第6章 空中交通管制:高可用性设计案例分析

 
6.1与构架商业周期的关系
 
阁6.3向我们展示了空中交通符制系统与构架商业周期的关系。这里的最终用户足联 邦航空管理部门,客户则足美W联邦航空局。开发组织足-家为美国政府提供了许多取耍 的软件密集型系统的大公司。技术环境因素包括要求使用Ada语言作为政府大型软件系统 的实现语言.以及将分布式计算作为构建系统及保证容错性的常用手段。
6.2需求与质量
考虑到空中交通竹制很引人注意,商业团体、官方及普通民众都对它1丨:常关心,而且 如果该系统不能良好运行,就可能造成生命财产损失,该系统的两个耍的质》属性需 求是:
 
(1)极高的可用性。即必须保证系统不能止:常x作的状态只延续极短的时间》
 
(2)高性能„即系统必须在不“丢失’’任何数据的情况下对大量数据(多达2440架 飞机)进行处理通信网络必须能够处理这种负载,软件必须能够快速地、带有预测性地 进行计算-
 
另外,下列需求虽然不像上面两个那样与飞机及乘客的安全息息相关,但也是构建该 系统构架的重耍驱动力和指导原则:
 
•    幵放性。即该系统必须能够与按商业运作开发出来的其他软件相集成.包括与空 中交通管制功能和诸如图形显示等基本计算服务的集成。
 
•    能够提交该系统的子集。这对于应付可能出现的因缩减预筇而使这个耗资达数10 亿笑元的项0流产是非常必要的——实际上后来真的发生了。
 
•    能够更改功能和处理软硬件的升级(如新处理器、新丨/0设备和驱动程序、新版 Ada语言编译器〉。
• 能够与众多外部系统相接并协同工作。这些系统可能是软件,也可能是硬件,有 的可能已经使用数10年,有的则可能还没行完全实现。
 
最后,该系统还必须满足众多涉众的要求,特别是作为系统最终用户的控制人员的要 求。这似乎没有什么不同寻常之处.但实际上这些控制人员完全有可能在系统功能满足要 求的情况下,因系统不符合他们的习惯而拒绝使用它。这-情况对系统滞求的确定和系统 的设计影响很大.大大减缓了系统开发的进程。
 
我们用区段组(sector suite)来表示某-区段的所有控制人员,他们邡像图6.4所表示 的那样聚集在某个控制台前,共同控制该中途中心所管辖空域的区段中的所有飞机。这里 我们对空中交通管制系统做进步的简化,即假定飞机在飞行过程中所受的管辖不仅要从 —个中心转到另•个中心,而且要从同一中心中的一个区段转向另•个區段》这些区段的 划分随所在中心的不同而不同。某个中心的区段划分可能要考虑到该中心控制人员的工作 摄,例如飞机飞经次数较少的区段的范围可能要比飞经次数较多的区段更大些。
 
在-个区段中衍多少个控制站这-方面,1SSS系统的设计耍求與佴足够的灵活性,即 允许在-个区段中有1到4个控制站,而且应该能够在保持整个系统正常运转的情况下做 —些管理上的更改。每个区段中耍求至少配备两名控制人员。-个是雷达控制员,其任务是监视雷达数据,负责与机组人员通话联系和保证实现飞机的安全隔离。该控制人员也负责管理该区段中的一些具体问题。另-个是数据控制员,其任务是获取可能已经在该区段 中或马上将进入该区段的每-架飞机的数据(如飞行计划等)数据控制员为雷达控制员 提供飞机的飞行目的数据,以便能够安全、高效地引导该飞机飞越此区段。
 
6.3构架解决方案
构架影响着系统的行为、性能、容错和可维护性。反过来’这些方面的荷刻要求同样影响构架。对于ISSS系统,到目前为止最重要的质量指标是对该系统可用性的极高 耍求:一年内的停机时间不超过5分钟。与其他要求相比’这一要求在更大程度上左右着
ISSS构架的决策。
我们通过描述软件所处的物理环境来说明ISSS构架,然后给出大量的软件构架视图
(已在第2章叙述),并突出每个视图所釆用的战术(已在第5章叙述)。在讨论中,我们
介绍了以前没有讨论过的-个新视图:容错。在讨论了视阁之间的关系后,我们介绍了 -个针对可修改性和可扩展性的“抽象通用服务”战术的求精.给出nsss的构架图。
 
6.3.1 ISSS物理视图
 
ISSS是-个分布式系统,由通过局域网连接的许多元素组成-图6.5给出了 ISSS系 统的物理视图。该图中并没有给出任何ISSS支持系统或这些支持系统与ISSS设备的接口。也没有表示出丨SSS软件的结构。物理视图的主要元素及每个元素所扮演的角色为:
 
•    主计箅机系统是中途自动化系统当前的核心。每个中途中心有两台主计算机. 台负责常规处理.另一台则用于在前者出现故障时接管处理工作。主汁算机负责 对监控数据和飞行计划数据进行处理。监控数据显示在控制人员所使用的中途显 示控制台上,行数据根据需要输出到飞行条打印机上,有些飞行数据元素显示 在与雷达监控信息相关的数据标签上。
 
•    通用控制台是空中交通管制人员的工作站。这些控制台以平面图(雷达显示〉的 形式显示飞机所在方位及相关数据,用电子飞行条的形式显示飞行计划数椐, 并显示其他•些信息。管制人员也可以在这些控制台上修改飞行数据.控制所显 示信息的内容和格式。•个区段组有1到4台通用控制台.负责对某-空域的某-控制区段的控制。
 
•    通用控制台经由本地通信网(LCN)与主计算机相连,该网络是ISSS系统中的 主要网络。每台主机都通过双LCN接口单元与LCN相接,这两个LCN接口互 为冗余,提供容错能力。
 
•    LCN由4个并行令牌环网组成,以提供冗余能力并平衡总负载。其中个令牌环 用以实现把监控数据广播到各个处理器,另一个令牌环用以实现处理器间的点到 点通信,还有一个用来把显示数据从通用控制台发送到数据记录部件以备后用, 最后•个令牌环则是备用的。桥接部件用以实现访问环和骨千环之间的连接。桥 接部件也提供在某个令牌环出现故障时用备用环来替代它的能力,并实现其他一 些路由选择功能。
 
•增强直接访问雷达信道(EDARC)提供飞机方位的后备信息,并将飞行数据块 信息限定显示在中途显示控制台上。使用EDARC式为了防止由主机发送的显示 数据的丢失,EDARC实质上提供的是未做处理的职始雷达数据和到ESI (外部 系统接口)处理器的接口。