CN102650962A - 一种基于fpga的软核容错星载计算机 - Google Patents

Abstract

一种基于FPGA的软核容错星载计算机，它由双冗余的基于FPGA的软核控制模块和仲裁管理模块组成；该软核控制模块是以32位LEON3容错软核为控制核心，外扩接口电路构成；该仲裁管理单元由硬件看门狗及逻辑控制电路构成；两个软核控制模块通过外部CAN总线接口与外部设备进行数据通讯。双冗余软核控制模块采用冷备份的工作方式，由当班的软核控制模块上电工作，通过CAN总线接口收发数据并进行数据处理。在当班机发生故障时，由仲裁管理模块根据检测到的故障类型和故障严重程度进行故障处理或切换备份机，实现安全的故障容错策略。本发明用于空间环境下的微小型航天器的星上数据处理及控制，具有高性能、低成本、故障分级屏蔽、容错策略简单，系统可靠性高的特点。

Description

一种基于FPGA的软核容错星载计算机

技术领域

本发明涉及一种基于FPGA的软核容错星载计算机，它是一种基于FPGA的32位软核容错星载计算机，适用于空间容错计算技术领域。

背景技术

随着航天技术的快速发展，微小型航天器已广泛应用到应急通讯、对地遥感、新概念新技术演示验证、空间科学探测等航天任务中。微小卫星长期在轨工作对星上电子系统的核心部件一星载计算机的数据处理能力、实时性和可靠性提出了较高的要求。

LEON3软核是由Gaisler Research公司开发的一款符合IEEE 1754(SPARCV8)架构的应用于空间环境下的高性能32位RISC处理器IP核。它的前身是欧洲宇航局开发的LEON以及ERC32。LEON3的源代码，由可综合的VHDL开放源代码组成，所有代码均基于GNU GPL许可发行，具有优良的可配置性和可移植性，既可以通过二次软件开发的方式提高LEON3处理器的容错能力，也可以方便的在FPGA片上综合，代替传统的微处理器成为高性能星载计算机的核心组成部分，设计并实现高可靠的星载容错计算机系统。

国内外的研究表明，通过对FPGA的容错设计，可以有效地减少空间单粒子翻转(SEU)引起的星载计算机功能错误，从而提高整个星载计算机系统的可靠性。开展高性能容错星载计算机研究对提高微小卫星的数据处理能力和可靠性具有重要意义。

发明内容

为解决空间辐射环境下单粒子翻转对星载计算机系统的影响。本发明提供一种基于FPGA的软核容错星载计算机。它采用多种故障容错的方法提高星载计算机系统的可靠性，满足空间环境下星载计算机高性能、低成本、低功耗和高可靠性的要求。

见图1，本发明一种基于FPGA的软核容错星载计算机，由双冗余的基于FPGA的软核控制模块和仲裁管理模块组成。各模块之间的相互关系是：两个软核控制模块A、B功能完全相同，硬件设计独立。软核控制模块定期将心跳信号发送给仲裁管理模块，仲裁管理模块按照安全的故障诊断策略判断软核控制模块的工作状态，发出控制信号，对两个软核控制模块进行故障处理或切换操作。其中，该软核控制模块是以32位LEON3容错软核为控制核心，外扩接口电路构成；该仲裁管理模块由硬件看门狗及逻辑控制电路构成。为降低整机功耗，双冗余软核控制模块采用双机冷备份的工作方式设计，即只有当班软核控制模块上电工作，非当班软核控制模块作为备份不上电。若当班软核控制模块出现故障，仲裁管理模块根据检测到的故障类型和故障严重程度进行故障处理或切换备份机，自主实现安全的故障容错策略。此外，仲裁管理模块还可以接受地面上传的直接指令，实现整个星载计算机系统的强制性双机切换。

该软核控制模块包括LEON3软核处理器、AMBA总线单元、存储器接口单元、串口调试单元、中断控制单元、定时器单元、串口通讯单元和通用输入输出接口单元。其之间的关系是：AMBA总线单元连接LEON3软核处理器与外设，包括AHB控制器、AHB高速总线、APB低速总线、AHB/APB转换接口。AHB高速总线连接串口调试单元和存储器接口单元，APB低速总线连接中断控制单元、定时器单元、串口通讯单元、通用输入输出接口单元。对LEON3软核处理器的流水线栈触发单元进行三模冗余(TMR)设计，对寄存器单元进行汉明码纠一检二容错设计，对缓存单元进行循环冗余校验(CRC)。以上设计在提高软核处理器性能的同时，提高星载计算机抗单粒子效应的能力。每个软核控制模块外扩有CAN接口电路，通过CAN总线控制器(SJA1000)和CAN收发器(TJA1050)与外部星载设备进行是数据通讯。

该仲裁管理模块由硬件看门狗及控制逻辑电路构成，软核控制模块A、B通过数字输出接口分别输出各自单机的状态实现对仲裁管理模块看门狗的喂狗操作，控制逻辑电路根据软核控制模块A、B对应的片外看门狗溢出状况判断并选定当班的软核控制模块，通过控制磁保持继电器给软核控制模块上电(或断电)，实现双机切换。该硬件看门狗是MAX706S；该控制逻辑电路核心芯片是SN54121。

为防止星载计算机电源短路导致整星电源故障，在星载计算机3个模块的电源入口处都采用MAX890芯片进行限流保护。一旦电流超过阈值，MAX890芯片将自动关闭电源。该保护措施较好地实现星载计算机的电源故障检测和故障隔离。

本发明一种基于FPGA的软核容错星载计算机，其优点及功效在于：以Xilinx低成本商用高性能FPGA(Spartan 3E-1600)为核心嵌入式处理/控制器，设计实现了基于LEON3的软核容错星载计算机。本发明充分利用了已有的LEON3IP软核资源，并针对空间环境下的单粒子效应问题进行了LEON3软核的故障容错设计，使软核控制单元的外围器件少、功耗低、硬件结构简单；采用双机冗余和故障检测诊断技术，提高了星载计算机系统的整机可靠性和工作寿命。

附图说明

图1：基于FPGA的软核容错星载计算机结构框图

图2：软核容错星载计算机双机状态切换图

图3：软核控制模块结构框图

图4：LEON3软核处理器容错设计框图

图5：LEON3处理器寄存器文件纠检错设计框图

图6：LEON3处理器Cache缓存单元CRC校验设计框图

图7：电源过流保护电路图

图8：仲裁管理模块A机片外看门狗硬件电路图

图9：仲裁管理模块B机片外看门狗硬件电路图

图10：仲裁管理模块逻辑控制输出电路图

具体实施方式

参阅图1，2：软核容错星载计算机由双冗余的基于FPGA的软核控制模块和仲裁管理模块组成。各模块之间的相互关系是：两个软核控制模块A、B功能完全相同，硬件设计独立。软核控制模块定期将心跳信号发送给仲裁管理模块，仲裁管理模块按照安全的故障诊断策略判断软核控制模块的工作状态，发出控制信号，对两个软核控制模块进行故障处理或切换操作。双冗余软核控制模块采用双机冷备份的工作方式设计，即只有当班软核控制模块上电工作，非当班软核控制模块作为备份不上电。若当班软核控制模块出现故障，仲裁管理模块根据检测到的故障类型和故障严重程度进行故障处理或切换备份机，自主实现安全的故障容错策略。此外，仲裁管理模块还可以接受地面上传的直接指令，实现整个星载计算机系统的强制性双机切换。

参阅图3：基于FPGA的软核控制模块包括LEON3软核容错处理单元、AMBA总线单元、存储器接口控制单元、串口调试单元、中断控制单元、定时器单元、串口通讯单元和通用输入输出接口单元。本发明在已有的LEON3IP软核架构的基础上对易于发生单粒子翻转的三端口寄存器单元、数据缓存单元、存储器接口控制单元进行容错设计，增强LEON3软核处理器抗空间环境下单粒子效应的能力；AMBA总线是一种层次化的总线结构，包括AHB控制器、AHB(AMBA高性能总线)，APB(AMBA外设总线)、AHB/APB转换桥；LEON3通过高速的AMBA(AHB)总线连接存储器控制接口及调试接口等，低速的AMBA(APB)总线实现片上外设的接口，如定时器、串口、通用输入输出接口、中断控制器等，其中高速的AMBA(AHB)总线与低速的AMBA(APB)总线连接之间加有AHB/APB转换桥；存储器控制接口实现AHB总线单元与存储器数据的传输接口，提供处理器运算所需的数据与指令；用户通过串口调试单元(RS232接口)，实现对LEON3处理器的调试。串口通讯模块、通用输入输出接口单元是基于FPGA的软核控制模块与外界进行数据输入输出的通道。

参阅图4，5：LEON3软核处理器中的寄存器采用三端口设计，两个数据输入端口，一个数据输出端口；在LEON3软核处理器的7级流水线中，主要是执行段、访问存储器段和写回寄存器数据段对寄存器单元的访问；寄存器单元的数据通过(39，32)汉明编码输出，其中信息位32位，校验位7位，校验位包括6位汉明校验位和1位奇偶检验位；执行段单元接收到经过汉明编码的数据后进行汉明译码，如果数据正常或发生一位翻转则汉明译码自动纠正送至ALU单元进行运算，结果送至存储段单元，如果发生两位错误则自动流水线重启，重新执行该段指令。

参阅图6：LEON3软核处理器中Cache缓存采用了哈佛结构，本发明设计了独立的指令Cache和数据Cache；LEON3软核处理器访问主存的32位地址memoryaddress被划分成几个域，即区号、块号、块内地址以及字内字节地址。访问数据存储器和访问标记存储器同时进行，主存块号用来访问标记存储器，主存块号和块内地址用来访问数据存储器；本发明中分别对数据存储器和标记存储器中的数据进行CRC编码，将对标记寄存器内数据的CRC校验码与处理器访问主存的32位地址中的区号和块内地址CRC校验，对数据存储器内的数据和CRC校验码进行CRC校验，对处理器访问主存的32位地址中的区号和块内地址与标记存储器中的数据进行有效判断，针对三个校验的结果判断数据是否在缓存中，如果命中，则数据输出，如果没有命中，则需要从主存储器中提取数据和指令。

参阅图7，为防止星载计算机电源短路导致整星电源失效，在软核控制模块和仲裁管理模块的电源入口处都采用MAX471芯片进行电流测量监视和MAX890芯片进行限流保护，实现故障隔离。一旦电流超过阈值，MAX890将自动与整星电源断开。限流保护措施较好地实现了电源故障检测和隔离的功能。

参阅图8、9、10：仲裁管理模块由硬件看门狗及逻辑控制电路构成。图8为软核控制模块A的片外看门狗电路图，图9为软核控制模块B的片外看门狗电路图，图10为仲裁管理模块逻辑控制输出电路图。其中Max706看门狗芯片溢出时间为1.6S，长于软核控制模块单机的起动时间，如果软核控制模块单机能够自复位起动成功，则不会导致该看门狗溢出，WDO端输出高电平，三极管处于截止状态，磁保持继电器不动作。如果软核控制模块单机失效，看门狗超时溢出，输出为低电平。Sn54121检测到WDO出现一个下降沿之后，在Q输出端会输出一个正脉冲。CAOB信号或者CBOA信号会产生一个正脉冲将三极管导通，从而将另一软核控制模块单机的电源强制打开。由于采用边沿触发，该电路具有可靠的故障识别和抗干扰性能。

Claims (1)

1.一种基于FPGA的软核容错星载计算机，其特征在于：它由双冗余的基于FPGA的软核控制模块和仲裁管理模块组成；两个软核控制模块A、B功能完全相同，硬件设计独立；软核控制模块定期将心跳信号发送给仲裁管理模块，仲裁管理模块按照安全的故障诊断策略判断软核控制模块的工作状态，发出控制信号，对两个软核控制模块A、B进行故障处理或切换操作；其中，该软核控制模块是以32位LEON3容错软核为控制核心，外扩接口电路构成；该仲裁管理模块由硬件看门狗及逻辑控制电路构成；为降低整机功耗，双冗余软核控制模块采用双机冷备份的工作方式设计，即只有当班软核控制模块上电工作，非当班软核控制模块作为备份不上电，若当班软核控制模块出现故障，仲裁管理模块根据检测到的故障类型和故障严重程度进行故障处理或切换备份机，自主实现安全的故障容错策略；此外，仲裁管理模块还接受地面上传的直接指令，实现整个星载计算机系统的强制性双机切换；

该软核控制模块包括LEON3软核处理器、AMBA总线单元、存储器接口单元、串口调试单元、中断控制单元、定时器单元、串口通讯单元和通用输入输出接口单元；AMBA总线单元连接LEON3软核处理器与外设，包括AHB控制器、AHB高速总线、APB低速总线和AHB/APB转换接口；AHB高速总线连接串口调试单元和存储器接口单元，APB低速总线连接中断控制单元、定时器单元、串口通讯单元和通用输入输出接口单元；对LEON3软核处理器的流水线栈触发单元进行三模冗余即TMR设计，对寄存器单元进行汉明码纠一检二容错设计，对缓存单元进行循环冗余校验即CRC设计；以上设计在提高软核处理器性能的同时，提高星载计算机抗单粒子效应的能力，每个软核控制模块外扩有CAN接口电路，通过CAN总线控制器SJA1000和CAN收发器TJA1050与外部星载设备进行是数据通讯；

该仲裁管理模块由硬件看门狗及控制逻辑电路构成，软核控制模块A、B通过数字输出接口分别输出各自单机的状态实现对仲裁管理模块看门狗的喂狗操作，控制逻辑电路根据软核控制模块A、B对应的片外看门狗溢出状况判断并选定当班的软核控制模块，通过控制磁保持继电器给软核控制模块上电或断电，实现双机切换，该硬件看门狗是MAX706S，该控制逻辑电路核心芯片是SN54121；

为防止星载计算机电源短路导致整星电源故障，在星载计算机3个模块的电源入口处都采用MAX890芯片进行限流保护，一旦电流超过阈值，MAX890芯片将自动关闭电源，该保护措施较好地实现星载计算机的电源故障检测和故障隔离。

Images