CN112860470B - 卫星双机切换系统及方法 - Google Patents

Abstract

本发明提供了一种卫星双机切换系统及方法，包括：第一星务分系统，被配置为运行星务软件的主循环，以及首次运行后直接为第二星务分系统断电；第二星务分系统，被配置为运行星务软件的主循环，以及首次运行后直接为第一星务分系统断电；第一监控分系统，被配置为监控第一星务分系统的故障，以及在第一星务分系统出现故障时为第二星务分系统上电；第二监控分系统，被配置为监控第二星务分系统的故障，以及在第二星务分系统出现故障时为第一星务分系统上电。

Description

卫星双机切换系统及方法

技术领域

本发明涉及卫星控制技术领域，特别涉及一种卫星双机切换系统及方法。

背景技术

卫星星务分系统是卫星的“大脑”，主要完成飞行任务的调度、姿态的控制、能源平衡遥测数据采集和指令解析分发、卫星故障的监测与恢复等，现有的冷备份星务分系统切换策略主要依靠区别A、B机，用软件延时并利用硬件看门狗实现双机的自主切换。

星务分系统如单机异常，首先通过硬件看门狗给本机复位和同时给备份机加电，双机同时加电，双机软件都在运行，各自判断自己是A机还是B机，如A机则不加等待就开始运行系统，如系统运行正常，则将B关掉完成双机切换；如是B机则等待一段时间后，再运行系统，如系统运行正常，后就将A机关掉，以实现双机切换；

然而，双机同时加电时，如何判断单机系统运行正常，一直没有定论，不容易找到一个十全十美的方法，确定系统满足哪些条件，可以确定系统运行正常；另外B机需等待尤其是等待时卫星是处于“失控”状态，会有安全性的隐患。

发明内容

本发明的目的在于提供一种卫星双机切换系统及方法，以解决现有的卫星双机切换方法存在安全性隐患的问题。

为解决上述技术问题，本发明提供一种卫星双机切换系统，包括：

第一星务分系统，被配置为运行星务软件的主循环，以及

首次运行后直接为第二星务分系统断电；

第二星务分系统，被配置为运行星务软件的主循环，以及

首次运行后直接为第一星务分系统断电；

第一监控分系统，被配置为监控第一星务分系统的故障，以及

在第一星务分系统出现故障时为第二星务分系统上电；

第二监控分系统，被配置为监控第二星务分系统的故障，以及

在第二星务分系统出现故障时为第一星务分系统上电。

可选的，在所述的卫星双机切换系统中，所述第一监控分系统为第一看门狗电路，其中：

第一看门狗电路检测到第一次狗咬后，产生NMI指令发送至第一星务分；

第一看门狗电路检测到第二次狗咬后，产生复位指令发送至第一星务分系统；

第一看门狗电路检测到第三次狗咬后，产生初始上电指令发送至第二星务分系统。

可选的，在所述的卫星双机切换系统中，所述第二监控分系统为第二看门狗电路，其中：

第二看门狗电路检测到第一次狗咬后，产生NMI指令发送至第二星务分；

第二看门狗电路检测到第二次狗咬后，产生复位指令发送至第二星务分系统；

第二看门狗电路检测到第三次狗咬后，产生初始上电指令发送至第一星务分系统。

可选的，在所述的卫星双机切换系统中，所述第一星务分系统或所述第二星务分系统根据NMI指令进入NMI状态，

在NMI状态下，所述第一星务分系统或第二星务分系统根据遥测信息对故障变量和故障端口进行初始化；

所述第一星务分系统或第二星务分系统继续运行主循环。

可选的，在所述的卫星双机切换系统中，所述第一星务分系统或第二星务分系统根据复位指令进入复位状态，

在复位状态下，复位指令触发第一星务分系统或第二星务分系统产生热启动标志；

第一星务分系统或第二星务分系统根据热启动标志对除延时遥测区和双机交互的重要信息的内存和全局变量进行初始化；

第一星务分系统或第二星务分系统根据热启动标志进行故障检测和恢复；

若第一星务分系统或第二星务分系统根据故障检测和恢复判断能够正常运行，则将第一看门狗电路或第二看门狗电路的狗咬次数清零；

双机交互的重要信息包括：卫星系统时间和姿控工作模式、单机开关机状态、加热器的开关状态、轨道信息和出入境信息。

可选的，在所述的卫星双机切换系统中，所述第一星务分系统或第二星务分系统根据初始上电指令进入冷启动状态，

在冷启动状态下，初始上电指令触发第一星务分系统或第二星务分系统产生冷启动标志；

第一星务分系统或第二星务分系统根据冷启动标志对内存和全局变量进行全部初始化；

所述第一星务分系统根据冷启动标志对第二星务分系统进行断电，或所述第二星务分系统根据冷启动标志对第一星务分系统进行断电。

可选的，在所述的卫星双机切换系统中，

地面指挥中心向第一星务分系统或第二星务分系统发送复位指令，复位指令触发第一星务分系统或第二星务分系统产生热启动标志；

地面指挥中心向第一星务分系统或第二星务分系统发送初始上电指令，初始上电指令触发第一星务分系统或第二星务分系统产生冷启动标志。

可选的，在所述的卫星双机切换系统中，

所述第一星务分系统根据冷启动标志读取双机交互的重要信息，开始运行星务软件的主循环，所述主循环包括：

应用层软件运行；

双机交互的重要信息写入第一星务分系统的FIFO；

双机交互的重要信息写入第二星务分系统；

将第一看门狗电路的狗咬次数清零；

判断所述第一星务分系统是否是首次运行主循环，若是则关闭所述第二星务分系统后返回循环，否则直接返回循环。

可选的，在所述的卫星双机切换系统中，

所述第二星务分系统根据冷启动标志读取双机交互的重要信息，开始运行星务软件的主循环，所述主循环包括：

应用层软件运行；

双机交互的重要信息写入第二星务分系统的FIFO；

双机交互的重要信息写入第一星务分系统；

将第二看门狗电路的狗咬次数清零；

判断所述第二星务分系统是否是首次运行主循环，若是则关闭所述第一星务分系统后返回循环，否则直接返回循环。

本发明还提供一种卫星双机切换方法，包括：

系统初始化上电后，进行以下循环：

第一星务分系统运行星务软件的主循环，第二星务分系统维持断电状态不变；

第一监控分系统监控第一星务分系统的故障，若第一星务分系统出现故障，则为第二星务分系统上电；

第二星务分系统开始运行星务软件的主循环，首次运行后直接为第一星务分系统断电；

第二监控分系统监控第二星务分系统的故障，若第二星务分系统出现故障，则为第一星务分系统上电；

返回继续执行循环。

本发明的发明人经研究发现，星务分系统运行主循环时，若不是首次运行则默认为正常情况，继续进行主循环。现有星务分系统的切换，在运行中的单机系统异常时，硬件看门狗单机系统异常，因没有收到正常的喂狗信号会产生狗咬信号，一次狗咬进入NMI，连续两次狗咬时本机复位并给对方单机加电，此时双机同时加电，系统运行，进入双机切换流程，主循环的即首次运行。双机硬件切换流程如图1所示，系统硬件给双机同时加电，双机都运行系统软件，星务务软件进入主循环，进入判断系统运行是否正常的判断流程。具体步骤判断星务软件结合获得备份的重要信息，进行应用层的初始化，应用层软件若能正常运行，例程结束后，发送软件指令进行清狗，运行正常则进入判断A机、B机流程，否则等待对方关闭自己。判断A机、B机流程包括：

当班机如为A机，软件直接发出关备份机(B机)指令，给备份机(B机)断电；

当班机如为B机，则延时等待；

如备份机(A机)运行正常，则备份机(A机)输出使能，软件关掉当班机(B机)，系统切换至备份机(A机)运行；

如备份机(A机)运行不正常，则当班机(B机)延时到后，当班机(B机)软件发出关备份机(A机)指令，给备份机(A机)断电，当班机(B机)开始运行。

然而，B机等待多长时间如足够长，等待时间大于A机系统初始化时间、A机软件完整周期的运行时间、A机硬件复位时间等时间之和，并加上一定的余量时间才可确定A机的状态，等待的目的是如A机运行正常，可运行A机，等待A机软件关掉B机，才可完成切换，但是，插入的等待期间，在B机关掉A机之前，卫星处于短暂地“失控状态”，时间越长，卫星的安全隐患就越大。

进一步的，系统运行正常评判标准不易确定，尤其在双机都加电时，如软件按照单机加电时相同的流程正常运行软件，输出使能后，由于输出阻抗较低，两个单机同时输出时，改变了外设单机在星务计算机接口处的高阻特性，接口阻抗不匹配，导致接口输出失效，如异步RS-422接口，导致星务系统没有收到正常工作外设的信息反馈，不便于系统判断是星务分系统自身的故障，还是因双机共同加电阻抗不匹配造成星务计算机故障的假象；如输出不使能，则不能检查星务计算机输出端口的异常。

基于以上洞察，本发明提供了一种卫星双机切换系统及方法，通过第一星务分系统或第二星务分系统运行星务软件的主循环，首次运行后直接为对方单机(第二星务分系统或第一星务分系统)断电，第一监控分系统和第二监控分系统监控故障，在正在运行的星务分系统(第一星务分系统或第二星务分系统)出现故障时为对方单机上电，避免了对A、B机的判断，不需区分A、B机，也不需要判断系统运行正常，也不需要设置等待时间，只需正常运行，即对对方单机断电，避免了卫星处于短暂地“失控状态”的风险，消除了卫星的安全隐患。

附图说明

图1是现有的双机硬件自主选择流程示意图；

图2是本发明一实施例卫星双机切换系统看门狗硬件电路示意图；

图3是本发明一实施例卫星双机切换方法双机切换示意图。

具体实施方式

以下结合附图和具体实施例对本发明提出的卫星双机切换系统及方法作进一步详细说明。根据下面说明和权利要求书，本发明的优点和特征将更清楚。需说明的是，附图均采用非常简化的形式且均使用非精准的比例，仅用以方便、明晰地辅助说明本发明实施例的目的。

另外，除非另行说明，本发明的不同实施例中的特征可以相互组合。例如，可以用第二实施例中的某特征替换第一实施例中相对应或功能相同或相似的特征，所得到的实施例同样落入本申请的公开范围或记载范围。

本发明的核心思想在于提供一种卫星双机切换系统及方法，以解决现有的卫星双机切换方法存在安全性隐患的问题。

为实现上述思想，本发明提供了一种卫星双机切换系统及方法，包括：第一星务分系统，被配置为运行星务软件的主循环，以及首次运行后直接为第二星务分系统断电；第二星务分系统，被配置为运行星务软件的主循环，以及首次运行后直接为第一星务分系统断电；第一监控分系统，被配置为监控第一星务分系统的故障，以及在第一星务分系统出现故障时为第二星务分系统上电；第二监控分系统，被配置为监控第二星务分系统的故障，以及在第二星务分系统出现故障时为第一星务分系统上电。

本发明提出了一种快速可靠的卫星星务系统双机切换策略，将存在卫星长时间失控风险的软硬件耦合切换，替换为由看门狗硬件电路(包括第一看门狗电路和第二看门狗电路)切换，看门狗硬件电路完成系统故障监测，并给备份机(第一星务分系统或第二星务分系统)加电，被看门狗硬件电路加电的任一单机就可快速、简洁、可靠地关掉对方单机，运行本机系统，实现双机切换，快速接管卫星，完成星务分系统故障监测与恢复；星务分系统(第一星务分系统或第二星务分系统)运行的星务软件不需要区分A、B机，也不需要判断当前看门狗硬件电路对应的星务分系统是否运行正常，也不需要设置等待时间，只需看门狗硬件电路加电的星务分系统正常运行，即刻将对方单机断电。

本发明提出的快速可靠的卫星星务系统双机切换策略简化了双机切换的流程和判断，减少了切换时间，降低了卫星“失控”的风险，提高了星务系统的安全性和可靠性，保障了卫星的可靠和安全。

本发明提出的快速可靠的卫星星务系统双机切换策略需软硬件协同实现，即看门狗硬件电路给备份机加电，星务软件给对方单机断电。双机切换分为双机的系统自主切换和双机的地面直接指令切换。

其中：双机的系统自主切换流程如图3所示，包括：看门狗硬件电路的三级控制；当前单机(第一星务分系统或第二星务分系统)的看门狗硬件电路给备份机加电；以及备份机的星务软件给对方单机断电。

具体的，本发明的看门狗硬件电路完成对星务分系统故障监测和对对方单机加电，星务分系统双机切换的故障检测的看门狗硬件电路，现有的星务分系统的处理器内部集成有看门狗电路。在空间环境下，鉴于本发明方案中看门狗硬件电路的特殊功能，必须消除看门狗硬件电路与处理器之间的耦合关系，因此本发明中设计了一种使用外部电路实现的看门狗硬件电路，看门狗模块设计如图2所示，当星务分系统异常，看门狗硬件电路没有被及时清除，就会发生一次看门狗狗咬事件。

在本发明的一个实施例中，看门狗的三级控制包括：第一次狗咬进入NMI，星务软件根据遥测信息进行对可能的异常的变量和端口进行初始化；第二次狗咬复位本机，并产生热启动标志，则进行故障检测和恢复，如可运行正常，则可正常喂硬件狗，则不会进入第三次狗咬，不会进入后续给备份机加电的双机切换流程；第三次狗咬仅给备份机加电，当前单机不复位。由星务软件实现后续的断电流程。

在本发明的一个实施例中，备份机的星务软件给对方单机断电包括：看门狗硬件电路给备份机加电，备份机冷启动，初始化所有内存和全局变量，读取双机交互的重要信息，开始运行星务软件，星务软件进入主循环，写入双机交互的重要数据，判断：如是复位后的首次运行，则不需A、B机的判断，不需区分A、B机，也不需要判断系统运行正常，也不需要设置等待时间，只需给备份机断电，再运行主循环，运行星务软件；如是复位后的不是首次运行，不需给对方单机断电，只运行主循环，运行星务软件。

进一步的，双机的地面直接指令切换流程如下：地面指挥中心上传双机切换指令(包括复位指令和初始上电指令)；双机切换指令给备份机加电；以及备份机的星务软件给对方单机断电。

具体的，地面直接指令切换流程如图3所示，其中备份机的星务软件给对方单机断电包括：当前第一星务分系统A机为当前单机正在运行，则地面指挥中心发送第二星务分系统B机开指令，B机加电，此时：A机不是复位后的首次运行，不需给B机断电，只运行主循环，运行星务软件：B机冷启动，初始化所有内存和全局变量，读取双机交互的重要信息，开始运行星务软件，星务务软件进入主循环，写入双机交互的重要数据，此时B机为首次运行，则不需A、B机的判断，不需区分A、B机，也不需要判断系统运行正常，也不需要设置等待时间，只需给A机断电，再运行主循环，运行星务软件；完成切机。

另外，看门狗硬件电路和地面指挥中心发送的复位指令均会触发热启动标志。冷启动标志只有在初始上电产生星务复位后，因对方单机未加电，才会产生，冷热启动标志用于初始化的范围选择，冷启动时，需全部初始化内存和全局变量，热启动不需要初始化延时遥测区和重要信息。

本发明设计是一种卫星设备的双机切换策略，特别是应用于高可靠性自主运行的双机冷备份的系统中，尤其是冷备份的卫星星务分系统的切换，保障卫星安全可靠。

快速可靠的卫星星务系统双机切换策略是在采用硬件看门狗给对方机加电，双机同时加电时，避免了对A、B机的判断，不需区分A、B机，也不需要判断系统运行正常，也不需要设置等待时间，被看门狗加电的的任一单机就可快速、简洁、可靠地关掉对方单机，运行本机系统，实现双机切换，快速接管卫星，完成星务分系统故障监测与恢复。

综上，上述实施例对卫星双机切换系统及方法的不同构型进行了详细说明，当然，本发明包括但不局限于上述实施中所列举的构型，任何在上述实施例提供的构型基础上进行变换的内容，均属于本发明所保护的范围。本领域技术人员可以根据上述实施例的内容举一反三。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

上述描述仅是对本发明较佳实施例的描述，并非对本发明范围的任何限定，本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims (3)

1.一种卫星双机切换系统，其特征在于，包括：

第一星务分系统，被配置为运行星务软件的主循环，以及

首次正常运行后星务软件直接为第二星务分系统断电；

第二星务分系统，被配置为运行星务软件的主循环，以及

首次正常运行后星务软件直接为第一星务分系统断电；

第一监控分系统，被配置为监控第一星务分系统的故障；

第二监控分系统，被配置为监控第二星务分系统的故障；

其中所述第一监控分系统为第一看门狗电路，其中：

第一看门狗电路检测到第一次狗咬后，产生NM I指令发送至第一星务分系统；

第一看门狗电路检测到第二次狗咬后，产生复位指令发送至第一星务分系统；

第一看门狗电路检测到第三次狗咬后，产生初始上电指令发送至第二星务分系统；

其中所述第二监控分系统为第二看门狗电路，其中：

第二看门狗电路检测到第一次狗咬后，产生NM I指令发送至第二星务分系统；

第二看门狗电路检测到第二次狗咬后，产生复位指令发送至第二星务分系统；

第二看门狗电路检测到第三次狗咬后，产生初始上电指令发送至第一星务分系统；

其中所述第一星务分系统或所述第二星务分系统根据NMI指令进入NM I状态，

在NM I状态下，所述第一星务分系统或第二星务分系统根据遥测信息对故障变量和故障端口进行初始化；

所述第一星务分系统或第二星务分系统继续运行主循环；

其中所述第一星务分系统或第二星务分系统根据复位指令进入复位状态，

在复位状态下，复位指令触发第一星务分系统或第二星务分系统产生热启动标志；

第一星务分系统或第二星务分系统根据热启动标志对内存和全局变量进行初始化，其中所述初始化不包括对延时遥测区和双机交互的重要信息进行初始化；

第一星务分系统或第二星务分系统根据热启动标志进行故障检测和恢复；

若第一星务分系统或第二星务分系统根据故障检测和恢复判断能够正常运行，则将第一看门狗电路或第二看门狗电路的狗咬次数清零；

双机交互的重要信息包括：卫星系统时间和姿控工作模式、单机开关机状态、加热器的开关状态、轨道信息和出入境信息；

其中所述第一星务分系统或第二星务分系统根据初始上电指令进入冷启动状态，

在冷启动状态下，初始上电指令触发第一星务分系统或第二星务分系统产生冷启动标志；

第一星务分系统或第二星务分系统根据冷启动标志对内存和全局变量进行全部初始化；

所述第一星务分系统根据冷启动标志对第二星务分系统进行断电，或所述第二星务分系统根据冷启动标志对第一星务分系统进行断电；

其中所述第一星务分系统根据冷启动标志读取双机交互的重要信息，开始运行星务软件的主循环，所述主循环包括：

应用层软件运行；

双机交互的重要信息写入第一星务分系统的FIFO；

双机交互的重要信息写入第二星务分系统；

将第一看门狗电路的狗咬次数清零；

判断所述第一星务分系统是否是首次运行主循环，若是则关闭所述第二星务分系统后返回主循环，否则直接返回主循环；

其中所述第二星务分系统根据冷启动标志读取双机交互的重要信息，开始运行星务软件的主循环，所述主循环包括：

应用层软件运行；

双机交互的重要信息写入第二星务分系统的FIFO；

双机交互的重要信息写入第一星务分系统；

将第二看门狗电路的狗咬次数清零；

判断所述第二星务分系统是否是首次运行主循环，若是则关闭所述第一星务分系统后返回主循环，否则直接返回主循环。

2.如权利要求1所述的卫星双机切换系统，其特征在于，

地面指挥中心向第一星务分系统或第二星务分系统发送复位指令，复位指令触发第一星务分系统或第二星务分系统产生热启动标志；

地面指挥中心向第一星务分系统或第二星务分系统发送初始上电指令，初始上电指令触发第一星务分系统或第二星务分系统产生冷启动标志。

3.一种卫星双机切换方法，其特征在于，包括：

系统初始化上电后，进行以下循环：

第一星务分系统运行星务软件的主循环，第二星务分系统维持断电状态不变；

第一监控分系统监控第一星务分系统的故障，若第一星务分系统出现故障，则为第二星务分系统上电；

第二星务分系统开始运行星务软件的主循环，首次正常运行后星务软件直接为第一星务分系统断电；

第二监控分系统监控第二星务分系统的故障，若第二星务分系统出现故障，则为第一星务分系统上电；

返回继续执行循环；

其中所述第一监控分系统为第一看门狗电路，第一监控分系统监控第一星务分系统的故障，若第一星务分系统出现故障，则为第二星务分系统上电，具体为：

第一看门狗电路检测到第一次狗咬后，产生NM I指令发送至第一星务分系统；

第一看门狗电路检测到第二次狗咬后，产生复位指令发送至第一星务分系统；

第一看门狗电路检测到第三次狗咬后，产生初始上电指令发送至第二星务分系统；

其中所述第二监控分系统为第二看门狗电路，第二监控分系统监控第二星务分系统的故障，若第二星务分系统出现故障，则为第一星务分系统上电，具体为：

第二看门狗电路检测到第一次狗咬后，产生NM I指令发送至第二星务分系统；

第二看门狗电路检测到第二次狗咬后，产生复位指令发送至第二星务分系统；

第二看门狗电路检测到第三次狗咬后，产生初始上电指令发送至第一星务分系统；

其中所述第一星务分系统或所述第二星务分系统根据NMI指令进入NM I状态，

在NM I状态下，所述第一星务分系统或第二星务分系统根据遥测信息对故障变量和故障端口进行初始化；

所述第一星务分系统或第二星务分系统继续运行主循环；

其中所述第一星务分系统或第二星务分系统根据复位指令进入复位状态，

在复位状态下，复位指令触发第一星务分系统或第二星务分系统产生热启动标志；

第一星务分系统或第二星务分系统根据热启动标志对内存和全局变量进行初始化，其中所述初始化不包括对延时遥测区和双机交互的重要信息进行初始化；

第一星务分系统或第二星务分系统根据热启动标志进行故障检测和恢复；

若第一星务分系统或第二星务分系统根据故障检测和恢复判断能够正常运行，则将第一看门狗电路或第二看门狗电路的狗咬次数清零；

双机交互的重要信息包括：卫星系统时间和姿控工作模式、单机开关机状态、加热器的开关状态、轨道信息和出入境信息；

其中所述第一星务分系统或第二星务分系统根据初始上电指令进入冷启动状态，

在冷启动状态下，初始上电指令触发第一星务分系统或第二星务分系统产生冷启动标志；

第一星务分系统或第二星务分系统根据冷启动标志对内存和全局变量进行全部初始化；

所述第一星务分系统根据冷启动标志对第二星务分系统进行断电，或所述第二星务分系统根据冷启动标志对第一星务分系统进行断电；

其中所述第一星务分系统根据冷启动标志读取双机交互的重要信息，开始运行星务软件的主循环，所述主循环包括：

应用层软件运行；

双机交互的重要信息写入第一星务分系统的FIFO；

双机交互的重要信息写入第二星务分系统；

将第一看门狗电路的狗咬次数清零；

判断所述第一星务分系统是否是首次运行主循环，若是则关闭所述第二星务分系统后返回主循环，否则直接返回主循环；

其中所述第二星务分系统根据冷启动标志读取双机交互的重要信息，开始运行星务软件的主循环，所述主循环包括：

应用层软件运行；

双机交互的重要信息写入第二星务分系统的FIFO；

双机交互的重要信息写入第一星务分系统；

将第二看门狗电路的狗咬次数清零；

判断所述第二星务分系统是否是首次运行主循环，若是则关闭所述第一星务分系统后返回主循环，否则直接返回主循环。