一種基於少量代碼重加載的dsp抗單粒子糾錯方法

2023-07-27 14:34:56 2

專利名稱：一種基於少量代碼重加載的dsp抗單粒子糾錯方法
技術領域：
本發明涉及一種基於少量代碼重加載的DSP抗單粒子糾錯方法，保證DSP軟體能 夠在空間應用中針對單粒子翻轉事件仍然可靠運行，屬於微電子技術領域。
背景技術：
隨著太空飛行器功能的發展，越來越多的有效載荷產品使用了先進的數位訊號處理技 術，為了完成這些數字處理功能，硬體設計上採用大規模數字集成電路DSP的設備越來越 多。伴隨著DSP的製造工藝從0. 33微米發展到90納米(可靠性達到宇航標準的器件)，這 些元器件的單粒子效應越來越嚴重，而同時由於各個國家對空間應用的日益重視，空間中 的衛星密度愈來愈大，越來越多的衛星工作在距地面1000-1800公裡的軌道高度上，這段 軌道中的單粒子效應格外嚴重，尤其是需要連續、長期穩定工作的宇航設備如果採用了這 些抗單粒子效應差的大規模集成電路，又不採取單粒子效應加固措施，不能滿足用戶對星 上數字處理設備連續完好性的要求。數位訊號處理器(DSP)是對信號和圖像實現實時處理的一種高性能的CPU，以TI 的TMS320C3X為例，其是一個以寄存器為基礎的CPU，主要由以下幾個部分構成浮點/整 數乘法器、算術邏輯單元、32位桶式移位器、CPU寄存器組、Bootloader(片內ROM)和片內 RAM。DSP受單粒子翻轉影響主要有以下幾種模式1、程序存儲區的位翻轉，引起程序的「跑飛」或者「死機」或者帶病運行；2、數據存儲區的位翻轉，造成關鍵變量的翻轉，引起功能邏輯的紊亂，比如中途退 出循環程序，錯誤執行條件語句等；3、外設控制寄存器的功能中斷，引起外設配置狀態的變化，造成模塊間數據通信 的異常；4、中斷控制寄存器的單粒子功能中斷，引起意外中斷的發生，擾亂正常程序進 程；5、程序Cache的位翻轉，引起程序的異常執行；6、JTAG邏輯的功能中斷，導致整個DSP的復位或者死機。從公開刊物及公開渠道上所了解到的國外的DSP抗單粒子技術主要有以下兩種(1)使用片外存儲器+EDAC校驗的方式利用FPGA對片外存儲器進行校驗糾錯，系統組成如圖1所示，DSP使用片外存儲 器SRAM作為程序代碼的存儲晶片，在DSP啟動時將PROM中的數據加載至SRAM ；運行過程 中由專門負責校驗的FPGA晶片對代碼數據進行校驗，將糾錯後的代碼傳遞給DSP運行，同 時對SRAM進行反寫糾錯，這樣就保證了 DSP運行的正確性。(2) DSP硬體三模冗餘方式。採用三片DSP晶片同時運行相同的程序，由主控計算機通過DSP晶片的HPI 口來 控制，對地址總線和數據進行三選一判決，當表決電路檢測出一位錯誤時，糾錯服務子程序 啟動工作，來根據表決電路和自檢程序識別出的錯誤等級，錯誤類型修復系統回歸正常。
3
這兩種方式較好的解決了單粒子翻轉問題，但是其缺點是硬體開銷大，需要增加 多個晶片，而且需要在設計時就要針對單粒子問題採用該硬體平臺方案。由於現在很多即 將交付的型號單機的硬體平臺已經定型，或者由於產品結構的問題，無法採用更改硬體平 臺的手段應對單粒子翻轉問題。國內的抗單粒子研究主要也是在這兩種方法的基礎上進行的，尤其是第一種方法 採用較多。在《空間DSP信息處理系統存儲器SEU加固技術研究》(宇航學報，2010/31/02， 肖山竹)中，以及《空間DSP加載系統可靠性設計》(計算機工程，2010年3月，張路)等文 獻中均是採用了該方法。使用純軟體手段實現的抗單粒子方法在文獻中介紹的較少，在《星載高性能DSP 加固設計方法研究》(電子器件，2007年2月，邢克飛)中介紹了依靠程序區糾錯抗單粒子 翻轉的方法對程序存儲區進行檢錯，如果發現程序存儲區出現錯誤，就通過外部監控模塊 對DSP程序進行重新引導。這裡採用加法運算，對整個存儲區的程序按照16位無符號數進 行求和，結果作為校驗數來檢驗程序區是否發生單粒子翻轉。實施方法如下在程序固化前 對整個程序區進行求和，結果作為常量存放到三個位置，然後將此程序固化。當程序從ROM 或者FLASH中引導到DSP中運行時，DSP在適當的時間對自身程序區數據進行求和，並將結 果與三個校驗值的表決結果進行比對。如果兩者不一樣，那麼就認為程序區發生了單粒子 翻轉，此時可以通過程序重新引導的方法恢復正常。該方法無法保證校驗程序本身的正確 性，因為DSP是採用哈佛結構，數據總線和程序總線是分開的，這樣校驗程序無法將同一個 數據同時作為數據和代碼使用(會導致總線競爭而出錯)，在校驗程序本身被單粒子打翻 的時候會導致異常的後果。而且該方法的糾錯方式是通過復位重新加載整個程序，這樣就 無法保證程序的連續運行，在很多需要連續運行的設備中不能滿足應用條件。

發明內容
本發明的技術解決問題是克服現有技術的不足，提供一種基於少量代碼重加載 的DSP抗單粒子糾錯方法，本發明能夠在不變動硬體平臺的條件下解決了 DSP單粒子翻轉 問題，降低了設備的硬體成本、空間成本以及時間成本。本發明的技術解決方案是一種基於少量代碼重加載的DSP抗單粒子糾錯方法， DSP通過數據總線和地址總線與FPGA和PROM相連接，FPGA通過控制總線與PROM相連接， 在PROM的不同區域中存儲加載及校驗程序和應用程式，當DSP上電或者復位後，DSP首先 運行DSP片內ROM中的bootloader程序將PROM中的加載及校驗程序加載至DSP片內RAM 中，加載及校驗程序開始運行後首先根據FPGA內的寄存器值判斷本次程序運行是否為首 次運行，如果是首次運行加載及校驗程序則由加載及校驗程序直接加載運行應用程式，如 果不是首次運行加載及校驗程序則由應用程式在運行時定期調用DSP片內ROM中的加載及 校驗程序對應用程式進行糾錯校驗；所述對應用程式進行糾錯校驗的工作流程為(1)首先對應用程式進行現場保護，然後調用DSP片內ROM所自帶的bootloader 程序，從PROM中將加載及校驗程序加載至DSP片內RAM中；(2)加載完畢後跳轉至加載及校驗程序入口處開始執行加載及校驗程序中的校驗 程序代碼實現對應用程式代碼段的抗單粒子糾錯；
(3)完成對應用程式的抗單粒子糾錯後對應用程式進行現場恢復；所述存儲加載 及校驗程序中校驗程序的工作流程為(a)獲取跳轉應用程式的目的地址，供糾錯完畢後跳轉至該處；(b)利用校驗程序對應用程式代碼段進行抗單粒子糾錯；(c)如果糾錯成功，則跳轉至步驟(e)；(d)如果糾錯失敗，則認定應用程式已被單粒子打翻，重新加載應用程式的代碼段 數據，首先從PROM中應用程式的首地址開始獲取加載的目的地址，如果該加載段屬於代碼 段，則對該加載段進行加載，否則跳過重新獲取下一個加載段的目的地址直至加載完畢；(e)跳轉回應用程式。本發明與現有技術相比的優點在於本發明給出了一種不依賴於修改硬體設計的 DSP抗單粒子方案，基於平臺中高可靠性器件上存儲的程序代碼，實現對可靠性較低的存儲 器件上的數據進行糾錯，具體過程是通過利用DSP片內ROM的bootloader程序將PROM中的 bootloaderl程序加載至片內RAM中，由bootoaderl程序再加載應用程式，bootoaderl程 序中嵌入一個校驗糾錯程序，通過兩個程序的配合實現抗單粒子措施的。由於bootloaderl 程序是運行前實時加載的，所以可以認為該部分為可靠代碼，再通過該部分的糾錯，可以認 為整個程序的運行是安全可靠的。由於在糾錯時僅對代碼段進行了加載，並不破壞數據區 的內容，保證了程序運行的連續性；另外，本發明不變動硬體平臺，極大地降低了設備的硬 件成本、空間成本以及時間成本。


圖1為現有技術中使用片外存儲器+EDAC校驗方式的系統組成圖；圖2為本發明採用的DSP平臺的系統結構圖；圖3為本發明的加載及校驗程序和應用程式空間存儲關係圖；圖4為本發明運行加載及校驗程序時的流程圖；圖5為本發明運行應用程式時的控制流程圖；圖6為本發明加載及校驗程序的工作流程圖。
具體實施例方式下面結合附圖和具體實施例對本發明做進一步詳細的描述本發明利用高可靠性器件(DSP自帶的片內只讀ROM)作為可信載體，實現對可靠 性較差的器件中的存儲數據的定時糾錯，並定時更新部分控制寄存器的數據實現對控制寄 存器的數據保護。DSP平臺的系統結構圖如圖2所示，這是一個DSP應用的典型平臺，由 DSP及FPGA配合工作，絕大多數未採取硬體抗單粒子加固設計的數字信息處理平臺的結 構都是該種結構。其軟體運行過程為當DSP加電之後，DSP自動運行片內ROM中存儲的 boot loader程序從PROM中獲取應用程式代碼數據，加載至片內RAM中後跳轉至應用程式入 口處開始運行。PROM本身是一個高可靠性器件，但由於運行代碼最終是加載到片內RAM中 運行的，這就會導致在應用軟體運行過程中會由於片內RAM的翻轉導致軟體故障發生。本發明將PROM中存儲的原應用程式分為加載及校驗程序(bootloaderl)和應 用程序兩部分，這兩部分程序在運行時存儲在完全獨立的兩塊內存區域中；其存儲的空間位置情況如圖3所示其中虛線箭頭表示程序的跳轉關係，實線箭頭表示程序的加載 關係；當設備上電或者復位後，DSP首先運行片內ROM中的bootloader程序將PROM中的 bootloaderl程序加載至片內RAM中，由bootoaderl程序再加載應用程式，bootoaderl程 序中嵌入一個校驗糾錯程序，通過兩個程序的配合實現抗單粒子措施的，所以在進行設計 時要分別獨立設計這兩段程序，並分配置不同的內存區域。首次運行加載及校驗程序時的流程如圖4所示，應用程式加載完畢後，則跳轉至 應用程式入口處開始應用程式的運行。應用程式的控制流如圖5所示，應用程式在運行時 定期調用只讀ROM中的bootloaderl程序實現對應用程式進行糾錯校驗，其實現的手段是 應用程式在運行過程中，進行保護現場後，通過加載bootloaderl程序實現對應用程式本 身代碼的糾錯檢查，檢查後進行現場恢復，繼續運行。由於檢查的程序(bootloaderl程序) 是應用程式運行前實時加載的，所以可以認為該部分為可靠代碼，再通過該部分的糾錯，可 以認為整個程序的運行是安全可靠的。Bootloaderl程序其功能為根據FPGA中的寄存器(如果沒有條件也可使用內 存)判斷本次調用需要實現的功能為加載應用程式還是校驗糾錯，實現相應功能後程序 跳轉置不同位置開始運行。其流程如圖6所示程序開始運行後首先根據FPGA的寄存 器判斷本次任務是否為首次運行，如果為首次運行則加載應用程式，其流程同DSP自帶的 bootloader代碼，只需將代碼加載地址更改為設計的應用程式起始地址即可。過程如下1)從設計的應用程式數據(PR0M上第2塊數據，第1塊數據為bootloaderl程序) 的起始地址處獲取程序入口；2)從PROM的數據中獲取本段代碼的長度；3)如果獲取的代碼長度為0，則跳轉至獲取的程序入口 ；4)如果獲取得代碼長度不為0，則繼續獲取本段代碼的加載目的地址；5)向目的地址按數據長度加載代碼；6)跳轉加載下段代碼，直至加載長度為0。加載完畢後跳轉至獲取的應用程式入口地址處，開始運行應用程式。如果並非首次運行則應該運行校驗糾錯流程，按照以下流程執行1)獲取跳轉目的地址，供糾錯完畢後跳轉至該處；2)對應用程式代碼段進行糾錯校驗，根據應用程式的map表對整個代碼段進行校 驗檢查。校驗可以根據情況選用不同的校驗方式，但是不建議選用過於複雜的校驗方式，否 則對應用軟體的實時性會造成很大負面影響；3)如果糾錯成功，則跳轉至流程5。4)如果糾錯失敗，則認定程序已被單粒子打翻，重新加載應用程式的代碼段數據。 首先從PROM上應用程式的首地址開始獲取加載的目的地址，如果該加載段屬於代碼段(對 該目的地址數據以及代碼段地址的範圍進行判斷)則對該段進行加載；如果該段不屬於代 碼段則跳過，重新獲取下一個加載段的目的地址直至加載完畢。5)跳轉回應用程式。應用程式通過在主循環中嵌入對DSP自帶的bootlader程序的調用實現對本身的 檢錯。主要過程如下(1)當應用程式主循環程序運行至校驗程序處時，首先對軟體現場進行保護，之後調用DSP片內ROM所自帶的bootloader程序，從片外的PROM中提取由設計師開發的 bootloaderl 禾呈序；(2)加載完畢則跳轉至bootloaderl入口處開始執行bootladerl代碼；(3)bootloaderl程序通過讀取FPGA實現的寄存器或者其他存儲器的內容來區分 當前是否為首次加載，不是首次加載則執行抗單粒子糾錯程序。該程序主要有以下幾個功能1)對代碼段的數據和PROM中的數據進行比較並糾錯。2)對數據區中的常數部分的進行糾錯。3)對控制寄存器進行重新初始化。4)跳轉回主循環。5)恢復現場，繼續運行應用程式。實施例本例平臺採用典型處理平臺DSP+FPGA配合形式，系統框圖如圖2所示。應用程式 使用C語言編寫，bootloaderl使用彙編語言，bootloaderl程序的具體流程如圖6所示。FPGA除本身功能外還包含一個寄存器，該寄存器由FPGA在上電時或FPGA對DSP 復位時初始化為0x55，DSP加載代碼後設置為OxAA ；該寄存器地址為0x810000。並且本例 中將被單粒子打翻的次數記錄在FPGA的一個寄存器中，供應用軟體下傳；該寄存器地址為 0x8a0000。Bootloaderl處於以下地址C0DE2 :origin = 0x00804000， length = 0x00003000應用程式代碼段位於以下地址C0DE1 :origin = 0x00800000，length = 0x00003000Bootloaderl 代碼如下global comparetextcompare Idi 80h, DP ；初始化 DPIdi DP, AROIsh 16，ARO ；代碼段首地址 800000hIdi ARO, AR2 ；得到起始地址(比對用)Idi AR0, AR3 ；得到起始地址(搬移用)Idi 10e8h, ARlor ARl，ARO ；末尾地址計數器初始化 8010e8_ > arOIdi 0，ARl ；異或和初始化LOOP xor 女 AR2++，ARl ；開女臺異或cmpi ARO, AR2bio LOOPIdi 86Flh, RO
7
Ish 16， ROor 8EF7h, RO ；應用程式異或和cmpi ARl, RO ；比較計算結果和預設值beq exitIdi 40h, ARl ；40101ch_ > AR1EPR0M 首地址Ish 16，ARlor IOlch, ARl_eprom_load ；加載代碼段數據Idi 女 ARl++, ROAND Offh, ROIdi * ARl++, Rland Offh, RlIsh 8，Rlor Rl, ROIdi ^ ARl++, Rland Offh, RlIsh 16，Rlor Rl, ROIdi ^ ARl++, RlIsh 24, Rlor Rl，RO ；獲取 32 位字sti RO，* AR3++ ；搬移cmpi ARO, AR3 ；判斷是否屬於代碼段數據blo_eprom_loadIdi 8Ah，ARl ；寫入遙測0x8A0000供應用程式下傳Ish 16，ARlIdi ^ ARl, ROaddi 1，ROsti R0，* ARlexit Idi 2000h, STIdi Oh, IFIdi OlOdh, IEIdi 80h，ARO ；獲取跳轉入口地址Ish 16，AROor Odadh，ARObu ARO應用軟體在主循環中增加以下代碼asm(〃 push DP")
asm (「pushARO 「)
asm (「pushARl")
asm (「pushAR2 「)
asm (「pushAR3 「)
asm (「pushR0")
asm (「pushRl")
asm (「pushR2")
asm (「pushR3")
asm (「pushR4")
asm (「Idi80h, ARl//)；保存堆棧指針
asm (「Ish16，ARl")
asm (「or7000h, ARl")
asm (「stisp,女 ARl 〃)
asm (「IdiOh, ARl")
asm (「buARl 〃 )；跳轉至 bootloader
asm (「IdiSOh，ARl〃)；糾錯之後跳轉回的目的地址(OxSOOdad)，獲取堆棧指針
asm (「Ish16，ARl 「)
asm (「or7000h, ARl「)
asm (「sti女 ARl， sp〃)
asm (「popR4")；恢復現場
asm (「popR3")
asm (「popR2")
asm (「popRl")
asm (「popR0")
asm (「popAR3 「)
asm (「popAR2 「)
asm (「popARl")
asm (「popARO 『『)
asm (「popDP")
本方案可以有效地對DSP的單粒子翻轉故障模式中的1，3，4項進行故障的糾錯處
理；第2項可以通過關鍵變量的三摸冗餘技術進行糾錯管理，第5項通過禁止使用cache方 式避免，第6項通過看門狗進行復位處理。綜上所述，採用本方案後可以對大多數的單粒子 翻轉故障進行糾錯處理，保證軟體能夠針對單粒子翻轉事件進行較高可靠性的運行。
本發明未詳細描述內容為本領域技術人員公知技術。
權利要求
一種基於少量代碼重加載的DSP抗單粒子糾錯方法，DSP通過數據總線和地址總線與FPGA和PROM相連接，FPGA通過控制總線與PROM相連接，其特徵在於在PROM的不同區域中存儲加載及校驗程序和應用程式，當DSP上電或者復位後，DSP首先運行DSP片內ROM中的bootloader程序將PROM中的加載及校驗程序加載至DSP片內RAM中，加載及校驗程序開始運行後首先根據FPGA內的寄存器值判斷本次程序運行是否為首次運行，如果是首次運行加載及校驗程序則由加載及校驗程序直接加載運行應用程式，如果不是首次運行加載及校驗程序則由應用程式在運行時定期調用DSP片內ROM中的加載及校驗程序對應用程式進行糾錯校驗；所述對應用程式進行糾錯校驗的工作流程為(1)首先對應用程式進行現場保護，然後調用DSP片內ROM所自帶的bootloader程序，從PROM中將加載及校驗程序加載至DSP片內RAM中；(2)加載完畢後跳轉至加載及校驗程序入口處開始執行加載及校驗程序中的校驗程序代碼實現對應用程式代碼段的抗單粒子糾錯；(3)完成對應用程式的抗單粒子糾錯後對應用程式進行現場恢復；所述存儲加載及校驗程序中校驗程序的工作流程為(a)獲取跳轉應用程式的目的地址，供糾錯完畢後跳轉至該處；(b)利用校驗程序對應用程式代碼段進行抗單粒子糾錯；(c)如果糾錯成功，則跳轉至步驟(e)；(d)如果糾錯失敗，則認定應用程式已被單粒子打翻，重新加載應用程式的代碼段數據，首先從PROM中應用程式的首地址開始獲取加載的目的地址，如果該加載段屬於代碼段，則對該加載段進行加載，否則跳過重新獲取下一個加載段的目的地址直至加載完畢；(e)跳轉回應用程式。
全文摘要
本發明公開了一種基於少量代碼重加載的DSP抗單粒子糾錯方法，通過利用DSP片內ROM的bootloader程序將PROM中的bootloader1程序加載至片內RAM中，由bootoader1程序再加載應用程式，bootoader1程序中嵌入一個校驗糾錯程序，通過兩個程序的配合實現抗單粒子措施的。由於bootloader1程序是運行前實時加載的，所以可以認為該部分為可靠代碼，再通過該部分的糾錯，可以認為整個程序的運行是安全可靠的。由於在糾錯時僅對代碼段進行了加載，並不破壞數據區的內容，保證了程序運行的連續性；另外，本發明不變動硬體平臺，極大地降低了設備的硬體成本、空間成本以及時間成本。
文檔編號G06F11/00GK101976212SQ20101052768
公開日2011年2月16日 申請日期2010年10月27日 優先權日2010年10月27日
發明者吳化軍, 張赤萍, 蔡春貴, 鍾興旺, 韓虹 申請人:西安空間無線電技術研究所