CN104572330A

CN104572330A - 敏捷卫星星务中心计算机在轨复位或切机自主恢复方法

Info

Publication number: CN104572330A
Application number: CN201510008062.1A
Authority: CN
Inventors: 李超; 蒋轶颖; 李志刚; 赵键; 杨芳
Original assignee: Aerospace Dongfanghong Satellite Co Ltd
Current assignee: Aerospace Dongfanghong Satellite Co Ltd
Priority date: 2015-01-07
Filing date: 2015-01-07
Publication date: 2015-04-29
Anticipated expiration: 2035-01-07
Also published as: CN104572330B

Abstract

本发明公开了敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，在空间单粒子效应或其他异常原因导致的星务中心计算机复位或切机后，根据该方法实现了在轨主动、自主切机读取第三方模块的数据以恢复星务中心计算机、整星的状态和任务数据，并能够自主判断复位或切机后执行哪些后续任务。本发明解决了以往型号遥感卫星缺乏手段应对星务中心计算机复位或切机后交由地面管控造成卫星应用效能大幅降低的问题，确保了整星任务执行的可靠性和连续性，极大增强了卫星应对在轨紧急任务和状态变化的能力。

Description

敏捷卫星星务中心计算机在轨复位或切机自主恢复方法

技术领域

本发明涉及敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，属于敏捷卫星机动成像技术领域。

背景技术

目前卫星在实施成像任务时，因为没有机动的动作，地面用户可以将星上相机分系统开机、拍照、关机，然后再通过数传分系统将数据下传至地面接收站这一过程分解为依时间次序执行的程序控制指令，并按照星地通信格式进行编码和格式化，在卫星过境的时候上注到星上，星上计算机收到后按照时间顺序依次发出指令给星上各分系统来完成成像任务。

敏捷卫星的高敏捷和高精度特性需要星上星务分系统、姿控分系统、相机分系统、数传分系统、测控分系统等多个分系统的协同配合，需要编排的指令在数量和复杂度方面以及上注数据量方面较之以往型号大幅增加，原有的指令级操作根本无法匹配敏捷卫星的多种成像功能，更不能满足用户随时增加、删除任务的需求。因此敏捷卫星采用了以任务为单位的指令集合化管理方法，即地面不再上注多条指令给星上的星务中心计算机，而改为上注包含某种成像功能必需的指令参数及任务执行时间的任务数据块。星务中心计算机收到后存储在其内存中，按照任务数据块内部包含的任务执行时间解译和执行数据块。

受空间单粒子效应的影响，星务中心计算机内部的程序存储器或数据存储器有可能出现多个存储位翻转的情况，导致整机程序跑飞或停止不动，引发外部看门狗动作对CPU发出复位信号，使得CPU复位后重新装载和运行整机程序。当看门狗电路连续两次对CPU发出复位信号后，该电路直接给备份星务中心计算机加电，即切机启动备份星务中心计算机工作。

以往型号在星上计算机复位或切机后不能保存地面已经上注的指令，必须依赖地面重新上注，无法实现卫星在轨成像任务的自主可靠连续工作。

发明内容

本发明解决的技术问题是：克服现有技术的不足，提供敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，完成以往卫星无法完成的在轨自主可靠连续工作。

本发明的技术解决方案是：敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，步骤如下：

(1)在星务中心计算机内部设计有第三方模块，所述第三方模块具备数据存储功能和数据恢复功能，独立于星务中心计算机的A机和B机，A机和B机均可向其存取数据；其中B机为A机的备份机；

(2)当发生星务中心计算机在轨复位或切机后，当班机在完成基本的初始化工作后查询当前是否有星箭分离信号，如果没有星箭分离信号，则此时星箭仍然在主动段，当班机在内存中设置星箭未分离标志后进入步骤(7)；若有星箭分离信号，则进入步骤(3)；所述当班机为A机或B机；

(3)当班机判断是否允许自主恢复数据，若不允许，则当班机发送载荷关机指令序列，将整星载荷设备关闭，进入步骤(7)；如果允许，则进入步骤(4)；

(4)当班机与第三方模块建立通信，以采集第三方模块内部存储的整星状态数据、任务数据和星上时间，若通信正常并正确采集以上数据则进入步骤(5)，否则进入步骤(6)；

(5)当班机判断星务中心计算机复位或切机前整星处于空闲状态还是执行任务状态，如果整星处于空闲状态，则当班机根据从第三方模块采集的整星状态数据、任务数据和星上时间，进入步骤(7)；如果整星处于执行任务状态，则当班机首先发送载荷关机指令序列，将整星载荷设备关闭，并进入步骤(7)，然后每1秒都去判断当前整星是否运行到了出地影点，如果到达该点，则根据从第三方模块采集的任务数据和星上时间运行到达该点时刻之后的任务数据，如果没有到达该点则不执行任务数据，根据从第三方模块采集的整星状态数据和星上时间运行其他功能；

(6)当班机判断是否允许自主切机，若不允许，则发送载荷关机指令序列，将整星载荷设备关闭，并进入步骤(7)；若允许，则当班机判断当前工作的是A机还是B机，若是A机，则当班机自主切机至B机，进入步骤(2)；若是B机，则当班机发送载荷关机指令序列，将整星载荷设备关闭，并进入步骤(7)；

(7)当班机执行主程序。

所述第三方模块采用FPGA加SRAM的设计方式实现，FPGA通过RS-422接口与星务中心计算机A、B机的CPU进行数据交换；所述数据交换的内容包括地面注入的任务数据、星上时间和整星状态数据。

所述步骤(5)中判断整星处于空闲状态还是执行任务状态的方式为：

(3.1)星务中心计算机复位或切机后，当班机根据从第三方模块中采集的星上时间以及地面上注的复位时间窗口计算星务中心计算机复位或切机时刻的星时；

(3.2)当班机从第三方模块采集的任务数据中找出星务中心计算机复位或切机后第一个要执行的任务以及复位或切机前最后一个执行的任务，记录这两个任务的起始时间和持续时间，得到复位或切机后第一个要执行的任务的时间段以及复位或切机前最后一个执行的任务的时间段；

(3.3)分别将星务中心计算机复位或切机后第一个要执行的任务的时间段以及复位或切机前最后一个执行的任务的时间段与复位或切机时刻的星时到当前星时这一时间段比较，如果第一个要执行的任务的时间段或最后一个执行的任务的时间段与复位或切机时刻的星时到当前星时这一时间段有重叠，则认为复位或切机过程中整星处于执行任务状态，否则认为整星处于空闲状态。

所述步骤(3.1)中计算星务中心计算机复位或切机时刻星时的方式为：星务中心计算机复位或切机时刻星时等于当前星时与复位时间窗口的差。

本发明与现有技术相比的优点在于：

(1)以往型号的遥感卫星星务中心计算机没有设计第三方模块硬件以及存储恢复重要数据的方法，因而在轨运行时发生星务中心计算机复位或切机，所有复位或切机前地面上注的遥感成像指令无法保存，只能等待卫星入境后由地面重新上注。特别是在较为恶劣的空间环境影响下，星务中心计算机受单粒子翻转事件影响造成频繁复位或切机，此时卫星停止业务工作(如停止成像并清空所有遥感成像指令)，进入最小能源状态(所有载荷设备均关机)，待卫星入境后交由地面管控(由地面人员判读星上设备状态然后再次注入大量的遥感成像指令)，这种运管方式极大地降低了卫星的应用效能。

本发明的星务中心计算机内部设计有第三方模块，当星务中心计算机自主复位或切机时，可以实现在轨自主恢复重要数据、整星在轨自主可靠连续执行任务，增强卫星应对在轨紧急任务和状态变化的能力，减少卫星对地面测控的依赖。

(2)本发明在设计有第三方模块的基础上，提出了星务中心计算机在轨复位或切机时的自主恢复方法，实现了在轨主动、自主切机读取第三方模块的数据以恢复星务中心计算机、整星的状态和任务数据，并能够自主判断复位或切机后执行哪些后续任务，确保了整星任务执行的可靠性和连续性，极大增强了卫星应对在轨紧急任务和状态变化的能力。

附图说明

图1为本发明的复位或切机后CPU软件运行流程图；

图2为本发明的星务中心计算机CPU软件初始化之后自主恢复任务数据流程图；

图3为本发明的复位或切机前空闲状态定义图。

图4为本发明的第三方模块功能原理图。

具体实施方式

下面结合附图与具体实施方式对本发明作进一步详细描述：

以往型号在星上计算机复位或切机后不能保存地面已经上注的指令，必须依赖地面重新上注，无法实现卫星在轨成像任务的自主可靠工作。因此要想实现在轨自主恢复重要数据，增强卫星应对在轨紧急任务和状态变化的能力，减少卫星对地面测控的依赖，敏捷卫星星务中心计算机内部应该设计能够存储重要数据的第三方模块，同时设计良好的复位或切机方法，以实现在轨自主恢复重要数据、整星在轨自主可靠执行任务，增强卫星应对在轨紧急任务和状态变化的能力，减少卫星对地面测控的依赖。

星务中心计算机在轨复位或切机自主恢复方法需要重点解决以下关键问题：

(1)为能最大限度地恢复复位或切机前星务中心计算机状态数据、整星状态数据以及任务数据，当故障当班机复位后从第三方模块读取数据不成功并不能说明第三方模块损坏，应切至对方机再次尝试读取第三方模块数据；

(2)切机读取第三方模块数据的操作一定要避免乒乓切机，即避免当班机和对方机相互反复切机；

(3)当班机成功读取第三方模块数据后，还需要判断星务中心计算机复位或切机前处于空闲状态还是执行任务状态，然后才能决定从恢复的任务数据中哪一个后续任务继续执行。

首先说明星务中心计算机的基本组成：星务中心计算机A机、星务中心计算机B机以及第三方模块。其中，星务中心计算机A机和B机为冷备份，即只能有当班机运行。第三方模块采用独立供电的方式并处于常加电状态，可由A、B机或地面控制加断电，用于存储星务中心计算机重要状态数据、整星重要状态数据(如星时，该模块具有自主计时功能，可维护存入的星时数据)和任务数据。双机不管谁当班，该模块均可单独与A机或B机通信，可以保存来自A机或B机发送的数据，也可以向A机或B机传送模块内部保存的数据，其功能原理图如图4所示。第三方模块采用FPGA加SRAM的设计方式实现，FPGA通过RS-422接口与星务中心计算机A、B机的CPU进行数据交换，第三方模块存储的数据主要包括地面注入的任务数据、星上时间、整星状态数据(包括星务中心计算机状态数据和整星状态数据)。另外，A机和B机内部均有EEPROM存储器，本机CPU软件可以向其写入或读出本机的重要标志量。

下面给出星务中心计算机复位和切机的准确定义：

复位指当班机的软硬件运行时出现了不可自主修复的异常情况导致程序跑飞或跑死而不能定时清除看门狗计时器，经最长等待5秒后外部看门狗电路对当班机的CPU发出复位信号，使CPU重新从起始地址运行软件。

切机指当班机切换至对方机加电，并实现当班工作权的转移。软件自主切机，即当班机CPU软件向特定地址写入数据，使对方机加电，对方机CPU软件运行后对当班机断电获得当班工作权。

切机的手段有三种：

(1)软件自主切机，即当班机软件向特定地址写入数据，使得对方机加电，对方机软件运行后对当班机断电获得当班工作权。

(2)外部看门狗切机，即星务中心计算机的A机和B机均设计有看门狗切机电路，该电路能够对当班机程序运行跑飞或停止后对外部狗咬信号的行为进行计数。A机和B机对狗咬计数的处理机制不同：对A机是1次狗咬复位，2次狗咬时则对B机加电，切换至B机运行；对B机则是狗咬次数达到和超过1次时仅复位，不能对A机加电。

(3)地面切机，即地面发送指令星务中心计算机A加电/B断电和指令星务中心计算机B加电/A断电直接驱动星务中心计算机电源板上的继电器，要么使A机得电运行，要么使B机得电运行。

前两种切机手段既有区别又有联系，区别在于软件自主切机不需要等待看门狗电路发出狗咬信号便可以直接快速切机；两者的联系在于软件自主切机脱离了外部看门狗的监管，且由软件自主切至对方机后，之前当班机的狗咬计数因失电而无法保存。因此两种切机手段在设计使用时应充分考虑逻辑的严密性，避免出现乒乓切机。

在以上切机技术手段的基础上，为星务中心计算机自主复位或切机后读取第三方模块数据特制定如下约束条件，使之尽快恢复自身状态、整星状态：

(1)CPU软件设计指令可以由地面控制是否在复位或切机后从第三方恢复数据，该状态可以通过遥测下传显示。

(2)不考虑整机内多模块之间的多重故障，并认为第三方内部存储的数据有效，与CPU软件通信不成功是其唯一的故障模式。

(3)星务中心计算机当班机CPU软件与第三方通信不成功时，应切至对方机再次读取第三方的数据。

(4)CPU软件设计指令可以由地面控制允许或禁止星务中心计算机A机自主切至B机，该状态可以通过遥测下传显示。

(5)CPU软件通过第三方模块恢复数据时，按照先恢复星务中心计算机软件自身状态、再恢复整星状态、整星时间(星上时间)、然后恢复整星任务的顺序进行，即按照整星状态数据、整星时间、整星任务数据的顺序读取第三方中的数据。

(6)CPU软件在成功恢复状态数据、星时及任务数据后，如何继续执行任务采取如下策略：

1)如果复位或切机前软件处于未执行任务的空闲状态，则复位或切机后的软件在正确恢复任务数据后继续执行任务。

2)如果复位或切机前软件正在执行任务，则复位或切机后软件通过姿控分系统的遥测数据连续每1秒判断当前整星是否运行到出地影点。若未运行到该点，则停止执行任务并发送相机和数传等载荷设备关机的指令序列，目的是降低整星在地影区的功耗以节省电能。一旦到达该点，软件从到达该点时刻之后的完整任务开始执行。

其中，约束条件的第3条(即本机读取第三方模块数据不成功时，应切至对方机再次读取第三方模块数据)，是一个需要解决的关键问题，下面给出针对该问题的分析和策略。

切机读取第三方模块数据的问题分析：

(1)从由于A机经过两次看门狗复位才能切换至B机，中间过程耗时至少20秒，且需要软件自主注入故障使CPU软件跑飞或停止，所以切机读第三方模块的操作使用软件自主切机的方式最合适。同时也为软件自主切机功能设置地面遥控指令，即允许或禁止软件自主切机。

(2)卫星在轨自主运行时只有A或B机刚加电才会去读第三方模块，CPU软件从中恢复重要数据，而A或B机刚加电的原因是A或B机出现故障导致的本机复位或外部看门狗电路狗咬切机。因此，切机后读第三方模块数据即便不成功也不切回之前已经发生故障的当班机。

(3)若要实现A机和B机在轨无人值守完全自主恢复第三方模块数据的功能，需要考虑当第三方模块已损坏的情况，此时A机或B机双机之间是不可能知道对方状态的，只有各自内部的EEPROM存储器能够记录本机读第三方模块是否成功。因为A或B机PROM程序存储器中烧写的CPU软件是完全一样的，CPU软件只能判别出本机是A机还是B机，该信息不足以判断出是本机启动的原因是加电冷启动还是因为对方机无法建立与第三方通信才由软件自主切至本机。为了在A机和B机实现完全无差别自主切机读取第三方模块数据，则必须在本机CPU软件无法建立与第三方通信而自主切机至对方机后由对方机CPU软件因无法建立与第三方通信再次自主切回本机判读EEPROM中的数据，才能避免乒乓切机。但是，连续两次软件自主切机并通过向EEPROM写入历史数据进行分析判读的策略有违尽快恢复数据以及切机后不应切回原故障当班机的原则。整星在正常状态下会运行A机，只有A机故障才会自主且至B机，因此B机不能与第三方模块建立通信，不应该自主切回已经发生故障的A机。

切机读取第三方模块数据的策略：A机自主恢复第三方模块数据不成功可以有一次软件自主切至B机的机会，而B机在任何情况下都不可以由软件自主切至A机，其中允许自主切机的标志位在EEPROM中不同存储地址存放3份，取用时按照3取2的原则。地面可遥控设置其允许或禁止状态，A机默认设置为禁止，待卫星入轨状态正常后地面可以遥控更改为允许。B机设置为永久禁止状态，地面遥控不可更改。这种不对称的自主切机设计避免了对称自主切机费时且降低整机工作寿命的缺点。

另外，约束条件的第6条提到需要判断星务中心计算机复位或切机前整星处于空闲状态还是执行任务状态，这也是一个需要解决的关键问题，下面给出针对该问题的解决方法。

记T0为复位或切机时刻，T1为复位或切机后成功恢复数据时刻，复位或切机前空闲状态定义如图3所示：

1)T0-T1之间没有任何任务视为空闲，即任务1和任务5这种情形；

2)图中任务2、3、4、6的出现均视为非空闲状态。

根据定义，只要能够找出T0-T1时间段与复位或切机前后最近任务的起止时刻有无重合就可以判定是否处于空闲状态。为此需要做两方面的工作：一是要计算出T0-T1的时间，二是要尽可能简便得出复位或切机前后最近一个任务的起止时刻。

星务中心计算机硬件看门狗狗咬周期为5秒，CPU软件跑飞或停止后等待看门狗电路狗咬的时间根据软件清除看门狗计时时机(软件每秒清除1次)的不同而不同，但最长为5秒，将其记为t1。

CPU软件在星务中心计算机硬件加电后直到正常运行需要耗时4秒，记为t2。

CPU软件正常初始化运行后首先从第三方模块恢复状态数据、任务数据、星时，该过程需要耗时约270秒，记为t3。

由上可得，CPU软件从复位或切机到成功读取第三方模块数据约需要t1+t2+t3≈300秒，即

T1-T0＝300(秒)

T1就是CPU软件从第三方模块成功恢复出来的时间数据，，并将T1设置为当前星时。同时根据上式可计算得出T0，T1-T0即复位时间窗口。其中T1与UTC时的偏差为±1秒，小于指令执行时间的允许误差范围(-5,+∞)秒，因此该偏差不会影响任务的正常执行。

对于复位或切机前后最近1个任务的起止时刻，查找复位或切机后即将执行的第一个任务较为简单，即软件根据T1查找与之最接近的任务数据。但是与复位前T0最接近的末次任务的结束时间计算起来较困难，软件需要找出该任务的执行时间以及任务数据调用的多个指令集合中最后一条指令发送时间，然后得出该任务的结束时间并与T0进行比较。但是，多个指令集合之间指令数量不同，软件很难比较多个指令集合中最后一条指令执行时间的先后次序。

为此，在任务上注数据中，除填写任务执行时间外，设计有2字节的任务持续时间。软件根据任务执行时刻和持续时间可以直接得出本次任务的结束时刻，然后与T0进行比较。

至此，空闲状态的判据软件可以通过以下伪代码实现：

If(任务1的结束时刻<T0and任务5的执行时刻>T1and T0-T1无任务)则复位或切机前为空闲状态

Else视为非空闲状态。

为了增强软件判断空闲时刻的可靠性，将T1-T0这一时间窗的长度设计为地面遥控指令可设置的方式，即地面可以上注更改该时间长度来加严或放宽软件判断空闲状态的依据。另外，CPU软件将该时间窗长度在EEPROM存储器中不同地址空间存放3份，取用时按照3取2原则处理。

根据前面提到的6条约束条件，本发明提出敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，如图1和图2所示，其中图1为复位或切机后CPU软件运行流程图，图2为星务中心计算机CPU软件初始化之后自主恢复任务数据流程图，具体步骤如下：

(1)星上的星务中心计算机内部预先设计有能够存储重要数据的第三方模块。该模块具备数据存储功能和数据恢复功能，并独立于星务中心计算机的A、B机系统运行，双机无论谁当班，均可向其存取数据。第三方模块采用FPGA加SRAM的设计方式实现，FPGA通过RS-422接口与CPU进行数据交换，包括地面注入的任务数据、星上时间及星务主机在轨产生的一些状态设置等重要信息，确保星务中心计算机复位、切机后能够读取恢复以上重要数据，并按照整星预定的工作模式继续执行任务。其中B机为A机的备份机。

(2)当发生星务中心计算机在轨复位或切机后，当班机(A机或B机)的CPU软件在完成基本的初始化工作后查询当前的星箭分离信号，如果没有星箭分离信号，则此时星箭仍然在主动段，CPU软件在内存中设置星箭未分离标志后继续运行主程序；若有星箭分离信号则进入步骤(2)。

(3)当班机的CPU软件查询EEPROM中的“是否允许自主恢复数据”标志，若该标志为不允许，则CPU软件发送载荷关机指令序列，将整星载荷设备关闭以降低功耗保护整星能源，进入步骤(7)；如果该标志为允许，则进入步骤(4)。A机和B机均设计有“是否允许自主恢复数据”标志，并在EEPROM不同存储地址存放3份数据，地面可遥控设置其允许或禁止状态，默认设置为允许自主恢复第三方模块数据。

(4)当班机的CPU软件与第三方模块建立通信，以读取第三方模块内部存储的整星状态数据(包括星务中心计算机状态数据和整星状态数据)和任务数据，若通信正常并正确读取以上数据则进入步骤(5)，否则进入步骤(6)。

成功读取第三方模块数据指CPU软件完整正确恢复第三方模块中的状态数据、任务数据、星时共3类数据至当班机内存中，其中任何1类数据未能恢复均视为恢复数据失败。

(5)当班机的CPU软件判断星务中心计算机复位或切机前整星处于空闲状态还是执行任务状态，如果整星处于空闲状态，则当班机的CPU软件执行从第三方模块恢复的任务数据，并进入步骤(7)。如果整星处于执行任务状态，则当班机的CPU软件首先发送载荷关机指令序列，将整星载荷设备关闭以降低功耗保护整星能源，并进入步骤(7)，执行程序中除任务数据以外的其他功能，然后每1秒都去判断当前整星是否运行到了出地影点(由当班机的CPU软件通过姿控分系统的遥测数据判断整星是否运行到了出地影点)，如果到达该点，则根据从第三方模块采集的任务数据和星上时间执行到达该点时刻之后的完整任务数据，如果没有到达该点则停止执行任务数据，根据从第三方模块采集的整星状态数据和星上时间正常执行程序中的其他功能，直至到达该点后再执行到达该点时刻之后的完整任务数据。

(6)当班机的CPU软件判断EEPROM中的“是否允许自主切机”标志，若该标志为不允许，则发送载荷关机指令序列，将整星载荷设备关闭以降低功耗保护整星能源，并进入步骤(7)；若该标志为允许，则CPU软件判断当班机是A机还是B机，若是A机，则CPU软件自主切机至B机进入步骤(1)；若是B机，因为整星正常情况一定是运行在A机，此时B机不能与第三方模块通信说明整星的A机和B机均出现了问题，则CPU软件载荷关机指令序列，将整星载荷设备关闭以降低功耗保护整星能源，将控制权交给地面，并进入步骤(7)；

(7)程序进入正常运行状态。

本发明未详细描述内容为本领域技术人员公知技术。

Claims

1.敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，其特征在于步骤如下：

(7)当班机执行主程序。

2.根据权利要求1所述的敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，其特征在于：所述第三方模块采用FPGA加SRAM的设计方式实现，FPGA通过RS-422接口与星务中心计算机A、B机的CPU进行数据交换；所述数据交换的内容包括地面注入的任务数据、星上时间和整星状态数据。

3.根据权利要求1所述的敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，其特征在于：所述步骤(5)中判断整星处于空闲状态还是执行任务状态的方式为：

4.根据权利要求3所述的敏捷卫星星务中心计算机在轨复位或切机自主恢复方法，其特征在于：所述步骤(3.1)中计算星务中心计算机复位或切机时刻星时的方式为：星务中心计算机复位或切机时刻星时等于当前星时与复位时间窗口的差。