CN115934143B - 星载gnss掩星接收机cpu软件在轨增量升级方法 - Google Patents

Abstract

本发明提供了一种星载GNSS掩星接收机CPU软件在轨增量升级方法，包括软件结构，软件结构设有多个CPU和一个对外交互CPU，对外交互CPU分别与多个CPU通信连接；将软件结构中的每个CPU均分成BOOT软件和应用软件两个软件；BOOT软件和应用软件分别对应CPU内的FLASH不同段。本发明有益效果：在软件升级时，只对更改部分的程序进行更动，未更改部分的程序不会变更，采用这样的增量方式，能减少软件升级的数据包数量，减少占用地面数传链路的时间；本方法具备对单包数据的完整性、正确性判断，有任何异常的发生，都不会讲该异常程序数据包存储到内部flash中，且会将相关校验状态通过星上遥测，反馈到地面，可进行重新传输。

Description

星载GNSS掩星接收机CPU软件在轨增量升级方法

技术领域

本发明属于星载设备升级领域，尤其是涉及一种星载GNSS掩星接收机CPU软件在轨增量升级方法。

背景技术

星载GNSS掩星接收机CPU软件是星载掩星载荷的核心处理部分，主要负责GNSS掩星信号的接收处理，以及数据缓存、下发工作，数据经地面解析处理后，可以获取全球电离层电子密度、大气温湿压信息等气象信息。目前星载设备软件升级主要面临传输链路不稳定、过境时间短、存在误码、设备在轨工作可能发生异常复位、设备存在多CPU软件等问题。

发明内容

有鉴于此，本发明旨在提出一种星载GNSS掩星接收机CPU软件在轨增量升级方法，以解决传输链路不稳定、过境时间短、存在误码、设备在轨工作可能发生异常复位、设备存在多CPU软件等问题。

为达到上述目的，本发明的技术方案是这样实现的：

一种星载GNSS掩星接收机CPU软件在轨增量升级方法，包括以下步骤：

S1、包括软件结构，所述软件结构设有多个CPU和一个对外交互CPU，所述对外交互CPU分别与多个CPU通信连接，所述对外交互CPU负责对外交互；将软件结构中的每个CPU均分成BOOT软件和应用软件两个软件；

S2、BOOT软件和应用软件分别对应CPU内的FLASH不同段；

S3、BOOT软件负责应用程序的加载，以及对上注的应用程序进行CRC32校验来判断程序正确性，如果上注的应用程序校验正确，则加载上注的应用程序；

S4、应用软件开发编译，将经步骤S2校验后的应用程序生成的目标文件，通过手动修改内存分配文件，固定分配到不同的FLASH存储区段中，每段FLASH存储区段预留20%的空间；

S5、对外交互CPU缓存其他所有CPU的应用软件增量升级数据包，且将应用软件增量升级数据包按CPU软件序号，缓存到不同的FLASH存储区段；

S6、当应用软件出现问题或新增功能需要更动需要升级时，通过使用比对软件，比对对应CPU应用软件更动前和更动后的二进制烧录文件，获取两个二进制烧录文件中二进制信息不一致数据，并形成增量软件升级包；

S7、将增量软件升级包，封装成上注软件程序包，上注软件程序包的每包信息中均含有总包数、当前包计数信息，以及当前包的累加和校验；

S8、在向掩星接收机发送步骤S7制作的上注软件程序包前，通过地面控制端向掩星接收机发送对应CPU应用软件上注允许指令，对外交互CPU擦除对应CPU应用软件上注数据包缓存区段FLASH，对应CPU也会擦除自身上注程序存储区；

S9、地面控制端向掩星接收机发送应用程序升级上注数据包，对外交互CPU对接收的应用程序升级上注数据包进行CRC32校验，如果校验通过会将应用程序升级上注数据包存储到对应CPU上注数据包缓存区，如果校验错误会丢弃；

S10、所有上注包发送完成后，通过地面控制端向掩星接收机发送对应CPU应用软件上注结束指令，掩星接收机对之前缓存的所有上注包进行累加和正确性校验；

S11、地面控制端向掩星载荷发送对应CPU应用软件启动指令，如步骤S10的指令反馈的校验错误，则本指令无任何操作；如步骤S10的指令反馈的校验正确，掩星接收机再进行一次缓存数据包的累加和正确性校验，确认无问题，并同时进入步骤S12、步骤S13；

S12、如步骤S11的CPU应用软件启动指令对应CPU为对外交互CPU本身，则对外交互CPU执行比对生成工作，比对生成工作结束后，CPU应用软件自复位，对外交互CPU执行程序重构及加载工作，地面控制端通过软件版本号判断CPU应用软件是否正确升级；

S13、如步骤S11的CPU应用软件启动指令对应CPU是其他CPU，则对外交互CPU会将缓存的增量升级包通过CPU间的高速总线传输给对应CPU，对应CPU按照步骤S12中对外交互CPU的程序重构及加载工作，进行新程序的重构、判断及加载。

进一步的，在步骤S4中的每段FLASH存储区段预留20%的空间需通过人工计算得出。

进一步的，在步骤S6中的二进制信息不一致数据包括不一致位置的地址、不一致信息内容、不一致信息长度，所述二进制信息不一致数据不超过506字节，若超过该长度会开始新的一包增量升级包。

进一步的，在步骤S10中的累加和正确性校验中，若校验通过，掩星接收机会通过遥测反馈校验状态；若校验错误，掩星接收机会擦除之前缓存的所有上注升级信息，并通过遥测将错误状态反馈到地面控制端。

进一步的，在步骤S12中的比对生成工作包括以下步骤：

A1、对外交互CPU读取缓存的增量升级包和当前运行版本程序FLASH内容；

A2、将步骤A1的增量升级包信息和当前运行版本程序FLASH内容进行合并；

A3、步骤A2合并完成后，形成1份新应用程序，然后将1份新应用程序，复制到对外交互CPU的另外两个上注应用程序存储区，完成3备份新应用程序的生成，比对生成工作结束。

进一步的，所述3备份新应用程序中带有CRC32校验码。

进一步的，在步骤S12中的对外交互CPU执行程序重构及加载工作包括以下步骤：

B1、对外交互CPU的BOOT软件读取3备份新应用程序并做3取2操作；

B2、对3备份新应用程序进行CRC32校验计算，并同时进入步骤B3、步骤B4；

B3、如计算获取的CRC32校验值与3备份新应用程序尾带有的CRC32校验值一致，则会将原程序擦除，并将3备份程序读出进行3取2操作后，写入到运行区并加载；

B4、如校验判断不一致，则不会加载新程序，仍运行原程序。

相对于现有技术，本发明所述的星载GNSS掩星接收机CPU软件在轨增量升级方法具有以下优势：

（1）本发明所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，在软件升级时，只对更改部分的程序进行更动，未更改部分的程序不会变更，采用这样的增量方式，能减少软件升级的数据包数量，减少占用地面数传链路的时间；本方法具备对单包数据的完整性、正确性判断，有任何异常的发生，都不会讲该异常程序数据包存储到内部flash中，且会将相关校验状态通过星上遥测，反馈到地面，可进行重新传输。

（2）本发明所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，本方法支持乱序上传，即地面上传软件升级包时，如果发生漏包、丢包现象，可仅补发漏包、丢包，无需擦除全部上注信息重新传输；本方法支持断电续传，由于卫星过境时间短（每次过境仅有10分钟左右的窗口期），当一次过境上注未完成时，可下一次过境期间再进行上传，且两次过境期间，单机无需一直上电，可根据规划，进行断电、上电控制，缓存的上注软件升级包不会丢失；本方法支持在轨重构，增量程序升级上注包上注完成后，可重构生成新的完整程序文件，且该文件带有校验码，可通过校验码判断重构文件的正确性和完整性，只有保证重构程序正确，才会加载新程序，否则CPU仍将运行当前程序。

（3）本发明所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，本方法增加了程序的防错能力，即当地面制作增量程序升级数据包时，需要选择基线版本程序和更新程序的烧录文件。当选择错误的基线程序烧录文件时，生成的增量包中的校验信息与在轨重构后新程序的校验结果不匹配，不会加载错误程序；新程序具备3备份程序，加载和校验时，均采用3取2操作，程序可靠性高。

附图说明

构成本发明的一部分的附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例所述的软件架构整体示意图；

图2为本发明实施例所述的对外交互CPU FLASH区域分配示意图；

图3为本发明实施例所述的其他CPU FLASH区域分配示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

在本发明的描述中，需要理解的是，术语“中心”、“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”等的特征可以明示或者隐含地包括一个或者更多个该特征。在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以通过具体情况理解上述术语在本发明中的具体含义。

下面将参考附图并结合实施例来详细说明本发明。

如图1至图3所示，星载GNSS掩星接收机CPU软件在轨增量升级方法，包括以下步骤：

1、掩星载荷有多个CPU，仅有1个CPU负责对外交互，软件架构如图1所示，每个CPU均分成BOOT软件(BOOT软件的格式为XX_BOOT，例如第一个CPU的BOOT软件格式命名为TD1_BOOT，第二个CPU的BOOT软件格式命名为TD2_BOOT等等，依照掩星载荷内的CPU个数依次命名，其中对外交互CPU的BOOT软件格式为JK_BOOT)和应用软件（应用软件的格式为XX_APP_VXXX，例如第一个CPU的应用软件格式命名为TD1_APP_VXXX，例如第二个CPU的应用软件格式命名为TD2_APP_VXXX等等，依照掩星载荷内的CPU个数依次命名，其中对外交互CPU的应用软件格式为JK_APP_VXXX）两个软件；

2、BOOT软件和应用软件分别对应FLASH不同段；

3、BOOT软件负责应用程序的加载，以及对上注的应用程序进行CRC32校验来判断程序的完整性和正确性，如果上注的应用程序校验正确，则加载上注的应用程序；

4、应用软件开发编译时，将步骤2中应用软件程序文件生成的目标文件，通过手动修改内存分配文件，固定分配到不同的FLASH存储区段中，且为后续可能的程序扩展，通过人工计算，每段区域预留20%的空间；

5、对外交互CPU会缓存其他所有CPU的应用软件增量升级数据包，且将这些数据包按CPU软件序号，缓存到不同的FLASH存储区段；

6、当应用软件发现问题(内部算法问题、内部逻辑错误以及时序异常等问题)，或新增功能需要更动需要升级时，通过使用比对软件(INC_Pack_App)，比对对应CPU应用软件更动前和更动后的二进制烧录文件，获取两个文件中二进制信息不一致位置的地址、不一致信息内容、不一致信息长度（不超过506字节，超过该长度会开始新的一包增量升级包），形成增量软件升级包；

7、将增量软件升级包，按照卫星总体方的协议要求，使用自研处理软件（XX_Display_App）封装成整型要求的上注软件程序包，该类数据包，每包信息中都含有总包数、当前包计数信息，以及当前包的累加和校验；

8、在向掩星接收机发送步骤7制作的上注软件程序包前，通过地面控制端，向掩星接收机发送对应CPU应用软件上注允许指令，掩星接收机对外交互CPU会擦除对应CPU应用软件上注数据包缓存区段FLASH，对应CPU也会擦除自身上注程序存储区；

9、地面控制端，可分多轨，向掩星接收机发送应用程序升级上注数据包，对外交互CPU会对接收数据包进行CRC32校验，如果校验通过会将该数据包存储到对应CPU上注数据包缓存区，如果校验错误会丢弃；

10、所有上注包发送完成后，通过地面控制端，向掩星接收机发送对应CPU应用软件上注结束指令，掩星接收机会对之前缓存的所有上注包进行连续性、完整性、累加和正确性校验，校验通过后，会通过遥测反馈校验状态。如校验错误，会擦除之前缓存的所有上注升级信息，会通过遥测将错误状态（帧序号不连续、总包数与实际接收包数不匹配、数据包校验错等）反馈到地面；

11、地面控制端向掩星载荷发送对应CPU应用程序启动指令（发送到对外交互CPU里，对外交互CPU再向各个CPU发送），如上一步指令反馈的校验错误，则本指令无任何操作。如上一步指令反馈的校验正确，掩星接收机会再进行一次缓存数据包的连续性、完整性、正确性校验，却认无问题；

12、如果上一步CPU应用程序启动指令对应CPU为对外交互CPU本身，对外交互CPU会读取缓存的增量升级包信息和当前运行版本程序FLASH内容，进行合并后，生成单份新应用程序，然后将单份新应用程序复制到对外交互CPU的另外2个上注应用程序存储区，完成3备份新应用程序生成工作，（为后面3取2操作使用）。3备份新应用程序带有程序正确性信息（CRC32校验码）。比对生成工作结束后，软件自复位，由对外交互CPU的BOOT软件，读取3备份新应用程序并做3取2操作，对新程序进行CRC32校验计算，如计算获取的CRC32校验值与新应用程序尾带有的CRC32校验值一致，则会将原程序擦除，将3备份程序读出进行3取2操作后，写入到运行区并加载。如校验判断不一致，则不会加载新程序，仍运行原始程序。地面可通过软件版本号判断软件是否正确升级。对外交互CPU软件FLASH分配如图2所示。

13、如果步骤11最后判断的缓存增量软件升级数据包对应的CPU是其他CPU，则对外交互CPU会将缓存数据包，通过CPU间的高速总线传输给对应CPU，对应CPU会读取缓存的增量升级包信息和当前运行版本程序FLASH内容，进行合并后，生成单份新应用程序，然后将单份新应用程序复制到其他CPU的另外2个上注应用程序存储区，完成3备份新应用程序生成工作，（为后面3取2操作使用）。3备份的新程序带有程序正确性信息（CRC32校验码）。比对生成工作结束后，软件自复位，由本CPU的BOOT软件，读取3备份新应用程序并做3取2操作，对新程序进行CRC32校验计算，如计算获取的CRC32校验值与新应用程序尾带有的CRC32校验值一致，则会将原程序擦除，将3备份程序读出进行3取2操作后，写入到运行区并加载。如校验判断不一致，则不会加载新程序，仍运行原始程序。地面可通过软件版本号判断软件是否正确升级。其他软件CPU flash分配方案如图3所示。

本发明针对星载GNSS掩星接收机CPU软件升级存在多种问题的现状，使用本升级方法的软件升级所需要的变更内容，受程序更动量大小的影响，减小上注数据包数据，同时增加了多种校验、程序可靠性策略、程序完整性判断以及断电续传功能，提高了在轨软件升级的可靠性。

本升级方法的优势：

1、软件升级时，只对更改部分的程序进行更动，未更改部分的程序不会变更，采用这样的增量方式，能减少软件升级的数据包数量，减少占用地面数传链路的时间；

2、本方法具备对单包数据的完整性、正确性判断，有任何异常的发生，都不会讲该异常程序数据包存储到内部flash中，且会将相关校验状态通过星上遥测，反馈到地面，可进行重新传输；

3、本方法支持乱序上传，即地面上传软件升级包时，如果发生漏包、丢包现象，可仅补发漏包、丢包，无需擦除全部上注信息重新传输；

4、本方法支持断电续传，由于卫星过境时间短（每次过境仅有10分钟左右的窗口期），当一次过境上注未完成时，可下一次过境期间再进行上传，且两次过境期间，单机无需一直上电，可根据规划，进行断电、上电控制，缓存的上注软件升级包不会丢失；

5、本方法支持在轨重构，增量程序升级上注包上注完成后，可重构生成新的完整程序文件，且该文件带有校验码，可通过校验码判断重构文件的正确性和完整性，只有保证重构程序正确，才会加载新程序，否则CPU仍将运行当前程序；

6、本方法增加了程序的防错能力，即当地面制作增量程序升级数据包时，需要选择基线版本程序和更新程序的烧录文件。当选择错误的基线程序烧录文件时，生成的增量包中的校验信息与在轨重构后新程序的校验结果不匹配，不会加载错误程序；

7、新程序具备3备份程序，加载和校验时，均采用3取2操作，程序可靠性高。

实施例1

1. 对外交互CPU程序文件分配

对外交互CPU共占用3个扇区：

a) 扇区1为BOOT程序区；

b) 扇区2和扇区3为应用程序区；

c) 扇区3最后4字节为应用程序CRC32校验码；

2. 其他CPU程序文件分配

其他CPU共占用10个扇区：

a) 扇区1为BOOT程序区；

b) 扇区2-扇区10为应用程序区；

c) 扇区10最后4字节为应用程序CRC32校验码；

3. 应用程序增量文件生成

应用程序增量文件包括：

a) 上注标识；

b) 上注程序信息；

c) 校验和信息；

4. 应用程序上注数据包生成

应用程序上注包包括：

a) 总线协议帧标志；

b) 上注包类型标志；

c) 应用程序增量文件内容；

d) 总线层校验信息。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.星载GNSS掩星接收机CPU软件在轨增量升级方法，其特征在于：包括以下步骤：

S1、包括软件结构，所述软件结构设有多个CPU和一个对外交互CPU，所述对外交互CPU分别与多个CPU通信连接，所述对外交互CPU负责对外交互；将软件结构中的每个CPU均分成BOOT软件和应用软件两个软件；

S2、BOOT软件和应用软件分别对应CPU内的FLASH不同段；

S3、BOOT软件负责应用程序的加载，以及对上注的应用程序进行CRC32校验来判断程序正确性，如果上注的应用程序校验正确，则加载上注的应用程序；

S4、应用软件开发编译，将经步骤S2校验后的应用程序生成的目标文件，通过手动修改内存分配文件，固定分配到不同的FLASH存储区段中，每段FLASH存储区段预留20%的空间；

S5、对外交互CPU缓存其他所有CPU的应用软件增量升级数据包，且将应用软件增量升级数据包按CPU软件序号，缓存到不同的FLASH存储区段；

S6、当应用软件出现问题或新增功能需要更动需要升级时，通过使用比对软件，比对对应CPU应用软件更动前和更动后的二进制烧录文件，获取两个二进制烧录文件中二进制信息不一致数据，并形成增量软件升级包；

S7、将增量软件升级包，封装成上注软件程序包，上注软件程序包的每包信息中均含有总包数、当前包计数信息，以及当前包的累加和校验；

S8、在向掩星接收机发送步骤S7制作的上注软件程序包前，通过地面控制端向掩星接收机发送对应CPU应用软件上注允许指令，对外交互CPU擦除对应CPU应用软件上注数据包缓存区段FLASH，对应CPU也会擦除自身上注程序存储区；

S9、地面控制端向掩星接收机发送应用程序升级上注数据包，对外交互CPU对接收的应用程序升级上注数据包进行CRC32校验，如果校验通过会将应用程序升级上注数据包存储到对应CPU上注数据包缓存区，如果校验错误会丢弃；

S10、所有上注包发送完成后，通过地面控制端向掩星接收机发送对应CPU应用软件上注结束指令，掩星接收机对之前缓存的所有上注包进行累加和正确性校验；

S11、地面控制端向掩星载荷发送对应CPU应用软件启动指令，如步骤S10的指令反馈的校验错误，则本指令无任何操作；如步骤S10的指令反馈的校验正确，掩星接收机再进行一次缓存数据包的累加和正确性校验，确认无问题，并同时进入步骤S12、步骤S13；

S12、如步骤S11的CPU应用软件启动指令对应CPU为对外交互CPU本身，则对外交互CPU执行比对生成工作，比对生成工作结束后，CPU应用软件自复位，对外交互CPU执行程序重构及加载工作，地面控制端通过软件版本号判断CPU应用软件是否正确升级；

S13、如步骤S11的CPU应用软件启动指令对应CPU是其他CPU，则对外交互CPU会将缓存的增量升级包通过CPU间的高速总线传输给对应CPU，对应CPU按照步骤S12中对外交互CPU的程序重构及加载工作，进行新程序的重构、判断及加载。

2.根据权利要求1所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，其特征在于：在步骤S4中的每段FLASH存储区段预留20%的空间需通过人工计算得出。

3.根据权利要求1所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，其特征在于：在步骤S6中的二进制信息不一致数据包括不一致位置的地址、不一致信息内容、不一致信息长度，所述二进制信息不一致数据不超过506字节，若超过该长度会开始新的一包增量升级包。

4.根据权利要求1所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，其特征在于：在步骤S10中的累加和正确性校验中，若校验通过，掩星接收机会通过遥测反馈校验状态；若校验错误，掩星接收机会擦除之前缓存的所有上注升级信息，并通过遥测将错误状态反馈到地面控制端。

5.根据权利要求1所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，其特征在于：在步骤S12中的比对生成工作包括以下步骤：

A1、对外交互CPU读取缓存的增量升级包和当前运行版本程序FLASH内容；

A2、将步骤A1的增量升级包信息和当前运行版本程序FLASH内容进行合并；

A3、步骤A2合并完成后，形成1份新应用程序，然后将1份新应用程序，复制到对外交互CPU的另外两个上注应用程序存储区，完成3备份新应用程序的生成，比对生成工作结束。

6.根据权利要求5所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，其特征在于：所述3备份新应用程序中带有CRC32校验码。

7.根据权利要求1所述的星载GNSS掩星接收机CPU软件在轨增量升级方法，其特征在于：在步骤S12中的对外交互CPU执行程序重构及加载工作包括以下步骤：

B1、对外交互CPU的BOOT软件读取3备份新应用程序并做3取2操作；

B2、对3备份新应用程序进行CRC32校验计算，并同时进入步骤B3、步骤B4；

B3、如计算获取的CRC32校验值与3备份新应用程序尾带有的CRC32校验值一致，则会将原程序擦除，并将3备份程序读出进行3取2操作后，写入到运行区并加载；

B4、如校验判断不一致，则不会加载新程序，仍运行原程序。

Images