CN105550074B - 航天计算机 - Google Patents

Abstract

本发明提供了一种航天计算机，它包括实现***维护功能的一颗反熔丝FPGA、一颗商用SOC和三颗DSP。本发明在反熔丝FPGA上不仅监控各硬件单元模块的状态，还监控运行在个硬件单元模块上各项逻辑功能的状态，进而再此基础上在必要时对计算机进行动态加载，以保证***灵活、可靠、不间断地运行；本发明采用的商用SOC器件内部包含了用作中心控制处理器的ARM双核处理器和用作处算术逻辑运算加速的大容量可编程逻辑（PL），在保证了***的高集成度的同时，还通过ARM双核处理器的两个核心实现了中心控制处理器的双机备份、通过在可编程逻辑设计内部数据互联和外部接口实现了数据通道和接口的硬件备份、并通过分别设计DSP接口实现了DSP接口的三模冗余表决机制；采用本发明，可以实现高集成度、高可靠性、高性能、小型化、且灵活配置的航天计算机。

Description

航天计算机

技术领域

本发明涉及运用到卫星、火箭等航天器的高性能计算的技术领域，具体为一种高集成度的航天计算机及其实现方法。

背景技术

卫星、火箭等航天器上的计算机，由于工作环境的特殊性，特别需要高可靠性的设计，现有的航天计算机大多采用屏蔽加固和多模冗余的设计方法，这些方法往往采用单独的处理器或者单独处理器加上CPLD芯片或者FPGA芯片的方式实现，采用冗余设计的方法实现功能的备份，以达到获取设备可靠性的目的。

在器件选择上，航天计算机往往采用航天级器件，随着技术的发展，商用器件也逐步被运用到航天计算机。商用器件是指在工业界普遍采用，在日常能够购买到的商业级或者工业级器件，具有成本低、性能高、不受国外进口的限制的优点。相应地，采用商用器件的方案具有成本、性能、研发和生产周期、可购买性等诸多优势。而商用器件中的重要成员：片上***（SOC：System on chip），是指在单芯片集成了包括处理器、外部接口以及必要的辅助的设备的一类器件。而最新出现的包含了ARM双核处理器和可编程逻辑电路的一类片上***（SOC）特别适合于航天计算机应用。而在需要完成大规模数字信号处理的场景下，数字信号处理器（DSP）器件也得到了广泛引用。

申请号为201410393492.5的中国专利申请公布了一种多模冗余的皮/纳卫星星载计算机***，采用三模冗余的MCU作为微小卫星的计算机控制***。

申请号为201410392852.X中国专利申请公布了一种基于安卓手机四核微处理器的皮卫星计算机***。具有很高的集成度，但是该***未采用冗余的可靠性设计技术。

申请号为201510036911.4的中国专利申请公布了一种星载计算机的重构方法，提出了如何重构星载计算以应对故障和在线变化的运算任务。

上述文献所公布的方案，主要在可靠性方面有较完整的设计，最新的专利申请也有集成度方面的考虑，但是存在以下不足：

1）高可靠性设计的方案体积较大，特别是多模冗余的时候，往往采用多个独立的处理器实现；

2）运算能力上无法满足航天器日益增长的需求；

3）部分采用手机处理器的高集成度设计，没有充分考虑可靠性设计的要求；

4）存在实现可靠性的监视、判决和倒换装置，也存在为实现灵活配置运算功能的重构模块， 但是两者往往独立存在。

发明内容

本发明所要解决的技术问题是提供一种高集成度、高可靠性、高运算性能的航天计算机。为此，本发明采用如下技术方案：

1-a）一颗反熔丝FPGA，其作用是实现***维护的功能；

所述***维护功能包括对于整个航天计算机***的硬件状态检测、运行在硬件之上的逻辑功能监测、并且根据上述检测结果，对于故障的可编程逻辑电路和软件模块进行功能重构；

所述***维护功能还包括能够根据需要动态加载计算机的运行程序；

所述反熔丝FPGA采用反熔丝编程技术，其内部具有反熔丝阵列开关结构，其逻辑功能的定义由专用编程器根据设计实现所给出的数据文件，对其内部的反熔丝阵列进行烧录，从而使器件实现相应的逻辑功能；其具有一次性编程、高抗干扰性、低功耗、高可靠性、高保密性的特点。

1-b）一颗商用片上***（SOC）器件，用作航天计算机的中心控制处理器，用于控制航天计算机的外部通信管理、内部通信管理、内部任务管理以及控制算法逻辑控制功能的计算;

所述商用片上***（SOC）器件，内部包括ARM双核处理器和可编程逻辑电路；所述可编程逻辑电路被配置成的部分包括外部接口、ARM内部接口、DSP内部接口和算术/逻辑运算加速单元四个部分；

所述外部通信管理，包括总线管理、提供给反熔丝FPGA的状态信息报告；

所述内部通信管理，包括内部各参与运算的单元之间的通信管理；所述运算单元包括ARM双核处理器、可编程逻辑电路中的算术/逻辑运算加速单元和三颗DSP；

所述内部任务管理，是指ARM双核处理器进行计算机内部的运算任务分配，使得控制算法的数值计算部分和数字信号处理算法分配给DSP和商用片上***（SOC）内部的可编程逻辑电路完成，控制算法的逻辑控制功能由ARM双核处理器和可编程逻辑电路完成；在运算任务发生改变的时候，还需要通知反熔丝FPGA对运算单元进行重构以适应不同的运算需求；

1-c）三颗DSP，其作用是实现的浮点和定点算法运算。

在以上方案的基础上，航天计算机在功能上包括维护子***、外部接口、控制子***、互连子***和三模冗余运算子***；

所述维护子***，由上述反熔丝FPGA组成；

所述外部接口由上述片上***（SOC）内的片内外部接口和一部分可编程逻辑电路构成；

所述控制子***由上述片上***（SOC）内的ARM双核处理器和一部分可编程逻辑电路构成；

所述互联子***由上述片上***（SOC）内的一部分可编程逻辑电路构成；

所述三模冗余运算子***由上述商用片上***（SOC）内部的一部分可编程逻辑电路和上述三颗DSP组成。

本发明中，所述外部接口、控制子***，实现了硬件双机备份，使得ARM双核处理器中的两个处理器核心在硬件上相互独立，而且其外部接口也在硬件电路上相互独立；处理器侧的外部接口作为其中一个处理器核心的外部接口，同时采用可编程逻辑电路侧的软核接口电路作为另一个处理器核心的外部接口。

互为备份的处理器核心可以分别与独立存储器连接，确保存储器在硬件电路上独立，所述存储器分别连接在ARM双核处理器侧的存储器控制器和可编程逻辑电路侧的存储器控制器，以保证硬件独立。

本发明中，所述互联子***，内部实现了ARM处理器核心和三颗DSP间的点对点互连，因此对于控制子***而言互联子***是双机备份，同时互联子***又支持运算子***中的DSP的三模冗余机制；所述DSP的三模冗余机制在工作时，对三个互为备份的DSP的输出进行比较，取结果相同的两个DSP的输出为正确结果，并且认为输出错误结果的DSP为故障；

所述互联子***，在可编程逻辑电路电路分别为两个ARM处理器核心配置独立的软核接口电路，并且该软核接口电路与分别对应三颗DSP的三个DSP接口为点对点连接；

所述互联子***中，分别对应三颗DSP的三个DSP接口，每一个均同时与两个ARM处理器核心连接；

所述互联子***中，分别对应三颗DSP的DSP接口相互之间也通过DSP的3模冗余机制确保正常工作。

所述维护子***完成功能保障和重构控制的任务，功能重构在以下情况下发生：

5-a) 当其中一个或者多个运算模块包括其外部接口发生故障时，诊断并重构该模块或者接口，所述运算模块包括控制子***互为备份的ARM处理器核心、互联子***的接口电路、三模冗余运算子***位于可编程逻辑电路器件的部分，以及三模冗余运算子***的三颗DSP；

5-b) 根据实际情况，当运算的算法发生更新或者变化，可以分别更新(或者重新加载）部分（或者全部）的运算加速逻辑电路和DSP处理程序；

所述维护子***完成功能重构任务的时候，能够最大限度保证设备的可用性，包括如下几种情况：

6-a) 当互为备份的处理器核心中主用核心发生故障时，首先将正在运行的任务、对外接口和内部数据通道切换到备用核心，然后对故障核心进行重构，不会影响业务处理，

6-b) 当互为备份的处理器核心中备用核心发生故障时，直接对故障核心进行重构，不会影响业务处理，

6-c) 当互为备份的处理器核心同时发生故障时，直接对故障核心进行重构，将会中断业务，直至其中一个恢复正常，

6-d) 当三模冗余运算子***中的任意一个DSP或算术/逻辑运算加速单元发生故障时，直接对其进行重构，不会影响业务，

6-e) 当三模冗余运算子***中的任意二个DSP或算术/逻辑运算加速单元同时发生故障时，检测故障并进行DSP重新加载或者可编程逻辑电路重新加载，故障被检测到之前，业务会受影响。

所述商用片上***（SOC），是指集成了ARM双核处理器和可编程逻辑电路的片上***。

所述维护子***采用反熔丝FPGA设计，可靠性优于其他各子***。

本发明所述航天计算机方案，采用商用片上***（SOC）即通过其内部的双ARM处理器核心实现了双机备份，与现有技术相比，提高了集成度，实现了小型化；本发明进一步利用ARM处理器外部接口的硬核接口电路配合可编程逻辑电路侧的软核电路实现了真正的硬件双机备份；本发明采用的由片上***（SOC）内部的可编程逻辑电路进行运算加速配合DSP实现3模冗余运算子***，即满足航天计算机的可靠性要求，又满足航天计算机日益增长的对于运算能力的要求；本发明采用的维护子***运行在反熔丝FPGA上，能够监测、判决***的硬件和功能故障，并进行重构回复，同时该维护子***还集成了根据任务需要重构运算单元功能的需求；采用本发明，可以实现高集成度、小型化、高可靠性、高运算能力，且功能灵活配置的航天计算机。

附图说明

图1为本发明所述航天计算机的硬件组成框图。

图2为本发明所述航天计算机的功能组成框图。

图3为本发明所述航天计算机的存储器可靠性设计图。

图4为本发明所述航天计算机维护子***ARM处理器部分的工作流程图。

图5为本发明所述航天计算机维护子***DSP以及运算子***部分的工作流程图。

具体实施方式

为了充分理解本发明的技术内容，下面给出具体实施例，结合附图对本发明的技术方案进行较为详细的介绍和说明。

图1为采用本发明方案的一种航天计算机的框图，其硬件组成包括由ARM双核处理器111和可编程逻辑电路112组成的商用片上***（SOC）芯片11、三颗DSP芯片121/122/123以及反熔丝FPGA 13。

反熔丝FPGA 13的作用是实现***维护的功能，所述***维护功能包括对于整个航天计算机***的硬件状态检测、运行在硬件之上的逻辑功能监测、并且根据上述检测结果，对于故障的逻辑模块进行功能重构；同时，所述***维护功能还能够根据需要动态加载可编程逻辑电路的配置文件和ARM双核处理器、DSP的运行程序。

商用片上***（SOC）器件11，内部包括ARM双核处理器和可编程逻辑电路112，用作航天计算机的中心控制处理器，用于控制航天计算机的外部通信管理、内部通信管理、内部任务 分配以及部分控制算法的计算。所述外部通信管理，包括常用的总线管理、提供给维护子***的状态信息报告；所述内部通信管理，包括内部各参与运算的单元之间的通信管理；所述内部任务分配，是指将控制算法的数值计算功能和数字信号处理算法的运算分配给DSP和片上***（SOC）内部的可编程逻辑电路完成，控制算法的逻辑控制功能由ARM双核处理器完成；在运算任务发生改变的时候，还需要通知反熔丝FPGA对运算单元进行重构以适应不同的运算需求。

三颗DSP 121-123，其作用是实现大运算量的浮点和定点算法运算。

进一步的功能框图如图2所示，整个航天计算机被划分成外部接口、控制子***、互联子***、三模冗余运算子***和维护子***。

所述外部接口由ARM双核处理器21自带的外部接口213和由可编程逻辑电路22软核生成的外部接口221组成；所述控制子***由ARM1，也即ARM双核处理器的其中之一ARM处理器核心211，和ARM2 ，也即ARM双核处理器的其中之另一ARM处理器核心212组成；所述互联子***由ARM1接口222 、ARM2接口223和DSP接口224、225、226组成；所述三模冗余运算子***由算术/逻辑运算加速单元227配合DSP1 23、DSP2 24、DSP3 25组成。

所述外部接口、控制子***和互联子***以及三模冗余运算子***的一部分运行在片上***（SOC）芯片11上；所述维护子***26运行在反熔丝FPGA 13上。

所述外部接口控制子***和互联子***的ARM1接口222和ARM2接口223采用硬件双模冗余工作，可以是冷备、热备和温备。

所述互联子***的DSP接口224、225、226、算术/逻辑运算加速单元227和DSP1 23、DSP2 24、DSP3 25组成了采用三模冗余的方式工作。

可编程逻辑电路32，被配置成外部接口、ARM内部接口、DSP内部接口和算术/逻辑加速单元4个部分。

具体地，所述外部接口、控制子***，实现了硬件双机备份。硬件双机备份不仅指的是ARM1和ARM2双处理器核心在硬件上相互独立，而且其外部即可偶也在硬件电路上相互独立。为了实现所述硬件电路相互独立，需要同时采用处理器侧的外部接口和可编程逻辑电路侧的软核接口电路。特别是互为备份的处理器核心在设计存储器接口时，可以分别与独立DDR存储器连接，确保存储器在硬件电路上独立。如图3所示所述DDR存储器331/332，分别连接在ARM侧的DDR控制器213和可编程逻辑电路侧的DDR控制器321，以保证硬件独立。

除了处理器外部接口的硬件双机备份，所述互联子***，其内部实现了各ARM处理器核心和三颗DSP间的点对点互连，因此对于控制子***而言它是双机备份，同时它又支持DSP的三模冗余。具体的实现方法为：1）对于控制子***的两个ARM处理器核心，在可编程逻辑电路分别设计独立的软核接口电路，并且该接口电路与分别对应三颗DSP的三个DSP接口为点对点连接，2）而对于分别对应三颗DSP的三个DSP接口，每一个均同时与两个ARM处理器核心连接，3）分别对应三颗DSP的DSP接口相互之间也通过3模冗余机制确保正常工作。

维护子***26完成功能保障和重构控制的任务，功能重构在以下情况下发生：1）当其中一个或者多个运算模块包括其外部接口发生故障时，诊断并重构该模块或者接口，所述运算模块包括控制子***互为备份的ARM处理器核心、互联子***的接口电路、三模冗余运算子***位于可编程逻辑电路器件的部分，以及三模冗余运算子***的三颗DSP；2）根据实际情况，当运算的算法发生更新或者变化，可以分别更新或者改变部分或者全部的算术/逻辑运算加速单元和DSP处理程序。

具体地，比如如图4所示，为了能够最大限度保证设备的可用性，当互为备份的处理器核心中主用核心或其外部设备发生故障时403，首先将正在运行的任务、对外接口和内部数据通道切换到备用核心404，然后对故障核心进行重构405，不会影响业务处理；当互为备份的处理器核心中备用核心发生故障时406，直接对故障核心进行重构407，不会影响业务处理；当互为备份的处理器核心同时发生故障时408，直接对故障核心进行重构409，将会中断业务，直至其中一个恢复正常，

再比如如图5所示，当三模冗余运算子***中的任意一个DSP发生故障时503，直接对其进行重构504，不会影响业务， 在该过程中，因为存在三模冗余表决器，不会影响业务；当三模冗余运算子***中的任意二个同时发生故障时505，将根据预先植入的故障识别程序，确保发现故障并进行DSP重新加载506，则在故障识别程序准确判断故障并启动故障DSP重构506之前，业务会受影响；当3个DSP均故障时507，则需要重构全部DSP 508，这时业务会中断，直至其中一个或者多个DSP回复运行。

对于三模冗余运算子***在片上***（SOC）内的可编程逻辑电路部分的重构功能，可以参考图5设计实现。

应当理解的是，以上所述从具体实施例的角度对本发明的技术内容进一步地披露，其目的在于让大家更容易了解本发明的内容，但不代表本发明的实施方式和权利保护局限于此。本发明保护范围阐明于所附权利要求书中，凡是在本发明的宗旨之内的显而易见的修改，亦应归于本发明的保护之内。

Claims (4)

1.一种航天计算机，其特征在于包括以下3个组成部分：

1-a)一颗反熔丝FPGA，其作用是实现航天计算机维护的功能；

所述维护的功能包括对于整个航天计算机的硬件状态检测、运行在硬件之上的逻辑功能监测，并且根据上述检测和监测结果，对于故障的可编程逻辑电路和软件模块进行功能重构；

所述维护的功能还包括能够根据需要动态加载计算机的运行程序；

1-b)一颗商用片上***SOC器件，用作航天计算机的中心控制处理器，用于控制航天计算机的外部通信管理、内部通信管理、内部任务管理以及控制算法逻辑控制功能的计算；

所述商用片上***SOC器件，内部包括ARM双核处理器和可编程逻辑电路；所述可编程逻辑电路被配置成的部分包括可编程逻辑电路外部接口、ARM内部接口、DSP内部接口和算术/逻辑运算加速单元四个部分；

所述外部通信管理，包括总线管理、提供给反熔丝FPGA的状态信息报告；

所述内部通信管理，包括内部各参与的运算单元之间的通信管理；所述运算单元包括商用片上***SOC器件的ARM双核处理器、可编程逻辑电路中的算术/逻辑运算加速单元和三颗DSP；

所述内部任务管理，是指ARM双核处理器进行计算机内部的运算任务分配，使得控制算法的数值计算功能和数字信号处理算法的运算分配给DSP和商用片上***SOC内部的可编程逻辑电路完成，控制算法的逻辑控制功能由ARM双核处理器和可编程逻辑电路完成；在运算任务发生改变的时候，还需要通知反熔丝FPGA对运算单元进行重构以适应不同的运算需求；

1-c)三颗DSP，其作用是实现浮点和定点算法运算；

航天计算机在功能上包括维护子***、外部接口、控制子***、互联子***和三模冗余运算子***；

所述维护子***，由上述反熔丝FPGA组成；

所述外部接口由上述片上***SOC内的片内外部接口和一部分可编程逻辑电路构成；

所述控制子***由上述片上***SOC内的ARM双核处理器和一部分可编程逻辑电路构成；

所述互联子***由上述片上***SOC内的一部分可编程逻辑电路构成；

所述三模冗余运算子***由上述商用片上***SOC内部的一部分可编程逻辑电路和上述三颗DSP组成；

所述外部接口、控制子***，实现了硬件双机备份，使得ARM双核处理器中的两个处理器核心在硬件上相互独立，而且ARM双核处理器中的两个处理器核心的处理器核心外部接口也在硬件上相互独立；ARM双核处理器外部接口作为其中一个处理器核心的第一处理器核心外部接口，同时采用可编程逻辑电路侧的软核接口电路作为另一个处理器核心的第二处理器核心外部接口；

所述互联子***，内部实现了ARM处理器核心和三颗DSP间的点对点互连，因此对于控制子***而言互联子***是双机备份，同时互联子***又支持运算子***中DSP的三模冗余机制；所述DSP的三模冗余机制在工作时，对三个互为备份的DSP的输出进行比较，取结果相同的两个DSP的输出为正确结果，并且认为输出错误结果的DSP为故障；

所述互联子***，在可编程逻辑电路分别为两个ARM处理器核心配置独立的软核接口电路，并且该软核接口电路与分别对应三颗DSP的三个DSP接口为点对点连接；

所述互联子***中，分别对应三颗DSP的三个DSP接口，每一个均同时与两个ARM处理器核心连接；

所述互联子***中，分别对应三颗DSP的DSP接口相互之间也通过DSP的三模冗余机制确保正常工作。

2.根据权利要求1所述的航天计算机，其特征在于，所述维护子***完成功能保障和重构控制的任务，功能重构在以下情况下发生：

5-a)当其中一个或者多个运算模块包括运算模块外部接口发生故障时，诊断并重构运算模块或者运算模块外部接口，所述运算模块包括控制子***互为备份的ARM处理器核心、互联子***的接口电路、三模冗余运算子***位于可编程逻辑电路的部分，以及三模冗余运算子***的三颗DSP；

5-b)根据实际情况，当运算的算法发生更新或者变化，分别更新或者重新加载部分或者全部的算术/逻辑运算加速单元和DSP处理程序。

3.根据权利要求1所述的航天计算机，其特征在于，所述维护子***完成功能重构任务的时候，能够最大限度保证设备的可用性，包括如下几种情况：

6-a)当互为备份的处理器核心中主用核心发生故障时，首先将任务、对外接口和内部数据通道切换到备用核心，然后对故障核心进行重构，不会影响业务处理；

6-b)当互为备份的处理器核心中备用核心发生故障时，直接对故障核心进行重构，不会影响业务处理，

6-c)当互为备份的处理器核心同时发生故障时，直接对故障核心进行重构，将会中断业务，直至其中一个恢复正常，

6-d)当三模冗余运算子***中的任意一个DSP或算术/逻辑运算加速单元发生故障时，直接对其进行重构，不会影响业务，

6-e)当三模冗余运算子***中的任意二个DSP或算术/逻辑运算加速单元同时发生故障时，检测故障并进行DSP重新加载或者可编程逻辑电路重新加载，故障被检测出来之前，业务会受影响。

4.根据权利要求1所述的航天计算机，其特征在于，所述维护子***采用反熔丝FPGA设计。