高 潔 李 強(qiáng)

1 (上海交通大學(xué)電子與通信工程學(xué)院 上海 200240)

2 (上海航天技術(shù)研究院第八○四研究所 上海 201109)

3 (上海航天技術(shù)研究院第五○九研究所 上海 200240)

微處理器是衛(wèi)星核心器件，應(yīng)用于數(shù)管計(jì)算機(jī)、姿軌控計(jì)算機(jī)以及有效載荷數(shù)據(jù)處理設(shè)備等，對(duì)空間輻射環(huán)境中質(zhì)子、重離子等引起的單粒子效應(yīng)較為敏感，如單粒子翻轉(zhuǎn)引起數(shù)據(jù)丟失、指令出錯(cuò)，單粒子閂鎖引起功耗電流陡增，甚至造成系統(tǒng)燒毀。國(guó)內(nèi)外多顆衛(wèi)星在軌運(yùn)行受到單粒子效應(yīng)影響[1–3]，1983年4月發(fā)射升空的美國(guó)TDRS-1衛(wèi)星進(jìn)入地球同步軌道后，至1993年3月，共發(fā)生單粒子效應(yīng)事件4468次，在1989年10月的太陽耀斑中，該衛(wèi)星上的單粒子事件探測(cè)儀共發(fā)生239次單粒子翻轉(zhuǎn)事件；1994年2月發(fā)射的我國(guó)實(shí)踐-4衛(wèi)星每天在軌也探測(cè)到3.4次單粒子翻轉(zhuǎn)，該衛(wèi)星上的單粒子閂鎖探測(cè)器半年內(nèi)探測(cè)到6次單粒子閂鎖事件。

為保證微處理器的空間應(yīng)用可靠性，國(guó)外對(duì)微處理器的單粒子效應(yīng)模擬試驗(yàn)方法及翻轉(zhuǎn)率預(yù)估進(jìn)行了大量研究，應(yīng)用較廣的預(yù)估軟件有 CRèME、Space Radiation 5.0等[4]。國(guó)外在單粒子效應(yīng)的飛行試驗(yàn)驗(yàn)證方面也取得較大進(jìn)展，一些空間飛行試驗(yàn)數(shù)據(jù)已用于驗(yàn)證地面模擬試驗(yàn)結(jié)果。我國(guó)在單粒子翻轉(zhuǎn)率預(yù)估上主要還是跟蹤國(guó)外研究成果，如軟件編制和計(jì)算工作；在運(yùn)用飛行試驗(yàn)數(shù)據(jù)驗(yàn)證地面模擬試驗(yàn)結(jié)果方面，研究報(bào)道較少。

相關(guān)模擬試驗(yàn)和在軌監(jiān)測(cè)結(jié)果表明，傳統(tǒng)的單粒子翻轉(zhuǎn)率預(yù)估結(jié)果一般是靜態(tài)單粒子翻轉(zhuǎn)率[5]；而微處理器在軌工作時(shí)，運(yùn)行軟件決定了內(nèi)部資源的使用情況；完成的功能不同，得到的在軌單粒子翻轉(zhuǎn)率(動(dòng)態(tài)單粒子翻轉(zhuǎn)率)也不盡相同。因此，須研究星用微處理器的在軌單粒子翻轉(zhuǎn)率與運(yùn)行程序間的關(guān)系，為合理預(yù)估在軌單粒子翻轉(zhuǎn)率提供保證。本文運(yùn)用程序占空比概念研究星用微處理器動(dòng)態(tài)和靜態(tài)單粒子翻轉(zhuǎn)率間的關(guān)系，并結(jié)合國(guó)外在軌飛行監(jiān)測(cè)數(shù)據(jù)對(duì)典型87C51微處理器的在軌單粒子翻轉(zhuǎn)率預(yù)估結(jié)果進(jìn)行分析。

1 星用微處理器動(dòng)態(tài)單粒子翻轉(zhuǎn)率預(yù)估

1.1 動(dòng)態(tài)和靜態(tài)單粒子翻轉(zhuǎn)率的區(qū)別

衛(wèi)星在軌飛行監(jiān)測(cè)數(shù)據(jù)表明，星用微處理器的動(dòng)態(tài)單粒子翻轉(zhuǎn)率低于 CRèME、Space Radiation 5.0等標(biāo)準(zhǔn)軟件計(jì)算得到的靜態(tài)單粒子翻轉(zhuǎn)率[5]。這主要是程序占空比的影響，即星用微處理器執(zhí)行工程應(yīng)用程序時(shí)，其內(nèi)部寄存器和存儲(chǔ)器占用數(shù)據(jù)總線的時(shí)間與執(zhí)行程序所需全部時(shí)間的比值[5]。

為預(yù)估抗單粒子翻轉(zhuǎn)能力，進(jìn)行星用微處理器單粒子效應(yīng)模擬試驗(yàn)時(shí)，一般采用類似于SRAM存儲(chǔ)器的試驗(yàn)方法，即對(duì)微處理器內(nèi)部所有寄存器和存儲(chǔ)器的每個(gè)存儲(chǔ)字節(jié)均寫入“55H”或“AAH” 等測(cè)試數(shù)據(jù)，提高資源使用率，保證程序占空比接近100%；標(biāo)準(zhǔn)檢測(cè)程序統(tǒng)計(jì)不同 LET值的重離子或質(zhì)子輻照下寄存器和存儲(chǔ)器存儲(chǔ)數(shù)據(jù)邏輯狀態(tài)發(fā)生翻轉(zhuǎn)的位數(shù)，獲得σ–LET曲線；根據(jù)空間軌道環(huán)境和σ–LET曲線計(jì)算空間單粒子翻轉(zhuǎn)率。由于程序占空比很高，得到的是靜態(tài)單粒子翻轉(zhuǎn)率。

雖然微處理器與 SRAM 存儲(chǔ)器均屬于存儲(chǔ)功能器件，但二者在工作方式上存在一定區(qū)別。微處理器內(nèi)部包括CPU寄存器、數(shù)據(jù)存儲(chǔ)器、程序存儲(chǔ)器、計(jì)數(shù)器、串行通訊口等多個(gè)功能單元，不同的應(yīng)用程序執(zhí)行過程中，這些功能單元的工作狀態(tài)均存在差異，一般僅使用部分寄存器和存儲(chǔ)器，資源使用率小于 100%，未使用到的寄存器和存儲(chǔ)器發(fā)生單粒子翻轉(zhuǎn)不會(huì)對(duì)微處理器的正常工作產(chǎn)生影響。因此，模擬試驗(yàn)過程中微處理器執(zhí)行應(yīng)用程序時(shí)，獲得的翻轉(zhuǎn)率即為動(dòng)態(tài)單粒子翻轉(zhuǎn)率。

1.2 動(dòng)態(tài)與靜態(tài)單粒子翻轉(zhuǎn)率間的轉(zhuǎn)換

理論計(jì)算和計(jì)算機(jī)仿真得到星用微處理器動(dòng)態(tài)與靜態(tài)單粒子翻轉(zhuǎn)率間的關(guān)系為

式中，Rε與R0分別為星用微處理器的動(dòng)態(tài)與靜態(tài)單粒子翻轉(zhuǎn)率(次/器件·天)，ε為星用微處理器寄存器和存儲(chǔ)器程序占空比的平均值，可由離子輻照試驗(yàn)、理論模型計(jì)算或故障注入模擬等方法獲得。

2 單粒子翻轉(zhuǎn)率預(yù)估方法應(yīng)用及在軌飛行數(shù)據(jù)驗(yàn)證

2.1 應(yīng)用背景

UoSAT系列衛(wèi)星是英國(guó) Surrey大學(xué)研制的小型試驗(yàn)衛(wèi)星，第一顆(UoSAT-1)于1981年由NASA成功發(fā)射升空。1981–1998 年，Surrey大學(xué)共完成14 顆UoSAT系列衛(wèi)星研制，衛(wèi)星的指令遙控系統(tǒng)主要由美國(guó)Intel公司的87C51微處理器構(gòu)成[6]。

圖1為UoSAT衛(wèi)星指令遙控系統(tǒng)的原理框圖，系統(tǒng)采用 4個(gè) 87C51微處理器作為指令譯碼器(Command Decoder)，其中，0#為主機(jī)，1#–3#為備份冗余機(jī)。系統(tǒng)工作時(shí)，首先初始化主板A和主板B上的命令鎖存器(Command Latches)；完成初始化后87C51執(zhí)行應(yīng)用程序，通過串行通訊口接收地面發(fā)送的數(shù)據(jù)，并驗(yàn)證接收到的數(shù)據(jù)為有效指令幀；將有效指令寫入主板上的鎖存器，然后通過總線發(fā)送給星上其它系統(tǒng)。

圖1 采用87C51微處理器構(gòu)建的UoSAT衛(wèi)星指令遙控系統(tǒng)原理框圖Fig.1 Block diagram of UoSAT satellite command remote control system by 87C51 microprocessor.

2.2 程序占空比ε計(jì)算

87C51微處理器共有54個(gè)寄存器，包括21個(gè)特殊功能寄存器(SFR)、1個(gè)程序計(jì)數(shù)器(PC)及4個(gè)通用寄存器組(BANK 0–BANK 3，每組含有8個(gè)通用寄存器)。指令遙控程序運(yùn)行時(shí)，主要使用87C51微處理器內(nèi)部的特殊功能寄存器、程序計(jì)數(shù)器及 1個(gè)通用寄存器組BANK 0。特殊功能寄存器包括累加器 ACC、B寄存器、程序狀態(tài)字 PSW、堆棧指針SP、數(shù)據(jù)指針DPTR、中斷優(yōu)先級(jí)控制IP、運(yùn)行中斷控制IE、定時(shí)器方式控制寄存器TMOD、定時(shí)器控制寄存器TCON、串行控制寄存器SCON、串行數(shù)據(jù)緩沖寄存器SBUF、電源控制寄存器PCON等。利用軟件分別計(jì)算87C51微處理器運(yùn)行遙控應(yīng)用程序時(shí)其內(nèi)部每個(gè)寄存器的程序占空比如表1，得到平均值為29%。

2.3 靜態(tài)和動(dòng)態(tài)單粒子翻轉(zhuǎn)率預(yù)估

在地面實(shí)驗(yàn)室條件下采用重離子加速器和質(zhì)子加速器進(jìn)行輻照試驗(yàn)。輻照過程中87C51微處理器運(yùn)行標(biāo)準(zhǔn)檢測(cè)程序，即統(tǒng)計(jì)器件內(nèi)部所有寄存器中存儲(chǔ)數(shù)據(jù)邏輯狀態(tài)發(fā)生翻轉(zhuǎn)的位數(shù)；根據(jù)翻轉(zhuǎn)位數(shù)、重離子或質(zhì)子注量等計(jì)算單粒子翻轉(zhuǎn)閾值及翻轉(zhuǎn)飽和截面，結(jié)果如下：(1) 重離子單粒子翻轉(zhuǎn)閾值：LET=2.5 MeV·mg?1·cm?2，單粒子翻轉(zhuǎn)飽和截面：σsat=7.0×10?3cm2/器件；(2) 質(zhì)子單粒子翻轉(zhuǎn)閾值：20 MeV，翻轉(zhuǎn)飽和截面：σsat=1.0×10?9cm2/器件。

空間環(huán)境中的重離子和質(zhì)子均會(huì)引起單粒子翻轉(zhuǎn)。以國(guó)際空間站軌道(軌道高度386 km，傾角51.6°)為例，結(jié)合試驗(yàn)數(shù)據(jù)采用Space Radiation 5.0軟件分別計(jì)算3.5 mm厚的等效鋁屏蔽下該軌道上重離子和質(zhì)子引起的單粒子翻轉(zhuǎn)率，二者相加即為該軌道上87C51微處理器的靜態(tài)單粒子翻轉(zhuǎn)率，計(jì)算結(jié)果如下：(1) 重離子引起單粒子翻轉(zhuǎn)率：R1=6.0×10?4次/(器件·天)；(2) 質(zhì)子引起單粒子翻轉(zhuǎn)率：R2=7.1×10?4次/(器件·天)；(3) 總的靜態(tài)單粒子翻轉(zhuǎn)率R=(6.0 +7.1)×10?4×365=0.48 次/(器件·年)。

87C51微處理器執(zhí)行應(yīng)用程序時(shí)的程序占空比ε為29%，根據(jù)式(1)，國(guó)際空間站軌道上87C51微處理器的動(dòng)態(tài)單粒子翻轉(zhuǎn)率即為0.48×29%=0.14次/(器件·年)。

表1 87C51微處理器運(yùn)行應(yīng)用程序時(shí)內(nèi)部所有寄存器的程序占空比Table 1 ε of all registers of 87C51 microprocessor when running application program.

2.4 預(yù)估數(shù)據(jù)與在軌監(jiān)測(cè)數(shù)據(jù)對(duì)比

1990–1995年英國(guó) Surrey大學(xué)共發(fā)射六顆UoSAT衛(wèi)星，每顆衛(wèi)星指令遙控系統(tǒng)中均含有四個(gè)87C51微處理器。六顆衛(wèi)星的軌道高度700 km，傾角98.25°，屏蔽厚度為3 mm Al殼。該軌道的輻射環(huán)境與國(guó)際空間站軌道相比更易引起單粒子翻轉(zhuǎn)。

根據(jù)模擬試驗(yàn)得到的靜態(tài)和動(dòng)態(tài)單粒子翻轉(zhuǎn)率預(yù)估三年在軌運(yùn)行時(shí)間內(nèi)24個(gè)87C51微處理器的靜態(tài)單粒子翻轉(zhuǎn)率為0.48×24×3=34.6次；動(dòng)態(tài)單粒子翻轉(zhuǎn)率為0.14×24×3=10.0次。

截至1998年12月底，在軌監(jiān)測(cè)數(shù)據(jù)尚未發(fā)現(xiàn)這六顆UoSAT衛(wèi)星上的24個(gè)87C51微處理器發(fā)生過單粒子翻轉(zhuǎn)。表明靜態(tài)單粒子翻轉(zhuǎn)率會(huì)過高估計(jì)星用微處理器的在軌單粒子翻轉(zhuǎn)率，而結(jié)合程序占空比得到的動(dòng)態(tài)單粒子翻轉(zhuǎn)率可對(duì)星用微處理器的在軌單粒子翻轉(zhuǎn)率進(jìn)行更合理的預(yù)估。

3 故障注入技術(shù)

故障注入技術(shù)是通過人為手段將故障引入目標(biāo)系統(tǒng)中，模擬目標(biāo)系統(tǒng)實(shí)際運(yùn)行時(shí)可能發(fā)生的各種故障；通過對(duì)目標(biāo)系統(tǒng)運(yùn)行情況的觀察，分析目標(biāo)系統(tǒng)故障檢測(cè)、故障隔離、故障恢復(fù)等加固措施的有效性，為完善和改進(jìn)系統(tǒng)加固設(shè)計(jì)提供反饋信息[6,7]。故障注入技術(shù)分為硬件故障注入和軟件故障注入。硬件故障注入是在器件的管腳上強(qiáng)行施加外部信號(hào)，使器件發(fā)生故障；軟件故障注入通過修改內(nèi)存或寄存器內(nèi)容來實(shí)現(xiàn)，成本較低，無需更改硬件設(shè)計(jì)，實(shí)現(xiàn)方式較為靈活。目前，常見的軟件故障注入工具有 FIAT、Ferrari、SFI、FINE、Accelerated Injection 等[8]。

為驗(yàn)證星用微處理器靜態(tài)和動(dòng)態(tài)單粒子翻轉(zhuǎn)率間的關(guān)系，我們采用故障注入法計(jì)算星用微處理器的程序占空比，即在星用微處理器執(zhí)行應(yīng)用程序時(shí)，利用軟件工具向其內(nèi)部的寄存器隨機(jī)寫入一定數(shù)量的錯(cuò)誤數(shù)據(jù)，模擬單粒子翻轉(zhuǎn)效應(yīng)的發(fā)生；統(tǒng)計(jì)觀測(cè)到的單粒子翻轉(zhuǎn)位數(shù)，程序占空比為：

式中，E0為故障注入時(shí)星用微處理器中可觀測(cè)到的翻轉(zhuǎn)位數(shù)，E為注入的故障總數(shù)。

87C51微處理器的單粒子效應(yīng)故障注入系統(tǒng)包括：故障注入機(jī)(Fault Injection)、87C51微處理器、翻轉(zhuǎn)效應(yīng)測(cè)試系統(tǒng)(SEU Monitor System)。系統(tǒng)運(yùn)行時(shí)，87C51微處理器執(zhí)行UoSAT衛(wèi)星的指令遙控程序；程序運(yùn)行過程中，故障注入機(jī)通過軟件算法更改87C51微處理器內(nèi)部寄存器中的存儲(chǔ)數(shù)據(jù)，所更改的寄存器物理地址、類型、數(shù)據(jù)等由故障注入機(jī)中的軟件算法隨機(jī)給出，模擬87C51微處理器中發(fā)生了單粒子翻轉(zhuǎn)效應(yīng)；通過翻轉(zhuǎn)效應(yīng)測(cè)試系統(tǒng)監(jiān)測(cè)87C51微處理器應(yīng)用程序執(zhí)行的情況。

故障注入機(jī)共向87C51微處理器內(nèi)部的寄存器隨機(jī)寫入120位錯(cuò)誤數(shù)據(jù)，測(cè)試結(jié)果如下：(1) 76%的注入故障未對(duì)應(yīng)用程序的運(yùn)行產(chǎn)生影響，表明由于注入故障而發(fā)生單粒子翻轉(zhuǎn)的寄存器在應(yīng)用程序運(yùn)行過程中沒有被使用；(2) 24%的注入故障對(duì)87C51微處理器應(yīng)用程序的運(yùn)行產(chǎn)生影響，其中：36%的單粒子翻轉(zhuǎn)引起微處理器出現(xiàn)死機(jī)現(xiàn)象，需通過重新上電復(fù)位才能恢復(fù)運(yùn)行；64%的單粒子翻轉(zhuǎn)導(dǎo)致微處理器發(fā)送錯(cuò)誤指令。

故障注入模擬試驗(yàn)中，注入的故障總數(shù)可認(rèn)為是87C51微處理器運(yùn)行標(biāo)準(zhǔn)檢測(cè)程序時(shí)能統(tǒng)計(jì)到的所有翻轉(zhuǎn)位數(shù)，即發(fā)生靜態(tài)單粒子翻轉(zhuǎn)；而對(duì)應(yīng)用程序運(yùn)行產(chǎn)生影響的故障數(shù)(觀測(cè)到的翻轉(zhuǎn)位數(shù))可認(rèn)為是動(dòng)態(tài)單粒子翻轉(zhuǎn)。因此，根據(jù)式(2)，利用故障注入模擬試驗(yàn)得到的程序占空比為24%，與通過專用軟件工具計(jì)算得到的29%較接近，表明通過故障注入模擬試驗(yàn)可較好得到程序占空比，故障注入法是一種合理、靈活、操作方便的動(dòng)態(tài)單粒子翻轉(zhuǎn)率預(yù)估方法。

4 抗單粒子翻轉(zhuǎn)加固方法初探

為保證衛(wèi)星電子系統(tǒng)在軌可靠工作，需對(duì)星用微處理器進(jìn)行抗單粒子翻轉(zhuǎn)加固設(shè)計(jì)，提高電子系統(tǒng)的抗單粒子翻轉(zhuǎn)性能?，F(xiàn)有方法主要是降低微處理器的程序占空比，或采用重載、刷新、EDAC校驗(yàn)等糾錯(cuò)方法。如我國(guó)FY-1氣象衛(wèi)星上所用80C86微處理器進(jìn)行了軟件加固設(shè)計(jì)，并利用重離子加速器對(duì)加固后的微處理器進(jìn)行輻照試驗(yàn)，驗(yàn)證加固效果。試驗(yàn)結(jié)果表明，加固后的軟件對(duì)單粒子翻轉(zhuǎn)的糾錯(cuò)率達(dá)到 85%以上。文獻(xiàn)[5]指出，軟件加固前BX1750A星用微處理器在軌不發(fā)生單粒子翻轉(zhuǎn)的概率僅為 62.3%，而采用定時(shí)重載和刷新等措施加固后該微處理器在軌不發(fā)生單粒子翻轉(zhuǎn)的概率可提高至 97.7%。表明軟件加固設(shè)計(jì)可有效提高星用微處理器的抗單粒子翻轉(zhuǎn)性能。

5 結(jié)語

本文運(yùn)用程序占空比概念研究了星用微處理器靜態(tài)和動(dòng)態(tài)單粒子翻轉(zhuǎn)率間的關(guān)系，對(duì)典型87C51微處理器的單粒子翻轉(zhuǎn)率進(jìn)行了預(yù)估，并與在軌飛行監(jiān)測(cè)數(shù)據(jù)進(jìn)行了對(duì)比，結(jié)果表明，動(dòng)態(tài)單粒子翻轉(zhuǎn)率可對(duì)星用微處理器的空間單粒子翻轉(zhuǎn)率進(jìn)行更加合理的預(yù)估；最后采用故障注入技術(shù)驗(yàn)證了采用程序占空比預(yù)估空間單粒子翻轉(zhuǎn)率的準(zhǔn)確性。

隨著空間技術(shù)的發(fā)展，F(xiàn)PGA、DSP等新型處理器逐漸在衛(wèi)星電子系統(tǒng)上大量使用。這些器件均是單粒子效應(yīng)敏感器件，后續(xù)工作中我們將以這些典型新型處理器為對(duì)象，開展單粒子翻轉(zhuǎn)率預(yù)估方法及加固技術(shù)研究，為衛(wèi)星電子系統(tǒng)抗輻射加固設(shè)計(jì)技術(shù)的逐步完善提供基礎(chǔ)數(shù)據(jù)支持。

1 薛玉雄, 曹 洲, 楊世宇, 等. IDT6116 單粒子敏感性評(píng)估試驗(yàn)技術(shù)研究[J]. 原子能科學(xué)與技術(shù), 2008, 42(1):22-27 XUE Yuxiong, CAO Zhou, YANG Shiyu,et al. Study on IDT6116 single event effect sensitivity evaluation testing technology[J]. At Energy Sci Technol, 2008, 42(1): 22-27

2 劉 剛, 趙發(fā)展, 韓鄭生. 宇航用電子元器件單粒子輻照技術(shù)[R]. 第十屆全國(guó)抗輻射電子學(xué)與電磁脈沖技術(shù)年會(huì)論文集, 2009: 214-216 LIU Gang, ZHAO Fazhan, HAN Zhengsheng. The Space with electronic components single particle irradiation technology[R]. Tenth national resist radiation electronics and electromagnetic pulse technology conference proceedings, 2009: 214-216

3 楊兆銘. 單粒子效應(yīng)對(duì)航天器的威脅及空間飛行試驗(yàn)研究[J]. 真空與低溫, 1995: 1(1): 46-58 YANG Zhaoming. A Survey of threats of SEEs to spacecrafts and their spaceflight results[J]. Vacuum Cryog,1995, 1(1): 46-58

4 賀朝會(huì). 空間軌道單粒子翻轉(zhuǎn)率預(yù)估方法研究[J]. 空間科學(xué)學(xué)報(bào), 2001, 21(3): 266-273 HE Chaohui. Study of methods for predicting SEU rate in space orbits[J]. Chinese J Space Sci, 2001, 21(3): 266-273

5 李 強(qiáng), 高 潔, 劉偉鑫. 星用微處理器抗單粒子翻轉(zhuǎn)可靠性預(yù)示方法研究[J]. 核技術(shù), 2010, 33(11): 832-835 LI Qiang, GAO Jie, LIU Weixin. An SEU reliability prediction method for microprocessors of space applications[J]. Nucl Tech, 2010, 33(11): 832-835

6 Underwood C I, Oldfield M K. Observed radiationinduced degradation of commercial-off-the-shelf (COTS)devices operating in low-earth orbit[J]. IEEE Trans Nucl Sci, 1998, 12(3), 2739-2740

7 Tang D. Dependability measurement and modeling of a multicomputer system[J]. IEEE Trans Comput, 1993,42(1): 62-74

8 Clark J A, Pradhan D K. Fault injection: a method for validating computer-system dependability[J]. IEEE Trans Comput, 1995, 28(6):47-56