空间信息系统COTS技术下的抗辐射设计

本文在对太空辐射环境分析的基础上，研究了商用现货(COTS)技术下空间信息处理系统的抗辐射设计，提出并实现了基于单粒子闭锁(SEL)辐射效应的解决方案。
         这种方法可类似地移植应用于航空以及车栽领域的嵌入式系统中。

         引 言
   
         空间信息处理系统作为小卫星上的核心部件，它主要用于卫星控制、星务管理、数据处理等，空间信息处理系统工作在一个相对地面更加恶劣的环境中，给研究人员提出了更高的要求。

        一个自然的办法是进行屏蔽和加固，相关数据表明：铝板越厚，辐射作用越小，且宇航级加固的CMOS器件抗辐射能力大大强于常规CMOS。目前宇航级抗辐射加固的微处理器以及其他计算机器件落后最先进的商用产品数年，如图1所示。
  
          COTS(Commercial Off-The-Shelf)技术的引入，即用商用器件代替宇航级的抗辐射加固器件，是当前设计空间信息处理系统的一个趋势。如何保证系统的可靠性，如何在采用更廉价的商用器件，充分利用其运算速度快、软什编程平台完善、应用软件多、系统组成灵活等特点的同时，对商用现货器件采取措施使之对空间环境具有抗辐射的功能，是一个具有挑战性的课题。
         1 空间辐射环境及效应分析

         1.1 空间辐射效应
   
         太空辐射环境对电子设备的效应主要分为两类。
   
          ①辐射总剂量TID(Total Ionizing Dbse)：描述的是电子器件在辐射环境下的一组特性，指器件在发生重大改变(永久故障)前所能承受的总吸收能量级。它的单位为Rad，即存积在一克硅中的能量。
   
          ②单粒子效应SEE(Single-Event Effect)：指单个高能粒子撞击引起的电子器件状态的瞬时扰动，或是永久性的损伤。太空中的高能粒子包括重粒子、质子、α粒子、中子等。单粒子效应又分为两类。
   
         ◆单粒子翻转SEU(Single-Event Upset)：引起电路中的触发器和存储单元的翻转，出现了逻辑错误、存储器错误或丢失同步信号等。SEU常被视为软错误(softerror)。
  
           ◆单粒子闭锁SEL(Single-Evcnt Latchup)：辐射环境下造成的门击、烧毁或闭锁(1atch up)，表现为CMOS电路短路、闭锁热应力过载等。SEL常被视为硬错误(harderror)。

       1.2 对策研究综述
   
         由于小卫星的空间位置和使用年限不同，而空间信息处理系统的辐射总剂量和单粒子效应随不同太空环境(轨道高度、倾角)和不同任务时间差别很大(辐射环境参数甚至会有几个数量级的变化)，所以，其抗辐射的程度和措施也不尽相同。

       目前，完全在硬件上屏蔽和避免辐射是很难实现且没有必要的。而在COTS技术的应用中，在采取适当的屏蔽和加固措施后，仍无法完全达到系统抗辐避错的情况下，容许系统出现辐射效应；但通过冗余(如烈机系统)和容错计算使系统正常进行工作，并设计使用一些应对辐射效应的保护电路，就成为了解决问题的办法。

        CMOS技术不断发展，目前典型的CMOS技术下设备在物理损坏前能够承受的TID大约为5 KRad；而根据美国国家航空和宇宙航行局(NAsA)提供的辐射模型分析显示，其具有代表意义的小卫星ION-F的计算机应用信息处理模块C&DH(Command and Data Handling)子系统的TID为25 Rad。由此可以得出结论：仅就小卫星中的空间信息处理系统而言，在典型的任务周期和环境下，TID的影响可以忽略。我国的“实践五号”卫星分析也得出了类似的结论。考虑到小卫星任务年限和环境的多变性，一般性的加固和适当厚度的铝屏蔽应该足以满足扰TID的要求。

        随着技术的发展。伴随着器件电压的降低和位密度的增加，SEE的发牛频率呈上升趋势，而屏蔽对高能粒子的作用也是十分有限的。因此，相当长的时间内，SEE相对而言是设计中更值得注意且潜伏危险性更高的问题。SEU对存储器件影响最大，COTS技术下处理器内部可利用冗余技术(如双机系统)并采用合适的体系结构组织，存储器用ECC或其他校验码检测及自行校正错误，另外还可以使用看门狗(watch dog)技术。

       屏蔽和加固技术不在本文的研究范围内；比较成熟的双机系统结构、校验码和看门狗技术则解决了SEU辐射效应的问题。
         2 SEL解决方案设计
   
         SEL是体效应技术CMOS(Bulk CMOS technologies)(非绝缘硅)的寄生双极晶体管被局部沉积的电荷所触发而引起在电源供给和接地之间的一种短路。CMOS的加工工艺在正常的操作情况下防止了这种情况的出现。但是在宇宙中，由穿越高能粒子引起的局部电荷沉积仍可能触发这种效应。SEL可能局限在一个很小的本地区域内．也可能传播影响至芯片的大部分。如果不采取保护措施，则由短路引起的大电流就可能使器件造成永久损坏。

       2．1 SEL解决关键
   
         与SEU相比，SEL是纯粹的硬错误。如前文所述，SEL将引起器件中产生大电流。这个电流甚至可能会比器件典型的操作电流大几个量级，并在其内部产生相当高的温度。如果不及时补救．那么将造成器件永久性的损害。因此，虽然SEL发生的次数很少，但是却是设计中最有挑战性的问题。
   
         目前，COTS下消除SEL的可行办法只能是在大电流发生后重启电源，因此设计的关键就在于系统中有：
   
         ◇能够监测大电流的过流监视器装置；
       ◇自动断电和恢复的开关电路(即重启电源)。

       2.2 SEL保护电路原理
   
         过流监视器采用Maxim公司的芯片MAX4373／4374／4375系列。它是一种低成本、微功耗的高端电流检测放大器+比较器+电压基准IC。
   
         重启电源的开关可由P沟道增强型MOS管(P-channel MOSFET)来构造。选择Vishay公司的Si4465DY，高质量的MOSFET自身对辐射环境就有很好的免疫能力。
  
           SEL的保护电路原理图如图2所示。
  
          如图2所示，Vin是负载电路的电源，同时也是MAX4373的电源。上电后，经电流检测电阻Rsense后向负载Load供电。负载电流Iload经Rsense，在其两端产生一个电压降Vsense。它作为电流检测信号输入MAX4373中的电流检测放大器，其固定增益为Av，则放大后的电压信号由0UT端输出，Uout=Vsense×Av。R1、R2组成电压分压器，它将Vout经分压后输入内部的电压比较器同相端CINl，与反相端(接内部O．6 V基准电压)相比较。
         若流入负载电路的电流未超过设定的阈值电流，则电流检测放大器输出的电压Vout经R1、R2分压后Voutin小于0．6V，内部电压比较器输出低电平(从COUTl)，P沟道MOSFET导通，即负载的供电电路连通；若流入负载电路的电流超过了设定的阈值电流，则由Rsense检测的电压经电流检测放大器放大后，使输出电压Vout经R1、R2分压后Voutin大于0．6 V，内部电压比较器翻转，COUTl输出高电平，使P淘道MOSFET截止，于是负载的供电电路被切断。内部电压比较器为输出锁存型，一旦翻转，则输出高电平锁存，电路断开状态保持，即负载保持断电。大电流消失后，按一下复位按钮(>2μs)，内部电压比较器复位，COUTl输出低电平，MOSFET导通，负载加电重新工作。图2中的R3即为COUTl输出上拉电阻，同时也提供了P淘道MOSFET的VGS电压．抑制流经MOSFET的电流。

       2.3 在双机系统中的应用设计
   
         根据以上原理，考虑SEL保护电路在双机系统结构中的应用，给出空间信息处理系统SEL解决方案，如图3所示。
  
        图3中CPUO板和CPUl板是冗余双机，接口板负责双机中主机和备机的通信与切换。可以看到，SEL解决措施分为3个步骤(电源系统设计不在本文论述范围内)：
       ①SEL保护电路对系统中各需要监测的器件进行SEL监测；
      ②当监测出过流时，即发生了SEL，保护电路迅速实现对局部器件的断电保护；
      ③SEL保护电路同时给出信号，控制电源板对本板供电部分的断电和重启。
         3 在双机系统中的实现
   
          应用上述SEL解决方案设计，在某航天器双机系统的原型结构中实现了该方案。这里给出的应用是双机温备系统．同理可适用于双机冷备或者热备系统中。显然：
   
         ◆当CPU板中有器件发牛SEL时，单纯断电该器件是不够的，因为整个CPU板此时缺少此器件，很可能已不能正常工作了，因此还需将整个CPU板断电并重启。CPU板重启时速度慢，所蹦此时必须由另一块CPU板接管作为主机，这就涉及了双机切换的问题。
      ◆在接口板中有器件发生SEL时，同理单纯断电该器件是不够的，必须断电并重启接口板。接口板没有冗余，但接口板的重启速度快，所以仅需要将整个接口板断电再重启。
      ◆电源系统必须能够提供关断的电源管理功能，这也给电源系统的设计提出了要求。

      3．1 CPU上的SEL方案实现
   
        实现结构如图4所示。
  
         每块CPU板上每一个需要监测的器件供电引脚和供电电压之间，都加上如图4所示的由MAX4373和Si4465DY构成的SEL保护宅路；CPU板上不同器件的供电电压有4种不同的电压值(5V，3．3V，1.8V，1．5V)。这里的SEL保护电路其实就是对2．2小节中SEL保护电路原理的改进，即监测芯片MAX4373和要监测的器件使用的是不同的电源。当器件发生SEL大电流时，COUTl为高，且MAX4373工作保持锁存该高电平，于是一方面迅速切断该器件的供电电路以避免损坏，另一方面通过“或”门控制该CPU电源。可以看到，“或”门使得CPU板上任何被监测的器件发生SEL时，CPU电源舶Ctrl为高，其上的Si4465DY同样实现了开关功能，则CPU电源上MOSFET断，电源的ON/OFF为低使得整个该CPU板的供电断掉，此时便解决了此次的SEL问题。其后接口板上的Wacch dog能感知到该CPU发生故障，并控制双机逻辑切换到另一台CPU使之作为主机，即实现双机切换。可以看到，当故障CPU断电后，Ctrl变低，则该CPU电源上MOSFET导通，ON／OFF为高使得整个CPU的供电恢复，该CPU重新通电加载作为备机，从而实现温备。

      3．2 接口板上的抗SEL方案
   
         实现结构如图5所示。
  
           接口板中每一个需要监测的器件供电引脚和供电电压之间，都加上如图5所示的由MAX4373和Si4465DY构成的SEL保护电路；接口板上不同器件的供电电压有3种不同的电压值(5V，3．3V，1．5V)。这里的SEL保护电路其实就足对2．2小节中SEL保护电路原理的改进，即监测芯片MAX4373和要监测的器件使用的是不列的电源。当器件发生SEL大电流时，COUTl为高，且MAX4373工作保持锁存该高电平，于是一方而迅速切断该器件的供电电路以避免损坏，另一方面通过“或”门去控制接口板电源。

        可以看到，“或”门使得接口板上任何被监测的器件发生SEL时，接口板电源的Ctrl为高，其上的Si4465DY同样实现了开关功能，则接口板电源上MOSFET断开，ON/OFF为低使得整个接口板的供电断掉，此时便解决了此次的SEL问题。当接口板断电后，Ctrl变低，则该接口板电源上MOSFET导通，ON／OFF为高使得整个接口板的供电恢复，接口板迅速重新通电，极短时间内不会影响到双机工作。

         3.3 部分PCB原理图
   
         根据以上设计制板实现，部分PCB原理图如图6所示。

          结语
   
          本文对太空辐射环境进行了分析，研究了COTS技术下空间信息处理系统的抗辐射设计，给出了基于SEL辐射效应的解决方案，并在某航天器双机系统(温备)上进行了原型实现。考虑到高能粒子辐射不仅存在于太空，还广泛存在于核爆环境下甚至大气中，因此，该实现方案也能够移植应用于人为辐射(如敌方核爆)、机载(航空)和车载等领域。本文来源：单片机及嵌入式系统应用     作者：国防科技大学 李毅 李瑞