基于管理平面控制的SpaceVPX高性能单机最小安全系统和设备

技术领域

本发明涉及星载电子设备技术领域，具体地，涉及一种基于管理平面控制的SpaceVPX高性能单机最小安全系统和设备。

背景技术

从2010年开始，美国空军研究实验室和工业界开展空间系统组件之间互联定义标准化工作，即“下一代空间互联标准(Next Generation Space Interconnect Standard，简称NGSIS)”，旨在消除传输带宽带来的壁垒和约束。NGSIS采用的体系结构方法是以适当且经过验证的行业标准作为基础，进一步开发扩展功能以满足空间应用需求。SpaceVPXVITA78规范(American National Standards Institute ANSI/VITA 78.00-2015SpaceVPXSystem)是第一个专门为空间应用开发的开放性标准，以OpenVPX标准为基础，具有高性能的计算能力、优异的互操作性和可扩展性而广泛应用于嵌入式系统。

管理平面、控制平面、数据平面、扩展平面实现了SpaceVPX模块的互连。管理平面提供对基本模块功能的设置和控制。控制平面提供较低速率的数据传输，通常用于任务相关的操作控制和数据。数据平面提供千兆以上的高速数据传输，通常承载载荷数据。扩展平面用作模块之间的单独连接，完成与传统模块的桥接，或者其他特殊需求。

高性能计算处理是卫星系统的核心，实现高带宽与高可靠数据处理、人工智能处理、数据存储、数据交换等功能，为多源融合数据处理、网络化数据交互、自主化任务协同等应用需求提供算力硬件平台。基于SpaceVPX硬件架构的高性能单机由CPU、DSP、FPGA、GPU等不同类型的低等级、高性能处理器，构成不同的处理平台，分别负责不同的处理对象。但是，高性能处理器的大量应用使功率密度急剧增加，既要求电源功率的增加，也带来散热问题。传统星载电子单机整机开关机、开机后进行状态监视的管控方式，无法满足资源受限情况下对高性能单机的精细化管控需求。

传统的反熔丝FPGA无法支持大规模硬件资源的情况下，SRAM型FPGA的大量应用已成为必然趋势。在轨运行期间，根据不同任务阶段对计算处理需求的不同，需要对硬件资源进行在线重构，从而提高设备硬件资源的使用灵活性和利用和高效率，降低维护成本。无论是由单一的FPGA构成的处理模块，还是由FPGA和各类处理器构成的处理模块，FPGA都是设备运行的基础，因此，SRAM型FPGA的在线配置重构技术是实现设备硬件资源重构的基础。尤其是在严酷的空间辐射环境中，一方面SRAM型的FPGA极易受单粒子翻转影响而导致设备功能失效，另一方面任务需求变化或者设备异常时难以维护，需要完善可靠的重构能力。

针对SpaceVPX高性能单机长期在轨服务需求，构建高可靠、低功耗、长期稳定运行的最小安全系统，是实现低等级、高性能处理器正常运行和按需重构的基础。

目前，SpaceVPX硬件架构以及最小安全系统构建方面的专业技术文献相对较少。申请号为CN110166334《基于SpaceVPX标准的空间信息系统》的发明专利公开了由相互通信连接的信息平面、系统管理模块、主控模块、交换模块、功能模块组成的空间信息系统，由系统管理模块和各个功能模块中的底层管理从模块实现各个模块之间的管理策略。申请号为CN114488888《基于SpaceVPX架构的星载单机双冗余高可靠电源》的发明专利申请公开了由电源模块A、电源模块B、SpaceUM模块A、SpaceUM模块B、若干主份功能模块、若干备份功能模块、背板和机箱组成的SpaceVPX架构星载单机，电源模块A、电源模块B互相冗余备份，SpaceUM模块A、SpaceUM模块B实现二次电两级选择和通道开关控制，独立输入的A、B组二次电分别分流形成若干独立通道，每个通道有独立的开关控制，SpaceUM模块A、SpaceUM模块B分别为主份功能模块和备份功能模块供电，SpaceUM模块每一个通道支持一个功能模块的供电。申请号为CN114580193《一种支持Space VPX架构的抗辐照加固载荷主控设备》的发明专利申请公开了由处理器模块和FPGA模块组成的主控制器，使用“COTS+宇航级+抗辐照加固”思想进行载荷控制单元设计，采用高可靠专用刷新电路JFMRS01RH器件对SRAM型FPGA器件配置寄存器进行定时刷新和重构。

在SRAM型FPGA的在线配置重构技术方面研究相对较多，但是针对设备级的重构研究相对较少。申请号为CN104484214《一种SRAM型FPGA的配置、刷新与程序上注一体化系统》的发明专利公开了SRAM型FPGA、综合管理反熔丝FPGA、配置程序存储芯片PROM、在轨升级程序存放芯片EEPROM、遥测遥控接口组成的系统，由综合管理FPGA实现地面遥控指令接收和系统遥测状态返回、接收SRAM型FPGA程序数据包、解析程序数据包包格式并加入校验码之后写入在轨升级程序存放芯片EEPROM、从配置存储芯片PROM读数据配置加载和动态刷新SRAM型FPGA、对在轨升级程序存放芯片EEPROM的校验回写。申请号为CN114860650《一种多片SRAM型FPGA在轨配置管理装置》的发明专利公开了由至少三片NOR FLASH存储芯片、至少两片EEPROM存储芯片、至少三片PROM存储芯片和一片反熔丝FPGA芯片组成的装置，PROM预先存储每个SRAM型FPGA芯片所需要的基础更新软件配置位流包，EEPROM预先存储每个SRAM型FPGA芯片所需要的待更新的在轨更新软件配置位流包，NOR FLASH存储每个SRAM型FPGA芯片所需要的实时待更新的在轨更新软件配置位流包，反熔丝FPGA芯片根据地面站发送的遥控指令，选择一对一、一对多、多对一或多对多的在轨更新方式，以及选择不同的存储芯片，分别读取对应的存储芯片内存存储的配置位流包，并对应地发送至相互组合的多个SRAM型的FPGA芯片。

对现有技术进行检索和分析可以发现，存在下述问题：

1)针对星载资源受限下的高性能、低等级处理单机，仍以面向任务执行为主进行设计，SpaceVPX单机设计无法有效支撑从长期健康管理角度构建高可靠、低功耗、细颗粒度的管控模式；

2)现有SRAM型FPGA的在线配置管理、更新与重构设计通常针对板卡上的一片FPGA或者多片FPGA进行外部管控或者自管控，缺少设备级的管控方法、流程设计。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种基于管理平面控制的SpaceVPX高性能单机最小安全系统和设备。

根据本发明提供的基于管理平面控制的SpaceVPX高性能单机最小安全系统，由公共管理模块、交换机模块、有效载荷模块、二次电源模块、单机背板和单机机箱组成SpaceVPX高性能单机，公共管理模块和交换机模块、有效载荷模块之间通过单机背板管理平面连接，公共管理模块通过外接插件与其他单机连接，二次电源模块通过单机背板为公共管理模块、交换机模块、有效载荷模块提供模块所需二次供电，单机机箱为所有模块和背板提供机械结构框；

所述公共管理模块，包括高可靠FPGA、大容量非易失存储器、对外数据收发接口和对内管理平面接口，通过对外数据收发接口接收外部其他单机发送至SpaceVPX单机的遥控数据包，由高可靠FPGA进行遥控数据包解析、处理，并通过对内管理平面接口将遥控数据包转发至交换机模块、有效载荷模块，公共管理模块通过对内管理平面接口接收交换机模块、有效载荷模块反馈的遥测数据包，由高可靠FPGA进行遥测数据包汇聚后，经对外数据收发接口周期性输出；

所述交换机模块、有效载荷模块，通过管理平面接口接收公共管理模块输出的遥控数据包，进行遥控数据包解析、处理，将模块健康状态遥测数据包通过管理平面接口发送至公共管理模块；交换机模块、有效载荷模块中包含SRAM型高性能FPGA，通过接口服务与配置管理单元进行高性能FPGA程序加载、配置刷新、程序更新重构的控制；接口服务与配置管理单元提供多路SPI总线接口和模块内多片NOR FLASH通信，NOR FLASH存储高性能FPGA原始程序码流和更新程序码流；接口服务与配置管理单元提供多路配置接口与SRAM型高性能FPGA通信，实现FPGA配置存储加载；接口服务与配置管理单元提供管理平面接口完成交换机模块、有效载荷模块的对内管理平面通信，接口服务与配置管理单元提供多路通信接口与交换机模块、有效载荷模块上的处理器通信，实现遥测遥控数据双向传输；接口服务与配置管理单元提供多路通信接口通过交换机模块、有效载荷模块的外接插件与外部其他单机通信，实现遥测遥控数据双向传输；

所述最小安全系统，包括公共管理模块、交换机模块与有效载荷模块中的接口服务与配置管理单元，由二次电源模块为公共管理模块和接口服务与配置管理单元独立提供一组二次电。

优选的，所述SpaceVPX高性能单机支持单余度、双余度工作模式；所述单余度模式，单机内公共管理模块、交换机模块、有效载荷模块不进行主备冗余备份；所述双余度模式，单机内公共管理模块、交换机模块、有效载荷模块进行主备冗余备份；

双余度模式下，公共管理模块与交换机模块、有效载荷模块之间通过管理平面进行交叉冗余备份连接，公共管理模块的主份通过管理平面同时与交换机模块、有效载荷模块的主份、备份连接，公共管理模块的备份通过管理平面同时与交换机模块、有效载荷模块的主份、备份连接；

双余度模式下，公共管理模块主份以及交换机模块、有效载荷模块主份的接口服务与配置管理单元组成最小安全系统主份，公共管理模块备份以及交换机模块、有效载荷模块备份的接口服务与配置管理单元组成最小安全系统备份，二次电源模块分别为最小安全系统主份与备份各提供一组二次电。

优选的，公共管理模块中的高可靠FPGA进行管理平面的遥控数据包解析、处理，交换机模块、有效载荷模块中的接口服务与配置管理单元对通过管理平面接收的遥控数据包进行解析、处理；若遥控数据包为交换机模块和有效载荷模块SRAM型FPGA的程序码流，则进行单包符合性检查、单包正确性检查、多包顺序性检查、多包正确性检查；若遥控数据包为其他类型遥控，则进行单包符合性检查、单包正确性检查；

所述单包符合性检查，包括包版本号符合性检查、包类型符合性检查、包APID符合性检查；

所述单包正确性检查，根据包长进行数据包定界，进行数据包和校验；

所述多包顺序性检查，根据包顺序控制、包顺序计数进行数据包序列顺序判断；

所述多包正确性检查，通过单包符合性检查、单包正确性检查、多包顺序性检查后，对多包应用数据域数据进行连续CRC计算。

优选的，SpaceVPX高性能单机上电时，最小安全系统先上电，通过公共管理模块输出交换机模块、有效载荷模块接口服务与配置管理单元采集的健康状态遥测，并确认各模块SRAM型FPGA上电配置的程序码流；通过遥测确认健康状态和程序码流正确后，再根据任务要求控制相应交换机模块、有效载荷模块上电。

优选的，SpaceVPX高性能单机上电工作时，交换机模块、有效载荷模块中的接口服务与配置管理单元通过SPI总线接口从NOR FLASH读出原始程序码流，通过配置接口写入SRAM型FPGA配置存储区；SpaceVPX高性能单机任意SRAM型FPGA程序码流更新、功能重构的过程如下；

步骤一，公共管理模块通过对外数据收发接口接收数据程序码流遥控数据包，包APID为公共管理模块；

步骤二，公共管理模块高可靠FPGA完成程序码流遥控数据包单包符合性检查、单包正确性检查、多包顺序性检查后，将程序码流存入大容量非易失存储器，一个SRAM型FPGA的所有程序码流遥控数据包接收后完成多包正确性检查；

步骤三，通过程序码流正确性检查后，向公共管理模块发送程序码流目标模块写入指令，其中包APID为公共管理模块，包应用数据域包含程序码流在公共管理模块大容量非易失存储器中的基地址、程序码流长度以及目标模块APID、目标模块NOR FLASH编号；公共管理模块通过对外数据收发接口接收、解析程序码流目标模块写入指令，根据目标模块APID、目标模块NOR FLASH编号生成NOR FLASH存储器擦除指令，根据基地址、程序码流长度从公共管理模块大容量非易失存储器中读出程序码流后作为包数据域重新组织程序码流遥控数据包，其中包APID为目标模块APID；

步骤四，根据目标模块APID，公共管理模块将NOR FLASH存储器擦除指令、程序码流遥控数据包通过管理平面发送输出，NOR FLASH存储器擦除指令与第一包程序码流遥控数据包之间的时间间隔大于NOR FLASH存储器擦除所需时间；

步骤五，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析NORFLASH存储器擦除指令，通过检查后根据目标模块APID、目标模块NOR FLASH编号擦除相应的存储器；

步骤六，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析程序码流遥控数据包，通过检查后根据目标模块APID、目标模块NOR FLASH编号将程序码流写入相应的NOR FLASH，所有程序码流遥控数据包接收后完成多包正确性检查；

步骤七，通过更新程序码流正确性检查后，若目标模块已上电，转步骤八，若目标模块未上电，转步骤九；

步骤八，向公共管理模块发送目标重构FPGA重加载指令，其中包APID为目标模块APID，包应用数据域包含目标模块NOR FLASH编号、目标重构FPGA；公共管理模块通过对外数据收发接口接收、解析指令，经正确性检查后将指令通过管理平面转发至交换机模块、有效载荷模块，转步骤十；

步骤九，向公共管理模块发送目标重构FPGA配置加载目标模块NOR FLASH编号指令，公共管理模块通过对外数据收发接口接收、解析指令，经正确性检查后将指令通过管理平面转发至交换机模块、有效载荷模块，转步骤十一；

步骤十，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析重加载指令，根据包应用数据域中的目标模块NOR FLASH编号从NOR FLASH中读出程序码流，通过配置接口写入目标重构FPGA配置存储区，步骤结束；

步骤十一，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析目标重构FPGA配置加载目标模块NOR FLASH编号指令，修改FPGA上电配置所存程序码流的NORFLASH编号，转步骤十二；

步骤十二，目标模块上电，接口服务与配置管理单元根据目标模块NOR FLASH编号从NOR FLASH中读出程序码流，通过配置接口写入目标重构FPGA配置存储区，步骤结束。

优选的，交换机模块、有效载荷模块中NOR FLASH所存程序码流回读至公共管理模块大容量非易失存储器，过程如下；

步骤1，向公共管理模块发送目标程序码流回读指令，其中包APID为公共管理模块，包应用数据域包含程序码流所在目标模块APID、目标模块NOR FLASH编号以及程序码流回存大容量非易失存储器基地址；

步骤2，公共管理模块通过对外数据收发接口接收、解析目标程序码流回读指令，根据包应用数据域中的目标模块APID、目标模块NOR FLASH编号重新组织目标程序码流回读指令，其中包APID为目标模块APID，包应用数据域包含目标模块NOR FLASH编号；

步骤3，根据目标模块APID，公共管理模块将目标程序码流回读指令通过管理平面发送输出，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析目标程序码流回读指令，通过检查后根据目标模块NOR FLASH编号从相应的NOR FLASH中依次读出程序码流，将程序码流作为包应用数据域重新组织程序码流遥控数据包，包APID为公共管理模块；

步骤4，程序码流遥控数据包通过管理平面发送输出，公共管理模块接收、解析，通过单包符合性检查、单包正确性检查、多包顺序性检查后从程序码流回存大容量非易失存储器基地址开始将程序码流依次写入；

步骤5，所有程序码流回读完成后，公共管理模块完成多包正确性检查，若检查结果正确则通过遥测反馈检查结果，若检查结果错误则通过遥测反馈错误信息，遥测通过对外数据收发接口输出。

优选的，接口服务与配置管理单元具备对内管理平面通信、与交换机模块和有效载荷模块上处理器通信、与交换机模块和有效载荷模块外部其他单机通信的接口，以遥测空间数据包和遥控空间数据包的形式实现任意通信接口之间的双向数据传输。

优选的，通过所述接口服务与配置管理单元与交换机模块、有效载荷模块上处理器的通信接口，运行在处理器上的应用软件输出遥测空间数据包、遥控空间数据包，接口服务与配置管理单元将遥测空间数据包、遥控空间数据包经对内管理平面接口和对外其他单机通信接口转发输出；对内管理平面接口和对外其他单机通信接口接收遥测空间数据包、遥控空间数据包，接口服务与配置管理单元将遥测空间数据包、遥控空间数据包经与交换机模块、有效载荷模块上处理器通信接口转发输出。

优选的，通过所述接口服务与配置管理单元与交换机模块、有效载荷模块外部其他单机的通信接口，实现SpaceVPX高性能单机任意SRAM型FPGA程序码流更新、功能重构；通过外部通信接口直接输入NOR FLASH存储器擦除指令、数据程序码流遥控数据包，将程序码流写入相应的NOR FLASH，通过输入目标重构FPGA重加载指令实现FPGA功能重构，或者通过修改FPGA上电配置所存程序码流的NOR FLASH编号后目标模块上电。

根据本发明提供的星载电子设备，采用所述的基于管理平面控制的SpaceVPX高性能单机最小安全系统。

与现有技术相比，本发明具有如下的有益效果：

(1)本发明提出的基于管理平面控制的SpaceVPX高性能单机最小安全系统，将SpaceVPX硬件架构中实现系统任务功能的产品实体和实现可靠性、安全性保障的产品实体解耦合，构建了由公共管理模块、接口服务与配置管理单元组成的最小安全系统，有助于高性能、低等级器件在轨可靠执行任务；

(2)本发明提出的基于管理平面控制的SpaceVPX高性能单机最小安全系统，在整机未加电的情况下以最小化功耗开销实现整机健康状态遥测监视与遥控控制，实现任意模块任意SRAM型FPGA的在线配置管理、更新与重构；

(3)本发明提出的基于管理平面控制的SpaceVPX高性能单机最小安全系统，降低SRAM型FPGA配置重构时的星地测控链路、星内传输链路的资源开销，可以在公共管理模块、目标重构模块分布式的存储多份程序码流，可以在存储器之间实现程序码流的迁移；

(4)本发明提出的基于管理平面控制的SpaceVPX高性能单机最小安全系统，具有较好的灵活性和通用性，接口服务与配置管理单元具有多路通信接口，实现所在模块管理平面、处理器、外部通信接口之间的双向数据传输。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1为本发明基于管理平面控制的SpaceVPX高性能单机最小安全系统的示意图；

图2为基于最小安全系统对任意SRAM型FPGA程序码流更新与重构示意图；

图3为NOR FLASH所存程序码流回读至公共管理模块的示意图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。

实施例

本发明提出了一种基于管理平面控制的SpaceVPX高性能单机最小安全系统，由公共管理模块、交换机模块、有效载荷模块、二次电源模块、单机背板、单机机箱组成SpaceVPX高性能单机，公共管理模块和交换机模块、有效载荷模块之间通过单机背板管理平面连接，公共管理模块通过外接插件与其他单机连接，二次电源模块通过单机背板为公共管理模块、交换机模块、有效载荷模块提供模块所需二次供电，单机机箱为所有模块和背板提供机械结构框。

图1是一个本发明提出的双冗余SpaceVPX高性能单机示例，由公共管理模块-主、交换机模块-主、有效载荷模块1-主、有效载荷模块2-主组成单机主份，由公共管理模块-备、交换机模块-备、有效载荷模块1-备、有效载荷模块2-备组成单机备份。

公共管理模块主要由高可靠FPGA、大容量非易失存储器、对外数据收发接口、对内管理平面接口组成。星载应用中高可靠FPGA通常选用反熔丝FPGA，具有较好的抗空间辐射能力。大容量非易失存储器通常选用NAND FLASH，具有较大的存储空间，可以同时存储单机内多个SRAM型高性能FPGA的配置程序。对外数据收发接口、对内管理平面接口通常为RS422接口，简单可靠，速率适中，应用非常广泛。

通过对外RS422数据收发接口接收外部其他单机发送至SpaceVPX单机的遥控数据包，通常由综合电子单机直接发送遥控数据包。反熔丝FPGA进行遥控数据包解析、处理，并可以通过对内RS422管理平面接口将遥控数据包转发至交换机模块、有效载荷模块。同时，为了监控SpaceVPX单机健康状态，公共管理模块通过对内RS422管理平面接口接收交换机模块、有效载荷模块反馈的遥测数据包，由反熔丝FPGA进行遥测数据包汇聚后，经对外RS422数据收发接口周期性输出。通常由综合电子单机直接接收遥测数据包，经组帧后下传地面。

交换机模块、有效载荷模块通过RS422管理平面接口接收公共管理模块输出的遥控数据包，进行遥控数据包解析、处理，将模块健康状态遥测数据包通过管理平面接口发送至公共管理模块。交换机模块中包含SRAM型高性能FPGA，用于单机内外中速率控制平面、高速率数据平面的数据交换。有效载荷模块中包含SRAM型高性能FPGA，用于星载载荷数据处理、复杂任务规划等。交换机模块、有效载荷模块均配置接口服务与配置管理单元，进行高性能FPGA程序加载、配置刷新、程序更新重构的控制。接口服务与配置管理单元提供多路SPI总线接口和模块内多片NOR FLASH通信，NOR FLASH存储高性能FPGA原始程序码流和更新程序码流。选用SPI总线接口的抗辐照NOR FLASH器件，根据SRAM型FPGA程序码流大小选择合适的器件型号。接口服务与配置管理单元提供多路配置接口与SRAM型高性能FPGA通信，实现FPGA配置存储加载。接口服务与配置管理单元提供管理平面接口完成交换机模块、有效载荷模块的对内管理平面通信，接口服务与配置管理单元提供多路通信接口与交换机模块、有效载荷模块上的处理器通信，实现遥测遥控数据双向传输；接口服务与配置管理单元提供多路通信接口通过交换机模块、有效载荷模块的外接插件与外部其他单机通信，实现遥测遥控数据双向传输。

由公共管理模块、交换机模块与有效载荷模块中的接口服务与配置管理单元组成最小安全系统，由二次电源模块为公共管理模块和接口服务与配置管理单元独立提供一组二次电。也就是说，交换机模块与有效载荷模块中的接口服务与配置管理单元可以独立上电，不受交换机模块与有效载荷模块上电控制。

SpaceVPX高性能单机支持单余度、双余度工作模式。单余度模式表示单机内公共管理模块、交换机模块、有效载荷模块不进行主备冗余备份。双余度模式表示单机内公共管理模块、交换机模块、有效载荷模块进行主备冗余备份。

双余度模式下，公共管理模块与交换机模块、有效载荷模块之间通过管理平面进行交叉冗余备份连接，也就是说，公共管理模块的主份通过管理平面同时与交换机模块、有效载荷模块的主份、备份连接，公共管理模块的备份通过管理平面同时与交换机模块、有效载荷模块的主份、备份连接。

双余度模式下，公共管理模块主份以及交换机模块、有效载荷模块主份的接口服务与配置管理单元组成最小安全系统主份，公共管理模块备份以及交换机模块、有效载荷模块备份的接口服务与配置管理单元组成最小安全系统备份，二次电源模块分别为最小安全系统主份与备份各提供一组二次电。

如前所述，公共管理模块中的高可靠FPGA进行管理平面的遥控数据包解析、处理，交换机模块、有效载荷模块中的接口服务与配置管理单元进行通过管理平面接收的遥控数据包解析、处理。遥控数据包按照CCSDS空间数据包标准规范的格式要求进行封装。若遥控数据包为交换机模块和有效载荷模块SRAM型FPGA的程序码流，因为一个完整的FPGA程序码流需要通过一连串遥控数据包传输，所以对于接收到的程序码流数据包需进行单包符合性检查、单包正确性检查、多包顺序性检查、多包正确性检查。若遥控数据包为其他类型遥控，则只需进行单包符合性检查、单包正确性检查即可。

遥控数据包的具体检查要求为：

1)单包符合性检查，包括包版本号符合性检查、包类型符合性检查、包APID符合性检查；

2)单包正确性检查，根据包长进行数据包定界，进行数据包和校验；

3)多包顺序性检查，根据包顺序控制、包顺序计数进行数据包序列顺序判断；

4)多包正确性检查，通过单包符合性检查、单包正确性检查、多包顺序性检查后，对多包应用数据域数据进行连续CRC计算。

SpaceVPX高性能单机上电时，最小安全系统先上电，通过公共管理模块输出交换机模块、有效载荷模块接口服务与配置管理单元采集的健康状态遥测，并确认各模块SRAM型FPGA上电配置的程序码流；通过遥测确认健康状态和程序码流正确后，再根据任务要求控制相应交换机模块、有效载荷模块上电。交换机模块、有效载荷模块上电后，模块中的接口服务与配置管理单元通过SPI总线接口从NOR FLASH读出原始程序码流，通过配置接口写入SRAM型FPGA配置存储区后FPGA运行。

任意时刻，无论SpaceVPX高性能单机交换机模块、有效载荷模块是否上电，均可以通过最小安全系统对任意SRAM型FPGA的程序码流进行更新、重构，如图2所示，具体步骤为：

步骤一，公共管理模块通过对外RS422数据收发接口接收数据程序码流遥控数据包，包APID为公共管理模块，转步骤二；

步骤二，公共管理模块反熔丝FPGA完成程序码流遥控数据包单包符合性检查、单包正确性检查、多包顺序性检查后，将程序码流存入NAND FLASH，一个SRAM型FPGA的所有程序码流遥控数据包接收后完成多包正确性检查，转步骤三；

步骤三，通过程序码流正确性检查后，向公共管理模块发送程序码流目标模块写入指令，其中包APID为公共管理模块，包应用数据域包含程序码流在公共管理模块NANDFLASH中的基地址、程序码流长度以及目标模块APID、目标模块NOR FLASH编号；公共管理模块通过对外数据收发接口接收、解析程序码流目标模块写入指令，根据目标模块APID、目标模块NOR FLASH编号生成NOR FLASH存储器擦除指令，根据基地址、程序码流长度从公共管理模块NAND FLASH中读出程序码流后作为包数据域重新组织程序码流遥控数据包，其中包APID为目标模块APID，转步骤四；

步骤四，根据目标模块APID，公共管理模块将NOR FLASH存储器擦除指令、程序码流遥控数据包通过管理平面发送输出，NOR FLASH存储器擦除指令与第一包程序码流遥控数据包之间的时间间隔须大于NOR FLASH存储器擦除所需时间，转步骤五；

步骤五，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析NORFLASH存储器擦除指令，通过检查后根据目标模块APID、目标模块NOR FLASH编号擦除相应的存储器，转步骤六；

步骤六，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析程序码流遥控数据包，通过检查后根据目标模块APID、目标模块NOR FLASH编号将程序码流写入相应的NOR FLASH，所有程序码流遥控数据包接收后完成多包正确性检查，转步骤七；

步骤七，通过更新程序码流正确性检查后，若目标模块已上电，转步骤八，若目标模块未上电，转步骤九；

步骤八，向公共管理模块发送目标重构FPGA重加载指令，其中包APID为目标模块APID，包应用数据域包含目标模块NOR FLASH编号、目标重构FPGA；公共管理模块通过对外数据收发接口接收、解析指令，经正确性检查后将指令通过管理平面转发至交换机模块、有效载荷模块，转步骤十；

步骤九，向公共管理模块发送目标重构FPGA配置加载目标模块NOR FLASH编号指令，公共管理模块通过对外数据收发接口接收、解析指令，经正确性检查后将指令通过管理平面转发至交换机模块、有效载荷模块，转步骤十一；

步骤十，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析重加载指令，根据包应用数据域中的目标模块NOR FLASH编号从NOR FLASH中读出程序码流，通过配置接口写入目标重构FPGA配置存储区，步骤结束；

步骤十一，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析目标重构FPGA配置加载目标模块NOR FLASH编号指令，修改FPGA上电配置所存程序码流的NORFLASH编号，转步骤十二；

步骤十二，目标模块上电，接口服务与配置管理单元根据目标模块NOR FLASH编号从NOR FLASH中读出程序码流，通过配置接口写入目标重构FPGA配置存储区，步骤结束。

SpaceVPX高性能单机长期在轨运行中，可能存在以下情况：

1)某个交换机模块、有效载荷模块中的SRAM型FPGA根据不同的任务要求存在多份程序码流，但是模块上的NOR FLASH无法满足多份同时存储需求。若每次都需要通过地面上注更新，程序码流可能需要数百兆数据量，会占用大量宝贵的星地测控链路资源，而且降低任务效能。

2)主备冗余情况下，交换机模块、有效载荷模块中的程序码流可能需要转移至其备份，如果从地面发起程序码流更新、重构，效率太低。

因此，基于最小安全系统，可以将交换机模块、有效载荷模块中NOR FLASH所存程序码流回读至公共管理模块大容量非易失存储器进行存储，如图3所示，具体步骤包括：

步骤一，向公共管理模块发送目标程序码流回读指令，其中包APID为公共管理模块，包应用数据域包含程序码流所在目标模块APID、目标模块NOR FLASH编号以及程序码流回存大容量非易失存储器基地址，转步骤二；

步骤二，公共管理模块通过对外数据收发接口接收、解析目标程序码流回读指令，根据包应用数据域中的目标模块APID、目标模块NOR FLASH编号重新组织目标程序码流回读指令，其中包APID为目标模块APID，包应用数据域包含目标模块NOR FLASH编号，转步骤三；

步骤三，根据目标模块APID，公共管理模块将目标程序码流回读指令通过管理平面发送输出，交换机模块、有效载荷模块中的接口服务与配置管理单元接收、解析目标程序码流回读指令，通过检查后根据目标模块NOR FLASH编号从相应的NOR FLASH中依次读出程序码流，将程序码流作为包应用数据域重新组织程序码流遥控数据包，包APID为公共管理模块，转步骤四；

步骤四，程序码流遥控数据包通过管理平面发送输出，公共管理模块接收、解析，通过单包符合性检查、单包正确性检查、多包顺序性检查后从程序码流回存大容量非易失存储器基地址开始将程序码流依次写入，转步骤五；

步骤五，所有程序码流回读完成后，公共管理模块完成多包正确性检查，若检查结果正确则通过遥测反馈检查结果，若检查结果错误则通过遥测反馈错误信息，遥测通过对外数据收发接口输出。

接口服务与配置管理单元提供多路通信接口，本例中，可以通过UART接口与交换机模块和有效载荷模块上的处理器通信，可以通过RS422接口与交换机模块和有效载荷模块外部其他单机进行通信。各类通信接口承载遥测空间数据包和遥控空间数据包，可以实现任意通信接口之间的双向数据传输。

对于接口服务与配置管理单元与交换机模块、有效载荷模块上处理器的UART通信接口，运行在处理器上的应用软件可以输出遥测空间数据包、遥控空间数据包，接口服务与配置管理单元将遥测空间数据包、遥控空间数据包经对内RS422管理平面接口和对外其他单机RS422通信接口转发输出。

对内RS422管理平面接口和对外其他单机RS422通信接口可以接收遥测空间数据包、遥控空间数据包，接口服务与配置管理单元将遥测空间数据包、遥控空间数据包经UART接口输出至交换机模块、有效载荷模块上的处理器，由应用软件进行接口处理。

通过接口服务与配置管理单元与交换机模块、有效载荷模块外部其他单机的RS422通信接口，可以实现前述SpaceVPX高性能单机任意SRAM型FPGA程序码流更新、功能重构，即可以由外部单机直接将程序码流写入某一模块。与通过公共管理模块进行FPGA程序码流更新、功能重构类似，通过外部RS422通信接口直接输入NOR FLASH存储器擦除指令、数据程序码流遥控数据包，将程序码流写入相应的NOR FLASH，通过输入目标重构FPGA重加载指令实现FPGA功能重构，或者通过修改FPGA上电配置所存程序码流的NOR FLASH编号后目标模块上电。

本领域技术人员知道，除了以纯计算机可读程序代码方式实现本发明提供的系统、装置及其各个模块以外，完全可以通过将方法步骤进行逻辑编程来使得本发明提供的系统、装置及其各个模块以逻辑门、开关、专用集成电路、可编程逻辑控制器以及嵌入式微控制器等的形式来实现相同程序。所以，本发明提供的系统、装置及其各个模块可以被认为是一种硬件部件，而对其内包括的用于实现各种程序的模块也可以视为硬件部件内的结构；也可以将用于实现各种功能的模块视为既可以是实现方法的软件程序又可以是硬件部件内的结构。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。