CN110569051A - 一种支持预启动的飞行程序在轨维护与验证方法 - Google Patents

Abstract

本发明公开了一种支持预启动的飞行程序在轨维护与验证方法。使用本发明能够有效实现飞行应用程序的在轨维护，则更新后软件不受断电的影响。本发明在航天器的硬件存储设备中设置启动参数区、固化版本区和更新版本区；启动引导软件从启动参数区中提取数据完成飞行应用软件的运行；初始时，启动参数区采用固化版本区中的数据，当需要进行软件在轨维护时，启动参数区提取更新版本区中的数据，若飞行应用软件成功启动运行，则将启动参数区中数据更新为更新版本区的数据；否则，启动参数区仍采用固化版本区中的数据。本发明方法实现了在不更改启动参数区的情况下，对更新飞行应用软件的功能验证，保证了在轨维护的可靠性和安全性。

Description

一种支持预启动的飞行程序在轨维护与验证方法

技术领域

本发明涉及航天器软件在轨维护技术领域，具体涉及一种支持预启动的飞行程序在轨维护与验证方法。

背景技术

航天器在轨运行期间不具备及时维修和软件注入能力，因此航天器计算机系统在软件设计时需考虑在轨故障检测和软件在轨维护等问题。卫星、飞船等航天器上的计算机的数量很多，受限于在轨飞行运行缺乏维修能力，因此将各种航天器星载计算机实现具备在轨可更换软件，从而解决航天器软件缺陷修复和在轨软件功能更改的问题，从而使航天器电子系统的产品质量有更大的保证和在轨服务能力有更大提升。当前的软件维护方法是将更换软件由地面直接注入到内存中，航天器启动时直接从内存中获取软件更新数据，这样做的好处是注入速度快、运行速度快、程序简单，但是，若航天器意外断电，则软件复位成原始版本，需要地面重新注入才能实现软件的更新。

发明内容

有鉴于此，本发明提供了一种支持预启动的飞行程序在轨维护与验证方法，能够有效实现飞行应用程序的在轨维护，则更新后软件不受断电的影响。

本发明的支持预启动的飞行程序在轨维护与验证方法，在航天器的硬件存储设备中设置启动参数区、固化版本区和更新版本区；飞行应用软件的固化版本和更新版本分别存储在固化版本区和更新版本区中；

航天器的启动引导软件从启动参数区中提取数据完成飞行应用软件的运行；初始时，启动参数区采用固化版本区中的固化版本数据，当需要进行软件在轨维护时，启动参数区提取更新版本区中的更新版本数据，若飞行应用软件按着更新版本数据成功启动运行，则启动参数区中数据配置为更新版本数据；否则，启动参数区仍采用固化版本数据。

较优的，启动参数区提取更新版本区的数据后，启动引导软件先对数据进行完整性校验，完整性校验通过后再依据数据完成飞行应用软件的运行。

较优的，在内存预留区域设置应用程序预启动标识，通过设备狗咬复位方式使设备从启动引导软件重新运行，启动引导软件识别到预启动标识，对采用更新版本数据的飞行应用软件进行加载运行，保证在不改变启动引导参数的情况下对注入飞行应用软件进行功能验证，当采用更新版本数据的飞行应用软件验证功能完全正常后，将启动引导参数更改为更新版本；若更新版本数据的飞行应用软件验证不通过，则不改变启动引导参数。

较优的，通过星地链路实现对飞行应用软件更新版本的分包传输、数据包完整性校验和错漏包补发，然后将飞行应用软件更新版本写入硬件存储设备的更新版本区中，通过在内存中设置预启动标准，通过看门狗软复位方式使启动引导软件采用更新版本数据的飞行应用软件进行加载运行，在不改变启动引导参数的情况下对采用更新版本的飞行应用软件进行功能测试和验证，验证正确后由地面发送指令将启动引导参数更改为更新版本参数；若验证不通过，则不改变启动引导参数。

较优的，所述启动引导软件存储在航天器中的宇航级抗辐射PROM中；所述硬件存储设备为FLASH或EEPROM。

较优的，所述飞行应用软件的固化版本和更新版本均进行多冗余备份存储。

有益效果：

本发明在轨维护过程中采用预启动的方法实现了在不更改启动参数区的情况下，对更新飞行应用软件的功能验证，如果在轨更新失败或者更新后的备份软件功能不正常，可实现计算机软件恢复到固化版本区运行，实现计算机的功能恢复，保证了在轨维护的可靠性和安全性。软件成功维护后，将更新后的软件数据写入启动参数区中，确保航天器断电重启后直接运行更新后的软件参数，软件新功能不受航天器意外断电的影响。

在启动引导软件采用抗辐射PROM保证其启动引导可靠性，飞行应用软件采用了多冗余备份容错校验存储方式，启动引导软件在加载应用软件运行时，如果多冗余备份容错校验存储的应用软件出现某些单粒子翻转，可直接通过多冗余校验纠正这些错误，不影响软件的加载运行。对多冗余备份容错存储的应用软件进行容错校验后，搬移到内存中运行。如果加载运行的应用软件为更新版本区出现校验失败情况，启动引导软件可直接恢复到固化版本区应用软件运行。

在轨维护采用星地维护方式，卫星电子系统功能验证均通过星地联试方式方式进行，通过星地联试可对更新版本应用软件功能进行固有功能的验证，同时对更改和添加的新功能进行测试和验证，通过星地遥测可直观的看到软件功能的正确性，确保应用软件为正确且功能完备时，可更改启动引导参数为上电运行更新版本应用软件。

本发明采用抗辐射的PROM存储容错启动引导软件，采用大容量的商用FLASH或EEPROM存储飞行应用程序，并进行多备份冗余存储，确保了在轨维护的可靠性和安全性。

本发明可应用于卫星、飞船和空间站等不同航天器的软件维护更新。

附图说明

图1为本发明的支持预启动的飞行程序在轨维护流程。

图2为飞行程序在轨维护软件存储和作用关系图。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

本发明提供了一种支持预启动的飞行程序在轨维护与验证方法。

航天计算机运行软件配置项分为启动引导软件和飞行应用软件，由启动引导软件引导飞行应用软件完成软件启动。当前，航天计算机采用抗辐射的程序存储器PROM作为启动引导程序存储器，但该存储器容量较小且无法实现在线编程。飞行应用软件通常较大，常采用大容量的Flash或EEPROM作为程序存储器进行存储，且进行多冗余备份存储，保证存储安全性。并且，目前航天计算机软件通常采用操作系统开发模式，飞行程序分成操作系统和应用程序两部分。本发明的飞行软件在轨维护方法，在轨维护的操作对象为飞行应用软件，适用于采用实时操作系统架构或不采用实时操作系统架构的飞行应用软件；当采用实时操作系统架构时，飞行应用软件包含操作系统软件和应用软件，在这种情况下本发明将操作系统和应用软件统称为飞行应用软件；当飞行应用软件不采用实时操作系统架构时，飞行软件只包括启动引导软件和飞行应用软件两部分。本发明中，启动引导软件支持注入软件的在轨预启动功能，飞行应用软件支持在轨维护的上注软件库的数据包传输和存储区维护，上注程序包采用分包传输的过程。本发明能够解决飞行应用软件在轨维护后，更新失败或更新软功能验证件不正常时，可实现设备功能恢复和容错启动问题，容错启动是通过将飞行应用软件进行多冗余备份容错校验存储方式实现，启动引导软件在加载应用软件运行时，如果多冗余备份容错校验存储的应用软件出现某些单粒子翻转，可直接通过多冗余校验纠正这些错误，不影响软件的加载运行。对多冗余备份容错存储的应用软件进行容错校验后，搬移到内存中运行。提高在轨维护的安全性和可靠性，并且软件成功更新后不惧航天器意外断电，航天器断电重启后，启动引导软件依旧采用软件新版本数据完成飞行应用软件启动，实现软件的功能更改。

本发明方法做法如下：采用宇航级的抗辐射、高可靠PROM存储启动引导软件，保证航天计算机应用软件启动引导可靠性；采用大容量的硬件存储设备，如FLASH或EEPROM等，存储操作飞行应用软件，飞行应用软件实现航天计算机所要完成的应用软件软件功能，同时实现在轨维护的通信协议、命令解析和存储区擦写维护功能，具备在轨注入和维护能力。

本发明对FLASH或EEPROM进行分区划分，在FLASH或EEPROM中设置启动参数区、固化版本区和更新版本区；其中固化版本区为飞行应用软件固化版本存储区，固化版本区中的软件固化程序在航天器发射前固化，具备飞行应用软件的全部功能和在轨维护功能，并经过完备测试，发射后不可被改写。更新版本区为飞行应用软件更新版本的上注区，用于存储更新后的飞行应用软件。对固化版本区和更新版本区中的数据均进行多冗余备份存储。

航天器的启动引导软件根据启动参数区中的数据完成飞行应用软件的启动运行。初始时，启动参数区中数据默认指向固化版本区。当需要进行飞行应用软件在轨维护更新时，本发明采用预启动的软件启动方法，即：启动参数区首先调取更新版本区的数据，若飞行应用软件在该数据下成功运行，则完成预启动，启动参数区中数据更新为更新版本区的数据，飞行应用软件采用更新版本区的数据执行任务；否则，预启动失败，启动参数区数据仍采用固化版本区的数据，飞行应用软件采用固化版本区的数据执行任务。

本发明在轨维护通过星地联试完成更新版本的飞行应用软件的在轨更新，本发明通过预启动方式对更新飞行应用软件进行功能验证并确保功能正确后，更改存储于FLASH或EEPROM的软件启动参数为更新版本应用软件运行，即设置航天计算机系统上电运行应用软件为更新版本区应用软件，从而在轨维护的通信、校验、存储和验证的各阶段出现故障后，航天计算机系统功能可根据启动参数恢复到固化版本应用软件运行。且航天器断电重启后，因为在轨维护将更新应用软件写入到FLASH或EEPROM的，仍可以采用更新后的应用软件进行预启动并执行任务。

具体的，如图1和图2所示，航天器发射前，设备只固化固化版本飞行应用软件映像，作为默认固化版本程序工作，更新时选择更新版本区作为更新对象，系统设计只能更新备份程序存储区，同时保留固化版本区的软件映像，倘若备份程序更新失败或者更新成功但运行不正常，则计算机可重新上电后从固化版本区(发射前固化软件)引导，恢复到固化版本软件运行，保证计算机功能正常。如果在在轨维护过程中已将校验正确的应用软件存储到FLASH或EEPROM存储器中，同时将启动引导参数更改为由更新版本区应用软件运行，航天计算机将在断电(正常断电或异常断电)后，均从更新版本区应用软件加载运行。

应用软件数据包通过地面通过星地数据传输链路上传到航天器上，应用软件数据包上注流程如下：上注飞行应用软件映像由地面操作人员通过星地数据传输链路将上注飞行应用软件(内部包含软件版本号、和软件创建日期等描述信息)传送至飞行系核心处理单元，由核心处理单元通过航天器内部总线分发至需要各分系统航天计算机，如果更新软件映像为分系统计算机飞行应用软件，则由分系统计算机飞行应用软件进行缓存，如果更新对象为分系统管控计算机应用软件，则根据设备对象由核心处理单元通过航天器内部总线转发至目标设备，由目标设备应用软件进行缓存。

当在轨维护的目标设备完成应用软件数据包接收后，进行数据包序列检查、数据包校验，如果数据包未发生错漏包情况，则应用软件映像的全部数据包数据进行校验。目标设备飞行软件可将数据包错漏情况形成遥测信息反馈地面，由地面操作人员对可能存在的错漏包进行补发，在数据完整后，由地面发送程序包校验指令，校验飞行软件映像数据完整性和有效性，并有飞行应用软件形成完整性遥测反馈地面，由地面判断数据完整有效后进行后续维护操作。当接收应用软件数据包完整正确后，由地面发送“写入注入软件”指令，由飞行应用软件擦除更新程序区的EEPROM或Flash，擦除完成后就应用软件映像写入到对应的更新程序区存储器，写入完成后对缓存的应用软件映像和写入更新版本区的应用软件映像进行对比校验，并形成“软件写入完成”遥测下传地面。当应用软件映像写入正确后，向后发送“从更新软件预启动”指令和“软复位”指令(两条指令间隔几秒钟时间以上)，当应用软件接收到“从更新软件预启动”指令后，飞行应用软件在内存SRAM高地址区域预留几个位置用于设置预识别启动标识，用于通知软复位后的启动引导软件这次软件启动为尝试性启动更新的飞行应用软件，由启动引导软件根据预启动标识尝试从更新版本区软件进行预启动。计算机在执行“软复位”指令后，进行软复位，等待设备看门狗狗咬，设备发生软复位后启动引导软件首先读取SRAM中的识别启动类型标识，尝试从新注入飞行应用软件启动。

此操作是在不改变使用固化版本应用软件的配置情况下，尝试从更新后的应用软件启动，待新应用软件启动完成后，通过星地联试方式对飞行应用软件进行功能测试，确认更新后的飞行应用软件是否满足功能要求，如果更新后的飞行应用软件正确引导并功能正常，则由地面发送指令，将使用计算机应用软件启动配置信息写入到EEPROM或Flash中，应用软件启动配置信息存储在EEPROM或Flash中启动参数区，启动参数区存储飞行应用软件固化版本和更新版本软件信息，存储当前使用固化版本区或更新版本区进行启动的配置信息，计算机在发射前只保留固化版本配置信息，并使用固化版本启动。在完成在轨维护飞行软件并验证软件功能完备且正常后，由地面发送“从更新版本软件启动”，由飞行应用软件更改启动参数区，存储由更新版本区应用软件作为默认启动软件的信息，下次计算机上电后直接引导更新版本区应用软件。如果执行“从更新软件预启动”指令后，启动更新版本的飞行应用软件出现无法正常启动、或者启动功能不正常的情况，则由地面对计算机进行断电后加电，则计算机会根据启动参数存储区存储的从固化版本启动的配置信息，引导固化版本的飞行应用软件，从而恢复到在轨维护前的固化版本软件运行，从而保证计算机功能恢复，提高了可靠性和安全性。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种支持预启动的飞行程序在轨维护与验证方法，其特征在于，在航天器的硬件存储设备中设置启动参数区、固化版本区和更新版本区；飞行应用软件的固化版本和更新版本分别存储在固化版本区和更新版本区中；

航天器的启动引导软件从启动参数区中提取数据完成飞行应用软件的运行；初始时，启动参数区采用固化版本区中的固化版本数据，当需要进行软件在轨维护时，启动参数区提取更新版本区中的更新版本数据，若飞行应用软件按着更新版本数据成功启动运行，则启动参数区中数据配置为更新版本数据；否则，启动参数区仍采用固化版本数据。

2.如权利要求1所述的支持预启动的飞行程序在轨维护与验证方法，其特征在于，启动参数区提取更新版本区的数据后，启动引导软件先对数据进行完整性校验，完整性校验通过后再依据数据完成飞行应用软件的运行。

3.如权利要求2所述的支持预启动的飞行程序在轨维护与验证方法，其特征在于，在内存预留区域设置应用程序预启动标识，通过设备狗咬复位方式使设备从启动引导软件重新运行，启动引导软件识别到预启动标识，对采用更新版本数据的飞行应用软件进行加载运行，保证在不改变启动引导参数的情况下对注入飞行应用软件进行功能验证，当采用更新版本数据的飞行应用软件验证功能完全正常后，将启动引导参数更改为更新版本；若更新版本数据的飞行应用软件验证不通过，则不改变启动引导参数。

4.如权利要求1～3任意一项所述的支持预启动的飞行程序在轨维护与验证方法，其特征在于，通过星地链路实现对飞行应用软件更新版本的分包传输、数据包完整性校验和错漏包补发，然后将飞行应用软件更新版本写入硬件存储设备的更新版本区中，通过在内存中设置预启动标准，通过看门狗软复位方式使启动引导软件采用更新版本数据的飞行应用软件进行加载运行，在不改变启动引导参数的情况下对采用更新版本的飞行应用软件进行功能测试和验证，验证正确后由地面发送指令将启动引导参数更改为更新版本参数；若验证不通过，则不改变启动引导参数。

5.如权利要求1所述的支持预启动的飞行程序在轨维护与验证方法，其特征在于，所述启动引导软件存储在航天器中的宇航级抗辐射PROM中；所述硬件存储设备为FLASH或EEPROM。

6.如权利要求1所述的支持预启动的飞行程序在轨维护与验证方法，其特征在于，所述飞行应用软件的固化版本和更新版本均进行多冗余备份存储。