CN104850530A - 一种立方星星载计算机 - Google Patents

Abstract

本发明公开了一种立方星星载计算机，包括表决系统、处理系统、电源模块和存储单元，所述表决系统采用MSP430为系统的表决器，所述处理系统包括Cyclone V和Cyclone V上的CPU1和CPU2，所述CPU1负责数据的采集、任务的调度、控制指令的计算、发送以及星务数据和科学数据在SD卡上的存储，所述CPU2只在控制指令的计算环节，与CPU1并行进行，为CPU1的计算结果提供参照，本发明在保障计算机可靠性的同时也满足了处理能力的需求，提高了星载计算机系统的集成度和设计的灵活性，大幅降低了系统体积、质量和整体功耗。

Description

一种立方星星载计算机

技术领域

本发明涉及一种星载计算机，具体是一种立方星星载计算机。

背景技术

立方星是近年来提出的一种新型纳卫星，采用模块化的设计思想。标准的立方星采用1U架构，体积为10×10×10cm，质量不超过1kg。在此基础上，立方星可以扩大升级，增大为2U(20×10×10)、3U等。立方星技术的发展同时也对星载计算机系统提出了更高的要求，如更小的体积，质量和功耗等，这样就难以采用传统的冗余技术来保障计算机在强辐射空间环境中运行的高可靠和长寿命。

因此，在体积功耗均有限制的微小卫星上使用重构技术，利用系统现有的部件来维持系统的正常工作是一种比较合适的选择。重构改变了传统冗余设计中仅仅靠多重硬件冗余和软件冗余来容错的方法，它通过系统自身功能的冗余来达到系统性能在发生故障时得以恢复或维持的目的。将重构技术引入微小卫星的星载计算机中来，能够实现对星载计算机小型化的同时，还能有效地提高微小卫星星载计算机的可靠性。此外，避免了固定硬件结构的星载计算机一旦发生硬件损伤，将导致系统崩溃，直接影响到航天器的在轨寿命这一问题，从而降低了航天器执行单个任务的成本。

然而，实现可重构计算机的物理器件是FPGA，它的灵活性是基于SRAM工艺实现的，因此它很容易受到空间环境的影响出现各种故障。其中电子元器件的空间辐射效应主要包括总辐射剂量效应、位移损伤效应、单粒子效应和低剂量率辐射损伤增强效应等。这些效应对空间中的FPGA来说都会带来不同程度的影响。这导致由它所组成的各类计算机系统目前主要用于一些可靠性要求不高的场合，这极大地制约了可重构计算机的实际应用领域。如何有效地提高可重构计算机在航天领域应用的可靠性，不仅是当前各国学者所关注的热点问题，同时也是可重构计算机在实际工程应用中所急需解决的一项技术难题。

如图1所示的现有技术中，为了保证飞行器在空间工作的可靠性，计算机板采用了“三热一冷”的冗余架构和可重构技术来提高自身的容错性能。板上主要包括总线接口，四模Cyclone IV处理系统和以ProASIC3为主控制器的表决系统。

飞行数据计算和处理在基于SRAM架构的Cyclone IV系统上完成，其中正常模式下采用三热一冷的工作方式。系统容错的原理为：三模热备份的处理系统由各自的时钟源进行驱动，对输入设备采样后的信号进行计算和处理，处理系统的输出通过三选二的硬件表决，硬件表决器生成开关量选择某个处理模块的输出，输出结果通过输出转换控制输出设备。硬件表决电路表决后定位某一模处理系统的错误，然后隔离该模块的输出，并启动该模块进行全局重构，重构后如果是由于硬件电路的原因仍然无法正常工作，则启用冷备份处理系统进入工作状态，构成新的三模热备份。表决系统采用了基于Flash架构的ProASIC3芯片，主要进行表决数据的接收与比较、重构检测与控制、以及冷热机的切换控制与实现。单个星载计算机板上采用了五片FPGA，占用空间大，成本也高。此外，通常状态下，有四片FPGA处于工作状态，功耗高。

目前，提高由非抗辐射加固器件构成的星载计算机可靠性的方法主要有加装屏蔽层、采用硬件冗余、时间冗余、信息冗余、软件冗余等方式。而使用这些方法不仅会增加系统的成本和质量，而且还会使系统的功耗上升，这对于体积、功耗均有限制的立方星是不适宜的。立方星内部空间紧凑，体积有限。此外，经过计算，表面贴满太阳能电池板的2U立方星在400km高度近圆轨道，平均仅能产生3-4W的功率。

因此，在目前现有可重构计算机的技术水平下，如何利用片上可编程系统(SOPC)设计一种低功耗，高可靠性的立方星星载计算机，以期达到能够使飞行计算机适应空间恶劣环境，修复由于各种外部原因所引起的部件故障，延长卫星的在轨时间的目标，是本领域技术人员需要解决的问题。

发明内容

本发明的目的在于提供一种立方星星载计算机，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：

一种立方星星载计算机，包括表决系统、处理系统、电源模块和存储单元，所述表决系统采用MSP430为系统的表决器，所述处理系统包括Cyclone V和Cyclone V上的两个Nios II软核处理器，两个所述Nios II软核处理器为CPU1和CPU2，所述MSP430监测Cyclone V的重构过程，并以此控制电源模块对Cyclone V配置芯片的供电，所述CPU1负责数据的采集、任务的调度、控制指令的计算、发送以及星务数据和科学数据在SD卡上的存储，所述CPU2只在控制指令的计算环节，与CPU1并行进行，为CPU1的计算结果提供参照；两个所述Nios II处理器使用片上RAM作共享内存，并采用一个硬件Mutex核实现两个处理器对共享内存的互斥访问。

作为本发明进一步的方案：所述CPU1的程序存储在Flash上，所述CPU2的程序和整个Cyclone V芯片的硬件配置存储于EPCQ配置芯片中。

作为本发明再进一步的方案：所述MSP430选用MSP430F1611芯片。

作为本发明再进一步的方案：所述的立方星星载计算机的表决与重构方法，其特征在于，包括以下步骤：

(1)执行控制算法前，所述CPU1和CPU2各自执行固定的算例，如果算例运行结果与预期值一致，则CPU1和CPU2的运算器模块产生的控制指令计算结果具有可信度，设置CPU1和CPU2的可信度标志位；

(2)进行控制指令的计算时，CPU1将计算所需要的输入条件，即采集到的姿态信息，发送给备份机CPU2，然后CPU1和CPU2开始进行独立的运算和处理，并分别把各自的计算结果以及该周期的可信度值发送给表决系统；

(3)表决系统接收到CPU1和CPU2发来的计算结果之后，MSP430首先查看CPU1和CPU2的计算结果是否一致，如果一致就直接使能CPU1输出控制指令给别的分系统；如果不一致，则需要检查CPU1和CPU2的可信度值，若CPU1在当前周期的可信度标志位为1，直接使能CPU1输出控制指令；如果CPU1的可信度值为0或者该周期没有获得CPU1的计算结果，就查看CPU2的可信度值，若CPU2在当前周期的可信度标志位为1，则由CPU1读取共享内存中CPU2的计算结果并直接输出，如果CPU2的可信度为0或者计算超时，此时CPU1和CPU2的运算都是无效的，只能由MSP430拉低Cyclone V的nCONFIG引脚，时间>500ns，启动Cyclone V的重构；

(4)重构之后，若CPU1和CPU2的计算结果仍然都是无效的，就会再次触发重构，若多次重构后，MSP430仍不能判断出正确的指令并使能输出，就需要重新启动星载计算机。

与现有技术相比，本发明的有益效果是：同时兼顾了Cyclone V计算能力比较强并且支持重构，而MSP430单片机经过了大量微小卫星的飞行验证，具有对高能粒子有较强的免疫能力，成本低廉的特点，在保障计算机可靠性的同时也满足了处理能力的需求；另外，基于单块FPGA嵌入多个Nios II软核的SOPC技术极大提高了星载计算机系统的集成度和设计的灵活性，大幅降低了系统体积、质量和整体功耗。

附图说明

图1为现有技术的三热一冷的冗余架构结构示意图。

图2为立方星星载计算机的整体架构图。

图3为立方星星载计算机中两个Nios II处理器之间的通信机制的系统图。

图4为立方星星载计算机中双核的运算与表决过程图。

图5为立方星星载计算机中Cyclone V的重构方案流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图2～5，本发明实施例中，一种立方星星载计算机，包括表决控制电路、处理系统、电源模块和存储单元，所述表决控制电路采用MSP430为系统的表决器，所述处理系统包括Cyclone V和Cyclone V上的两个Nios II软核处理器，两个所述Nios II软核处理器为CPU1和CPU2，所述电源模块主要实现输出使能、过流保护、电压转换和电压稳压等功能，所述MSP430监测Cyclone V的重构过程，并以此控制电源模块对Cyclone V配置芯片的供电，当Cyclone V的配置过程结束后，MSP430就通过控制信号关闭电源对Cyclone V配置芯片的供电，以保护其中的配置代码不被高能粒子打翻；当需要重新配置Cyclone V的时候，就再次恢复配置芯片的电源供应，使得配置过程顺利进行。由于星载计算机与多数分系统之间采用I2C总线接口进行数据采集和指令发送，故Cyclone V上的两个Nios II软核处理器分主次，所述CPU1负责数据的采集、任务的调度、控制指令的计算、发送以及星务数据和科学数据在SD卡上的存储，所述CPU2只在控制指令的计算环节，与CPU1并行进行，为CPU1的计算结果提供参照；两个Nios II处理器使用片上RAM作共享内存，为了保护共享RAM的数据不被破坏，本系统中采用了一个硬件Mutex核实现两个处理器对共享内存的互斥访问。

为了保证控制指令计算的正确性，在执行控制算法之前，所述CPU1和CPU2会各自执行固定的算例，如果算例运行结果与预期值一致，则相信CPU1和CPU2的运算器模块是没有问题，那么接下来产生的控制指令计算结果也是具有一定可信度的，此时将CPU1和CPU2的可信度标志位置位。

当要进行控制指令的计算时，CPU1将计算所需要的输入条件，即采集到的姿态信息，发送给备份机CPU2，然后两个CPU开始进行独立的运算和处理，最后分别把各自的计算结果以及该周期的可信度值发送给表决系统。

所述CPU1的程序存储在Flash上，所述CPU2的程序和整个Cyclone V芯片的硬件配置存储于EPCQ配置芯片中，由于FPGA片上RAM资源有限，CPU1和CPU2各自使用一块片外的F-RAM进行控制指令的运算。F-RAM同时具有RAM和ROM的优点，读写速度快，并且可以像非易失性存储器一样即使掉电之后依然保留数据。另外，科学数据和星务数据的存储都是在SD卡上完成，由CPU1以SPI方式实现。

两个Nios II处理器计算结果向MSP430的传送通过SPI或者UART总线方式实现，MSP430表决器采用了TI公司的MSP430F1611芯片，MSP430F1611芯片的飞行经验丰富，成功应用于多个立方星的飞行任务；MSP430F1611芯片的抗辐射性能良好，在辐射剂量为37kRad的条件下依然工作良好，该辐射剂量相当于在低地球轨道飞行五年以上受到的总辐射。此外，MSP430F1611的功耗超低。

接收到两个CPU发来的计算结果之后，MSP430首先查看两个处理器的计算结果是否一致，如果一致就直接使能CPU1输出控制指令给别的分系统；如果不一致，则需要检查两个处理器的可信度值。若CPU1在当前周期的可信度标志位为1，直接使能CPU1输出控制指令；如果CPU1的可信度值为0或者该周期没有获得CPU1的计算结果，就查看CPU2的可信度值，若为1则由CPU1读取共享内存中CPU2的计算结果并直接输出，如果CPU2的可信度也为0或者也是计算超时，此时两个处理器的运算都是无效的，只能由MSP430拉低Cyclone V的nCONFIG引脚一定时间(>500ns)，启动Cyclone V的重构。

如果重构之后两个处理器的计算结果仍然都是无效的，就会再次触发重构。如果多次重构后，表决器仍不能判断出正确的指令并使能输出，就需要重新启动星载计算机。

这里设定Cyclone V重构三次之后，CPU1就会向EPS发出指令要求重启，首先发送“600s后打开OBC供电通道”指令，然后发送“立即关闭OBC电源”指令。这样，OBC板会在断电600s后重新上电。若星载计算机重新启动后依然不能解决问题，此时可以定义为永久故障，EPS接管星上系统的控制，任务降级。

CPU1对重构次数的纪录可以通过一个存储在Flash中，初值为0的计数变量实现。每当系统启动重构镜像，EPCQ芯片完成FPGA的配置，Nios II程序从Flash中读出计数值，计数值加1，再将计数结果写入Flash中。每次CPU1向EPS发送重启命令时将此变量清零。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

此外，应当理解，虽然本说明书按照实施方式加以描述，但并非每个实施方式仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。

Claims (4)

1.一种立方星星载计算机，包括表决系统、处理系统、电源模块和存储单元，其特征在于，所述表决系统采用MSP430为系统的表决器，所述处理系统包括Cyclone V和Cyclone V上的两个Nios II软核处理器，两个所述Nios II软核处理器为CPU1和CPU2，所述MSP430监测Cyclone V的重构过程，并以此控制电源模块对Cyclone V配置芯片的供电，所述CPU1负责数据的采集、任务的调度、控制指令的计算、发送以及星务数据和科学数据在SD卡上的存储，所述CPU2只在控制指令的计算环节，与CPU1并行进行，为CPU1的计算结果提供参照，两个所述Nios II处理器使用片上RAM作共享内存，并采用一个硬件Mutex核实现两个处理器对共享内存的互斥访问。

2.根据权利要求1所述的立方星星载计算机，其特征在于，所述CPU1的程序存储在Flash上，所述CPU2的程序和整个Cyclone V芯片的硬件配置存储于EPCQ配置芯片中。

3.根据权利要求1所述的立方星星载计算机，其特征在于，所述MSP430选用MSP430F1611芯片。

4.一种如权利要求1-3任一所述的立方星星载计算机的表决与重构方法，其特征在于，包括以下步骤：

(1)执行控制算法前，所述CPU1和CPU2各自执行固定的算例，如果算例运行结果与预期值一致，则CPU1和CPU2的运算器模块产生的控制指令计算结果具有可信度，设置CPU1和CPU2的可信度标志位；

(2)进行控制指令的计算时，CPU1将计算所需要的输入条件，即采集到的姿态信息，发送给备份机CPU2，然后CPU1和CPU2开始进行独立的运算和处理，并分别把各自的计算结果以及该周期的可信度值发送给表决系统；

(3)表决系统接收到CPU1和CPU2发来的计算结果之后，MSP430首先查看CPU1和CPU2的计算结果是否一致，如果一致就直接使能CPU1输出控制指令给别的分系统；如果不一致，则需要检查CPU1和CPU2的可信度值，若CPU1在当前周期的可信度标志位为1，直接使能CPU1输出控制指令；如果CPU1的可信度值为0或者该周期没有获得CPU1的计算结果，就查看CPU2的可信度值，若CPU2在当前周期的可信度标志位为1，则由CPU1读取共享内存中CPU2的计算结果并直接输出，如果CPU2的可信度为0或者计算超时，此时CPU1和CPU2的运算都是无效的，只能由MSP430拉低Cyclone V的nCONFIG引脚，时间>500ns，启动Cyclone V的重构；

(4)重构之后，若CPU1和CPU2的计算结果仍然都是无效的，就会再次触发重构，若多次重构后，MSP430仍不能判断出正确的指令并使能输出，就需要重新启动星载计算机。