CN110308920B - 一种不影响正常运行的在轨修改星上产品软件的方法 - Google Patents

Abstract

本发明提供了一种不影响正常运行的在轨修改星上产品软件的方法，星上产品执行下列步骤：(1)、获取包括新的产品功能执行代码和注入区首地址的第一注入代码信息，并从中提取新的产品功能执行代码存入注入区；(2)、获取包括跳转至注入区首地址的跳转函数执行代码和待修改代码所在的存储区域首地址的第二注入代码信息，并从中提取跳转函数执行代码，存储至待修改代码所在的存储区域，将星上产品中正在运行的程序中待修改代码替换为跳转函数执行代码，跳转函数执行代码使程序指针运行至待修改代码处时，跳转到注入区首地址，调用新的产品功能执行代码，并执行新的产品功能执行代码。本发明大大提高了产品在轨运行的安全性和产品可维护性。

Description

一种不影响正常运行的在轨修改星上产品软件的方法

技术领域

本发明涉及一种不影响正常运行的在轨修改星上产品软件的方法，保证在轨卫星姿态稳定控制情况下，对星上产品软件进行修改，属于卫星在轨维修与操控技术领域。

背景技术

目前大部分星上产品采用高性能处理器和大容量可修改程序存储器，其整机技术状态新，研制技术难度巨大，同时软件代码规模较大，成熟度不高，地面考核强度和研制时间有限，为规避在轨长期运行风险，具有强烈的单机在轨程序修改维护的需求。

由于卫星在轨运行期间，需要保持业务连续和姿态稳定。以变速控制力矩陀螺为例，变速控制力矩陀螺作为某卫星姿轨控分系统最核心产品，其负责提供瞬时大角动量，用于支持卫星在轨快速敏捷姿态机动。所以变速控制力矩陀螺需要一直处于高速转子稳态转速转动，低速框架角速度控制模式。传统卫星进行星上在轨软件的修改和维护，主要存在以下局限性：

(1)、只进行系统控制器产品(比如星务计算机、控制计算机)和星敏感器单机软件的在轨修改，很少涉及执行机构(执行机构在轨需要保持工作状态，如果进行软件修改维护，一般需要退出正常工作状态，可能影响卫星稳定运行，另外执行机构单机系统软硬件设计一般固化在PROM中，在轨无法修改维护，只能进行参数修改；

(2)、一般进行星敏感器等星上单机产品软件的在轨修改时，需要设定其它单机接管进行姿态确定(例如多个星敏感器，通过指令设定其他星敏进行定姿)或者姿态控制，被修改产品退出工作模式，仅进行在轨程序的修改维护，影响正常控制。如果星上产品软件无法在轨修改，在地面验证不充分、不到位的话，极有可能出现共性软件问题，影响任务成败。

发明内容

本发明的技术解决问题是：克服现有技术的不足，提供一种不影响正常运行的在轨修改星上产品软件的方法，提高卫星系统在轨的安全性和产品可维护性。

本发明的技术解决方案是：一种不影响正常运行的在轨修改星上产品软件的方法，所述星上产品执行下列步骤：

(1)、获取包括新的产品功能执行代码和注入区首地址的第一注入代码信息，并从中提取新的产品功能执行代码存入注入区；

(2)、获取包括跳转至注入区首地址的跳转函数执行代码和待修改代码所在的存储区域首地址的第二注入代码信息，并从中提取跳转函数执行代码，存储至待修改代码所在的存储区域，将星上产品中正在运行的程序中待修改代码替换为跳转函数执行代码，跳转函数执行代码使程序指针运行至待修改代码处时，跳转到注入区首地址，调用新的产品功能执行代码，并执行新的产品功能执行代码。

所述步骤(1)第一注入代码信息和步骤(2)的第二注入代码信息均为待注入程序代码，待注入程序代码由地面星务计算机分包发送至星上姿控计算机，再由星上姿控计算机分包发送给星上产品，具体过程为：

(a)、星务计算机将待注入程序代码进行分包组包，通过星务计算机与姿控计算机通讯通道发送至姿控计算机；

(b)、姿控计算机收到待注入程序代码之后，将待注入程序代码存入预设的内存中，存储区域的首地址定义为源首地址；

(c)、星务计算机向姿控计算机发送上注控制指令，设置姿控计算机注入变量；所述注入变量包括源首地址、注入总长度、目标首地址；目标首地址为待修改软件的星上产品的空闲存储区域首地址；

(d)、姿控计算机根据源首地址、注入总长度和目标首地址，将待注入程序代码和目标首地址分包组包，并在每个控制周期的空闲逐包发送给待修改软件的星上产品；

(e)、星上产品既接收应答正常业务通讯内容，又接收姿控计算机对其发送的待注入程序代码，并将待注入程序代码存入到目标首地址对应的存储空间中。

所述新的产品功能执行代码通过下列方法得到：

在星上产品源程序基础上进行软件源代码修改，通过编译，生成执行码，将其中新的产品功能对应的内容取出，得到新的产品功能执行代码。

所述星上产品软件包括程序存储区使能或禁用状态，默认为程序存储区禁用状态，在执行步骤(1)之前，通过外部指令控制星上产品软件处于程序存储区使能状态，在执行完步骤(1)之后，再次外部指令控制星上产品软件处于程序存储区禁用状态。

星上产品软件收到第一注入代码信息或者第二注入代码信息之后，对第一注入代码信息和第二注入代码信息进行校验，校验通过后，将内容写入接收到的目标首地址，并反馈接收成功信息至姿控计算机，否则，反馈校验错误信息至姿控计算机。

所述星上单机产品软件包含操作系统软件和应用层软件，全部软件固化在FLASH中，加电后FLASH中的操作系统软件引导区部分运行，将操作系统软件非引导区部分与应用层软件加载到程序存储区中运行。

所述操作系统软件具有FLASH存储器数据刷新、比对修复功能，具体为：

首先通过指令打开FLASH刷新修复功能；将FLASH中存放的程序与程序存储中程序进行循环比对，在检查到FLASH与程序存储区中程序内容不一致时，操作系统软件自动将程序存储区中内容写到FLASH存储器对应的地址上，完成FLASH程序的在轨修改；修改完成后关闭FLASH刷新功能。

所述程序存储区为SRAM。

本发明与现有技术相比的有益效果是：

(1)、本发明通过全面硬件设计支持和软件设计，在保证不影响系统的正常姿态稳定控制和业务的同时，通过星务遥控注入通道，经过姿控计算机通讯中转，完成星上产品的在轨程序修改注入，从而大大提高系统在轨的安全性和产品可维护性。

(2)、本发明主要利用星务计算机与姿控计算机之间的遥测遥控通道，姿控计算机与变速控制力矩陀螺之间的RS422通讯通道，在正常的业务通讯中，增加变速控制力矩陀螺软件维护解决方案和通讯策略，通过单机与控制器间通讯交互，实现程序的安全可靠修改。

(3)、本发明程序存储在FLASH中，可以保证软件代码掉电不丢失，不被误改写，借助地面遥测遥控通道，可以实现对FLASH中所存储代码的修改，保证了软件代码的安全可靠和可维护性。

(4)、本发明通过选用可在线修改的程序存储器，通过编译生成修改代码并传递到被修改产品程序存储区，修改其指定区域，实现对软件代码的修改注入，其不影响星上正常工作；

(5)、本发明通过已有的业务通讯传输通道，增加姿控计算机软件和单机软件功能，即可实现单机软件的修改，并可以通过刷新比对SRAM中程序与FLASH存储器程序差异，完成FLASH程序的在轨修改，大大提高在轨产品可维护性；

(6)、本发明可以实现任意软件代码的修改，大大降低产品潜在风险，提高了产品和系统运行可靠性和安全性；

(7)、本发明可以供大多数在轨单机产品，尤其是新研单机、软件功能需要在轨调试的单机参考借鉴；

(8)、本发明方便地实现了单机产品(特别是执行机构产品)的在轨程序修改，具有很强的实用性，操作简单，界面友好，软件开发人员和测试人员均可很容易掌握该方法。

附图说明

图1为本发明实施例一种不影响正常运行的在轨修改变速CMG软件的方法的工作流程图；

图2为本发明实施例一种注入替换模块示意图；

图3为本发明实施例注入程序跳转指令功能示意图。

具体实施方式

以下结合附图和具体实施方式对本发明进行详细说明。

本发明提供了一种不影响正常运行的在轨修改星上产品软件的方法，所述星上单机产品软件包含操作系统软件和应用层软件，全部软件固化在FLASH中，加电后FLASH中的操作系统软件引导区部分运行，将操作系统软件非引导区部分与应用层软件加载到程序存储区中运行。所述程序存储区可以为SRAM。

如图1所示，该方法中星上产品执行下列步骤：

(1)、获取包括新的产品功能执行代码和注入区首地址的第一注入代码信息，并从中提取新的产品功能执行代码存入注入区；

所述新的产品功能执行代码通过下列方法得到：

在星上产品源程序基础上进行软件源代码修改，通过编译，生成执行码，将其中新的产品功能对应的内容取出，得到新的产品功能执行代码。

(2)、获取包括跳转至注入区首地址的跳转函数执行代码和待修改代码所在的存储区域首地址的第二注入代码信息，并从中提取跳转函数执行代码，存储至待修改代码所在的存储区域，将星上产品中正在运行的程序中待修改代码替换为跳转函数执行代码，使程序指针运行至待修改代码处时，跳转到注入区首地址，调用新的产品功能执行代码，并执行新的产品功能执行代码。

所述步骤(1)第一注入代码信息和步骤(2)的第二注入代码信息为待注入程序代码，由地面星务计算机分包发送至星上姿控计算机，再由星上姿控计算机分包发送给星上产品，具体过程为：

(a)、星务计算机将待注入程序代码进行分包组包，通过星务计算机与姿控计算机通讯通道发送至姿控计算机；

(b)、姿控计算机收到待注入程序代码之后，将待注入程序代码存入预设的内存中，存储区域的首地址定义为源首地址；

(c)、星务计算机向姿控计算机发送上注控制指令，设置姿控计算机注入变量；所述注入变量包括源首地址、注入总长度、目标首地址；目标首地址为待修改软件的星上产品的空闲存储区域首地址；

(d)、姿控计算机根据注入变量，将待注入程序代码和目标首地址分包组包，并在每个控制周期的空闲逐包发送给待修改软件的星上产品；

(e)、星上产品既接收应答正常业务通讯内容，又接收姿控计算机对其发送的待注入程序代码和目标首地址。

为了提高软件可靠性，上述方法还包括如下措施：

所述星上产品软件包括程序存储区使能或禁用状态，默认为程序存储区禁用状态，在执行步骤(1)之前，通过外部指令控制星上产品软件处于程序存储区使能状态，在执行完步骤(1)之后，再次外部指令控制星上产品软件处于程序存储区禁用状态。

星上产品软件收到第一注入代码信息或者第二注入代码信息之后，对第一注入代码信息和第二注入代码信息进行校验，校验通过后，将内容写入接收到的存放地址，并反馈接收成功信息至姿控计算机，否则，反馈校验错误信息至姿控计算机。

所述操作系统软件具有FLASH存储器数据刷新、比对修复功能，具体为：

首先通过指令打开FLASH刷新修复功能；将FLASH中存放的程序与程序存储中程序进行循环比对，在检查到FLASH与程序存储区中程序内容不一致时，操作系统软件自动将程序存储区中内容写到FLASH存储器对应的地址上，完成FLASH程序的在轨修改；修改完成后关闭FLASH刷新功能。

实施例1：

上述方法重点在于使用正常工作通道，在不增加任何硬件情况下，在不影响系统和产品正常运行情况下，通过协议握手实现了星上产品软件的修改。以下以变速控制力矩陀螺软件为例对本发明进行具体说明。

变速控制力矩陀螺软件包含操作系统软件和应用层软件，操作系统系统软件由引导区部分和非引导区部分组成，软件均固化在FLASH中。加电后从FLASH的操作系统软件引导区部分开始运行，操作系统软件引导区部分将其非引导区部分与应用层软件加载到SRAM中运行。FLASH和SRAM存储区分配如下图所示。FLASH中程序均进行三份存储，每份分三区存储，每区128KB大小，三取二后加载到SRAM中运行。该变速力矩陀螺产品SRAM支持访问修改。

本发明所提供的星上产品软件在轨程序修改的原理为：在不影响卫星正常运行前提下，通过将代码注入空白区，修改正在运行程序中被调用函数的调用地址，使其被注入代码代替，从而实现对在轨变速控制力矩陀螺软件进行修改维护。该方法包括硬件设计支持软件烧写修改、将注入代码整体暂存在姿控计算机内存中、姿控计算机将注入软件代码分包组包发送给被修改产品并存放在指定地址、启动注入程序运行等环节和步骤。

以将原有的变速控制力矩陀螺源程序的func1()进行整体替换，替换成func2()为例，程序修改过程包括以下步骤：

(1)、首先需要生成两段注入代码信息，第一注入代码信息包括func2()和注入区首地址，本实施例中，注入区首地址为0xCCCCCCCC，第二注入代码信息包括跳转函数执行代码和待修改代码所在的存储区域首地址(即:原来func1()对应的程序存储区的首地址)。跳转函数执行代码的目的是让程序执行到func1()时，跳转到func2()处，执行func2()。

跳转函数执行代码的形式与控制力矩陀螺产品处理器有关，例如，在本发明的某一具体的实施例中，控制力矩陀螺采用SPARC处理器，跳转函数执行代码调用CALL跳转指令，具体的指令代码为：

因为函数调用跳转地址是相对地址(偏移地址)，所以必须在注入时修改原程序中call语句中偏移地址相关的二进制代码，使其正确跳转到注入代替的函数func2()。对于SPARC处理器，相对跳转地址计算方法为：

Displacement＝(func2调用首地址－func1调用首地址)/4；

以图2和图3为例，func2调用首地址为0xCCCCCCCC，func1调用首地址为0xAAAAAAAA。

(2)、当需要对控制力矩陀螺进行软件修改时，地面通过星务计算机向姿控计算机发送上注控制指令，启动变速控制力矩陀螺在轨程序修改，上注控制指令包括第一注入代码信息和第二注入代码信息的源首地址、注入总长度、目标首地址；

(3)、姿控计算机按照第一注入代码信息和第二注入代码信息的首地址、注入总长度、目标首地址等信息，在通讯空闲时间，自动分包组包发送给星上控制力矩陀螺；

例如：若控制力矩陀螺应用软件接收到的本包数据中确定的目标首地址地址为：0x40020020，注入总长度为：20字节。

(4)、星上控制力矩陀螺收到了第一注入代码信息和第二注入代码信息之后，接收数据校验通过后，分别将func2()所对应的二进制码和跳转函数执行代码存储至指定内存中，并返回包数量等接收成功信息；

通过上述修改程序代码的方式，变速控制力矩陀螺SRAM中原有部分程序代码被注入内容代替运行；

如果还需要更新FLASH中程序内容，则可以通过指令打开变速控制力矩陀螺FLASH刷新功能，进行FLASH程序修改，将SRAM中被修改的程序代码自动写入FLASH对应的地址。在更新完毕后，关闭FLASH刷新功能。

经过验证可知，上述方法是一种可以使用变速控制力矩陀螺进行正常姿态控制，保证在轨姿态稳定控制情况下，同时对变速控制力矩陀螺星载软件进行修改的方法，其基于现有控制计算机与变速控制力矩陀螺的RS422异步串行通讯通道，进行通讯指令传输，控制计算机将需要注入修改的代码进行分包逐包发送(顺序发送，直到发送完为止)，变速控制力矩陀螺应用软件在接收到注入代码后，进行校验，校验通过后，按照要求进行自身程序的修改，并最终生效，从而完成程序修改，此方法在单机、分系统和整星条件下均完成了验证，提高了程序的在轨可维护性和操作性，在业务连续的同时实现了软件修改维护操作，大大降低了软件潜在缺陷带来的运行风险。

本说明书中未进行详细描述部分属于本领域技术人员公知常识。

Claims (8)

1.一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于所述星上产品执行下列步骤：

(1)、获取包括新的产品功能执行代码和注入区首地址的第一注入代码信息，并从中提取新的产品功能执行代码存入注入区；

(2)、获取包括跳转至注入区首地址的跳转函数执行代码和待修改代码所在的存储区域首地址的第二注入代码信息，并从中提取跳转函数执行代码，存储至待修改代码所在的存储区域，将星上产品中正在运行的程序中待修改代码替换为跳转函数执行代码，跳转函数执行代码使程序指针运行至待修改代码处时，跳转到注入区首地址，调用新的产品功能执行代码，并执行新的产品功能执行代码。

2.根据权利要求1所述的一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于所述步骤(1)第一注入代码信息和步骤(2)的第二注入代码信息均为待注入程序代码，待注入程序代码由地面星务计算机分包发送至星上姿控计算机，再由星上姿控计算机分包发送给星上产品，具体过程为：

(a)、星务计算机将待注入程序代码进行分包组包，通过星务计算机与姿控计算机通讯通道发送至姿控计算机；

(b)、姿控计算机收到待注入程序代码之后，将待注入程序代码存入预设的内存中，存储区域的首地址定义为源首地址；

(c)、星务计算机向姿控计算机发送上注控制指令，设置姿控计算机注入变量；所述注入变量包括源首地址、注入总长度、目标首地址；目标首地址为待修改软件的星上产品的空闲存储区域首地址；

(d)、姿控计算机根据源首地址、注入总长度和目标首地址，将待注入程序代码和目标首地址分包组包，并在每个控制周期的空闲逐包发送给待修改软件的星上产品；

(e)、星上产品既接收应答正常业务通讯内容，又接收姿控计算机对其发送的待注入程序代码，并将待注入程序代码存入到目标首地址对应的存储空间中。

3.根据权利要求1所述的一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于所述新的产品功能执行代码通过下列方法得到：

在星上产品源程序基础上进行软件源代码修改，通过编译，生成执行码，将其中新的产品功能对应的内容取出，得到新的产品功能执行代码。

4.根据权利要求1所述的一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于所述星上产品软件包括程序存储区使能或禁用状态，默认为程序存储区禁用状态，在执行步骤(1)之前，通过外部指令控制星上产品软件处于程序存储区使能状态，在执行完步骤(1)之后，再次外部指令控制星上产品软件处于程序存储区禁用状态。

5.根据权利要求1所述的一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于星上产品软件收到第一注入代码信息或者第二注入代码信息之后，对第一注入代码信息和第二注入代码信息进行校验，校验通过后，将内容写入接收到的目标首地址，并反馈接收成功信息至姿控计算机，否则，反馈校验错误信息至姿控计算机。

6.根据权利要求1所述的一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于所述星上产品软件包含操作系统软件和应用层软件，全部软件固化在FLASH中，加电后FLASH中的操作系统软件引导区部分运行，将操作系统软件非引导区部分与应用层软件加载到程序存储区中运行。

7.根据权利要求6所述的一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于操作系统软件具有FLASH存储器数据刷新、比对修复功能，具体为：

首先通过指令打开FLASH刷新修复功能；将FLASH中存放的程序与程序存储中程序进行循环比对，在检查到FLASH与程序存储区中程序内容不一致时，操作系统软件自动将程序存储区中内容写到FLASH存储器对应的地址上，完成FLASH程序的在轨修改；修改完成后关闭FLASH刷新功能。

8.根据权利要求4所述的一种不影响正常运行的在轨修改星上产品软件的方法，其特征在于所述程序存储区为SRAM。

Images