CN108089876B - 一种星载dsp软件在轨更新方法 - Google Patents

Abstract

本发明公开了一种星载DSP软件的在轨更新方法，所述DSP软件包括引导更新程序和主程序，所述引导更新程序代码存储在PROM中；存储在主份EEPROM中的主程序代码无法更改，只有备份EEPROM中的主程序代码能够上注更新；所述方法包括：如果监控接口FPGA输出给DSP的主备切换控制信号为低电平，则引导更新程序锁定加载主份EEPROM中的主程序代码；反之，引导更新程序首先判断是否进入上注更新流程，如果不进入，则从备份EEPROM加载主程序代码，如果进入，则不加载主程序代码，直接进入上注更新流程；所有软件代码上注更新完成后，如果更新成功，引导更新程序将更新后的主程序代码加载至DSP外部程序存储器中，然后，跳转至主程序执行，实现星载DSP软件的在轨更新。

Description

一种星载DSP软件在轨更新方法

技术领域

本发明涉及卫星嵌入式软件更新领域，具体涉及星载DSP软件的在轨更新

背景技术

随着载荷在轨飞行数据的研究应用，有可能对载荷功能提出新的需求，或者由于载荷软件本身的故障缺陷，需要对载荷软件进行在轨修改。

地面软件的更新，一般基于复杂操作系统，采用“补丁”方式完成更新。这种更新方式由于受星上资源限制、星地测控链路带宽限制等，不适用于星载嵌入式软件的在轨更新。

目前星上嵌入式软件的在轨更新方法，有些通过对程序块的控制旗标进行开关控制，决定其是否参与运行，将程序块的控制旗标关闭使其不参与运行时，进行在轨更新，更新完成后，将控制旗标打开使其参与运行，实现嵌入式软件的在轨更新。该方法需添加控制旗标等辅助数据，会导致软件规模的增加。有些将待更新的软件模块更名为备份文件，将接收到的数据作为软件模块目标文件，重启时将除备份文件外的所有软件模块的目标文件加载到数据存储器中运行，完成软件模块的在轨更新。该方法需至少配备双倍的存储资源才能完成整个软件的更新，会带来星上宝贵资源的增加。

发明内容

本发明针对现有星载嵌入式软件更新方法的不足，提出了一种可靠性高、适应性强、灵活性好的星载DSP软件在轨更新方法。

为了实现上述目的，本发明提出了一种星载DSP软件的在轨更新方法，所述DSP软件包括引导更新程序和主程序，所述引导更新程序代码存储在PROM中；所述主程序有主备两份，分别存储在物理隔离的两片EEPROM中；存储在主份EEPROM中的主程序代码无法更改，只有备份EEPROM中的主程序代码能够上注更新；所述方法包括：

如果监控接口FPGA输出给DSP的主备切换控制信号为低电平，则引导更新程序锁定加载主份EEPROM中的主程序代码；反之，引导更新程序首先判断是否进入上注更新流程，如果不进入，则从备份EEPROM加载主程序代码，如果进入，则不加载主程序代码，直接进入上注更新流程；

所有软件代码上注更新完成后，如果更新成功，引导更新程序将更新后的主程序代码加载至DSP外部程序存储器中，然后，跳转至主程序执行，实现星载DSP软件的在轨更新。

作为上述方法的一种改进，所述方法进一步包括：如果更新失败，监控接口FPGA控制DSP软件锁定加载主份EEPROM中的主程序代码运行，使DSP软件恢复至原始版本。

作为上述方法的一种改进，所述的上注更新流程包括：

步骤101)将新版DSP软件编译链接生成可执行代码，并与原DSP软件的可执行代码对比，将存在差异的模块，按照上注更新的数据传输格式组包，然后逐包进行上注更新；卫星平台通过CAN总线将上注数据发送给载荷的监控接口FPGA，监控接口FPGA将接收的包含ID信息的所有数据透明传输给DSP，由DSP进行剥离，提取有效数据；

步骤102)引导更新程序接收到监控接口FPGA发来的数据包后，首先将数据包中的ID信息、帧序号等附加信息剔除，提取有效数据，缓存在MRAM中，并进行两次校验；

步骤103)判断两次校验是否正确，如果正确，则跳转至烧录函数，执行烧录操作，同时更新接收的包序号和校验结果；否则，只更新接收的包序号和校验结果；

步骤104)将遥测参数发送给监控接口FPGA，由监控接口FPGA下传给卫星平台；将接收缓冲区的内容清零，返回等待接收下一包数据；

步骤105)地面根据返回的包序号、校验正确与否的标识、烧录正确与否的标识决定是否需要重新上注。

作为上述方法的一种改进，所述步骤101)中CAN总线传输的上注数据包一共由37帧组成；每帧由10个字节组成，前两个字节为ID信息，后8个字节为数据场；数据场的第一个字节为帧序号，从0开始编号；第一帧数据场的第二个字节为该数据包有效数据的长度，为249字节；第一帧数据场的第三个字节为该数据包的包标识；紧随有效数据后面的一个字节为校验码；由于校验码所在帧为最后一帧，且该帧正好10个字节，因此，在其后再补充一个空帧，便于区分结束帧。

作为上述方法的一种改进，所述步骤102)提取的有效数据中，包含烧录起始地址和软件可执行代码。

作为上述方法的一种改进，所述步骤102)的两次校验为：第一次为有效数据内部校验码，即有效数据中的最后一个字节为前248字节按位异或生成的校验码，第二次为包标识、所有有效数据按字节累加生成的校验码。

作为上述方法的一种改进，所述步骤103)的执行烧录操作，具体包括：

步骤103-1)将备份EEPROM的写保护取消，让备份EEPROM能够进行写入操作；

步骤103-2)将软件可执行代码烧录进从起始地址开始的连续192字节地址空间中，烧录完毕后，立即开启备份EEPROM的写保护功能，避免误操作导致备份EEPROM中的代码被更改；

步骤103-3)将刚烧录进备份EEPROM的代码读出来与缓存在MRAM中的代码逐字节对比，完全一致，表明烧录正确，否则表明烧录失败；

步骤103-4)根据烧录情况更新烧录结果。

本发明的有益效果为：

1、本发明的DSP软件分为引导更新程序和主程序，引导更新程序存储在PROM中，PROM的单粒子锁定与翻转都免疫，确保了引导更新程序的高可靠性；

2、本发明的DSP主程序有主备两份，完全一致，互为备份，提高了DSP软件的可靠性；其中主份EEPROM在物理上禁止写入操作，且启用软件写保护功能，避免了程序跑飞或其他误操作导致主份EEPROM中的程序代码被更改；确保在轨更新失败的情况下可以让DSP软件恢复至原始版本；

3、本发明可进行少量代码的软件修改，也支持大规模软件修改；上注的数据包中包含软件代码的烧录起始地址，因此，数据包之间可以打乱顺序，不需按照烧录起始地址的先后顺序上注，即本发明支持乱序上注更新；具有较强的适应性与灵活性。

附图说明

图1为本发明方法的DSP系统结构图；

图2为本发明方法的DSP启动加载流程图；

图3为本发明方法的接收上注数据流程图；

图4为本发明方法的烧录软件代码流程图。

具体实施方式

结合图1和图4说明本实施方式，一种星载DSP软件在轨更新方法，具体包括：

1、DSP系统结构如图1所示，DSP软件分为引导更新程序和主程序，PROM用于存储引导更新程序代码，不可更改。两片EEPROM物理隔离，用于存储主程序，这两片EEPROM中的主程序完全一致，互为备份。主份EEPROM从物理上禁止写入操作，因此存储在主份EEPROM中的主程序代码无法更改，只有备份EEPROM中的主程序代码可上注更新。由于DSP内部程序存储器空间有限，MRAM作为外部程序存储器，用于运行DSP的主程序，由于MRAM具有掉电保护功能，因此也可以作为重要参数的存储载体。监控接口FPGA可让DSP复位重加载，可控制DSP加载方式，接收DSP返回的遥测参数下传给卫星平台，还通过CAN总线接收上注的数据包，并转发给DSP。

2、DSP上电后，自动将引导更新程序加载进内部程序存储器中的0地址开始运行，引导更新程序首先初始化硬件配置，然后判断主备切换控制信号是否为低电平，该主备切换控制信号的高低电平由监控接口FPGA控制。如果为低电平，则锁定加载主份EEPROM中的主程序代码至外部程序存储器MRAM中，加载完毕后，跳转至主程序运行；反之，引导更新程序首先判断是否进入上注更新流程，如果不进入，则从备份EEPROM加载主程序代码，加载完毕后，跳转至主程序运行，如果进入，则不加载主程序代码，直接进入上注更新流程。DSP启动加载流程如图2所示。默认情况下监控接口FPGA输出给DSP的主备切换控制信号为低电平，即DSP加载主份EEPROM中的主程序代码运行。

3、将新版DSP软件编译链接生成可执行代码，并与原DSP软件的可执行代码对比，将存在差异的模块，按照上注更新的数据传输格式组包，然后逐包进行上注更新。卫星平台通过CAN总线将上注数据发送给载荷的监控接口FPGA，监控接口FPGA将接收的包含ID信息的所有数据透明传输给DSP，由DSP进行剥离，提取有效数据。

4、CAN总线传输的上注数据包格式如表1所示。上注数据包一共由37帧组成。每帧由10个字节组成，前两个字节为ID信息，后8个字节为数据场。数据场的第一个字节为帧序号，从0开始编号。第一帧数据场的第二个字节为该数据包有效数据的长度，表中W0～W248为有效数据。第一帧数据场的第三个字节为该数据包的包标识，表中为A0H，表示上注的为软件代码。紧随W248后面的一个字节为校验码，该校验码为包标识、W0～W248按字节的累加和。由于校验码所在帧为最后一帧，且该帧正好10个字节，因此在其后再补充一个空帧，便于区分结束帧，提高数据传输的可靠性。

表1

5、有效数据W0～W248的格式定义如表2所示。W0-W3为上注更新软件的标识，W4-W7为软件代码的烧录起始地址，W8-W199为192字节软件可执行代码，W200-W203为上注的总包数，W204-W207为上注的当前包序号，W208-W247为填充区，每个字节的填充数据为0xAA，W248为内部校验码，由W0-W247按位异或生成。

表2

6、引导更新程序接收到监控接口FPGA发来的数据包后，首先将数据包中的ID信息、帧序号等附加信息剔除，提取有效数据，缓存在MRAM中，并进行两次校验。其中一次为有效数据内部校验码，即有效数据中W0-W247按位异或生成的校验码，另一次为W0～W248按字节累加生成的校验码。接收上注数据的流程如图3所示。校验正确则跳转至烧录函数，执行烧录操作，同时更新接收的包序号、校验结果等遥测参数；否则，只是更新接收的包序号、校验结果等遥测参数。然后将遥测参数发送给监控接口FPGA，由监控接口FPGA下传给卫星平台。最后，将接收缓冲区的内容清零，返回等待接收下一包数据。

7、提取的有效数据中，包含烧录起始地址和软件可执行代码。烧录软件代码的流程如图4所示。执行烧录操作时，首先将EEPROM的写保护取消，让EEPROM可以进行写入操作，然后将软件可执行代码烧录进从起始地址开始的连续192字节地址空间中。烧录完毕后，立即开启EEPROM的写保护功能，避免误操作导致EEPROM中的代码被更改。然后将刚烧录进EEPROM的代码读出来与缓存在MRAM中的代码逐字节对比，完全一致，表明烧录正确，否则表明烧录失败。最后根据烧录情况更新烧录结果等遥测参数。

8、地面根据返回的包序号、校验正确与否的标识、烧录正确与否的标识等遥测参数决定是否需要重新上注。

9、所有软件代码上注更新完成后，复位DSP，此时引导更新程序将更新后的主程序代码加载至DSP外部程序存储器中，然后跳转至主程序执行，实现星载DSP软件的在轨更新。

10、如果更新失败，由于主份EEPROM中的软件代码是从物理上禁止被更改的，因此，监控接口FPGA可让DSP锁定加载主份EEPROM中的主程序代码运行，即可以让DSP恢复至原始版本。

一种星载DSP软件在轨更新方法，所述方法包括：

DSP软件分为引导更新程序和主程序，引导更新程序代码存储在PROM中，不可更改。主程序有主备两份，完全一致，互为备份，分别存储在物理隔离的两片EEPROM中。主份EEPROM从物理上禁止写入操作，因此存储在主份EEPROM中的主程序代码无法更改，只有备份EEPROM中的主程序代码可上注更新。

正常工作模式下，DSP自动将引导更新程序加载进内部程序存储器中并运行，引导更新程序运行的目的是将存储在EEPROM中的主程序代码加载至DSP外部程序存储器MRAM中，加载完毕后，跳转至主程序运行。如果监控接口FPGA输出给DSP的主备切换控制信号为低电平，则引导更新程序锁定加载主份EEPROM中的主程序代码；反之，引导更新程序首先判断是否进入上注更新流程，如果不进入，则从备份EEPROM加载主程序代码，否则，不加载主程序代码，直接进入上注更新流程。默认情况下监控接口FPGA输出给DSP的主备切换控制信号为低电平，即DSP加载主份EEPROM中的主程序代码运行。

将新版DSP软件与原DSP软件的可执行代码进行比较，将存在差异的模块按照上注更新的数据传输格式组包，然后逐包进行上注更新。

将接收到的数据包中的附加信息剔除，提取出有效程序代码及其烧录起始地址。同时进行校验，校验正确则将有效程序代码烧录进EEPROM指定的地址空间中。烧录完毕后，将刚烧录进EEPROM中的代码回读逐字节对比，完全一致则表明烧录正确。将接收的包序号、校验正确与否的标识、烧录正确与否的标识等遥测参数下传至地面。地面根据返回的遥测参数决定是否需要重新上注。

复位DSP，此时引导更新程序将更新后的主程序代码加载至DSP外部程序存储器中，然后跳转至主程序执行，实现星载DSP软件的在轨更新。

如果更新失败，可让DSP锁定加载主份EEPROM中的主程序代码运行，即可以让DSP恢复至原始版本。

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制。尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (6)

1.一种星载DSP软件的在轨更新方法，DSP软件包括引导更新程序和主程序，所述引导更新程序代码存储在PROM中；所述主程序有主备两份，分别存储在物理隔离的两片EEPROM中；存储在主份EEPROM中的主程序代码无法更改，只有备份EEPROM中的主程序代码能够上注更新；所述方法包括：

如果监控接口FPGA输出给DSP的主备切换控制信号为低电平，则引导更新程序锁定加载主份EEPROM中的主程序代码；反之，引导更新程序首先判断是否进入上注更新流程，如果不进入，则从备份EEPROM加载主程序代码，如果进入，则不加载主程序代码，直接进入上注更新流程；

所有软件代码上注更新完成后，如果更新成功，引导更新程序将更新后的主程序代码加载至DSP外部程序存储器中，然后，跳转至主程序执行，实现星载DSP软件的在轨更新；

所述的上注更新流程包括：

步骤101)将新版DSP软件编译链接生成可执行代码，并与原DSP软件的可执行代码对比，将存在差异的模块，按照上注更新的数据传输格式组包，然后逐包进行上注更新；卫星平台通过CAN总线将上注更新的数据发送给载荷的监控接口FPGA，监控接口FPGA将接收的包含ID信息的所有数据透明传输给DSP，由DSP进行剥离，提取有效数据；

步骤102)引导更新程序接收到监控接口FPGA发来的数据包后，首先将数据包中的ID信息和帧序号这些附加信息剔除，提取有效数据，缓存在MRAM中，并进行两次校验；

步骤103)判断两次校验是否正确，如果正确，则跳转至烧录函数，执行烧录操作，同时更新接收的包序号和校验结果；否则，只更新接收的包序号和校验结果；

步骤104)将遥测参数发送给监控接口FPGA，由监控接口FPGA下传给卫星平台；将接收缓冲区的内容清零，返回等待接收下一包数据；

步骤105)地面根据返回的包序号、校验正确与否的标识、烧录正确与否的标识决定是否需要重新上注。

2.根据权利要求1所述的星载DSP软件的在轨更新方法，其特征在于，所述方法进一步包括：如果更新失败，监控接口FPGA控制DSP软件锁定加载主份EEPROM中的主程序代码运行，使DSP软件恢复至原始版本。

3.根据权利要求1所述的星载DSP软件的在轨更新方法，其特征在于，所述步骤101)中CAN总线传输的上注更新的数据包一共由37帧组成；每帧由10个字节组成，前两个字节为ID信息，后8个字节为数据场；数据场的第一个字节为帧序号，从0开始编号；第一帧数据场的第二个字节为该数据包有效数据的长度，为249字节；第一帧数据场的第三个字节为该数据包的包标识；紧随有效数据后面的一个字节为校验码；由于校验码所在帧为最后一帧，且该帧正好10个字节，因此，在其后再补充一个空帧，便于区分结束帧。

4.根据权利要求1所述的星载DSP软件的在轨更新方法，其特征在于，所述步骤102)提取的有效数据中，包含烧录起始地址和软件可执行代码。

5.根据权利要求1所述的星载DSP软件的在轨更新方法，其特征在于，所述步骤102)的两次校验为：第一次为有效数据内部校验码，即有效数据中的最后一个字节为前248字节按位异或生成的校验码，第二次为包标识、所有有效数据按字节累加生成的校验码。

6.根据权利要求1所述的星载DSP软件的在轨更新方法，其特征在于，所述步骤103)的执行烧录操作，具体包括：

步骤103-1)将备份EEPROM的写保护取消，让备份EEPROM能够进行写入操作；

步骤103-2)将软件可执行代码烧录进从起始地址开始的连续192字节地址空间中，烧录完毕后，立即开启备份EEPROM的写保护功能，避免误操作导致备份EEPROM中的代码被更改；

步骤103-3)将刚烧录进备份EEPROM的代码读出来与缓存在MRAM中的代码逐字节对比，完全一致，表明烧录正确，否则表明烧录失败；

步骤103-4)根据烧录情况更新烧录结果。

Images