星载计算机抗辐射加固技术

２栅年第ｌ期航天控制星载计算机抗辐射加固技术华更新王国良郭树玲北京控制工程研究所，北京１０００８０、ｊ氐ｂ摘要为掌握星载计算机系统级抗辐射加固技术，针对星栽计算机的抗辐射薄弱环节．研究抗辐射加固措施，完成了３８６日三机变结构原理样机。

重点研究了抗单粒子效应多机客错技术和存储器校验技术，抗总剂量效应屏蔽材料和屏蔽工艺。

最后研究了实时多任务操作系统及其抗辐射问题。

主题词星载计算机辐射加固单粒子效应总荆量效应您ｌｄｉａ廿∞Ｈ盯ｄｅｎｉｌ培艮｝ｃｈＩＩｉｑＩｌ瞪ｆｏｒｏｎ－ｂ０龇曰Ｃ伽叩哪ｔｅ璐ＨｕａＧ朋鲥ｎｗ锄ｇＧｕｏｌｉ粕ｇＧｕｏｓ｝ｎｄｉｎｇＢｅ玎峨ｈ蛄眦ｅｏｆｃｏｎ廿ｄＥＩｌｇｉｎｅｅｄｌｌｇ，Ｂｅ玎峨１删Ａｈ嘲ｚｋｆ７ｂ括蠡似ｍ耐越幻，砌蹴ｒ旃ｅ可咖ｍ如耐ｍｄ珏ｉＤｎ＾ｃＢ砘面１９蛔知矗砷螂一０Ｂｃ．Ｆ０ｒ妇１ｔ砌抽ｅ站ｏ，加兀．础｜ｆｏｎ＾ｄ，＿如ｎ打ｗ０Ｂｃ，伽ｋ糖删ｍＰ丘ｓｋｄ‘ｋ３８６麟ｐｍ∞印删如廊ｋｍ础加砌俐“叮㈣№．耽血㈣毗眦溉∞删ｄ—ｍｏｃｈ‘ｆ凹陀出ｍ如７呵口，“ｅ珊ｒ出。

耐溉０，耐∞册眦ｉ帆Ｄ，ｍ唧ｌｎ，ｙｃＪ】咖扣ｒｓＥｌＪｐｒ删沛，ＲＨｍ４￡嘶口ｂ甜讨小埘撕衄ｂ田船如ｒ幻试ｉ帆捌睹幽辩如ｍｏ萨．丹瑚正打Ｉｋ蒯一妇，砌‘‘缸卉掣田咖町站町Ｉ。

，耐蛇胁憎ＲＨ据商７“ｇ钾Ⅱ胛ｓｆ陇２涮．Ｓｕ蚰ｅｃｔｔｅｒ璐Ｏｎ－胁坷㈣掣妇ｒ（０Ｂｃ）删沁ｉｏｎ妇坷Ｂｒ嘶（ＲＨ）＆，北眦眦畔￡（ＳＥＵ）％ｄ；Ｍ掘ｎｇ如∞１引言星载计算机是卫星上的核心部件．主要用于卫星控制、星务管理、敏感器数据预处理等。

星载计算机有两种技术实现途径：一是采用高等级的抗辐射芯片来制造星载计算机，这种途径的优点是不用担心辐射问题，且不用采取冗余抗辐射措施；面临的问题是抗辐射芯片价格昂贵，批量小，制造周期长，采购困难，可选择的面也很窄。

二是选用合适的非加固器件来制造星载计算机，这种途径的优点是价格便宜，芯片采购容易，来源广泛；面｛Ｉ缶的问题是必须采取各种抗辐射措施来克服非加固器件抗辐射能力弱的缺点。

收稿日期２００２年ｌＯ月１５日一１０一狮年第ｌ期航天控制针对我国国情，本文以计算机主体综合均衡加固技术为主线，以非加固芯片计算机为模型，进行硬／软件全面加固技术的综合研究，掌握星载计算机系统级抗辐射加固技术，探讨采用非抗辐射加固芯片构成抗辐射加固星载计算机的技术途径，发展新一代高速、高精度、大容量、高可靠星载计算机，为延长卫星在轨飞行寿命、降低卫星研制成本、加快研制周期、提高性能指标奠定技术基础。

２国内外开展同类研究的情况我所首次提出把非抗辐射加固的３８６口芯片用于小卫星，并于１９９９年在“实践五号”卫星上飞行试验成功。

２００２年使用３８６ｅｘ芯片的“海洋一号”卫星飞行试验再次获得成功。

其实，国外很早就在探讨用普通工业级芯片代替抗辐射加固芯片的方案。

前ＮＡｓＡ局长就提出过“快、好、省”的设计方案，下面是我们调查到的一些情况。

［１］根据英国ｓｕｒｒｅｙ公司发射的５颗小卫星ｕ０ＳＡＴ一１一ｕｏｓＡＴ一５的观测结果，以及对运行在低地球轨道、近极地轨道、太阳同步轨道的小航天器上所用的非加固型１６ｋＢ．２５６ｋＢ，１ＭＢｓＲＡＭ和ＤＩｕＭ芯片所观测的ｓＥｕ结果，分析了这些设备的单粒子位翻转（ｓＥｕ）问题及通过编码设计防单粒子翻转的策略。

这些观测结果为星载计算机研制中采用计算机技术的先进成果奠定了技术基础。

［２］１９９２年８月约翰·霍普金斯大学应用物理实验室（ＡＰＬ）为用中国长征火箭发射的名叫Ｆ嘲Ｂ的瑞典星开发了一个磁强计。

磁强计控制器采用的是ＡＰＬ设计的商用处理器。

该处理器由较早的位片设计和两种单片机的设计经验演化而成。

这种处理器的结构经过优化，依托目标硬件可提供一个扩展的交互式编程环境，极大地降低了软件开发费用。

处理器的抗辐射性能也经过测试，适用于Ｆ卅ａ任务（估计任务期辐射累计总剂量加ｋｎＩｄ（ｓｉ））。

根据该试验提出了单粒子锁定和单粒子翻转事件非常少的观点。

此观点为同类轨道卫星的抗辐射加固设计提供了具有参考价值的依据。

［３］从１９９１年以来，更换磁心后的航天飞机通用计算机（ＧＰｃ）存储器提供了大量辐射效应飞行数据。

容错的ＧＰｃ每隔几秒检测、纠正其存储器数据，并将数据传给地面，获得１４００次翻转数据。

这些数据同当时的航天飞机高度、地理纬度和太阳事件联系起来，得到一个理论模型，用于预测ｓＥｕ翻转率。

据报道，美空军１９９４年发射了一颗ＡＰＥ）（卫星，进行ｓＥｕ试验和空间辐射环境测量，测定非加固器件的在轨飞行性能。

根据ＨＡＲＲＩｓ公司的资料，可获得器件直接暴露在宇宙空间中与加上不同厚度屏蔽或卫星蒙皮后所受到辐射总剂量的对比数据，这些资料表明，加上适当的屏蔽，能够大大降低辐射总剂量。

要把商用ｃＰｕ或其它器件应用在航天领域，抗辐射加固技术是决定其能否用于工程实践的关键技术之一。

需要采用综合的软硬件加固措施，才能使商用芯片应用在星载计算机上。

实践也证明，有的器件适合航天应用，而有的就不适合。

第ｌ期航天控制２瞄年３３８６ｅｘ三机变结构抗辐射加固原理样机３８６“抗辐射加固原理样机研究分为两个部分：＊分别完成３８６ｅｘ抗单粒子效应和总剂量辐射试验样机，其中单粒子效应试验样机采用的是军品器件，总剂量辐射试验样机采用的是商用器件。

＊完成３８６ｅｘ三机变结构原理样机。

本文重点介绍３８６ａ三机变结构原理样机的容错设计。

３．１三机变结构容错系统为保证卫星长寿命运行，三机系统没有单纯地采用三重模块冗余（１１ⅥＲ）结构。

而是变通为三机变结构容错系统，在长期工作时采用双机热备份、单机冷备份冗余模式或单机热备份、双机冷备份冗余模式，而把三机热备份模式作为故障处理和状态转换时采用，大大提高了系统可靠性。

这样系统在高可靠的场合相当于一个。

仆ＩＲ系统，能够检查错误，并诊断错误所在；双机运行时能够检查出错误；单机运行时又相当于三个单模系统。

现假设单机可靠性凡为０‘８２（运行５年后），其可靠性计算如下：由Ｒ０＝Ｏ．８２可得出ｘ＝４５３０×１０“／ｈ：＊三机ＴＭＲ方案：Ｒ＝３碥一碲＝ｏ．９１４４６４＊一热两冷方案：Ｒ＝Ｒｎ（１＋ｎ＋（ｎ）２／２）＝ｏ．９９８８７６＊两热一冷方案：Ｒ＝ｂ／（ｋ—ｘ１）ｅ—ｈｔ＋ｈ／（ｈ一沁）ｅ—ｋｔ＝Ｏ．９８３９９９９按照三种方案工作时间的长短乘不同系数就可得到整机可靠性，考虑到系统长时间工作在一热两冷或两热一冷模式，可靠性比单纯的ＴＭＲ系统或单模系统要高得多。

图１所示为三机变结构状态转换图，可以划分出８种实际工作模式：（ｏ）初始状态；（１）三机热备份工作状态；（２）Ａ、Ｂ两机热备份工作，ｃ单机冷备份冗余；（３）Ａ、ｃ两机热备份工作，Ｂ单机冷备份冗余；（４）Ｂ、ｃ两机热备份工作，Ａ单机冷备份冗余；（５）Ａ单机热备份工作．Ｂ、ｃ双机冷备份冗余；（６）Ｂ单机热备份工作，Ａ、ｃ双机冷备份冗余；（７）ｃ单机热备份工作，Ａ、Ｂ双机冷备份冗余。

其中，状态。

为初始状态，在卫星寿命期内，星载计算机不能停止工作，因此加电后不能回复到原状态。

状态１主要用于故障诊断和容错处理。

状态２、３、４能够实时发现故障，但不能定位故障。

状态５、６、７为单机热备份工作，双机冷备份冗余模式，采用该种工作模式，单机自身比对工作。

在连续三次发生自测试不正确或单机两次计算比对不一致的情况下自动转入状态ｌ模式。

该模式为长期工作模式。

３．２提高三机容错系统抗单粒子效应能力由于三个机器同时被单粒子效应影响的概率很小，因此，假定同一时刻只能有一台机器故障。

由于三机变结构系统容错结构比较灵活，对单粒子效应的屏蔽效果比较好。

三机热备份工作模式的实时性最好，能够实时发现错误，并把定位错误。

如果其中一个机器的计算结果有误，因为另外两机的计算结果还是正确的，能够比对成功。

这样输出的是正确的计算结果，不会影响系统实时工作。

如果某一单机发生锁定故障，则容错板会给它自动断电，锁定机休息一段时间后，应该能够恢复正常，也不至于影响系统工作。

一１２—第ｌ期航天控制２００３年Ｂ图ｌ三机变结构状态转换图两热一冷工作模式的实时性次之，能够实时发现错误，但不能定位错误。

如果其中一个机器的计算结果有误，则在某控制周期内双机数据不能够比对成功。

假定故障为瞬时故障，这样在下一个计算周期内不应该再发生故障，双机数据能够比对成功，下一次计算机输出的是正确的计算结果。

这样会影响系统一个控制周期的工作。

如果某一单机发生锁定故障，则容错板会给它自动断电，并给冷备份机器加电，两个好机器比对后正常工作；锁定机断电休息一段时间后，能够恢复正常。

一热两冷工作模式的实时性最差，不能够实时发现错误。

一般做法是连续计算两个控制周期，如果数据不能够比对成功，则假定发生一次瞬时故障。

如果下一次计算比对正确，则继续计算；如下一次计算依然不能得到正确比对结果，则认为发生了永久故障。

容错板自动给冷备份机器加电，系统重组后应该能够正常工作。

这样会影响系统三个控制周期的工作。

如果某工作单机发生锁定故障，则容错板会给它自动断电，并给冷备份机器加电，两个好机器比对后正常工作；这样系统就工作在两热一冷状态，可以切换到一热两冷工作模式。

锁定机断电休息一段时间后，能够恢复正常。

３．３三机容错系统提高系统抗总荆量退化效应能力三机变结构容错设计的核心是系统中既有热备份，又有冷备份。

热备份主要提高系统的实时可靠性，能够随时发现故障；冷备份主要提供系统轮流工作，各单机可实现退火效应，从而提高整机的抗辐射总剂量能力。

引起ＭｏＳ器件退化的最重要机制是二氧化硅内的电离（产生电子一空穴对）和源一漏结之间产生光电流。

ｃＭ０ｓ器件主要有以下退化效应：·噪声抑制能力略有下降，开关速度略有下降，器件性能超差；·静态电流剧烈增加；·开关速度减小；·逻辑失效。

我们在进行总剂量辐照试验时，一般需要给被测器件加上偏置电压。

有一种说法是芯片或整个子系统“休眠”的备份将大大延长所有空间使用的元器件的寿命。

另一种说法认为在零偏置辐照时，仍然会继续建立界面态，使用“休眠”应谨慎。

在实际的总剂量辐照试验过程中，发生故障的机器在停止辐射后，能够恢复正常工一１３—砌年第ｌ期航天控制作。

但再加辐射后，很快会失效。

由于当时的认识问题，我们没有试验“休眠”后的机器能否正常工作，此问题尚待解决。

３．４３８６ｎ三机变结构抗辐射加固原理样机３８６ｅｘ三机变结构抗辐射加固原理样机如图２所示。

为适应小卫星要求，以军用３８６由【芯片为ｃＰｕ的三块单板分别构成三个单机，每个单机带有自己的接口，能够独立完成任务。

三个单机间通过串行接口交换数据。

图２３８６一三机变结构抗辐射加固原理样机容错板承担整机管理任务：决定当班机，并能够自动检测发生锁定的单机，使该单机断电。