航天器嵌入式軟件在軌維護(hù)及工程實(shí)現(xiàn)

紀(jì)春國(guó)，盧 丹，崔 陽(yáng)，趙笙罡

（1.中國(guó)科學(xué)院微小衛(wèi)星創(chuàng)新研究院，上海 201210；2.上海格思信息技術(shù)有限公司，上海 201210）

目前，世界各國(guó)航天事業(yè)飛速發(fā)展，航天在軌測(cè)控任務(wù)飛速增長(zhǎng)，測(cè)控需求與日劇增。這就對(duì)航天測(cè)控分系統(tǒng)提出了更高的要求，主要體現(xiàn)在測(cè)控分系統(tǒng)的復(fù)雜度比之前有很大提升，傳統(tǒng)航天測(cè)控分系統(tǒng)[1]模擬設(shè)備由于其設(shè)計(jì)復(fù)雜度高，調(diào)試、測(cè)試、聯(lián)試難度大，周期長(zhǎng)，再加上其大體積、高功耗的特點(diǎn)，很難適應(yīng)航天測(cè)控分系統(tǒng)的要求，導(dǎo)致航天器在軌維護(hù)困難、在軌故障恢復(fù)工作難以快速實(shí)現(xiàn)，利用軟件無(wú)線電技術(shù)[2]進(jìn)行數(shù)字化處理已成趨勢(shì)。采用數(shù)字化技術(shù)，利用可編程邏輯器件FPGA 和CPU 芯片進(jìn)行設(shè)計(jì)[3]，使設(shè)備簡(jiǎn)單化、輕型化、小型化、模塊化，并能實(shí)現(xiàn)低功耗且調(diào)試周期大大縮短，可以滿足多種測(cè)控需求。但是，由于采用了軟件無(wú)線電技術(shù)，軟件在空間輻照環(huán)境中長(zhǎng)時(shí)間運(yùn)行，必然會(huì)出現(xiàn)單粒子翻轉(zhuǎn)現(xiàn)象，尤其對(duì)基于SRAM 型FPGA 更容易發(fā)生此現(xiàn)象，使得軟件所實(shí)現(xiàn)的功能性能異常，從而導(dǎo)致測(cè)控分系統(tǒng)無(wú)法完成前向遙控指令的接收和反向遙測(cè)數(shù)據(jù)的發(fā)送，進(jìn)而無(wú)法完成在軌測(cè)控任務(wù)，這就急需在軌動(dòng)態(tài)維護(hù)嵌入式軟件來及時(shí)補(bǔ)救由于單粒子翻轉(zhuǎn)帶來的損失[4]。

為了便于航天器嵌入式軟件在軌重構(gòu)，并使其具備在軌修改能力，提出了一種針對(duì)航天器嵌入式軟件安全有效的在軌更新維護(hù)方法，該方案基于抗單粒子能力免疫反熔絲FPGA 實(shí)現(xiàn)在軌對(duì)DSP 和SRAM 型FPGA 程序的動(dòng)態(tài)加載[5]，從而實(shí)現(xiàn)在軌重構(gòu)，并進(jìn)行了工程實(shí)現(xiàn)。

1 方案設(shè)計(jì)

航天器測(cè)控分系統(tǒng)通過天饋系統(tǒng)接收由地面測(cè)控站發(fā)送的前向測(cè)量與遙控?zé)o線微波信號(hào)，首先進(jìn)行射頻帶通濾波、下變頻、中頻濾波、放大、AGC，帶通濾波后輸出供基帶AD 數(shù)字采集，AD 數(shù)字采集后在SRAM 型FPGA 中進(jìn)行中頻信號(hào)的捕獲、跟蹤、位同步、幀同步后進(jìn)行譯碼，譯碼后提取遙控信號(hào)解析并執(zhí)行；利用下行測(cè)量幀采樣上行跟蹤出來的測(cè)量信息，根據(jù)下行幀協(xié)議完成組幀后進(jìn)行擴(kuò)頻、成型濾波、調(diào)制，同時(shí)對(duì)自身遙測(cè)進(jìn)行組幀、擴(kuò)頻、成型濾波、調(diào)制輸出給DA 進(jìn)行數(shù)模變換到模擬中頻信號(hào)后再進(jìn)行中頻濾波、放大、上變頻到射頻后，再進(jìn)行濾波、驅(qū)放、濾波、末級(jí)功率放大輸出到天線子系統(tǒng)，天線子系統(tǒng)向空間輻射無(wú)線微波信號(hào)，發(fā)送給地面測(cè)控站，地面測(cè)控站通過天線接收該無(wú)線信號(hào)，進(jìn)行濾波、放大、下變頻到中頻后，發(fā)送給基帶模塊進(jìn)行AD 采樣，完成捕獲跟蹤，并解調(diào)出下行數(shù)據(jù)，提取出上行測(cè)量信息，與地面測(cè)控站上行發(fā)送的測(cè)量信息進(jìn)行聯(lián)合結(jié)算，共同完成對(duì)航天器的距離測(cè)量、速度測(cè)量和遙控遙測(cè)等功能，完成航天器的測(cè)定軌功能。

如圖1 所示，由于反熔絲FPGA 可靠性較高，因此由其負(fù)責(zé)對(duì)SRAM 型FPGA 和DSP 程序的控制，其是該方案的重要組成部分，主要完成對(duì)SRAM 型FPGA 的全局配置和動(dòng)態(tài)刷新功能，同時(shí)負(fù)責(zé)DSP 程序的重新加載。SRM 型FPGA 完成無(wú)線遙控指令的解調(diào)、解幀，并將上行維護(hù)指令發(fā)送給反熔絲型FPGA，由反熔絲型FPGA 完成對(duì)存放SRM 型FPGA程序和存放DSP 程序的PROM 進(jìn)行在線動(dòng)態(tài)加載[6]，硬件實(shí)現(xiàn)框圖如圖1 所示。

圖1 硬件實(shí)現(xiàn)框圖

如圖1 所示，SRAM 型FPGA 采用Xilinx 公司A7系列的低功耗FPGA XQ7A200T，該系列FPGA 是一款高性價(jià)比FPGA,具有高性能、低功耗、輕型化的特征，具有高速收發(fā)器及DSP 處理功能。該系列FPGA 支持1 Gbps DDR3，是Xilinx 公司低成本、低功耗應(yīng)用的最佳選擇器件，比如軟件無(wú)線電（SDR）技術(shù)、機(jī)器人視覺、無(wú)線系統(tǒng)信號(hào)處理。A7 系列FPGA對(duì)高速串行收發(fā)器、高性能DSP、高吞吐量的低功耗應(yīng)用模式進(jìn)行了優(yōu)化。XQ7A200T 片內(nèi)資源包含215K 邏輯單元,13 Mb BRAM，740 個(gè)DSP 乘法器，16個(gè)收發(fā)器，每個(gè)收發(fā)器速度為6.6 Gb/s，4 個(gè)Gen2 PCIe 接口，500 個(gè)I/O 引腳[7]。

DSP 采用美國(guó)TI公司的C6000 系 列DSP 芯片TMS320C6713，是32 位高速浮點(diǎn)型DSP，時(shí)鐘最高頻率為300 MHz[8]。采用超長(zhǎng)指令字結(jié)構(gòu)，32 位單指令字長(zhǎng)，每個(gè)指令包里包含8 個(gè)指令，總長(zhǎng)度為256 位。每個(gè)256 位的指令包可分配到8 個(gè)處理單元，且8 個(gè)單元可以同時(shí)運(yùn)行，最大處理能力達(dá)2.4 GIPS。采用二級(jí)緩存處理，4 kB 程序緩沖L1P，4 kB 數(shù)據(jù)緩沖L1D，256 kB 額外匹配內(nèi)存L2[9]。32 位外部 存儲(chǔ)器EMIF 接口，可與SRAM、EPROM、Flash、SBSRAM 和SDRAM 等器件進(jìn)行無(wú)縫連接。具有DMA、EDMA、EMIF 等豐富的外設(shè)擴(kuò)展總線，以及主機(jī)口、I/O 端口操作等功能，多通道SPI 串口，可以通過配置使能實(shí)現(xiàn)多種串行通信功能以及兩個(gè)32位定時(shí)器等[10]。

反熔絲FPGA 主要完成的功能如下：

1）對(duì)SRAM 型FPGA 完成全局配置和動(dòng)態(tài)刷新，并完成DSP 程序的動(dòng)態(tài)加載；

2）接收SRAM 型FPGA 發(fā)送來的上行維護(hù)指令，完成在軌動(dòng)態(tài)加載、全局復(fù)位等在軌維護(hù)；

3）監(jiān)控SRAM 型FPGA 和DSP 是否有單粒子翻轉(zhuǎn)，如果在不斷電的情況下重新加載程序，則實(shí)現(xiàn)在線自動(dòng)維護(hù)功能。

SRM 型FPGA 主要完成的功能如下：

1）對(duì)上行無(wú)線指令偽碼采用滑動(dòng)相關(guān)，載波采用串行搜索的方法，完成載波、偽碼的二維捕獲[11]，完成二維捕獲后，載波通過二階FLL 輔助三階PLL實(shí)現(xiàn)載波在高動(dòng)態(tài)情況下的快速跟蹤，偽碼通過載波輔助二階碼環(huán)的方式進(jìn)行跟蹤，跟蹤上以后進(jìn)行位同步并解幀；對(duì)下行遙測(cè)信號(hào)進(jìn)行組幀、擴(kuò)頻、成型濾波、調(diào)制；對(duì)下行測(cè)量信號(hào)進(jìn)行組幀、擴(kuò)頻、成型濾波、調(diào)制后輸出[12]；

2）把解幀后的上行維護(hù)指令發(fā)送給反熔絲型FPGA，由該FPGA 完成指令解析并執(zhí)行。

上行無(wú)線維護(hù)指令包括：

①在軌實(shí)現(xiàn)對(duì)SRAM 型FPGA 的動(dòng)態(tài)加載；

②在軌實(shí)現(xiàn)對(duì)SRAM 型FPGA 的動(dòng)態(tài)刷新；

③在軌實(shí)現(xiàn)DSP 的動(dòng)態(tài)加載；

④在軌實(shí)現(xiàn)DSP 全局復(fù)位；

⑤在軌實(shí)現(xiàn)SRAM 型FPGA 全局復(fù)位。

1.1 SRAM型FPGA在軌維護(hù)方案

在XQ7A200T 和存儲(chǔ)程序的PROM 芯片之間增加一片反熔絲FPGA，利用反熔絲芯片對(duì)單粒子免疫的能力充當(dāng)該系統(tǒng)的主控器件，負(fù)責(zé)從PROM 芯片中讀取幀數(shù)據(jù)并進(jìn)行解析、校驗(yàn)，校驗(yàn)無(wú)誤后寫入FPGA 完成配置，同時(shí)讀取XQ7A200T 的配置區(qū)，當(dāng)發(fā)現(xiàn)回讀的配置區(qū)數(shù)據(jù)有錯(cuò)誤時(shí)，重新從RROM 中讀取對(duì)應(yīng)的配置區(qū)數(shù)據(jù)，對(duì)錯(cuò)誤的數(shù)據(jù)進(jìn)行重新配置，從而使XQ7A200T 正常工作。

主控器采用對(duì)單粒子免疫的反熔絲FPGA，通過slave selectmap 接口與XQ7A200T 器件進(jìn)行連接，完成的功能有：

1）產(chǎn)生模擬XQ7A200T 器件的slave selectmap接口時(shí)序，用于配置XQ7A200T 器件；

2）產(chǎn)生模擬PROM 的讀寫接口時(shí)序，用于反熔絲FPGA 從PROM 中讀取預(yù)存的程序數(shù)據(jù)；

3）通過固定方式從XQ7A200T FPGA 的配置區(qū)讀取配置數(shù)據(jù)，同時(shí)讀取預(yù)存在PROM 中的對(duì)應(yīng)配置數(shù)據(jù)，二者讀出數(shù)據(jù)后緩存于反熔絲FPGA 的寄存器組中；

4）對(duì)從XQ7A200T FPGA 的配置區(qū)讀取的配置數(shù)據(jù)和從PROM 中讀取的配置數(shù)據(jù)進(jìn)行比對(duì)，若比對(duì)結(jié)果有誤，用從PROM 中讀取的配置數(shù)據(jù)更新FPGA 內(nèi)的配置數(shù)據(jù)，即把從PROM 中讀取的配置數(shù)據(jù)寫入FPGA 相應(yīng)的位置，從而完成重新配置。

反熔絲FPGA 功能主要有三部分：全局配置、單粒子翻轉(zhuǎn)檢測(cè)、重配置。

設(shè)備上電后，反熔絲FPGA 首先完成自身加載，加載成功后反熔絲FPGA 程序自動(dòng)運(yùn)行。給XQ7A 200T FPGA 復(fù)位，并使該芯片進(jìn)入配置狀態(tài)。當(dāng)XQ7A200T FPGA 內(nèi)部初始化完成后，在FPGA 芯片的int_b 引腳上輸出高電平，然后把從RROM 中讀出并解幀后的配置數(shù)據(jù)寫入FPGA 配置區(qū)，把所有的配置數(shù)據(jù)全部寫入FPGA后，F(xiàn)PGA在done引腳上輸出配置成功標(biāo)志，反熔絲FPGA 進(jìn)入SEU 巡檢狀態(tài)，實(shí)時(shí)檢測(cè)單粒子翻轉(zhuǎn)情況，動(dòng)態(tài)配置流程如圖2所示[13]。

圖2 動(dòng)態(tài)配置流程圖

在SEU 巡檢過程中，反熔絲FPGA 不斷檢測(cè)XQ7A200T FPGA 內(nèi)部配置區(qū)是否異常，通過往FAR 寄存器寫入一個(gè)固定數(shù)據(jù)，然后回讀該寄存器的值并與寫入的數(shù)據(jù)進(jìn)行比對(duì)，當(dāng)比對(duì)結(jié)果正確，則反熔絲FPGA 開始依次按配置列讀取XQ7A200T FPGA 配置區(qū)中的配置數(shù)據(jù)，并與從PROM 中讀出并通過解幀后的配置數(shù)據(jù)進(jìn)行CRC 校驗(yàn)，若回讀的配置數(shù)據(jù)與從PROM 中讀取的配置數(shù)據(jù)的CRC 結(jié)果相同，則認(rèn)為該配置幀沒有發(fā)生單粒子翻轉(zhuǎn)現(xiàn)象，若CRC 結(jié)果不同，則認(rèn)為該配置幀發(fā)生了單粒子翻轉(zhuǎn)，則需要重新進(jìn)行局部配置，即把從PROM中讀出的該列的原始配置數(shù)據(jù)進(jìn)行重配置，從而消除單粒子現(xiàn)象[14]。

為實(shí)現(xiàn)XQ7A200T FPGA 內(nèi)控制類寄存器的準(zhǔn)確性，反熔絲FPGA 定時(shí)100 ms 讀取XQ7A200T FPGA 狀態(tài)寄存器并進(jìn)行正確性檢查。

為保證反熔絲FPGA 可靠工作，對(duì)FPGA 程序進(jìn)行三模冗余，對(duì)通過SPI 總線從XQ7A200T FPGA 寄存器內(nèi)讀出的鎖定信息、配置狀態(tài)信息、關(guān)鍵控制量、復(fù)位等重要信號(hào)進(jìn)行三取二判決后再使用，從而保證反熔絲FPGA 不受單粒子翻轉(zhuǎn)影響，使其正常工作。

反熔絲FPGA 軟件上電初始化后，在500 ms 內(nèi)完成管理模式設(shè)置、偽碼抽頭及初相配置、整機(jī)遙測(cè)量采集、組幀等工作。

1.2 DSP在軌維護(hù)方案

DSP 在軌維護(hù)流程圖如圖3 所示。

圖3 反熔絲FPGA動(dòng)態(tài)維護(hù)DSP流程圖

反熔絲FPGA 動(dòng)態(tài)加載DSP 程序流程如下[15]：

1）DSP 一次boot 程序通過反熔絲FPGA 讀取PROM 中的數(shù)據(jù)，發(fā)送到DSP 內(nèi)的SRAM 中；

2）DSP 運(yùn)行引導(dǎo)程序，運(yùn)行完該引導(dǎo)程序后，輸出成功標(biāo)志；

3）反熔絲FPGA 檢測(cè)到該標(biāo)志成功后，啟動(dòng)讀取二次boot，從RPOM 中讀取數(shù)據(jù)寫入FPGA 的外掛SRAM 中，程序開始運(yùn)行，并輸出二次boot成功標(biāo)志；

4）反熔絲FPGA 此后一直檢測(cè)DSP 狀態(tài)，發(fā)現(xiàn)異常就回到1），重新執(zhí)行。

1.3 在軌FLASH程序修改方案

通過無(wú)線信道上行代碼修改指令通知反熔絲FPGA，收到更新指令后，將對(duì)應(yīng)模塊的FLASH 區(qū)擦除，將新的代碼寫到對(duì)應(yīng)的FLASH 空間，并重新加載程序，完成代碼的更新[16]，實(shí)現(xiàn)流程如圖4 所示。

圖4 在軌動(dòng)態(tài)修改FLASH程序流程圖

2 結(jié)論

航天器嵌入式軟件在軌重新加載、動(dòng)態(tài)修改是未來航天器在軌維護(hù)的主要發(fā)展方向。文中給出了在軌動(dòng)態(tài)維護(hù)的方案，并加以應(yīng)用，已得到了飛行試驗(yàn)驗(yàn)證，設(shè)計(jì)思想合理可行，能滿足航天器軟件在軌高可靠動(dòng)態(tài)維護(hù)，提高了航天器嵌入式軟件的穩(wěn)健性，為順利完成航天既定任務(wù)增加了保障。