一种星载处理系统及其控制运行方法

摘要

本发明提供一种星载处理系统及其控制运行方法，所述星载处理系统包括：至少两个运算单元板，至少两个数据备份恢复单元板和供电单元；运算单元板周将预设运算关键状态信息发送给数据备份恢复单元板；数据备份恢复单元板根据预设指令备份恢复运算单元板的数据；在同一时刻只有一个运算单元板和一个数据备份恢复单元板处于工作状态；在工作中的运算单元板出现故障时，由其它运算单元板从所述数据备份恢复单元板获取恢复数据继续进行出现故障的所述运算单元板的工作；在工作中的数据备份恢复单元板出现故障时，由其它数据备份恢复单元板继续进行出现故障的所述数据备份恢复单元板的工作。本发明提高了星载处理系统的可靠性和寿命。

权利要求

1.一种星载处理系统，其特征在于，所述星载处理系统包括：

至少两个运算单元板，至少两个数据备份恢复单元板和供电单元；

所述运算单元板周期性检测所述数据备份恢复单元板的状态并将预设运算关键状态信息发送给所述数据备份恢复单元板；所述数据备份恢复单元板周期性将自身状态信息发送至所述运算单元板并根据预设指令备份恢复所述运算单元板的数据；

在同一时刻只有一个所述运算单元板和一个所述数据备份恢复单元板处于工作状态；

在工作中的所述运算单元板出现故障时，由其它所述运算单元板从所述数据备份恢复单元板获取恢复数据继续进行出现故障的所述运算单元板的工作；在工作中的所述数据备份恢复单元板出现故障时，由其它所述数据备份恢复单元板继续进行出现故障的所述数据备份恢复单元板的工作。

2.据权利要求1所述的星载处理系统，其特征在于，所述运算单元板和所述数据备份恢复单元板分别包括：主芯片，分别与所述主芯片连接的用于存储及启动默认程序的第一FLASH芯片和第二FLASH芯片、用于系统镜像和数据存储的第三FLASH芯片、用于外部数据收发的对外接口芯片以及至少一SDRAM。

3.据权利要求2所述的星载处理系统，其特征在于，所述第一FLASH芯片作为默认启动芯片，在所述第一FLASH芯片故障时，所述第二FLASH芯片启动；所述主芯片和所述第一FLASH芯片、所述第二FLASH芯片之间连接有容错启动电路，所述容错启动电路包括：对外部输入信号和选通所述第一FLASH芯片的第一选通信号进行逻辑运算的第一逻辑门；

对所述主芯片输出的喂狗信号和选通所述第二FLASH芯片的第二选通信号进行逻辑运算的第二逻辑门；

逻辑门控制器，根据所述第一逻辑门和所述第二逻辑门的输出控制所述第一FLASH芯片选通的第一输出信号或控制所述第二FLASH芯片选通的输出第二输出信号；

对所述第一输出信号和所述主芯片输出的程序选择信号进行逻辑运算选通所述第一FLASH芯片的第三逻辑门；

对所述第二输出信号和所述主芯片输出的程序选择信号进行逻辑运算选通所述第二FLASH芯片的第四逻辑门。

4.据权利要求3所述的星载处理系统，其特征在于，在上电时，所述外部输入信号为负脉冲信号，所述第一FLASH芯片选通；所述喂狗信号为负脉冲时，所述第二FLASH芯片选通。

5.根据权利要求2所述的星载处理系统，其特征在于，所述第一FLASH芯片和所述第二FLASH芯片为NOR FLASH芯片；所述第三FLASH芯片为NAND FLASH芯片。

6.根据权利要求2或5所述的星载处理系统，其特征在于，所述第一FLASH芯片和所述第二FLASH芯片划分为启动代码区、系统代码区及预设重要数据存储区；所述第三FLASH芯片划分为至少存储有两份系统数据的系统数据存储区和用户数据存储区。

7.根据权利要求6所述的星载处理系统，其特征在于，所述SDRAM划分为：

操作系统管理区，用于实现嵌入式操作系统对内存的分配管理；

重启不刷新区，用于保存系统运行中间结果数据、参数数据和状态信息；

压缩代码存储区，用于从正常启动的FLASH中读取出一份可以正常运行的代码并压缩存储。

8.根据权利要求2所述的星载处理系统，其特征在于，所述对外接口芯片通过1553B总线接口实现外部数据收发；所述1553B总线接口包括收发器，与所述收发器连接的两个变压器以及分别与两个所述变压器相连用于与外部设备进行连接的连接端口。

9.根据权利要求1所述的星载处理系统，其特征在于，所述供电单元包括切换各所述运算单元板和切换各所述数据备份恢复单元板上电工作的主供电单元和备用供电单元。

10.一种控制星载处理系统的控制运行方法，其特征在于，所述星载处理系统包括至少两个运算单元板，至少两个数据备份恢复单元板和一个供电单元；所述控制运行方法包括：在同一时刻只有一个运算单元板和一个数据备份恢复单元板处于工作状态；

所述运算单元板周期性检测所述数据备份恢复单元板的状态并将预设运算关键状态信息发送给所述数据备份恢复单元板；所述数据备份恢复单元板周期性将自身状态信息发送至所述运算单元板并根据预设指令备份恢复所述运算单元板的数据；

当所述运算单元板接收到的所有所述数据备份恢复单元板的消息都错误时，重新初始化该运算单元板，当连续初始化该运算单元板的次数超过预设次数时，切换其它运算单元板工作；

当数据备份恢复单元板接收不到运算单元板的发送的消息时，重新初始化该数据备份恢复单元板，当连续初始化该数据备份恢复单元板的次数超过预设次数时，切换其它数据备份恢复单元板工作。

11.根据权利要求10所述的控制运行方法，其特征在于，所述运算单元板和所述数据备份恢复单元板分别包括：主芯片，分别与所述主芯片连接的用于存储及启动默认程序的第一FLASH芯片和第二FLASH芯片、用于系统镜像和数据存储的第三FLASH芯片、用于外部数据收发的对外接口芯片以及至少一SDRAM。

12.根据权利要求11所述的控制运行方法，其特征在于，所述第一FLASH芯片和所述第二FLASH芯片划分为启动代码区、系统代码区及预设重要数据存储区；所述第三FLASH芯片划分为至少存储有两份系统数据的系统数据存储区和用户数据存储区；所述SDRAM划分为：操作系统管理区，用于实现嵌入式操作系统对内存的分配管理；重启不刷新区，用于保存系统运行中间结果数据、参数数据和状态信息；压缩代码存储区，用于从正常启动的FLASH中读取出一份可以正常运行的代码并压缩存储。

13.根据权利要求12所述的控制运行方法，其特征在于，所述控制运行方法还包括对星载处理系统的启动过程进行控制，具体包括：所述星载处理系统上电时，默认通过所述第一FLASH芯片启动，当所述第一FLASH芯片出现故障时，利用所述SDRAM的重启不刷新区尝试恢复运行，当尝试预设次数后，无法恢复运行，从所述第二FLASH芯片启动。

14.根据权利要求13所述的控制运行方法，其特征在于，当所述主芯片输出的喂狗信号为负脉冲时，所述第二FLASH芯片选通。

说明书

一种星载处理系统及其控制运行方法

技术领域

[0001] 本发明涉及航天电子技术领域，具体为一种星载处理系统及其控制运行方法。

背景技术

[0002] 由于卫星工作环境较为恶略，用户对卫星的工作寿命又有较高要求，因此，需要对卫星的核心计算处理单元，进行加固设计，其中由于SEU(single-event upsets)导致的bit反转是存储器重点需要解决的问题，目前，国外Alsat-1卫星星载计算处理板具有如下特点：

[0003] 1)对程序存储区采用EDAC_TMR方式，存储空间利用效率为33.3％。

[0004] 2)对数据存储区采用RS(256,252)编码设计，可以纠正2bit数据错。

[0005] 3)系统提供两种工作模式：工作在EDAC方式或工作在直接读取SRAM方式。

[0006] 当前国内星载计算运算单元存在如下明显缺点：1)星载CPU主频低，低于100Mips；2)启动代码无法重构；3)由于采用TMR，存储区可用空间仅为33.3％，利用率较低；4)一旦启动代码出现错误，系统将无法正确工作，存在明显故障单点；5)RS(256,252)编码计算复杂，对资源需求较高，且FPGA需要额外的抗辐照设计；5)不具有故障恢复能力。

发明内容

[0007] 鉴于以上所述现有技术的缺点，本发明的目的在于提供一种星载处理系统及其控制运行方法，用于解决现有技术中星载处理系统可靠性差的问题。

[0008] 为实现上述目的及其他相关目的，本发明提供一种星载处理系统，所述星载处理系统包括：至少两个运算单元板，至少两个数据备份恢复单元板和供电单元；所述运算单元板周期性检测所述数据备份恢复单元板的状态并将预设运算关键状态信息发送给所述数据备份恢复单元板；所述数据备份恢复单元板周期性将自身状态信息发送至所述运算单元板并根据预设指令备份恢复所述运算单元板的数据；在同一时刻只有一个所述运算单元板和一个所述数据备份恢复单元板处于工作状态；在工作中的所述运算单元板出现故障时，由其它所述运算单元板从所述数据备份恢复单元板获取恢复数据继续进行出现故障的所述运算单元板的工作；在工作中的所述数据备份恢复单元板出现故障时，由其它所述数据备份恢复单元板继续进行出现故障的所述数据备份恢复单元板的工作。

[0009] 于本发明的一实施例中，所述运算单元板和所述数据备份恢复单元板分别包括：主芯片，分别与所述主芯片连接的用于存储及启动默认程序的第一FLASH芯片和第二FLASH芯片、用于系统镜像和数据存储的第三FLASH芯片、用于外部数据收发的对外接口芯片以及至少一SDRAM。

[0010] 于本发明的一实施例中，所述第一FLASH芯片作为默认启动芯片，在所述第一FLASH芯片故障时，所述第二FLASH芯片启动；所述主芯片和所述第一FLASH芯片、所述第二FLASH芯片之间连接有容错启动电路，所述容错启动电路包括：对外部输入信号和选通所述第一FLASH芯片的第一选通信号进行逻辑运算的第一逻辑门；对所述主芯片输出的喂狗信号和选通所述第二FLASH芯片的第二选通信号进行逻辑运算的第二逻辑门；逻辑门控制器，根据所述第一逻辑门和所述第二逻辑门的输出控制所述第一FLASH芯片选通的第一输出信号或控制所述第二FLASH芯片选通的输出第二输出信号；对所述第一输出信号和所述主芯片输出的程序选择信号进行逻辑运算选通所述第一FLASH芯片的第三逻辑门；对所述第二输出信号和所述主芯片输出的程序选择信号进行逻辑运算选通所述第二FLASH芯片的第四逻辑门。

[0011] 于本发明的一实施例中，在上电时，所述外部输入信号为负脉冲信号，所述第一FLASH芯片选通；所述喂狗信号为负脉冲时，所述第二FLASH芯片选通。

[0012] 于本发明的一实施例中，所述第一FLASH芯片和所述第二FLASH芯片为NOR FLASH芯片；所述第三FLASH芯片为NAND FLASH芯片。

[0013] 于本发明的一实施例中，所述第一FLASH芯片和所述第二FLASH芯片划分为启动代码区、系统代码区及预设重要数据存储区；所述第三FLASH芯片划分为至少存储有两份系统数据的系统数据存储区和用户数据存储区。

[0014] 于本发明的一实施例中，所述SDRAM划分为：操作系统管理区，用于实现嵌入式操作系统对内存的分配管理；重启不刷新区，用于保存系统运行中间结果数据、参数数据和状态信息；压缩代码存储区，用于从正常启动的FLASH中读取出一份可以正常运行的代码并压缩存储。

[0015] 于本发明的一实施例中，所述对外接口芯片通过1553B总线接口实现外部数据收发；所述1553B总线接口包括收发器，与所述收发器连接的两个变压器以及分别与两个所述变压器相连用于与外部设备进行连接的连接端口。

[0016] 于本发明的一实施例中，所述供电单元包括切换各所述运算单元板和切换各所述数据备份恢复单元板上电工作的主供电单元和备用供电单元。

[0017] 为实现上述目的，本发明还提供一种控制星载处理系统的控制运行方法，所述星载处理系统包括至少两个运算单元板，至少两个数据备份恢复单元板和一个供电单元；所述控制运行方法包括：在同一时刻只有一个运算单元板和一个数据备份恢复单元板处于工作状态；所述运算单元板周期性检测所述数据备份恢复单元板的状态并将预设运算关键状态信息发送给所述数据备份恢复单元板；所述数据备份恢复单元板周期性将自身状态信息发送至所述运算单元板并根据预设指令备份恢复所述运算单元板的数据；当所述运算单元板接收到的所有所述数据备份恢复单元板的消息都错误时，重新初始化该运算单元板，当连续初始化该运算单元板的次数超过预设次数时，切换其它运算单元板工作；当数据备份恢复单元板接收不到运算单元板的发送的消息时，重新初始化该数据备份恢复单元板，当连续初始化该运数据备份恢复单元板的次数超过预设次数时，切换其它数据备份恢复单元板工作。

[0018] 于本发明的一实施例中，所述运算单元板和所述数据备份恢复单元板分别包括：主芯片，分别与所述主芯片连接的用于存储及启动默认程序的第一FLASH芯片和第二FLASH芯片、用于系统镜像和数据存储的第三FLASH芯片、用于外部数据收发的对外接口芯片以及至少一SDRAM。

[0019] 于本发明的一实施例中，所述第一FLASH芯片和所述第二FLASH芯片划分为启动代码区、系统代码区及预设重要数据存储区；所述第三FLASH芯片划分为至少存储有两份系统数据的系统数据存储区和用户数据存储区；所述SDRAM划分为：操作系统管理区，用于实现嵌入式操作系统对内存的分配管理；重启不刷新区，用于保存系统运行中间结果数据、参数数据和状态信息；压缩代码存储区，用于从正常启动的FLASH中读取出一份可以正常运行的代码并压缩存储。

[0020] 于本发明的一实施例中，所述控制运行方法还包括对星载处理系统的启动过程进行控制，具体包括：所述星载处理系统上电时，默认通过所述第一FLASH芯片启动，当所述第一FLASH芯片出现故障时，利用所述SDRAM的重启不刷新区尝试恢复运行，当尝试预设次数后，无法恢复运行，从所述第二FLASH芯片启动。

[0021] 于本发明的一实施例中，当所述主芯片输出的喂狗信号为负脉冲时，所述第二FLASH芯片选通。

[0022] 如上所述，本发明的一种星载处理系统及其控制运行方法，具有以下有益效果：

[0023] 本发明通过多个运算单元板、多个数据备份恢复单元板，以及每一个板中设置双冗余的两个FLASH芯片，可以解决长期在轨运行卫星计算处理单元的可靠性设计问题，采用全新硬件冗余以及软件设计，具备故障诊断自修复等功能，提高了星载处理系统的寿命。

附图说明

[0024] 图1显示为本发明的星载处理系统的原理框图。

[0025] 图2显示为本发明的星载处理系统中运算单元板或数据备份恢复单元板的原理框图。

[0026] 图3显示为本发明的星载处理系统中1553B总线接口的示意图。

[0027] 图4显示为本发明的星载处理系统中容错启动电路示意图。

[0028] 图5显示为本发明的星载处理系统中NOR FLASH划分示意图。

[0029] 图6显示为本发明的星载处理系统中NAND FLASH划分示意图。

[0030] 图7显示为本发明的星载处理系统中SDRAM划分分配示意图。

[0031] 图8显示为本发明的星载处理系统中运算单元板的故障诊断流程示意图。

[0032] 图9显示为本发明的星载处理系统中进行数据备份恢复的流程示意图。

[0033] 元件标号说明

[0034] 10      运算单元板

[0035] 101     主芯片

[0036] 102     第一FLASH芯片

[0037] 103     第二FLASH芯片

[0038] 104     第三FLASH芯片

[0039] 105     对外接口芯片

[0040] 106     SDRAM

[0041] 107     串口芯片

[0042] 20      数据备份恢复单元板

[0043] 30      供电单元

具体实施方式

[0044] 以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效。

[0045] 请参阅图1至图9。须知，本说明书所附图式所绘示的机构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定本发明可实施的限定条件，故不具技术上的实质意义，任何机构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容得能涵盖的范围内。同时，本说明书中所引用的如“上”、“下”、“左”、“右”、“中间”及“一”等的用语，亦仅为便于叙述的明了，而非用以限定本发明可实施的范围，其相对关系的改变或调整，在无实质变更技术内容下，当亦视为本发明可实施的范畴。

[0046] 本实施例的目的在于提供一种星载处理系统及其控制运行方法，用于解决现有技术中星载处理系统可靠性差的问题。以下将详细阐述本实施例的一种星载处理系统及其控制运行方法的原理及实施方式，使本领域技术人员不需要创造性劳动即可理解本实施例的一种星载处理系统及其控制运行方法。

[0047] 本实施例的一种星载处理系统是一种星载备份恢复系统，具备关键设备故障诊断自主恢复及可重构能力，最大限度的发挥了系统性能。具体地，如图1所示，所述星载处理系统包括：至少两个运算单元板10，至少两个数据备份恢复单元板20和供电单元30。

[0048] 由于星载处理系统面向长期运行，仅采用1个运算单元无法避免故障，本实施中的星载备份恢复系统具体可由2块高性能的运算单元板10以及2块数据备份恢复单元板20组成，为减少功耗，高性能的运算单元板10、数据备份恢复单元板20均采用冷备设计，即同一时间高性能运算单元与数据备份恢复单元各有一个处于工作状态，单板之间采用通用MIL-STD-1553B总线连接，外部数据可通过高性能的运算单元的对外接口(422、PCM等通用接口)或MIL-STD-1553B总线接入。

[0049] 其中，1553B总线是美国军方专为飞机上设备制定的一种信息传输总线标准，也就是设备间传输的协议。所述1553B总线的工作频率是1Mb/s，采用曼彻斯特II码，半双工工作方式。

[0050] 所述运算单元板10周期性(例如1s)检测所述数据备份恢复单元板20的状态并将预设运算关键状态信息发送给所述数据备份恢复单元板20；所述数据备份恢复单元板20周期性(例如1s)将自身状态信息发送至所述运算单元板10并根据预设指令备份恢复所述运算单元板10的数据。

[0051] 在工作中的所述运算单元板10出现故障时，由其它所述运算单元板10从所述数据备份恢复单元板20获取恢复数据继续进行出现故障的所述运算单元板10的工作；在工作中的所述数据备份恢复单元板20出现故障时，由其它所述数据备份恢复单元板20继续进行出现故障的所述数据备份恢复单元板20的工作。

[0052] 所述运算单元板10和所述数据备份恢复单元板20具有与供电单元30相连的电源接口，接口电源参数为：

[0053] 一次电源输入：+42±3V，电压稳定度为10％，纹波电压为600mV(p_p)；

[0054] 一次电源+42V经输入保护、EMI滤波、浪涌电流抑制电路及输入控制电路等后到DC/DC变换，接入。

[0055] 所述供电单元30包括切换各所述运算单元板10和切换各所述数据备份恢复单元板20上电工作的主供电单元和备用供电单元。

[0056] 具体地，于实施例中，如图2所示，所述运算单元板10和所述数据备份恢复单元板20分别包括：主芯片101，分别与所述主芯片101连接的用于存储及启动默认程序的第一FLASH芯片102和第二FLASH芯片103、用于系统镜像和数据存储的第三FLASH芯片104、用于外部数据收发的对外接口芯片105以及至少一SDRAM106，此外，还可以包括一串口芯片107，用于串口通信测试。

[0057] 其中，SDRAM106即Synchronous Dynamic Random Access Memory，同步动态随机存储器，同步是指内存工作需要同步时钟，内部的命令的发送与数据的传输都以它为基准；动态是指存储阵列需要不断的刷新来保证数据不丢失；随机是指数据不是线性依次存储，而是自由指定地址进行数据读写。

[0058] 于本实施例中，所述对外接口芯片105通过1553B总线接口实现外部数据收发，1553B总线采用曼彻斯特Ⅱ型编码。如图3所示，所述1553B总线接口包括收发器，与所述收发器连接的两个变压器以及分别与两个所述变压器相连用于与外部设备进行连接的连接端口。

[0059] 于本实施例中，针对启动单点的故障，采用双片冗余设计方案，所述第一FLASH芯片102作为默认启动芯片，在所述第一FLASH芯片102故障时，所述第二FLASH芯片103启动，即上电固定选择所述第一FLASH芯片102启动，当所述第一FLASH芯片102出现故障以及软件出现其他不可预料故障时，系统自动从所述第二FLASH芯片103启动。

[0060] 其中所述第一FLASH芯片102和所述第二FLASH芯片103具有相同的地址，读出数据都通过CPU内部EMI接口控制器，内部采用(7,4,3)汉明码，完成8bit数据的译码。

[0061] 于本实施例中，所述主芯片101和所述第一FLASH芯片102、所述第二FLASH芯片103之间连接有容错启动电路，如图4所示(图中A片，Nor FlashA即为第一FLASH芯片102，B片，Nor FlashB即为第二FLASH芯片103)。

[0062] 所述容错启动电路包括：对外部输入信号(RST)和选通所述第一FLASH芯片102的第一选通信号(A片选通信号)进行逻辑运算的第一逻辑门；对所述主芯片101输出的喂狗信号(计数器的信号)和选通所述第二FLASH芯片103的第二选通信号(B片选通信号)进行逻辑运算的第二逻辑门；逻辑门控制器，根据所述第一逻辑门和所述第二逻辑门的输出控制所述第一FLASH芯片102选通的第一输出信号 或控制所述第二FLASH芯片103选通的输出第二输出信号(Q)。对所述第一输出信号和所述主芯片101输出的程序选择信号(Flash Csn)进行逻辑运算选通所述第一FLASH芯片102的第三逻辑门；对所述第二输出信号和所述主芯片101输出的程序选择信号进行逻辑运算选通所述第二FLASH芯片103的第四逻辑门。

[0063] 于本实施例中，可在不更改启动软件的条件下，根据上电以及复位情况，选择启动芯片：

[0064] 在上电时，所述外部输入信号为负脉冲信号，所述第一FLASH芯片102选通；所述喂狗信号为负脉冲时(即狗叫时)，所述第二FLASH芯片103选通。所述逻辑门控制器的具体控制逻辑如表1所示。

[0065] 表1

[0066]

[0067] 没有容错启动电路时，由于CPU从固定地址读取数据，因此，计算机的启动代码(引导程序)成为系统故障单点，即启动代码出现错误，无论有系统程序都无法运行，其他飞行器计算机系统的启动代码都采用宇航级PROM芯片存储，由于宇航级PROM为禁运产品，导致航天计算机系统价格昂贵，且受限于国外芯片供应，急需设计国产化解决方案。目前，国内芯片主要是宇航级Nor/Nand Flash，本实施例合理利用当前主流芯片，完成长寿命容错可重构星载计算机的设计工作。

[0068] 于本实施例中，所述第一FLASH芯片102和所述第二FLASH芯片103优选为NOR FLASH芯片；所述第三FLASH芯片104优选为NAND FLASH芯片。

[0069] 其中，如图5所示，所述第一FLASH芯片102和所述第二FLASH芯片103划分为启动代码区、系统代码区及预设重要数据存储区。

[0070] 如图6所示，所述第三FLASH芯片104划分为至少存储有两份系统数据(例如为三份)的系统数据存储区和用户数据存储区。

[0071] 于本实施例中，如图7所示，所述SDRAM106划分为：操作系统管理区，用于实现嵌入式操作系统对内存的分配管理；重启不刷新区，用于保存系统运行中间结果数据、参数数据和状态信息；压缩代码存储区，用于从正常启动的FLASH中读取出一份可以正常运行的代码并压缩存储。，作为整个系统故障恢复的辅助手段。

[0072] 正常初始上电通过Nor FlashA引导系统，当出现故障时，首先尝试从SDRAM106重新启动，由于将系统运行数据保存在重启不刷新区域，系统启动后首先并利用重启不刷新区域存储的辅助信息，恢复系统：检测SDRAM106中启动标示，若为SDRAM106标志，将会尝试从SDRAM106压缩代码存储区恢复系统，并记录启动次数，当尝试3次后，依然无法恢复，认为多次恢复系统失败，系统将会从Nor FlashB启动，重新加载系统，此时不使用SDRAM106中的辅助信息。

[0073] 此外，本实施例还还提供一种控制上述星载处理系统的控制运行方法，所述星载处理系统包括至少两个运算单元板10，至少两个数据备份恢复单元板20和一个供电单元30；于本实施例中，所述运算单元板10和所述数据备份恢复单元板20分别包括：主芯片101，分别与所述主芯片101连接的用于存储及启动默认程序的第一FLASH芯片102和第二FLASH芯片103、用于系统镜像和数据存储的第三FLASH芯片104、用于外部数据收发的对外接口芯片105以及至少一SDRAM106。

[0074] 于本实施例中，所述第一FLASH芯片102和所述第二FLASH芯片103划分为启动代码区、系统代码区及预设重要数据存储区；所述第三FLASH芯片104划分为至少存储有两份系统数据的系统数据存储区和用户数据存储区；所述SDRAM106划分为：操作系统管理区，用于实现嵌入式操作系统对内存的分配管理；重启不刷新区，用于保存系统运行中间结果数据、参数数据和状态信息；压缩代码存储区，用于从正常启动的FLASH中读取出一份可以正常运行的代码并压缩存储。

[0075] 所述控制运行方法包括：在同一时刻只有一个运算单元板10和一个数据备份恢复单元板20处于工作状态；所述运算单元板10周期性检测所述数据备份恢复单元板20的状态并将预设运算关键状态信息发送给所述数据备份恢复单元板20；所述数据备份恢复单元板20周期性将自身状态信息发送至所述运算单元板10并根据预设指令备份恢复所述运算单元板10的数据。

[0076] 当所述运算单元板10接收到的所有所述数据备份恢复单元板20的消息都错误时，重新初始化该运算单元板10，当连续初始化该运算单元板10的次数超过预设次数时，切换其它运算单元板10工作。

[0077] 例如，所述运算单元板10(A机)周期1S，对所有RT(远程终端)(1553B总线至少有两个RT始终在线)进行轮询，当接收到所有RT的消息都为错误时，重新初始化BC，当连续在1分钟内初始化BC超过3次时，切换为另外一个运算单元板10(B机)工作，具体流程如图8所示。

[0078] 当数据备份恢复单元板20接收不到运算单元板10的发送的消息时，重新初始化该数据备份恢复单元板20，当连续初始化该运数据备份恢复单元板20的次数超过预设次数时，切换其它数据备份恢复单元板20工作。

[0079] 例如，当数据备份恢复单元板20(A机)接收不到运算单元板10(BC)消息时，重新初始化BC，当连续在1分钟内初始化接口芯片超过3次时，切换为另外一个数据备份恢复单元板20(B机)工作。

[0080] 在数据备份恢复过程中，运算单元板10为主，数据备份恢复单元为从，即数据备份恢复单元根据运算单元板10的指令完成相关数据操作，因此，主需要描述运算单元板10数据备份恢复流程即可。运算单元板10采用周期检查、备份握手以及切机重新备机的方法，对系统进行保护，具体流程如图9所示。在此不再详述。

[0081] 上电固定选择所述第一FLASH芯片102启动，当所述第一FLASH芯片102出现故障以及软件出现其他不可预料故障时，系统自动从所述第二FLASH芯片103启动。于本实施例中，可在不更改启动软件的条件下，根据上电以及复位情况，选择启动芯片：

[0082] 在上电时，所述外部输入信号为负脉冲信号，所述第一FLASH芯片102选通；当所述主芯片101输出的喂狗信号为负脉冲(即狗叫)时，所述第二FLASH芯片103选通。所述逻辑门控制器的具体控制逻辑如表1所示。

[0083] 具体地，于本实施例中，所述控制运行方法还包括对星载处理系统的启动过程进行控制，具体包括：所述星载处理系统上电时，默认通过所述第一FLASH芯片102启动，当所述第一FLASH芯片102出现故障时，利用所述SDRAM106的重启不刷新区尝试恢复运行，当尝试预设次数后，无法恢复运行，从所述第二FLASH芯片103启动。

[0084] 即正常初始上电通过Nor FlashA引导系统，当出现故障时，首先尝试从SDRAM106重新启动，由于将系统运行数据保存在重启不刷新区域，系统启动后首先并利用重启不刷新区域存储的辅助信息，恢复系统：检测SDRAM106中启动标示，若为SDRAM106标志，将会尝试从SDRAM106压缩代码存储区恢复系统，并记录启动次数，当尝试3次后，依然无法恢复，认为多次恢复系统失败，系统将会从Nor FlashB启动，重新加载系统，此时不使用SDRAM106中的辅助信息。

[0085] 综上所述，本发明通过多个运算单元板、多个数据备份恢复单元板，以及每一个板中设置双冗余的两个FLASH芯片，可以解决长期在轨运行卫星计算处理单元的可靠性设计问题，采用全新硬件冗余以及软件设计，具备故障诊断自修复等功能，提高了星载处理系统的寿命。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

[0086] 上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。