Метод версионной адаптации бортовых вычислительных систем к внутрикристальным отказам электронного оборудования

Введение

Актуальность темы работы обусловлена тем, что потребность в бортовых вычислительных комплексах, работающих без обслуживания, возрастает. Это связано с увеличением числа космических спутников, запущенных с разными целями: для прогноза погоды, для исследования природных ресурсов Земли, для решения коммуникационных и военных задач, и т.д. Системы спутниковой связи и телевизионного вещания являются основным средством увеличения объема и качества получаемой и передаваемой информации, в интересах всех отраслей экономики. Бортовые системы должны обладать свойствами отказоустойчивости и живучести во время их функционирования. Повышение среднего времени безотказного функционирования означает повышение экономической эффективности.
Актуальность безотказной работы бортовых вычислительных комплексов связана и с их применением в наземных системах, таких как беспилотный транспорт. В этом контексте безотказная работа управляющих систем определяет уровень безопасности.
Специфика условий работы космических бортовых вычислительных комплексов заключается в повышенном радиационном фоне и связанными с этим отказами полупроводниковых элементов.
Ближайшей задачей считается повысить живучесть бортовой техники, повысить средний срок безотказной работы до 12 лет. Это условие конкурентоспособности и рентабельности.
Целью работы является рассмотрение методов версионной адаптации, актуальных для космической техники. Сравниваются математические модели одноверсионного и многоверсионного адаптивного КСУ, расчеты надежности систем.

Особенности функционирования космических аппаратов связи на низких, средних и высоких орбитах
Первые космические аппараты функционировали на орбите в течение нескольких месяцев. В настоящее время ставится задача конструирования аппаратов со сроком активного существования 10–15 лет. Такие космические аппараты отвечают современным потребностям в области дальней связи, метеорологии, геофизики.
Все современные виды дальней связи используют радиоэлектронные системы космических аппаратов, находящихся в зоне радиационных поясов Земли. Аппаратура подвергается воздействию высокоэнергетических частиц солнечного и галактического излучения. Все компоненты ионизирующего излучения обладают высокой энергией, измеряемой МэВ, высокой проникающей способностью и отрицательно влияют на параметры полупроводниковых интегральных схем. Радиационное излучение вызывает отказы отдельных микросхем и вычислительных комплексов систем связи при их длительной работе в космосе. В связи с этим важно повысить устойчивость компонентов систем к связи и увеличить их защиту от излучения. Важны также схемные решения, связанные с резервированием аппаратурных и программных компонентов.
Орбиты спутников подразделяются на три вида:
низкие (до 2000 км от Земли),
средние (ниже геостационарной орбиты)
высокие (выше 3600 км).
Пилотируемые полеты совершаются на орбитах не выше 600 км, расположенных ниже радиационных поясов. На более высокой орбите люди подверглись бы значительному, опасному для жизни радиационному облучению.
Беспилотные аппараты поднимаются на более высокие орбиты, но радиационное излучение оказывает вредное воздействие на аппаратуру. Максимальная интенсивность облучения наблюдается на высоте около 3000 км. На орбите с максимальной радиацией, с большим количеством быстрых протонов, нет космических аппаратов: их выводят или на более высокие орбиты, или располагают на высоте менее 3000 км.
Однако радиационное излучение на орбитах космических спутников все равно многократно превышает уровень излучения на поверхности земли. Возможность внутрикристальных повреждений ИС из-за бомбардировки быстрыми протонами учитывается при проектировании бортовых вычислительных комплексов. Наиболее чувствительны к радиационному воздействию интегральные микросхемы.
Следует отметить, что новейшие технологии, повышающие быстродействие микропроцессоров, увеличивающие объем их памяти, в то же время повышают уязвимость этих устройств по отношению к жесткому излучению.

Влияние космического излучения на внутрикристальные отказы СЛИС
Основными источниками ионизирующего излучения (ИИ) в космическом пространстве являются:
• электроны и протоны радиационных поясов Земли;
• солнечные космические лучи (СКЛ);
• галактические космические лучи (ГКЛ).
Уровень радиационных воздействий в каждой зоне зависит от толщины конструкционной защиты и параметров орбиты. ИИ космического пространства при воздействии на электронные компоненты (ЭК) вызывает дозовые эффекты как результат воздействия электронов и протонов (частицы низких энергий до 1 МэВ) и одиночные события радиационных эффектов как результат воздействия ГКЛ и СКЛ — тяжелых заряженных частиц (ТЗЧ) и протонов (частицы относительно высоких энергий свыше 1 МэВ). Влияние ИИ на БРЭА сводится к двум составляющим:
к суммарной накопленной дозе радиации;
к воздействию заряженных частиц, вызывающих одиночные сбои.
Мерой энергии, поглощенной в материалах электронных компонентов, является поглощенная доза, измеряющаяся в радах. Поглощенная доза, при которой наступает отказ ЭК, называется предельной накопленной дозой (ПНД) — это основная характеристика радиационной стойкости.
Накопление дозы вызывает деградацию параметров ЭК и полное прекращение функционирования. Начиная с 1975 года было обнаружено большое число эффектов, вызываемых в изделиях электронной техники одиночными заряженными частицами космического пространства. В настоящее время эти эффекты являются одной из главных причин, ограничивающих стойкость радиоэлектронной аппаратуры на борту космического аппарата.
В первом приближении все эффекты одиночных сбоев разделяют на 2 класса. К первому относятся:
Обратимые (мягкие) сбои (Soft Errors), в том числе SEU (Single Event Upset): имеется возможность исправления этой ошибки программными методами без отключения питания аппаратуры.
Переходные сбои в работе аналоговых и аналоговоцифровых ИС, обусловленные импульсом тока от попадания ТЗЧ или протона в какой-либо активный p-n-пере- ход ИС.
Ко второму классу относятся необратимые катастрофические отказы в функционировании ЭРИ:
• SEE (single event latch up — защелка).
• SEB (single event burnout) — пробой истоковой области в мощных полупроводниковых транзисторах (МОПТ).
• SEGR (single event gate rupture) — пробой подзатворного диэлектрика в МОПТ.
Одиночным сбоям и катастрофическим отказам подвержены активные ЭК, так как они выполняются из полупроводниковых материалов.
В России официальным документом по расчету оценки сбоев и отказоустойчивости является РД 134-0139 [8]. Расчетно-экспериментальный метод оценки стойкости БРЭА основан на расчете частоты сбоев БРЭА за счет действия заряженных частиц космического пространства и проводится по математической модели вида (1),

где νБРЭА — число сбоев в БРЭА в единицу времени, с–1; jТЗЧ(L) — дифференциальный ЛПЭ-спектр плотности потока ТЗЧ, част·см–2·с–1·МэВ–1·см–2·г; jp(E) — дифференциальный энергетический спектр плотности потока протонов, част*см–2·с–1·МэВ–1; L0 — пороговое значение ЛПЭ, МэВ·см2 ·г–1; Еор — пороговое значение энергии протонов, МэВ; Lmax — максимальное значение ЛПЭ в спектре ТЗЧ, МэВ∙см2·г–1; Emax — максимальное значение энергии протонов в спектре протонов, МэВ; σi(L), σi(E) — зависимости сечений сбоев ЭРИ i-го типа от ЛПЭ ТЗЧ и энергии протонов соответственно, см–2; nЭРИi — количество ЭК i-го типа, примененных в БРЭА; n — число примененных в БРЭА типов ЭК с различными зависимостями σi(L), σi(E). Частота сбоев составных частей БРЭА вычисляется раздельно для ЗЧ СКЛ, ГКЛ и ЕРПЗ с учетом толщины защиты.
Частота возникновения возможных катастрофических отказов в БРЭА определяется по формуле (2),

где nТБРЭА — частота возникновения возможных отказов БРЭА с учетом принятых мер по предотвращению отказов ЭК, чувствительных к одиночным отказам; σi(L), σi(E) — зависимость сечений возникновения одиночных отказов ЭК (тиристорный эффект, пробой) от ЛПЭ ТЗЧ и энергии протонов соответственно

.
Вероятность возникновения катастрофического отказа в аппаратуре за счет действия тяжелых заряженных частиц космического пространства можно рассчитать по формуле (3)

где t — время, в течение которого БРЭА находится во включенном состоянии при установленном сроке активного существования КА [8].

Надежность элементной базы и способы ее оценки
Оценка дозовых эффектов проводится в соответствии с ОСТ 134-1034 [9]. Стандарт развивает и дополняет основные положения и требования ГОСТ РВ 20.57.308 [11] в части методов испытаний и оценки стойкости БРЭА, приборов и оборудования КА к воздействию ИИ космического пространства по дозовым (необратимым параметрическим) эффектам и используется совместно с этим стандартом.
Одна из главных проблем при разработке космичесих бортовых систем в том, что наряду с отечественными ЭК примененяются комплектующие иностранного производства. Задача оценки стойкости делится на два этапа:
1. Расчет предельно допустимой накопленной дозы и расчет коэффициента запаса (КЗ).
2. Расчет вероятности возникновения одиночных сбоев и катастрофических отказов за время работы БРЭА.
С отечественной элементной базой все относительно просто: вся необходимая информация по стойкости ЭК к специальным факторам приведена в справочниках. Трудности начинаются, когда требуется оценить ЭК иностранного производства.
Из-за несовершенства отечественной компонентной базы в России вынуждены применять в разработках ЭК иностранного производства. Зачастую на эти компоненты недостает показателей стойкости: практически полностью отсутствуют показатели энергии протонов, вызывающих одиночные сбои, очень редко в данных фирм-производителей есть сечение насыщения одиночных сбоев и катастрофических отказов. Топологическая норма, по которой можно приближенно оценить стойкость компонента, хотя и встречается в информационных материалах, которых много в Интернете, но они носят неофициальный характер. Чтобы получить достоверные данные, необходимо отправлять официальный запрос производителю. Иногда ожидание ответа на такие запросы превышает 6 месяцев, что приводит к существенному увеличению срока разработки БРЭА. Некоторые фирмы просто не могут предоставить такую информацию, так как используют материалы, которые сами не производят, а покупают. Оценка же стойкости ЭК иностранного производства с использованием «типовых» параметров дает не совсем корректные значения: они получаются либо завышенными (как в приведенном выше примере), либо заниженными.
Обеспечение радиационной стойкости — одна из основных задач, стоящих перед космической промышленностью. Следовательно, проблема достоверной оценки стойкости на этапе проектирования космического аппарата— проблема первостепенной важности, причем не только в России, но и во всем мире. Тем не менее, происходит существенное уменьшение объемов выпуска радиационно- стойкой компонентной базы и сокращение на рынке числа фирм-производителей такой продукции, и рост производства ЭК «коммерческого качества». Основная причина этого— экономическая: цена на коммерческую продукцию на 1–2 порядка ниже, чем на радиационно-стойкую. Компоненты «эконом-класса» имеют высокий разброс параметров, и их ресурс, в среднем, значительно ниже, чем у радиационно-стойких микросхем.
Таким образом, перед разработчиками стоит задача создания бортовых вычислительных комплексов с увеличенным сроком службы в условиях автономной работы на орбите, без обслуживания; при этом следует учитывать снижение качества элементной базы, возросшую вероятность внутрикристаллических отказов ИС при воздействии ионизирующего излучения.
Решение этой проблемы разработчики видят в резервировании аппаратных и программных элементов, в создании многоверсионных систем.


Специфика необслуживаемых бортовых аэрокосмических комплексов и способы для повышения их надежности
Важнейший элемент современных технических комплексов – компьютерные системы управления (КСУ). Высокие требования к надежности КСУ обуславливают избыточность этих систем. Отдельный класс КСУ составляют необслуживаемые (например аэрокосмические) системы. В таких случаях высокую надежность функционирования можно обеспечить путем придания КСУ свойства отказо- и дефектоустойчивости, т.е. способности системы выполнять заданные функции в условиях возникновения отказов и сбоев аппаратурных средств и проявления дефектов программных средств.
Исследования показывают, что решение данной задачи для КСУ возможно при реализации принципа многоверсионности [1, 2]. Данный принцип базируется на свойстве адаптивности, предполагающемВведение

избыточности (временной, аппаратурной и программной) и средств контроля, диагностирования и реконфигурации [3]. Многоверсионность реализуется в КСУ, используемых в авиации, космонавтике, химической промышленности, железнодорожном транспорте, АЭС [4–6], и регламентируется национальными и международными стандартами [7]. Таким образом, весьма актуальна проблема анализа и синтеза адаптивных многоверсионных КСУ, связанная, в первую очередь, с исследованием их надежностного аспекта.
При решении этой задачи возникает ряд сложностей, которые обусловлены принципиальным отличием многоверсионных систем от обычных одноверсионных.
Для оценки надежности многоверсионных систем решаются следующие задачи:
1. Построение адекватной структурной схемы надежности для многоверсионных систем. Для каждого ее канала учитывают надежность не только аппаратурных, но и программных средств, причем отказы этих компонент могут по-разному влиять на работоспособность системы. С целью построения адекватной структурной схемы надежности предлагается усовершенствовать компонентную модель многоверсионных систем [3].
Для оценки надежности КСУ как совокупности взаимосвязанных элементов необходима такая модель системы, которая позволила бы комплексно оценивать надежность с учетом как аппаратурной, так и программной компонент.
В аппаратурной компоненте любой КСУ выделяют две составные части:
1) аппаратурные носители программных средств (первичные аппаратурные средства). К их числу относятся различные запоминающие устройства, в которых хранятся последовательности команд. Объем первичных аппаратурных средств полностью определяется объемом хранимой программы;
2) вычислительная аппаратура, выполняющая обработку информации (вторичные аппаратурные средства). Это процессоры, арифметико-логические устройства, преобразователи сигналов и т.п.
Программные средства принято делить на системные и прикладные (или функциональные). Будем считать, что функции прикладных программных средств можно свести к такому множеству, что невыполнение любой из функций множества приведет к отказу КСУ. В связи с этим первичную аппаратурную компоненту также можно разделить на две части – системную и прикладную.
Структурнуая схема одноканальной КСУ представлена на рис. 1а. Соответственно структурная надежности показана на рис. 1б.

Рис.1 а - компонентная модель нерезервированной КСУ; б - структурная схема надежности нерезервированной КСУ. SW – программная компонента, SWS – системная программная компонента, SWFi – прикладная программная
компонента, HW – аппаратурная компонента, HW1 – первичная аппаратурная компонента, HW1S– системная первичная аппаратурная
компонента, HW1Fi– прикладная первичная аппаратурная компонента, HW2 – вторичная аппаратурная компонента.
Отказ или сбой любого элемента КСУ, приведенной на рис.1, приводит к отказу или сбою системы в целом. Следовательно, такая система не обладает свойствами отказо- и дефектоустойчивости, необходимыми для необслуживаемых КСУ.
В компонентной модели многоверсионной системы структура всех каналов одинакова, однако аппаратурные и программные средства каналов неидентичны, поэтому в общем случае они имеют различную ВБР