CN102270162A

CN102270162A - 一种应用于sparcv8结构计算机的容错引导方法

Info

Publication number: CN102270162A
Application number: CN2011102147558A
Authority: CN
Inventors: 辛明瑞; 赵鹏; 隋霞; 肖春霞; 李祁
Original assignee: 513 Research Institute of 5th Academy of CASC
Current assignee: 513 Research Institute of 5th Academy of CASC
Priority date: 2011-07-29
Filing date: 2011-07-29
Publication date: 2011-12-07
Anticipated expiration: 2031-07-29
Also published as: CN102270162B

Abstract

本发明公开了一种应用于SPARCV8结构计算机的容错引导方法，能够保证嵌入式星载计算机操作系统的快速、可靠启动。先在星载计算机上配备具有EDAC功能的CPU、抗辐射的PROM、EEPROM；PROM存储引导程序，EEPROM是地址上连续、物理上分离的两片或两片以上的存储介质，每一片EEPROM存储操作系统映像文件的一份备份；CPU先运行PROM中的引导程序，引导程序从EEPROM读取操作系统映像文件的第一个备份，并利用CPU自身的EDAC功能纠正1位错、检测2位错；如果出现两位错则读取EEPROM中的第二个备份，依次类推；如果全部备份均没法正常读取，则进入异常处理。

Description

一种应用于SPARCV8结构计算机的容错引导方法

技术领域

本发明涉及航天计算机的引导技术，具体涉及一种应用于SPARCV8结构计算机的容错引导方法。

背景技术

在卫星应用中，嵌入式星载计算机越来越多的采用操作系统来处理复杂的业务管理。设备启动前操作系统文件存储在相应的硬件存储器上，设备加电后直接引导操作系统启动，因此操作系统成功引导并运行是星载计算机执行星上任务的关键。然而，空间的辐射环境仍是制约星载嵌入式计算机发展的瓶颈之一，因此在卫星应用中，嵌入式设备的容错性和可靠性就特别重要。

目前的嵌入式星载计算机，运行程序一般存放在PROM中，上电后程序从PROM启动并运行，直接引导操作系统。而PROM的容量一般只有几k字节，需要多片才能满足嵌入式实时操作系统和应用程序的需要，而且带来成本的大幅提高，所有程序存放在PROM中的做法已经不能适应嵌入式星载计算机的发展。EEPROM或Flash存储器单片容量较大，可达几M字节，可满足嵌入式星载计算机使用要求，但是，由于EEPROM或Flash存储器在空间应用中受空间辐射的影响存在单粒子翻转的现象，会导致存储的数据发生变化，从而导致星载计算机的运行错误，致使设备无法正常启动。

发明内容

有鉴于此，针对空间中EEPROM或Flash存储器存在的单粒子效应，本发明提供了一种应用于SPARCV8结构计算机的容错引导方法，结合PROM的抗单粒子翻转的特性和EEPROM存储器容量大的特点，采用一种可靠的引导技术，即保证嵌入式星载计算机操作系统的快速、可靠启动，又能有效的减少PROM的使用数量，从而降低星载计算机的成本。

该方案是这样实现的：

一种应用于SPARCV8结构计算机的容错引导方法，包括：

预先在星载计算机上配备具有错误检测与纠正EDAC功能的CPU、空间足够用于操作系统运行的作为内存的SRAM或SDRAM、以及两种类型的程序存储器：抗辐射的PROM，以及EEPROM；在PROM上存储具有容错引导功能的引导程序，引导程序采用SPARCV8汇编语言编程；EEPROM是地址上连续、物理上分离的两片或两片以上的EEPROM存储介质，每一片EEPROM存储介质存储操作系统映像文件的一份备份，且每份操作系统映像文件具有一份对应的EDAC编码，在采用CPU的EDAC功能对操作系统映像文件进行纠检错时使用；

该方法具体实现步骤如下：

步骤1：星载计算机上电或热复位后，CPU先运行PROM中的引导程序；

步骤2：引导程序初始化硬件基本资源，包括：初始化CPU内部寄存器、打开内存和EEPROM存储器控制接口的EDAC、使能看门狗计数、打开CACHE、使能陷阱、初始化CAN总线、获取当前看门狗计数值；判断当前看门狗计数值是否小于预设异常门限值，如果是，则进入容错引导模式，执行步骤3；否则，进入异常模式，执行步骤4；

步骤3：引导程序读取EEPROM中存储的操作系统映像文件的第一个备份OS1，在读取过程中利用CPU自身的EDAC功能纠正1位错误，并检测是否出现2位错误；如果未出现2位错误，则直接引导OS1；如果出现2位错误则读取EEPROM中存储的操作系统映像文件的第二个备份OS2，依次类推；如果全部备份均没法正常读取，则执行步骤4；

步骤4：进入异常处理。

较佳地，设置CPU内部寄存器％g7作为中断服务程序标志；所述步骤3具体包括：

清中断服务程序标志％g7，首先对第一块操作系统映像文件OS1数据，以4字节为单位进行刷新，所谓刷新就是利用CPU自身的EDAC功能读取操作系统映像文件；读取过程中，如出现单bit错，会自动纠正，出现双bit错，会进入Trap＝0x09的陷阱；

在刷新过程中，若一直没有出现Trap＝0x09的陷阱类型，则直接引导OS1并设置启动标志；若出现了Trap＝0x09的陷阱类型，则进入陷阱处理程序，在陷阱处理程序中设置全局的中断服务程序标志％g7为设定值，并跳出陷阱；主程序识别出中断服务程序标志％g7为设定值，则停止OS1后续的数据刷新；

然后，清中断服务程序标志％g7，用同样的方法按顺序去刷新其他的操作系统映像文件；

如果所有操作系统映像文件都出现过Trap＝0x09的陷阱类型，那么说明操作系统文件已全部损坏，进入异常模式；

在Trap＝0x09的陷阱处理程序中，设置程序指针PC为％l2，nPC为％l2+4，确保该引导程序能够跳出09号陷阱程序，并且继续检测备份的操作系统文件。

其中，所述异常处理包括：通过CAN总线输出提示信息，说明当前状态；输出提示信息的方法为：首先第一路总线输出，等待2s后，第二路总线输出。

较佳地，所述预设异常门限值为2。

较佳地，在初始化过程中，为了提高效率，数据存取操作使用CPU内部寄存器％g0、％g1、％g2、％g3。

较佳地，当成功引导操作系统后，将当前运行的操作系统是第几份的信息作为启动标志存储在SRAM/SDRAM中，且存储于内存的4个地址当中；通过读取该启动标志，可以确认当前运行的操作系统是第几份。

较佳地，CPU采用国产的BM3803MG。

有益效果：

本发明考虑到航天应用中恶劣的环境，设计了一种应用在SPARCV8结构计算机上的软件容错引导技术，即设备上电后，不直接启动操作系统，而是首先运行该引导程序，依靠该软件来引导操作系统启动。该技术在容错性、可靠性、实时性方面，比计算机加电后直接引导操作系统的方法更具优势。

在实时性方面，相比常用的互相比较的容错方法，由于节省了互相比较的时间，更能快捷的引导操作系统；在软件设计上采用SPARCV8汇编语言实现，对于参数传递，数据存、取操作等，采用CPU内部寄存器，比C语言程序的执行效率高。

在可靠性方面，能够准确的纠正单bit错，检测双bit错，比常用的容错方法，提高了可靠性。

该容错引导技术主要从容错性、可靠性、实时性考虑，比常用的设备加电或看门狗复位后直接引导操作系统更加可靠、安全；比常用的容错方法，更具实时性，可靠性。

附图说明

图1为本发明应用于SPARCV8结构计算机的容错引导方法的流程图。

具体实施方式

本发明中的嵌入式星载计算机系统，硬件资源包括：具有纠一检二功能的CPU、三种存储器包括抗辐射的PROM、EEPROM、SRAM(或SDRAM)。其中，

CPU：可以采用国产的BM3803MG，时钟主频100MHz；外部接口有2路串口、1路DSU口和2路CAN总线。本实施例选用的BM3803MG这款CPU具有纠一检二的EDAC(错误检测与纠正，Error Detection And Correction)功能，即自身能够纠正单bit错，可以检测出双bit错，但是无法纠正，当检测出双bit错时，进入陷阱处理，本发明的容错引导技术就利用该款CPU的这一特性进行设计。

PROM：通常认为在空间应用中，PROM对单粒子翻转免疫，不存在单粒子翻转现象，但是容量小。本发明在PROM中实现具有容错引导功能的引导程序，设备加电后首先运行该引导程序。引导程序具体包括硬件初始化处理、容错引导处理、异常处理。

EEPROM：容量大但在空间应用存在单粒子翻转现象，在发生单粒子效应时，会出现单bit错或多bit错。本发明将操作系统映像文件存储在EEPROM上；在EEPROM存储器中，存放两份或者多份操作系统映像文件，且每份操作系统映像文件具有一份对应的EDAC编码，在采用CPU的EDAC功能对操作系统映像文件进行纠错时使用。并且，较佳地，为了避免EEPROM硬件损坏带来的引导启动失败，本发明的EEPROM由地址上连续、物理上分离的两片或者两片以上的EEPROM存储介质构成，每片EEPROM存储介质要有足够的空间存放一份操作系统映像文件。引导程序检测EEPROM上存储的操作系统，若正确，则引导操作系统；若不正确，则跳转到异常模式。

SRAM：SRAM在星载计算机中作为系统内存，需要保证系统内存SRAM空间足够用于操作系统运行。

本实施例中，PROM存放引导程序，是8位操作；EEPROM存放操作系统，是32位操作；SRAM存放系统运行时的数据，是32位操作。引导程序和操作系统软件都是在地面注入的。根据强实时性、高可靠性、容错性要求，操作系统为VxWorks5.4.，引导程序采用SPARCV8汇编语言编程。

设备上电或热复位后，软件启动流程是先运行PROM中的引导程序，引导运行EEPROM中的操作系统，操作系统启动后，最终整个软件在SRAM中运行。引导程序和操作系统软件都是在地面注入的。

下面结合附图并举实施例，对本发明进行详细描述。

该方法具体实现步骤如下：

步骤1：星载计算机上电或热复位后，CPU先运行PROM中的引导程序。

步骤2：引导程序初始化硬件基本资源。判断当前看门狗计数值是否小于预设异常门限值，如果是，则进入容错引导模式，执行步骤3；否则，进入异常模式，执行步骤4。

初始化主要包括：初始化CPU内部寄存器、打开存储器的EDAC、使能看门狗计数、打开CACHE、使能陷阱、初始化2路CAN总线、建立中断向量表并对256个陷阱进行相应的处理措施、初始化％ASR16％ASR17％PSR％WIM％TBR％FSR、使能外部的I/O，等。在初始化的过程中，为了提高效率，数据存、取操作使用CPU内部寄存器％g0％g1％g2％g3。

看门狗计数通过硬件设计的寄存器来获取，当操作系统和应用软件在运行过程中出现异常，导致设备复位，看门狗计数就会加一，当看门狗计数值＞＝2时，我们认为设备已经出现故障，看门狗复位后，没有再引导系统启动的必要，直接进入异常模式。所以本步骤中，判断当前看门狗计数值是否小于预设异常门限值，如果是，则进入容错引导模式，执行步骤3；否则，进入异常模式，执行步骤4。

异常模式为通过CAN总线输出提示信息，说明当前软件的状态；容错引导模式为利用CPU自身的EDAC功能，来检测操作系统文件是否正确，若正确，则引导操作系统；若不正确，则跳转到异常模式。

步骤3：容错引导模式处理。引导程序读取EEPROM中存储的操作系统映像文件的第一个备份OS1，在读取过程中利用CPU自身的EDAC功能纠正1位错误，并检测是否出现2位错误；如果未出现2位错误，则正确引导OS1；如果出现2位错误则读取EEPROM中存储的操作系统映像文件的第二个备份OS2，依次类推；如果全部备份均没法正常读取，则执行步骤4。

具体来说，容错引导模式利用的是CPU自身的EDAC功能，初始化完成后，检测EEPROM中存放的操作系统文件是否正确：首先清中断服务程序标志％g7，本实施例中采用％g7作为中断服务程序标志，实际中还可以采用其他CPU寄存器作为中断服务程序标志。在EEPROM中存储3份操作系统文件(即OS1、OS2、OS3)的条件下，首先对第一块操作系统文件(OS1)数据，以4字节为单位进行刷新，所谓刷新就是利用CPU自身的EDAC功能读取操作系统映像文件，读取过程中，如出现单bit错，会自动纠正，出现双bit错，会进入Trap＝0x09的09号陷阱。

在刷新过程中，若一直没有出现Trap＝0x09的陷阱类型，则设置SRAM的启动标志并正确引导OS1；若出现了Trap＝0x09的陷阱类型，则进入陷阱处理程序，在陷阱处理中设置全局的中断服务程序标志％g7为设定值，并跳出陷阱；主程序识别出中断服务程序标志％g7为设定值，则停止后续的数据刷新。

然后，清中断服务程序标志％g7，用同样的方法去刷新OS2OS3。假如，到最后3块操作系统都出现过Trap＝0x09的陷阱类型，那么说明操作系统文件已全部损坏，最后执行异常模块的软件。也就是说，3块操作系统的刷新优先级顺序是OS1OS2OS3，若OS1没有出现Trap＝0x09，则直接引导OS1并设置启动标志，只有在OS1出现过Trap＝0x09的情况下，OS2才有数据刷新的机会，同理，OS3也是一样。

在软件的设计过程中，对于Trap＝0x09的中断服务程序(即陷阱处理程序)，需要正确设置程序指针PC和nPC的值，以确保程序能够跳出09号陷阱，并且正常返回主程序继续执行后续的代码，否则整个软件会不停的来回的进出09号陷阱，而停滞在此处。因此指针PC和nPC的设置非常重要，本发明设置PC为％l2(l2是一个CPU的一个寄存器)，nPC为％l2+4，％g7作为中断服务程序标志，通过对PC和nPC赋予以上的值，可以确保该引导程序能够跳出09号陷阱程序，并且继续检测备份的操作系统文件。采用CPU内部寄存器％g7作为中断服务程序标志可以提高中断服务程序标志的读取速度，从而提高整个启动效率。

为了可靠性考虑，当成功引导操作系统后，将当前运行的操作系统是第几份的信息作为启动标志存储在SRAM/SDRAM中，且存储于内存的4个地址当中；通过读取该启动标志，可以确认当前运行的操作系统是第几份。

步骤4：进入异常模式。

本发明在备份文件完全损坏的情况下，进入异常模式，异常处理程序通过2路CAN总线输出嵌入式设备的异常信息。异常模块软件设计流程：当看门狗的看门狗计数＞＝2或3块操作系统文件均出现EDAC两位错时，才有异常信息输出。异常信息输出的顺序为首先是第一路总线输出，等待大约2S后，第二路总线输出。通过及时的输出提示信息，使外界实时的得到当前软件的状态，以便做出更准确的判断，并采取相应的措施。

此外，本申请人利用CPU自带的造错寄存器，设计了一个造错程序，人为的在存有操作系统的EEPROM存储器中注入故障，该容错引导技术得到了验证。首先在第一份操作系统中注入故障，引导程序检测到错误后，再去检测第二份操作系统，检测正确后，从第二份系统启动。然后在第二份操作系统中注入故障，当容错引导检测到第二份出现故障后，再去检测第三份操作系统，以此类推，从检测正确的系统启动，当检测到所有备份全部出现故障后，放弃引导，通过总线发出了提示信息。

由以上技术方案可以看出：

1)本发明在EEPROM存储器中，操作系统文件采用备份设计，即存放两份，并且两份操作系统分别存放在物理上分离、地址上连续的两片EEPROM中。所以本发明在物理上存在两片EEPROM的情况下，增加了可靠性和安全性。如果物理空间足够大，存在多片EEPROM，操作系统文件三备份，四备份，以及更多的备份都是可行的。

这与将OS2和OS3直接存放在第一片EEPROM剩余的地址空间相比，后者有可能使备份的系统跨越两片EEPROM，当有其中一片坏掉的时候，就会波及到备份的系统。

2)本发明在检测操作系统文件是否正确时，利用CPU的EDAC检测2位错特点，检测操作系统文件是否正常。CPU读取EEPROM中的操作系统文件，当发生单bit错时，CPU自动校正；发生双bit错时，产生09号陷阱，在陷阱中设置标示错误的全局变量，并跳出陷阱，不再读取该文件的剩余内容，而是继续读取EEPROM中的备份文件，来检测备份的正确性，以此类推，直到检测到正确的文件，才启动操作系统，否则进入异常处理程序。所以检测方法节省了比较的时间，而且一旦当检测到错误时，放弃该文件，继续检测下一个文件，确保了实时性；同时即便发生单粒子效应后，多个备份完全相同，这种检测手段仍然可以检测出错误，而不是一味的相信相同的大多数，提高了星上设备的可靠性。

而常用的一种容错方法是互相比较，假若存在三个备份完全相同，则认为正确，否则，采用3取2原则，即相信完全相同的两个，若三个备份完全不同，则默认相信第一个备份。这种方法的弊端在于：实时性差，三个备份之间的互相比较要耗费大量的时间，若是更多的备份，则时间的开销更大；可靠性差，若存在不同的情况，采用相信绝大多数的策略，但绝大多数并不排除同时产生单粒子效应。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种应用于SPARCV8结构计算机的容错引导方法，其特征在于，包括：

该方法具体实现步骤如下：

步骤4：进入异常处理。

2.如权利要求1所述的容错引导方法，其特征在于，设置CPU内部寄存器％g7作为中断服务程序标志；所述步骤3具体包括：

3.如权利要求1所述的容错引导方法，其特征在于，所述异常处理包括：通过CAN总线输出提示信息，说明当前状态；输出提示信息的方法为：首先第一路总线输出，等待2s后，第二路总线输出。

4.如权利要求1所述的容错引导方法，其特征在于，所述预设异常门限值为2。

5.如权利要求1所述的容错引导方法，其特征在于，在初始化过程中，为了提高效率，数据存取操作使用CPU内部寄存器％g0、％g1、％g2、％g3。

6.如权利要求1所述的容错引导方法，其特征在于，当成功引导操作系统后，将当前运行的操作系统是第几份的信息作为启动标志存储在SRAM/SDRAM中，且存储于内存的4个地址当中；通过读取该启动标志，可以确认当前运行的操作系统是第几份。

7.如权利要求1所述的容错引导方法，其特征在于，CPU采用国产的BM3803MG。