Семинар на тему «обеспечение предприятий промышленности надежной ЭКБ. Вопросы импортозамещения» ЗАО «Тестприбор» Особенности проектирования РЭА КА в условиях действия космической радиации С.А. Соболев т-хд Иван Калита 23 июля 2014 г. ОАО «Корпорация космических систем специального назначения «Комета» (ОАО «Корпорация «Комета»)

Компоновка Модуля целевой аппаратуры (МЦА)

Особые требования для негерметизированной аппаратуры 1. Специфический характер теплообмена, при котором практически отсутствует конвекция и теплопроводность. Основной механизм теплообмена - излучение. Спец. требования по СОТР. 2. Необходимость дополнительной герметизации бескорпусной элементной базы. 3. Необходимость дегазации комплектующих материалов и покрытий, с целью удаления из них высокомолекулярных органических соединений, как источника загрязнения поверхностей оптических систем КА, находящихся к тому же при отрицательных температурах (-20 ° С). 4. Снижение «плотности упаковки» РЭА и увеличение сроков активного существования КА приводит к повышению требований по радиационной стойкости ЭКБ.

Воздействие радиации на ЭРИ и РЭА

Проблемы качества и номенклатуры ЭКБ ОП для бортовой аппаратуры 1. Номенклатура ЭКБ, применяемая в БА КА по своему функциональному назначению охватывает все 12 классов ИЭТ по классификации базы данных Ассоциации «Фонд УНИЭТ». 2.Из-за низкой применяемости ИЭТ (десятки штук в год) значительная часть не входит в Перечни различных целевых программ, как подлежащая замене на отечественные аналоги. 3. Большое количество ЭРИ ОП от партии к партии могут не соответствовать ТУ в части дозовой стойкости. 4. Практически вся номенклатура ЭКБ ОП не аттестована к воздействию ОЯЧ. 5. Отсутствие серийно выпускаемых высокотехнологичных отечественных ИЭТ, или несоответствие их параметров современному техническому уровню, или снятие с производства приводит к необходимости широкого применения иностранной ЭКБ (до 500 типов).

Проблемы применения ЭКБ ИП При выборе ЭКБ ИП следует иметь в виду, что: 1. гарантированные данные об уровнях стойкости к воздействию ИИ КП предоставляют только изготовители ИЭТ высокого уровня качества (категории "Space"); 2. применение ЭРИ ИП категории "Space" связано с организационно- финансовыми (разрешительная процедура, длительные сроки поставки, крайне высокая стоимость) и техническими сложностями (невысокие функциональные характеристики); 3. применение ЭКБ категории качества Industrial" всегда предполагает риск несоответствия ожиданиям и влечет необходимость проведения сертификационных испытаний и специальных проверок; 4. потеря информационной и технологической независимости; 5. быстрая и неконтролируемая сменяемость номенклатуры ИЭТ при необходимости поддержания космических систем в эксплуатации в течение лет.

Номенклатура высокотехнологичной ЭКБ иностранного производства

Проблемы комплектования бортовой аппаратуры высоконадежной ЭКБ ОП и ИП ВК- входной контроль ОИ- отбраковочные испытания ДНК- диагностический неразрушающий контроль РФА- разрушающий физический анализ СИ- специальные исследования

Программы и методики радиационных испытаний ЭРИ 1. В рамках сертификационных испытаний ЭРИ ИП проводятся испытания на стойкость к воздействию ФКП по поглощенной дозе и одиночным радиационным эффектам (ОРЭ). 2. Особенностями разработанных программ являются: норма испытаний элементов определяется с учетом локальных дозовых нагрузок; испытания носят определительный (а не зачетный) характер. Это дает возможность эффективной оценки требуемой дополнительной конструктивной защиты элементов или реализации схемотехнических методов; испытания ЭРИ по ОРЭ на наличие катастрофических отказов.

3. Оценка стойкости ЭРИ осуществляется по РВ одним из способов, изложенных ниже: по результатам испытаний ЭРИ в активном режиме. Используется преимущественно для оценки стойкости ЭРИ, потенциально наиболее чувствительных к воздействию спец факторов; по результатам расчетно-экспериментальных оценок с использованием результатов ранее проведенных радиационных испытаний ЭРИ данного типа, радиационных испытаний аналогов и анализа научно- технической информации; по результатам анализа конструктивно-технологических параметров и характеристик. Используется для оценки стойкости ЭРИ, имеющих достаточный конструктивно- технологический запас по стойкости; 4. Рекомендованные РД «экспертные оценки» для ОРЭ в последнее время не используются. Часто они некорректны. Программы и методики радиационных испытаний ЭРИ

О применимости оценок стойкости по типовым представителям Линейный стабилизатор ADP 3335 ARM Стойкость, град U ст, В

Из официального заключения одного из ИТЦ

Методика испытаний к воздействию дозы В обязательном порядке проведение определительных испытаний ЭРИ с контролем всех параметров по Datasheets. Ограниченный контроль параметров допускается проводить только по согласованию с разработчиком аппаратуры. Проведение при необходимости сравнительных испытаний на низкой интенсивности излучения для критичных ЭРИ. Методика испытаний к воздействию ТЗЧ Для ЭРИ с порогом ЛПЭ

Разрабатываемые ЭРИ категории качества «ОСД» для космического применения в условиях длительного воздействия протонов и электронов ЕРПЗ, а также ОЯЧ солнечных и галактических космических лучей должны соответствовать следующим требованиям по группам стойкости: РТ (радиационно-толерантные) поглощенная доза излучения не менее 50 град; порог ЛПЭ по эффекту защелки не менее 40 МэВ х см 2 /мг; интенсивность сбоев (для ГСО) не более сбоев/(бит х день). РС (радиационно-стойкие) поглощенная доза излучения не менее 300 град; порог ЛПЭ по эффекту защелки не менее 80 МэВ х см 2 /мг; интенсивность сбоев (для ГСО) не более (спец ) сбоев/(бит х день). Ресурс- не менее 150 тыс. часов Требования для вновь разрабатываемых в рамках ФЦП ЭРИ ОП для космического применения

Распределение ЭРИ ИП по дозовым отказам

Комплекс мероприятий по обеспечению стойкости аппаратуры по дозовым эффектам 1. Применение рациональной компоновки аппаратуры. 2. Применение дополнительной локальной защиты. 3. Облегчение электрических режимов (расширение допуска на изменение критичного параметра). 4. Проведение испытаний аппаратуры с учетом интенсивности излучения, режима функционирования. 5. Использование отказоустойчивой схемотехники РЭА (малоэффективно для дозовых эффектов).

Схема размещения оборудования КА АФАР БРТК Наружная бленда АФС БРТК Приборная панель с аппаратурой БКУПИ ОНА БКУПИ Тяговые модули Внутренняя бленда Приборная панель с аппаратурой БРТК МНА БКУПИ Антенны АСН Приборная панель с аппаратурой БАО УКП

Расчет локальных дозовых нагрузок стойкости РЭА с учетом компоновки на КА На основе информации о конструкции КА и бортовой аппаратуры, а также данных о спектрально-энергетических распределениях ИИ КП рассчитываются распределения дозовых полей внутри бортовой аппаратуры. Для расчетов используется комплект программ Proton 3D и Electron 3D, разработанных ФГУП «НИИП» по ТЗ ФГУП «ЦНИИ «Комета». Цель расчетов- определение частных требований по дозовым воздействиям для каждого блока аппаратуры

Оценки локальных дозовых нагрузок СЧ МЦА (более 80 типов блоков) Наиболее нагруженные изделия : БУП-Е 13 градАСН-Е 16 град МБК07 80 град ЦБК 20 град 15Э град БСО 20 градУСУ 16 град

Расчет локальных доз блока МБК07 Стенки- 1,5 мм, дно- 5+1,5 мм Кожух 2 мм – 2,5 кг- 20 град Кожух 6 мм – 7,5 кг- 10 град ~80 град ~40 град

Расчет локальных дозовых нагрузок стойкости РЭА с учетом компоновки на КА Снижение требований в раз За ТСП 200 град В блоке 8-50 град В компоновке КА 1-20 град

Распределение ЭРИ ИП по чувствительности к ОРЭ

Методика оценки радиационной стойкости РЭА к ОРЭ Оценка стойкости БА к ОЯЧ обычно проводится расчетно- экспериментальным методом РД , основанным на экспериментальных и других данных о параметрах чувствительности ЭКБ к ОРЭ. По этим данным рассчитываются частоты сбоев и вероятности отказов ЭКБ и РЭА. В развитие существующего метода оценки сбое- и отказоустойчивости БА могут быть положены общие принципы АВПКО. Анализ отказов аппаратуры должен проводиться с целью выявления возможных причин их возникновения, оценки вероятности возникновения, времени возникновения, выбора методов обнаружения и регистрации, определения последствий отдельных видов отказов и разработки предупредительных, контрольных и защитных мероприятий по обеспечению сбое- и отказоустойчивости БА на стадиях ее проектирования и эксплуатации.

Методика оценки радиационной стойкости ЭКБ к ОРЭ и эксплуатации. ХС95288 Уточненная аппроксимация 1,09E-12 Упрощенная аппроксимация 5,96E-12 "Ступенька" 4,12E-09 C8051F206 Уточненная аппроксимация 3,70E-09 Упрощенная аппроксимация 7,71E-08 "Ступенька" 8,10E-07

Функциональный метод оценки радиационной стойкости РЭА к ОРЭ Оценка отказоустойчивости БА по ОРЭ должна включать следующие основные операции. 1. Анализируются функции и режимы работы аппаратуры. Формируется перечень критичных функций (КрФ), т.е. функций, невыполнение которых считается катастрофическим отказом аппаратуры или приводит к снижению функциональных характеристик БА. 2. Для каждой КрФ разрабатывается модель отказов. Например, строится структурная схема надежности (ССН) или дерево отказов. Модель должна охватывать отказы элементов всех уровней разукрупнения, вплоть до нижнего уровня – ЭРИ. Степень детализации модели выбирается, исходя из необходимости: -отображения на модели всех видов резервных связей, в том числе функциональных или межсистемных функций резервирования; -возможности определения показателей надежности каждого элемента. С использованием модели отказов виделяются подлежащие анализу структуры разбиения аппаратуры - критические устройства (КрУ).

Функциональный метод оценки радиационной стойкости РЭА к ОРЭ 3 Разрабатывается модель отказа и оценки критичности элементов, входящих в КрУ, на основе которой виделяют критичные элементы (КрЭ). Методика оценки критичности элементов сводится к следующему. Элемент модели отказов (элемент системы) считается критичным, если: -последствия отказа элемента приводят к полной потере прибора; -последствия отказа приводят к частичной потере и при этом не выполняется контроль резерва в полете или существует причина, которая может привести к потере работоспособности всех резервных элементов; -требование о нераспространении отказов не выполняется; -превышены требования по параметрам чувствительности элемента по ОРЭ (если они заданы).

Функциональный метод оценки радиационной стойкости РЭА к ОРЭ 4. Для каждого КрУ определяется наличие и оценивается достаточность предусмотренных аппаратных и программных средств и методов обнаружения, локализации и парирования сбоев и отказов: -определяются возможные меры обеспечения работоспособности КрУ при возникновении отказа КрЭ (оперативный контроль, резервирование, коррекция ошибок, реконфигурация, изменение циклограммы или алгоритма функционирования) и оценивается целесообразность их введения; -рассчитываются значения вероятности сбоев и отказов КрУ; -с учетом ССН проводятся оценки стойкости БА, которые сравниваются с установленными в ТЗ требованиями, в том числе по допустимой частоте сбоев и вероятности отказа. КРФ, КРУССН КРЭ Модель отказа элемента Методы парирования

Модель отказа элемента по ТЭ При анализе эффекта и выработке мер защиты необходимо учитывать, что в режиме работы элемента без ограничения тока тиристорной структуры ТЭ может являться "мягким" одиночным отказом (ОО), не приводящем к катастрофическому отказу, но может привести и к "выгоранию" элемента – катастрофическому отказу (КО). В первом варианте, "мягкий" ТЭ (событие 0) приводит к невосстанавливаемому отказу элемента (состояние 1'), если отключение и включение питания элемента в составе аппаратуры не может быть выполнено (нет контроля ТЭ или нет управления питанием аппаратуры), или в противном случае- к в восстанавливаемому отказу (состояние 1). Во втором варианте (состояние 0') ТЭ практически сразу приводит к невосстанавливаемому катастрофическому отказу (состояние 1'), если схемотехнического ограничения тока нет, или к "мягкому" ТЭ в противном случае.

Модель отказа аппаратуры по ТЭ

Мероприятия по обеспечению стойкости аппаратуры к ОРЭ регистрация возникновения ТЭ по возрастанию тока в цепи питания или срабатыванию защиты источника питания и отрицательным результатам оперативного контроля; применение методов ограничения приращения тока в цепи питания ниже критической величины и применение защиты источника питания от перегрузок, возникающих при тиристорном эффекте (ТЭ); кратковременное отключение питания в заданном интервале времени после возникновения ТЭ или оперативное переключение аппаратуры на резервный канал с отключением питания в отказавшем блоке; ненагруженное резервирование (для защиты от ТЭ); нагруженное резервирование и применение корректирующих кодов (для защиты от сбоев); оптимизация циклограммы работы; системотехническое обеспечение сбое- отказоустойчивости; для критичных конфигурационных ЗУ – возможность перепрограммирование на борту; для мощных МОП- транзисторов – обеспечение электрических режимов в области безопасной работы; локальная защита- малоэффективна.

Пример процедуры оценки критичности элемента. Схемотехнические методы защиты AD9763AST (ЦАП) - используется в устройстве А. Пороговое значение ЛПЭ - 15 МэВ*см 2 /мг, сечение насыщения – 1,7*10 -2 см 2. В состоянии ТЭ: - ток потребления интегральной микросхемы (ИМС) увеличивается до ~ 1,46 А; - в состоянии ТЭ зафиксирован функциональный отказ ИМС; - в режиме испытания с ограничением тока работоспособность ИМС восстанавливается после кратковременного (на 0,1-1 с) снятия напряжения питания; - в режиме испытания без ограничения тока нахождение в состоянии ТЭ в течение 2 секунд приводит к термическому разрушению. Контроль возникновения ТЭ в аппаратуре отсутствует. Вывод: т.к. контроль возникновения ТЭ отсутствует, тиристорный эффект в ИМС AD9763AST рассматривается как катастрофический отказ блока аппаратуры. Рекомендации: замена ИМС.

Пример процедуры оценки критичности элемента. Схемотехнические методы защиты ADSP-2181BST-133 (процессор) - используется в устройстве В. Пороговое значение ЛПЭ - 15 МэВ*см 2/мг, сечение насыщения – 1,5*10-2 см 2. В состоянии ТЭ: - ток потребления ИМС увеличивается до ~ 0,95 А; - в режиме испытания с ограничением тока работоспособность ИМС восстанавливаются после кратковременного (на 0,1-1 с) снятия напряжения питания; - в режиме испытания без ограничения тока нахождение в состоянии ТЭ в течение 5 минут не приводит к термическому разрушению; В соответствии с циклограммой работы функционирование устройства В контролируется системными средствами 1 раз в 4 сек. При получении информации о неисправности устройства производится переключение действующего комплекта на резервный. Вывод: возникновение тиристорного эффекта в процессоре с учетом принятых мер по подавлению ТЭ не приводит к катастрофическому отказу аппаратуры.

Методы резервирования В дальнейшем рассматриваются следующие основные виды резервирования, применяемые в БА КА: нагруженный резерв (с кратностью 1); ненагруженный резерв (с кратностью 1); мажоритарный резерв (2 из 3-х). В качестве основных характеристик резервирования по защите БА от ОРЭ для сбоев используется частота сбоев, для восстанавливаемых отказов – среднее время безотказной работы для ОО (в предположении нулевого времени восстановления), а для КО - вероятность безотказной работы.

Методы резервирования А как не следует решать вопросы радиационной стойкости БА ???

Результаты исследования ТЭ в МК ADUC841BS62-5 Тип отказа ЛПЭ, МэВ см 2 /мг Сечение, см 2 Обратимый Е-02 Катастрофический Е-03 Характер катастрофических отказов для разных областей кристалла Прекращение функционирования, снижение тока потребления до уровня мА Прекращение функционирования, повышение тока потребления до уровня 150 мА Прекращение функционирования без изменения тока потребления

Оптимизация циклограммы работы изделия БУП-Е

Традиционные системотехнические методы обеспечения сбое- отказоустойчивости аппаратуры, реализующей вычислительный процесс Метод мажоритарного резервирования можно разделить на три подметода, различающихся степенью разделения аппаратуры для мажоритарного сравнения: 1. На модуле устанавливается три процессора, работающие синхронно, и устройство сравнения. Достоинство метода – возможно построение системы из стандартных микропроцессоров. Недостаток метода – восстановление сбившегося процессора возможно только программным способом, что ведет к большой длительности восстановления. 2. Каждый триггер на кристалле заменяется схемой из трех триггеров и несколькими элементами мажорирования. Достоинства метода: - возможно автоматическое перепроектирование разработанной БИС; - возможно восстановление сбившего триггера в течение одного такта без вмешательства программного обеспечения (требуется соответствующая доработка схемы). Недостатки метода: - не позволяет обнаружить сбои или отказы в комбинационной логике; - приводит к снижению быстродействия и существенному увеличению площади кристалла.

3. Мажорирование на уровне блоков c потактовым сравнением. Данный метод является промежуточным между методами полного резервирования и резервирования на уровне триггеров. Суть метода заключается в том, что весь микропроцессор разбивается на блоки. Для каждого блока процессора подбирается наиболее эффективный вариант защиты от сбоев и, соответственно, метод восстановления сбившего канала. Достоинства метода: - меньшие аппаратные затраты, чем полное резервирование; - возможно восстановление сбившего канала без участия программного обеспечения; - потери быстродействия и площади на мажорирование меньше чем для метода резервирования на уровне триггеров. Недостаток метода – большая трудоемкость проектирования по сравнению с полным резервированием или резервированием на уровне триггеров и отсутствие сбоеустойчивости блока при единичном отказе в нем. 4 Кроме методов резервирования для микропроцессорных систем используются также другие специфичные способы парирования сбоев и отказов. Из наиболее интересных решений стоит упомянуть алгоритм восстановления при обнаружении сбоя с помощью метода покомандного сохранения архитектурного состояния, резервирование на уровне потоков выполнения (Redundant MultiThreading- RMT), использование сторожевого таймера.

Обеспечения сбое- отказоустойчивости аппаратуры на основе унифицированных СФ- блоков В целом, традиционные методы обеспечения сбое- и отказоустойчивости БА на уровне элементов и узлов аппаратуры практически исчерпали себя, так как их эффективность (возможность парирования сбоев и отказов) требует непропорционально высокого увеличения массогабаритных характеристик БА. Перспективным направлением в развитии системотехнических методов является разработка сбое- отказоустойчивых специализированных систем управления и обработки данных в реальном масштабе времени на основе унифицированных структурно-функциональных (СФ) блоков для БА КА с длительным сроком функционирования ( лет). Реализации этого подхода требует комплексного решения, включающего следующие направления

Обеспечения сбое- отказоустойчивости аппаратуры на основе унифицированных СФ- блоков Проектирование сбое- и отказоустойчивых систем на основе унифицированных СФ- блоков позволяет реализовать следующие системные решения в БА: -использование встроенных многоуровневых средств обеспечения живучести: 100% диагностика логического функционирования и практически нулевое время обнаружения; -парирование сбоев и отказов "на проходе"; -аппаратные и программные средства детектирования и коррекции ошибок, синхронизация модулей обработки, кэширования; -доступность информации о появлении сбоев и отказов средствам контроля (телеметрии); -использование встроенных средств мониторинга радиационных условий по ОС и их обработки, прогнозирование развития экстремальных событий, принятие решений по обеспечению живучести БА. Кроме того, технологическими методами обеспечивается: -реализация схем ввода/вывода данных, обеспечивающих физическую реализацию режима холодного резерва; -ограничение токов, контроль резерва, холодную и горячую перезагрузку.

Структурная схема СФ- блока обеспечения надежности Блок обеспечения надежности (БОН) - определение наличия ошибок во входных, внутриблочных и межблочных данных и подсчет статистики ошибок; - межблочное мажорирование данных; - синхронизацию данных, обработки и управления; - формирование кода статистики и передачу его в систему оперативного контроля; - передачу сигналов телеметрии в центральный бортовой компьютер; - формирование режима тестирования.

Архитектура 32 разрядного процессора 1900ВМ2Т (семейство КОМДИВ) Три вычислительных канала, каждый из которых разделен на мажорируемые секции, объединенные между собой БОН: целочисленное ядро (ЦЯ); регистровый файл (РФ ЦЯ); блок целочисленного умножения и деления (ЦУД); сопроцессор управления (СП0); арифметический сопроцессор (СП1); регистровый файл арифметического сопроцессора (РФСП1).

При подготовке лекции использовалась следующая литература: 1.Е.О. Першина, С.А. Соболев, В.Н. Александров. Сравнение программ расчета поглощенных доз. // Вопросы атомной науки и техники. Сер: Физика радиационного воздействия на радиоэлектронную аппаратуру Вып. 3 (в печати). 2.С.А. Соболев. Функциональный метод оценки соответствия аппаратуры требованиям по отказам, вызванным ОЯЧ. // Вопросы атомной науки и техники. Сер: Физика радиационного воздействия на радиоэлектронную аппаратуру Вып. 3 (в печати). 3.С.А. Соболев Методы обеспечения сбое- и отказоустойчивости аппаратуры космического назначения. // Вопросы атомной науки и техники. Сер: Физика радиационного воздействия на радиоэлектронную аппаратуру Вып. 2. с Ионизирующие излучения космического пространства и их воздействие на бортовую аппаратуру космических аппаратов / Под научн. ред. д.т.н., профессора Райкунова Г.Г. – М.: Физматлит, – 256 с. 5. РД Методы оценки стойкости к воздействию заряженных частиц космического пространства по одиночным сбоям и отказам. 6. ОСТ Методы испытаний и оценки стойкости бортовой радиоэлектронной аппаратуры космических аппаратов к воздействию электронного и протонного излучений космического пространства по дозовым эффектам. 7. ГОСТ Надежность в технике. Анализ видов, последствий и критичности отказов.