CN104932954A - 微小卫星fpga关键数据保护方法 - Google Patents

Abstract

本发明公开了一种微小卫星FPGA关键数据保护方法，用于解决现有FPGA数据保护方法由于错误累积而致使保护能力差的技术问题。技术方案是首先将FPGA资源划分划分为逻辑结构、存储器资源和AHB-Lite总线。将关键数据的存储器资源，采用AHB-Lite总线挂载从机存储器方式，划分为三个关键存储器和一个普通存储器。结合三模冗余技术和纠错检测技术，实现单比特数据检测并纠正和多比特数据检测。如果出现单比特错误，纠错检测功能纠正数据。如果出现多比特错误，纠错检测功能产生检测中断和相应的错误数据地址，利用三模冗余技术重读存储器，纠正存储器错误数据。如果检测到单粒子翻转，回写存储器，使器件存储器数据恢复正常。

Description

微小卫星FPGA关键数据保护方法

技术领域

本发明涉及一种FPGA数据保护方法，特别是涉及一种微小卫星FPGA关键数据保护方法。

背景技术

相对于常规卫星，微小卫星具有质量轻，成本低，设计与制造周期短等特点，商用现货(COTS)器件的广泛使用使得微小卫星技术获得空前的发展。微小卫星空间电子设备稳定性的研究内容主要是FPGA的单粒子效应防护技术。从我国发射的若干卫星测试情况来看，SRAM型FPGA、DSP单粒子翻转引发了多次空间电子设备的功能故障。从单粒子翻转(SEU)的比例来看，配置存储器所占的比重最大(研究认为所占比重有时高达97％)，其次是LUT型的RAM、块状RAM和触发器。其他的单粒子效应如单粒子瞬态脉冲(SET)、单粒子功能中断(SEFI)所占比例较小。因此，单粒子效应防护主要是针对FPGA关键数据的空间单粒子翻转(SEU)效应进行保护。其中关键数据是指设备运行时所需初始化配置数据，如果这部分数据出现逻辑状态翻转错误，那么相应初始化工作就会失败，导致设备启动异常。

传统的存储器保护有两种方法：三模冗余技术和纠错检测(EDAC)技术。三模冗余是把存储数据备份三份，能够对出错的单个存储器容错，但无法定位与纠正错误，而导致错误的累积。纠错检测通过增加存储位数来纠正错误位，通常可实现单比特纠正，多比特检测，但纠正多比特错误会消耗较多存储资源。

文献“申请公开号是CN103680639A的中国发明专利”公开了一种随机存储器的周期性自检错恢复方法，实际上是一种基于FPGA的随机存储器保护方法。该方法通过基于随机存储器冗余处理后，对存储器输出数据实现“三取二”判决和数据一致性比较检测，实现检错功能。该方法有效的解决了传统冗余措施可能由于错误累积导致防护失效的问题和纠检错编码技术纠错能力算法限制的问题。但是该方法没有区分存储器数据错误是单比特错误还是多比特错误，对所有错误数据都采用“三取二”回写恢复。另外，该方法存储器采用非总线方式，使得***设计的可拓展性和兼容性变差。

发明内容

为了克服现有FPGA数据保护方法由于错误累积而致使保护能力差的不足，本发明提供一种微小卫星FPGA关键数据保护方法。该方法首先将FPGA资源划分划分为逻辑结构、存储器资源和AHB-Lite总线。设计关键数据的存储器资源分配方法，采用AHB-Lite总线挂载从机存储器方式，划分为三个关键存储器和一个普通存储器。结合三模冗余技术和纠错检测技术的特点，设计关键数据保护方法。纠错检测技术实现单比特数据检测并纠正和多比特数据检测，检测内部存储器的状态。在设备初始化阶段，首先读出关键数据存储器的数据，进行设备初始化配置。如果出现单比特错误，纠错检测功能纠正数据。如果出现多比特错误，纠错检测功能产生检测中断和相应的错误数据地址，利用三模冗余技术重读存储器，做“三取二”判断，纠正存储器错误数据。设备初始化结束后，定时性地自检和纠错三个关键数据存储器，进行“三取二”判断，如果检测到单粒子翻转，回写存储器，纠正存储器逻辑状态错误，使器件存储器数据恢复正常。

本发明解决其技术问题所采用的技术方案是：一种微小卫星FPGA关键数据保护方法，其特点是采用以下步骤：

步骤一、将FPGA的资源划分划分为逻辑结构、存储器资源和AHB-Lite总线。

a)FPGA逻辑结构实现对关键存储器的三模冗余检测与纠正。FPGA逻辑结构设计数据检测器、AHB-Lite主机和通信接口。数据检测器用于纠正数据的多比特错误。AHB-Lite主机提供存储器的访问接口给数据检测器。通信接口用于与其他设备通信。

b)存储器资源将数据储存在FPGA片上存储器中。

c)AHB-Lite总线符合ARM总线协议，设计连接FPGA逻辑结构与存储器资源。根据***设计需求，用户在FPGA逻辑不修改的情况下改变存储器数量和大小。

步骤二、关键数据存储器存放空间电子设备芯片配置数据，采用三模冗余设计，采用总线访问方式，存储器地址统一编址。三个存储器的地址从低到高顺序按字节编址，存储器的内容顺序访问。

步骤三、设计AHB-Lite主机和数据检测器的FPGA内部逻辑。

a)AHB-Lite主机，提供存储器的访问接口给数据检测器，产生与检测纠错码，产生多比特错误中断。

AHB-Lite主机采用有限状态机实现。逻辑设计上按照AHB-Lite总线的控制时序设计，在总线时钟上升沿驱动地址信号和控制信号，实现AHB-Lite主机对数据的读写操作。为了避免数据读写冲突，写优先级大读优先级。首先状态机位于空闲状态，当使能读写信号时，分别配置读或写的控制信号和地址信号；等待该地址的从机为空闲，如果从机空闲，读出或写入数据；在写入数据阶段，对数据产生纠错码，与数据合并后写入存储器，回到空闲状态；在读出数据阶段，将检测数据的纠错码，如果出现单比特错误则直接纠正与回写数据，如果出现多比特错误则产生中断信号，作为数据检测器中断如入，如果无错误则回到空闲状态。

b)数据检测器用于纠正读写数据的多比特错误，工作模式分为初始化纠正模式和定时自检模式。初始化纠正模式，处理由于设备初始化读出关键数据存储器数据时产生的多比特错误。定时自检模式，按照设定时间定时检测关键数据存储器，并纠正单粒子翻转引起的错误数据。为了避免与设备初始化出现数据访问冲突，初始化纠正模式优先级高于定时自检模式。当初始设备时，定时自检模式处于等待状态。当设备初始化结束，数据检测器将进入定时自检模式。为了避免与普通存储器数据访问冲突，数据检测器的优先级高于普通存储器访问，数据检测器工作过程中，普通数据传输暂时停止，等待检测完毕，然后重启普通数据传输。

数据检测器采用有限状态机实现。首先设备上电初始化进入初始化纠正模式，检查多比特错误中断发生，清除中断信号再更新地址到错误数据地址，读取三个存储器数据，错误数据直接重载为三取二数据，然后回到中断检测状态，初始化结束则返回空闲状态。设备初始化结束后数据检测器将定时进入定时自检模式。在空闲状态中，定时器计到了规定的检测时段且总线空闲，进入检测状态，地址计数器顺序产生第一个存储器地址，后两个存储器地址分别为基地址加上固定偏移量和基地址加上两倍的偏移量，分别读出三个存储器中相同偏移地址数据，并进行三取二操作，得到三取二数据。如果三个数据相同，基地址计数器加1进行下一个地址检测。如果出现其中一个存储器数据不匹配，证明此存储器上的数据需要修改，进入存储器数据重载状态，直接对该地址的数据重载为三取二的数据，再进行下一个地址检测。如果超出存储器末位地址，地址计数器恢复存储器地址并回到空闲状态。

三取二判决公式：判决电路逻辑为输出＝(数据1and数据2)or(数据1and数据3)or(数据2and数据3)。其中and表示与门电路，or表示或门电路。

定时自检模式中时间取决于关键数据的大小、***工作时钟和卫星轨道上空间辐射情况。用户配置定时自检的时间。需保证FPGA的存储器在每个翻转间隙执行至少一次刷新操作。

本发明的有益效果是：该方法首先将FPGA资源划分划分为逻辑结构、存储器资源和AHB-Lite总线。设计关键数据的存储器资源分配方法，采用AHB-Lite总线挂载从机存储器方式，划分为三个关键存储器和一个普通存储器。结合三模冗余技术和纠错检测技术的特点，设计关键数据保护方法。纠错检测技术实现单比特数据检测并纠正和多比特数据检测，检测内部存储器的状态。在设备初始化阶段，首先读出关键数据存储器的数据，进行设备初始化配置。如果出现单比特错误，纠错检测功能纠正数据。如果出现多比特错误，纠错检测功能产生检测中断和相应的错误数据地址，利用三模冗余技术重读存储器，做“三取二”判断，纠正存储器错误数据。设备初始化结束后，定时性地自检和纠错三个关键数据存储器，进行“三取二”判断，如果检测到单粒子翻转，回写存储器，纠正存储器逻辑状态错误，使器件存储器数据恢复正常。

下面结合附图和具体实施方式对本发明作详细说明。

附图说明

图1是本发明方法中FPGA设计框图。

图2是本发明方法中AHB-Lite主机状态图。

图3是本发明方法中数据检测器状态图。

图4是本发明微小卫星FPGA关键数据保护方法的流程图。

具体实施方式

参照图1-4。本发明微小卫星FPGA关键数据保护方法具体步骤如下：

设计FPGA，FPGA内部主要由逻辑结构、存储器资源和AHB-Lite总线构成。FPGA逻辑结构主要设计数据检测器、AHB-Lite主机、通信接口；存储器资源主要是FPGA的内部存储器。FPGA的存储器是主要的保护对象，根据FPGA存储器的重要性采用分类加固设计，分为关键存储器保护部分和普通存储器部分。两个部分采用有区别的保护方式。

本实施方式从FPGA的资源划分方法、关键数据的存储器资源分配方法、关键数据保护方法三个方面详细描述：

1、FPGA的资源划分方法：FPGA内部划分为逻辑结构、存储器资源和AHB-Lite总线。下面分别说明：

a)FPGA逻辑结构实现对关键存储器的三模冗余检测与纠正。FPGA逻辑结构主要设计数据检测器、AHB-Lite主机、通信接口。数据检测器主要用于纠正数据的多比特错误。AHB-Lite主机提供存储器的访问接口给数据检测器。通信接口设计用于与其他设备通信。

b)存储器资源将数据储存在FPGA片上存储器中，操作简单、稳定。相对于外部存储器，该设计减少外部存储器件的使用，减小单粒子效应的影响范围，并且当前的FPGA片上存储器容量丰富，能满足存储空间的需求。普通存储器存放非关键数据，对设备正常工作无影响，如：传输图像数据。

c)AHB-Lite总线符合ARM总线协议，设计连接FPGA逻辑结构与存储器资源。AHB-Lite总线方式读写稳定，避免读写冲突，使***具有可拓展性，即：根据***设计需求，用户在FPGA逻辑不修改的情况下改变存储器数量和大小。

2、关键数据的存储器资源分配方法：关键数据存储器存放空间电子设备芯片配置数据，采用三模冗余设计，数据分别备份三份。它放置设备初始化重要数据的存储器。由于采用总线访问方式，存储器地址统一编址。三个存储器的地址从低到高顺序按字节编址，存储器的内容顺序访问，他们对应数据之间存在固定偏移量(FixedAddressOffset)。三个存储器的两种划分方式：一个存储器不同存储区域，三个独立存储器。这两种划分方式的寻址方式都是一样的。用户根据***设计需求改变存储器数量和大小。

3、关键数据保护方法：关键数据保护在前两种实施方式的基础上，设计AHB-Lite主机和数据检测器的FPGA内部逻辑。这两个模块的逻辑设计是FPGA关键数据保护的核心内容。具体实施方式如下：

a)AHB-Lite主机，提供存储器的访问接口给数据检测器，产生与检测纠错码，产生多比特错误中断。

AHB-Lite主机的设计方法采用有限状态机实现。逻辑设计上按照AHB-Lite总线的控制时序设计，在总线时钟上升沿驱动地址信号和控制信号，实现AHB-Lite主机对数据的读写操作。为了避免数据读写冲突，写优先级大读优先级。首先状态机位于“空闲”状态，当使能读写信号时，分别配置读或写的控制信号和地址信号；等待该地址的从机为空闲，如果从机空闲(HREADY＝＝1)，读出或写入数据；在写入数据阶段，对数据产生纠错码，与数据合并后写入存储器，回到“空闲”状态；在读出数据阶段，将检测数据的纠错码，如果出现单比特错误则直接纠正与回写数据，如果出现多比特错误则产生中断信号，作为数据检测器中断如入，如果无错误则回到“空闲”状态。

b)数据检测器，主要用于纠正读写数据的多比特错误，工作模式分为初始化纠正模式和定时自检模式。初始化纠正模式，处理由于设备初始化读出关键数据存储器数据时产生的多比特错误。定时自检模式，按照设定时间定时检测关键数据存储器，并纠正单粒子翻转引起的错误数据。为了避免与设备初始化出现数据访问冲突，初始化纠正模式优先级高于定时自检模式。当初始设备时，定时自检模式处于等待状态。当设备初始化结束，数据检测器将进入定时自检模式。为了避免与普通存储器数据访问冲突，数据检测器的优先级高于普通存储器访问，数据检测器工作过程中，普通数据传输暂时停止，等待检测完毕，然后重启普通数据传输。

数据检测器的设计方法采用有限状态机实现。首先设备上电初始化进入初始化纠正模式，检查多比特错误中断发生，清除中断信号再更新地址到错误数据地址，读取三个存储器数据，错误数据直接重载为“三取二”数据，然后回到“中断检测”状态，初始化结束则返回“空闲”状态。设备初始化结束后数据检测器将定时进入定时自检模式。在“空闲”状态中，定时器计到了规定的检测时段且总线空闲，进入“检测”状态，地址计数器顺序产生第一个存储器地址(Base Address,基地址)，后两个存储器地址分别为基地址加上固定偏移量(Base+Offset)和基地址加上两倍的偏移量(Base+2*Offset)，分别读出三个存储器中相同偏移地址数据，并进行“三取二”操作，得到“三取二”数据。如果三个数据相同，基地址计数器加1进行下一个地址检测。如果出现其中一个存储器数据不匹配，证明此存储器上的数据需要修改，进入存储器数据重载状态，直接对该地址的数据重载为“三取二”的数据，再进行下一个地址检测。如果超出存储器末位地址，地址计数器恢复存储器地址并回到“空闲”状态。

“三取二”判决公式：判决电路逻辑为输出＝(数据1and数据2)or(数据1and数据3)or(数据2and数据3)。(and表示与门电路，or表示或门电路)

定时自检模式的实施方式中时间取决于关键数据的大小、***工作时钟和卫星轨道上空间辐射情况。用户配置定时自检的时间。需要说明的是方法需保证FPGA的存储器在每个翻转间隙执行至少1次刷新操作。

结合以上具体实施方式，制定本发明的关键数据保护方法流程图。在设备初始化阶段，AHB-Lite主机首先读出关键数据存储器的数据，进行设备初始化配置。如果出现单比特错误，纠错检测功能纠正数据。如果出现多比特错误，纠错检测功能产生检测中断和相应的错误数据地址，通知数据检测器。数据检测器更新地址为错误数据对应的地址，完成“三取二”数据重载。设备初始化结束，数据检测器定时性地自检三个关键数据存储器，进行“三取二”判决，保证数据正确性。

Claims (1)

1.一种微小卫星FPGA关键数据保护方法，其特征在于包括以下步骤：

步骤一、将FPGA的资源划分划分为逻辑结构、存储器资源和AHB-Lite总线；

a)FPGA逻辑结构实现对关键存储器的三模冗余检测与纠正；FPGA逻辑结构设计数据检测器、AHB-Lite主机和通信接口；数据检测器用于纠正数据的多比特错误；AHB-Lite主机提供存储器的访问接口给数据检测器；通信接口用于与其他设备通信；

b)存储器资源将数据储存在FPGA片上存储器中；

c)AHB-Lite总线符合ARM总线协议，设计连接FPGA逻辑结构与存储器资源；根据***设计需求，用户在FPGA逻辑不修改的情况下改变存储器数量和大小；

步骤二、关键数据存储器存放空间电子设备芯片配置数据，采用三模冗余设计，采用总线访问方式，存储器地址统一编址；三个存储器的地址从低到高顺序按字节编址，存储器的内容顺序访问；

步骤三、设计AHB-Lite主机和数据检测器的FPGA内部逻辑；

a)AHB-Lite主机，提供存储器的访问接口给数据检测器，产生与检测纠错码，产生多比特错误中断；

AHB-Lite主机采用有限状态机实现；逻辑设计上按照AHB-Lite总线的控制时序设计，在总线时钟上升沿驱动地址信号和控制信号，实现AHB-Lite主机对数据的读写操作；为了避免数据读写冲突，写优先级大读优先级；首先状态机位于空闲状态，当使能读写信号时，分别配置读或写的控制信号和地址信号；等待该地址的从机为空闲，如果从机空闲，读出或写入数据；在写入数据阶段，对数据产生纠错码，与数据合并后写入存储器，回到空闲状态；在读出数据阶段，将检测数据的纠错码，如果出现单比特错误则直接纠正与回写数据，如果出现多比特错误则产生中断信号，作为数据检测器中断如入，如果无错误则回到空闲状态；

b)数据检测器用于纠正读写数据的多比特错误，工作模式分为初始化纠正模式和定时自检模式；初始化纠正模式，处理由于设备初始化读出关键数据存储器数据时产生的多比特错误；定时自检模式，按照设定时间定时检测关键数据存储器，并纠正单粒子翻转引起的错误数据；为了避免与设备初始化出现数据访问冲突，初始化纠正模式优先级高于定时自检模式；当初始设备时，定时自检模式处于等待状态；当设备初始化结束，数据检测器将进入定时自检模式；为了避免与普通存储器数据访问冲突，数据检测器的优先级高于普通存储器访问，数据检测器工作过程中，普通数据传输暂时停止，等待检测完毕，然后重启普通数据传输；

数据检测器采用有限状态机实现；首先设备上电初始化进入初始化纠正模式，检查多比特错误中断发生，清除中断信号再更新地址到错误数据地址，读取三个存储器数据，错误数据直接重载为三取二数据，然后回到中断检测状态，初始化结束则返回空闲状态；设备初始化结束后数据检测器将定时进入定时自检模式；在空闲状态中，定时器计到了规定的检测时段且总线空闲，进入检测状态，地址计数器顺序产生第一个存储器地址，后两个存储器地址分别为基地址加上固定偏移量和基地址加上两倍的偏移量，分别读出三个存储器中相同偏移地址数据，并进行三取二操作，得到三取二数据；如果三个数据相同，基地址计数器加1进行下一个地址检测；如果出现其中一个存储器数据不匹配，证明此存储器上的数据需要修改，进入存储器数据重载状态，直接对该地址的数据重载为三取二的数据，再进行下一个地址检测；如果超出存储器末位地址，地址计数器恢复存储器地址并回到空闲状态；

三取二判决公式：判决电路逻辑为输出＝(数据1and数据2)or(数据1and数据3)or(数据2and数据3)；其中and表示与门电路，or表示或门电路；

定时自检模式中时间取决于关键数据的大小、***工作时钟和卫星轨道上空间辐射情况；用户配置定时自检的时间；需保证FPGA的存储器在每个翻转间隙执行至少一次刷新操作。