CN111176890A

CN111176890A - 一种星载软件数据存储及异常恢复方法

Info

Publication number: CN111176890A
Application number: CN201911294412.XA
Authority: CN
Inventors: 张国柱; 董晋芳; 武静; 艾奇; 李辉雄
Original assignee: Shanghai Aerospace Control Technology Institute
Current assignee: Shanghai Aerospace Control Technology Institute
Priority date: 2019-12-16
Filing date: 2019-12-16
Publication date: 2020-05-19
Anticipated expiration: 2039-12-16
Also published as: CN111176890B

Abstract

本发明公开了一种星载软件数据存储及异常恢复方法，在EEPROM中软件存储采用交叉三模冗余方式，设置交叉的主备份软件存储空间，均为三模冗余方式，实现了主备两种版本软件的同时在轨存储管理；软件运行过程中的第一数据通过热冗余双机互备、三模冗余存储两种备份方式，计算机异常复位初始化时按照先获取有权机关键数据，获取失败时再通过本机冗余存储数据恢复，提高了恢复数据的时效性，且本发明通过错误地址数据重搬场、三取二、空闲内存区取任意值等方式，实现了多数SRAM空间的多比特单粒子翻转纠错，提高了抗单粒子翻转的能力，可广泛应用于各类卫星的星载计算机软件。

Description

一种星载软件数据存储及异常恢复方法

技术领域

本发明涉及星载计算机软件领域，具体涉及一种星载软件数据存储及异常恢复方法。

背景技术

星载计算机及软件运行于空间恶劣环境中，半导体器件收到辐照、高能粒子打击，会出现单粒子闩锁、单粒子翻转等情况，导致软件运行中出现指令、数据错误等。为提高软件对空间环境的适应性，往往采用软件、数据多模冗余存储，通常星载软件大多采用一个版本三模存储方式，该方式对于提高抗翻转能力具有较好效果，但是对于软件自身缺陷只能通过在轨编程除错。对于多模冗余存储软件，其意义在于提高一些重要数据的抗翻转能力，同时提供计算机异常复位时的状态初始化，但是对于后者往往数据的时效性不够，在冗余数据刷新过程中若出现计算机异常复位，则可能导致新旧数据拼接的情况；星载计算机所采用的CPU大多具有基于汉明校验的数据检错、纠错机制，其特点为对于单比特错误可检错并纠错，对于多比特错误只能检错，不能纠错。

发明内容

本发明的目的是提供主备版本软件的同时在轨存储管理机制，实现了采用热冗余单机间的数据备份和本机冗余存储两种数据保存恢复方式，并提高了内存中抗多比特单粒子翻转的能力。

为了达到上述目的，本发明提供了一种星载软件数据存储及异常恢复方法，该方法包含以下过程：

S1，将计算机中软件数据的存储空间划分为交叉的三模冗余空间，对三份主版本软件、三份备版本软件进行主备两种版本的相互交叉存储；

S2，对软件运行过程中的第一数据进行备份储存；

其中，备份存储有两种方式，第一备份存储方式通过热冗余备份运行的双机间数据通信互备存储第一数据，第二备份存储方式通过本计算机内存中的三模冗余空间备份存储；

S3，软件运行过程中，若SRAM内存出现多比特单粒子翻转时，根据错误地址进行处理，所述错误地址包含：软件搬场数据区、三模冗余数据区、空闲内存区、不可修复区；

若错误地址为搬场数据区，通过重新搬场实现对错误地址的修复；

若错误地址为三模冗余数据区时，通过3取2方式对错误地址进行修复；

若错误地址为内存中的空闲内存区时，通过对该错误地址写入任意值进行修复；

若错误地址为不可修复区，则不进行修复，进行复位处理。

较佳地，所述S1中采用交叉的三模冗余方式对主备两种版本软件进行在轨存储管理，具体为：

计算机初始上电或预设时间内异常复位次数少于3次，进行主版本软件搬场，主版本软件搬场顺序为主版本软件3取2校验搬场，如失败则第一份主版本软件校验搬场，如失败则第二份主版本软件校验搬场，如失败则第三份主版本软件校验搬场，如失败则判断为主版本软件校验搬场失败；

主版本软件校验搬场失败或预设时间内计算机异常复位达到3次，进行备版本软件搬场，备版本软件搬场顺序为备版本软件3取2校验搬场，如失败则第一份备版本软件校验搬场，如失败则第二份备版本软件校验搬场，如失败则第三份备版本软件校验搬场，如失败则判断为备版本软件校验搬场失败；

主版本软件和备版本软件校验搬场均失败时，进行第一份主版本软件搬场，并且不进行校验；

在上述软件搬场过程中记录软件搬场模式、计算机复位运行方式。

较佳地，所述S2中，软件运行过程中的第一数据包含当前卫星的系统时间、姿态数据、轨道数据、故障状态、关键任务状态。

较佳地，所述S2中，在软件运行过程中，第一数据的备份过程包含如下步骤：

软件运行每周期结束时，依次对三模冗余空间进行第一数据及该第一数据的crc校验值的更新；

在完成更新后，若本计算机为有权机，则通过3取2方式获取本计算机的三模冗余空间内的第一数据及该第一数据的crc校验值，并发送至无权机。

较佳地，所述S2中，在软件运行过程中，若第一数据的更新过程发生异常，需对第一数据进行恢复，具体恢复过程包含以下步骤：

软件运行初始化时，若计算机为初始上电，三模冗余空间初始化为0；

若计算机为异常复位且其为无权机，第一数据首先通过双机间数据通信互备进行恢复；若恢复失败，则再通过本计算机的三模冗余数据区进行恢复；

若计算机为异常复位且其为有权机，第一数据直接通过本计算机的三模冗余数据区恢复；若恢复失败，则按初始上电处理，对三模冗余空间初始化为0。

较佳地，所述第一数据的恢复是否成功，通过第一数据的crc校验值进行校验验证。

较佳地，所述S3中，当错误地址为搬场数据区时，根据软件搬场模式查找到EEPROM中的软件存储地址，通过对该地址数据的重新搬场实现对错误地址的修复；

较佳地，所述S3中，当错误地址为搬场数据区时，且该搬场数据区已进行过在轨编程和/或数据源已被破坏，出现正在运行的软件与数据源不一致的情况时，不进行修复，进行复位处理。

较佳地，所述S3中，不可修复区包含全局变量区、堆、栈、在轨编程区。

本发明取得如下有益效果：

软件存储采用交叉的三模冗余方式，设置主备份软件交叉存储和相应的搬场机制，实现了主备两种版本软件的同时在轨存储管理，不再采用传统的单版本软件三模存储，进一步提高了在轨软件搬场成功率，确保软件可靠搬场。

软件运行中的重要数据除了采用三模冗余备份方式，还通过同步运行的热冗余单机间数据交互实现备份。计算机异常复位初始化时，优先通过互备单机获取最新的第一数据，提高了数据的时效性，获取失败时再通过本机的冗余备份空间恢复。

针对基于汉明校验的单粒子翻转检错、纠错机制不能实现多比特错误修复的不足，通过错误地址数据重搬场、三取二、空闲内存区写任意值等方式，实现了多数SRAM内存空间的多比特单粒子翻转纠错，提高了抗单粒子翻转的能力。

附图说明

图1为本发明的一种星载软件数据存储及异常恢复方法中的软件存储结构示意图。

图2为本发明的一种星载软件数据存储及异常恢复方法中的SRAM内存分配示意图。

图3为本发明的一种星载软件数据存储及异常恢复方法中的数据更新处理示意图。

图4为本发明的一种星载软件数据存储及异常恢复方法中的数据初始化示意图。

图5为本发明的一种星载软件数据存储及异常恢复方法中的EEPROM自检错示意图。

图6为本发明的一种星载软件数据存储及异常恢复方法中的多比特单粒子翻转异常处理示意图。

图7为本发明的一种星载软件数据存储及异常恢复方法的步骤示意图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明中，EEPROM(Electrically Erasable Programmable Read-OnlyMemory)是用户可更改的带电可擦可编程，掉电后数据不丢失的只读存储芯片。

在本发明中，SRAM(Static Random-Access Memory，静态随机存取存储器)内存空间为软件运行空间，一方面EEPROM中存储的软件搬场至SRAM中运行，另一方面SRAM提供软件运行时必须的堆栈空间等。

实施例

本发明提供一种星载软件数据存储及异常恢复方法，如图7所示，该方法包含以下过程：

S1，将计算机中软件数据的存储空间划分为交叉的三模冗余空间，对三份主版本软件、三份备版本软件进行主备两种版本的相互交叉存储；，软件搬场按照主份版本软件优先搬场，三份主版本软件均故障时，再搬备版本软件；

具体地，如图1所示，本实施例中所选EEPROM共3MB，起始地址0x10000000，主备份版本软件每份分配512KB，按照交叉存储方式，主份版本软件存储地址为：0x10000000、0x10100000、0x10200000，备份版本软件存储地址为：0x10080000、0x10180000、0x10280000；

主备份版本的软件搬场过程，具体包含以下步骤：

1)计算机初始上电或预设时间内异常复位次数少于3次，进行主版本软件搬场，主版本软件搬场顺序为主版本软件3取2校验搬场，如失败则第一份主版本软件校验搬场，如失败则第二份主版本软件校验搬场，如失败则第三份主版本软件校验搬场，如失败则判断为主版本软件校验搬场失败；

2)主版本软件校验搬场失败或预设时间内计算机异常复位达到3次，进行备版本软件搬场，备版本软件搬场顺序为备版本软件3取2校验搬场，如失败则第一份备版本软件校验搬场，如失败则第二份备版本软件校验搬场，如失败则第三份备版本软件校验搬场，如失败则判断为备版本软件校验搬场失败；

3)主版本软件和备版本软件校验搬场均失败时，进行第一份主版本软件搬场，并且不进行校验；

4)在上述软件搬场过程中记录软件搬场模式、计算机复位运行方式。另一方面，图5所示为EEPROM中的存储软件自检过程，用于检测该份软件是否完整有效。主备软件冗余存储中，包含该份代码的32位crc(循环冗余)校验值，软件搬场过程中可对搬场结果进行校验，若搬场结果校验值与存储的校验值一致则认为搬场成功，否则认为本次搬场失败，失败时则进行下一次搬场，搬场过程及顺序见主备份版本的软件搬场过程1)～4)。

S2，对软件运行过程中的第一数据进行备份储存；

其中，备份存储有俩种方式，第一备份存储方式通过热冗余备份运行的双机间数据通信互备存储第一数据，第二备份存储方式通过本机内存中的三模冗余存储空间备份存储。

所述第一数据记录当前卫星的系统时间、姿态数据、轨道数据、各种故障状态等信息，用于计算机异常复位时的状态初始化。

如图2所示，本实施例所选SRAM(提供代码运行空间、堆栈空间及其他数据存储区)内存共4MB，起始地址0x40000000，将内存划分为四个区域：软件搬场数据区、三模冗余数据区、空闲内存区、不可修复区。其中前512KB分配给软件搬场数据区、最后512KB分配给三模冗余数据区，地址0x401B2000～0x4037FFFF为空闲内存区，其余空间均为不可修复区；不可修复区包括全局变量区、堆、栈、在轨编程区。如图3所示，第一数据更新过程(即第一数据的备份过程)，除了备份软件运行中的第一数据(如系统时间、姿态信息、轨道信息、故障信息、关键任务状态等)，同时备份了对第一数据的32位crc校验值。软件运行每周期结束时，依次对三份冗余存储空间进行第一数据及校验信息(32位crc校验值)的更新；

若本机为有权机，则本机按照3取2方式获得三模冗余数据区的第一数据及第一数据的校验信息(32位crc校验值)同时有权机通过冗余单机的内部通道向无权机发送本机的第一数据及校验信息；

若本机为无权机，则直接结束更新。

在上述备份更新过程中，若在第一数据出现计算机异常复位，则该数据可能会出现更新不完整，对应的三份冗余存储数据，记为第二数据，可能出现的极端情况是：第1份已更新完整，第2份更新不完整，第3份未更新；或者有权机尚未发送新数据或发送过程中出现异常复位。

计算机初始上电或异常复位初始化时，第一数据的恢复过程如图4所示，具体包含以下步骤：

1)软件运行初始化时，若计算机为初始上电，由于没有有效的第一数据源，因此不进行数据恢复，三模冗余数据区初始化为0；

2)若计算机为异常复位并且本机为无权机，第一数据首先通过双机通信互备进行恢复，从而提高数据的实效性(因有权机数据更能真实反映当前的软件运行状态)；若恢复失败，再通过本机三模冗余数据区恢复；

3)若计算机为异常复位并且本机为有权机，第一数据直接通过本机三模冗余数据区恢复，从而提高数据的真实性；若第一数据恢复失败时，按初始上电处理，对三模冗余数据区初始化为0。有权机中的第一数据不通过无权机恢复。

S3，软件运行过程中，若SRAM内存出现多比特单粒子翻转时，根据错误地址进行处理，所述错误地址划分为四个区域，软件搬场数据区、三模冗余数据区、空闲内存区、不可修复区；

若错误地址为内存中的三模冗余数据区时，通过3取2方式对错误地址进行修复；

若错误地址为内存中的空闲内存区时，通过对该错误地址写入任意值(比如0)进行修复；

若错误地址为不可修复区，则不进行修复，进行复位处理。

具体来说，如图6所示为多比特单粒子翻转修复过程，修复过程包含以下步骤：

1)若错误地址为搬场数据区(搬场数据区包含代码段、只读数据段、初始化数据段，该区域的代码和数据由EEPROM中的主备份冗余存储软件搬场而来)，且该区域未进行过在轨更新时(该区域未进行过在轨更新，即该区域软件与EEPROM中的软件存储区中的软件一致)，该区域地址错误时，可根据搬场模式确定软件数据源为主份版本软件还是备份版本软件，是3取2模式还是单份模式，再根据错误地址进一步精确地确定数据源在EEPROM中所处的位置，通过重新获取数据源即可对错误地址进行修复。但同时应考虑到，若已进行过在轨编程或数据源已被破坏则可能出现正在运行的软件与数据源不一致的情况，此时不可进行修复，应当进行复位处理；

2)若错误地址出现在三模冗余数据区，则可直接通过3取2方式对该错误地址进行修复；

3)由于空闲内存区属于未使用的内存区，该区域出现错误不影响软件功能，因此可直接对该区域写任意数值(如0)刷新错误地址的数据和汉明校验码；

4)不可修复区包括：全局变量区(包括已初始化的全局变量.data段和未初始化的全局变量bss段)、堆、栈、在轨编程区。该部分区域均不能通过以上方式进行修复，错误地址出现在该区域时应当进行复位处理。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。

Claims

1.一种星载软件数据存储及异常恢复方法，其特征在于，该方法包含以下过程：

S2，对软件运行过程中的第一数据进行备份储存；

若错误地址为不可修复区，则不进行修复，进行复位处理。

2.如权利要求1所述的星载软件数据存储及异常恢复方法，其特征在于，所述S1中采用交叉的三模冗余方式对主备两种版本软件进行在轨存储管理，具体为：

3.如权利要求1所述的星载软件数据存储及异常恢复方法，其特征在于，所述S2中，软件运行过程中的第一数据包含当前卫星的系统时间、姿态数据、轨道数据、故障状态、关键任务状态。

4.如权利要求3所述的星载软件数据存储及异常恢复方法，其特征在于，所述S2中，在软件运行过程中，第一数据的备份过程包含如下步骤：

5.如权利要求4所述的星载软件数据存储及异常恢复方法，其特征在于，所述S2中，在软件运行过程中，若第一数据的更新过程发生异常，需对第一数据进行恢复，具体恢复过程包含以下步骤：

6.如权利要求5所述的星载软件数据存储及异常恢复方法，其特征在于，所述第一数据的恢复是否成功，通过第一数据的crc校验值进行校验验证。

7.如权利要求2所述的星载软件数据存储及异常恢复方法，其特征在于，所述S3中，当错误地址为搬场数据区时，根据软件搬场模式查找到EEPROM中的软件存储地址，通过对该地址数据的重新搬场实现对错误地址的修复。

8.如权利要求7所述的星载软件数据存储及异常恢复方法，其特征在于，所述S3中，当错误地址为搬场数据区时，且该搬场数据区已进行过在轨编程和/或数据源已被破坏，出现正在运行的软件与数据源不一致的情况时，不进行修复，进行复位处理。

9.如权利要求1所述的星载软件数据存储及异常恢复方法，其特征在于，所述S3中，不可修复区包含全局变量区、堆、栈、在轨编程区。