù)實(shí)現動(dòng)態(tài)路徑，人們能?chē)@不可操作的子系統重新設定信息路由。

　　·管理軟件自動(dòng)監視系統工作，并在發(fā)生故障或性能降低時(shí)用冗余元件來(lái)替換。

　　·熱插拔特性實(shí)現無(wú)中斷的修理和升級，并為發(fā)展容錯自愈系統鋪平了道路。

　　·刀片計算機集群以更低的采購和運營(yíng)成本支持可擴展、高密度、高可用的服務(wù)器系統。

　　隨著(zhù)普適計算時(shí)代的到來(lái)（屆時(shí)用戶(hù)將可隨時(shí)隨地訪(fǎng)問(wèn)信息和服務(wù)），嵌入式系統設計人員在提高服務(wù)器、遠程設備、數據傳輸基礎設施的可用性方面承受著(zhù)日益增大的壓力。鑒于其應用，人們對嵌入式系統可靠性的期望遠遠高于對多數其它計算系統的期望。終止或重啟其中一些關(guān)鍵應用系統需要承擔人身財產(chǎn)或重要信息損失的風(fēng)險。在滿(mǎn)足這些要求的過(guò)程中，嵌入式系統設計者運用各種智能硬件和軟件冗余技巧在日常運行中實(shí)現高達 99.999% 的可用性，即每年停機時(shí)間不到六分鐘。

　　“高可用性”描述系統特性，它們使系統在發(fā)生硬件或軟件故障時(shí)能夠保持連續工作。高可用系統具有內置監視和復制數據路徑，透明地取代可選硬件或軟件組件復制正常功能，在出現故障時(shí)也能照常工作。一般而言，高可用性系統還支持在不中斷運行的前提下替換故障組件或升級。隨著(zhù)通用連接的問(wèn)世，數據安全也成了可用性的一個(gè)要素，這是因為未授權的黑客、惡意軟件或外部“拒絕服務(wù)”攻擊會(huì )導致預期功能中斷?？捎眯砸话愣x為 MTBF/(MTBF+MTTR)，其中 MTBF是指平均無(wú)故障時(shí)間，MTTR 是指平均修理時(shí)間。

　　高可用性對于越來(lái)越多的嵌入式系統應用都變得十分必要，而不斷提高的技術(shù)趨勢使系統設計任務(wù)日益困難。例如，可以預見(jiàn)，隨著(zhù)客戶(hù)需要嵌入式設備中有更多功能，增加的硬件和軟件組件帶來(lái)了新的故障模式。顯然，增加的的組件不利于達到更高的可用性，甚至產(chǎn)生其它冗余性，從而不斷加劇系統復雜性。當前向普遍連接發(fā)展的趨勢也給高可用嵌入式系統設計者帶來(lái)了許多數據安全與通信可靠性問(wèn)題。雖然最可靠的系統可能使用有限資源的簡(jiǎn)便的單獨設備，但設計者必須采用一種提高任意嵌入配置可用性的戰略。

　　不間斷運行

　　當前多數用于提高服務(wù)可用性的訣竅和技巧均源自電信行業(yè)。多年來(lái)，電信設備制造商設計了多種方案，以便提供不間斷的服務(wù)，即使發(fā)生硬件和軟件故障也是如此。遺憾的是，多數方案都是專(zhuān)有的，維護費用高，并且難以在要求演變時(shí)進(jìn)行更新。它們還需要很長(cháng)的開(kāi)發(fā)周期。設備設計者無(wú)法利用 COTS（商用現貨）構件，這是因為沒(méi)有通用內置設備提高服務(wù)可用性。為了解決可用性難題，電路板制造商制定一系列可與專(zhuān)有系統性能匹敵的硬件和軟件規范。

　　IPMI （智能平臺管理接口）規范是用來(lái)解決可用性問(wèn)題的最早標準之一，它由戴爾、英特爾、惠普、NEC 公司制定，旨在從本地和遠程監視設備，以便執行電源管理、冷卻、電子鍵控和熱插拔等事務(wù)處理。IPMI 與管理控制器相互配合，后者在主機處理器出現故障時(shí)可依靠自身運行。借助平臺管理，操作人員能監視設備是否出現邊際操作或潛在問(wèn)題，并能在它們變成系統故障之前糾正它們。PICMG （Peripheral Component Interconnect Industrial Computer Manufacturers Group）組織把 IPMI 的若干變體都包含到電路板級 CompactPCI 規范和 ATCA（高級電信計算架構）規范中。

　　為了最大限度發(fā)揮 IPMI 的優(yōu)勢，設備客戶(hù)需要具備熱插拔功能，以便在不關(guān)閉系統的情況下替換出故障的系統板。熱插拔系統要求硬件和軟件能夠在等待修理的同時(shí)，動(dòng)態(tài)設定信號路由，使其繞過(guò)出故障的組件。必備熱插拔技術(shù)之一是系統板和背板之間的物理連接。如果不控制電源涌流和背板信號連接，簡(jiǎn)單直連可能會(huì )干擾總線(xiàn)上的其它板。例如，CompactPCI 利用不同長(cháng)度的分級引腳來(lái)控制通向背板的物理連接?？ㄆ瑢蚱鞔_保板的插入垂直于背板。較長(cháng)的引腳首先對接、供電并接地，以便對 PCI 總線(xiàn)信號預充電。串聯(lián)電阻限制了電源電流浪涌。中等長(cháng)度引腳連至處于預充電、高阻抗或禁用狀態(tài)的 PCI 總線(xiàn)信號。最短的引腳支持總線(xiàn)通信。

　　防故障交換結構

　　串行交換結構技術(shù)是另一種設計創(chuàng )新，對于高可用性系統有多種好處。這些體系結構允許在計算節點(diǎn)之間設立動(dòng)態(tài)數據路徑，并支持多路并發(fā)數據傳輸。交換結構的一個(gè)主要好處是，每條連接均為直接的點(diǎn)到點(diǎn)數據路徑，并帶來(lái)更好的電特性，允許的頻率和帶寬高于總線(xiàn)體系結構。典型的交換結構使用多級開(kāi)關(guān)在源和目標之間建立路由。這些動(dòng)態(tài)路徑對于高可用性設計也很有價(jià)值，使人們能?chē)@不可操作的子系統設定數據路由。多數主要電路板標準現在都規定交換結構，盡管它們并未提出具體的交換結構技術(shù)實(shí)現數據傳輸。與此相反，一系列附屬規范為以太網(wǎng)、InfiniBand、StaRFabric、PCI Express、RapidIO 等各種交換結構對背板進(jìn)行詳細定義。雖然這種方法滿(mǎn)足了業(yè)內不同觀(guān)點(diǎn)的要求，但它也可能造成同一標準內部的互操作問(wèn)題。

　　VITA（VMEbus International Trade Association）41 VXS 為廣泛應用的 VMEbus （Versa-module eurocard bus）增添了一些交換結構技術(shù)高可用性?xún)?yōu)勢。VXS 規范定義了一種有效載荷卡、一種交換卡、一種新型高帶寬背板連接器，并保留標準的并行 VMEbus 連接器。每個(gè)新型交換結構端口均包含兩組四聯(lián)串行位通道——一組用于輸入數據，另一組用于輸出數據，對于每條串行通道均支持 10 Gbps 數據速率。交換卡包含必要的結構交換功能，以便在有效負荷卡之間或圍繞故障設定串行數據路由，或使其繞過(guò)故障。為了保持交換結構任意性，VITA 41子規范為 InfiniBand、串行RapidIO、GbE（千兆以太網(wǎng)）、PCI Express 定義了交換卡和有效載荷卡。

　　PICMG（PCI Industrial Computer Manufacturers Group）針對電信設備的獨特要求，發(fā)布了 ATCA 規范，提供 VME 和 CompactPCI 等開(kāi)放體系結構的替代結構。ATCA 重點(diǎn)強調高可用性特性，采用高速串行數據鏈路和交換結構技術(shù)。超大板面積支持復雜的電信電路，并提供輸入電源和冷卻功能，實(shí)現每插槽高達 200 W 的功率。ATCA 規范具有適用于所有板和有源模塊的熱插拔功能，因此最大限度減少系統中斷。一個(gè)機架管理元件（其規范基于IPMI）監視各插入模塊的健康、功率、冷卻甚至鍵控情況，以確保各子系統在高效率工作。各模塊從冗余-48V直流饋電器獲得電力，并從冗余控制與數據板獲取數據，以防止單一故障使整個(gè)機箱停止運行。

　　Adlink Technology公司利用 ATCA 的熱插拔和機架管理特性?xún)?yōu)勢，并延伸了它的性能極限，于最近發(fā)布了aTCA-6900 CPU刀片服務(wù)器，該服務(wù)器配備兩顆四核 Intel Xeon 處理器和兩個(gè)AdvancedMC （Mezzanine-Card）支架，以實(shí)現設計的靈活性（圖 1）。aTCA-6900 CPU 刀片服務(wù)器可支持八顆CPU內核以及一種交換結構，后者包括2個(gè)10千兆以太網(wǎng)接口、2個(gè)PCI Express 接口和2個(gè)光通道接口。板載存儲設備包括 4 GB USB 閃存和各種硬盤(pán)安裝選件。前面板I/O包括視頻、3個(gè)USB 2.0 端口、2 個(gè) RJ-45 以太網(wǎng)端口以及 1 個(gè) RJ-45 串口。aTCA-6900 起價(jià)不到 5000 美元。

　　準確到達的數據流

　　隨著(zhù)聯(lián)網(wǎng)嵌入式設備的增多，對于專(zhuān)用可靠數據源的需求成了任何新產(chǎn)品開(kāi)發(fā)過(guò)程中的主要考慮事項。如果人們采用多個(gè)設備，并且它們均需要各自不同而又同時(shí)存在的數據流，那么數據服務(wù)器處理要求就變得十分關(guān)鍵了。文件共享、安全監視、娛樂(lè )等許多嵌入式系統應用均需要來(lái)自專(zhuān)用服務(wù)器的獨立且始終可用的數據流。為了達到對這些以數據為中心的項目可用性的期望，設計師正在轉向每機架數百顆 CPU 并且每板多顆 CPU 的高密度電腦陣列。具有多塊電腦板的系統一般稱(chēng)作刀片服務(wù)器，它具備系統管理、負載均衡、熱插拔功能以及共享外設，為萬(wàn)維網(wǎng)訪(fǎng)問(wèn)和數據服務(wù)提供高度可靠的數據。單個(gè)刀片計算機一般不配備本地外設，要對它們進(jìn)行遠程管理。集群式服務(wù)器運行管理軟件來(lái)平衡計算負載，報告故障，提供刀片配置信息，并監視熱插拔事務(wù)處理。刀片服務(wù)器基本上是一些需要特殊軟件管理系統以便達到最長(cháng)正常運行時(shí)間的高可用性系統。單獨的管理網(wǎng)絡(luò )提高了服務(wù)器安全性，這是因為它可防止關(guān)鍵的操作系統信息和更新數據經(jīng)過(guò)公共網(wǎng)絡(luò )或互聯(lián)網(wǎng)。

　　幾家開(kāi)放源代碼和商用軟件組織致力于提高操作系統和嵌入固件的可靠性。例如，High Availability Linux Project 主辦一項開(kāi)放源代碼開(kāi)發(fā)工作，旨在為 Linux 操作系統提供一種集群體系結構，以提高可靠性、可用性和可服務(wù)性。Heartbeat 是該項目最知名的組成部分，在網(wǎng)絡(luò )上定期向其它 Heartbeat 實(shí)例發(fā)送數據包來(lái)驗證性能。當系統不再收到數據包時(shí)，它就按照用戶(hù)提供的公式來(lái)假定發(fā)生了節點(diǎn)故障，并自動(dòng)將服務(wù)路由到替代節點(diǎn)。

　　與此類(lèi)似，Service Availability Forum 由通信公司和計算設備公司組成，他們合作制定高可用性和管理軟件接口規范。這些規范針對一些電信系統與服務(wù)開(kāi)發(fā)商，其系統和服務(wù)采用 CompactPCI 和 ATCA 等 COTS 模塊構建。他們的目的是允許更多地重復使用硬件和軟件，并縮短產(chǎn)品開(kāi)發(fā)周期。硬件平臺接口規范定義了 COTS 硬件和高可用性管理中間件之間的接口（圖 2）。于是各應用無(wú)需專(zhuān)有軟件接口就能獨立搜索、監視和管理硬件。

　　得益于最新一代電路板標準和專(zhuān)門(mén)的軟件開(kāi)發(fā)員社區的幫助，設計師目前擁有多種工具使用現成可用的產(chǎn)品來(lái)配置高可用嵌入式系統。盡管發(fā)展趨勢是多功能和復雜的嵌入式產(chǎn)品，但設計師可以把來(lái)自多家供應商的組件組合起來(lái)，以便滿(mǎn)足其性能要求，并仍能達到甚至超過(guò)難以企及的“5 個(gè) 9”(99.999%) 可用性目標。