Метод мультиверсионного программирования для обработки телеметрической информации малых космических аппаратов

Полный текст

Введение

Ключевой технической задачей в области создания программного обеспечения (ПО) является повышение его надежности в части отказоустойчивости. Среди существующих методов, построенных на основе принципа избыточности программных компонент, мультиверсионный подход (МВП) занимает особое место, главным образом, в силу периодического возникновения и угасания интереса к нему в научной литературе. Мультиверсионный подход, известный также как N-версионный, был впервые предложен для решения задачи повышения надежности ПО в начале 70-х гг. XX в. Отметим, что рядом зарубежных исследователей N-версионное программирование рассматривается лишь как один из вариантов МВП [1], в то время как в большинстве работ данные определения синонимичны. В последующие два десятилетия данный метод получил теоретическое развитие, главным образом, в работах группы американских исследователей во главе с А. Авиженисом и его аспирантами в Университете штата Калифорния [2]. Были сформированы основные фундаментальные принципы данного подхода, отображенные в выражении N ≥ 2, означающем, что если количество версий программы более или равно двум, имеет место мультиверсионность системы. Несмотря на обилие публикаций А. Авижениса и его коллег в период 1970-х – начала 2000-х гг., а также излишне сложный, на наш взгляд, язык данных работ, базовые принципы МВП являются простыми. Предполагается, что независимыми группами разработчиков создаются две или более версий одной и той же программы в рамках заданных спецификаций. Прогон данных программ (мультиверсий) помогает выявить закономерности программных ошибок и сбоев, позволяя тем самым отобрать оптимальную версию программы. В рамках «классического» МВП подхода выделяются три основных элемента:

1. Процесс первоначальной спецификации и N-версионное программирование призваны обеспечить независимость и функциональную эквивалентность N числа самостоятельных попыток разработки ПО.
2. Конечный продукт (программа), созданный в рамках МВП подхода и имеющий атрибуты параллельного выполнения с определенными перекрестными точками и векторами сравнения для принятия решений.
3. Среда, обеспечивающая реализацию МВП программы, обеспечивает алгоритмы принятия решений в заданных перекрестных точках [2].

Вводится понятие диверсификации или разнообразия проектирования ПО, однако подчеркивается отличие многоканального, избыточного, ПО от много(мульти)версионных методов. Идея применения системы с n параллельными каналами и алгоритма голосования предполагает, что независимые отказы происходят в рамках отдельных версий или модулей ПО и не оказывают влияния на систему в целом.

Принцип использования n параллельных каналов с алгоритмом голосования является традиционным методом для повышения надежности как аппаратного, так и программного обеспечения технической системы. В этом случае обоснование МВП подхода с внедренными в него n версиями программ (программных модулей) заключается в следующих постулатах [3]:

– каналы остаются независимыми друг от друга во всех случаях;

– программные сбои всегда приводят к разногласию между дублирующими каналами;

– если алгоритм голосования правильно функционирует, вероятность того, что не менее двух каналов (N≥ 2) из общего числа n соответствует

$p(m\ge 2)=1-p(m=1)-p(m=0)$,

где m – количество согласующих каналов; p – вероятность отказа любого из них при входном сигнале. Вероятность системной ошибки в данном случае будет

$1-p(m\ge 2)=p(m=0)+p(m=1)=p^n+n(1-p)p^{n-1}.$

Таким образом, использование мультиверсионной диверсификации ведет к определенному улучшению в рамках одного программного канала

$\frac{p}{p^n+n(1-n)p^{n-1}}=\frac{1}{p^{n-1}+n(1-p)p^{n-2}}$.

В последнее десятилетие МВП подход получил развитие в работах ряда отечественных и зарубежных исследователей [4–18]. Так, в работе [18] рассмотрено применение данного подхода для создание отказоустойчивого ПО для динамических систем (беспилотных летательных аппаратов). Отметим, что применение МВП в проектировании авиационного ПО заявлялось на ранних этапах в качестве основной сферы успешного применения данного метода [1; 18]. Однако данное использование МВП, в некотором смысле, противоречит классической концепции МВП (описанной А. Авиженисом в его «Методологии» [2]), которая строится вокруг процесса проектирования ПО, а не его последующей эксплуатации.

Проблема использования МВП подхода

После своего возникновения, МВП подход долгое время не подвергался критике со стороны научного сообщества, главным образом, по причине в основном его теоретического значения.

Несмотря на обилие научной литературы на тему применения МВП для обработки различных категорий и типов данных, методика реализации этого метода крайне скупо освещена. В этой связи выгодно отличается вышеупомянутое исследование [19–21]. Авторы работы подробно прописывают весь алгоритм организации эксперимента по испытанию МВП метода для анализа данных, полученных от заданных в рамках эксперимента условий. Данное исследование является для нас особенно важным, поскольку по результатам его авторы пришли к выводам о неэффективности МВП (хотя они указывают, что этот вывод справедлив только в рамках проведенного ими эксперимента). Нами было принято решение повторить данный эксперимент с изменением параметров в части типа данных и их объема.

Обратимся к описанию эксперимента.

Применяемые в рамках эксперимента программы, по условиям, были написаны на языке программирования Pascal. В связи с тем, что данный язык можно считать устаревшим, нами было принято решение о написании программ на более современном языке Python (или C++). Авторами эксперимента были предложены 27 версий одной и той же программы, написанной независимыми друг от друга коллективами программистов. Одна версия – 28-я – была определена, как «эталонная» и применялась для калибровки остальных версий. В данной работе число версий программы было доведено до 50 (см. табл.).

Данные о сбоях мультиверсий по результатам эксперимента Найта и Левисона

Существуют два варианта подхода к формированию версий предложенной программы:

– непосредственное написание программ вручную, как это было сделано в [19];

– моделирование версий ПО на основе математических моделей.

Поскольку при конкретных заданных параметрах, версии ПО, предположительно, будут во многом схожи, если не идентичны, привлечение человеческих ресурсов для их создания не может быть признано целесообразным. В этой связи оптимальным решением следует признать использование математической модели для формирования последующих версий заданного ПО. Таким образом, нами была создана «эталонная» версия программы, которая затем была воспроизведена 49 раз посредствам, представленных ниже математических методов.

Для реализации задач настоящей статьи рассмотрим МВП модель на примере МВП структурной подмодели. Данный подход показан впервые в работе [22] и представляет особый интерес, поскольку включает в себя базовые принципы МВП подхода в рамках теории надежности ПО. В рамках данного метода можно объединить функциональные и временные сбои в единое значение. Это позволяет построить аналитическую модель на основе как функциональных, так и производительных сбоев. В подмодели МВП время рассматривается в качестве постоянной величины и измеряется с момента прогона мультиверсий программы. Для данной модели выдвинуты следующие предположения:

– версии ПО условно независимые друг от друга в заданном вводе;

– время сбоя программных версий для заданного ввода представляет собой одинаково распространенные произвольные переменные с плотностью вероятности f_F (t; $\nu$) в зависимости от d размерного вектора параметра ${\text{ν = (ν}}_{\text{1}}\text{, }\mathrm{...,}{\text{ ν}}_d\text{);}$

– время выполнения программных версий для данного ввода представляет равномерно распределенные переменные с плотностью вероятности f_Е (t; ψ) в зависимости от b размерного вектора параметра:${\text{ψ = (ψ}}_{\text{1}}\text{, }\mathrm{...,}{\text{ ψ}}_b\text{);}$

– время выполнения алгоритма голосования незначительно в сравнение с требуемым временем для реализации каждой версии;

– в связи с реальным ограничением по времени, система должна выполнять правильные решения во временном интервале $\text{τ}>0.$

Далее приведем модифицированую версию реализации МВП в заданной подсистеме на основе [22]. Функция распределения F_F (t;$\nu$) дает вероятность отказа первой версии программы до t с учетом отказа функциональности. В таком случае вероятность того, что первая версия имеет функциональный отказ составляет

                                                    $P_f\left(\text{τ;ν,ψ}\right)\text{=}\underset{0}{\overset{\text{τ}}{\int }}{F}_F(t;{\text{ν)f}}_E(t;\text{ψ})dt$ .                                                                                             (1)

Далее, предположим, что каждая версия выдает правильный результат до того, как 

 $P_e\left(\tau ;\nu ,\psi \right)\text{ = }\underset{0}{\overset{\text{τ}}{\int }}[1-F_F(t;\text{ ν)}\left]{\text{f}}_E\right(t;\text{ ψ})dt.$                                                                                    (2)

В этом случае отказ производительности системы, а также временной отказ, возникают, если ни одна из версий не выполнена до заданного времени τ:

 $P_{ne}\left(\text{τ;ψ}\right)=1-\underset{0}{\overset{\text{τ}}{\int }}{f}_E\left(\text{t;ψ}\right)dt=1-F_E\left(\text{τ;ψ}\right).$                                                                                   (3) 

Далее рассмотрим модель с мультиверсиями программы. Временной отказ МВП системы составляет (n = 2m – 1) для заданного ввода в случае, если большинство версий не выводят обработанные данные (заканчивают свою операцию) во время $\le \text{τ:}$

$P_{tf}\left(\text{τ; ψ}\right)=\sum _{n_3=m}^n\left(\begin{array}{c}n\\ n_3\end{array}\right)P_{ne}^{n_3}\left(\text{τ; ψ}\right){[1-P_{ne}(\text{τ; ψ}\left)\right]}^{n-n_3}.$                                                                                 (4)

В случае если большинство версий своевременно завершили работу (до τ ), существует высокая вероятность функционального сбоя всей системы (большинство результатов ошибочны):

 $P_{ff}\left(\text{τ; ν, ψ}\right)=\sum _{n_2=m}^n\left(\begin{array}{c}n\\ n_2\end{array}\right)P_f^{n_2}\left(\text{τ; ν, ψ}\right){[1-P_f(\text{τ; ν, ψ}\left)\right]}^{n-n_2}.$                                                                                 (5)

Напротив, большинство результатов верны (мультиверсии прогнаны успешно):

$P_{ok}\left(\text{τ; ν, ψ}\right)=\sum _{n_1=m}^n\left(\begin{array}{c}n\\ n_1\end{array}\right)P_e^{n_1}\left(\text{τ; ν, ψ}\right){[1-P_e(\text{τ; ν, ψ}\left)\right]}^{n-n_1}.$                                                                                 (6)

Наконец в уравнении (7) показано отсутствие как большинства положительных, так и большинства отрицательных результатов:

 $P_{nm}\left(\text{τ; ν, ψ}\right)=1-P_{tf}\left(\text{τ; ψ}\right)-P_{ok}\left(\text{τ; ν, ψ}\right)-P_{ff}\left(\text{τ; ν, ψ}\right).$                                          (7)

Обработка телеметрической информации с МКА

ТМИ, передаваемая на наземный комплекс управления (НКУ), может быть в различных форматах, включая тексты, изображения, аудио и видеофайлы.

Телеметрические системы состоят из следующих элементов:

1. Система сбора данных.
2. Одна из следующих мультиплексных систем:

– разделяемые по частоте (частотное мультиплексирование);

– разделяемые по времени (дискретные, временное мультиплексирование);

– гибридные системы, представляющие собой сочетание систем, разделяемых по частоте и по времени.

3. Модулятор, передатчик, антенна.
4. Волнообразующий и передающий канал связи.
5. Антенна, приемник радиочастот, секция промежуточной частоты, демодулятор сигнала.
6. Демультиплексная система для частотных и временных систем, а также их гибридов.
7. Система обработки данных [23].

Первые шесть представленных элементов отвечают за сбор различных физических данных, их преобразование в электронный сигнал с последующим преобразованием в различные частоты с учетом дискретизации с целью их передачи. Частоты сигнала передачи обычно находятся в пределах двух диапазонов: 1435–1535 мГц и 2200–2290 мГц. Не останавливаясь подробно на системе волнообразования, рассмотрим пятый, шестой и седьмой элементы представленной системы. Они состоят из аппаратного обеспечения, отвечающиго за прием сигналов с КА, а также аппаратного и программного обеспечения, осуществляющих последующую обработку данных и их преобразование в проектные форматы. Демультиплексная подсистема обеспечивает разделение частотных и дискретных сигналов и их направление от отдельных датчиков в правильные каналы, после чего данные могут быть отображены, записаны и подвергнуты дальнейшей обработке.

Обратимся к проблемам, возникающим на этапе обработки телеметрической информации. Ввиду характера своей деятельности, КА должны обеспечивать в максимально кратчайшем временном промежутке компактные, неискаженные и доступные библиотеки данных. В этой связи одной из основных проблем является ограниченная полоса пропускания, доступная для передачи телеметрических данных. Доступная полоса пропускания ограничена пропускной способностью системы связи и расстоянием между космическим аппаратом и наземной станцией. Эта ограниченная полоса пропускания создает проблему для обработки и анализа телеметрических данных в режиме реального времени.

Еще одной проблемой является сложность архитектуры телеметрических данных. Телеметрические данные с космического аппарата обычно состоят из большого количества параметров, каждый из которых имеет свой диапазон значений и единиц измерения. Анализ этих данных требует специальных знаний и опыта, которые не всегда могут быть доступны.

Наконец, существует угроза потери или повреждения данных во время передачи. В некоторых случаях телеметрические данные могут быть потеряны или повреждены во время передачи из-за помех или других факторов. Это может привести к неполным или неточным данным, что может повлиять на процесс анализа и принятия решений.

Обработка данных телеметрии космических аппаратов является одной из наиболее сложных задач в области обработки космических данных. Форматы данных телеметрии космических аппаратов сложны и разнообразны, а определения форматов данных для разных платформ космических аппаратов различаются. Общие форматы данных включают формат кадра PCM, формат пакета, формат смешанного кадра, формат кадра с подсчетом циклов и так далее. С появлением новой платформы количество форматов постоянно увеличивается. Форматы данных телеметрии космических аппаратов имеют ряд сложных характеристик: форматы имеют иерархическую и вложенную структуры, которые необходимо обрабатывать перекрестными кадрами; форматы имеют сложные зависимости параметров. Модель обработки данных телеметрии КА существующего программного обеспечения обработки данных миссии основана на структуре «Кадр – Поле». Различные форматы кадров описываются различными методами обработки кадров телеметрии, и каждое поле в формате кадра описывает формат конкретного параметра. Данная модель имеет следующие проблемы:

1. Описательная способность метода обработки одного кадра телеметрии ограничена, что не позволяет адаптироваться к характеристике: форматы имеют иерархическую и вложенную структуру, которые необходимо обрабатывать перекрестными кадрами.
2. Сложные зависимости между параметрами не могут быть эффективно описаны.
3. Универсальность и масштабируемость модели плохие. Новое изменение (даже небольшое изменение) формата данных приводит к перестройке метода обработки кадров, что означает частые изменения программного кода.

Таким образом, существующую модель обработки данных телеметрии КА, основанную на структуре «Кадр – Поле», трудно адаптировать к реальной ситуации частых изменений форматов данных телеметрии КА, особенно в период высокочастотных полетов. Необходимо разработать новую модель обработки данных телеметрии КА, обладающую большей выразительностью, большей универсальностью и масштабируемостью и решающую вышеперечисленные проблемы [24].

К ключевым отличиям телеметрических данных, полученных с МКА, в отличие от штатных КА, следует отнести условия их генерации: так, крупные аппараты способны размещать в себе большее количество компонентов, обеспечивающих избыточность системы, тем самым повышая ее отказоустойчивость в условиях агрессивной космической среды (к частности, ионизирующего излучения) [25].

К ранним образцам (первому поколению) специализированного ПО для МКА относится программная архитектура PolySat для аппаратов серии CP. Платформа аппаратного обеспечения с повышенной отказоустойчивостью была построена, главным образом, с применением избыточных компонентов; их относительная низкая стоимость и малое энергопотребление позволили выстроить систему с высокой степенью избыточности. На рис. 1 представлено устройство аппаратного обеспечения КА.

Рис. 1. Пример аппаратной блок-схемы резервирования коммуникационной системы

Fig. 1. Example of hardware block diagram of redundant communication system

Проектируемый КА работал в трех режимах: подготовительном (pre-ops), нормальном (normal-ops) и аварийном (contingency). При этом выбор режима для связи и контроллера команды и обработки данных (C&DH) осуществляется независимо. Последний отвечает как за различные аспекты работы системы, так и за сбор, обработку и передачу телеметрии [25–27]. Данные, собранные с трех аппаратов в спутниковой группировке, собирались и хранились в I²C последовательной асимметричной шине электрически стираемого перепрограммируемого ПЗУ. Объем памяти составлял не более 256 кб, что существенно ограничивало эксплуатационные характеристики МКА. Второе поколение ПО построено на Linux; так, автор [25] предлагает свой вариант программного пакета для приема и обработки телеметрии.

В нашем случае, ТМИ, принятая с ReshU-1, сохраняется в файлах журнала (лог-файлах; расширение CSV) со всеми фреймами (кадрами) данных (рис. 2–3). Причем, фреймы для каждой команды отличаются. Разбор данных осуществляется синтаксическим анализатором (парсером) после чего они сохраняются в базе данных лаборатории. Лог-файлы являются распространенным форматом для такого вида информации, как ТМИ. Современные измерительные информационные системы способны генерировать постоянные потоки данного формата файлов, дающих сведения о работе и состоянии системы.

Интеграция мультиверсионного подхода в процесс обработки телеметрии

Одним из важных шагов является интеграция мультиверсионного подхода в систему обработки телеметрии. Это предполагает создание структуры, которая может обрабатывать несколько версий алгоритма и определять конечный результат на основе консенсуса версий. Система также должна быть разработана для обработки любых ошибок или несоответствий, которые могут возникнуть в процессе обработки телеметрических данных.

Рис. 2. Пример записи метаданных с МКА ReshU-1

Fig. 2. ReshU-1 CubeSat metadata sample

Рис. 3. Участок спектрограммы сигнала телеметрии МКА ReshU-1

Fig. 3. ReshU-1 CubeSat telemetry signal spectrogram

Интеграция мультиверсионного подхода в обработку телеметрии имеет несколько преимуществ. Во-первых, это повышает надежность и точность телеметрических данных за счет снижения вероятности ошибок или несоответствий. Во-вторых, сокращается объем данных, которые необходимо передавать на землю, поскольку передается только окончательный результат, который определяется консенсусом версий. Это может привести к значительной экономии средств и повышению эффективности.

На рис. 4 представлен алгоритм ранжирования телеметрической информации.

Рис. 4. Алгоритм ранжирования телеметрической информации, поступающей с МКА

Fig. 4. Algorithm for ranking CubeSat telemetry

Процесс ранжирования ТМИ МКА предполагает выполнение следующих шагов:

1. Сбор телеметрических данных с МКА (иных КА).
2. Предварительная обработка данных с целью фильтрации неактуальной или зашумленной информации.
3. Применение алгоритма сжатия для уменьшения размера данных и повышения эффективности передачи.
4. Использование бортовой обработки данных для анализа и извлечения особенностей из данных.
5. Внедрение модели машинного обучения для выявления закономерностей и аномалий в данных.
6. Разработка системы оценок, основанной на приоритетах каждого фрагмента информации.
7. Применение мультиверсионного подхода, разработав несколько версий алгоритма с различными параметрами и конфигурациями (рис. 5).
8. Тестирование каждой версии алгоритма на репрезентативном наборе телеметрических данных.
9. Использование системы оценок для ранжирования производительности каждой версии алгоритма.
10. Выбор алгоритма с наилучшими показателями для каждого набора телеметрических данных.

Рис. 5. Введение мультиверсионного подхода в процесс обработки телеметрической информации с МКА

Fig. 5. The N-version approach for processing CubeSat telemetry

Алгоритм ранжирования должен быть гибким и адаптируемым к различным типам телеметрических данных и методам обработки. Он также должен быть способен обрабатывать данные в режиме реального времени и обновлять рейтинг по мере поступления новых данных. Используя МВП подход и систему ранжирования, алгоритм может повысить надежность и точность обработки телеметрической информации с космических аппаратов.

Мультиверсионность ПО для обработки ТМИ является естественном ходом эволюции данных систем. При этом, построение мультиверсий может быть реализовано не только в рамках различных языков программирования, но и различных операционных средах, например Linux. Немаловажным фактором, способствующим продвижению Unix-платформ для достижения поставленных задач в рамках МВП, является их доступность для широкого круга программистов, наличие открытых кодов и бесплатных библиотек.

Анализ ПО, используемого в существующих МКА, показал, что программная архитектура большей части аппаратов построена на принципе многослойности, что позволяет предложить внедрение МВП в компоненты программной архитектуры. В случае с американской МКА платформой KubOS, мультиверсионность уже заложена в концепцию ее архитектуры, которая использует сочетание двух операционных систем Linux и U-boot, выполняющих дублирующие функции, создавая тем самым программную избыточность. Данный подход, который выходит за рамки традиционного МВП подхода, предполагающего лишь создание дублирующих версий, по сути, одной и той же программы, предлагает применение концептуально разного ПО в качестве мультиверсий.

Заключение

Рассмотрены основные проблемы надежностного формирования и характерные особенности программного обеспечения отказоустойчивых систем управления. Приводятся описания причин возникновения программных сбоев и методов обеспечения отказоустойчивости. Показано, что одной из основных задач при разработке программного обеспечения управления МКА является создание таких алгоритмов и методов разработки ПО, которые могут обеспечить устойчивость всей системы к сбоям.

Применяя методологию мультиверсионного формирования программных средств, можно не только обеспечить заданный уровень надежности, но и гарантировать отказоустойчивость систем управления и обработки информации. Данная методология основывается на программной избыточности, введение которой позволяет существенно повысить уровень надежности программной составляющей.

Об авторах

Светлана Владимировна Ефремова

Автор, ответственный за переписку.
Email: efremova_svet@sibsau.ru

ведущий специалист

Список литературы

Дополнительные файлы

Доп. файлы

Действие

1. JATS XML

Скачать

2. Рис. 1. Пример аппаратной блок-схемы резервирования коммуникационной системы

Скачать (37KB)

Метаданные

3. Рис. 2. Пример записи метаданных с МКА ReshU-1

Скачать (159KB)

Метаданные

4. Рис. 3. Участок спектрограммы сигнала телеметрии МКА ReshU-1

Скачать (75KB)

Метаданные

5. Рис. 4. Алгоритм ранжирования телеметрической информации, поступающей с МКА

Скачать (70KB)

Метаданные

6. Рис. 5. Введение мультиверсионного подхода в процесс обработки телеметрической информации с МКА

Скачать (103KB)

Метаданные