一種低成本小衛星重要數據抗單粒子翻轉方法

呂達 熊浩倫 王啓寧 李志剛

(航天東方紅衛星有限公司，北京 100094)

隨著商業衛星發射的爆發式增長，按照傳統3～5年的大衛星研發周期已不能滿足商業航天的業務需求。航天器中廣泛應用的宇航級器件經常受到禁運，供貨周期長，而且價格比同功能商用現貨(COTS)器件高數倍，且性能落后2～3代[1]，因此采用COTS產品替代宇航級產品成為商業航天發展的一個主要方向[2-3]。COTS產品在小衛星上應用時，普遍面臨空間輻射引發的單粒子翻轉(SEU)問題，星上重要數據(如程控指令、程控數據塊、相對程控指令、熱控數據及存儲的有效載荷數據)都要進行抗SEU設計。目前，抗SEU設計廣泛采用三模冗余(TMR)或錯誤檢測與糾正(EDAC)技術。使用TMR技術可以對抗SEU，但要占用3倍于要保護數據的存儲空間，當需要保護的數據量比較大時，往往是不可行的。傳統EDAC技術是通過專用硬件電路或FPGA芯片實現[4-5]，但小衛星受體積小、質量小、功耗低、研制成本低及周期短的要求，往往應用甚至整機采用COTS產品，通過修改電路實現硬件EDAC方法不適用。另外，對于含有時間信息的重要數據(如程控指令或程控數據塊)，由于程控緩沖區的維護策略，相同時間的程控指令或程控數據塊無法再次上注。對于其他重要數據，如相對程控、有效載荷數據、熱控數據等數據量大，小衛星過境時間短，往往不足10 min，且需要上注必要的任務數據，若再要周期上注刷新其他重要數據會給在軌維護增加巨大的負擔。因此，針對重要數據的抗SEU設計，不能采用地面周期上注刷新的方法。

本文提出一種低成本小衛星的重要數據抗SEU方法，采用軟件實現重要數據差錯控制，在不增加硬件電路的前提下可實現抗SEU的效果。重要數據包括程控指令、相對程控指令、程控數據塊、有效載荷重要數據和熱控數據等，這些重要數據不常變化，每次變化都要重新上注，因此可以在上注前由地面完成每條重要數據的糾錯編碼，星上計算機收到數據且判斷正確后對數據及其糾錯編碼分別進行存儲，重要數據使用前或到達檢測周期時對重要數據進行檢錯。由于錯誤發生有一定概率，大多數時候星上只運行檢錯程序，不涉及糾錯，更不不涉及糾錯編碼，因此對CPU增加負擔不大，利于實時處理。

1 重要數據抗SEU方法

本文提出的小衛星重要數據抗SEU方法，主要步驟包括對重要數據進行糾錯編碼、錯誤檢測及糾錯。考慮到軟件實現數據差錯控制會增加CPU的負擔，因此合理分配了運算量，將重要數據的糾錯編碼由地面實現，星上計算機只進行重要數據的檢錯和糾錯。以程控指令為例，多條程控指令以數據塊形式上注，上注幀格式包含同步字、幀長、每條程控指令及對應的糾錯編碼，以及所有數據對應的循環冗余校驗碼(CRC)值，幀格式如圖1所示。星上計算機收到數據后，對同步字、幀長判斷正確后，再對CRC進行判斷，由于CRC有很強的糾錯能力，如CRC16可檢測出所有的1 bit錯誤、2 bit錯誤、任意奇數個比特錯誤及長度小于16 bit的突發錯誤[6-7]，因此若CRC判斷正確后，則認定數據正確，并對每條程控指令及糾錯碼分別進行存儲。當程控指令執行或檢測周期來臨時，針對該條程控指令按對應的糾錯碼進行檢錯。若發現錯誤，則針對錯誤類型情況進行處理；對于每n個比特數據，可以檢測2 bit錯誤，同時糾正1 bit錯誤。若是1 bit錯誤，則1 bit錯誤計數加1，且糾錯；若是2 bit錯誤，則2 bit錯誤計數加1。

圖1 多條程控指令上注的幀格式Fig.1 Format of multiple uplink program control instructions

1.1 地面糾錯編碼

重要數據能否實現檢錯及糾錯的基礎是糾錯編碼。通常使用的糾錯編碼有里所(RS)碼、漢明碼、BCH碼、交織碼、循環漢明碼等，它們各自具有不同的檢錯、糾錯能力，糾錯編碼的選擇就是在譯碼效率、碼率和最小漢明距離(檢糾錯性能)之間進行折中。RS碼是一種編碼效率和糾錯性能都很高的特殊多進制BCH碼，它以符號為單位，具有糾單字檢雙字的功能，糾錯能力強，但譯碼過程較復雜，若考慮到系統的實時性，此類碼不是最好的選擇。漢明碼優點是譯碼較為簡單，占用資源較小，譯碼實時性較強，在實際工程中使用較普遍，因此本文選擇漢明編碼。漢明碼是由n位信息位和k位檢測位構成的一種線性分組碼，因此對于漢明碼的編碼，需要監督位位數確定和監督位的計算。

(1)監督位位數的確定。若信息位為k位，增加r位監督位，構成n=k+r位碼字。為了用r個監督關系式產生的r個校正子區分無錯和在碼字的n個不同位置的1 bit錯誤，要求滿足式(1)。由于同時能夠檢測2 bit錯誤，需要再增加1個全局監督位，因此要求滿足式(2)。增加1 byte(8 bit)監督位，最多可以對15 byte(120 bit)數據進行校驗。表1為監督位和信息位的位數對應關系。

2r-1≥k+r

(1)

2r-1-1≥k+(r-1)

(2)

表1 監督位和信息位的位數對應關系Table 1 Relationship between number of supervision bits and information bits

編碼后數據結構如圖2所示。編碼后數據為系統碼，便于軟件處理。其中：信息位為Di(i=0,1,2,…,r-1)；監督位為Pi(i=0,2,…,r-1)，Pr-1為全局監督位，用于檢測偶數位錯誤。

圖2 線性分組編碼的結構Fig.2 Structure of linear block coding

(2)監督位的計算。將編碼后的數據位進行編號，監督位編號為2i，如第1，2，4，8，16，32，…[8]。信息碼編號為非2i，如第3，5，6，7，9，10，11，12，13，…。將編號轉化為二進制編碼，用校正子Sr-2～S0表示，全局監督校正子由Sr-1表示，可得出校正子Sr-2～S0與錯碼的位置關系，從而得出校正子計算公式，進一步得出監督位計算公式。

以相對程控為例進行說明，k=48,r=7，校正子與錯碼位置對應關系如表2所示，S6為全局監督位，Sr-2～S0表示錯碼出現的位置。

表2 校正子與錯碼位置對應關系Table 2 Relationship between checker and error code location

由表2可見，僅當1 bit錯碼出現在D0，D1，D3，D4，D6，D8，…，P0時，S0為1，否則為0，說明這幾個碼元構成監督關系，如式(3)所示。同理，其他監督關系，如式(3)～(9)所示。校正子Si(i=0,1,2,3,4,5,6)為構成監督關系的信息位Di(i=1,2,3，…,47)和監督位Pi(i=0,1,2,3,4,5,6)的異或和。

S0=D0+D1+D3+D4+D6+D8+…+P0

(3)

S1=D0+D2+D3+D5+D6+D9+…+P1

(4)

S2=D1+D2+D3+D7+D8+D9+…+P2

(5)

S3=D4+D5+D6+D7+D8+D9+…+P3

(6)

S4=D11+D12+D13+D14+D15+

D16+…+P4

(7)

S5=D26+D27+D28+D29+D30+

D31+…+P5

(8)

S6=D0+D1+D2+D3+D4+D5+…+P6

(9)

編碼計算時，令Si(i=0,1,2,3,4,5,6)為0，表示編成的碼組中無錯碼，則可以得到監督位Pi計算公式如下。

P0=D0+D1+D3+D4+D6+D8+…+D46

(10)

P1=D0+D2+D3+D5+D6+D9+…+D47

(11)

P2=D1+D2+D3+D7+D8+D9+…+D47

(12)

P3=D4+D5+D6+D7+D8+D9+…+D40

(13)

P4=D11+D12+D13+D14+D15+

D16+…+P47

(14)

P5=D26+D27+D28+D29+D30+

D31+…+D47

(15)

P6=D0+D1+D2+D3+D4+D5+…+D47

(16)

1.2 星上檢錯糾錯

每條程控指令執行前或到達檢測周期時，按式(3)～(9)計算校正子Si(i=0,1,2,3,4,5,6)。大量試驗數據表明，靜態隨機存儲器(SRAM)發生SEU大多數是1 bit錯誤，產生2 bit轉的次數占總翻轉次數的1%左右，而產生3 bit、4 bit翻轉的概率僅為0.1%～0.01%[9]。因此，若S5～S0不等于0，且S6等于0，說明發生偶數比特錯誤，2 bit錯誤計數加1。若S5～S0不等于0，且S6等于1，說明發生1 bit錯誤，1 bit錯誤計數加1，并且根據校正子與錯碼位置的對應關系，確定錯碼發生位置，并完成糾錯。如S6～S0等于1000011，則表明該組數據D0位置出錯，對D0取反即可實現糾錯。本文檢錯糾錯流程如圖3所示。

重要數據檢錯任務還可周期運行，1次可以對m條指令進行檢錯，m根據處理器處理能力確定，不給CPU增加過多負擔而影響處理器原來的任務。

2 測試結果及分析

2.1 測試結果

本文方法在小衛星綜合電子計算機上進行了測試。針對的數據包括小衛星的相對程控指令、程控指令、程控數據塊、有效載荷數據等，主要進行故障注入，程控指令糾錯算法選用(80,72)擴展漢明碼，相對程控指令糾錯算法選用(56,48)擴展漢明碼，程控數據塊選用(128,120)擴展漢明碼。數據上注后，通過修改星務中心計算機內存的方法將以上數據產生1 bit錯誤及2 bit錯誤。每種數據類型故障隨機注入100次，測試結果如表3所示，表明本文方法可以有效地檢錯并糾錯。

表3 重要數據檢錯糾錯方法測試結果Table 3 Test results of error detection and correction method for important data

2.2 性能分析

(1)本文通過軟件實現重要數據檢錯糾錯，不改變原硬件結構，不需增加硬件EDAC芯片或FPGA，可大大節約成本，適合采用COTS產品體系的低成本衛星使用。

(2)本文方法同三模冗余方法相比，占用內存量少，僅需要給監督位分配存儲空間。若需要保護數據長度的字節數為N，對于相對程控指令選用(56,48)擴展漢明碼，本文方法占用存儲空間約為1.16N，對于程控指令選用(80,72)擴展漢明碼，本文方法占用存儲空間約為1.11N，而三模冗余方法占用存儲空間為3N。由于星務中心計算機要存儲上千條程控指令、程控數據塊、相對程控指令和有效載荷重要數據，因此本文方法可以大大節約存儲空間，解決內存緊張的問題。

(3)本文方法可以周期性進行檢錯，若在軌長期使用，由于SEU會發生積累，三模冗余方法有失效的風險。本文方法采用數據檢錯任務周期運行，每周期可以完成m條重要數據的檢錯糾錯，避免由于SEU效應長期積累造成三模冗余方法2份數據出現錯誤的風險。

(4)本文方法實現檢錯的運算復雜度大于三模冗余方法，但由于合理分配運算量，每條重要數據的糾錯編碼在地面完成，星上只對該數據進行檢錯，因此對CPU增加負擔小，利于實時處理。

3 結束語

本文提出一種軟件實現的小衛星重要數據抗SEU方法，不增加硬件電路，適合基于COTS產品體系研制的低成本小衛星平臺。該方法事先對程控指令等重要數據每條指令設計相應糾錯碼并完成上注，星上將重要數據及對應糾錯碼進行存儲，重要數據使用前或周期進行檢錯，出現錯誤時可以有效檢錯并糾錯。由于星上每次只對一定條數重要數據進行檢錯，發現錯誤進行糾錯解碼，所有重要數據均不進行糾錯編碼，不會給CPU增加過多負擔；而且，相對于三模冗余方法，在很大程度上節約了內存空間。