CN111856991A - 对单粒子翻转具备五级防护的信号处理系统和处理方法 - Google Patents

Abstract

本发明涉及一种对单粒子翻转具备五级防护的信号处理系统和信号处理方法，其中，信号处理系统包括信号处理模块、刷新模块、两级监控模块以及维护模块；信号处理模块接收信号，采用三模冗余方法对信号进行三选二多数有效选举判定，将正确结果发出；对单粒子翻转进行检测，当发生单粒子翻转时，将单粒子翻转错误发送至刷新模块；刷新模块接收到单粒子翻转错误后，从维护模块读取信号处理模块的配置文件，将配置文件刷新到信号处理模块中，对单粒子翻转错误进行纠正。本发明解决了成本高、资源有限、性能低、功耗高的问题，有成本低、资源丰富、性能优良、灵活性高的优点。

Description

对单粒子翻转具备五级防护的信号处理系统和处理方法

技术领域

本发明属于卫星通信设备领域，涉及卫星通信设备中一种对单粒子效应具备五级防护能力的信号处理和存储系统。

背景技术

在卫星通信设备中包含了诸多处理器、基于RAM结构的可编程逻辑器件以及FLASH存储器等集成电路模块，这些处理模块、存储模块以及接口模块有机连接在一起就构成了一个具备特定功能的信号处理系统。在空间高辐照的工作环境下，系统中的存储器、缓存和寄存器等电路模块极易被高能粒子打翻，导致正在处理的数据或存储的数据发生翻转(某个bit为由0变为1或由1变为0)。为了抑制空间高辐照所引起的单粒子效应，传统航天产品的方法是采用不易发生单粒子翻转的抗辐照器件。抗辐照器件相较于普通器件的差别主要有两个方面：一是电路设计采用抗辐照加固设计，二是工艺结构采用抗辐照工艺单元。抗辐照加固设计相对于一般设计，单个功能模块需要的电路规模更大，抗辐照工艺单元相对于一般工艺面积更大，工艺性能落后。

从上述分析中可以看出，现有的抗单粒子翻转防护技术存在明显的不足之处：

(1)成本高。抗单粒子翻转性能主要建立在器件抗辐照性能的基础上，抗辐照器件比普通器件的价格高几千倍甚至更多，极大地增加了成本，不适于商业航天的应用。

(2)资源有限。抗辐照器件的加固设计使得器件中的RAM等资源的基础模块规模变大，因此单个器件中所能承载的资源数量变少，因而导致信号处理系统所能使用的资源较少。

(3)性能低，功耗高。抗辐照工艺相对于先进的工艺水平落后较多，因而导致系统中信号传输和处理的速度降低，整个系统的功耗变高。

发明内容

本发明要解决的技术问题是：克服现有技术的不足，本发明提供了一种对单粒子翻转具备五级防护的信号处理系统和信号处理方法，解决了成本高、资源有限、性能低、功耗高的问题，有成本低、资源丰富、性能优良、灵活性高的优点。

本发明所采用的技术方案是：一种对单粒子翻转具备五级防护的信号处理系统，包括信号处理模块、刷新模块、两级监控模块以及维护模块；

信号处理模块包括可编程逻辑器件、外围ASIC接口和与刷新模块通信的接口，可编程逻辑器件通过外围ASIC接口接收信号，采用三模冗余方法对信号进行三选二多数有效选举判定，将正确结果通过外围ASIC接口发出；在三模冗余加解密过程中，对单粒子翻转进行检测，当发生单粒子翻转时，将单粒子翻转错误通过与刷新模块通信的接口发送至刷新模块；

刷新模块包括处理器、信号处理模块的专用配置接口、两级监控模块的监控接口和复位接口、与维护模块通信的接口；处理器接收到单粒子翻转错误后，通过与维护模块通信的接口从维护模块读取信号处理模块的配置文件，通过信号处理模块的专用配置接口，将配置文件刷新到信号处理模块中，对单粒子翻转错误进行纠正；刷新模块的刷新功能采用多版本冗余和时间冗余实现，将刷新功能划分为多个功能单元，并通过两级监控模块的监控接口和复位接口对两级监控模块中看门狗的复位信号进行检测，根据是否检测到复位信号控制功能单元的执行；

两级监控模块包括两个看门狗，当第一级看门狗接收到喂狗信号时，第一级看门狗不发出复位信号，当第一级看门狗在设定的时间内未接受到喂狗信号时，第一级看门狗发出复位信号；当第二级看门狗接收到喂狗信号时，第二级看门狗不发出复位信号，当第二级看门狗在设定的时间内未接受到喂狗信号时，第二级看门狗发出复位信号；

维护模块包括反熔丝可编程逻辑器件、外围存储器以及与刷新模块的通信接口，当反熔丝可编程逻辑器件收到刷新模块的读取请求时，反熔丝可编程逻辑器件将外围存储器中的配置文件读取到反熔丝可编程逻辑器件中，并进行三模冗余处理，并将最终结果通过与刷新模块的通信接口发送至刷新模块；当未接受到刷新模块的读取请求时，将外围存储器中的配置文件读取到反熔丝可编程逻辑器件中，并进行三模冗余处理，并将最终结果重新写入外围存储器中，纠正外围存储器中的单粒子翻转错误。

刷新模块根据是否检测到复位信号控制功能单元的执行，具体为：

每执行完一个功能单元，则对两级监控模块中第一级看门狗进行喂狗，通过两级监控模块的监控接口对第一级看门狗的复位信号进行检测，当未接收到第一级看门狗的复位信号时，则继续执行下一个功能单元，当通过两级监控模块的复位接口接收到第一级看门狗的复位信号时，则跳回至上一个功能单元的结束位置；当刷新功能执行完一个循环时，对第二级看门狗进行喂狗，并通过两级监控模块的监控接口对第二级看门狗的复位信号进行检测，当未接收到第二级看门狗的复位信号时，则继续执行下一个功能单元，当通过两级监控模块的复位接口接收到第二级看门狗的复位信号时，则重启刷新模块。

外围存储器至少为3份。

刷新模块中选用嵌入式多核CPU或MCU。

使用所述对单粒子翻转具备五级防护的信号处理系统进行信号处理的方法，其特征在于，包括步骤如下：

步骤一、信号处理模块接收信号，采用三模冗余方法对信号进行三选二多数有效选举判定，将正确结果发出；在三模冗余加解密过程中，对单粒子翻转进行检测，当发生单粒子翻转时，将单粒子翻转错误发送至刷新模块；

步骤二、刷新模块接收到单粒子翻转错误后，从维护模块读取信号处理模块的配置文件，当维护模块收到刷新模块的读取请求时，维护模块将外围存储器中的配置文件读取到维护模块中，并进行三模冗余处理，并将最终结果发送至刷新模块，刷新模块将配置文件刷新到信号处理模块中，对单粒子翻转错误进行纠正；

当未接受到刷新模块的读取请求时，将外围存储器中的配置文件读取到维护模块中，并进行三模冗余处理，并将最终结果重新写入外围存储器中，纠正外围存储器中的单粒子翻转错误。

步骤二中，刷新模块的刷新功能采用多版本冗余和时间冗余实现，将刷新功能划分为多个功能单元，并对两级监控模块中看门狗的复位信号进行检测，根据是否检测到复位信号控制功能单元的执行，具体步骤如下：

每执行完一个功能单元，则对两级监控模块中第一级看门狗进行喂狗，当第一级看门狗接收到喂狗信号时，第一级看门狗不发出复位信号，刷新模块继续执行下一个功能单元；当第一级看门狗在设定的时间内未接受到喂狗信号时，第一级看门狗发出复位信号至刷新模块，刷新模块跳回至上一个功能单元的结束位置；

当刷新功能执行完一个循环时，对第二级看门狗进行喂狗，当第二级看门狗接收到喂狗信号时，第二级看门狗不发出复位信号，刷新模块继续执行下一个功能单元；当第二级看门狗在设定的时间内未接受到喂狗信号时，第二级看门狗发出复位信号至刷新模块，刷新模块重启。

本发明与现有技术相比的优点在于：

(1)相比于采用抗辐照元器件的方法，本发明的系统和方法所采用的所有元器件均为工业级或商业级元器件，降低了成本的同时增加了元器件可选择的范围，通信接口、存储容量等设计资源丰富，设计灵活性大。

(2)本发明的系统和方法基于优良的元器件选型和先进的集成电路工艺，相比于传统抗辐照产品，在功能相同的条件下，本发明的系统所实现的产品信号处理速率得到明显提高，同时产品的功耗得到明显降低。

(3)本发明的系统所用的抗单粒子翻转的方法主要基于模块内功能单元的冗余设计以及模块间的监控设计，具体实现方法包括三模冗余、三模重构、动态刷新、软件容错以及配置文件维护，在保证系统高性能运行的同时，有效增强了运行的可靠性。

附图说明

图1为本发明原理示意图；

图2为抗单子翻转五级防护方法示意图；

图3为三模冗余设计的方法示意图；

图4为三模重构设计的方法示意图；

图5为存储器的容错设计示意图。

具体实施方式

下面结合附图对本发明进行进一步说明。

如图1、图4所示，一种对单粒子翻转具备五级防护的信号处理系统，包括信号处理模块、刷新模块、两级监控模块以及维护模块；

信号处理模块包括可编程逻辑器件、外围ASIC接口和与刷新模块通信的接口，可编程逻辑器件通过外围ASIC接口接收信号，采用三模冗余方法对信号进行三选二多数有效选举判定，将正确结果通过外围ASIC接口发出；在三模冗余加解密过程中，对单粒子翻转进行检测，当发生单粒子翻转时，将单粒子翻转错误通过与刷新模块通信的接口发送至刷新模块；

刷新模块包括处理器(CPU或MCU)及外围电路、信号处理模块的专用配置接口、与两级监控模块的监控接口和复位接口、与维护模块通信的接口；处理器接收到单粒子翻转错误后，通过与维护模块通信的接口从维护模块读取信号处理模块的配置文件，通过信号处理模块的专用配置接口，将配置文件刷新到信号处理模块中，对单粒子翻转错误进行纠正；

刷新模块的刷新功能采用多版本冗余和时间冗余实现，将刷新功能划分为多个功能单元：每执行完一个功能单元，则对两级监控模块中第一级看门狗进行喂狗，通过两级监控模块的监控接口对第一级看门狗的复位信号进行检测，当未接收到第一级看门狗的复位信号时，则继续执行下一个功能单元，当通过两级监控模块的复位接口接收到第一级看门狗的复位信号时，则跳回至上一个功能单元的结束位置；当刷新功能执行完一个循环时，对第二级看门狗进行喂狗，并通过两级监控模块的监控接口对第二级看门狗的复位信号进行检测，当未接收到第二级看门狗的复位信号时，则继续执行下一个功能单元，当通过两级监控模块的复位接口接收到第二级看门狗的复位信号时，则重启刷新模块；

两级监控模块包括两个看门狗，当第一级看门狗接收到喂狗信号时，第一级看门狗不发出复位信号，当第一级看门狗在设定的时间内未接受到喂狗信号时，第一级看门狗发出复位信号；当第二级看门狗接收到喂狗信号时，第二级看门狗不发出复位信号，当第二级看门狗在设定的时间内未接受到喂狗信号时，第二级看门狗发出复位信号；

维护模块包括反熔丝可编程逻辑器件、至少3份相同的外围存储器以及与刷新模块的通信接口，当反熔丝可编程逻辑器件收到刷新模块的读取请求时，反熔丝可编程逻辑器件将外围存储器中的配置文件读取到反熔丝可编程逻辑器件中，并进行三模冗余处理，并将最终结果通过与刷新模块的通信接口发送至刷新模块；当未接受到刷新模块的读取请求时，将外围存储器中的配置文件读取到反熔丝可编程逻辑器件中，并进行三模冗余处理，并将最终结果重新写入外围存储器中，纠正外围存储器中的单粒子翻转错误。

本发明的信号系统，可实现抗单粒子翻转的五级防护，如图2所示，首先第一级防护对SEU进行容错，当第一级防护失效时触发第二级防护对第一级防护进行维护，当第二级防护失效时触发第三级防护对第二级防护进行维护，以此类推。

信号处理模块可以选用高性能FPGA，如Xilinx K7系列FPGA；刷新模块可以选用嵌入式多核CPU或MCU，如ARM9；监控模块可以选用通用看门狗，如MAX706；维护模块可以选用反熔丝FPGA，如AX500；外部存储器可以选用大容量FLASH，如Micro N25Q系列SPI FLASH。

信号处理模块功能单元采用三模冗余技术实现，并将每个功能单元的每个冗余块作为独立的重构模块，单独综合重构模块生成独立的配置文件。

以模块A为例，其冗余块为相同的三份A₁、A₂、A₃，其对应配置文件为S_A1、S_A2、S_A3。对三个冗余块的输出结果进行三判二操作，假设输出结果为R_A，错误中断INT_A，错误标识位ID_A[1:0]，R_A、INT_A、ID_A与A₁、A₂、A₃的逻辑关系如图3所示。当A₁、A₂、A₃中任一模块发生单粒子翻转时输出结果R_A不受影响，同时错误中断INT_A以及发生错误的ID_A通过信号发送给刷新模块。

刷新模块自身的软件容错如图5所示，CPU在将数据写入片上存储器(OCM)前使用汉明码进行保护。读取数据时，若检测到数据位发生翻转时将产生中断发送到CPU，CPU对OCM中的数据进行重写纠错。除数据外，将配置寄存器的值复制三份保存于OCM，并定时从OCM中读出配置值进行三判二操作并刷新配置寄存器。

两级监控模块对刷新模块中的功能单元进行监控，两级看门狗结合程序回卷技术和系统复位实现监控功能。

使用对单粒子翻转具备五级防护的信号处理系统进行信号处理的方法，包括步骤如下：

步骤一、信号处理模块接收信号，采用三模冗余方法对信号进行三选二多数有效选举判定，将正确结果发出；在三模冗余加解密过程中，对单粒子翻转进行检测，当发生单粒子翻转时，将单粒子翻转错误发送至刷新模块；

步骤二、刷新模块接收到单粒子翻转错误后，从维护模块读取信号处理模块的配置文件，当维护模块收到刷新模块的读取请求时，维护模块将外围存储器中的配置文件读取到维护模块中，并进行三模冗余处理，并将最终结果发送至刷新模块，刷新模块将配置文件刷新到信号处理模块中，对单粒子翻转错误进行纠正；

当未接受到刷新模块的读取请求时，将外围存储器中的配置文件读取到维护模块中，并进行三模冗余处理，并将最终结果重新写入外围存储器中，纠正外围存储器中的单粒子翻转错误。

步骤二中，刷新模块的刷新功能采用多版本冗余和时间冗余实现，将刷新功能划分为多个功能单元，并对两级监控模块中看门狗的复位信号进行检测，根据是否检测到复位信号控制功能单元的执行，具体步骤如下：

每执行完一个功能单元，则对两级监控模块中第一级看门狗进行喂狗，当第一级看门狗接收到喂狗信号时，第一级看门狗不发出复位信号，刷新模块继续执行下一个功能单元；当第一级看门狗在设定的时间内未接受到喂狗信号时，第一级看门狗发出复位信号至刷新模块，刷新模块跳回至上一个功能单元的结束位置；

当刷新功能执行完一个循环时，对第二级看门狗进行喂狗，当第二级看门狗接收到喂狗信号时，第二级看门狗不发出复位信号，刷新模块继续执行下一个功能单元；当第二级看门狗在设定的时间内未接受到喂狗信号时，第二级看门狗发出复位信号至刷新模块，刷新模块重启。

本发明未详细说明部分属于本领域技术人员公知技术。

Claims (6)

1.一种对单粒子翻转具备五级防护的信号处理系统，其特征在于，包括信号处理模块、刷新模块、两级监控模块以及维护模块；

信号处理模块包括可编程逻辑器件、外围ASIC接口和与刷新模块通信的接口，可编程逻辑器件通过外围ASIC接口接收信号，采用三模冗余方法对信号进行三选二多数有效选举判定，将正确结果通过外围ASIC接口发出；在三模冗余加解密过程中，对单粒子翻转进行检测，当发生单粒子翻转时，将单粒子翻转错误通过与刷新模块通信的接口发送至刷新模块；

刷新模块包括处理器、信号处理模块的专用配置接口、两级监控模块的监控接口和复位接口、与维护模块通信的接口；处理器接收到单粒子翻转错误后，通过与维护模块通信的接口从维护模块读取信号处理模块的配置文件，通过信号处理模块的专用配置接口，将配置文件刷新到信号处理模块中，对单粒子翻转错误进行纠正；刷新模块的刷新功能采用多版本冗余和时间冗余实现，将刷新功能划分为多个功能单元，并通过两级监控模块的监控接口和复位接口对两级监控模块中看门狗的复位信号进行检测，根据是否检测到复位信号控制功能单元的执行；

两级监控模块包括两个看门狗，当第一级看门狗接收到喂狗信号时，第一级看门狗不发出复位信号，当第一级看门狗在设定的时间内未接受到喂狗信号时，第一级看门狗发出复位信号；当第二级看门狗接收到喂狗信号时，第二级看门狗不发出复位信号，当第二级看门狗在设定的时间内未接受到喂狗信号时，第二级看门狗发出复位信号；

维护模块包括反熔丝可编程逻辑器件、外围存储器以及与刷新模块的通信接口，当反熔丝可编程逻辑器件收到刷新模块的读取请求时，反熔丝可编程逻辑器件将外围存储器中的配置文件读取到反熔丝可编程逻辑器件中，并进行三模冗余处理，并将最终结果通过与刷新模块的通信接口发送至刷新模块；当未接受到刷新模块的读取请求时，将外围存储器中的配置文件读取到反熔丝可编程逻辑器件中，并进行三模冗余处理，并将最终结果重新写入外围存储器中，纠正外围存储器中的单粒子翻转错误。

2.根据权利要求1所述的一种对单粒子翻转具备五级防护的信号处理系统，其特征在于，刷新模块根据是否检测到复位信号控制功能单元的执行，具体为：

每执行完一个功能单元，则对两级监控模块中第一级看门狗进行喂狗，通过两级监控模块的监控接口对第一级看门狗的复位信号进行检测，当未接收到第一级看门狗的复位信号时，则继续执行下一个功能单元，当通过两级监控模块的复位接口接收到第一级看门狗的复位信号时，则跳回至上一个功能单元的结束位置；当刷新功能执行完一个循环时，对第二级看门狗进行喂狗，并通过两级监控模块的监控接口对第二级看门狗的复位信号进行检测，当未接收到第二级看门狗的复位信号时，则继续执行下一个功能单元，当通过两级监控模块的复位接口接收到第二级看门狗的复位信号时，则重启刷新模块。

3.根据权利要求1所述的一种对单粒子翻转具备五级防护的信号处理系统，其特征在于，外围存储器至少为3份。

4.根据权利要求1所述的一种对单粒子翻转具备五级防护的信号处理系统，其特征在于，刷新模块中选用嵌入式多核CPU或MCU。

5.使用如权利要求1～4任一所述对单粒子翻转具备五级防护的信号处理系统进行信号处理的方法，其特征在于，包括步骤如下：

步骤一、信号处理模块接收信号，采用三模冗余方法对信号进行三选二多数有效选举判定，将正确结果发出；在三模冗余加解密过程中，对单粒子翻转进行检测，当发生单粒子翻转时，将单粒子翻转错误发送至刷新模块；

步骤二、刷新模块接收到单粒子翻转错误后，从维护模块读取信号处理模块的配置文件，当维护模块收到刷新模块的读取请求时，维护模块将外围存储器中的配置文件读取到维护模块中，并进行三模冗余处理，并将最终结果发送至刷新模块，刷新模块将配置文件刷新到信号处理模块中，对单粒子翻转错误进行纠正；

当未接受到刷新模块的读取请求时，将外围存储器中的配置文件读取到维护模块中，并进行三模冗余处理，并将最终结果重新写入外围存储器中，纠正外围存储器中的单粒子翻转错误。

6.根据权利要求5所述的信号处理方法，其特征在于，步骤二中，刷新模块的刷新功能采用多版本冗余和时间冗余实现，将刷新功能划分为多个功能单元，并对两级监控模块中看门狗的复位信号进行检测，根据是否检测到复位信号控制功能单元的执行，具体步骤如下：

每执行完一个功能单元，则对两级监控模块中第一级看门狗进行喂狗，当第一级看门狗接收到喂狗信号时，第一级看门狗不发出复位信号，刷新模块继续执行下一个功能单元；当第一级看门狗在设定的时间内未接受到喂狗信号时，第一级看门狗发出复位信号至刷新模块，刷新模块跳回至上一个功能单元的结束位置；

当刷新功能执行完一个循环时，对第二级看门狗进行喂狗，当第二级看门狗接收到喂狗信号时，第二级看门狗不发出复位信号，刷新模块继续执行下一个功能单元；当第二级看门狗在设定的时间内未接受到喂狗信号时，第二级看门狗发出复位信号至刷新模块，刷新模块重启。

Images