低成本高可靠綜合電子系統(tǒng)集成技術(shù)*

沈奇 韋杰 紀(jì)丙華 王志國(guó) 崔培林

（上海航天電子技術(shù)研究所/八院智能計(jì)算技術(shù)重點(diǎn)實(shí)驗(yàn)室，上海，201109）

我國(guó)衛(wèi)星系統(tǒng)工程已進(jìn)入提速期，為按期實(shí)現(xiàn)衛(wèi)星成功發(fā)射和部署，型號(hào)任務(wù)對(duì)于平臺(tái)的管理控制核心的電子系統(tǒng)提出了高可靠、快速響應(yīng)、快速研制的迫切需求。另一方面，隨著衛(wèi)星產(chǎn)業(yè)體系的升級(jí)，衛(wèi)星研制周期越來(lái)越短，研制成本越來(lái)越低，特別是衛(wèi)星電子產(chǎn)品的傳統(tǒng)研制模式已很難適應(yīng)衛(wèi)星快速增長(zhǎng)的需求[1]，目前對(duì)于這類(lèi)能夠快速響應(yīng)、降低成本的小衛(wèi)星的需求日益迫切。

電子系統(tǒng)集成了測(cè)控鏈路、管理控制、姿軌計(jì)算、驅(qū)動(dòng)控制等功能，涵蓋傳統(tǒng)衛(wèi)星平臺(tái)的多個(gè)系統(tǒng)和關(guān)鍵部件的功能[2]，系統(tǒng)集成度高、信息路徑復(fù)雜，因此亟待開(kāi)展低成本、高可靠的電子系統(tǒng)體系架構(gòu)的研究。此外，為了滿(mǎn)足衛(wèi)星平臺(tái)綜合電子低成本、高集成度等特性，大量選用了COTS器件構(gòu)建硬件電子系統(tǒng)。為確保COTS器件在電子系統(tǒng)可靠運(yùn)行，需進(jìn)一步開(kāi)展COTS器件選型、驗(yàn)證工作。

1 低成本高可靠集成電子系統(tǒng)架構(gòu)設(shè)計(jì)

1.1 需求分析和軟硬件指標(biāo)分解

為達(dá)到互聯(lián)網(wǎng)星電子系統(tǒng)一體化、軟件化、智能化的設(shè)計(jì)目標(biāo)。首先，需要依據(jù)衛(wèi)星互聯(lián)網(wǎng)平臺(tái)對(duì)電子系統(tǒng)的需求進(jìn)行梳理、分析，根據(jù)需求包絡(luò)，完成體系架構(gòu)的設(shè)計(jì)。其次，應(yīng)以軟硬件協(xié)同分層為核心定義[3]，將衛(wèi)星互聯(lián)網(wǎng)應(yīng)用任務(wù)需求直接轉(zhuǎn)化為對(duì)衛(wèi)星軟硬件的技術(shù)指標(biāo)要求。一方面，配置電子系統(tǒng)配套模塊，包括星務(wù)管理、姿軌計(jì)算機(jī)、測(cè)控應(yīng)答以及擴(kuò)展至導(dǎo)航接收機(jī)、機(jī)構(gòu)控制模塊等等；另一方面，直接對(duì)操作系統(tǒng)功能進(jìn)行配置，包括軌道條件、任務(wù)規(guī)劃、飛行程序、衛(wèi)星工作模式、載荷程控作業(yè)，硬件接口電路參數(shù)以及其他設(shè)置。

1.2 一體化架構(gòu)及統(tǒng)一信息流規(guī)范

在完成電子系統(tǒng)需求分析和軟硬件協(xié)同設(shè)計(jì)研究的基礎(chǔ)上[4]，劃分電子系統(tǒng)信息、邏輯、網(wǎng)絡(luò)、應(yīng)用等抽象層級(jí)，借鑒國(guó)際先進(jìn)的體系架構(gòu)標(biāo)準(zhǔn)，結(jié)合互聯(lián)網(wǎng)星座特點(diǎn)，設(shè)計(jì)適用于衛(wèi)星互聯(lián)網(wǎng)的一體化架構(gòu)，明確各抽象層級(jí)之間的信息流規(guī)范。

在電子系統(tǒng)中，處理模塊是整星的處理、運(yùn)算、管理和控制中心，綜合協(xié)同各模塊的運(yùn)轉(zhuǎn)與信息傳輸[5]。需要配置星務(wù)管理、姿軌計(jì)算機(jī)、測(cè)控應(yīng)答等配套模塊，以實(shí)現(xiàn)完整的平臺(tái)管理控制要求?？膳渲茢U(kuò)展模塊兼容后續(xù)機(jī)構(gòu)控制模塊。

從整星層面對(duì)衛(wèi)星信息流、控制流進(jìn)行整體規(guī)劃、集成設(shè)計(jì)，以實(shí)現(xiàn)電子系統(tǒng)資源配置、性能指標(biāo)綜合最優(yōu)為目標(biāo)，覆蓋測(cè)控、數(shù)管、姿軌控、能源、熱控、推進(jìn)、機(jī)構(gòu)驅(qū)動(dòng)、功率驅(qū)動(dòng)等功能。通過(guò)標(biāo)準(zhǔn)串口或總線控制其他模塊并在系統(tǒng)內(nèi)部的內(nèi)總線上形成統(tǒng)一的規(guī)范標(biāo)準(zhǔn)。提出標(biāo)準(zhǔn)的外部總線定義，降低與重建接口相關(guān)的風(fēng)險(xiǎn)和成本，以使軟件和硬件的重復(fù)使用更具有吸引力和經(jīng)濟(jì)可承受性。

1.3 系統(tǒng)標(biāo)準(zhǔn)功能模塊劃分

在體系架構(gòu)設(shè)計(jì)實(shí)現(xiàn)的基礎(chǔ)上，為達(dá)成工程應(yīng)用目標(biāo)，將信息分層業(yè)務(wù)體系映射到硬件分層和軟件分層，對(duì)設(shè)計(jì)需求進(jìn)行接口管理功能劃分，梳理歸納為適用于衛(wèi)星互聯(lián)網(wǎng)的標(biāo)準(zhǔn)模塊庫(kù)。

標(biāo)準(zhǔn)功能模塊是平臺(tái)電子系統(tǒng)的重要基礎(chǔ)和組成部分，也是實(shí)現(xiàn)高功能密度和多功能通用化應(yīng)用的關(guān)鍵。通過(guò)需求分解和指標(biāo)分配，從模塊庫(kù)中按需選取組裝搭建，可以實(shí)現(xiàn)面向任務(wù)的電子系統(tǒng)的快速制造，如圖1所示。

圖1 系統(tǒng)標(biāo)準(zhǔn)功能模塊劃分

模塊化、標(biāo)準(zhǔn)化是衛(wèi)星互聯(lián)網(wǎng)平臺(tái)電子系統(tǒng)體系結(jié)構(gòu)設(shè)計(jì)的重要原則。模塊化根據(jù)衛(wèi)星互聯(lián)網(wǎng)任務(wù)要求，系統(tǒng)地進(jìn)行高度集成設(shè)計(jì)并利用模塊實(shí)現(xiàn)，整星的所有管理控制功能將向模塊集中。

標(biāo)準(zhǔn)化即模塊化的硬件和構(gòu)件化的軟件[6]。首先是模塊化的硬件，即利用標(biāo)準(zhǔn)的硬件接口和硬件電路 （留有擴(kuò)展的），構(gòu)成具有一定功能的硬件模塊。模塊組裝就類(lèi)比于普通的PC機(jī)，通過(guò)將內(nèi)存條、硬盤(pán)等外部模塊接入到標(biāo)準(zhǔn)的計(jì)算機(jī)主板，即可迅速搭建一臺(tái)計(jì)算機(jī)。由于硬件接口是標(biāo)準(zhǔn)、可擴(kuò)展的，在需要變更計(jì)算機(jī)性能時(shí)，只需通過(guò)增減或改變外部模塊即可。其次，實(shí)時(shí)嵌入式操作系統(tǒng)的應(yīng)用推進(jìn)了軟件的構(gòu)件化。在衛(wèi)星互聯(lián)網(wǎng)綜合電子系統(tǒng)中，最重要而且必需的硬件模塊是實(shí)現(xiàn)集中管控和信息融合的處理模塊或CPU模塊，而其他接入模塊，如測(cè)控模塊、數(shù)傳模塊等以底層驅(qū)動(dòng)的形式，實(shí)現(xiàn)CPU對(duì)其的識(shí)別、配置等初始化操作，并在操作系統(tǒng)中通過(guò)管理軟件，實(shí)現(xiàn)對(duì)各模塊的管理控制。

2 系統(tǒng)架構(gòu)多級(jí)冗余可靠性設(shè)計(jì)

項(xiàng)目使用較多商業(yè)成熟的COTS器件取代高等級(jí)航天器件來(lái)提升工作性能、降低研制成本[7]。而面對(duì)衛(wèi)星互聯(lián)網(wǎng)特殊空間環(huán)境要求，在滿(mǎn)足功能性能指標(biāo)要求的基礎(chǔ)上，還應(yīng)滿(mǎn)足環(huán)境適應(yīng)性和在軌可靠性的要求。COTS器件一般不采用抗輻照工藝，器件內(nèi)部單元庫(kù)也未采取加固設(shè)計(jì)，導(dǎo)致其通常沒(méi)有抗輻照指標(biāo)，抗總劑量、抗單粒子效應(yīng)的能力很弱，如果不對(duì)其進(jìn)行有針對(duì)性的應(yīng)用層可靠性加固，就容易導(dǎo)致在軌單粒子翻轉(zhuǎn)、閂鎖等現(xiàn)象，從而引發(fā)數(shù)據(jù)運(yùn)算錯(cuò)誤、功能中斷等故障，影響正常的在軌任務(wù)運(yùn)行。為了進(jìn)一步提高整機(jī)的可靠性，應(yīng)從器件級(jí)、模塊級(jí)、系統(tǒng)級(jí)等可靠性冗余設(shè)計(jì)等方面考慮[8]。

2.1 器件級(jí)可靠性設(shè)計(jì)

針對(duì)核心的處理器模塊采用三模冗余[9]的設(shè)計(jì)方式。在同一時(shí)鐘源下實(shí)現(xiàn)三機(jī)同步運(yùn)行，三機(jī)同時(shí)接收外部數(shù)據(jù)和輸出運(yùn)算結(jié)果，由表決器進(jìn)行輸出硬件三取二判斷。默認(rèn)情況下，由A機(jī)當(dāng)班輸出，若單個(gè)處理器發(fā)生不可恢復(fù)故障時(shí)，在地面遙控指令或星上自主切機(jī)指令的控制下可實(shí)現(xiàn)切換至備機(jī)工作模式。

器件級(jí)可靠性設(shè)計(jì)通過(guò)對(duì)其內(nèi)部結(jié)構(gòu)進(jìn)行分析，找出抗輻薄弱環(huán)節(jié)，設(shè)計(jì)合適的可靠性設(shè)計(jì)措施。比如，針對(duì)處理器的Cache單元對(duì)單粒子事件較為敏感、易翻轉(zhuǎn)問(wèn)題，可以從Cache重載刷新方面進(jìn)行加固。由于處理器Cache可配置成寫(xiě)通模式 （write through），保證每次寫(xiě)入Cache的數(shù)據(jù)會(huì)同時(shí)寫(xiě)入主存儲(chǔ)器，從而可以確保Cache和主存儲(chǔ)器之間的數(shù)據(jù)一致性。通過(guò)軟件的指令控制，使得Cache定期從主存儲(chǔ)器中重新載入相應(yīng)數(shù)據(jù)，完成對(duì)Cache數(shù)據(jù)的刷新，修復(fù)由于單粒子翻轉(zhuǎn)引起的Cache數(shù)據(jù)錯(cuò)誤。

2.2 模塊級(jí)可靠性設(shè)計(jì)

如圖1所示，僅在測(cè)控應(yīng)答、高性能處理等核心模塊進(jìn)行雙機(jī)備份，并且設(shè)計(jì)自主的故障檢測(cè)邏輯，在一機(jī)發(fā)生故障時(shí)，可以自主切換到備機(jī)進(jìn)行工作，并且同時(shí)對(duì)主機(jī)進(jìn)行狀態(tài)檢查和維護(hù)。模塊級(jí)可靠性設(shè)計(jì)充分利用各種校驗(yàn)糾錯(cuò)和冗余手段，加強(qiáng)器件間數(shù)據(jù)傳輸?shù)目煽啃?，?shí)現(xiàn)對(duì)故障的隔離和恢復(fù)。例如對(duì)易發(fā)生單粒子效應(yīng)的FPGA和RAM 器件[10]，使用 Error Correction Code（ECC）的校驗(yàn)糾錯(cuò)技術(shù)，主要是對(duì)內(nèi)總線進(jìn)行數(shù)據(jù)校驗(yàn)糾錯(cuò)。由于處理器體系結(jié)構(gòu)下模塊的所有輻射敏感器件，如SRAM、FPGA的數(shù)據(jù)都會(huì)通過(guò)60×內(nèi)總線與CPU交互，所以利用ECC校驗(yàn)技術(shù)可以有效降低器件間錯(cuò)誤數(shù)據(jù)的傳遞，尤其是將錯(cuò)誤數(shù)據(jù)傳遞給作為關(guān)鍵控制器件的CPU的可能性。

另外處理器的單粒子翻轉(zhuǎn)會(huì)引發(fā)重要數(shù)據(jù)的錯(cuò)誤，針對(duì)這個(gè)問(wèn)題在模塊層面進(jìn)行了多級(jí)校驗(yàn)糾錯(cuò)進(jìn)行防護(hù)，保證數(shù)據(jù)錯(cuò)誤不在整機(jī)/系統(tǒng)數(shù)據(jù)鏈路上傳遞，實(shí)現(xiàn)數(shù)據(jù)層面的故障隔離。

2.3 系統(tǒng)級(jí)可靠性設(shè)計(jì)

系統(tǒng)級(jí)可靠性設(shè)計(jì)從時(shí)序裕量、看門(mén)狗技術(shù)、故障識(shí)別與自主管理等方面[11]進(jìn)行加固，提高整機(jī)的抗輻射性能指標(biāo)。此外系統(tǒng)級(jí)可靠性設(shè)計(jì)方法可以通過(guò)故障維護(hù)與自主管理軟件（FDIR）[12]完成。在正常情況下，系統(tǒng)任務(wù)以較高的優(yōu)先級(jí)運(yùn)行，處理星上各種數(shù)據(jù)處理和控制功能，F(xiàn)DIR任務(wù)則以最低的優(yōu)先級(jí)運(yùn)行，接收系統(tǒng)任務(wù)的信息，并對(duì)信息進(jìn)行判斷、處理，以做出相應(yīng)的調(diào)整，保障系統(tǒng)的正常運(yùn)行。

3 COTS器件高可靠工程應(yīng)用設(shè)計(jì)技術(shù)

3.1 選用與應(yīng)用原則

與宇航級(jí)器件相比，COTS器件在出廠時(shí)沒(méi)有進(jìn)行嚴(yán)格的篩選試驗(yàn)[13]，導(dǎo)致衛(wèi)星研制過(guò)程中可能采購(gòu)到固有失效率較高的COTS器件。為保證工程實(shí)用性，需要針對(duì)COTS器件制定優(yōu)選目錄和選用規(guī)范，對(duì)低成本高可靠電子系統(tǒng)進(jìn)行統(tǒng)型設(shè)計(jì)，減少COTS器件的種類(lèi)，加強(qiáng)COTS器件的控制力度，保證器件的可用性和可靠性。

3.2 可靠性保證方案

考慮到互聯(lián)網(wǎng)星座短期內(nèi)批量發(fā)射的特點(diǎn)，對(duì)選用的COTS器件逐一進(jìn)行元器件級(jí)篩選將耗費(fèi)大量時(shí)間，很難滿(mǎn)足研制周期的要求，且大量篩選試驗(yàn)也會(huì)增加成本，這樣就降低了選用COTS器件的意義。跳過(guò)元器件級(jí)驗(yàn)證，直接進(jìn)行板級(jí)驗(yàn)證試驗(yàn)可以有效地減少可靠性試驗(yàn)次數(shù)，降低項(xiàng)目研制周期。試驗(yàn)流程如圖2所示。

圖2 板級(jí)驗(yàn)證試驗(yàn)流程

根據(jù)冗余設(shè)計(jì)思路，冗余制造由COTS器件組成的半成品模塊，在板級(jí)進(jìn)行加嚴(yán)考核試驗(yàn)，剔除器件、裝聯(lián)工藝等早期失效；同時(shí)，由于選用的COTS元器件大多無(wú)抗輻照指標(biāo)，針對(duì)總劑量和單粒子事件，用低等級(jí)元器件板級(jí)加嚴(yán)篩選及抗輻照加固措施。

4 系統(tǒng)優(yōu)勢(shì)

綜合電子系統(tǒng)采用對(duì)稱(chēng)式拓?fù)湫问絒14-15]，同時(shí)控制層還支持雙冗余的交叉管理。因此，無(wú)論是面向10kg及以下采用單機(jī)設(shè)計(jì)、還是面向100kg級(jí)采用雙冗余工作模式，均可以靈活配置實(shí)現(xiàn)。此外，系統(tǒng)還預(yù)留了擴(kuò)展模塊接口，方便功能擴(kuò)展?？傊邆滹@著的通用化、可擴(kuò)展特點(diǎn)。

制定針對(duì)COTS器件優(yōu)選目錄和選用規(guī)范，對(duì)低成本高可靠電子系統(tǒng)進(jìn)行統(tǒng)型設(shè)計(jì)，減少COTS器件的種類(lèi)，加強(qiáng)COTS器件的控制力度，可有力保證器件的可用性和可靠性。

搭配高性能?chē)?guó)產(chǎn)處理器模塊，提升系統(tǒng)的運(yùn)算處理能力。同時(shí)，支持更高數(shù)據(jù)速率和拓?fù)潇`活配置，靈活可配置的模塊化開(kāi)放式系統(tǒng)方法架構(gòu)，允許用戶(hù)自定義。

在可靠性方面，通過(guò)提供對(duì)全單點(diǎn)故障容錯(cuò)的支持和高可靠配置，信息流和能源流的雙冗余，支持分布式冗余和網(wǎng)絡(luò)拓?fù)湎到y(tǒng)容錯(cuò)能力。在協(xié)同性方面，兼容已有標(biāo)準(zhǔn)定義的接口規(guī)范。

通過(guò)研究低成本、高可靠計(jì)算機(jī)系統(tǒng)體系架構(gòu)，設(shè)計(jì)基于COTS器件的星載計(jì)算機(jī)，并采取系統(tǒng)級(jí)、模塊級(jí)、器件級(jí)的多級(jí)可靠性冗余設(shè)計(jì)及驗(yàn)證技術(shù)，實(shí)現(xiàn)低成本、高可靠、長(zhǎng)壽命的產(chǎn)品研制，滿(mǎn)足型號(hào)長(zhǎng)期在軌任務(wù)要求。