CN106021169B

CN106021169B - 一种航天计算机及其非易失存储装置的刷新和升级方法

Info

Publication number: CN106021169B
Application number: CN201610323357.2A
Authority: CN
Inventors: 全大英; 张翠翠; 陈甸甸; 刘恒良
Original assignee: China Jiliang University
Current assignee: China Jiliang University
Priority date: 2016-05-16
Filing date: 2016-05-16
Publication date: 2019-01-11
Anticipated expiration: 2036-05-16
Also published as: CN106021169A

Abstract

本发明提供了一种采用高性能商用片上系统（SOC）器件的高集成度、高可靠性的航天计算机，它包括以下三个组成部分：实现系统维护功能的一颗反熔丝FPGA、实现中心控制处理以及运算功能的三颗商用SOC，以及三颗用于存储启动程序、应用程序和用户数据的非易失存储器芯片。本发明中以三颗SOC为核心的运算节点在反熔丝FPGA控制下构成了可重构的三模冗余判决系统，而反熔丝FPGA和三颗非易失存储器芯片还构成了一个可靠的非易失存储装置。本发明进一步设计了通过反熔丝FPGA实现非易失存储器的定时刷新和故障时软件升级的方法，以有效对抗SEU（单粒子翻转）。采用本发明，可以实现高集成度、高可靠性、高性能、小型化、且灵活配置的航天计算机。

Description

一种航天计算机及其非易失存储装置的刷新和升级方法

技术领域

本发明涉及运用到卫星、火箭等航天器的高性能计算的技术领域，具体为一种航天计算机及其非易失存储装置的刷新和升级方法。

背景技术

卫星、火箭等航天器上的计算机，由于工作环境的特殊性，特别需要高可靠性的设计，以抵御SEU（单粒子翻转）等空间粒子辐射效应，现有的航天计算机大多采用屏蔽加固和多模冗余的设计方法，这些方法往往采用单独的处理器或者单独处理器加上CPLD芯片或者FPGA芯片的方式实现，采用冗余设计的方法实现功能的备份，以达到获取设备可靠性的目的。这些方案往往采用SRAM作为其易失性存储介质，采用EPROM/EEPROM甚至Flash闪存作为其非易失性存储介质，并且针对单粒子翻转做了设计，大多采用三模冗余表决系统来提高其可靠性。

现有的方案存在以下不足：

1）鲜有对于保证非易失存储装置长时间运行的刷新机制做出完整描述；

2）往往没有考虑采用主动升级结合定时刷新的方法提高可靠性。

进一步，航天计算机处理器往往采用航天级器件，随着技术的发展，商用器件也逐步被运用到航天计算机。商用器件是指在工业界普遍采用，在日常能够购买到的商业级或者工业级器件，具有成本低、性能高、不受国外进口的限制的优点。相应地，采用商用器件的方案具有成本、性能、研发和生产周期、可购买性等诸多优势。而商用器件中的重要成员：片上系统（SOC：System on chip），是指在单芯片集成了包括处理器、外部接口以及必要的辅助的设备的一类器件。而最新出现的包含了ARM双核处理器和可编程逻辑电路的一类片上系统（SOC）特别适合于航天计算机应用。

鉴于现有方案的以上不足，结合最新的技术发展，有必要发明一种通过定时刷新结合主动升级的方法保证航天计算机及其非易失存储装置的长期可靠性。

发明内容

本发明所要解决的技术问题是获得航天计算机的非易失性存储装置的高可靠性。为此，本发明采用如下技术方案：

一种航天计算机，包括以下三个组成部分：

1-a）一颗反熔丝FPGA，其作用是包括实现航天计算机的管理功能、存储器的刷新功能和存储器接口控制功能；

所述航天计算机的管理功能包括航天计算机的软件和硬件监控功能、软件和硬件的重新配置功能、冗余计算管理功能；

所述存储器刷新功能包括实现非易失存储器的定时刷新，所述存储器刷新功能可以达到对抗SUE（单粒子翻转）等空间粒子辐射的目的；

所述存储器接口控制功能，用于控制非易失存储器接口在刷新和正常工作两种方式之间选择；在刷新模式下，非易失存储装置在反熔丝FPGA控制下完成定时刷新、错误数据恢复等功能，在正常工作模式下，非易失存储装置为商用片上系统（SOC）器件提供系统启动程序，并且在计算机工作中提供应用程序和数据的存储能力。

1-b）三颗商用片上系统（SOC）器件，用作航天计算机的中心处理器。

所述三颗商用片上系统（SOC）器件相互之间可以工作在主备用、多模表决等模式；所述工作模式由反熔丝FPGA的冗余计算管理功能控制；在这些工作模式下，多颗片上系统（SOC）从逻辑上运行一样的程序，拥有同样的输入，同样的处理逻辑和同样的输出；三颗商用片上系统（SOC）器件每一颗均构成航天计算机的一个运算节点；

所述片上系统（SOC）器件外部连接到外部总线，以支持数据和控制信息传输；

1-c）三颗非易失存储器芯片，分别用作存储三颗商用片上系统（SOC）器件的启动程序和应用程序、用户数据；每颗非易失存储器芯片存储的内容完全一致；

所述三颗非易失存储器芯片，在反熔丝FPGA内部的存储器接口控制电路的控制下，能在刷新模式下连接到反熔丝FPGA实现升级和刷新功能，或者能在正常工作模式下直接连接到片上系统（SOC）支持系统的启动和应用程序的执行。

以上方案中，所述反熔丝FPGA和四颗非易失存储器芯片构成了一个性能可靠的非易失存储装置。

所述航天计算机非易失存储装置，在反熔丝FPGA内部的存储器接口控制功能包括存储器接口和存储器复用电路，所述存储器接口控制功能控制存储器芯片或者在刷新模式下连接到反熔丝FPGA实现升级和刷新功能，或者在正常工作模式下直接连接到片上系统（SOC）支持系统启动和应用程序执行。进一步，所述的航天计算机非易失性存储装置工作在正常工作模式下，即用作启动存储器、应用程序和用户数据存储时，三颗非易失存储器芯片与三颗商用片上系统（SOC）通过反熔丝一一直接连接，数据在反熔丝FPGA透明传输。

本发明中，所述的航天计算机非易失性存储装置，在反熔丝FPGA实现了存储器刷新功能；即在刷新模式下，反熔丝FPGA采用三模冗余判决结合ECC（Error Checking andCorrecting：检错和纠错）校验的方法定时刷新非易失存储器芯片存储的可执行文件内容，以确保用作启动的三模冗余非易失存储器芯片长期保持正确。具体而言，所述的三模冗余表决（或者判决）机制在工作时，对三个互为备份的运算节点的存储器数据或者计算输出进行比较，取结果相同的两个节点输出为正确结果，并且认为输出错误结果的运算节点或者其存储器为故障；所述的ECC校验机制在工作时，在存储器芯片存储了冗余的数据，并根据特定的算法能够判断数据是否正确并对于一定数量的数据错误进行纠错。

进一步，所述的航天计算机非易失性存储装置的反熔丝FPGA实现了软件升级功能；所述的软件升级功能就是在定时刷新过程中一旦发现启动程序的三模冗余判决发现的故障运算节点和ECC校验结果发现的存储器数据错误所对应节点不一致，则从地面通过星地链路升级非易失存储器芯片存储的内容。

本发明所提出的航天计算机非易失性存储装置的刷新方法，包括下列步骤：

2-a) 根据SEU发生的特点，定期读取非易失存储器芯片的内容并进行三模冗余判决；

2-b) 根据三模冗余判决的结果，结合存储器芯片中数据本身的ECC校验结果，提取正确的数据；通过刷新控制电路将正确的数据重新写入发生SEU的非易失存储器芯片，并刷新数据正确的非易失存储器芯片。

本发明所提出的航天计算机非易失性存储装置的升级方法包括下列步骤：

3-a) 检查运算子系统的3个节点是否全部工作正常，如果存在节点工作不正常，则启动运算子系统异常保护通道获取系统恢复的升级数据；所述异常保护通道是指数据不经过三模冗余表决，将来自外部总线的数据直接写入非易失存储器芯片；

3-b) 如果三个运算节点均工作正常，则在得到升级指令后从三个节点转发来自外部CAN总线的升级数据；

3-c) 反熔丝FPGA对来自3个节点的外部CAN总线的升级数据进行三模冗余表决，并输出正确的升级数据；

3-d) 反熔丝FPGA将升级数据写入其中两颗非易失存储器芯片完成升级，并重新启动该已升级的两颗存储器芯片所在的运算节点；

3-e) 如果运算节点启动成功，则在同步业务后通过刷新机制将最后一颗非易失存储器芯片升级，并重新启动该存储器芯片所在的运算单元；否则，如果已升级的运算节点启动失败，则需要进行版本回退。

附图说明

图1为本发明所述航天计算机及其非易失存储装置的硬件组成框图。

图2为本发明所述航天计算机的非易失存储装置定时刷新流程图。

图3为本发明所述航天计算机的非易失存储装置升级流程图。

具体实施方式

为了充分理解本发明的技术内容，下面给出具体实施例，结合附图对本发明的技术方案进行较为详细的介绍和说明。

图1为采用本发明方案的一种航天计算机的框图，其硬件组成包括反熔丝FPGA14，三颗分别由ARM双核处理器和可编程逻辑电路组成的商用Zynq-7000系列片上系统（SOC）芯片11、12和13，以及三颗采用QSPI（四线串行总线）接口的FLASH闪存芯片151、152和153。

反熔丝FPGA 14的作用包括实现计算机管理功能141、存储器接口控制电路142和存储器刷新功能143。

其中计算机管理功能141包含航天计算机的软件和硬件监控功能、软件和硬件的重新配置功能、冗余计算管理。存储器接口控制电路142，能够控制非易失存储器接口在刷新和正常工作两种方式之间选择。在刷新模式下，非易失存储装置在反熔丝FPGA控制下完成定时刷新、错误数据恢复等功能，这时，存储器芯片连接到反熔丝FPGA；在正常工作模式下，非易失存储装置为商用片上系统（SOC）器件提供系统启动程序，并且在计算机工作中提供应用程序和数据的存储能力，这时三颗非易失存储器芯片与三颗商用片上系统（SOC）通过反熔丝一一直接连接，数据在反熔丝FPGA透明传输。存储器刷新功能143，实现非易失存储器的定时刷新，达到对抗SEU（单粒子翻转）的目的；并且在刷新中一旦发现启动程序的三模冗余判决结果和ECC校验结果冲突，则从地面升级非易失存储器芯片存储的内容。

图2为采用本发明设计的定时刷新控制流程图，根据SEU发生的特点，刷新流程在非易失存储装置处于刷新模式且刷新定时器到期的时候，通过反熔丝FPGA的存储器接口分别读取三颗QSPI FLASH存储的内容（23），并对所读取的数据进行三冗余判决（24），进而对正确的数据进行ECC校验检查（25），如果发现ECC检查冲突，则启动升级流程（28），否则使用正确的数据恢复发生SEU的QSPI FLASH，并且刷新所有的QSPI FLASH闪存芯片。

图3为升级控制流程图，一旦非易失存储装置在刷新中发现ECC校验冲突（32），则启动升级流程。首先，检查航天计算机的三个运算节点是否全部工作正常（33），如果存在节点工作不正常，则启动正常工作节点的运算子系统异常保护通道获取系统恢复的升级数据，所述异常保护通道是指数据不经过冗余计算管理，将来自外部总线的数据直接写入非易失存储器芯片；如果三个运算节点均工作正常，则在得到升级指令后从三个节点转发来自CAN的升级数据并进行三模冗余表决（34），然后采用正确的数据升级三个运算节点中的两个对应的QSPI FLASH（35）；接着将升级后的节点启动，并判断是否启动成功（36），如果启动成功，则通过下一次刷新机制的运行升级最后一个节点（37），否则将已升级节点关机并回退版本（40）。

应当理解的是，以上所述从具体实施例的角度对本发明的技术内容进一步地披露，其目的在于让大家更容易了解本发明的内容，但不代表本发明的实施方式和权利保护局限于此。本发明保护范围阐明于所附权利要求书中，凡是在本发明的宗旨之内的显而易见的修改，亦应归于本发明的保护之内。

Claims

1.一种航天计算机，其特征在于包括以下三个组成部分：

1-a)一颗反熔丝FPGA，其作用是包括实现航天计算机的管理功能、存储器的刷新功能和存储器接口控制功能；

所述存储器刷新功能包括实现非易失存储器的定时刷新，所述定时刷新功能可以达到对抗单粒子翻转(SEU)空间粒子辐射的目的；

所述存储器接口控制功能，用于控制非易失存储器接口在刷新和正常工作两种方式之间选择；

1-b)三颗商用片上系统(SOC)器件，用作航天计算机的中心处理器；

所述三颗商用片上系统(SOC)器件相互之间可以工作在主备用、多模表决模式；所述工作模式由反熔丝FPGA的冗余计算管理功能控制；

所述片上系统(SOC)器件外部连接到外部总线，以支持数据和控制信息传输；

1-c)三颗非易失存储器芯片，分别用作存储三颗商用片上系统(SOC)器件的启动程序、应用程序和用户数据；

所述三颗非易失存储器芯片，在反熔丝FPGA内部的存储器接口控制电路的控制下，或者能连接到反熔丝FPGA实现升级和刷新功能，或者能直接连接到商用片上系统(SOC)支持系统的启动和应用程序的执行；

所述反熔丝FPGA实现了存储器刷新功能；

所述的存储器刷新功能在刷新模式下，反熔丝FPGA采用三模冗余判决结合ECC校验的方法定时刷新非易失存储器芯片存储的可执行文件内容，以确保用作启动的三模冗余非易失存储器芯片长期保持正确；所述的三模冗余判决机制在工作时，对三个互为备份的运算节点的存储器数据或者计算输出进行比较，取结果相同的两个节点输出为正确结果，并且认为输出错误结果的运算节点或者其存储器为故障；所述的ECC校验机制在工作时，在存储器芯片存储了冗余的数据，并根据特定的算法能够判断数据是否正确并对于一定数量的数据错误进行纠错。

2.权利要求1所述的一种航天计算机，其特征在于，所述反熔丝FPGA和三颗非易失存储器芯片构成了一个非易失存储装置。

3.权利要求2所述的一种航天计算机，其特征在于，所述反熔丝FPGA内部的存储器接口控制功能包括存储器接口和存储器复用电路，所述存储器接口控制功能控制存储器芯片或者连接到反熔丝FPGA实现升级和刷新功能，或者直接连接到片上系统(SOC)支持系统启动和应用程序执行。

4.根据权利要求2所述的一种航天计算机，其特征在于，当所述非易失存储装置用作启动存储器、应用程序和用户数据存储时，三颗非易失存储器芯片与三颗片上系统(SOC)通过反熔丝FPGA一一直接连接，数据在反熔丝FPGA透明传输。

5.根据权利要求2所述的一种航天计算机，其特征在于，所述反熔丝实现了软件升级功能；

所述的软件升级功能就是在定时刷新过程中一旦发现启动程序的三模冗余判决发现的故障运算节点和ECC校验发现的存储器数据错误所对应节点不一致，则从地面通过星地链路升级非易失存储器芯片存储的内容。

6.一种应用于如权利要求2所述的航天计算机非易失性存储装置的刷新方法，其特征在于，包括下列步骤：

7-a)根据单粒子翻转(SEU)发生的特点，定期读取非易失存储器芯片的内容并进行三模冗余判决；

7-b)根据三模冗余判决的结果，结合存储器芯片中数据本身的ECC校验结果，提取正确的数据；通过刷新控制电路将正确的数据重新写入发生单粒子翻转(SEU)的非易失存储器芯片，并刷新数据正确的非易失存储器芯片。

7.一种应用于如权利要求2所述的航天计算机非易失性存储装置的升级方法，其特征在于，包括下列步骤：

8-a)检查运算子系统的3个节点是否工作正常，如果存在节点工作不正常，启动运算子系统异常保护通道获取系统恢复的升级数据；所述异常保护通道是指数据不经过三模冗余表决，将来自外部总线的数据直接写入非易失存储器芯片；

8-b)如果三个运算节点均工作正常，则在得到升级指令后从三个节点转发来自外部总线的升级数据；

8-c)反熔丝FPGA对来自三个节点的外部总线的升级数据进行三模冗余表决，并输出正确的升级数据；

8-d)反熔丝FPGA将升级数据写入其中两颗非易失存储器芯片完成升级，并重新启动该已升级的两颗存储器芯片所在的运算节点；

8-e)如果运算节点启动成功，则在同步业务后通过刷新机制将最后一颗非易失存储器芯片升级，并重新启动该存储器芯片所在的运算节点；否则，如果已升级的运算节点启动失败，则需要进行版本回退。