一種基于多處理器的星載計算機抗輻射加固設計方案*

彭小燕　彭飛　劉凱俊　楊鹿　蔡曦

（上海航天電子技術研究所，上海，200109）

星載計算機作為衛星上的核心部件，主要用于衛星控制、數據處理和星務管理等。空間環境不同于地面，其中存在著許多電磁波與高能粒子，它們會對星載計算機系統中的電子器件產生各種輻射效應。如果星載計算機沒有任何防輻射措施，將很容易受到電磁波的輻射和高能粒子的沖擊，從而影響到計算機內部微電子器件的性能和參數，導致衛星工作的異?；蚬收希?］。由于衛星的工作具有長期性和不可維護性的特點，一旦衛星出現故障幾乎無法進行修復，整個衛星可能就會報廢，甚至成為太空垃圾，這些都將帶來巨大的損失。所以，對星載計算機進行抗輻射加固設計是星載計算機分系統設計的重要組成部分。本設計方案中所提出的“多處理器高性能星載計算機”抓住了星載計算機多個高性能處理器協同工作這一重要趨勢，利用系統由多個高性能處理器組成這一先天條件，使得本系統的性能得到大幅提升，可以將出錯的處理器進行替換，大大提高了星載計算機系統的可靠性，實現了星載計算機的抗輻射加固設計與高性能設計的平衡。本設計

?

一種基于多處理器的星載計算機抗輻射加固設計方案*

彭小燕彭飛劉凱俊楊鹿蔡曦

（上海航天電子技術研究所，上海，200109）

文摘：采用4DSP+FPGA結構方案，在滿足系統高可靠性的前提下，運行一種“3+1”的工作模式，針對備份DSP提出一種可選的“輪轉切換”方案，利用預讀節省DSP進行數據讀取的時間，實現星載計算機的抗輻射加固設計與高性能設計的平衡。

關鍵詞：衛星設備；星載計算機；多處理器；抗輻射加固。

星載計算機作為衛星上的核心部件，主要用于衛星控制、數據處理和星務管理等?？臻g環境不同于地面，其中存在著許多電磁波與高能粒子，它們會對星載計算機系統中的電子器件產生各種輻射效應。如果星載計算機沒有任何防輻射措施，將很容易受到電磁波的輻射和高能粒子的沖擊，從而影響到計算機內部微電子器件的性能和參數，導致衛星工作的異常或故障［1］。由于衛星的工作具有長期性和不可維護性的特點，一旦衛星出現故障幾乎無法進行修復，整個衛星可能就會報廢，甚至成為太空垃圾，這些都將帶來巨大的損失。所以，對星載計算機進行抗輻射加固設計是星載計算機分系統設計的重要組成部分。
本設計方案中所提出的“多處理器高性能星載計算機”抓住了星載計算機多個高性能處理器協同工作這一重要趨勢，利用系統由多個高性能處理器組成這一先天條件，使得本系統的性能得到大幅提升，可以將出錯的處理器進行替換，大大提高了星載計算機系統的可靠性，實現了星載計算機的抗輻射加固設計與高性能設計的平衡。本設計

1　系統平臺方案

本設計方案希望通過對星載計算機軟件容錯技術進行研究，來解決傳統星載計算機系統高性能與高可靠性難以協調兼顧的問題。

本設計方案采用FPGA和4個DSP構建多處理器高性能星載計算機系統，其硬件結構如圖1所示。每個子系統由DSP（數字信號處理器）、FLASH（閃存）、SDRAM（同步動態隨機存儲器）、FPGA（現場可編程門陣列，也稱為子系統FPGA）和JTAG（聯合測試工作組）接口等器件組成。每個子系統都連接到一個管理FPGA上（稱為全系統FPGA），并連接共享雙端口SRAM、FLASH、1553B總線控制器、RS-422/LVDS收發器等外設。系統的關鍵接口包括子系統和全系統。

a）子系統。每個子系統內部利用子系統FPGA實現數據處理器SMJ320C6701的32位 EMIF接口與FLASH/SDRAM直接連接，同時將EMIF接口引出至全系統FPGA，并實現基于“檢二糾一”的EDAC（錯誤檢測與糾正）校驗編碼。其中，對子系統存儲接口的模式配置為：DSP與FLASH——異步EMIF接口總線模式復用（典型配置）；DSP與SDRAM——同步EMIF接口總線模式復用（SDRAM模式配置）；子系統對外接口（通過子系統FPGA）——EMIF數據/地址線、異步/同步EMIF控制信號（含Full -rate SBSRAM模式）、McBSP接口、中斷信號（DSP到主機、主機到DSP）、定時器/GPIO信號、DMA控制信號等。

b）全系統。全系統FPGA中實現定制EMIF總線擴展邏輯，將高速同步SRAM接口映射連接至兩片雙端口SRAM，最大程度保證全系統共享存儲的訪存效率［2］；將異步EMIF地址映射至全系統FLASH和1553B控制器，實現全系統DMA功能；將串行通訊McBSP接口映射至RS-422/LVDS接口，并實現McBSP到通用串口的協議轉換。其中，對全系統存儲和接口控制的模式配置如下。

·雙端口SRAM：同步EMIF接口總線模式復用，支持Full -rate SSCLK下4 -beat burst SBSRAM模式讀寫。

·FLASH：異步EMIF接口總線模式復用（DMA支持）。

·1553B總線控制器：異步EMIF接口總線模式復用（DMA支持）》

·RS-422/LVDS收發器：McBSP接口交叉開關（CrossBar）模式復用及串口協議轉換（DMA支持）。

此外，全系統FPGA中還集成了系統模式配置和備份切換等全局控制邏輯，通過預先設定的控制寄存器和狀態寄存器與各個子系統交互。

2　系統運行方案

2.1系統啟動及運行

該系統在正常工作的情況下，3個處理器單元進行并行計算（稱為并行子系統）。一個處理器單元處于待機或預處理狀態（溫備份），作為并行系統的冗余備份（稱為備份子系統）；各并行子系統運行時通過自檢或過程比較等方式進行檢錯，發現自身故障時，該并行子系統進行重啟操作，同時通過管理控制單元將其上任務切換到備份子系統再次執行。未出現故障的并行子系統可以繼續運行，利用系統的高效處理能力彌補處理器切換的時間消耗，實現整體任務不中斷。

系統啟動和運行包括待機、初始化、配置、執行、故障診斷與備份切換等狀態，狀態間的切換均由全系統FPGA發出命令進行控制，如圖2所示。

軟件初始化中，系統構成為1個主控DSP、3個從屬DSP與全系統FPGA中的控制邏輯。每個DSP獨立地將程序存在私有的Flash中，在上電啟動后，利用boot代碼將程序搬運至SDRAM，執行主程序。在初始化狀態，DSP將進行芯片配置、初始化外設，完成狀態檢查，等待全系統FPGA發出下一步的命令。

全系統FPGA將根據DSP健康狀態和系統運行日志，選擇最可靠的DSP作為主DSP。基于系統處理能力和擴展性的考慮，全系統FPGA負責由外部信息獲得需要執行任務的標號，而相應任務本身需要的冗余度、并行度和外設需求等信息均保存在每個DSP中。主DSP將根據全系統FPGA提供的任務標號再將任務的需求信息反饋給全系統FPGA。

全系統FPGA綜合任務需求信息與環境因素、外部命令綜合考慮，激活相應的從DSP，并對它們進行配置（并行或備份）。而每個DSP相對獨立地在被激活后，讀取其配置信息，如果為并行模式，DSP將根據任務標號、子程序標號執行對應的代碼；如果為備份模式，DSP將原地等待之后的調度和分配。

每個DSP子系統在運行過程中進行自身的故障檢測，檢測到故障發生時，子系統將進入故障診斷狀態。如果為可恢復故障，該系統將繼續執行；如果為不可恢復故障，子系統將通知全系統FPGA啟動備份切換和中斷任務分配，故障DSP子系統被全系統FPGA重啟進入初始狀態，等待下一輪模式配置和任務分配。

2.2多DSP并行方案

并行處理的目的是采用多個處理單元同時對任務進行處理而減少任務的執行時間，達到實時性的要求［3］。本設計方案的范圍主要是在高性能DSP硬件平臺上的多DSP并行結構和DSP算法的并行實現。DSP并行實現要求分配并行任務，調整數據結構，平均分配功能單元，利用匯編語言的靈活性合理編排指令，設計性能良好的并行算法［4］。

本多處理器高性能星載計算機采用DSP作為運算處理單元，在并行工作模式下，采用3×DSP并行結構，同時在每個DSP內具有多個數據處理通路、多個寄存器組等多功能單元。多處理器和多功能單元的可并行操作是并行處理的基礎，在應用實現上可將任務劃分為多份，交予多處理器進行實現；在算法設計中可以在一個周期內盡量安排多個占用不同功能單元的指令，提高程序的執行速度。

在并行處理中，系統的DSP并行方式包括三種處理方式：多類任務同時執行、一類任務多次執行和一個任務分割執行。

a）多類任務同時執行。在“多類任務同時執行”這種并行處理方法中，進行并行運算的3 個DSP各自處理不同的程序任務。如圖3所示，DSP_A中執行星務管理程序1，DSP_B執行圖像處理，DSP_C執行星務管理程序2。程序的分配由FPGA中的“operation configure”（操作系統設置）模塊進行操作，該模塊在程序開始運行之前，根據外部指令、衛星的時間位置信息、航天器的傳感器信息和程序需求來決定并行處理的方法和最終的程序分配。在這種并行處理方法下，DSP各司其職，相互之間沒有數據關聯，當星上需要同時進行多個程序的執行時，此種并行方法是比較合適的。

b）一類任務多次執行。在這種并行處理方法中，同一個任務要執行多次的重復操作，只是每次進行操作的數據不相同，而且數據相互之間完全沒有關聯。如圖4所示，系統進行視頻圖像處理，由于一個視頻圖像處理分為很多幀，而每個幀的操作除了被操作數據不同外，其它都是一樣的，視頻圖像幀與幀之間沒有任何的數據關聯，所以FPGA將視頻圖像中的不同幀分給不同的子系統處理，圖中DSP_A、DSP_B和DSP_C分別處理第n、n+1和n+2幀圖像。同樣，DSP執行內容的分配也由FPGA中的“操作系統設置”模塊進行操作，當星上需要快速而且重復的執行某個程序時，此種并行方法是比較合適的。

圖3　多類任務同時執行

圖4　一類任務多次執行

c）一個任務分割執行。對于“一個任務分割執行”這種方法，進行并行運算的3個DSP各自處理程序中的一部分，各DSP之間處理的內容可能存在數據關聯。我們以某一待處理圖像為例（如圖5所示雙線大方框區設為圖像部分），系統在對其進行處理之前，為了高效而快速地執行程序，首先將圖像分為12個小圖，每個DSP執行其中的4幅小圖像。不同于一類任務多次執行，首先，一個任務分割執行說明這個任務只執行了一次，而不是重復執行，另外任務的分割會帶來分割之后任務間的一些數據交互，如圖像在分割和拼接的時候存在少量數據交互。FPGA中的“操作系統設置”模塊進行程序的分割和分配操作，如圖6所示（圖像與圖5對應）。當星上需要快速執行某個大型程序時，此種并行方法是比較合適的。

圖5　“一個任務分割執行”情況下的任務分配示例

圖6　一個任務分割執行

3　故障診斷與恢復

3.1故障診斷

在并行情況下，每個DSP子系統可以依靠自檢進行簡單故障診斷，主要依賴于程序監視技術［4］，即“看門狗”，記錄處理器程序“跑飛”或“死機”造成的無響應狀態。如果在設定時間內發生故障的次數超過設定值，即認為子系統發生不可恢復故障，通知管理調度單元執行備份切換。

由于“看門狗”技術無法檢出DSP運算結果出錯的情況，因此參照該方案的硬件結構和特定應用，結合已有的控制領域故障診斷技術，對不同的并行方案制定各自的故障診斷方案，作為對自檢技術的補充。

對于“多類任務同時執行”的情況，由于每個DSP執行的任務完全獨立，在任務明確的情況下，對較為復雜的圖像處理類任務采用基于知識的故障診斷方法，如機器學習等，有利于提高故障檢出率；對較為簡單的星務處理類任務可采用基于信號處理的故障診斷方法［5］，降低診斷開銷。

對于“一類任務多次執行”和“一個任務分割執行”的情況，多個DSP系統構成SIMD架構，非常利于使用基于解析模型的故障診斷方法，如狀態估計法、等價空間法和過程參數估計法等，利用DSP任務過程比較發現輸出結果異常。

由于SMJ320C6701支持德州儀器（TI）官方提供的輕量級實時操作系統DSP/BIOS，具有簡單的多進程管理功能。利用DSP/BIOS提供的基于優先級設置的進程切換和調度機制，可以方便的實現軟件多模冗余和定時器超時處理等容錯設計。此外，DSP/BIOS還可以大大簡化星務管理中的任務優先級設置操作，有效保證“多類任務同時執行”應用場景下的全局實時性。

3.2備份切換方案

3.2.1備份執行流程

從程序的運行方式可以看出，不論系統運行在何種并行處理方式下，都有一個處于溫備份狀態的DSP在等待切換，系統中每個DSP的運行流程都如圖7所示。系統啟動之后，各子系統進行初始化操作，在全系統FPGA的配置下，3個DSP子系統進行并行操作（如圖7中①所示），而且在執行程序的過程中進行自檢。如果并行系統中某個DSP發生了故障，則該DSP將通過中斷告知全系統FPGA中的調度系統，DSP子系統自身復位。進行溫備份操作的DSP則進行等待（如圖7中②所示），當收到調度系統的啟動命令后，則啟動程序并加入到并行系統中執行任務。

圖7　DSP運行流程圖

在被配置為備份的DSP中，可以選擇基本模式（如圖7中③所示）或冗余模式（如圖7中④所示）。基本模式下，備份DSP將處于低功耗狀態，不執行運算任務，等待調度系統喚起。冗余模式下，備份DSP將按照預先設定的選擇機制（如參考歷史狀態等）在當前3個并行DSP中選取一個并行任務同時執行。如本輪處理中（兩個同步點之間）并行DSP未發生故障，則備份DSP在下一輪繼續選擇新的任務進行冗余計算；如本輪發生故障，若發生故障的并行任務與備份DSP運行的冗余任務相同，則可以直接采用冗余運算的結果，預測失敗情況下備份DSP停止當前操作，重新執行故障DSP任務。這種模式具有最短的系統恢復時間。

3.2.2備份替換策略

本設計方案提供可配置的備份替換策略，支持不同環境下性能與恢復時間之間的權衡。每種備份替換策略下，執行備份的DSP均可選擇基本模式或冗余模式。

a）固定備份機制。固定備份機制選取某個特定DSP作為系統溫備份。以圖5的圖像處理為例，一張高清圖像被劃分為12個任務，其中每3個任務為一輪，由3個并行DSP（例如DSP_A、DSP_B、DSP_C）同時處理。在冗余模式下，每輪由固定備份DSP（例如DSP_D）執行選定的任務（如與DSP_A相同）。由于這種備份替換方式具有確定性，在硬件上可以預先根據并行DSP和備份DSP運行特點，采用特定的加固優化設計，達到最好的運行效果。

b）輪轉備份機制。與固定備份切換機制不同，在輪轉備份機制中，沒有某個固定的DSP一直運行在備份狀態下。此時，備份操作由DSP_A、DSP_B、DSP_C、DSP_D輪流執行。以圖5的圖像為例，在執行第一輪任務（即任務1～3）時，DSP_D作為本輪備份；在執行第二輪任務（即任務4～6）時，FPGA調度系統將DSP_A設置為本輪備份，以此類推。輪轉備份機制比固定備份具有更好的公平性，在基本模式下有利于緩解系統TID（輻射總劑量）積累，增強抗輻性能。

c）預讀機制。在當前系統定義中，處于溫備份狀態的DSP，無論是基本模式還是冗余模式，對于提升系統運算性能來說是沒有幫助的?？紤]到在實際系統運行中，故障發生屬于小概率事件，為了在保證系統可靠性的前提下提高系統的性能，本方案在輪轉備份的基礎上，提出了預讀輪轉切換方法。

在預讀輪轉切換方法中，所有DSP輪流做備份，本輪首先完成并行處理任務的DSP為下一輪備份；備份DSP亦處于運行狀態，執行后續處理任務。如本輪某DSP（如DSP_A）發生故障，則備份DSP終止當前操作，重新執行DSP_A的處理任務。這種方式下，無故障時系統中DSP為并行運行；故障時能夠快速重新執行處理任務，具有最高的處理性能。

以圖5的圖像處理為例，FPGA在進行任務分割時，不僅僅對DSP_A、DSP_B和DSP_C分配待執行任務（如任務1～3）。同時也會對DSP_D分配任務（如任務4），在DSP_A、DSP_B和DSP_C進行并行計算的時候，DSP_D會將DSP_A下一階段所要處理的數據預讀到本地存儲空間中，然后，在DSP_A執行當前階段的程序之后，如果系統未出現錯誤，則DSP_D加入下輪并行，DSP_A則進入下輪備份預讀。同理，在DSP_A進行溫備份預讀處理時，如果系統未出現錯誤，則DSP_A重新加入并行，由DSP_B進行備份數據預讀。加入了預讀的輪轉備份機制下，系統實質上運行在4×DSP并行狀態，這種方法在保證系統可靠性的前提下，縮短省略掉DSP讀取數據的時間，從而最大程度提高系統處理性能。

可以看出，相同任務在各種備份配置下執行情況各不相同，在實際設計中可以根據系統對運算性能、可靠性、切換開銷等方面的需求進行靈活配置。

本文以高性能、高可靠的并行星載計算機任務需求為背景，構建了“4DSP+FPGA”的多處

理器并行星載計算機體系結構，運行一種“3+ 1”的工作模式，利用DSP快速、豐富的對外接口實現多處理器的數據信息交互，以保證計算機的高性能需求。此外，利用多處理器的硬件資源提出處理器備份運行方案，即針對備份DSP提出一種可選的“輪轉切換”方案，利用預讀節省DSP進行數據讀取的時間，實現計算機高可靠的抗輻射性能需求。

參考文獻

［1］Bolchini C.，Miele A.，Santambrogio M.D．TMR and Partial Dynamic Reconfiguration to mitigate SEU faults in FPGAs”，the Proc. Of IEEE International Symposium on Defect and Fault Tolerance in VLSI Systems．IEEE，2007：87-95．

［2］陳書明，汪東，陳小文．一種面向多核DSP的小容量緊耦合快速共享數據池［J］．計算機學報，2008，31（10）：1737-1744．

［3］郭保東．異構多核DSP互連通信機制QLINK的研究與實現［D］．長沙：國防科技大學，2007：23-34．

［4］夏康．高可靠并行星載計算機硬件容錯技術研究．上海交通大學碩士論文，2012-12-01．

［5］雷濤．多DSP并行多模跟蹤軟件系統的研究與優化實現．北京：中國科學院研究生院，2006：23-36．

作者簡介：

彭小燕（1983年—），女，電子工程專業工程碩士，工程師，現主要從事星載計算機技術研究。

*本文源于國防預研抗輻射加固技術項目（513110401××）。方案使用FPGA和四片高性能DSP數字信號處理芯片組建多處理器高性能星載計算機平臺，包括4DSP+FPGA系統架構和軟件運行方案的設計。