呂 聰，李華旺，常 亮

（1.中國(guó)科學(xué)院 上海微系統(tǒng)與信息技術(shù)研究所，上海 200050；2.上海微小衛(wèi)星工程中心 上海 201203）

星務(wù)管理中的雙CPU冗余通信設(shè)計(jì)與實(shí)現(xiàn)

呂 聰1，2，李華旺1，2，常 亮1，2

（1.中國(guó)科學(xué)院 上海微系統(tǒng)與信息技術(shù)研究所，上海 200050；2.上海微小衛(wèi)星工程中心 上海 201203）

基于Cortex-M3的Smart Fusion2芯片和APA600芯片結(jié)合雙CPU冗余技術(shù)設(shè)計(jì)實(shí)現(xiàn)了微納衛(wèi)星星務(wù)管理中的雙CPU冗余通信。采用雙CPU冗余技術(shù)來提高系統(tǒng)的可靠性。在信息交互設(shè)計(jì)中加入看門狗實(shí)現(xiàn)CPU狀態(tài)監(jiān)控，通過信息發(fā)送中握手通信機(jī)制的設(shè)置以及鏈路自復(fù)位的設(shè)置進(jìn)一步提高系統(tǒng)的可靠性。詳細(xì)介紹了雙CPU冗余通信在星務(wù)管理系統(tǒng)中的實(shí)現(xiàn)并介紹了鏈路可靠性設(shè)計(jì)和雙CPU通信過程中的重要函數(shù)設(shè)計(jì)。利用可靠性高的串行通信方式設(shè)計(jì)雙CPU冗余通信即滿足微納衛(wèi)星對(duì)可靠性的高要求又降低了開發(fā)而且實(shí)現(xiàn)簡(jiǎn)單這對(duì)于衛(wèi)星系統(tǒng)中的通信有較好的實(shí)用價(jià)值。

雙CPU；冗余通信；監(jiān)控；可靠性

隨著信息技術(shù)與小型化技術(shù)的飛速發(fā)展與應(yīng)用，傳統(tǒng)的衛(wèi)星研制技術(shù)出現(xiàn)了革命性的飛躍。其中一個(gè)重要發(fā)展趨勢(shì)是衛(wèi)星小型化[1]，小衛(wèi)星實(shí)現(xiàn)了低成本、小重量、小體積、高性能、短研究周期等特點(diǎn)[2]。衛(wèi)星越來越小，但對(duì)可靠性的要求越來越高。文中設(shè)計(jì)基于微納衛(wèi)星星務(wù)管理系統(tǒng)，根據(jù)微納衛(wèi)星的高可靠性設(shè)計(jì)要求，以及一個(gè)單CPU的控制系統(tǒng)很難滿足現(xiàn)代控制系統(tǒng)的要求[3]的現(xiàn)狀，選用了雙CPU的冗余控制技術(shù)。由于雙CPU的冗余控制是一種提高系統(tǒng)可靠性的有效手段[4]，設(shè)計(jì)為了適合衛(wèi)星可靠性要求選用雙CPU冗余通信。雙冗余技術(shù)就是在系統(tǒng)中增加備用模塊，一旦工作模塊發(fā)生故障時(shí)，控制系統(tǒng)可以快速切換到備用模塊，從而保證了系統(tǒng)的正常工作[5]。其中如何通過雙CPU通信保證系統(tǒng)的可靠性是本文的一個(gè)研究重點(diǎn)。

1 芯片選型

1.1 Smart Fusion2芯片介紹

主CPU選擇Microsemi公司Smart Fusion2SoC FPGA芯片（以下簡(jiǎn)稱SF2），該芯片設(shè)計(jì)用于滿足高安全性、高可靠性和低功耗的基本需求。采用了基于非易失性快閃技術(shù)的設(shè)計(jì)保護(hù)功能，易于保護(hù)機(jī)密和高價(jià)值的設(shè)計(jì)，防止篡改、克隆、過度建造、反向工程和偽造。SF2芯片采用Flash工藝實(shí)現(xiàn)，無需額外的配置存儲(chǔ)器以及刷新電路。同時(shí)SF2芯片上電即行，沒有上電加載時(shí)間，提高了衛(wèi)星啟動(dòng)時(shí)間。SF2在單一芯片上集成了固有可靠性的快閃FPGA架構(gòu)、一個(gè) 166（MHz）ARM CortexTM-M3 處理器、先進(jìn)的安全處理加速器、DSP模塊、SRAM、eNVM和業(yè)界所需的高性能通訊接口。SF2器件具備所需的差異化特性，能夠確保在非常低的功耗下安全、可靠地運(yùn)行。

1.2 APA600芯片介紹

從CPU選擇的是APA600芯片，APA600芯片是抗輻射的宇航等級(jí)的芯片。其相對(duì)于SF2有更高的可靠性但是它在功耗響應(yīng)速度等方面卻沒有Smart Fusion2出色，所以選擇用高可靠性低性能的APA600來監(jiān)測(cè)高性能但可靠性相對(duì)差一點(diǎn)的SF2以使得整個(gè)系統(tǒng)的設(shè)計(jì)更加可靠并實(shí)現(xiàn)提高系統(tǒng)性能的目標(biāo)。

2 雙CPU冗余通信設(shè)計(jì)

2.1 雙CPU冗余通信方式選擇

雙CPU間的通信方式有并行通信方式和串行通信方式。串行通信傳送按位順序進(jìn)行，傳輸線少，成本低但傳送速度慢。但隨著當(dāng)前通信行業(yè)的迅猛發(fā)展，串行通信技術(shù)日趨成熟，傳輸速率越來越快，可以進(jìn)行長(zhǎng)距離數(shù)據(jù)傳輸并保證信號(hào)傳輸質(zhì)量，加之其線路設(shè)計(jì)簡(jiǎn)單，能很好地滿足保護(hù)裝置的通信要求，因此已經(jīng)越來越多的應(yīng)用于雙CPU間的通信[6]。而異步串行通信也由于接線少、傳輸距離遠(yuǎn)、可靠性高、成本低等特征在數(shù)據(jù)采集和控制系統(tǒng)中得到了廣泛的應(yīng)用[7-8]。

考慮到數(shù)據(jù)量不是特別大，采用串行通信方式，并采用三線制和UART作為傳輸鏈路。其中UART發(fā)送信息是將需要發(fā)送的并行數(shù)據(jù)轉(zhuǎn)化為適合在信道中傳輸?shù)拇袛?shù)據(jù)串行輸出，接收時(shí)接收串行數(shù)據(jù)，并將其轉(zhuǎn)化為并行數(shù)據(jù)[9-10]。SF2通過三線制向APA600發(fā)送控制指令，APA600接收到控制指令后通過三線制向SF2返回應(yīng)答信息并且通過UART向SF2返回?cái)?shù)據(jù)信號(hào)，SF2定時(shí)通過UART向APA600發(fā)送喂狗信號(hào)。為了避免UART和SF2的接收和發(fā)送數(shù)據(jù)時(shí)使CPU處于等待狀態(tài)，接受和發(fā)送均采用中斷模式[11]。其基本的通信連接如圖1所示：

圖1 雙CPU通信連接圖

2.2 雙CPU冗余通信控制實(shí)現(xiàn)

這里的雙CPU控制區(qū)別于傳統(tǒng)的“熱備份”冗余控制，傳統(tǒng)的“熱備份”冗余就是兩個(gè)模塊同時(shí)在線工作，一個(gè)主模塊，一個(gè)從模塊，主模塊按照系統(tǒng)要求正常工作，從模塊處于熱備份狀態(tài)，實(shí)時(shí)監(jiān)控主模塊工作狀態(tài)，一旦檢測(cè)到主模塊出現(xiàn)故障，從模塊便可自動(dòng)接管主模塊工作，系統(tǒng)可不受停機(jī)損失[12]。

星務(wù)系統(tǒng)的兩種工作模式分別為安全工作模式和正常工作模式，本設(shè)計(jì)選擇兩塊CPU，主CPU在正常模式下工作，從CPU在兩種模式下都有其任務(wù)。從CPU主要功能有兩個(gè)其一是正常工作模式下監(jiān)測(cè)可靠性低但性能好的主CPU并協(xié)助主CPU進(jìn)行工作；另一個(gè)功能是在主CPU故障后擔(dān)任起整個(gè)系統(tǒng)的工作保證星務(wù)系統(tǒng)在安全模式下仍能完成衛(wèi)星基本的功能。

從CPU的APA600對(duì)SF2的監(jiān)控通過兩種途徑來實(shí)現(xiàn)。APA600作為從CPU要與主CPU的協(xié)同工作來滿足星務(wù)的需求，SF2向APA600發(fā)送控制指令，APA600向SF2返回應(yīng)答信息并根據(jù)控制指令向SF2發(fā)送請(qǐng)求的數(shù)據(jù)，通過該過程APA600實(shí)現(xiàn)對(duì)SF2的監(jiān)控；另一種監(jiān)控方式是通過設(shè)置看門狗實(shí)現(xiàn)監(jiān)控，SF2定時(shí)向APA600發(fā)送喂狗信號(hào)，若APA600在設(shè)定的時(shí)間內(nèi)沒有收到喂狗信號(hào)就會(huì)復(fù)位SF2，如果連續(xù)復(fù)位超過約定次數(shù)就斷定SF2不能正常工作，將SF2斷電，系統(tǒng)進(jìn)入安全模式實(shí)現(xiàn)正常模式向安全模式的切換。

2.3 UART通信方式的可靠性設(shè)計(jì)

其中UART通信有兩種基本拓?fù)浣Y(jié)構(gòu)星型和總線型。由于需要點(diǎn)到點(diǎn)的通信在此選擇了星型拓?fù)浣Y(jié)構(gòu)全雙工處理方式。星型結(jié)構(gòu)全雙工處理方式由于采用獨(dú)占線路只對(duì)單個(gè)節(jié)點(diǎn)實(shí)施全雙工對(duì)輪詢處理的效率并沒有影響。不過在這種方式下在主節(jié)點(diǎn)未發(fā)出命令的任何時(shí)間從節(jié)點(diǎn)可以主動(dòng)向從節(jié)點(diǎn)傳送數(shù)據(jù)有利于處理比較緊急的通信任務(wù)所以這處理方式適用于從節(jié)需要主動(dòng)上傳數(shù)據(jù)的場(chǎng)合[13-14]。

為提高數(shù)據(jù)傳輸?shù)目煽啃?，在軟件設(shè)計(jì)時(shí)，運(yùn)用握手通信機(jī)制、CRC校驗(yàn)碼等編程設(shè)計(jì)[15]，并加入U(xiǎn)ART自復(fù)位設(shè)計(jì)。雙CPU通信過程中接受不到信息會(huì)有兩種原因，其一是發(fā)送端發(fā)生錯(cuò)誤沒能將信息發(fā)出來，其二就是接收端發(fā)生錯(cuò)誤未能將信息讀出來。針對(duì)第一種原因在UART鏈路設(shè)計(jì)中加入反饋復(fù)位信號(hào)設(shè)計(jì)，若對(duì)方?jīng)]收到信息將反饋一個(gè)信號(hào)給到UART發(fā)送端將UART進(jìn)行復(fù)位，復(fù)位之后重新發(fā)送數(shù)據(jù)。針對(duì)第二種原因即發(fā)送端復(fù)位之后接收端仍不能接受到數(shù)據(jù)的情況下就需要檢查接受端自身的問題。首先接收端進(jìn)行自復(fù)位，然后給發(fā)送端一個(gè)重發(fā)數(shù)據(jù)的信號(hào)，重新來接收數(shù)據(jù)。

3 軟件實(shí)現(xiàn)

3.1 SF2的看門狗設(shè)計(jì)

看門狗設(shè)計(jì)實(shí)現(xiàn)星務(wù)系統(tǒng)安全模式與正常模式的切換。SF2需要每一個(gè)任務(wù)周期 （500 ms）通過UART向APA600發(fā)送喂狗信號(hào)，給到APA600中，若APA600連續(xù)4 s未接到喂狗信號(hào)APA600將整個(gè)SF2復(fù)位。實(shí)現(xiàn)高可靠性的APA600對(duì)SF2的監(jiān)控功能。基于μCOS-II系統(tǒng)的SF2芯片的喂狗信號(hào)我們通過系統(tǒng)任務(wù)的時(shí)間間隔進(jìn)行發(fā)送以確保喂狗信號(hào)的定時(shí)發(fā)出。

若SF2累計(jì)復(fù)位3次，則掉電SF2，系統(tǒng)進(jìn)入安全模式?？撮T狗及復(fù)位管理的流程如圖2所示。

圖2 看門狗及復(fù)位管理流程圖

3.2 雙CPU冗余通信時(shí)序設(shè)計(jì)

SF2向APA600發(fā)送控制指令并等待APA600的應(yīng)答，應(yīng)答分為兩類對(duì)于請(qǐng)求數(shù)據(jù)的指令A(yù)PA600會(huì)將數(shù)據(jù)通過UART返給SF2，但是對(duì)于另一些控制指令并不需要返回?cái)?shù)據(jù)信息，這時(shí)候要想確保APA600收到了SF2的指令就必須設(shè)置應(yīng)答機(jī)制。雙機(jī)通信的時(shí)序設(shè)計(jì)如圖3所示。

圖3 雙CPU通信時(shí)序圖

3.3 雙CPU冗余通信的重要函數(shù)設(shè)計(jì)

1）等待接受函數(shù)（commWaitReceiveFinish（））設(shè)計(jì)

在雙機(jī)通信中很重要的一個(gè)工作是接受數(shù)據(jù)，接收數(shù)據(jù)之前首先需要知道緩存中存在的數(shù)據(jù)以保證能完整的讀取數(shù)據(jù)。該等待接受函數(shù)的功能是等待接受緩存中完全收滿一幀數(shù)據(jù)之后返回接收到的數(shù)據(jù)個(gè)數(shù)，使我們?cè)诮邮軘?shù)據(jù)之前可以確認(rèn)緩存區(qū)的數(shù)據(jù)量，保證接受時(shí)可以收到完整的數(shù)據(jù)。函數(shù)實(shí)現(xiàn)流程如圖4所示。

圖4 等待接受函數(shù)流程圖

其中ONE_CYCLE_DELAY是每次等待的時(shí)間，這個(gè)延時(shí)要求必須大于下位機(jī)發(fā)送一個(gè)字節(jié)數(shù)據(jù)的時(shí)間（1/（波特率/8）秒）。為減少 CPU延時(shí)處理的占用，該時(shí)間小于下位機(jī)發(fā)送兩字節(jié)數(shù)據(jù)的時(shí)間，且該延時(shí)在SF2上必須小于APA600接收應(yīng)答后開始到發(fā)送數(shù)據(jù)幀的時(shí)間（如圖5所示）。

圖5 幀間傳輸間隔設(shè)計(jì)

2）接受函數(shù)（commReceiveFrame（））設(shè)計(jì)

接收函數(shù)的主要功能就是解析數(shù)據(jù)幀讀取數(shù)據(jù)并返回幀標(biāo)識(shí)。實(shí)現(xiàn)雙CPU通信要保證雙CPU兩邊任務(wù)的同步性，任務(wù)同步的主要思想是網(wǎng)絡(luò)通信中的應(yīng)答模式所以我們這里接收函數(shù)中要實(shí)現(xiàn)有應(yīng)答的接受函數(shù)。接收函數(shù)的實(shí)現(xiàn)流程如圖6所示。

圖6 接受函數(shù)流程圖

3）發(fā)送函數(shù)（commSendWithACK（））設(shè)計(jì)

發(fā)送函數(shù)設(shè)計(jì)圖如圖7所示。發(fā)送函數(shù)在發(fā)送數(shù)據(jù)后，等待接收應(yīng)答幀。如果接收到正確解析的應(yīng)答，函數(shù)直接返回 TRUE，接收到解析錯(cuò)誤應(yīng)答，則重發(fā)；如果應(yīng)答不成功，將進(jìn)行數(shù)據(jù)重發(fā)直到重發(fā)計(jì)數(shù)大于設(shè)定值（SEND_ERROR_RETRY），重發(fā)次數(shù)大于設(shè)定值仍未成功時(shí)函數(shù)返回FALSE。其中重發(fā)數(shù)據(jù)的時(shí)間間隔根據(jù)下位機(jī)處理時(shí)間來設(shè)定。沒有接收到數(shù)據(jù)，重發(fā)直到重發(fā)計(jì)數(shù)大于SEND_NOACK_RETRY時(shí)返回 FALSE。 重發(fā)時(shí)間間隔為 FIRST_WAITING_DELAY。

圖7 發(fā)送函數(shù)流程圖

4 結(jié)束語

文中的雙CPU冗余通信設(shè)計(jì)基于CortexTM-M3的Smart Fusion2芯片和宇航等級(jí)芯片APA600，通過UART以及三線制方式來實(shí)現(xiàn)兩個(gè)CPU之間的信息交互。APA600通過看門狗的喂狗信號(hào)的接受以及SF2控制指令的正常發(fā)送實(shí)現(xiàn)對(duì)SF2的監(jiān)控以及兩個(gè)CPU的協(xié)同工作。高性能芯片APA600的監(jiān)控以及對(duì)于UART自復(fù)位設(shè)計(jì)整體提高了整個(gè)系統(tǒng)的可靠性，保證了星務(wù)系統(tǒng)的任務(wù)的可靠執(zhí)行，使得系統(tǒng)性能更加符合微小衛(wèi)星對(duì)高可靠性的要求。

[1]林來興.現(xiàn)代小衛(wèi)星與納衛(wèi)星技術(shù)發(fā)展（2）[J].國(guó)際太空，2002（9）:27.

[2]余金培，楊根慶，梁旭文.現(xiàn)代小衛(wèi)星技術(shù)與應(yīng)用[M].上海科學(xué)普及出版社，2004（3）:4-5.

[3]夏云非，黃凌.雙CPU通信接口設(shè)計(jì)[J].電子世界，2014（5）:162.

[4]衡軍山，甄成剛.基于軟件的雙CPU冗余控制研究[J].微計(jì)算機(jī)信息，2005，21（7-1）:59.

[5]衡軍山.基于雙CPU的冗余控制研究與實(shí)現(xiàn)[J].集成與液壓，2008，7（36）:7.

[6]王躍，李博通，李斌，等.電力系統(tǒng)微機(jī)保護(hù)裝置中雙CPU通信方案及優(yōu)劣分析[J].電氣應(yīng)用2009，28（5）:34.

[7]鄭爭(zhēng)兵.一種基于FPGA的UART電路設(shè)計(jì)[J].國(guó)外電子測(cè)量技術(shù)，2010，29（7）:85.

[8]楊瀾，戚秀真.UART微控制器設(shè)計(jì)方法及其FPGA實(shí)現(xiàn)[J].電子科技，2016，29（6）:72.

[9]劉寶軍，王中訓(xùn)，婁陽，等.基于FPGA的UART設(shè)計(jì)與實(shí)現(xiàn)[J].中國(guó)集成電路，2016（6）:40.

[10]楊揚(yáng)，葉芃，李力.基于FPGA的UART設(shè)計(jì)與實(shí)現(xiàn)[J].電子測(cè)量技術(shù)，2011，34（17）:81．

[11]鄔芝權(quán)，靳桅.基于雙緩沖器的UART無線模塊設(shè)計(jì)[J].現(xiàn)代電子技術(shù)，2015，38（5）:6.

[12]廖慧敏.PLC控制器的雙CPU冗余控制實(shí)現(xiàn)[J].湖北電力，2005，12（29）:6.

[13]嚴(yán)利明，胡立坤，王慶超.基于UART的主從通信方式的主節(jié)點(diǎn)時(shí)序分析[J].電測(cè)與儀表，2006，43（487）:51－53.

[14]胡立坤，王慶超.基于UART的可靠通信與性能分析[J].計(jì)算機(jī)工程，2006，32（10）:15.

[15]董兵，許曉斐.RS-485總線系統(tǒng)通信可靠性設(shè)計(jì)與應(yīng)用 [J].廣東輕工職業(yè)技術(shù)學(xué)院學(xué)報(bào).2009，8（3）:2.

The design and implementation of redundancy communication of dual-CPU in house-keeping system

LV Cong1，2，LI Hua-wang1，2，CHANG Liang1，2
（1.Shanghai Institute of Micro-system and Information Technology，Chinese Academy of Science，Shanghai 200050，China；2.Shanghai Engineering Center for Micro-satellite，Shanghai 201203，China）

The design and the implementation of dual-CPU redundant communication in house-keeping system of microsat based on Smart Fusion2 and APA600.Using the technology of Dual-CPU redundant to improve system reliability.Added Watchdog to monitor CPU's status in the design of information interaction.Though setting information of handshake communication mechanism and link self-reset to further improve the reliability of the system.Describe the implemented of dual-CPU redundant communication in house-keeping system and the desigh of link reliability and important functions in dual-CPU communication.Using serial communication mode not only meet the high reliability demand for micro-nano satellite but also reduces the development costs.It is also simple to achieve and has a good practical value in satellite communication system.

Dual-CPU； redundancy communication； monitor； reliability

TN915.04

：A

：1674－6236（2017）14-0092-04

2016-07-19稿件編號(hào)：201607140

市科委揚(yáng)帆計(jì)劃（SHKW14YF01）

呂 聰（1990—），女，山東濱州人，碩士研究生。研究方向：星載計(jì)算機(jī)。