CN103744754A

CN103744754A - 一种抗辐射加固并行星载计算机系统及其使用方法

Info

Publication number: CN103744754A
Application number: CN201410037797.2A
Authority: CN
Inventors: 付宇卓; 张博; 刘婷
Original assignee: Shanghai Jiaotong University
Current assignee: Shanghai Jiaotong University
Priority date: 2014-01-26
Filing date: 2014-01-26
Publication date: 2014-04-23
Anticipated expiration: 2034-01-26
Also published as: CN103744754B

Abstract

本发明涉及一种抗辐射加固并行星载计算机系统及其使用方法，属于星载计算机抗辐射加固领域，通过三块DSP芯片和四块FPGA芯片实现。该系统由一个系统控制单元和三个相同的子系统构成，所述系统控制单元在一块FPGA上实现，每个子系统由一个DSP和一块FPGA组成，并与系统控制单元相连。该系统采用“2并行+1备份”的结构，两个DSP并行处理星载任务，另外一个DSP作为备份，当并行工作的DSP出现不可恢复故障时，备份DSP替换故障DSP。三个DSP之间通过EMIF接口和HPI接口实现直接全互连。该系统根据星载任务要求选择不同的备份机制，包括固定备份机制、轮转备份机制和预处理备份机制。

Description

一种抗辐射加固并行星载计算机系统及其使用方法

技术领域

本发明涉及星载计算机抗辐射加固领域，特别涉及一种抗辐射加固并行星载计算机系统及其使用方法。

背景技术

空间辐照是航天器发生故障的主要原因之一，随着半导体器件关键尺寸的缩小，空间辐照对器件的影响越来越显著。早期的航天器上安装的控制系统比较简单，空间任务主要是在远程遥控系统的控制下完成的，随着空间应用技术的发展，空间任务越来越复杂多样，需要处理的数据量也急剧增加，传统的星载计算机系统已经远远不能满足性能要求。以大幅图像处理、航天器自主导航为代表的复杂任务促使星载计算机系统从以控制流为中心向以数据流为中心进行转变。空间辐照对航天器造成了极大的威胁，现阶段世界各国发射的航天器上使用得较多的还是一些抗辐射加固过的、低带宽、低运算速度的处理器，高性能的航天级处理器价格昂贵并且品种稀少。随着航天技术的发展，可靠性高但性能偏低的处理器已经不能满足太空探索的需要。

对星载计算机系统进行抗辐射加固分为四个层次：材料级加固、电路设计级加固、器件封装加固以及应用级加固。材料级、电路设计级、器件封装级加固与工艺制造相关，实现起来比较困难。应用级加固是一种较为灵活的方法。应用级加固是指通过设计合适的系统结构、软件程序或者应用层纠错机制，达到抗辐射加固的目的。应用级加固方法通过适当的组合设计，使得各个抗辐照能力弱的部件组合在一起后形成抗辐照能力比较强的系统。应用级加固的方法有校验编码、多模冗余以及软件反射墙等。

发明内容

本发明的目的在于提供一种抗辐射加固并行星载计算机系统及其使用方法，以解决现有的问题。

为解决上述技术问题，本发明提供一种抗辐射加固并行星载计算机系统，包括：系统控制单元和分别与所述系统控制单元连接的第一子系统、第二子系统和第三子系统；

所述系统控制单元在FPGA芯片上实现，监控所述第一子系统、第二子系统和第三子系统的运行状况，并接收外部指令控制所述第一子系统、第二子系统和第三子系统；

所述第一子系统在第一FPGA芯片上实现，包括第一DSP芯片和第一SDRAM存储器；所述第二子系统在第二FPGA芯片上实现，包括第二DSP芯片和第二SDRAM存储器；所述第三子系统在第三FPGA芯片上实现，包括第三DSP芯片和第三SDRAM存储器；

所述第一DSP芯片、第二DSP芯片和第三DSP芯片处理完成所述系统控制单元分配的任务；所述第一SDRAM存储器、第二SDRAM存储器和第三SDRAM存储器存储所述第一DSP芯片、第二DSP芯片和第三DSP芯片处理后的数据。

进一步的，在所述的抗辐射加固并行星载计算机系统中，所述第一DSP芯片的外部存储器接口分别与所述第二DSP芯片的HPI接口和第三DSP芯片的HPI接口连接；所述第二DSP芯片的外部存储器接口分别与所述第一DSP芯片的HPI接口和第三DSP芯片的HPI接口连接；所述第三DSP芯片的外部存储器接口分别与所述第一DSP芯片的HPI接口和第二DSP芯片的HPI接口连接。

进一步的，在所述的抗辐射加固并行星载计算机系统中，所述第一DSP芯片的HPI接口分别与所述第二DSP芯片的外部存储器接口和第三DSP芯片的外部存储器接口连接；所述第二DSP芯片的HPI接口分别与所述第一DSP芯片的外部存储器接口和第三DSP芯片的外部存储器接口连接；所述第三DSP芯片的HPI接口分别与所述第一DSP芯片的外部存储器接口和第二DSP芯片的外部存储器接口连接。

进一步的，在所述的抗辐射加固并行星载计算机系统中，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份不运行任务，其余DSP芯片处理完成所述系统控制单元分配的任务。

进一步的，在所述的抗辐射加固并行星载计算机系统中，在处理所述系统控制单元分配的相邻任务时，选择不同的DSP芯片作为冗余备份不运行任务，其余DSP芯片处理完成所述系统控制单元分配的任务。

进一步的，在所述的抗辐射加固并行星载计算机系统中，被选作冗余备份的DSP芯片被选中的频率相同。

进一步的，在所述的抗辐射加固并行星载计算机系统中，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份，其余DSP芯片处理完成所述系统控制单元分配的任务，所述冗余备份的DSP芯片处理完成和其余DSP芯片相同的任务。

进一步的，在所述的抗辐射加固并行星载计算机系统中，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份，其余DSP芯片处理完成所述系统控制单元分配的任务，所述冗余备份的DSP芯片处理完成所述系统控制单元分配的其他任务。

进一步的，在所述的抗辐射加固并行星载计算机系统中，所述第一子系统、第二子系统和第三子系统分别包括一错误检查和纠正模块，检测和纠正第一子系统、第二子系统和第三子系统中的数据错误。

进一步的，在所述的抗辐射加固并行星载计算机系统中，所述错误检查和纠正模块只检测和纠正一位数据错误。

进一步的，在所述的抗辐射加固并行星载计算机系统中，所述系统控制单元包括一看门狗模块，检测和纠正所述系统控制单元中的程序错误。

同时，本发明还提供一种抗辐射加固并行星载计算机系统使用方法，使用所述的抗辐射加固并行星载计算机系统，包括：

所述第一DSP芯片、第二DSP芯片和第三DSP芯片从所述系统控制单元获取自身所处的状态和被分配到的任务，执行相应的任务，并将执行结果传输至对应的第一SDRAM存储器、第二SDRAM存储器和第三SDRAM存储器；

所述系统控制单元检测到错误，判断所述错误能否被纠正，若能则纠正错误后重新继续执行相应的任务；若不能则启动备份切换机制。

进一步的，在所述的抗辐射加固并行星载计算机系统使用方法中，当所述第一DSP芯片、第二DSP芯片和第三DSP芯片中的两个DSP芯片同时发生错误时，所述系统控制单元重新配置所述第一DSP芯片、第二DSP芯片和第三DSP芯片的状态。

本发明提供的一种抗辐射加固并行星载计算机系统及其使用方法，具有以下有益效果：本发明由一个系统控制单元和三个相同的子系统构成，所述系统控制单元在一块FPGA上实现，每个子系统由一个DSP芯片和一块FPGA组成，并与系统控制单元相连。本发明采用“2并行+1备份”的结构，两个DSP芯片并行处理星载任务，另外一个DSP芯片作为备份，当并行工作的DSP芯片出现不可恢复故障时，备份DSP芯片替换故障DSP芯片，提高了系统整体的可靠性可性能。

附图说明

图1是本发明实施例的抗辐射加固并行星载计算机系统的示意图；

图2-3是本发明实施例的抗辐射加固并行星载计算机系统的第一DSP芯片、第二DSP芯片和第三DSP芯片的接口连接示意图；

图4是本发明实施例的抗辐射加固并行星载计算机系统运行状态图。

具体实施方式

以下结合附图和具体实施例对本发明提出的抗辐射加固并行星载计算机系统及其使用方法作进一步详细说明。根据下面说明和权利要求书，本发明的优点和特征将更清楚。需说明的是，附图均采用非常简化的形式且均使用非精准的比例，仅用以方便、明晰地辅助说明本发明实施例的目的。

请参考图1，其是本发明实施例的抗辐射加固并行星载计算机系统的示意图。如图1所示，本发明提供一种抗辐射加固并行星载计算机系统，包括：系统控制单元11和分别与所述系统控制单元11连接的第一子系统12、第二子系统13和第三子系统14；

所述系统控制单元11在一块FPGA芯片上实现，根据航天器所处空间环境、外部指令系统内各部分运行情况决定系统运行模式，接收外部指令控制所述第一子系统12、第二子系统13和第三子系统14，并监控所述第一子系统、第二子系统和第三子系统的运行状况。

所述第一子系统12、第二子系统13和第三子系统14是三个同构的三个系统。所述第一子系统12在第一FPGA芯片上实现，包括第一DSP芯片121和第一SDRAM存储器122；所述第二子系统13在第二FPGA芯片上实现，包括第二DSP芯片131和第二SDRAM存储器132；所述第三子系统14在第三FPGA芯片上实现，包括第三DSP芯片141和第三SDRAM存储器142；

所述第一DSP芯片121、第二DSP芯片131和第三DSP芯片141处理完成所述系统控制单元11分配的任务；所述第一SDRAM存储器122、第二SDRAM存储器132和第三SDRAM存储器142存储所述第一DSP芯片121、第二DSP芯片131和第三DSP芯片141处理后的数据。

进一步的，根据不同的故障类型，对系统的各个部分进行抗辐射加固设计。针对数据错误，在第一子系统12、第二子系统13和第三子系统14中加入了基于（39,32）扩展汉明码的第一错误检查和纠正模块123（ECC模块）、第二错误检查和纠正模块133（ECC模块）和第三错误检查和纠正模块143（ECC模块），检测和纠正第一子系统12、第二子系统13和第三子系统14中的数据错误。所述ECC模块可以纠正一位错误，当出现两位数据位错误或者程序错误时，系统将启动备份切换机制。针对程序错误，在系统控制单元11中加入了看门狗模块111，检测和纠正所述系统控制单元11中的程序错误。

请参考图2，其是本发明实施例的抗辐射加固并行星载计算机系统的第一DSP芯片、第二DSP芯片和第三DSP芯片的接口连接示意图。如图2所示，所述第一DSP芯片的外部存储器接口（EMIF接口）分别与所述第二DSP芯片的HPI接口和第三DSP芯片的HPI接口连接；所述第二DSP芯片的外部存储器接口（EMIF接口）分别与所述第一DSP芯片的HPI接口和第三DSP芯片的HPI接口连接；所述第三DSP芯片的外部存储器接口（EMIF接口）分别与所述第一DSP芯片的HPI接口和第二DSP芯片的HPI接口连接。

在这种方式下，每个DSP芯片的EMIF接口都连接到其余DSP芯片的HPI接口，从而每个DSP芯片都可以直接读写其余DSP芯片的存储空间。由于每个DSP的EMIF接口都要连接到另外两个DSP的HPI接口，所以要分配两个不同的地址空间。例如第一DSP芯片的EMIF接口分别与所述第二DSP芯片的HPI接口和第三DSP芯片的HPI接口连接，利用第一DSP芯片的地址线EA5来做选择，EA5为0时选择一个DSP芯片，EA5为1时选择另一个DSP芯片，在本发明的一个优选的实施例中，通过一DEC模块来选择第二DSP芯片或者第三DSP芯片的HPI接口，CE有效并且EA5为0时，选择第二DSP芯片的HPI，CE有效并且EA5为1时，选择第三DSP芯片的HPI，CE无效时都不选通。

请参考图3，其是抗辐射加固并行星载计算机系统的第一DSP芯片、第二DSP芯片和第三DSP芯片的接口连接示意图。如图3所示，所述第一DSP芯片的HPI接口分别与所述第二DSP芯片的外部存储器接口（EMIF接口）和第三DSP芯片的外部存储器接口（EMIF接口）连接；所述第二DSP芯片的HPI接口分别与所述第一DSP芯片的外部存储器接口（EMIF接口）和第三DSP芯片的外部存储器接口（EMIF接口）连接；所述第三DSP芯片的HPI接口分别与所述第一DSP芯片的外部存储器接口（EMIF接口）和第二DSP芯片的外部存储器接口（EMIF接口）连接。也就是说，每个DSP芯片的HPI接口都和其他两个DSP芯片的EMIF接口相连，如果不采取任何仲裁措施，当两个主DSP芯片需要同时访问一个从DSP芯片时，会出现冲突和错误。本发明引入访问请求机制，当某个DSP芯片申请访问从DSP芯片时，需要先向一仲裁模块提出申请，被允许后才能访问HPI接口，访问完释放接口控制权。为了方便统一管理，所述仲裁模块在系统控制单元中实现。在本发明的一个优选的实施例中，通过一个MUX模块来选择第一DSP芯片或者第二DSP芯片的EMIF接口，选通信号SEL由系统控制单元发出，SEL为0时，第一DSP芯片的EMIF和第三DSP芯片的HPI连接，SEL为1时，第二DSP芯片的EMIF和第三DSP芯片的HPI连接。

请参考图4，其是本发明实施例的抗辐射加固并行星载计算机系统运行状态图。系统整体运行由系统控制单元和三个子系统协同控制，并且以系统控制单元的指令为主。系统运行状态主要包括初始化、系统配置、执行任务、故障恢复以及备份切换等五个状态。系统根据外部命令、空间环境状况和系统内各部分运行情况进行运行状态的切换，具体步骤如下：

步骤（一）、初始化。当整个系统启动时，系统内各部分首先进行初始化。系统控制单元初始化各个寄存器以及外部设备接口，三个子系统的DSP芯片加载程序，配置EMIF接口、外部中断以及定时器等模块。系统初始化完成后，进入初始状态。如果没有任务需要执行，系统将一直处于初始状态。在初始状态下，系统不执行应用任务，处于低功耗的空闲模式。系统收到包含星载应用类型、运行模式等信息的外部命令时，进入步骤（二）。

步骤（二）、系统配置。在系统配置状态下，系统控制单元根据各个子系统运行故障历史记录评估三个DSP的可靠性，运行最稳定和次稳定的DSP被配置成工作DSP，另一个DSP作为备份。该机制称为固定备份机制，即从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份不运行任务，处于空闲状态，其余DSP芯片处理完成所述系统控制单元分配的任务。作为备份的DSP固定不变，直到某个正在工作的DSP发生故障启动切换程序。系统有两种基本的并行运行模式——流水线模式和非流水线模式。在流水线模式下，两个DSP分工协作，共同完成一个应用任务，大量的中间数据在两个DSP之间传输。在非流水线模式下，两个DSP相互独立地工作，二者之间没有数据交互。JPEG2000压缩、数字滤波等运算密集型并且便于分段执行的应用任务适合在流水线模式下处理。星务管理等实时性要求高、数据量小、运算量小的任务适合在非流水线模式下处理。在系统配置状态下，系统控制单元根据应用类型的特点、系统运行情况以及外部命令选择最佳运行模式。系统根据外部命令选择好运行模式，并且根据三个DSP的稳定性分配好工作DSP和备份DSP后，将配置信息传递给各个DSP，系统配置完成，进入步骤（三）。

由于航天器所处的空间辐照环境不是一层不变的，所以星载计算机系统在不同时点对系统抗辐射加固的要求也是不一样的。为了更大程度地发挥系统各部分的处理能力，在不同的任务、不同的外部环境下，备份子系统的备份机制也应该略有不同。优选的，在本发明的其他实施例中，还可以按轮流备份机制进行分配：在处理所述系统控制单元分配的相邻任务时，选择不同的DSP芯片作为冗余备份不运行任务，其余DSP芯片处理完成所述系统控制单元分配的任务，所述被选作冗余备份的DSP芯片被选中的频率相同。也就是说，在该机制下，没有特定的DSP一直处于备份状态，三个DSP轮流作为备份。在每一轮任务处理完成时，都更换作为备份的DSP，尽量保证三个DSP作为备份的时间大致相当。轮流备份机制比固定备份机制具有更好的公平性，有利于缓解系统总剂量效应的积累，从而增强系统的抗辐照能力。

优选的，在本发明的其他实施例中，还可以按预处理备份机制进行分配：在预处理备份机制下，作为备份的DSP并不是完全处在空闲状态，而是完成一定的应用任务。预处理备份机制又可以分为两种工作模式。在第一种模式下，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份，其余DSP芯片处理完成所述系统控制单元分配的任务，系统运行过程中备份DSP随机选择与另外某个DSP执行同样的任务。如果备份DSP选定执行同样任务的DSP出现不可恢复故障，备份DSP就可以在不需要太多切换开销的情况下直接替换上。在第二种模式下，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份，其余DSP芯片处理完成所述系统控制单元分配的任务，备份DSP执行新的任务，如果中途不出现故障，就直接将执行的结果输出；如果中途有其它DSP出现不可恢复故障，备份DSP将自己正在进行的工作清零，并接替故障DSP的工作。

步骤（三）、执行任务。在执行任务状态下，系统执行星载应用，系统的并行性能主要体现在这一状态中。由于系统需要完成的任务在系统运行前是可以确定的，所以各个星载任务对应的处理程序都可以提前编写好，保存在DSP的程序空间。但是，对于每个特定的任务，只有与之相对应的处理程序段会被激活并执行，其他程序段处于透明状态。系统进入执行任务状态后，各个DSP首先根据从系统控制单元获取的DSP逻辑编号判断自己是处于工作状态还是备份状态，如果处于工作状态，则继续读取任务信息以及运行模式。然后，应用相关的特定程序段被选中并开始处理任务，并将执行结果传输至对应的SDRAM存储器。在执行任务状态，两个DSP处于正常的工作状态，另外一个DSP处于备份状态。在任务处理过程中，系统控制单元中的故障检测模块监测整个系统的运行状况。如果检测到故障，进入步骤（四）。如果任务执行完成，系统返回步骤（一）。

步骤（四）、故障恢复。系统控制单元检测到错误时，跳转到故障恢复状态。在故障恢复状态，系统控制单元首先判断错误能否被纠正。如果是可纠正的错误，包括SDRAM存储器中的一位数据错误等，系统控制单元直接将数据更新为正确的值，然后系统返回执行任务状态。如果是不可纠正的错误，则错误对应的DSP执行任务的正确性已经不能得到保证，需要启动备份切换机制，进入步骤（五）。两个处于工作状态的DSP同时出现不可纠正的错误的概率很小，所以本发明设计的运行模式以及加固策略主要考虑一个DSP出现不可纠正的错误的情况。在两个DSP同时出错的情况下，进入步骤（二）。

步骤（五）、备份切换。在备份切换状态下，故障DSP转入备份状态，备份DSP接替故障DSP原来的工作。本发明根据应用任务的特点增加了断点恢复机制，当DSP出现故障需要进行备份切换时，备份DSP首先读取断点恢复数据，然后从断点处开始执行。一种通用的断点恢复机制是在DSP程序运行过程中，每执行一段程序就将中间结果保存一次，当DSP出现故障需要替换时，将保存的中间结果输出。备份切换完成后，返回步骤（三）。

基此，本发明由一个系统控制单元和三个相同的子系统构成，所述系统控制单元在一块FPGA上实现，每个子系统由一个DSP芯片和一块FPGA组成，并与系统控制单元相连。本发明采用“2并行+1备份”的结构，两个DSP芯片并行处理星载任务，另外一个DSP芯片作为备份，当并行工作的DSP芯片出现不可恢复故障时，备份DSP芯片替换故障DSP芯片，提高了系统整体的可靠性可性能。

上述描述仅是对本发明较佳实施例的描述，并非对本发明范围的任何限定，本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims

1.一种抗辐射加固并行星载计算机系统，其特征在于，包括：系统控制单元和分别与所述系统控制单元连接的第一子系统、第二子系统和第三子系统；

2.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，所述第一DSP芯片的外部存储器接口分别与所述第二DSP芯片的HPI接口和第三DSP芯片的HPI接口连接；所述第二DSP芯片的外部存储器接口分别与所述第一DSP芯片的HPI接口和第三DSP芯片的HPI接口连接；所述第三DSP芯片的外部存储器接口分别与所述第一DSP芯片的HPI接口和第二DSP芯片的HPI接口连接。

3.如权利要求1或2所述的抗辐射加固并行星载计算机系统，其特征在于，所述第一DSP芯片的HPI接口分别与所述第二DSP芯片的外部存储器接口和第三DSP芯片的外部存储器接口连接；所述第二DSP芯片的HPI接口分别与所述第一DSP芯片的外部存储器接口和第三DSP芯片的外部存储器接口连接；所述第三DSP芯片的HPI接口分别与所述第一DSP芯片的外部存储器接口和第二DSP芯片的外部存储器接口连接。

4.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份不运行任务，其余DSP芯片处理完成所述系统控制单元分配的任务。

5.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，在处理所述系统控制单元分配的相邻任务时，选择不同的DSP芯片作为冗余备份不运行任务，其余DSP芯片处理完成所述系统控制单元分配的任务。

6.如权利要求5所述的抗辐射加固并行星载计算机系统，其特征在于，被选作冗余备份的DSP芯片被选中的频率相同。

7.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份，其余DSP芯片处理完成所述系统控制单元分配的任务，所述冗余备份的DSP芯片处理完成和其余DSP芯片相同的任务。

8.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，从所述第一DSP芯片、第二DSP芯片和第三DSP芯片中择一作为冗余备份，其余DSP芯片处理完成所述系统控制单元分配的任务，所述冗余备份的DSP芯片处理完成所述系统控制单元分配的其他任务。

9.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，所述第一子系统、第二子系统和第三子系统分别包括一错误检查和纠正模块，检测和纠正第一子系统、第二子系统和第三子系统中的数据错误。

10.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，所述错误检查和纠正模块只检测和纠正一位数据错误。

11.如权利要求1所述的抗辐射加固并行星载计算机系统，其特征在于，所述系统控制单元包括一看门狗模块，检测和纠正所述系统控制单元中的程序错误。

12.一种抗辐射加固并行星载计算机系统使用方法，使用如1-11中任一所述的抗辐射加固并行星载计算机系统，其特征在于，包括：

13.如权利要求12所述的抗辐射加固并行星载计算机系统使用方法，其特征在于，当所述第一DSP芯片、第二DSP芯片和第三DSP芯片中的两个DSP芯片同时发生错误时，所述系统控制单元重新配置所述第一DSP芯片、第二DSP芯片和第三DSP芯片的状态。