卫星典型电子设备单粒子防护效果试验验证

张立东，王 雷，马平鑫，杨 青

（1.中国空间技术研究院 通信卫星事业部，北京 100094； 2.山东航天电子技术研究所，烟台 264000）

0 引言

单粒子效应是指空间中单个高能带电粒子穿过微电子器件的敏感区时造成器件状态非正常改变的一种辐射效应，包括单粒子翻转、单粒子锁定、单粒子烧毁和单粒子栅击穿等。航天器内经常使用的半导体器件，如微处理器、SRAM等，在高能粒子的撞击下会发生单粒子翻转、单粒子锁定等事件，给航天器的安全运行带来极大风险。

为提高卫星抗单粒子效应的能力，在星用电子产品设计中采用了多种方法，以保障卫星在轨正常运行。其中开展单粒子敏感器件试验，依据器件发生单粒子事件时的特性采取相应保障措施，是抗单粒子设计中的一项重要内容。

目前的单粒子试验主要是针对芯片级产品，通过激光、离子加速器、放射源等对单粒子敏感芯片进行单粒子辐照。试验期间，通过专门研制的软件和测试设备，检查芯片的逻辑功能运行、电特性、内部数据状态，测试芯片的单粒子效应。试验完毕后，依据测试结果开展相关的抗单粒子能力设计。芯片级的单粒子试验虽然能够为抗单粒子设计提供依据，但是无法验证芯片发生单粒子事件是否会影响单机设备的整体安全，单机设备是否会产生异常指令输出而给大系统带来危害性影响。

为验证卫星在发生单粒子事件时是否会产生漏指令或误指令，我们经过指令链路分析，选择测控单元整机作为试验样品，通过辐照其中的CPU和RAM芯片来检验单粒子事件对卫星指令的影响，并对试验结果进行数据分析，以定量给出卫星漏指令、误指令的发生概率。

1 卫星指令链路单粒子效应薄弱环节分析

对卫星指令链路进行分析的目的是预估指令链路中哪些环节易发生单粒子事件[1]，从而有针对性地对这些薄弱环节开展单粒子辐照试验。

卫星指令一般分为直接指令和数管指令。直接指令是指由地面发送，卫星接收后无须经过数管分系统就可以执行的指令。执行这类指令的电子器件对单粒子效应不敏感，因此本次验证不涉及这类指令。数管指令是须经由数管软件解析后执行的指令，既包括地面发送的指令，也包括数管软件在对卫星进行自主控制过程中产生的指令。数管指令的解析、产生和传递，硬件上依托于CPU、RAM和通信总线接口芯片等，这类芯片是单粒子效应的敏感器件，因此数管指令链路是卫星指令链路中的单粒子敏感环节，需要着重予以验证。

数管指令的执行链路中主要涉及数管计算机和测控单元2类单机产品。数管计算机是上位机，将接收到的地面遥控指令或卫星自主控制过程中产生的指令，通过1553B总线发送给测控单元，测控单元对收到的指令进行译码后输出执行。由于数管计算机具备EDAC功能和数据纠错能力，所以由它引发的漏指令、误指令概率较低。1553B总线通信具有数据校验功能，在通信过程中发生单粒子翻转导致误指令的概率也极低。而测控单元是数管指令执行的最后一环，没有EDAC功能，其CPU系统所采用的单片机以及RAM等器件的单粒子翻转阈值较低，测控单元CPU系统输出指令码后，对指令码采取硬件偶校验措施，是数管指令链路中防止单粒子效应的最后一道关卡。

综上所述，测控单元CPU系统是卫星指令链路上相对薄弱的环节，对其开展单粒子辐照试验，具有典型性和代表性，能够验证卫星单粒子防护设计的有效性。

2 试验方案

2.1 单粒子敏感器件处理

测控单元CPU系统位于CPU板。本次试验采用转接板将CPU板从测控单元机箱内“抬出”，既保证了CPU板与整机的电气连接，又能定点辐照敏感器件——单片机和RAM。为确保单粒子辐照效果，对被辐照器件采取开帽措施：单片机CPU芯片为陶瓷金属封装，用机械法去除其顶盖；RAM器件为塑封，采用酸腐蚀法去除其封装材料，使单粒子能够直接射入器件内部敏感区。

通过以上措施，成功实现了测控单元整机加电正常运行状态下的单粒子事件触发，达到了预期的试验要求。

2.2 试验设置及监测方法

测控单元的测试设备包括1台专用地检设备和1台工控机。地检设备通过4 m长的电缆与测控单元连接，并为测控单元供电；还通过串口将采集到的数据发送到工控机。工控机则对收到的数据进行分析和保存，也可通过工控机向测控单元发送遥控指令，并检测指令输出执行的情况。

单粒子辐照区和人工测试区被严格隔离，两个区域相距40 m，为了克服测试环境的限制，将工控机与地检设备的串口通信线以及测控单元供电线延长，以实现单粒子辐照期间的正常测试。

试验时被照射CPU板、测控单元、地检设备与监控系统之间的连接关系如图1所示。将测控单元CPU板用抬高板抬出机箱，将经过开帽处理的单粒子敏感器件暴露于离子辐照下。

图1 整套试验设备连接关系示意Fig.1 Connection of the experimental equipment

2.3 模拟源及试验条件

试验在中国科学院兰州近代物理研究所重离子加速器上进行，它能够提供束流密度在102～105cm-2·s-1连续可变的离子束流。试验离子选择Ar+离子，其核子能量为58 MeV，通过衰变器对离子能量的衰减，离子LET值可以在3.0～15 MeV·cm2/mg范围内调节。束流测量系统包括束流强度测量系统、束流均匀性测量系统和束流能量测量系统。束流强度测量系统由闪烁探测器、位置灵敏探测器等组成，具有优于±10%的测量精度，能连续、实时监测照射到被试器件上的离子注量。束流均匀性测量系统由可移动闪烁体探测器等组成，具有优于±10%的测量精度。束流能量测量系统由锂漂移探测器等组成，测量精度满足要求。从芯片级单粒子试验可知，80C32系列单片机的单粒子翻转阈值约为4 MeV·cm2/mg[1]，在 LET 值大于 13.9 MeV·cm2/mg时会发生锁定[2]；测控单元所用RAM芯片的单粒子翻转阈值低于80C32系列单片机的，因此这套加速器满足本次试验要求。

确定辐照能量范围后，还需要确定单片机和RAM的单粒子翻转阈值和锁定阈值，以监控测控单元在单粒子翻转状态下的表现。由于芯片个体之间的翻转阈值和锁定阈值存在一定差异[3]，所以本次试验采用实际测试的办法来确定2个芯片的实际阈值，使被测芯片以合适的频度发生单粒子翻转，既不能太慢，以便获得足够的试验数据；又不能让LET值和束流密度过大，导致器件发生锁定。阈值测试方法如下[4]：

在单片机内部数据存储区最后100个字节内和RAM芯片前8K地址内写入固定数据“0x55”，然后由单片机进行连续循环回读，当发现读回数据不等于“0x55”时，判断遥测数据出错，并将错误数据发送给测试设备。

单片机和RAM芯片单粒子翻转现象的判据为：测控单元工作电流正常且遥测数据显示器件存储区发生数据翻转或通信失败。单粒子锁定现象的判据为：1）遥测帧判读出现连续16帧数据错误或通信连续失败超过20 s；2）整机工作电流增大超过60 mA（整机供电 28 V，单片机的工作电压为 5 V；芯片发生单粒子锁定时电流增加365 mA以上[5]，对应整机工作电流增加65 mA）。

2.4 试验测试流程

1）按照2.3节的方法，调整LET值，分别辐照测控单元的单片机和RAM芯片，触发被辐照芯片发生单粒子翻转。

2）由测试设备每0.5 s向测控单元发送1条固定的指令编码，并要求测控单元发出1条指定的离散指令；测试设备实时监测测控单元所有离散指令的输出，并判断指令执行是否正确。若输出的离散指令与预期（测试设备要求的指令）相一致，则认为指令执行正确；若未输出任何指令，则认为发生了漏指令；若指令输出与预期不一致，则认为发生了误指令。测试设备将上述判定结果存入数据库。

3）实时监测星上产品的工作电流，若外置电源直流输出电流增大35 mA以上，则进入步骤4）；否则当离子辐照到一定时间后停止辐照，进入步骤6）。

4）星上产品发生单粒子锁定现象时，切断对测控单元的供电，以解除单粒子锁定现象[6]；停止离子辐照。

5）重新对测控单元加电，若单粒子敏感器件功能测试正常，则恢复离子束流，继续进行试验，持续一定时间后停止辐照，进入步骤6）。

6）达到试验要求的辐照累积时间后试验结束，通过2通道遥测数据比对单粒子翻转情况，漏指令和误指令输出情况以及供电电源状态的记录，分析判断星上产品抗单粒子设计的有效性。

整个试验流程如图2所示。

图2 测控单元单粒子辐照试验流程Fig.2 Test flow chart of single event effect on RTU

3 辐照试验结果

试验分为2部分：第1部分为单片机和RAM芯片的翻转阈值测试；第2部分为测控单元指令监控。

在第1部分试验中，测控单元加载专用软件（软件逻辑设计见本文2.3节），以不同LET值的离子分别辐照单片机和RAM芯片，以确定第2部分试验的LET值。测试数据统计见表1。

从表1可见，当LET值超过5 MeV·cm2/mg时，单片机80C32发生了单粒子翻转；超过3 MeV·cm2/mg时，RAM芯片发生了单粒子翻转。当LET值达到15 MeV·cm2/mg时，2 种芯片均未发生单粒子锁定。为了获取更多的单粒子翻转记录，第2部分试验的 LET 值选定为 15 MeV·cm2/mg。

第2部分试验中，测控单元中加载实际的星上软件，以全面检测测控单元单粒子防护设计的有效性。试验结果如表2所示。

上述试验结束后，保持当前LET值，逐步加大束流密度，继续辐照单片机。当束流密度达到200cm-2·s-1时，星上单片机电流阶跃式增大了约200 mA，并一直保持此电流，直至手动断电。在此期间，测控单元仍可以实现通信功能，但遥测数据出错频度增高，向地检设备输出了非预期的离散指令，具体情况见表3。3 min后，对测控单元断电，停止对单片机辐照。再次上电后该现象消失，测控单元工作电流和工作状态恢复正常。

表1 二种芯片翻转阈值测试试验统计Table 1 Resistance of single event upset for two kinds of chips

表2 星上软件单粒子试验抗误指令能力统计表Table 2 Statistics of the SEE-proof capability against command error for onboard software

表3 单片机电流增大期间的误指令统计Table 3 Error instruction statistics during the current increase of CPU

4 试验结果分析

在空间辐射环境中，测控单元由于器件单粒子翻转而诱发误指令的过程是十分复杂的，既与空间辐射环境、器件单粒子效应敏感性、系统单粒子效应响应特征等密切相关，又与系统软件、硬件采取的防护措施有关，且防护措施直接影响误指令的发生概率。

根据试验取得的数据，可以得到下述结论：

1）针对80C32 在LET值为5 MeV·cm2/mg、离子总注量大于105cm-2的情况下仅发生1次单粒子翻转的现象，从工程应用角度出发认为80C32的单粒子翻转LET阈值为5 MeV·cm2/mg，翻转截面为 6.4×10-6cm2，单粒子翻转饱和截面为 2.4×10-4cm2。同样，依据Space Radiation软件包中的Pickel经验计算模型，可以估算出80C32在GEO的单粒子翻转率为 1.37×10-3次/（器件·天），即 730 天（约 2.0 年）发生1次翻转。

2）针对RAM芯片，依据试验数据，结合其在LET 值分别为 15 和10 MeV·cm2/mg，离子总注量大于105cm-2的情况下均发生了大量单粒子翻转的现象，从工程应用角度出发认为RAM芯片在LET值为15 MeV·cm2/mg的离子照射下其翻转截面达到饱和，平均饱和翻转截面为 4.34×10-2cm2；结合RAM芯片在LET值为3 MeV·cm2/mg、离子总注量大于105cm-2的情况下仅发生2次单粒子翻转的现象，从工程应用角度出发认为其单粒子翻转LET阈值为 3 MeV·cm2/mg，翻转截面为 8.8×10-5cm2。在假定器件单粒子翻转敏感体积厚度为器件特征尺寸大小时，依据Space Radiation 软件包中的Pickel经验计算模型，可以估算出器件在同步轨道的单粒子翻转率。计算时，单粒子翻转LET阈值和饱和翻转截面采用试验测量值，翻转敏感体积厚度和电荷收集聚焦长度分别为器件特征尺寸大小和2倍器件特征尺寸大小。依据上述计算方法计算出的RAM芯片在同步轨道中的单粒子翻转率为5.82×10-2次/（器件·天），即约 17 天发生 1 次翻转。

3）测控单元的指令流程执行时间较短，因此指令数据被单粒子打翻造成漏指令的概率很低。本次试验中漏发的指令是由于待发的1号指令码字的某一位发生翻转后导致指令码偶校验不正确而没有被发出。在CRÈME M3模型中[7]，其漏指令翻转截面为2.3×10-2a-1，即43年才会发生1次漏指令。

4）测控单元在发送指令前通过硬件对指令的码字进行偶校验，当偶校验正确后才输出该指令，从而有效地防止了误指令的输出。本次试验表明，测控单元的指令偶校验功能有效，工作稳定。

5）在工作电流正常的情况下，测控单元未产生误指令，表明星上单粒子防护设计有效，卫星具备较强的抗误指令能力。

6）试验过程中，在大约3 min的时间内，星上单片机电流增大了约200 mA。此期间遥测数据出错频度较高，测控单元向地检设备输出了非预期的离散指令。经试验验证，80C32单片机的单粒子锁定电流在365～385 mA之间，正常工作电流在3.5～38 mA 之间[5]。电流增加 200 mA 这种状态，是介于正常和单粒子锁定之间的一种状态，称为伪锁定。发生伪锁定后，电流有可能进一步增加导致深度锁定。伪锁定导通电流较单粒子锁定电流小，尚未导致器件功能完全失效。在伪锁定期间，CPU仍能完成部分功能，如响应通信请求，发送遥测数据；但测控单元输出了误指令，且误指令输出时间间隔不规律（正常情况下每0.5 s发送1次遥控指令），可以判断这些误指令中，至少有一部分是CPU自主产生的多余指令。这表明单片机P0口I/O发生了非预期状态跳变（测控单元的离散指令是由单片机P0口中的某一位口输出串行码至串并转换电路，然后经译码、硬件偶校验后输出）。

5 结束语

为了验证单粒子事件对卫星整机，尤其是对星上遥控指令造成的影响，我们通过指令链路分析找出薄弱环节——测控单元CPU系统。针对该系统制定了试验方案，并在整机工作状态下触发了单粒子事件，对数管指令的漏指令、误指令进行了有效测试和统计。通过试验结果分析，计算出单片机和RAM芯片在GEO的单粒子翻转率，卫星漏指令发生概率，以试验确认的方法验证了卫星在正常空间环境下不会发生误指令。通过加大束流密度，使单片机产生电流阶跃，即伪锁定现象。伪锁定状态下，单片机仍能实现部分功能，但通过试验现象也能确定P0口发生了数据非法跳变，导致测控单元对外输出了多余指令。试验还表明，单片机伪锁定状态不能通过防锁定电路自主消除。这些试验成果，可以应用于卫星在轨故障分析，提升卫星单粒子防护设计水平。

[1]赵海涛,吕欣琦,张兆国,等.航天器单粒子防护薄弱点的识别[J].宇航学报,2016,37(5):603-604 ZHAO H T,LÜ X Q,ZHANG Z G,et al.Weakness identification of single event protection for spacecraft[J].Journal of Astronautics,2016,37(5):603-604

[2]薛玉雄,杨生胜,陈罗婧,等.空间单粒子锁定效应研究[J].核技术,2012,35(9):694-695 XUE Y X,YANG S S,CHEN L J,et al.Investigation of single event latchup[J].Nuclear Techniques,2012,35(9):694-695

[3]余永涛,封国强,陈睿,等.SRAM K6R4016V1D 单粒子闩锁及防护试验研究[J].原子能科学技术,2012,46(增刊 1):589 YU Y T,FENG G Q,CHEN R,et al.Experimental study on single event latchup of SRAM K6R4016V1D and its protection[J].Atomic Energy Science and Technology,2012,46(sup1):589

[4]王忠明,闫逸华,陈荣梅,等.Flash 型 FPGA 的单粒子效应测试系统研制[J].原子能科学技术,2015,49(12):2266-2267 WANG Z M,YAN Y H,CHEN R M,et al.Development of single-event effect test system for flash-based FPGA[J].Atomic Energy Science and Technology,2015,49(12):2266-2267

[5]杨世宇,曹洲,薛玉雄.空间单粒子锁定及防护技术研究[J].核电子学与探测技术,2008,28(5):946 YANG S Y,CAO Z,XUE Y X.Research on the single event latchup in the space and its protection technology[J].Electronics & Detection Technology,2008,28(5):946

[6]张昊,王新升,李博,等.微小卫星单粒子闩锁防护技术研究[J].红外与激光工程,2015(5):1449 ZHANG H,WANG X S,LI B,et al.Research on single event latchup protection technology for micro-satellite[J].Infrared and Laser Engineering,2015(5):1449

[7]田恺,曹洲,薛玉雄,等.反熔丝型现场可编程门阵列单粒子 锁定实验研究[J].原子 能科学技术,2009,43(9):856-859 TIAN K,CAO Z,XUE Y X,et al.Experimental study oil single event latchup of anti-fuse field programmable gate array[J].Atomic Energy Science and Technology,2009,43(9):856-859