CN101907888B - 小卫星星务系统双机冷备无扰切换方法 - Google Patents

Abstract

小卫星星务系统双机冷备无扰切换方法，首先构建由星务主机和下位机组成的星务系统，下位机配置为双机冷备模式并通过星上网与星务主机进行通信。如果发现某当值下位机工作异常，星务主机发出切机指令，当值下位机立即关机并重新启动，对应的备份机也开始启动，当值下位机的启动时间设置为少于备份机的启动时间，若当值下位机重新启动后仍异常则由备份机替代，星务主机主动将已存储的原当值下位机工作异常前的工况信息回传，由目前当值下位机进行重构后进入连续不间断的正常工作状态。本发明方法可靠性高、实时性好，可以使星务系统形成不间断工作和应用无扰的技术保障，在不额外增加硬件设备开销的情况下提高了卫星的服务质量。

Description

小卫星星务系统双机冷备无扰切换方法

技术领域

本发明属于卫星控制领域，涉及一种星务系统计算机群的双机冷备无扰切机的方法。

背景技术

一般的，为了保证卫星运行的可靠性，星载智能设备一般都采用双机冗余备份的方式。双机备份方式又分为热备份和冷备份两种。热备份方式的功耗较大，但由于其切换是从某些进程开始热启动，因此恢复时间短。冷备份方式可靠性高，可以节省星上能源，并能够提供空间单粒子的辐射″退火″效应，但由于需要从冷启动重新开始，因此其恢复过程时间较长。

目前，星载智能设备的切机方法通常有两种，第一种是通过遥测数据分析，由地面专家诊断，再通过遥控命令实现切机，启动备份机当值，这种方法的不足之处是需要增加地面卫星管理的工作量；第二种是星上设备增加切机管理环节，记录看门狗狗咬多次并不能复位正常工作时，切机管理环节自动切机，转到备份机当值，这种方法的不足之处在于需要增加星上设备，并且是“单点”设备，不利于提高系统的可靠性。另外，采用这两类方法实现切机后，星载智能设备的备份机一般均进行初始化并进入初始设备状态，因此与异常发生前的工况不一致，产生对外应用过程的中断，需要应用过程重新设置，并重新开始卫星应用过程，从而降低了卫星应用的服务质量。为此，需要研究一种具有对外应用无扰的，能连续不间断进行卫星应用服务工作的切机机制和方法，保证星上机进行故障切机后卫星对外应用服务没有影响。

发明内容

本发明的技术解决问题是：克服现有技术的不足，提供了一种可靠性高、实时性强的小卫星星务系统双机冷备无扰切换方法。

本发明的技术解决方案是：小卫星星务系统双机冷备无扰切换方法，步骤如下：

(1)构建由单个星务主机和多个下位机组成的星务系统，各星载智能设备分别配置互为冷备份的两个下位机，各下位机均通过星上网与星务主机进行通信，星务主机从各当值下位机获取各星载智能设备的状态信息，同时星务主机还通过轮询的方式定时向各当值下位机发送诊断信号，获取各当值下位机的工况信息及健康状态并进行存储；

(2)星务主机对轮询得到的各当值下位机的健康状态进行判断，如果发现某星载智能设备对应的当值下位机工作异常，则进入自主控制状态，由星务主机发出切机指令，工作异常的当值下位机立即关机，与该当值下位机对应的备份机启动，星务主机主动将已存储的该当值下位机工作异常前的工况信息回传，由该当值下位机的备份机进行重构后进入连续不间断的正常工作状态；

(3)若某星载智能设备对应的当值下位机工作异常且未被星务主机识别，则该当值下位机的软件看门狗发出中断信息，工作异常的当值下位机复位并重新启动，同时该当值下位机的备份机加电启动，该当值下位机的备份机的启动时间应设定大于该当值下位机重新启动一次的时间而小于该当值下位机重新启动两次的时间；

(4)若工作异常的当值下位机重新启动后工作正常，则该当值下位机向其备份机发出关机指令，同时该当值下位机向星务主机申请或者由星务主机主动将已存储的该当值下位机工作异常前的工况信息回传，由该当值下位机进行重构后进入连续不间断的正常工作状态；

(5)若工作异常的当值下位机重新启动后仍旧工作异常，则该当值下位机的软件看门狗再次发出中断信息，当值下位机复位并再次重新启动，该当值下位机的备份机向该当值下位机发出关机指令，由该当值下位机的备份机向星务主机申请或者由星务主机主动将已存储的该当值下位机工作异常前的工况信息回传，由该当值下位机的备份机进行重构后进入连续不间断的正常工作状态。

所述的下位机工作异常状态包括下位机对诊断信号的回应超时，下位机对诊断信号的回应超时次数超过预设值，下位机对诊断信号的回应信息错误，或者下位机对诊断信号的回应信息持续未更新。

本发明与现有技术相比的优点在于：本发明方法利用星上网和星务系统整体功能替代各下位机的切机管理环节，将各当值下位机工作异常前的工况信息异地存储在星务主机内部，减少了设备硬件开销，消除了设备单点，提高了系统的可靠性。各当值下位机工作异常前的工况信息连续更新和保存，切机后在异常发生点恢复，可以在第一时间恢复现场数据，实时性强，形成不间断工作和应用无扰的技术保障，既提高了卫星服务质量，又不需要额外增加硬件设备开销，特别是不增加各下位机硬件开销和软件开销，仅星务主机存储即可实现。

附图说明

图1为本发明星务系统的结构图；

图2为本发明方法的流程图；

图3为本发明实施例中恢复工况阶段的控制流程图；

图4为本发明实施例中由甲机当值切换为乙机当值时的状态迁移图；

图5为本发明实施例中由乙机当值切换为甲机当值时的状态迁移图。

具体实施方式

星务系统实质上是用计算机网络来协调、控制星上各种功能部件的相互联系，完成包括信息流、动作流、能量流的动态作业所形成的一种星载柔性服务系统，星上众多设备(分系统)内嵌入星务系统的代理(管理执行单元MEU)，协同来实现这些作业。小卫星利用星务系统把全星设备集成在一起，共同完成在轨飞行动作。“集成”在一起的技术基础是，星上网和嵌入式技术(星务系统＝星上网+嵌入式技术)。因此，星务系统的冗余备份无扰切机机制，也是基于这个技术基础来实现的。

如图1所示，采用本发明方法时，首先应构建由星务主机和多个下位机组成的星务系统，其中星载各智能设备分别配置互为冷备份的两个下位机，如图1中与姿态敏感器以及执行机构对应的姿控下位机，与应用载荷设备对应的载荷仓下位机等。工作时，各下位机均通过星上网(总线)与星务主机进行通信，星务主机通过轮询各下位机获得各星载智能设备的状态信息，同时星务主机还通过轮询的方式定时向各当值下位机发送诊断信号，获取各当值下位机的工况信息及健康状态并进行存储。

本发明方法的流程如图2所示，对于双机冷备份工作模式，从当值机转到备份机工作过程中，可以划分成两个阶段。第一阶段是切机阶段，第二阶段是原有工况恢复阶段或称工况信息回传阶段。两个下位机在切换交接过程中要求对服务应用无明显的影响，称之谓无扰性切机。

工作时，星务主机对轮询得到的各当值下位机的健康状态进行判断，如果发现某星载智能设备对应的当值下位机工作异常(这里所述的异常状态包括下位机对诊断信号的回应超时，下位机对诊断信号的回应超时次数超过预设值，下位机对诊断信号的回应信息错误，或者下位机对诊断信号的回应信息持续未更新等，例如主机对下位机轮询超时设置为2ms，超时次数超过100次认为异常；例如如果下位机数据采集错误，则给下位机回应信息将该错误信息告知主机；例如下位机接收到星务发送指令后，返回给星务主机的指令状态不更新等等)，则进入自主控制状态，由星务主机发出切机指令，工作异常的当值下位机立即关机，与该当值下位机对应的备份机启动，这个过程相当于地面计算机死机时关机再开过程，例如：等待时间选取4秒钟，也即为切机阶段。星务主机在调用该下位机时，下位机将自身的遥测数据、自身的设备管理数据和自身的健康数据回传给星务主机，星务主机就其健康状况和应答工作表现进行诊断，如果存在故障时，通过星上网对其实施切机或重启。当然，切机机制中可以优先保留地面控制权，通过遥测值的判断进行直接指令切换。然后进入回传阶段，星务主机主动将已存储的该当值下位机工作异常前的工况信息回传，由该当值下位机的备份机进行重构后进入连续不间断的正常工作状态。

上述过程可以简单的表述为：

侦听故障-→断电/再上电-→协助回传-→正常工况。

当然除了上述主动控制状态，还包括一个被动控制状态，即若某星载智能设备对应的当值下位机工作异常且未被星务主机识别，同样也分为切机阶段和回传阶段。此时切机控制由下位机自主完成，其工作过程如下：当值下位机工作异常时，该当值下位机的软件看门狗狗咬，发出中断信息，工作异常的当值下位机复位并重新启动，同时该当值下位机的备份机加电启动，为接替当班工作准备条件。在此过程中，该当值下位机的备份机的启动时间应设定大于该当值下位机重新启动一次的时间而小于该当值下位机重新启动两次的时间。

这时双机处于临时共同工作状态，对故障进行联合诊断是原当值下位机退出还是备份机接替，最后获取控制权的一方发令关断对方机的电源，形成单机工作。若工作异常的当值下位机重新启动后工作正常，则该当值下位机向其备份机发出关机指令，该当值下位机继续当值；若工作异常的当值下位机重新启动后仍旧工作异常，则该当值下位机的软件看门狗再次发出中断信息，当值下位机复位并再次重新启动，该当值下位机的备份机向该当值下位机发出关机指令，由该当值下位机的备份机进入当班状态。

图3描述了恢复工况阶段的控制流程。当发送对方机断电指令后切机时和当出现下位机复位情况时，下位机主动申请回送在星务主机中保留的恢复用信息，其动作步骤如下。第一步，在下位机回应星务主机轮询调令的数据包中，含有申请恢复信息，星务主机收到后立即返回预存的返回信息。第二步，星务主机周期搜集下位机的工况信息，保存留用，并周期更新，用于下位机申请时返回。当星务主机自动进行下位机自主切换时，星务主机控制恢复回传，包括如下步骤。第一步，当星务主机发送切机指令后，延时等待新当班机初始化。第二步，回传当班的工况信息。第三步，继续进入正常工作状况。

实施例

以热控下位机的双机(甲机和乙机)冗余备份切换为例，甲机和乙机的切换控制电路完全一样，两机可以互相向对方发出关机指令，通过软件设置甲机的优先级高于乙机(乙机复位启动所需时间在甲机复位启动第一次所需时间和甲机复位启动第二次所需时间之间)。初始时刻，甲机为当值机。如图4所示，甲机由于工作异常发生了第1次看门狗狗咬事件后，甲机自己复位，同时给乙机加电。由状态1迁移到状态2，双机均处于上电过程，双机进行控制权的竞争。甲机复位后，重新进行初始化，自检，并根据复位状态计数进行诊断、重构和延时。当上述动作正常结束后，表明甲机正常，甲机发出一条命令关乙机电源，甲机继续当班，由状态2迁移到状态1。这是由于甲机的等待时间(如：4秒)比乙机短，因此乙机的关甲机指令还没有发出时，甲机的关乙指令已经关断乙机的电源。在状态2，乙机加电，也进行初始化，自检和延时(如：8秒)，如果甲机由于异常未提前关乙机，并且上述动作正常结束，此时乙机发出一条命令关甲机供电，乙机抢到控制权当班，由状态2迁移到状态3。甲机未及时关掉乙机，是由于甲机第1次复位后没有恢复正常，发生第2次看门狗狗咬事件，因此乙机有机会关断甲机电源。

如图5所示，若此时乙机发生了狗咬事件后，乙机自己复位，同时给甲机加电。由状态3迁移到状态2，双机均处于上电过程，双机进行控制权的竞争。甲机加电，重新进行初始化，自检，并根据复位状态计数进行诊断、重构和延时。乙机复位后，重新进行初始化，自检，并根据复位状态计数进行诊断、重构和延时。当上述动作正常结束后，如果甲机正常，发出一条命令关乙机供电，甲机重新当班，由状态2迁移到状态1。这是由于甲机的等待时间(如：4秒)比乙机短，因此乙机的关甲机指令还没有发出时，甲机的关乙指令已经关断乙机的电源。在状态2，乙机加电，也进行初始化，自检和延时(如：8秒)，如果甲机未提前关乙机，并且上述动作正常结束，乙机发出一条命令关甲机供电，乙机抢到控制权当班，由状态2迁移到状态3。甲机未及时关掉乙机，可能是甲机故障，因此乙机有机会关断甲机电源。

图4和图5中，ON1/OFF2和ON2/OFF1用于地面直接控制双机工作状态。当地面发出ON1/OFF2指令时，不管原来是在哪种状态，都会切换到甲机当班、乙机冷备份的状态。当地面发出ON2/OFF1指令时，不管原来是在哪种状态，都会切换到乙机当班、甲机冷备份的状态。

本发明说明书中未作详细描述的内容属本领域技术人员的公知技术。

Claims (2)

1.小卫星星务系统双机冷备无扰切换方法，其特征在于步骤如下：

(1)构建由单个星务主机和多个下位机组成的星务系统，各星载智能设备分别配置互为冷备份的两个下位机，各下位机均通过星上网与星务主机进行通信，星务主机从各当值下位机获取各星载智能设备的状态信息，同时星务主机还通过轮询的方式定时向各当值下位机发送诊断信号，获取各当值下位机的工况信息及健康状态并进行存储；

(2)星务主机对轮询得到的各当值下位机的健康状态进行判断，如果发现某星载智能设备对应的当值下位机工作异常，则进入自主控制状态，由星务主机发出切机指令，工作异常的当值下位机立即关机，与该当值下位机对应的备份机启动，星务主机主动将已存储的该当值下位机工作异常前的工况信息回传给该当值下位机的备份机，由该当值下位机的备份机进行重构后进入连续不间断的正常工作状态；

(3)若某星载智能设备对应的当值下位机工作异常且未被星务主机识别，则该当值下位机的软件看门狗发出中断信息，工作异常的当值下位机复位并重新启动，同时该当值下位机的备份机加电启动，该当值下位机的备份机的启动时间应设定大于该当值下位机重新启动一次的时间而小于该当值下位机重新启动两次的时间；

(4)若工作异常的当值下位机重新启动后工作正常，则该当值下位机向其备份机发出关机指令，同时该当值下位机向星务主机申请或者由星务主机主动将已存储的该当值下位机工作异常前的工况信息回传给该当值下位机，由该当值下位机进行重构后进入连续不间断的正常工作状态；

(5)若工作异常的当值下位机重新启动后仍旧工作异常，则该当值下位机的软件看门狗再次发出中断信息，当值下位机复位并再次重新启动，该当值下位机的备份机向该当值下位机发出关机指令，由该当值下位机的备份机向星务主机申请或者由星务主机主动将已存储的该当值下位机工作异常前的工况信息回传给该当值下位机的备份机，由该当值下位机的备份机进行重构后进入连续不间断的正常工作状态。

2.根据权利要求1所述的小卫星星务系统双机冷备无扰切换方法，其特征在于：所述的下位机工作异常状态包括下位机对诊断信号的回应超时，下位机对诊断信号的回应超时次数超过预设值，下位机对诊断信号的回应信息错误，或者下位机对诊断信号的回应信息持续未更新。

Images