固态热机械密码鉴别器的安全性增强方法

贾 乐, 高 杨, 王宇航, 4

(1.西南科技大学信息工程学院，四川 绵阳 621010； 2.中国工程物理研究院电子工程研究所，四川 绵阳 621999； 3.重庆大学新型微纳器件与系统技术国防重点学科实验室，重庆 400044； 4.核探测与核电子学国家重点实验室 (中国科学院高能物理研究所)，北京 100049)

固态热机械密码鉴别器的安全性增强方法

贾 乐1, 高 杨2,3, 王宇航1, 4

(1.西南科技大学信息工程学院，四川 绵阳 621010； 2.中国工程物理研究院电子工程研究所，四川 绵阳 621999； 3.重庆大学新型微纳器件与系统技术国防重点学科实验室，重庆 400044； 4.核探测与核电子学国家重点实验室 (中国科学院高能物理研究所)，北京 100049)

针对固态热机械密码鉴别器 (Solid State Thermal Mechanical Discriminator，SSTMD)在异常环境下安全性失效的问题，提出了其安全性增强的方法。该方法通过分析SSTMD中陷阱热机械开关 (Thermo-Mechanical Switch，TMS)的工作原理，从实现其固有热弱链功能的角度，对SSTMD提出两条设计准则，加强了固有热弱链的作用，从而降低SSTMD在异常高温环境下的误解锁概率。通过分析SSTMD中路径TMS的工作原理，从实现SSTMD冲击弱链功能的角度，提出了在路径TMS绝热膜片背部刻蚀环形凹槽的方案，增强了SSTMD在异常冲击/振动环境下的安全性。并对SSTMD的安全性进行了分析，分析结果表明，不增加新的元件即可集成热弱链与冲击弱链的SSTMD设计，显著增强了其在异常环境下的安全性，更加适合对异常环境下的安全性也有严苛要求的要害系统应用。

密码鉴别器；TMS；安全性；弱链；引信系统；异常环境

0 引言

“要害事件 (High Consequence Event)”是指这样一类事件：对系统的疏忽操作，可能导致生命、财产的灾难性损失或危害环境[1-2];这样的系统，则被称为“要害系统 (High Consequence System)”[3]。原位焊接型单次试开密码鉴别电路[4]是基于开关(TMS)[5]构建的一种固态热机械密码鉴别器(SSTMD)，将TMS与具有熔断特性的保险丝按照装定密码对应的电路关系进行连接，构成了原位焊接型单次试开固态密码锁[6]，可用于要害系统及引信系统等安全应用中。该密码锁结构简单、易于制作，但是未考虑在异常(高温/冲击)环境下密码锁的安全性，同时并未对系统安全性进行设计。异常高温是一种典型异常环境，可以由多种异常事故引发[7]。在异常高温下，SSTMD中的TMS会随温度变化而出现未知的切换状态，可能使开关发生不想要的切换而意外解锁，从而使固态密码锁安全性失效，导致灾难性的后果。

为了确保引信系统在异常环境下的安全性，从而保证其在贮存、运输、操作和调度过程中不发生误爆等意外事件[8]，必须对系统进行安全设计。安全性设计常采用以模型为基础的安全性估算法 (Model-Based Safety Assessment，MBSA)[9]计算安全失效概率，说明系统的安全性。文献[10]对机械热弱链进行设计，并计算系统的安全失效概率。弱链是确保引信系统受控作用的关键组成部分之一，在非正常环境下，它先于其他部、组件作用之前失效，并且它的失效是可预测、被动、不可逆的[11]。在弱链研究中，美国Sandia国家实验室提出了两种弱链：热弱链和力弱链[12]，但是实现该弱链需要引入新材料，且对材料类型和工艺要求较高。提高系统安全性的同时也增加了系统的设置，会给系统可靠性与安全性带来新问题。本文针对固态热机械密码鉴别器在异常环境下安全性失效的问题，提出了其安全性增强的方法。

1 安全性增强原理

图1所示为TMS的工作原理示意图[5]，其工作原理为：在硅基绝热膜片上集成有电阻式微型电热器，电热器之上、两条导线之间，制作一层钎剂，实现两条导线间的电气绝缘；钎剂之上、两条导线之间，沉积制作一个微焊球。电热器通过电流时，原位加热钎剂和微焊球至焊接温度，实现两条隔离导线之间的钎焊导通。其中，TMS从OFF态到ON态具有单向切换的不可逆特性。

基于TMS构建了SSTMD，即原位焊接型单次试开密码鉴别电路，其结构如图2所示。图中8个TMS(4级、每级2个)按照每级“二进制”的逻辑，4级级联构成“固态密码鉴别器”，实现密码的装定与鉴别。将固态密码鉴别器与具有熔断特性的保险丝按照装定密码对应的电路关系进行连接，构成了一个4 bit的原位焊接型单次试开密码锁。由于TMS只能实现OFF态到ON态的单向、不可逆切换，并且固态密码鉴别器具有与装定密码对应的电路连接关系，将使电源和保险丝保持在短路状态，进而熔断保险丝，电起爆器无法获得来自电源的电激励信号而作动。只有当Nbit密码全部输入正确时，固态密码鉴别器才会使电源和电起爆器保持在串联状态，电起爆器获得来自电源的电激励信号而作动。即输入密码正确，电起爆器工作。

1.1 固有热弱链效应及其增强

在SSTMD中，解锁路径上的开关称为路径TMS，其他开关称为陷阱TMS。如图2所示，在4 bit SSTMD中，当路径TMS A1，B2，A3，B4这4个开关处于ON态 (记为“1”)、其他4个陷阱TMS处于OFF态 (记为“0”)，即虚线框中的4 bit SSTMD处于“01100110”状态时，密码正确，密码鉴别器解锁，电起爆器获得电流而作动。

如图2所示，4 bit SSTMD处于非“01100110”的任何其它15个状态时，即开关B1，A2，B3，A4只要有一个处于ON态，都有电流流经开关而将保险丝熔断，将电起爆器与电源彻底断开。由于TMS将不可逆地处于ON态，即使更换保险丝，电路仍将处于短路状态而再次熔断保险丝。因此，误码后电起爆器将始终与电源物理隔断，确保其安全性。故SSTMD具有固有热弱链，即图中与保险丝相连接的陷阱TMS (如图2中的TMS B1，A2，B3，A4)对于整个电路在异常高温环境下可以起到热弱链的作用。

在异常高温环境下，当任意一个陷阱TMS切换为ON态时，电路将处于短路状态，SSTMD锁定而失效。这样就增强了SSTMD在使用和贮存时的安全性，降低SSTMD由异常高温环境而引起的误解锁概率。作为热弱链的陷阱TMS，使SSTMD具有内在的安全性。根据TMS的工作原理可知，TMS从OFF态切换到ON态的概率与温度有关，故若使陷阱TMS先于路径TMS接触到热点而受热，先切换到ON态，便可大大提高SSTMD的安全性。故对SSTMD提出以下两条设计准则。

准则一：TMS分布均匀。如图2所示，只需将作为热弱链的陷阱TMS B1，A2，B3，A4中任意一个开关处于ON态，就可以保证固态密码锁的安全性。故尽量使所有开关分布均匀，使每个开关接触到热点的概率相等，避免将路径TMS集中而将陷阱TMS分散的情况。因为这种情况下，局部热点很可能恰好出现在路径TMS集中的位置，路径TMS就会先于陷阱TMS切换到ON态，使SSTMD误解锁，导致其安全性失效。

准则二：作为热弱链的陷阱TMS，应选用熔点比路径TMS低的钎剂与钎料。TMS中钎剂的熔点和钎料的钎焊温度是可以随材料的选择而变化的，故陷阱TMS的工作温度是可调的。若使其工作温度低于路径TMS，则在异常高温环境下，陷阱TMS将先于路径TMS切换到ON态的概率就会增大，从而大大提高了SSTMD的安全性。

1.2 固有冲击弱链效应及其增强

为了确保SSTMD在异常冲击或振动环境下的安全性，在路径TMS中设计了一种冲击弱链结构。如图3所示，在路径TMS的硅基底上的绝热膜片背面的根部，使用MEMS制作工艺刻蚀一个槽。在异常冲击或振动环境下，路径TMS的凹槽处应力集中而先断裂，继而使得金属导线折断，路径TMS失效而不能从OFF态切换到ON态。电起爆器不能获得来自电源的电激励信号而无法作动，这样就不会引爆下一阶段的要害部件。故具有这样结构的路径TMS起到了冲击弱链的作用。此冲击弱链是基于TMS的结构设计得到，而并未引入新材料或新结构，故称为固有冲击弱链。路径TMS中的固有冲击弱链增强了SSTMD在使用和贮存时的安全性，保证了SSTMD在冲击或振动环境下的安全性。

2 安全性分析

2.1 TMS个数与误解锁概率的关系

引信系统需要极高等级的安全性，一般对引信系统误解锁概率要求很严格。在国军标中规定引信系统误解锁概率小于10-6[3]。SSTMD中，由于2N个开关中的每个开关的误解锁概率为1/2，故在误解锁情况下，即N个路径TMS都处于ON态，其他N个陷阱TMS都处于OFF态，Nbit SSTMD误解锁概率为

当N=4 bit，8 bit，12 bit，16 bit时，SSTMD的误解锁概率如表1所示。由此得出，12 bit的SSTMD误解锁概率小于10-6，即SSTMD中只需24个TMS就可满足规定。

2.2 异常高温环境下的安全失效概率

根据TMS工作原理可知，在异常高温环境下，开关从OFF态切换到ON态的概率POFF-ON会随温度T的变化而改变。如图4所示，当温度处于A区时，即环境温度低于钎剂熔点 (TTsoldering)时，TMS中的共晶焊球已熔化，此时POFF-ON=1。钎焊过程需要持续的温度，故POFF-ON随温度的升高会保持不变；当环境温度继续升高处于D区时 (T>TIMC melt)，焊料与导线在钎焊过程中会形成过多的金属化合物而使焊接接头断裂，故POFF-ON下降；当外界温度高于开关导线的熔点时，开关导线熔化而造成器件损坏。

由于TMS中钎剂的熔点和钎料的钎焊温度，是可以随材料的选择而变化的，故图4中钎剂的熔点Tsoldering-flux melt与钎料的钎焊温度Tsoldering是可调的。图1中TMS需使用软钎剂与软钎料 (钎料液相温度低于450 ℃)。非腐蚀性软钎剂有松香、有机卤化物、胺等。如表2所示，给出了几种典型的软钎剂熔点。钎剂通常与钎料匹配使用，软钎料分为铋基、铟基、锡基、铅基、镉基、锌基等。如表3所示，给出了几种典型的共晶钎料熔点。根据图4中TMS从OFF态切换到ON的概率与温度变化曲线，后续对钎剂与钎料进行不同的组合以保证开关的可靠性与安全性。

表2 典型软钎剂的熔点

表3 典型软钎料的熔点

在异常高温环境下，假设每个TMS经历的温度历程 (如图4所示)是相同的。鉴别器中每个开关的位置不同，所以每个开关接触到热点的先后顺序也就不同。故在某一时刻，2N个TMS中每个开关从OFF态切换到ON态的概率POFF-ON不全相同。设t时刻，a1，a2，…，aN分别为N个路径TMS (如图2所示的TMS A1，B2，A3，B4)从OFF态切换到ON态的概率；b1，b2，…，bN分别其他N个陷阱TMS (如图2所示的TMS B1，A2，B3，A4)从OFF态切换到ON态的概率。其中，0

(2)

式中，(1-bi)为TMS处于OFF态的概率。

3 结论

本文提出了固态热机械密码鉴别器安全性增强方法。通过分析SSTMD中陷阱TMS的工作原理，从增强SSTMD安全性、实现其固有热弱链功能的角度，对SSTMD提出两条设计准则，加强了固有热弱链的作用，从而降低SSTMD在异常高温环境下的误解锁概率。通过分析SSTMD中路径TMS的工作原理，从实现SSTMD冲击弱链功能的角度，提出了在路径TMS绝热膜片背部刻蚀环形凹槽的方案，增强了SSTMD在异常冲击/振动环境下的安全性。此外，采用概率论方法，还计算出SSTMD误解锁概率小于10-6时，所需TMS单元的个数为24个；同时估算了在异常高温环境下SSTMD的安全失效概率。分析结果表明，不增加新的元件即可集成热弱链与冲击弱链的SSTMD设计，显著增强了其在异常环境下的安全性，更加适合对异常环境下的安全性也有严苛要求的要害系统应用。

[1]Garcia E J. Surface-micro machined counter-meshing gears discrimination device[J]. Proc Spie, 1998, 3328: 365-373.

[2]高杨, 文贵印, 赵小林,等. 微机电安全密码锁的设计技术[J]. 微纳电子技术, 2003, 40(7): 573-576.

[3]路荣先. 引信系统安全性设计中的“三防”原理[J]. 探测与控制学报, 2002, 24 (1): 1-4.

[4]贾乐, 高杨, 王宇航. 原位焊接型单次试开密码鉴别电路[J]. 探测与控制学报, 2017,39(1):93-95.

[5]Pennarun P, Veronique C. Development of MEMS based safe electro-thermal pyrotechnic igniter for a new generation of micro fuze[C]// Proc of SPIE, 2005: 588-569.

[6]高杨, 贾乐, 王宇航. 原位焊接型单次试开固态密码锁：中国, 201610293385.4[P]. 2016-05-06.

[7]王飞. 强/弱链系统安全性分析中的不确定性量化处理方法[C]// 中国力学大会2011暨钱学森诞辰100周年纪念大会. 北京：中国力学学会，2011.

[8]付秋菠, 何碧, 蒋小华,等. 弱链技术在火工品中的应用展望[J]. 火工品, 2011(2): 50-52.

[9]Dvorack M A, Jones T R, Carlson D D, et al. System safety assessments combining first principles and model based safety assessment methodologies[J]. Office of Scientific & Technical Information Technical Reports, 1998.

[10]王飞, 张方晓. 机械热弱链设计及其安全性评估方法研究[J]. 兵工学报, 2011, 32(5): 632-635.

[11]Sandia National Laboratories.2004 LDRD Annual Report [R]. 2004.

[12]Lisagor O, Kelly T, Niu R. Model-based safety assessment: Review of the discipline and its challenges[C]//Reliability, Maintainability and Safety (ICRMS)：2011 9th International Conference on IEEE. US:IEEE,2011:625-632.

[13]徐维普, 吴毅雄, 刘秀忠. 锌铝合金软钎剂的研究及分析[J]. 表面技术, 2004, 33(1): 61-62.

[14]罗时中, 廖列文, 王春晓. 铝用膏状软钎剂的研制[J]. 广州化工, 2005, 33(3)：31-35.

[15]陈祝年. 焊接工程师手册[M]. 北京：机械工业出版社, 2002: 750-755.

版 权 声 明

凡稿件被本刊录用,即视为作者同意将该论文的复制权、发行权、信息网络传播权、翻译权、汇编权等权利在全世界范围内转让给本刊。本刊已许可中文科技期刊数据库、万方数据数字化期刊群、中国知网(中国学术期刊(光盘版)电子杂志社)和超星域出版系统在其各自的系列数据库产品中以数字化方式复制、汇编、发行及在信息网络传播本刊全文。作者著作权使用费和稿酬一并支付(即包括印刷版、光盘版和网络版各种使用方式的报酬)。如作者对本声明持有异议,请在投稿时说明。

本刊编辑部

Safety Enhancement Method for Solid State ThermalMechanical Discriminator

JIA Le1, GAO Yang2, 3, WANG Yuhang1, 4

(1.Southwest University of Science and Technology，Mianyang 621010, China； 2.Institute of Electronic Engineering，CAEP， Mianyang 621999，China；3.National Key Laboratory of Fundamental Science of Micro/Nano-Device and System Technology，Chongqing 400044，China; 4.State Key Laboratory of Particle Detection and Electronics, Beijing 100049，China)

Aiming at the problem of safety on the Solid State Thermal Mechanical Discriminator (SSTMD) in abnormal environment, the safety enhancement method for the SSTMD was proposed. In order to realize thermal weaklink effect and reduce the probability of safety failure on SSTMD in abnormal high temperature, two design criteria were proposed for the layout of the SSTMD by analyzing working principle of the Trap TMSs played a role as intrinsic thermal weaklink. Additionally, by analyzing working principle of the Route TMSs, an annular groove was etched on the back of insulating film membrane of the Route TMSs to realize shock weaklink effect and ensure the safety of the SSTMD in abnormal shock/vibration environments. Besides, we analyzed safety on the SSTMD. Analysis results showed that: we got the SSTMD with integrated intrinsic thermal and shock weaklink functions but without adding new component, which enhanced observably the safety on SSTMD in abnormal environment. It would be quite suitable for the high consequence system applications.

discriminator; thermo-mechanical switch; safety; weaklink; fuze; abnormal environment

2016-12-10

国家自然科学基金项目资助(61574131)；中国工程物理研究院超精密加工技术重点实验室基金项目资助(2014ZA001)；核探测与核电子学国家重点实验室开放课题基金项目资助(2016KF-02)；西南科技大学特殊环境机器人技术四川省重点实验室开放基金项目资助(14ZXTK01)；西南科技大学研究生创新基金项目资助(16ycx101)

贾乐 (1993—), 女，内蒙古乌兰察布人，硕士研究生，研究方向：微电子机械系统研究。E-mail:760486407@qq.com。

TJ430.2

A

1008-1194(2017)03-0092-05