CN112748791B - 卫星综合电子计算机自主切机方法 - Google Patents

Abstract

本发明提供了一种卫星综合电子计算机系统自主切机方法，包括：主机存储并执行正常模式软件或最小模式软件；备机存储并执行正常模式软件或最小模式软件；主机看门狗向主机提供第一复位信号，以及向主机提供第一中断控制信号；备机看门狗向备机提供第二复位信号，以及向备机提供第二中断控制信号；所述主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；所述备机检测到第二中断控制信号后，对现场进行保存并备份关键数据。

Description

卫星综合电子计算机自主切机方法

技术领域

本发明涉及星载计算机技术领域，特别涉及一种卫星综合电子计算机自主切机方法。

背景技术

微小卫星具有性价比高、体积小、重量轻、功耗低等特点，是未来航天器发展的一个重要方向。星载计算机是微小卫星的重要组成部分，负责星上数据的采集和处理。

星载计算机是卫星星上电子系统的核心部件，通常需要负责整星的管理与控制任务，其可靠性直接影响整星的可靠性。大量在轨卫星的运行情况表明，由于受空间环境的影响，即使采取了一系列抗辐射措施，星载计算机系统还是不可避免的会受空间环境因素影响出现逻辑异常或失效，为了确保整星的安全可靠，星载计算机通常采用主备机双机备份的方式。

目前，星载计算机为了实现高可靠、长寿命的设计目标，多采用双机冷备份的冗余设计，其中两个单机分别命名为主机与备机，在同一时间只有一台单机进行工作。两者之间通过外部直接指令控制继电器簧片的吸合与断开来实现备份双机的加断电管理。虽然其控制方法和依赖的控制电路简单，但是仅依靠直接指令来实现冗余备份的加断电切换，不仅降低了系统可靠性，而且当卫星处于非地面站控制区域，星载计算机由于不具备自治能力，一旦发生故障将会影响整星的正常工作。例如若某单机加电指令异常，该单机将不能加电工作失去备份的作用，无法确保整星任务的顺利执行。

发明内容

本发明的目的在于提供一种卫星综合电子计算机自主切机方法，以解决现有的星载计算机主备机双机备份可靠性较低的问题。

为解决上述技术问题，本发明提供一种卫星综合电子计算机自主切机方法，包括：

主机存储并执行正常模式软件或最小模式软件；

备机存储并执行正常模式软件或最小模式软件；

主机看门狗向主机提供第一复位信号，以及向主机提供第一中断控制信号；

备机看门狗向备机提供第二复位信号，以及向备机提供第二中断控制信号；

所述主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；

所述备机检测到第二中断控制信号后，对现场进行保存并备份关键数据。

可选的，在所述的卫星综合电子计算机自主切机方法中，还包括：

加电模块根据初始化指令对主机进行加电，并对备机进行断电；

所述加电模块根据双机加电指令对主机和备机进行加电；

所述加电模块根据备份启动指令对备机进行加电，并对主机进行断电；

卫星综合电子计算机自主切机方法启动时，初始化模块自动向加电模块提供初始化指令。

可选的，在所述的卫星综合电子计算机自主切机方法中，所述主机启动后，使能主机看门狗，主机看门狗判断是否发生第一次狗咬，若是则产生第一中断控制信号；

主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；

所述主机看门狗判断是否发生第二次狗咬，若是则向主机发送第一复位信号，并向所述加电模块和备机发送双机加电指令。

可选的，在所述的卫星综合电子计算机自主切机方法中，所述主机收到第一复位信号后，保留时钟单元和内存数据后重新启动；

所述备机收到双机加电指令后，启动并立即向主机发送关机指令，然后执行正常模式软件或最小模式软件并清狗。

可选的，在所述的卫星综合电子计算机自主切机方法中，所述备机启动后，使能备机看门狗，备机看门狗判断是否发生第一次狗咬，若是则产生第二中断控制信号；

备机检测到第二中断控制信号后，对现场进行保存并备份关键数据；

所述备机看门狗判断是否发生第二次狗咬，若是则向备机发送第二复位信号，并向所述加电模块和主机发送双机加电指令。

可选的，在所述的卫星综合电子计算机自主切机方法中，所述备机收到第二复位信号后，保留时钟单元和内存数据后重新启动；

所述主机收到双机加电指令后，启动并判断是否超时，若是则向备机发送关机指令，且向加电模块发送初始化指令，然后执行正常模式软件或最小模式软件并清狗。

可选的，在所述的卫星综合电子计算机自主切机方法中，所述关键数据为卫星姿态数据、热控和能源控制阈值。

可选的，在所述的卫星综合电子计算机自主切机方法中，所述加电模块根据双机加电指令对主机和备机进行加电后，主机和备机均禁止IO输出；

主机和备机运行启动段，完成硬件检查和内存检查，并在启动段清狗；

备机向主机发出关机指令，并运行正常模式或最小模式软件；

主机启动后静默3秒钟，若未收到关机指令，则主机运行正常模式软件或最小模式软件，向备机发出关机指令。

可选的，在所述的卫星综合电子计算机自主切机方法中，还包括：

卫星综合电子计算机自主切机方法启动，初始化模块自动向加电模块提供初始化指令；

所述加电模块根据初始化指令对主机进行加电，主机看门狗被使能；

主机启动并执行正常模式软件；

主机看门狗判断是否发生第一次狗咬，若是则产生第一中断控制信号；

主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；

所述主机看门狗判断是否发生第二次狗咬，若是则向主机发送第一复位信号，并向所述加电模块和备机发送双机加电指令。

可选的，在所述的卫星综合电子计算机自主切机方法中，所述加电模块根据双机加电指令对主机和备机进行加电；

所述主机收到第一复位信号后，保留时钟单元和内存数据后重新启动；

所述加电模块根据双机加电指令对主机和备机进行加电后，主机和备机均禁止IO输出；

主机和备机运行启动段，完成硬件检查和内存检查，并在启动段清狗；

所述备机收到双机加电指令后，启动并立即向主机发送关机指令；

主机启动后静默3秒钟，若3秒钟以内主机被关闭，则所述备机确认主机被关闭，备机转入正常工作；

所述备机初始化硬件设备，使能IO并获取备份数据，执行正常模式软件并清狗；

所述加电模块根据备份启动指令对备机进行加电，并对主机进行断电；

若主机启动后静默3秒钟后未被关闭，则主机向备机发出关机指令，且向所述加电模块发送初始化指令；

所述主机使能IO并获取备份数据，执行正常模式软件并清狗。

星载计算机系统复位可以在一定程度上排除突发的可恢复故障。当复位不能解除故障时，可通过切机来排除。现有的星载计算机切机主要通过看门狗检测狗咬信号进行自主主备切换。实际应用情况表明，切机虽然可以有效排除故障，但也带来了当前工作的星载计算机工作数据的丢失。因此，从整星连续可靠运行的角度出发，希望在保证故障出校有效排除的基础上尽量减少切机次数。

在本发明提供的卫星综合电子计算机自主切机方法中，通过主机看门狗向主机提供第一中断控制信号，主机检测到第一中断控制信号后只是对现场进行保存并备份关键数据，向主机提供第一复位信号后主机才进行复位，备机看门狗基于相同的原理，向备机提供第二中断控制信号时，所述备机只是对现场进行保存并备份关键数据，向备机提供第二复位信号后，备机才进行复位，减少了主机和备机的切换和复位次数，且收到第一中断控制信号或第二中断控制信号后，第一时间对现场进行保存并备份关键数据，防止当前工作的星载计算机工作数据的丢失，从整星连续可靠运行的角度出发可靠性更高。

附图说明

图1是本发明一实施例卫星综合电子计算机自主切机方法流程示意图。

具体实施方式

以下结合附图和具体实施例对本发明提出的卫星综合电子计算机自主切机方法作进一步详细说明。根据下面说明和权利要求书，本发明的优点和特征将更清楚。需说明的是，附图均采用非常简化的形式且均使用非精准的比例，仅用以方便、明晰地辅助说明本发明实施例的目的。

另外，除非另行说明，本发明的不同实施例中的特征可以相互组合。例如，可以用第二实施例中的某特征替换第一实施例中相对应或功能相同或相似的特征，所得到的实施例同样落入本申请的公开范围或记载范围。

本发明的核心思想在于提供一种卫星综合电子计算机自主切机方法，以解决现有的星载计算机主备机双机备份可靠性较低的问题。

为实现上述思想，本发明提供了一种卫星综合电子计算机自主切机方法，包括：主机存储并执行正常模式软件或最小模式软件；备机存储并执行正常模式软件或最小模式软件；主机看门狗向主机提供第一复位信号，以及向主机提供第一中断控制信号；备机看门狗向备机提供第二复位信号，以及向备机提供第二中断控制信号；所述主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；所述备机检测到第二中断控制信号后，对现场进行保存并备份关键数据。

卫星综合电子计算机简称为星载计算机，导航卫星星载计算机采用双机冷备份设计，主要负责遥控信息处理、遥测处理、姿态控制、轨道控制、自主热控、能源监测、帆板控制以及采集平台设备的状态数据，包括能源分系统、姿轨控分系统、热控分系统、机构分系统、星务分系统自身的数据。

星载计算机是卫星的中枢设备，因此星载计算机的失效将直接导致卫星任务失败。为了提高星载计算机长期在轨可靠性，星载计算机采用双机冷备份模式，为保障导航任务连续性，设计上不允许同时关机。新一代北斗导航卫星实现了基于星间链路的自主定轨与时间同步功能的自主运行能力，为保障星载计算机在无法获得地面运控支持下星载计算机运行不中断，星载计算机软硬件故障时可以自主进行切机操作，设计星载计算机具有手动切换(指令切换)和自主修复及切换功能。

由于星载计算机功能集中且复杂，为了保证业务连续性，必须设计自主修复功能。自主切换是星载计算机进行自主重构的过程，该切换机制的基础是硬件看门狗。采用软硬件相结合的方式对星载计算机软硬件故障进行判断、处理和星载计算机运行恢复。

本实施例提供一种卫星综合电子计算机自主切机方法，如图1所示，包括：主机存储并执行正常模式软件或最小模式软件；备机存储并执行正常模式软件或最小模式软件；主机看门狗向主机提供第一复位信号，以及向主机提供第一中断控制信号；备机看门狗向备机提供第二复位信号，以及向备机提供第二中断控制信号；所述主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；所述备机检测到第二中断控制信号后，对现场进行保存并备份关键数据。

第一中断控制信号和第二中断控制信号为非屏蔽的中断信号。收到第一中断控制信号或第二中断控制信号后，提示处理器当前软件运行存在异常，处理器立即转入应急模式，对现场进行保存并备份关键数据，如卫星姿态数据、热控和能源控制阈值等等，然后退出中断，继续运行。

具体的，在所述的卫星综合电子计算机自主切机方法中，还包括：加电模块根据初始化指令对主机进行加电，并对备机进行断电；所述加电模块根据双机加电指令对主机和备机进行加电；所述加电模块根据备份启动指令对备机进行加电，并对主机进行断电；卫星综合电子计算机自主切机方法启动时，初始化模块自动向加电模块提供初始化指令。

进一步的，在所述的卫星综合电子计算机自主切机方法中，所述主机启动后，使能主机看门狗，主机看门狗判断是否发生第一次狗咬，若是则产生第一中断控制信号；主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；所述主机看门狗判断是否发生第二次狗咬，若是则向主机发送第一复位信号，并向所述加电模块和备机发送双机加电指令。在所述的卫星综合电子计算机自主切机方法中，所述主机收到第一复位信号后，保留时钟单元和内存数据后重新启动；所述备机收到双机加电指令后，启动并立即向主机发送关机指令，然后执行正常模式软件或最小模式软件并清狗。

进一步的，在所述的卫星综合电子计算机自主切机方法中，所述备机启动后，使能备机看门狗，备机看门狗判断是否发生第一次狗咬，若是则产生第二中断控制信号；备机检测到第二中断控制信号后，对现场进行保存并备份关键数据；所述备机看门狗判断是否发生第二次狗咬，若是则向备机发送第二复位信号，并向所述加电模块和主机发送双机加电指令。在所述的卫星综合电子计算机自主切机方法中，所述备机收到第二复位信号后，保留时钟单元和内存数据(以便后续恢复卫星关键数据)后重新启动；所述主机收到双机加电指令后，启动并判断是否超时，若是则向备机发送关机指令，且向加电模块发送初始化指令，然后执行正常模式软件或最小模式软件并清狗。

在本发明的一个实施例中，在所述的卫星综合电子计算机自主切机方法中，所述关键数据为卫星姿态数据、热控和能源控制阈值。在所述的卫星综合电子计算机自主切机方法中，所述加电模块根据双机加电指令对主机和备机进行加电后，主机和备机均禁止IO输出；主机和备机运行启动段，完成硬件检查和内存检查，并在启动段清狗；备机向主机发出关机指令，并运行正常模式软件；主机启动后静默3秒钟，3秒钟以后，若主机没有被关闭，则主机运行正常模式软件，向备机发出关机指令。

具体的，在所述的卫星综合电子计算机自主切机方法中，还包括：卫星综合电子计算机自主切机方法启动，初始化模块自动向加电模块提供初始化指令；所述加电模块根据初始化指令对主机进行加电，主机看门狗被使能；主机启动并执行正常模式软件；主机看门狗判断是否发生第一次狗咬，若是则产生第一中断控制信号；主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；所述主机看门狗判断是否发生第二次狗咬，若是则向主机发送第一复位信号，并向所述加电模块和备机发送双机加电指令。

在双机切换中，主机和备机同时加电是为了防止某一控制器运行异常，出现无法发送指令的情况，此时则无法开启另一备份控制器，导致星载计算机均启动失败。此时为了防止双机不停来回切换，采取备机优先策略，备机如果启动正常后(如果备机运行正常模式失败就进入最小模式)立即关闭主机，主机就等待3秒钟，如果3秒钟主机未被关掉，主机直接判定备机未能(正常)启动，这时候主机正常运行并且把备机关掉。主机或备机确认对方机关掉之后初始化硬件，使能IO，获取备份数据，转入正常工作。

进一步的，在所述的卫星综合电子计算机自主切机方法中，所述加电模块根据双机加电指令对主机和备机进行加电；所述主机收到第一复位信号后，保留时钟单元和内存数据后重新启动；所述加电模块根据双机加电指令对主机和备机进行加电后，主机和备机均禁止IO输出；主机和备机运行启动段，完成硬件检查和内存检查，并在启动段清狗；所述备机收到双机加电指令后，启动并立即向主机发送关机指令；主机启动后静默3秒钟， 3秒钟以后，若主机被关闭，则所述备机向加电模块发送备份启动指令；所述备机使能IO并获取备份数据，执行正常模式软件并清狗；所述加电模块根据备份启动指令对备机进行加电，并对主机进行断电；若主机启动后静默3秒钟后未被关闭，则主机向备机发出关机指令，且向所述加电模块发送初始化指令；所述主机使能IO并获取备份数据，执行正常模式软件并清狗。

在本发明提供的卫星综合电子计算机自主切机方法中，通过主机看门狗向主机提供第一中断控制信号，主机检测到第一中断控制信号后只是对现场进行保存并备份关键数据，向主机提供第一复位信号后主机才进行复位，备机看门狗基于相同的原理，向备机提供第二中断控制信号时，所述备机只是对现场进行保存并备份关键数据，向备机提供第二复位信号后，备机才进行复位，减少了主机和备机的切换和复位次数，且收到第一中断控制信号或第二中断控制信号后，第一时间对现场进行保存并备份关键数据，防止当前工作的星载计算机工作数据的丢失，从整星连续可靠运行的角度出发可靠性更高。

在本发明的一个实施例中，星载计算机手动切换由地面直接指令控制：启动主机关闭备机、启动备机关闭主机、以及主机看门狗和/或备机看门狗使能和/或禁止。为了防止星载计算机反复切换，地面可以发送直接指令——看门狗禁止，禁止当班机看门狗，达到禁止自主切换的目的。

双机自主切换是提高星载计算机整机可用性的关键设计，是需要重点验证的关键技术和关键点，以确保切换机制、硬件设计、软件设计的正确性和可靠性。主要的技术点有：

硬件设计：双机自主切换涉及的硬件电路包括看门狗电路和继电器电路。看门狗电路是整个自主切换的基础，既要保证在软件异常时能启动自主切换机制，又要保证在看门狗自身异常时，实现故障隔离。首先，对看门狗电路的元器件选用有较高要求，同时设计看门狗信号的处理及周边电路，保证其长期在轨工作的可靠性。在看门狗异常时，可以通过直接指令——看门狗禁止来隔离看门狗信号，使其不产生作用，从而无法启动自主切换机制；

IO输出使能和禁止功能：在双机自主切换过程中，双机处于同时加电状态。对于输出接口，如果双机同时有高电平输出，则会对计算机接口造成功能性破坏。因此在硬件设计上，计算机输出接口采用三态输出控制或继电器隔离控制设计，同时在硬件复位时，所有三态输出接口均为高阻态，继电器输出为确定态，以此实现对接口的保护；

决策机制：双机自主切换是由软件和硬件共同完成的。星载计算机主机和备机在硬件设计上完全一致，只是提供软件操作接口，最终的决策由软件完成。软件验证在硬件故障注入的情况下进行验证。

为了保障星载计算机稳定运行，本发明设计了一种星载计算机两个冷备单机之间自主切换方式。使星载计算机在某一单机出现异常时可以进行决策开某份单机的自主逻辑判断、自主修复，同时避免因切机引起的星载计算机双机均无法运行的情况。该设计方法已运用于若干颗MEO卫星，经地面及在轨试验验证，该方法可行有效。

综上，上述实施例对卫星综合电子计算机自主切机方法的不同构型进行了详细说明，当然，本发明包括但不局限于上述实施中所列举的构型，任何在上述实施例提供的构型基础上进行变换的内容，均属于本发明所保护的范围。本领域技术人员可以根据上述实施例的内容举一反三。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

上述描述仅是对本发明较佳实施例的描述，并非对本发明范围的任何限定，本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims (2)

1.一种卫星综合电子计算机自主切机方法，其特征在于，包括：

主机存储并执行正常模式软件或最小模式软件；

备机存储并执行正常模式软件或最小模式软件；

主机看门狗向主机提供第一复位信号，以及向主机提供第一中断控制信号；

备机看门狗向备机提供第二复位信号， 以及向备机提供第二中断控制信号；

所述主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；

卫星综合电子计算机自主切机方法启动，初始化模块自动向加电模块提供初始化指令；

所述加电模块根据初始化指令对主机进行加电，主机看门狗被使能；

主机启动并执行正常模式软件；

主机看门狗判断是否发生第一次狗咬，若是则产生第一中断控制信号；

主机检测到第一中断控制信号后，对现场进行保存并备份关键数据；

所述主机看门狗判断是否发生第二次狗咬，若是则向主机发送第一复位信号，并向所述加电模块和备机发送双机加电指令；

所述加电模块根据双机加电指令对主机和备机进行加电；

所述主机收到第一复位信号后，保留时钟单元和内存数据后重新启动；

所述加电模块根据双机加电指令对主机和备机进行加电后，主机和备机均禁止IO输出；

主机和备机运行启动段，完成硬件检查和内存检查，并在启动段清狗；

所述备机收到双机加电指令后，启动并立即向主机发送关机指令；

主机启动后静默3秒钟，若3秒钟内主机被关闭，则所述备机确认主机已关闭；

所述备机初始化硬件设备，使能IO并获取备份数据，执行正常模式软件并清狗；

所述加电模块根据备份启动指令对备机进行加电，并对主机进行断电；

若主机启动并静默3秒钟后未被关闭，则主机向备机发出关机指令，且向所述加电模块发送初始化指令，所述主机使能IO并获取备份数据，执行正常模式软件并清狗；

否则所述备机启动后，使能备机看门狗，备机看门狗判断是否发生第一次狗咬，若是则产生第二中断控制信号；

备机检测到第二中断控制信号后，对现场进行保存并备份关键数据；

所述备机看门狗判断是否发生第二次狗咬，若是则向备机发送第二复位信号，并向所述加电模块和主机发送双机加电指令；

所述备机收到第二复位信号后，保留时钟单元和内存数据后重新启动；

所述主机收到双机加电指令后，启动并判断是否超时，若是则向备机发送关机指令，且向加电模块发送初始化指令，然后执行正常模式软件或最小模式软件并清狗。

2.如权利要求1所述的卫星综合电子计算机自主切机方法，其特征在于，所述关键数据为卫星姿态数据、热控和能源控制阈值。

Images