CN104731670B - 一种面向卫星的轮换式星载计算机容错系统 - Google Patents

Abstract

一种面向卫星的轮换式星载计算机容错系统，包括控制模块、存储模块、三单机，控制模块包括控制单元、表决器，控制单元从外界获取状态信息参数后设置三单机的状态模式，接收三单机发送的任务重要度参数后设置当前容错系统工作模式，表决器从存储模块中读取三单机的处理结果后进行表决，并将多数相同的结果输出；三单机从外界获取星载任务数据后提取任务重要度参数后送至控制单元，并对星载任务数据进行处理，将处理结果送至存储模块；存储模块接收三单机的处理结果，并进行存储。本发明融合了任务等级与备份思想，兼顾了实时性和可靠性，能更好的应对星载计算机可能发生瞬时故障、永久故障问题，延长了系统的使用时间。

Description

一种面向卫星的轮换式星载计算机容错系统

技术领域

本发明涉及星载计算机容错技术领域，特别是一种面向卫星的轮换式星载计算机容错系统。

背景技术

星载计算机长期工作在充斥着高能带电粒子的复杂太空环境中，当电子器件受到辐射攻击时，会因单粒子效应以及总剂量效应产生瞬时故障(可恢复性故障)以及永久故障(不可恢复性故障)，因此设计科学高效的中心计算机容错策略至关重要。

传统的星载计算机容错系统通常有如下几种：双机冷备份容错结构、双机热备份容错结构、三机热备份容错结构(包括多机热备份容错结构)，对于以上三种容错方案，热备份系统功率较大，而冷备份系统实时性差，三机热备份开销相对双机更大。随着空间任务对卫星可靠性和服务联系性的要求日益提高，星载计算机作为信息处理的核心单元应在满足高可靠性要求的同时尽可能在发生故障时减少故障对卫星正常工作状态和服务的影响，因此需要一种面向卫星、低耗能的计算机容错系统。

发明内容

本发明解决的技术问题是：克服现有技术的不足，提供了一种综合了双机冷热备份和三级备份、兼顾了实时性和可靠性的面向卫星的轮换式星载计算机容错系统。

本发明的技术解决方案是：一种面向卫星的轮换式星载计算机容错系统，包括控制模块、存储模块、单机A、单机B、单机C，其中

控制模块，包括控制单元、表决器，控制单元从外界获取状态信息参数，按照状态信息参数设置单机A、单机B、单机C的状态模式，接收单机A、单机B、单机C发送的任务重要度参数后控制表决器进行表决，

如果三个任务重要度参数表决结果为1，则进入TMR三机冗余模式，控制表决器对存储模块中单机A、单机B、单机C的处理结果进行表决，

如果三个任务重要度参数表决结果为0，则进入“主热冷”模式，任意指定一台单机为主机、一台单机为热备机、一台单机为冷备机，将主机的处理结果输出，监测主机、热备机、冷备机的状态信息参数；

如果热备机的状态信息参数变为3，则判定热备机故障，控制冷备机切换为热备机，当故障热备机在设定次数以内复位并排除故障时，则将故障热备机切换为冷备机并继续“主热冷”模式，当故障热备机在设定次数以内复位不能排除故障时，则排除故障热备机，进入“双机模式”，并继续监测主机与热备机的状态信息参数；

如果主机状态信息参数变为3，则判定主机故障，控制热备机切换为主机，当故障主机在设定次数以内复位并排除故障时，则控制故障主机切换为热备机，并继续“双机模式”，当故障主机在设定次数以内复位不能排除故障时，则排除故障主机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；

如果热备机状态信息参数变为3且该热备机在设定次数以内复位并排除故障，则继续“双机模式”，如果该热备机在设定次数以内复位不能排除故障，则排除该热备机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；

如果主机的状态信息参数变为3，则判定主机故障，控制主机复位并控制热备机切换为主机，冷备机切换为热备机，当故障主机在设定次数以内复位并排除故障时，则将故障主机切换为冷备机并继续“主热冷”模式，当故障主机在设定次数以内复位不能排除故障时，则排除故障主机，进入“双机模式”，并继续监测主机与热备机的状态信息参数；

如果主机状态信息参数变为3，则判定主机故障，控制热备机切换为主机，当故障主机在设定次数以内复位并排除故障时，则控制故障主机切换为热备机，并继续“双机模式”，当故障主机在设定次数以内复位不能排除故障时，则排除故障主机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；

如果热备机状态信息参数变为3且该热备机在设定次数以内复位并排除故障，则继续“双机模式”，如果该热备机在设定次数以内复位不能排除故障，则排除该热备机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；所述状态信息参数为设置单机A、单机B、单机C状态模式的参数，当状态信息参数为0时，对应单机为主机状态模式，当状态信息参数为1时，对应单机为热备机状态模式，当单机状态信息参数为2时，对应单机为冷备机状态模式，当状态信息参数为3时，对应单机发生故障；所述任务重要度参数为置于星载任务数据内的代表星载任务数据重要性的参数，当任务重要度参数为1时，代表星载任务数据重要，当任务重要度参数为0时，代表星载任务数据一般；

表决器，对单机A、单机B、单机C发送的任务重要度参数进行表决；从存储模块中读取单机A、单机B、单机C的处理结果，并对处理结果进行表决，将多数相同的处理结果输出；

单机A，从外界获取星载任务数据后提取任务重要度参数并送至控制单元，对星载任务数据进行处理，并将处理结果送至存储模块；

单机B，从外界获取星载任务数据后提取任务重要度参数并送至控制单元，对星载任务数据进行处理，并将处理结果送至存储模块；

单机C，从外界获取星载任务数据后提取任务重要度参数并送至控制单元，对星载任务数据进行处理，并将处理结果送至存储模块；

存储模块，接收单机A、单机B、单机C发送的处理结果，并进行存储。

所述的单机A、单机B、单机C均有看门狗电路检测该单机的程序是否跑飞，当该单机程序跑飞时看门狗电路将该主机状态信息参数置为3。

所述的设定次数为3。

本发明与现有技术相比的优点在于：

(1)本发明容错系统与现有技术相比融合了任务等级与备份思想，兼顾了实时性和可靠性，能更好的应对星载计算机因为单粒子效应及总剂量效应产生的瞬时故障、永久故障等问题；

(2)本发明容错系统与现有技术相比综合了双机冷热备份和三机备份，不仅具有三机备份使容错系统可靠性能更高的优势，还能够转换为双机热备份来提高实时性能；

(3)本发明容错系统与现有技术相比，采取可降级的容错备份方案，能够灵活改变容错系统容错模式，延长了系统的使用时间；

(4)本发明容错系统具有完整的三机、双机及单机模式下的重构与状态转移策略，状态转移充分考虑了各机的工作状态，保证处理结果的可靠。

附图说明

图1为本发明容错系统三机拓扑架构图；

图2本发明容错系统工作流程图；

图3本发明容错系统三机模式下轮换式重构和降级状态转移图；

图4本发明容错系统双机和单机模式下轮换式重构和降级状态转移图。

具体实施方式

本发明涉及一种面向卫星的轮换式星载计算机容错系统设计，该系统融合了冷备份和热备份容错策略的优点，可以同时满足卫星可靠性和实时性要求，可用于星载计算机的容错设计中。本发明一种面向卫星的轮换式星载计算机容错系统如图1所示包括控制模块、存储模块、单机A、单机B、单机C，其中

控制模块包括控制单元、表决器，控制单元从外界获取状态信息参数，按照状态信息参数设置单机A、单机B、单机C的状态模式，接收单机A、单机B、单机C发送的任务重要度参数后来决定单机A、单机B、单机C的容错模式；表决器在TMR三机冗余模式时从存储模块中读取单机A、单机B、单机C的处理结果，并对处理结果进行表决，将多数相同的结果输出，状态信息参数为设置单机A、单机B、单机C状态模式的参数，当状态信息参数为0时，对应单机为主机状态模式，当状态信息参数为1时，对应单机为热备机状态模式，当单机状态信息参数为2时，对应单机为冷备机状态模式，当状态信息参数为3时，对应单机发生故障；任务重要度参数为置于星载任务数据内的代表星载任务数据重要性的参数，当任务重要度参数为1时，代表星载任务数据重要，当任务重要度参数为0时，代表星载任务数据一般；单机A、单机B、单机C从外界获取星载任务数据后提取任务重要度参数并送至控制单元，对星载任务数据进行处理，并将处理结果送至存储模块；存储模块接收单机A、单机B、单机C发送的处理结果，并进行存储。

如图2为本发明的系统工作流程图，包括以下步骤：

1)首先容错系统进入初始化状态，三机中一机为主机、一机为热备机、一机为冷备机，任意设定三机工作状态，为A机作为主机、B机作为热备机、C机作为冷备机(在状态转移图中简写做：A主B热C冷)。

2)每个单机看门狗电路开始监控工作，当输入进来的数据中任务重要度参数是1时，则切换为TMR三模冗余模式，B、C机状态参数都设置为主机(冷备机需要上电并从主机A中复制程序和数据)。TMR模式下(当前每单机内多模冗余模式参数为3)控制模块中的表决器是一段从内存中取出三机处理结果并进行比较的程序，按照三取二原则，表决器留下多数相同的结果作为输出。

3)如果输入进来的数据中任务重要度参数是低(0)，则由已上电的主机和热备机中看门狗电路各自监控每个单机内状况，若是监控到主机A出问题，则主机A状态信息参数会变为3(表示A是故障机)。同时状态参数是1的热备机B随时查看A的状态参数，当A状态参数从0变成3时，则它自己变成0，同时将状态参数是2的冷备机C状态参数变为1。C机中控制模块监控C机状态信息，此时C状态参数不是2了，则将整个C机上电，同时从状态参数已是0的B机中复制当前程序内容以及数据内容，作为新的热备机工作。如图4所示状态转移图，当A主B热C冷状态下主机A出现故障，变为B主C热，同时A机电源控制单元发现A状态参数变为3后对其进行修复复位，三次复位失败则判定A发生永久性故障，将其可用参数置为0，系统降级为B主C热双机模式；三次之内修复成功A可以继续工作，则判定为瞬时故障，可将A状态参数置为2，将其CPU等模块掉电作为冷备机，即进入B主C热A冷模式。

4)如果A主B热C冷模式下B中看门狗电路发现热备机B中程序跑飞，则将其状态参数置为3。同时状态参数是2的冷备机C随时查看B的状态参数，当B状态参数从1变成3时，则它自己变成1成为热备机，整体上电复制主机A中程序和数据。同时对此时的故障机B进行修复复位，三次后仍失败判定为永久性故障，可用参数置0，降级为双机A主C热模式；三次之内修复成功则将其掉电作为冷机进入A主C热B冷模式。

5)三机状态下只要主备机没有发生永久性故障，则采用三机轮换式重构方案，如果发生了永久性故障则降级为双机模式继续工作，具体状态转移如图3所示。

6)双机模式下，根据看门狗电路来监控两个单机各自的情况。以B主C热为例，当主机B发生故障时，其状态参数置为3。同时状态参数是1的热备机C随时查看主机B的状态参数，发现其状态参数变成3时，则将自己的状态参数置0，切换为主机模式接替工作。对发生故障的单机B进行修复复位，三次后仍失败则判定是永久性故障，降级为单机C单独运行模式；三次之内修复成功，则复制当前主机C中的程序段和数据，并作为其热备机工作。

8)B主C热模式下若是热备机C中看门狗检测到故障，则C的状态参数置为3，主机B继续工作，对单机C进行修复复位，三次后仍然失败则判定是永久性故障，降级为单机B单独运行模式；三次之内修复成功则C是瞬时性故障，复制主机B中的程序段和数据，继续作为热备机工作。

9)当双机模式再次降级为单机模式后，由于此时仅能依赖于看门狗电路的监控来检错，而没有容错措施，该模式下考虑回卷方式，即每小段程序起始地址保存下来，当看门狗电路发现问题时，单机修复重启，3次修复复位后仍是失败则系统崩溃；三次以内修复成功，则找到这段程序初始位置再次执行，重新处理这段任务。其中，上述步骤中主机检测故障主机状态参数变成3，改变自己的状态参数的过程、主机(故障机、热备机、冷备机、主机)进行修复及复制对应主机程序段和数据并改变工作模式的过程均由控制单元控制实现。

另外，每个任务具有任务重要度这一参数，而只有在任务重要度参数是1时才使用表决模式。单机在任务完成后，将处理结果缓存在存储模块的相应位置内，并在这段内存上提供一个同步位，当任务重要度参数是1时该位才有用，每次执行任务前将该位置为0，执行完成将处理结果保存在对应位置后将该位置为1，主机执行完自己的任务并将处理结果存储好后，先检查另外两机(或一机)的同步位，当检测到是1时读取数据，通过上述手段使多机都完成自己的任务时，处理结果才能读取。

本发明说明书中未作详细描述的内容属本领域技术人员的公知技术。

Claims (3)

1.一种面向卫星的轮换式星载计算机容错系统，其特征在于包括控制模块、存储模块、单机A、单机B、单机C，其中

控制模块，包括控制单元、表决器，控制单元从外界获取状态信息参数，按照状态信息参数设置单机A、单机B、单机C的状态模式，接收单机A、单机B、单机C发送的任务重要度参数后控制表决器进行表决，

如果三个任务重要度参数表决结果为1，则进入TMR三机冗余模式，控制表决器对存储模块中单机A、单机B、单机C的处理结果进行表决，

如果三个任务重要度参数表决结果为0，则进入“主热冷”模式，任意指定一台单机为主机、一台单机为热备机、一台单机为冷备机，将主机的处理结果输出，监测主机、热备机、冷备机的状态信息参数；

如果热备机的状态信息参数变为3，则判定热备机故障，控制冷备机切换为热备机，当故障热备机在设定次数以内复位并排除故障时，则将故障热备机切换为冷备机并继续“主热冷”模式，当故障热备机在设定次数以内复位不能排除故障时，则排除故障热备机，进入“双机模式”，并继续监测主机与热备机的状态信息参数；

如果主机状态信息参数变为3，则判定主机故障，控制热备机切换为主机，当故障主机在设定次数以内复位并排除故障时，则控制故障主机切换为热备机，并继续“双机模式”，当故障主机在设定次数以内复位不能排除故障时，则排除故障主机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；

如果热备机状态信息参数变为3且该热备机在设定次数以内复位并排除故障，则继续“双机模式”，如果该热备机在设定次数以内复位不能排除故障，则排除该热备机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；

如果主机的状态信息参数变为3，则判定主机故障，控制主机复位并控制热备机切换为主机，冷备机切换为热备机，当故障主机在设定次数以内复位并排除故障时，则将故障主机切换为冷备机并继续“主热冷”模式，当故障主机在设定次数以内复位不能排除故障时，则排除故障主机，进入“双机模式”，并继续监测主机与热备机的状态信息参数；

如果主机状态信息参数变为3，则判定主机故障，控制热备机切换为主机，当故障主机在设定次数以内复位并排除故障时，则控制故障主机切换为热备机，并继续“双机模式”，当故障主机在设定次数以内复位不能排除故障时，则排除故障主机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；

如果热备机状态信息参数变为3且该热备机在设定次数以内复位并排除故障，则继续“双机模式”，如果该热备机在设定次数以内复位不能排除故障，则排除该热备机，进入“单机模式”，并控制主机保存主机每段程序起始地址，如果主机状态信息参数变为3且进行复位能够成功排除故障，则回到当前执行程序的初始位置重新执行，否则判定容错系统崩溃；所述状态信息参数为设置单机A、单机B、单机C状态模式的参数，当状态信息参数为0时，对应单机为主机状态模式，当状态信息参数为1时，对应单机为热备机状态模式，当单机状态信息参数为2时，对应单机为冷备机状态模式，当状态信息参数为3时，对应单机发生故障；所述任务重要度参数为置于星载任务数据内的代表星载任务数据重要性的参数，当任务重要度参数为1时，代表星载任务数据重要，当任务重要度参数为0时，代表星载任务数据一般；

表决器，对单机A、单机B、单机C发送的任务重要度参数进行表决；从存储模块中读取单机A、单机B、单机C的处理结果，并对处理结果进行表决，将多数相同的处理结果输出；

单机A，从外界获取星载任务数据后提取任务重要度参数并送至控制单元，对星载任务数据进行处理，并将处理结果送至存储模块；

单机B，从外界获取星载任务数据后提取任务重要度参数并送至控制单元，对星载任务数据进行处理，并将处理结果送至存储模块；

单机C，从外界获取星载任务数据后提取任务重要度参数并送至控制单元，对星载任务数据进行处理，并将处理结果送至存储模块；

存储模块，接收单机A、单机B、单机C发送的处理结果，并进行存储。

2.根据权利要求1所述的一种面向卫星的轮换式星载计算机容错系统，其特征在于：所述的单机A、单机B、单机C均有看门狗电路检测该单机的程序是否跑飞，当该单机程序跑飞时看门狗电路将该主机状态信息参数置为3。

3.根据权利要求1所述的一种面向卫星的轮换式星载计算机容错系统，其特征在于：所述的设定次数为3。