CN108958987A - 一种低轨小卫星容错系统及方法 - Google Patents

Abstract

本发明公开了一种低轨小卫星容错系统及方法，系统包括存储部件接口，并列的第一、第二及第三处理器，并列的第一、第二及第三逻辑判断模块，以及外设接口；三个处理器可分别被设置为主机、从机或冷备机；主机与从机对由存储部件接口接入的数据及指令进行处理，冷备机不工作；每个逻辑判断模块与第一、二、三处理器之中两个具有通信连接；分别可对两个处理器的输出结果进行比对，并根据比对结果选择一路输出信号输出到外设接口和数据存储部件，或启动剩余的另一个处理器；其方法基于该系统，通过使其中两个处理器同时工作并进行输出信号对比并在对比不通过时启动第三个处理器进行输出对比，最终决定输出，解决了现有技术中主机故障检出能力不足以及输出结果可靠性不高的问题。

Description

一种低轨小卫星容错系统及方法

技术领域

本发明属于处理器容错技术领域，具体涉及一种低轨小卫星容错系统及方法。

背景技术

对于在轨运行的微小卫星，处理器多采用微纳和微机电等高新技术，由于处理器对宇宙射线以及α粒子较高的敏感性会导致瞬态错误；由于小缺陷，在比如高温、低压等特定情形会导致处理器间歇性故障；处理器是整个卫星系统的控制核心，因此对处理器进行容错设计非常有必要，通常采用多核冗余设计的方案解决这个问题。

中国发明专利CN201210103767公开了一种基于FPGA的软核容错星载计算机方案，由双冗余的软核控制模块A、B和仲裁管理模块组成。当主机A正常工作时，备份机B处于停机状态不工作，当主机A发生故障时，通过仲裁管理模块进行故障处理或切换到备份机B。中国发明专利CN201510134520公开了一种面向卫星的轮换式星载计算机容错系统方案，当任务重要程度是1时，A、B、C三个均为主机，表决器按照三取二原则进行输出；当任务重要程度为0时，A上电作为主机、B上电作为热备机，C不上电作为冷备机，使用看门狗监控A、B的状况，当A出现故障时，B切换为主机，C上电作为热备机，对A进行复位修复，如果A修复成功则作为冷备机，否则系统降级为B主C热的双机系统，当B出现故障并且修复失败，则系统进一步降级为单机模式。中国发明专利CN201110407248公开了一种基于锁步同步的双模冗余系统及其实现方法。设计两个仲裁器，两个CPU都可以作为输出，将CPU A和B的输出进行对比，对比通过时任选一份输出，不通过时，选择可靠性高的CPU进行输出。

以上现有技术均是采用多核冗余的设计方案；第一种方案可以实现备份系统的功能，当单个主机发生故障时可以切换到备份机，并且可以对故障机进行修复，但是该方案不能很好的检测出主机出现的故障，从而对主机进行修复或者切换到备份机系统；第三种方案，由于采用两个CPU同时工作进行输出对比，虽然可以很好的检测出主机是否发生故障，但当两个CPU对比不通过时，选择可靠性高的CPU进行输出并不能完全保证输出结果的正确性；第二种方案中，可以根据任务重要程度选择工作模式，采用可降级的容错备份方案能够灵活改变容错模式，延长了系统使用时间，但是该方案中仅使用看门狗对主机进行监测，并不能完全检测出主机是否发生故障。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种低轨小卫星容错系统及方法，其目的在于采用多个相同处理器，使其中两个处理器同时工作并进行输出对比并在对比不通过时，启动另一个处理器进行输出对比，最终决定输出，由此解决现有技术中主机故障检出能力不足以及输出结果可靠性不高的问题。

为实现上述目的，按照本发明的一个方面，提供了一种低轨小卫星容错系统，包括存储部件接口，并列的第一处理器、第二处理器以及第三处理器，并列的第一逻辑判断模块、第二逻辑判断模块和第三逻辑判断模块，以及外设接口；上述三个处理器相同，可分别被设置为主机、从机或冷备机；被设置为主机与从机的处理器对由存储部件接口接入的数据及指令进行处理，被设置为冷备机的处理器不工作；

每个逻辑判断模块与第一、第二、第三处理器之中的两个具有通信连接；其中，第一逻辑判断模块用于对第一处理器与第二处理器的输出信号进行比对，并根据比对结果择一路输出信号输出到外设接口和数据存储部件，或发出启动第三处理器的控制指令；第二逻辑判断模块用于对第二处理器与第三处理器的输出信号进行比对，并根据比对结果择一路输出信号输出到外设接口和数据存储部件，或发出启动第一处理器的控制指令；第三逻辑判断模块用于对第三处理器与第一处理器的输出信号进行比对，并根据比对结果择一路输出信号输出到外设接口和数据存储部件，或发出启动第二处理器的控制指令。

优选的，上述低轨小卫星容错系统，还包括电源管理模块；该电源管理模块作用于第一处理器、第二处理器以及第三处理器，用于根据各逻辑判断模块的比对结果控制被配置为冷备机的处理器的上电，并用于在被配置为主机或从机的处理器故障时控制其下电或复位。

为实现本发明目的，按照本发明的另一方面，基于上述低轨小卫星容错系统提供了一种低轨小卫星容错方法，包括如下步骤：

(1)将第一处理器配置为主机，第二处理器配置为从机，第三处理器配置为冷备机；控制主机、从机上电启动以分别对接收的指令和数据进行处理，冷备机不上电；

(2)比对主机与从机的输出信号是否一致；若是，则将主机输出信号发送到外设接口和数据存储部件；若否，则进入步骤(3)；

(3)控制冷备机上电启动以对接收的指令和数据进行处理；判断主机与该启动的冷备机的输出是否一致，若是，则将原从机关闭并配置为当前冷备机，将该启动的冷备机配置为当前从机，并将主机输出信号发送到外设接口和数据存储部件；若否，则进入步骤(4)；

(4)判断步骤(1)所配置的从机与步骤(3)所启动的冷备机的输出信号是否一致；若是，则将原主机关闭并配置为当前冷备机，并将步骤(1)所配置的从机配置为当前主机，步骤(3)所启动的冷备机配置为从机，并将当前主机的输出信号发送到外设接口和数据存储部件；若否，则将比对次数i加1，并进入步骤(5)；

(5)判断比对次数i是否超过预设阈值；若是，则判定系统失效；若否，将当前从机关闭并配置为冷备机，将当前主机复位并配置为从机，将步骤(3)所启动的冷备机配置为主机，进入步骤(2)。

实现本发明目的，按照本发明的另一方面，基于上述低轨小卫星容错系统提供了一种低轨小卫星容错方法，在系统正常工作状态下，将第一、第二、第三处理器轮流配置成冷备机，将其余两个处理器轮流配置为主机或从机；在其一个实施例中，初始化时将第一处理器配置为主机、第二处理器配置为从机，第三处理器配置为冷备机；系统运行达到预设的周期后，启动第三处理器将其配置为主机，关闭第一处理器将其配置为冷备机。，通这种轮班方式来延长系统使用寿命。

优选地，上述低轨小卫星容错方法，以任务量来设置轮流配置的周期，在处理器运行任务量达到预定的数量后自动切换。

优选地，上述低轨小卫星容错方法，采用DMA(Direct Memory Access，存储器直接访问)技术通过硬件向被配置为冷备机的处理器传输数据，以提高冷备机上电后的指令和数据加载速度，进一步提高系统的实时性。

总体而言，通过本发明所构思的以上技术方案与现有技术相比，能够取得下列有益效果：

本发明提供的低轨小卫星容错系统及方法，通过将其中两个处理器配置为同时工作并对两者进行输出对比，当对比通过时，选择两个处理器的输出信号中的一路为最终输出到外设的信号，保证了输出结果的高可靠性；当对比不通过时判定其中某一处理器出错，具有高检错能力；此时启动冷备机并采用冷备机的输出信号来进行输出对比，最终决定输出信号；只在比对结果一致时才选择其中的一路输出信号为最终输出到外设的信号，进一步保证了输出结果的高可靠性。

本发明提供的另一种低轨小卫星容错方法，采用轮班工作的方案，相较于三个处理器一直进行输出对比的方案，功耗更低，系统使用寿命更长。

附图说明

图1是本发明提供的低轨小卫星容错系统的一个实施例的架构示意图；

图2是本发明提供的低轨小卫星容错方法的一个实施例的流程示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

本发明提供的低轨小卫星容错系统的一个实施例，其架构参照图1；包括存储部件接口，并列的第一处理器A、第二处理器B以及第三处理器C，并列的第一逻辑判断模块、第二逻辑判断模块和第三逻辑判断模块，以及外设接口；

其中，第一处理器、第二处理器以及第三处理器可分别被设置为主机、从机或冷备机；被设置为主机与从机的处理器对由存储部件接口接入的数据及指令进行处理，被设置为冷备机的处理器不工作；每个逻辑判断模块与第一、第二、第三处理器之中的两个具有通信连接；在实施例中，第一逻辑判断模块与第一、第二处理器具有通信连接，用于对第一处理器A与第二处理器B的输出信号进行比对，并根据比对结果择其中的一路输出信号输出到外设接口和数据存储部件，或启动第三处理器；

第二逻辑判断模块与第二、第三处理器具有通信连接，用于对第二处理器B与第三处理器C的输出信号进行比对，并根据比对结果择其中的一路输出信号输出到外设接口和数据存储部件，或启动第一处理器；

第三逻辑判断模块与第三、第一处理器具有通信连接，用于对第三处理器C与第一处理器A的输出信号进行比对，并根据比对结果择其中的一路输出信号输出到外设接口和数据存储部件，或启动第二处理器。

本实施例中还包括电源管理模块，作用于第一处理器、第二处理器以及第三处理器，用于根据各逻辑判断模块的比对结果控制被配置为冷备机的处理器的上电，并在被配置为主机或从机的处理器故障时控制其下电或复位。

实施例中，上述的第一、第二、第三处理器内核相同，第一、第二、第三逻辑判断模块相同。对于本发明而言，处理器个数不限于3个；采用3个及3个以上的处理器，采用本发明思想的容错系统发明创造，均属于本发明的技术方案。

实施例中，通过存储部件接口接入外部指令存储部件ITCM、数据存储部件DTCM所存储的指令和数据；本实施例中采用ECC(Error Correcting Code、错误检查和纠正)技术对指令存储部件、数据存储部件进行保护。

实施例提供的低轨小卫星容错方法，包括如下步骤：

(1)将第一处理器A配置为主机，第二处理器B配置为从机，第三处理器B配置为冷备机；控制主机A、从机B上电启动以分别对接收的指令和数据进行处理，冷备机C不上电；

(2)比对主机A与从机B的输出信号是否一致；若是，则将主机输出信号发送到外设接口和数据存储部件；若否，则进入步骤(3)；

(3)控制冷备机C上电启动以对接收的指令和数据进行处理；判断主机A与该启动的冷备机C的输出是否一致，若是，则将原从机B关闭并配置为当前冷备机，将该启动的冷备机C配置为当前从机，并将当前主机的输出信号发送到外设接口和数据存储部件；若否，则进入步骤(4)；

(4)判断步骤(1)所配置的从机B与步骤(3)所启动的冷备机C的输出信号是否一致；若是，则将原主机A关闭并配置为当前冷备机，并将步骤(1)所配置的从机B配置为当前主机，将步骤(3)所启动的冷备机C配置为从机，并将该当前主机的输出信号发送到外设接口和数据存储部件；若否，则将比对次数i加1，并进入步骤(5)；

(5)判断比对次数i是否超过预设阈值；若是，则判定系统失效；若否，则将当前从机B关闭并配置为冷备机，并将当前主机A复位并配置为从机，将步骤(3)所启动的冷备机C配置为主机，进入步骤(2)。

以下结合图2进一步阐述；首先，对A、B上电，A和B同时工作，A被配置为主机，B被配置为从机，C被配置为冷备机不工作，第一逻辑判断模块工作，对A和B的输出进行对比，当A和B的输出对比通过时，允许输出结果及修改内存中的相关数据；

当A、B的对比不通过时，启动C参与运算并进行输出对比，启动第二、第三逻辑判断模块：①当A输出不正确、即B、C对比结果一致，关闭A机将其配置为冷备机，B、C分别继续作为主机、从机进行输出并对比，关闭第一、第三逻辑判断模块；②当B输出不正确时，即A、C对比结果一致，关闭B将其配置为冷备机，A、C分别继续作为主机、从机进行输出并对比，关闭第一、第二逻辑判断模块；③当三个结果都对比不上时，则将三机对比结果不一致次数加1，则将当前从机B关闭并配置为冷备机，记为符号C，将当前主机A复位并配置为从机，记为符号B，将剩余处理器记为符号A，关闭第二、第三逻辑判断模块，进入上述①，直到对比结果一致；当三个处理器对比结果不一致次数超过预设的阈值(实施例中设置为5次)，判定容错系统失效。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种低轨小卫星容错系统，其特征在于，包括存储部件接口，并列的第一处理器、第二处理器以及第三处理器，并列的第一逻辑判断模块、第二逻辑判断模块及第三逻辑判断模块，以及外设接口；

所述第一处理器、第二处理器以及第三处理器可分别被设置为主机、从机或冷备机；被设置为主机与从机的处理器对由存储部件接口接入的数据及指令进行处理，被设置为冷备机的处理器不工作；

每个逻辑判断模块与第一、第二、第三处理器中的两个具有通信连接；所述第一逻辑判断模块用于对第一处理器与第二处理器的输出信号进行比对，并根据比对结果择其中的一路输出信号输出到外设接口和数据存储部件，或发出启动第三处理器的控制指令；所述第二逻辑判断模块用于对第二处理器与第三处理器的输出信号进行比对，并根据比对结果择其中的一路输出信号输出到外设接口和数据存储部件，或发出启动第一处理器的控制指令；所述第三逻辑判断模块用于对第三处理器与第一处理器的输出信号进行比对，并根据比对结果择其中的一路输出信号输出到外设接口和数据存储部件，或发出启动第二处理器的控制指令。

2.如权利要求1所述的低轨小卫星容错系统，其特征在于，还包括电源管理模块；所述电源管理模块作用于第一处理器、第二处理器以及第三处理器，用于根据各逻辑判断模块的比对结果控制被配置为冷备机的处理器的上电，并用于在被配置为主机或从机的处理器故障时控制其下电或复位。

3.一种基于权利要求1或2所述的低轨小卫星容错系统的低轨小卫星容错方法，其特征在于，包括如下步骤：

(1)将第一处理器配置为主机，第二处理器配置为从机，第三处理器配置为冷备机；控制主机、从机上电启动以分别对接收的指令和数据进行处理，冷备机不上电；

(2)比对主机与从机的输出信号是否一致；若是，则将主机输出信号发送到外设接口和数据存储部件；若否，则进入步骤(3)；

(3)控制冷备机上电启动以对接收的指令和数据进行处理；判断主机与该启动的冷备机的输出是否一致，若是，则将原从机关闭并配置为当前冷备机，将该启动的冷备机配置为当前从机，并将主机输出信号发送到外设接口和数据存储部件；若否，则进入步骤(4)；

(4)判断步骤(1)所配置的从机与步骤(3)所启动的冷备机的输出信号是否一致；若是，则将原主机关闭并配置为当前冷备机，并将步骤(1)所配置的从机配置为当前主机，步骤(3)所启动的冷备机配置为当前从机，并将当前主机的输出信号发送到外设接口和数据存储部件；若否，则将比对次数i加1，并进入步骤(5)；

(5)判断比对次数i是否超过预设阈值；若是，则判定系统失效；若否，则将当前从机关闭并配置为冷备机，将当前主机复位并配置为从机，将步骤(3)所启动的冷备机配置为主机，进入步骤(2)。

4.一种基于权利要求1或2所述的低轨小卫星容错系统的低轨小卫星容错方法，其特征在于，在系统正常工作状态下，将所述第一、第二或第三处理器轮流配置成冷备机，其余两个处理器轮流配置为主机或从机，通过这种轮班方式延长系统使用寿命。

5.如权利要求4所述的低轨小卫星容错方法，其特征在于，以任务量来设置轮流配置的周期，在处理器运行任务量达到预定的数量后自动切换。

6.如权利要求3或4或5所述的低轨小卫星容错方法，其特征在于，采用DMA技术通过硬件向被配置为冷备机的处理器传输指令和数据，以提高冷备机上电后指令和数据的加载速度。