CN104484255A - 一种验证系统级单粒子软错误防护能力的故障注入装置 - Google Patents

Abstract

本发明公开了一种验证系统级单粒子软错误防护能力的故障注入装置，设置在系统中故障注入目标单机与系统内其他单机之间；低频接口故障注入模块、高频接口故障注入模块根据故障用例库的记载对故障注入目标单机发给系统内其它单机的低频接口数据和高频接口数据进行故障注入；系统防护操作响应模块在监测到系统内其他单机向故障注入目标单机发送故障恢复操作数据时，通知故障注入控制模块停止故障注入操作；并控制低、高频接口故障注入模块做出响应。本发明具有通用性不需要针对不同对象的不同故障进行专门设计，大大减少了工作量；而且本发明加入了对故障恢复操作的响应，从而为从实时性、中断时间等指标上考核系统的故障防护能力提供了基础。

Description

一种验证系统级单粒子软错误防护能力的故障注入装置

技术领域

本发明涉及系统级空间单粒子软错误防护能力验证技术领域，具体涉及一种验证系统级单粒子软错误防护能力的故障注入装置。

背景技术

当数字电路应用在空间环境中时，空间高能粒子会穿透半导体器件内部并在路径上产生电离，电路节点会吸收电离产生的电子和空穴从而导致电路错误，这种效应称为单粒子效应。地面模拟单粒子效应主要有辐射实验方法和仿真方法，辐射实验方法成本高周期长，仿真方法成本低，易实现，成为目前用于验证航天器系统抗单粒子效应的主要手段。

目前验证抗空间单粒子效应的仿真方法主要着眼于星载仪器设备内部的电路板、芯片和软件的故障模拟，其目的均在于考核单机设备的容错性能。常见方法为在计算机上调用仿真工具软件改变电路信号的逻辑值实现对HDL代码的故障注入；通过验证平台截获目标电路的相应管脚信号或增加逻辑门实现故障注入。

然而随着航天器结构复杂度的增加，系统级的故障检测、修复隔离技术在单粒子软错误故障防护中所占的比重越来越大。然而上述方法仅适合于对小规模电路或单机设备的单粒子软错误防护能力进行仿真评价，不适合对复杂度较高的航天器系统级构架进行仿真。

目前针对系统级的主要故障注入手段为研制专用的故障模拟源，代替系统中得特定故障注入对象接入系统。由于系统级故障涉及多台功能结构各异的单机设备，上述方法需针对不同单机的不同故障进行专门设计，存在工作量大且通用性差的缺点。

而且，现有的故障注入方法仅着眼于故障注入的过程，未考虑对故障恢复操作的响应，从而难以从实时性、中断时间等指标上考核系统的故障防护能力，或者故障注入过程中需要人工干预实现故障恢复响应，不利于实现自动化。

此外，现有的故障注入方法的故障用例往往采用故障机理分析法或者故障特性穷举法，当应用于系统级故障注入时，故障用例库的完备性难以保障且实现代价大。

发明内容

有鉴于此，本发明的目的在于提供了一种验证系统级单粒子软错误防护能力的故障注入装置，具有通用性，不需要针对不同对象的不同故障进行专门设计，大大减少了工作量；而且本发明加入了对故障恢复操作的响应，从而为从实时性、中断时间等指标上考核系统的故障防护能力等提供了基础。本发明可用于验证航天器系统级单粒子软错误故障防护能力。

为了解决上述技术问题，本发明是这样实现的：

一种验证系统级单粒子软错误防护能力的故障注入装置，该装置设置在航天器系统中故障注入目标单机与系统内其他单机之间；该故障注入装置包括：单粒子软错误故障用例库、低频接口故障注入模块、高频接口故障注入模块、系统防护操作响应模块以及故障注入控制模块；

单粒子软错误故障用例库，用于提供针对故障注入目标单机所在系统的故障用例，包括根据各故障发生时目标单机的输出接口数据和信号特性所设置的故障配置信息以及各故障发生时目标单机针对各类系统恢复操作的响应特性；

低频接口故障注入模块，与故障注入目标单机的低频输出接口相连，还与系统内与本故障注入目标单机存在低频连接的其他单机的低频输入接口相连，根据故障注入控制模块发来的故障用例所记载的故障配置信息，对故障注入目标单机发给系统内其它单机的低频接口数据进行故障注入，而后转发；

高频接口故障注入模块，与故障注入目标单机的高频输出接口相连，还与系统内与本故障注入目标单机存在高频连接的其他单机的高频输入接口相连，根据故障注入控制模块发来的故障用例所记载的故障配置信息，对故障注入目标单机发给系统内其它单机的高频接口数据进行故障注入，而后转发；

系统防护操作响应模块，与故障注入目标单机的低频输入接口相连，还与系统内与本故障注入目标单机存在低频连接的其他单机的低频输出接口相连，用于监听故障注入期间系统内其他单机对故障注入目标单机的操作，若判读系统内其他单机正在向故障注入目标单机发送故障恢复操作数据，则通知故障注入控制模块停止故障注入操作，并模拟故障注入单机对恢复操作的响应；

故障注入控制模块连接低频接口故障注入模块、高频接口故障注入模块和系统防护操作响应模块，实现故障注入操作过程的管理，包括：根据用户的控制指令和参数，调用单粒子软错误故障用例库中的故障用例，发送给当前进行故障注入的低频接口故障注入模块或高频接口故障注入模块；接到停止故障注入操作的通知时，控制低频接口故障注入模块和高频接口故障注入模块停止当前的故障注入操作，并控制低频接口故障注入模块和高频接口故障注入模块根据单粒子软错误故障用例库的记载模拟故障注入目标单机对当前所监测到的故障恢复操作数据的响应。

优选地，所述低频接口故障注入模块进行故障注入时，针对低频接口数据中信息帧的特定位、字段和帧进行故障注入。

优选地，所述低频接口故障注入模块包含航天器常用的各类串口和总线接口，通过转接电缆适应故障注入目标单机的接插件类型。

优选地，所述高频接口故障注入模块包括模数转换模块、FPGA和数模转换模块；

所述模数转换模块，用于在进行故障注入时，对故障注入目标单机输出的高频接口数据进行采样；

所述FPGA包括解调模块、恢复数据处理及再生模块和调制模块；所述解调模块用于对模数转换模块采样获得的数据进行高信噪比解调，恢复出码片或符号；恢复数据处理及再生模块根据单粒子软错误故障用例库中故障用例的记载控制码片或符号翻转的位置和数量实现码片或符号的翻转，从而注入码片或符号错误和频谱异常故障，得到再生数据，并通过延时输出加入相位偏移故障；调制模块对恢复数据处理及再生模块输出的再生数据进行调制；

所述数模转换模块，对所述调制模块产生的调制数据数模转换，生成注入故障后的高频接口数据，发送给系统其它单机。

优选地，若故障注入目标单机中高频输出接口输出的信号为多路混合信号，则所述恢复数据处理及再生模块先进行高信噪比同源正交解调或基于先验信息的多路解调，再进行匹配滤波，从而实现混合信号的分离，然后再根据故障用例中的记载进行故障注入。

优选地，所述高频接口故障注入模块通过外频标、秒脉冲信号、时延、信息帧结构和比特/符号/码片速率这些先验信息实现与故障注入目标单机的本振同源以及信息帧同步。

优选地，所述系统防护操作响应模块在当前监测到的数据与故障注入目标单机的故障状态不相关时，直接透传给故障注入目标单机；如果相关，则截获当前数据，并根据数据内容通知故障注入控制模块停止当前的故障注入，并控制高频接口故障注入模块和低频接口故障注入模块按故障用例内容进行相应恢复操作的响应模拟。

优选地，对于单机的遥测/指令接口故障进行验证时，该故障注入装置接入1553B总线，通过遥测/指令采集单元与星载计算机之间的总线通信接口的故障信息模拟实现。

优选地，所述故障用例是通过等价功能故障分析法建立的；等价功能故障分析法从单机、子系统和分系统三个层级来描述故障用例，按照功能异常、数据异常和状态异常三个维度进行故障注入对象各种功能故障的遍历，以实现有限而完备的故障用例库建立；

其中，功能异常故障用例表现为故障注入对象的某一项功能不执行；

数据异常故障用例表现为故障注入对象的某一项功能执行结果错误；

状态异常故障用例表现为故障注入对象的某一项功能未按预期的时序执行。

有益效果：

(1)采用了单机等效接口故障模拟的方式实现系统级单粒子软错误故障注入，使得故障注入装置的复杂度降低，并具备更好的通用性。

(2)本发明采用接口数据转发的方式，实现了通用的高、低频接口故障注入，提供的故障注入方法的普适性和故障注入装置的通用性。

(3)采用了故障恢复操作响应设计，通过故障恢复操作监听和恢复响应模拟的方式模拟故障恢复的过程，实现系统级单粒子软错误故障防护功能的自动化验证。通过软件自动化实现的故障响应体制，能够真实的通过中断时间、中断次数等指标来考核系统的单粒子软错误防护能力，同时减少了人为操作，提高了故障注入试验的效率和试验结果的有效性。

(4)采用了等价功能故障分析法建立完备的单粒子软错误故障用例库，从单机功能的角度梳理故障用例，减少了用例数量，提高了故障注入效率和验证试验结果的有效性。

附图说明

图1为本发明一种验证系统级单粒子软错误防护能力的故障注入装置的结构原理图。

图2为本发明实施高频接口故障注入模块的结构原理图。

图3为本发明一种验证系统级单粒子软错误防护能力的故障注入装置的工作流程图。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

本发明设计了一种验证系统级单粒子软错误防护能力的故障注入装置，该故障注入装置设置在系统中故障注入目标单机与系统内其他单机之间，该装置主要具有如下两方面的能力：

一方面：对其接收的来自故障注入目标单机的数据进行故障注入并转发，以模拟目标单机发生单粒子软错误故障时接口输出的特定信息错误。且模拟方式为：通过模拟特定单机在发生单粒子软错误故障且超出自身容错能力时的输出接口数据和信号特性来实现单机故障产生以及故障在系统中传播的模拟。

另一方面：作为系统内其他单机对故障注入目标单机输入数据的监听设备，用于响应系统对故障注入目标单机的恢复操作。若判断系统内其他单机正在向目标单机进行有效的故障恢复操作，则停止故障注入并模拟目标单机对故障恢复操作的响应。

图1为实现上述两方面功能的故障注入装置的组成框图。如图1所示，该包括：单粒子软错误故障用例库、低频接口故障注入模块、高频接口故障注入模块、系统防护操作响应模块以及故障注入控制模块。下面针对每个模块进行详细描述。

◎单粒子软错误故障用例库

单粒子软错误故障用例库用于提供针对故障注入目标单机所在系统的故障用例，包括故障配置信息和响应特性；所述故障配置信息是根据各故障发生时目标单机的输出接口数据和信号特性设置的，所述响应特性各故障发生时目标单机针对各类系统恢复操作的响应特性。

故障用例应该尽量以最少的数量实现最全面的覆盖，为了提供针对特定系统的完备故障用例，本发明采用等价功能故障分析法建立完备的单粒子软错误故障用例库。该方法具体为：

等价功能故障分析法从单机、子系统和分系统三个层级来描述故障用例，每个层级均利用等价功能故障分析法进行单粒子软错误故障等价分类，将会导致该层级某一项功能出现异常的单粒子软错误故障划分为一类。本发明根据单粒子软错误的特征并结合故障注入对象的功能、性能特性，按照功能异常、数据异常和状态异常三个维度进行故障注入对象各种功能故障的遍历，以实现有限而完备的故障用例库建立。

其中功能异常故障用例表现为故障注入对象的某一项功能不执行；数据异常故障用例表现为故障注入对象的某一项功能执行结果错误；状态异常故障用例表现为故障注入对象的某一项功能未按预期的时序执行。

故障注入对象的功能可分为有效功能和无效功能。有效功能定义为故障注入对象(单机、子系统或分系统)的研制任务书中规定的功能，无效功能定义为故障注入对象在设计和实现过程中产生的任务书规定之外的其他功能。等价故障分析法通过上述三个维度上对故障注入对象的有效功能进行遍历，以实现有限而完备的故障用例库。

其中，针对单机级输出接口的故障，该故障的发生是由于单机内部防护没有成功造成的，其属于系统级故障。根据单机的功能特性进行单粒子软错误故障等价分类，将会导致单机的同一项功能出现异常的单粒子软错误故障划分为一类，该类故障在单机接口特性上的响应是相同的，其全部接口的故障特性作为一个故障用例。

◎低频接口故障注入模块

该低频接口故障注入模块，与故障注入目标单机的低频输出接口相连，还与系统内与本故障注入目标单机存在低频连接的其他单机的低频输入接口相连，根据故障注入控制模块发来的故障用例所记载的故障配置信息，对故障注入目标单机发给系统内其它单机的低频接口数据进行故障注入，然后转发。

其中，与低频信号相关的故障配置信息包括数据故障配置和信号故障配置；信号中承载数据；数据故障配置包括所要翻转的误比特位置，信号故障配置包括电压幅值、纹波、毛刺等。

该低频接口故障注入模块包含航天器常用的各类串口和总线接口，通过转接电缆适应目标单机的接插件类型，实现各接口输出数据的截获和故障注入。

进行故障注入时，故障注入控制模块根据用户的控制指令和参数，调用故障用例库的特定单粒子软错误故障用例，控制低频接口故障注入模块对其接收的来自故障注入目标单机的低频接口数据进行处理，针对低频接口数据中信息帧的特定位、字段和帧进行故障注入，模拟目标单机发生单粒子软错误故障时发送的数据发送给其它单机，实现目标单机单粒子软错误的注入。

◎高频接口故障注入模块

高频接口故障注入模块，与故障注入目标单机的高频输出接口相连，还与系统内与本故障注入目标单机存在高频连接的其他单机的高频输入接口相连，根据故障注入控制模块发来的故障用例所记载的故障配置信息，对故障注入目标单机发给系统内其它单机的高频接口数据进行故障注入，然后转发。

其中，与高频信号相关的故障配置信息包括数据故障配置和信号故障配置；数据故障配置包括所要翻转的误比特位置，信号故障配置包括码片错误、相位偏移、频谱异常。

如图2说明了本发明装置的高频接口故障注入模块结构原理图。如图2所示，该高频接口故障注入模块采用AD(模数转换模块)+FPGA+DA(数模转换模块)结构进行通用化设计。

其中，模数转换模块，用于在进行故障注入时，对故障注入目标单机输出的高频接口数据进行采样。

FPGA具体划分为解调模块、恢复数据处理及再生模块和调制模块。解调模块，对模数转换模块采样获得的数据进行高信噪比解调，恢复出码片(对于扩频信号)或符号(对于非扩频信号)；恢复数据处理及再生模块根据单粒子软错误故障用例库中故障用例记载的帧同步信息控制码片或符号翻转的位置和数量实现码片或符号的翻转，其中对于扩频信号来说码片的翻转可以实现码片，通过翻转可以实现注入码片或符号错误和频谱异常的故障，得到再生数据，并可以通过延时输出加入相位偏移的故障；调制模块对所述恢复数据处理及再生模块输出的再生数据进行调制。

其中，若故障注入目标单机中高频输出接口输出的信号为多路混合信号，则恢复数据处理及再生模块先进行高信噪比同源正交解调(针对2路混合信号)或基于先验信息的多路解调(针对n路混合信号，n>2)，再进行匹配滤波，从而实现混合信号的分离，然后再根据故障用例中记载的帧同步信息配置进行故障注入。

数模转换模块，对调制模块产生的调制数据数模转换，生成注入故障后的高频接口数据，发送给系统其它单机，实现目标单机单粒子软错误的注入。

所述高频接口故障注入模块通过外频标、秒脉冲信号、时延、信息帧结构和比特/符号/码片速率这些先验信息实现与故障注入目标单机的本振同源以及信息帧同步。

◎系统防护操作响应模块

系统防护操作响应模块，与故障注入目标单机的低频输入接口相连，还与系统内与本故障注入目标单机存在低频连接的其他单机的低频输出接口相连，用于监听故障注入期间系统内其他单机对故障注入目标单机的操作，若判读系统内其他单机正在向故障注入目标单机发送故障恢复操作数据，则通知故障注入控制模块停止故障注入操作，并模拟故障注入单机对恢复操作的响应。此时，故障注入控制模块一方面控制低频接口故障注入模块和高频接口故障注入模块停止故障注入操作，另一方面控制低频接口故障注入模块和高频接口故障注入模块根据单粒子软错误故障用例库的记载模拟故障注入目标单机对当前所监测到的故障恢复操作数据的响应。

系统内其它单机发回给目标单机的数据分为如下两种情况进行处理：

a.其它单机发给目标单机的数据与目标单机的故障状态不相关；

b.其它单机具有对目标单机发生故障时的修复功能，在发现目标单机出现故障时，对目标单机发送恢复指令(例如复位、关/开机或且备份指令)；

对于情况a，系统防护操作响应模块直接转发其它单机发送给故障注入目标单机的数据；对于情况b，系统防护操作响应模块截获该数据，并根据数据内容通知故障注入控制模块停止当前的故障注入，并控制高、低频接口故障注入模块按故障用例内容进行相应恢复操作的响应模拟。

◎故障注入控制模块

故障注入控制模块连接低频接口故障注入模块、高频接口故障注入模块和系统防护操作响应模块，实现故障注入操作过程的管理，包括：根据用户的控制指令和参数，调用单粒子软错误故障用例库中的故障用例，发送给当前进行故障注入的低频接口故障注入模块或高频接口故障注入模块；接到停止故障注入操作的通知时，停止低频接口故障注入模块和/或高频接口故障注入模块的当前的故障注入操作。

如图3说明了本发明的系统级单粒子软错误防护能力的故障注入装置的工作流程。正常模式下，图1中的高、低频接口故障注入模块接收目标单机发送给其它单机的低频数据和高频信号，经过固定的处理转发时延后发送给其它单机。系统防护操作响应模块以透明转发其它单机发送给目标单机的数据。

进行系统级单粒子软错误故障注入时，故障注入控制模块根据用户配置的故障用例，调用故障用例库的特定单粒子软错误故障用例，控制高、低频接口故障注入模块对其接收的来自目标单机的数据进行处理，模拟目标单机发生单粒子软错误故障时发送的数据发送给其它单机，实现目标单机单粒子软错误的注入。

对其它单机发回给目标单机的数据分为如下两种情况进行处理：

对于与故障注入目标单机的故障状态不相关的数据，则系统防护操作响应模块直接转发给目标单机；

对于与故障注入目标单机的故障状态相关的恢复指令(例如复位、关/开机或且备份指令)；则系统防护操作响应模块截获该数据，并根据数据内容通知故障注入控制模块停止当前的故障注入，并控制高、低频接口故障注入模块按故障用例内容进行相应恢复操作的响应模拟。

完成前一故障的产生和恢复模拟后，装置将根据用户配置的故障注入策略进行下一故障的模拟或结束故障注入试验。

通过上述流程，本装置可实现系统级单粒子软错误故障的产生、传播和恢复的全过程模拟，充分验证系统防护能力的范围和时效性。

对于单机的遥测/指令接口故障进行验证时，该故障注入装置接入1553B总线，通过遥测/指令采集单元与星载计算机之间的总线通信接口的故障信息模拟实现。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种验证系统级单粒子软错误防护能力的故障注入装置，其特征在于，设置在航天器系统中故障注入目标单机与系统内其他单机之间；该故障注入装置包括：单粒子软错误故障用例库、低频接口故障注入模块、高频接口故障注入模块、系统防护操作响应模块以及故障注入控制模块；

单粒子软错误故障用例库，用于提供针对故障注入目标单机所在系统的故障用例，包括根据各故障发生时目标单机的输出接口数据和信号特性所设置的故障配置信息以及各故障发生时目标单机针对各类系统恢复操作的响应特性；

低频接口故障注入模块，与故障注入目标单机的低频输出接口相连，还与系统内与本故障注入目标单机存在低频连接的其他单机的低频输入接口相连，根据故障注入控制模块发来的故障用例所记载的故障配置信息，对故障注入目标单机发给系统内其它单机的低频接口数据进行故障注入，而后转发；

高频接口故障注入模块，与故障注入目标单机的高频输出接口相连，还与系统内与本故障注入目标单机存在高频连接的其他单机的高频输入接口相连，根据故障注入控制模块发来的故障用例所记载的故障配置信息，对故障注入目标单机发给系统内其它单机的高频接口数据进行故障注入，而后转发；

系统防护操作响应模块，与故障注入目标单机的低频输入接口相连，还与系统内与本故障注入目标单机存在低频连接的其他单机的低频输出接口相连，用于监听故障注入期间系统内其他单机对故障注入目标单机的操作，若判读系统内其他单机正在向故障注入目标单机发送故障恢复操作数据，则通知故障注入控制模块停止故障注入操作，并模拟故障注入单机对恢复操作的响应；

故障注入控制模块连接低频接口故障注入模块、高频接口故障注入模块和系统防护操作响应模块，实现故障注入操作过程的管理，包括：根据用户的控制指令和参数，调用单粒子软错误故障用例库中的故障用例，发送给当前进行故障注入的低频接口故障注入模块或高频接口故障注入模块；接到停止故障注入操作的通知时，控制低频接口故障注入模块和高频接口故障注入模块停止当前的故障注入操作，并控制低频接口故障注入模块和高频接口故障注入模块根据单粒子软错误故障用例库的记载模拟故障注入目标单机对当前所监测到的故障恢复操作数据的响应。

2.如权利要求1所述的故障注入装置，其特征在于，所述低频接口故障注入模块进行故障注入时，针对低频接口数据中信息帧的特定位、字段和帧进行故障注入。

3.如权利要求1所述的故障注入装置，其特征在于，所述低频接口故障注入模块包含航天器常用的各类串口和总线接口，通过转接电缆适应故障注入目标单机的接插件类型。

4.如权利要求1所述的故障注入装置，其特征在于，所述高频接口故障注入模块包括模数转换模块、FPGA和数模转换模块；

所述模数转换模块，用于在进行故障注入时，对故障注入目标单机输出的高频接口数据进行采样；

所述FPGA包括解调模块、恢复数据处理及再生模块和调制模块；所述解调模块用于对模数转换模块采样获得的数据进行高信噪比解调，恢复出码片或符号；恢复数据处理及再生模块根据单粒子软错误故障用例库中故障用例的记载控制码片或符号翻转的位置和数量实现码片或符号的翻转，从而注入码片或符号错误和频谱异常故障，得到再生数据，并通过延时输出加入相位偏移故障；调制模块对恢复数据处理及再生模块输出的再生数据进行调制；

所述数模转换模块，对所述调制模块产生的调制数据数模转换，生成注入故障后的高频接口数据，发送给系统其它单机。

5.如权利要求4所述的故障注入装置，其特征在于，若故障注入目标单机中高频输出接口输出的信号为多路混合信号，则所述恢复数据处理及再生模块先进行高信噪比同源正交解调或基于先验信息的多路解调，再进行匹配滤波，从而实现混合信号的分离，然后再根据故障用例中的记载进行故障注入。

6.如权利要求1所述的故障注入装置，其特征在于，所述高频接口故障注入模块通过外频标、秒脉冲信号、时延、信息帧结构和比特/符号/码片速率这些先验信息实现与故障注入目标单机的本振同源以及信息帧同步。

7.如权利要求1所述的故障注入装置，其特征在于，所述系统防护操作响应模块在当前监测到的数据与故障注入目标单机的故障状态不相关时，直接透传给故障注入目标单机；如果相关，则截获当前数据，并根据数据内容通知故障注入控制模块停止当前的故障注入，并控制高频接口故障注入模块和低频接口故障注入模块按故障用例内容进行相应恢复操作的响应模拟。

8.如权利要求1所述的故障注入装置，其特征在于，对于单机的遥测/指令接口故障进行验证时，该故障注入装置接入1553B总线，通过遥测/指令采集单元与星载计算机之间的总线通信接口的故障信息模拟实现。

9.如权利要求1所述的故障注入装置，其特征在于，所述故障用例是通过等价功能故障分析法建立的；等价功能故障分析法从单机、子系统和分系统三个层级来描述故障用例，按照功能异常、数据异常和状态异常三个维度进行故障注入对象各种功能故障的遍历，以实现有限而完备的故障用例库建立；

其中，功能异常故障用例表现为故障注入对象的某一项功能不执行；

数据异常故障用例表现为故障注入对象的某一项功能执行结果错误；

状态异常故障用例表现为故障注入对象的某一项功能未按预期的时序执行。