，，

(北京空間飛行器總體設(shè)計(jì)部，北京 100094)

引 言

隨著航天器壽命的增長和任務(wù)難度的加大，星載軟件的復(fù)雜度越來越高，需要具備在軌重構(gòu)和更新能力，以應(yīng)對(duì)可能出現(xiàn)的任務(wù)擴(kuò)展和軟件潛在缺陷[1]。星載軟件在軌維護(hù)是指地球站對(duì)航天器在軌飛行過程中所碰到的困難，包括飛行軟件在飛行過程中暴露缺陷的糾正。

星載軟件通常固化在只讀存儲(chǔ)器中，只具備有限的RAM區(qū)數(shù)據(jù)在軌維護(hù)能力[2]，部分高軌長壽命航天器設(shè)計(jì)了獨(dú)立在軌維護(hù)模式[3]，在處理器8位模式下，將上注的新程序?qū)懙絉AM區(qū)實(shí)現(xiàn)軟件整體升級(jí)維護(hù)。由于只能在RAM區(qū)進(jìn)行數(shù)據(jù)更改，以上在軌維護(hù)方法存在掉電丟失的問題，并且在軟件整體升級(jí)過程中，星載系統(tǒng)處于在軌維護(hù)模式，不具備整星服務(wù)功能，存在潛在風(fēng)險(xiǎn)。

為實(shí)現(xiàn)星載軟件持久化的在軌維護(hù)，需要使用在線可編程器件，常用的有EEPROM和FLASH。參考文獻(xiàn)[4]提出了在可編程存儲(chǔ)器條件下基于VxWorks操作系統(tǒng)的在軌維護(hù)方案，可實(shí)現(xiàn)VxWorks下的目標(biāo)碼持久化維護(hù)，但不具有通用性。參考文獻(xiàn)[5]提出了基于增量鏈接的星載軟件在軌更新方法，可實(shí)現(xiàn)通用系統(tǒng)下星載軟件的在軌維護(hù)操作，對(duì)空間環(huán)境中存儲(chǔ)器異常狀態(tài)下軟件升級(jí)問題以及星載軟件配置數(shù)據(jù)重構(gòu)問題缺少考慮。

本文分析了近年來星載軟件在軌維護(hù)案例，提出了一種基于文件系統(tǒng)的星載軟件在軌維護(hù)方法，實(shí)現(xiàn)軟件映像可靠存儲(chǔ)、程序和配置數(shù)據(jù)分離、軟件整體升級(jí)可回退以及程序局部維護(hù)持久化，為長壽命航天器軟件在軌維護(hù)策略提供了參考。

1 星載軟件在軌維護(hù)特點(diǎn)分析

不同于一般的地面系統(tǒng)軟件，星載軟件在軌維護(hù)具有較多的條件限制：星地測控時(shí)段短，通信速率小，要求在軌維護(hù)必須在有限的時(shí)間內(nèi)完成；空間環(huán)境復(fù)雜，星載軟件可靠性要求高，需要應(yīng)對(duì)可編程存儲(chǔ)器部分存儲(chǔ)單元數(shù)據(jù)反轉(zhuǎn)或失效的風(fēng)險(xiǎn)；關(guān)鍵星載軟件負(fù)責(zé)整星平臺(tái)熱控、電源等關(guān)鍵業(yè)務(wù)，要減少在軌維護(hù)期間系統(tǒng)服務(wù)的停止時(shí)間，維護(hù)失敗時(shí)應(yīng)能及時(shí)回退到以前的版本。

表1列出了近年國內(nèi)遙感衛(wèi)星數(shù)管分系統(tǒng)軟件在軌維護(hù)的情況。測控圈次需求是依據(jù)在軌維護(hù)補(bǔ)丁數(shù)量和一個(gè)圈次內(nèi)測控站能上注的指令條數(shù)計(jì)算而得。假設(shè)一次地面站測控8 min，每5 m上注一條在軌維護(hù)指令。

表1 星載軟件在軌維護(hù)案例

通過上表可以看出，星載軟件在軌維護(hù)的原因主要是設(shè)備參數(shù)調(diào)試優(yōu)化和故障處理；軟件配置數(shù)據(jù)的更改占據(jù)在軌維護(hù)的大部分項(xiàng)目；多數(shù)在軌維護(hù)的補(bǔ)丁較少，能在一次地面站測控區(qū)內(nèi)完成，但軟件整體維護(hù)的補(bǔ)丁較多，需要多次地面站測控上注。

2 基于文件系統(tǒng)的在軌維護(hù)方法

2.1 軟件結(jié)構(gòu)劃分

針對(duì)星載軟件在軌維護(hù)特點(diǎn)，提出了基于文件系統(tǒng)的星載軟件在軌維護(hù)方法。如圖1所示，星載軟件系統(tǒng)由引導(dǎo)軟件、文件系統(tǒng)、應(yīng)用軟件映像文件、配置數(shù)據(jù)文件和補(bǔ)丁文件組成。其中應(yīng)用軟件、配置數(shù)據(jù)文件和補(bǔ)丁文件存在文件系統(tǒng)中。在此軟件結(jié)構(gòu)劃分下，星載軟件在軌維護(hù)分為軟件整體升級(jí)、配置數(shù)據(jù)重構(gòu)和程序局部維護(hù)三類。

圖1 基于文件系統(tǒng)的星載軟件系統(tǒng)結(jié)構(gòu)

引導(dǎo)軟件映像直接存儲(chǔ)在存儲(chǔ)器中，系統(tǒng)上電后最先運(yùn)行，完成系統(tǒng)初始化，加載文件系統(tǒng)，從文件系統(tǒng)中讀取引導(dǎo)配置項(xiàng)，選擇加載的應(yīng)用軟件映像，加載執(zhí)行補(bǔ)丁文件，完成應(yīng)用軟件的啟動(dòng)。

由于引導(dǎo)軟件是系統(tǒng)的入口程序，直接存儲(chǔ)在存儲(chǔ)器上，沒有冗余存儲(chǔ)措施，任何存儲(chǔ)單元的損壞都會(huì)導(dǎo)致系統(tǒng)失效，同時(shí)引導(dǎo)軟件功能固定，幾乎不需要在軌維護(hù)，因此引導(dǎo)軟件應(yīng)固化在可靠性高的只讀存儲(chǔ)器中。

文件系統(tǒng)是存儲(chǔ)維護(hù)應(yīng)用軟件映像、配置數(shù)據(jù)和補(bǔ)丁數(shù)據(jù)的載體。文件系統(tǒng)可屏蔽底層可編程存儲(chǔ)器的物理特性，提供高可靠的數(shù)據(jù)存儲(chǔ)和維護(hù)服務(wù)。

配置數(shù)據(jù)文件保存了星載軟件運(yùn)行時(shí)所需要的參數(shù)信息，與星載應(yīng)用軟件程序分開存儲(chǔ)管理，需要時(shí)不必修改軟件邏輯功能，僅通過地面上注手段在軌修改配置數(shù)據(jù)文件，可實(shí)時(shí)在航天器正常運(yùn)行狀態(tài)下對(duì)信息流進(jìn)行動(dòng)態(tài)重構(gòu)。

星載軟件映像文件是星載軟件的主體部分，被引導(dǎo)軟件搬移到RAM區(qū)運(yùn)行。星載軟件映像一般比較大，采用壓縮存儲(chǔ)的方式[6]，可顯著減少在軌維護(hù)時(shí)上注數(shù)據(jù)的時(shí)間。

補(bǔ)丁文件存儲(chǔ)了內(nèi)存修改指令，在應(yīng)用軟件映像搬移到RAM后，執(zhí)行內(nèi)存修改指令可以修改RAM的程序代碼，實(shí)現(xiàn)局部軟件持久化更新。

2.2 文件系統(tǒng)設(shè)計(jì)

本方法中，所有的在軌維護(hù)操作均以修改文件系統(tǒng)中文件的形式實(shí)現(xiàn)，因此文件系統(tǒng)的存儲(chǔ)結(jié)構(gòu)和可靠性非常重要。常見的嵌入式文件系統(tǒng)包括JFFS2、ROMFS和znFAT等。

JFFS2使用日志技術(shù)保證了文件在線更新過程中元數(shù)據(jù)的一致性[7]，但是實(shí)現(xiàn)復(fù)雜，需要在RAM中重新建立文件系統(tǒng)結(jié)構(gòu)本身，掛載時(shí)間長，需要的內(nèi)存資源大，不適合應(yīng)用在計(jì)算資源有限的星載設(shè)備系統(tǒng)上。

ROMFS是只讀文件系統(tǒng)，文件以線性結(jié)構(gòu)順序存儲(chǔ)在存儲(chǔ)器中，支持目錄文件和符號(hào)鏈接，需要更新文件時(shí)，只能對(duì)整個(gè)文件系統(tǒng)進(jìn)行修改，不符合星載軟件在軌維護(hù)需要減少數(shù)據(jù)上注量的要求。

znFAT是在FAT32 基礎(chǔ)上優(yōu)化的文件系統(tǒng)，znFAT 超級(jí)塊中不僅記錄著存儲(chǔ)設(shè)備的類型、容量，還包括文件系統(tǒng)的卷標(biāo)、保留空間、每簇(文件系統(tǒng)存儲(chǔ)單位)大小、文件分配表個(gè)數(shù)和大小等重要參數(shù)；文件/目錄項(xiàng)用來記錄文件和目錄的相關(guān)信息，類似于“索引”，可以通過信息查詢找到數(shù)據(jù)開始的位置；FAT表記錄了所有數(shù)據(jù)的鏈表式關(guān)系，通過FAT表可以查詢到數(shù)據(jù)存儲(chǔ)鏈表，找到完整的數(shù)據(jù)。znFAT實(shí)現(xiàn)簡單，增加了數(shù)據(jù)校驗(yàn)和三模冗余功能，提高了數(shù)據(jù)的可靠性[8]，適合應(yīng)用在星載軟件系統(tǒng)中。

2.3 星載應(yīng)用軟件整體升級(jí)

圖2 引導(dǎo)配置文件數(shù)據(jù)結(jié)構(gòu)

采用文件系統(tǒng)存儲(chǔ)管理數(shù)據(jù)，可在星上存儲(chǔ)多份星載應(yīng)用軟件映像，由引導(dǎo)軟件根據(jù)引導(dǎo)配置文件數(shù)據(jù)選擇加載需要的應(yīng)用軟件映像。星載軟件需要進(jìn)行在軌整體升級(jí)時(shí)，在原應(yīng)用軟件運(yùn)行的狀態(tài)下，接收地面上注的指令，在文件系統(tǒng)中創(chuàng)建保存新的星載軟件映像文件，修改引導(dǎo)配置文件，指示引導(dǎo)軟件下次啟動(dòng)新版本的軟件映像。

星載計(jì)算機(jī)開始運(yùn)行后，引導(dǎo)軟件讀取引導(dǎo)配置文件，獲取應(yīng)用軟件引導(dǎo)配置項(xiàng)，選擇默認(rèn)的應(yīng)用軟件版本進(jìn)行加載。引導(dǎo)配置文件的結(jié)構(gòu)如圖2所示，包含默認(rèn)引導(dǎo)配置項(xiàng)索引和引導(dǎo)配置項(xiàng)列表。每個(gè)引導(dǎo)配置項(xiàng)包括需要加載的應(yīng)用軟件映像名稱、應(yīng)用軟件映像是否壓縮標(biāo)識(shí)、搬移到RAM區(qū)地址、搬移后長度、入口地址以及搬移后數(shù)據(jù)校驗(yàn)和。默認(rèn)引導(dǎo)配置項(xiàng)索引指示默認(rèn)加載引導(dǎo)配置項(xiàng)列表中的第幾項(xiàng)。

引導(dǎo)軟件加載應(yīng)用程序流程如圖3所示。引導(dǎo)軟件根據(jù)引導(dǎo)配置文件將相應(yīng)的應(yīng)用軟件映像解壓或直接搬運(yùn)到對(duì)應(yīng)的RAM區(qū)，進(jìn)行數(shù)據(jù)校驗(yàn)，如果引導(dǎo)軟件在搬移應(yīng)用軟件映像后發(fā)現(xiàn)校驗(yàn)數(shù)據(jù)不正確，則選擇引導(dǎo)配置列表中前一項(xiàng)嘗試進(jìn)行加載。加載正常后，讀取補(bǔ)丁文件，獲取需要執(zhí)行的補(bǔ)丁指令，將補(bǔ)丁數(shù)據(jù)修改到對(duì)應(yīng)的RAM區(qū)，完成應(yīng)用軟件的搬移和修改操作，最后跳到RAM區(qū)應(yīng)用軟件入口位置處運(yùn)行。當(dāng)所有應(yīng)用軟件校驗(yàn)異常或文件系統(tǒng)加載失敗時(shí)，引導(dǎo)軟件還需要完成基本的遙控遙測功能，從地面接收指令，修改RAM區(qū)數(shù)據(jù)，完成應(yīng)用軟件在RAM中的運(yùn)行維護(hù)，在該模式下與現(xiàn)有的在軌維護(hù)操作類似，但只用在存儲(chǔ)器嚴(yán)重?fù)p壞、文件系統(tǒng)崩潰的極端情況。

圖3 引導(dǎo)軟件加載應(yīng)用程序流程

2.4 配置數(shù)據(jù)重構(gòu)

配置數(shù)據(jù)修改是星載軟件在軌維護(hù)的一項(xiàng)重要內(nèi)容，通過使用文件系統(tǒng)配置數(shù)據(jù)與應(yīng)用程序分離存儲(chǔ)。需要時(shí)不必修改軟件邏輯功能，僅通過地面上注手段在軌修改配置信息文件，可實(shí)現(xiàn)在航天器正常運(yùn)行狀態(tài)下對(duì)信息流進(jìn)行動(dòng)態(tài)重構(gòu)。

星載軟件初始化時(shí)，需要掛載文件系統(tǒng)，通過文件名稱獲取配置數(shù)據(jù)內(nèi)容。對(duì)于系統(tǒng)在運(yùn)行中需要頻繁使用的一些配置數(shù)據(jù)，為避免每次從文件系統(tǒng)中讀取數(shù)據(jù)耗費(fèi)時(shí)間，在內(nèi)存中申請(qǐng)緩沖區(qū)保存從文件中讀取的數(shù)據(jù)，同時(shí)可能還需要根據(jù)配置數(shù)據(jù)組織運(yùn)行時(shí)的數(shù)據(jù)結(jié)構(gòu)。當(dāng)航天器狀態(tài)發(fā)生變化，需求更新配置參數(shù)時(shí)，通過上注修改配置數(shù)據(jù)文件，星載軟件運(yùn)行時(shí)使用的數(shù)據(jù)可能沒有更新，需要通過進(jìn)行局部的數(shù)據(jù)初始化完成實(shí)時(shí)信息重構(gòu)。當(dāng)星載軟件再次重新運(yùn)行進(jìn)行初始化時(shí)，使用的配置數(shù)據(jù)即為新的內(nèi)容。

2.5 程序局部維護(hù)

為避免軟件整體升級(jí)上注數(shù)據(jù)時(shí)間過長，采用在程序加載時(shí)自動(dòng)打補(bǔ)丁的方式進(jìn)行程序局部維護(hù)。補(bǔ)丁文件存儲(chǔ)了內(nèi)存修改指令，與傳統(tǒng)的在軌維護(hù)指令類似[9]，用于改寫指定內(nèi)存區(qū)的數(shù)據(jù)。通過在空白區(qū)注入新的指令代碼，將舊代碼區(qū)的函數(shù)調(diào)用引向新代碼的方式，實(shí)現(xiàn)程序區(qū)的局部代碼更新。

傳統(tǒng)的在軌維護(hù)指令在星載軟件運(yùn)行時(shí)接收?qǐng)?zhí)行，作用范圍受限，某些系統(tǒng)初始化過程中一次性執(zhí)行的代碼無法通過該方式修改，并且系統(tǒng)復(fù)位重啟后需要地面重新上注。本方法采用在引導(dǎo)軟件加載應(yīng)用程序后執(zhí)行內(nèi)存修改指令，實(shí)現(xiàn)了修改范圍的全覆蓋以及補(bǔ)丁的持久保存。

由于補(bǔ)丁是直接修改內(nèi)存中的代碼映像數(shù)據(jù)，一般針對(duì)某個(gè)特定的應(yīng)用軟件版本，所以補(bǔ)丁需要與特定的軟件版本綁定。當(dāng)引導(dǎo)軟件完成應(yīng)用軟件映像加載后，找到該映像名稱對(duì)應(yīng)文件夾下的所有補(bǔ)丁文件執(zhí)行內(nèi)存修改操作。

3 試驗(yàn)驗(yàn)證

基于某遙感型號(hào)星載計(jì)算機(jī)平臺(tái)測試環(huán)境[10]，對(duì)所提出的星載軟件在軌維護(hù)方案進(jìn)行試驗(yàn)，主要針對(duì)補(bǔ)丁大小、更新操作執(zhí)行情況和異常情況進(jìn)行測試。

3.1 更新操作試驗(yàn)

原始版本應(yīng)用軟件邏輯程序目標(biāo)代碼為150 KB，壓縮后為72 KB，配置數(shù)據(jù)文件大小為10 KB。進(jìn)行3次修改，分別修改配置數(shù)據(jù)、程序局部修改和軟件映像整體升級(jí)。表2顯示了軟件維護(hù)的試驗(yàn)結(jié)果，包括修改文件數(shù)量、修改內(nèi)容以及補(bǔ)丁大小。試驗(yàn)結(jié)果表明，該方法的維護(hù)操作正確，更新結(jié)果能持久化保存，配置參數(shù)維護(hù)和局部維護(hù)的補(bǔ)丁數(shù)量遠(yuǎn)小于整體升級(jí)的補(bǔ)丁數(shù)量，整體升級(jí)補(bǔ)丁小于目標(biāo)碼大小。

表2 在軌維護(hù)應(yīng)用試驗(yàn)結(jié)果

3.2 軟件映像異常情況試驗(yàn)

存儲(chǔ)器的數(shù)據(jù)錯(cuò)誤由文件系統(tǒng)進(jìn)行三模冗余校驗(yàn)糾正，本試驗(yàn)不再驗(yàn)證。試驗(yàn)采用直接修改應(yīng)用軟件映像校驗(yàn)和的方式模擬軟件映像文件異常。試驗(yàn)中將應(yīng)用軟件新版本中的校驗(yàn)修改為異常值，復(fù)位后引導(dǎo)軟件將舊版本的應(yīng)用軟件啟動(dòng)加載，表明在軟件更新異常時(shí)，系統(tǒng)能夠自動(dòng)回退引導(dǎo)以前版本的應(yīng)用軟件。

結(jié) 語

參考文獻(xiàn)

[1] 張然峰,郝賢鵬,金龍旭,等.空間相機(jī)軟件在軌重注方法研究與實(shí)現(xiàn)[J].光機(jī)電信息,2011,28(6):30-34.

[2] 何熊文,孫勇.一種衛(wèi)星數(shù)管中心計(jì)算機(jī)軟件的工程實(shí)現(xiàn)[J].航天器工程,2007,16(5):47-53.

[3] 劉鑫,韋涌泉,馮國平,等.高分四號(hào)衛(wèi)星數(shù)管分系統(tǒng)設(shè)計(jì)及在軌驗(yàn)證[J].航天器工程,2016,25(增刊1):93-98.

[4] 安軍社,劉艷秋,孫輝先.軟件的動(dòng)態(tài)維護(hù)與實(shí)現(xiàn)[J].計(jì)算機(jī)工程,2003,29(2):238-239.

[5] 汪宏浩,王慧泉,金仲和.基于增量鏈接的可回滾星載軟件在軌更新方法[J].浙江大學(xué)學(xué)報(bào)：工學(xué)版,2015,49(4):724-731.

[6] 常為領(lǐng),云曉春,李超,等.無損壓縮算法LZSS的分塊性能研究[J].計(jì)算機(jī)研究與發(fā)展,2012(49):165-172.

[7] 顧寶根,顧喜梅.日志結(jié)構(gòu)的嵌入式文件系統(tǒng)研究[J].計(jì)算機(jī)工程與設(shè)計(jì),2004,25(6):915-917.

[8] 賈露娟,李文新,夏加高,等.星載嵌入式容錯(cuò)文件系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)技術(shù)與發(fā)展,2015,25(10):49-53,58.

[9] 何熊文.一種通用遙控注入數(shù)據(jù)格式的設(shè)計(jì)與應(yīng)用[J].航天器工程,2008,17(1):94-99．

[10] 郭堅(jiān),付連芳,翟君武.一種星載軟件系統(tǒng)測試環(huán)境的設(shè)計(jì)[J].計(jì)算機(jī)測量與控制,2005,13(5):499-502.