设计抗辐射立方体卫星机载计算机

立方体卫星 - 不超过公文包的微型卫星 - 在世界各地越来越受欢迎。组件、子系统、发射设备和后勤方面的规模经济已经并将继续使许多具有成本效益的新卫星发射企业和项目成为可能。

现在有一个充满活力的供应商生态系统，提供即插即用的CubeSat组件，这些组件在标准的CubeSat外形尺寸中组合在一起。到目前为止，大部分威廉希尔官方网站 都是基于商用现货（COTS）电子产品，尽管明智地使用旨在减轻空间辐射影响的抗辐射集成电路的趋势日益明显。目标是通过确保电子设备在充满辐射的环境中运行，同时保持适度的预算来提高系统可靠性;立方体卫星旨在成为传统、高成本卫星的廉价替代品。

由于对选择性组件硬化作为提高任务成功率的一种手段的兴趣，因此为使用辐射硬化组件的CubeSat机载计算机（OBC）创建了一个参考设计。该参考设计可由立方体卫星设计人员下载和修改，以满足不同的任务要求。OBC 的框图如图 1 所示。

图1：立方体卫星 OBC 参考设计框图。

该参考设计与南瓜立方体卫星套件总线兼容，因为 PC/104 连接器上的信号符合已发布的南瓜立方体卫星接口规范。有许多即插即用板使用此标准。在空间受限的设计中，PC104 连接器有时会因其尺寸而被放弃。

OBC使用VORAGO Technologies VA10820 ARM Cortex-M0微控制器，这是一种抗辐射的低功耗设备，由ARM开发生态系统提供支持。

MCU 已免疫闩锁，提供 50 MHz ARM Cortex-M0 内核、程序和数据存储器、通用 I/O （GPIO） 以及片上外设，如定时器和串行通信（SPI [串行外设接口总线]、UART [通用异步收发器] 和内部集成电路协议 [I2C]）。当系统启动时，微控制器上的SRAM程序存储器从赛普拉斯CYPT15B102抗辐射FRAM加载。程序代码从SRAM执行，并受到错误检测和纠正（EDAC）子系统和清理引擎的保护。

EDAC 可校正 CPU 从 SRAM 存储器获取字时由于单事件翻转 （SEU） 而可能发生的位错误。清理引擎是一个免费的子系统，它按顺序自主扫描内存，以便在 EDAC 暴露给位错误之前检测和纠正位错误。32位数据字中的每个字节有5个综合位，因此可以检测每个字节的两个位错误，并在32位存储器字的每个字节中纠正一个位。这种安排可以纠正每个32位数据字多达四个位错误（每个字节一个）。

单事件翻转（SEU）可以通过单个电离粒子撞击器件引起状态变化;SEU 可以影响存储单元或逻辑电路。MCU架构的另一个辐射缓解特性是在内部寄存器上实现双联锁单元（DICE）锁存器和三重模块化冗余（TMR）。EDAC 和擦洗子系统处理存储器中的 SEU，而 DICE 锁存器和 TMR 实现则处理逻辑电路中的 SEU。

OBC 使用 Cypress CYPT15B102 铁电随机存取存储器 （FRAM），因为它具有良好的辐射性能，并且通过 SPI 端口可轻松连接到 MCU。第二个FRAM，赛普拉斯FM25V20A，也作为备份实施。FM25V20A 是一款具有相同 SPI 接口的 COTS 汽车级存储器。该存储器可用于在执行在轨重编程时提供临时非易失性存储：如果CubeSat在轨道上收到无线程序代码更新，则需要原始和新代码图像，以便在重新编程期间出现问题时系统可以恢复到已知的良好状态。恢复功能是包含第二个FRAM设备的主要原因。第二款FRAM器件当然可以是另一款抗辐射CYPT15B102，但选择汽车级COTS器件是为了降低成本。（如果系统要求不在轨重新编程，则可能不需要第二个FRAM装置）。

赛普拉斯 CYRS16B256 抗辐射闪存器件也连接到 SPI 通信端口上的微控制器。该设备的目的是充当数据存储库。在任务期间收集的任何数据（例如，来自有效载荷中的传感器）都可以存储在其 32 MB 的内存中。根据任务期间预期的辐射分布，设计人员可能会考虑用COTS等效集成电路Cypress S25FL256L替换此设备。

对于低地球轨道（LEO）的短期任务，设计人员经常使用COTS设备。虽然存在无法恢复的干扰风险，但有时被认为是可以接受的成本权衡。系统运行的最大风险是闩锁：所有CMOS（互补金属氧化物半导体）器件都容易因电离辐射粒子撞击而发生闩锁。当器件闩锁时，CMOS芯片上的寄生结构变为正向偏置，并产生从VDD到VSS（正到负）的短路。这会导致大电流流过器件并拉低VDD。因此，最好在系统中安装一个免疫闩锁的芯片或电路，该芯片或电路将检测这种情况的发生，并可以重置系统以解决闩锁情况。通常，VA10820微控制器在“选择性强化”的CubeSat系统中执行此功能。请注意，尽管尝试复位，闩锁仍会损坏CMOS器件，因此真正保护系统的唯一安全方法是在整个系统中使用完全免疫闩锁的组件。这种设计比使用COTS更昂贵，并且是CubeSat设计挑战的关键：考虑到使用抗辐射设备减轻辐射效应比使用COTS更昂贵，人们愿意承担多少风险？

如果微控制器具有闩锁免疫力，则至少有一个器件可以作为辐射缓解策略的抗辐射支柱。另一个被认为是抗辐射支柱的有用设备是监控器芯片。

系统中使用Intersil ISL706A监控器设备。该主管执行三项重要职能。第一个功能是保持MCU复位，直到电源达到适当的电平来为MCU供电。第二个功能是观察系统电源作为闩锁警告监视器。如果系统中的任何器件闩锁，电源电压将被下拉。由电阻R1和R2实现的分压器之比控制监控器芯片上的功率下降输入（PFI）触发的阈值。对于此参考设计，门限已设置为2.75V。（电路配置如图2所示。如果3.3V电源轨降至此电平，MCU将置位复位，进而复位系统。在大多数情况下，闩锁设备将在系统重新启动时恢复。

图2：图中显示了监控器电路配置。

监控器设备执行的第三个功能是作为额外的独立看门狗。MCU中已经有一个看门狗，一个由固件定期重置以确保代码正确执行的计时器。如果代码挂起并且固件未复位片上看门狗，则会产生中断，导致芯片复位。MCU看门狗关注的主要故障模式是时钟丢失。这种情况由监控器设备解决，因为它充当外部看门狗，其操作类似于MCU看门狗，使用来自MCU上GPIO线的固件控制的周期性切换信号。如果此信号未至少每 1.6 秒切换一次，则监控器将断言对 MCU 进行硬复位。

该参考设计由 5V 电源供电，该电源来自外部电源预检电源连接器（在工作台上使用时）或来自 PC/104 连接器上的 Pumpkin CubeSat 套件总线。系统中使用三种电源轨：5V、3.3V 和 1.5V。5V 电源轨为两个 Intersil ISL7502SEH 抗辐射 LDO ［低压差稳压器］ 供电。电路板上的所有I/O均使用3.3V信号，而模数转换器需要5V信号，MCU内核电压需要1.5V。每个LDO都有一个使能输入，该输入路由到Pumpkin CubeSat总线PC/104连接器上的指定引脚。此设置使 OBC 参考上的电源能够由为整个立方体卫星系统供电的 CubeSat 电力系统 （EPS） 控制器板控制。

MCU 由频率管理提供的抗辐射 50 MHz 时钟器件供电。MCU内部时钟速度可以在软件中动态调整。它可以以较低的速度运行，这可能是优化功耗的一种选择。许多CubeSat应用的特点是长时间相对较低的活动，在通信或数据采样期间突发高活动;在低活动期间，可以降低MCU时钟速度以节省功耗。

MCU连接到Cobham Aeroflex RHD5950模数转换器（ADC）。这是一种逐次逼近类型，具有 16 个通道、14 位分辨率和 20 μs 转换周期。ADC通道连接到interwetten与威廉的赔率体系 输入信号线，详见南瓜立方体卫星套件总线规范。其中一个ADC通道监视系统电源轨，另一个通道连接到电阻温度检测器（RTD）。RHD5950具有单转换和连续转换模式;连续转换对于过采样非常有用，可以提高分辨率和噪声。ADC 输出引脚连接到微控制器上的 GPIO 线路，微控制器还控制 ADC 片内多路复用器，以确定对哪些模拟输入进行采样。

电路板上实现了几个非辐射硬化的 COTS 部件，因为没有抗辐射选项。第一个这样的设备是UART-to-USB接口（由FTDI Ltd.提供）。在参考设计中包含此器件的原因是使系统的 USB 接口能够在工作台上使用，用于开发工作;此接口不适合在轨道上使用。该器件会将USB协议从外部主机转换为微控制器上的UART接口。USB端口可用作MCU的简单终端接口。UART-to-USB设备仅在USB电缆插入系统时供电，因此如果受到辐射引起的故障的影响，电路不会产生问题。

系统中使用的第二个非抗辐射 COTS 器件是 HI-3110 集成控制器局域网 （CAN） 控制器和物理层 （PHY）。CAN是一种流行的串行通信协议，广泛用于汽车系统，由于其强大的差分信号特性，它也受到CubeSat设计人员的青睐。虽然 UART、SPI 和 I2C 等 TTL 级通信接口是短跳板内通信的理想选择，但 CAN 接口为 CubeSat 系统内的板间通信提供了更坚固的选项。例如，如果传感器位于不同的物理位置，CAN接口是与其通信的不错选择，因为PHY提供的差分信号具有高抗噪性。由于该设备本身没有辐射硬化，因此采取了特殊措施来监视和控制它。如果它闩锁，监控器将由电源电压的压降触发。HI-3110包括内部状态寄存器，由MCU通过SPI通信接口进行监控。CAN器件的3.3 V和5 V电源被门控，以便MCU可以禁用CAN器件的电源，并在状态寄存器数据不明确或指示发生错误时重置电源。电源门控电路如图3所示。

图3：电源门控电路可保护系统免受充满辐射的环境中的 COTS 故障的影响。

该参考设计在电路板上包括一个JTAG连接器，用于与MCU连接以进行编程和调试。调试盒（如Segger J-Link）连接到电路板上的JTAG接头，并通过USB连接到运行集成开发环境（IDE）的主机，如ARM Keil μVision或IAR Embedded Workbench。使用基于 ARM 的微控制器的好处之一是，有多种开发工具可用于支持它。要对 FRAM 进行重新编程，首先将代码下载到 MCU，然后通过 SPI 连接加载到 FRAM。

所有南瓜纳米卫星都使用飞行前移除（RBF）大电流滚轮尖端杠杆开关。它通常与压在滚轮上的RBF引脚一起使用，或者在压在纳米卫星部署容器壁上的组件中。该开关包含在电路板上，提供公共 （C）、常开 （NO） 和常闭 （NC） 端子。它们被路由到 PC/104 连接器上指定的立方体卫星套件总线引脚。

供应商通常提供两种版本的抗辐射设备——原型级和飞行级。飞行级设备的筛选水平高于原型，尽管它们的形式，配合和功能相同，并且使用相同的模具。原型级零件的价格通常是飞行级零件价格的一半左右，因此被选中用于此参考设计。

不同的规格用于量化IC在辐射填充条件下的性能，包括单事件闩锁（SEL）和单事件翻转（SEU）。这些对于了解器件在存储器中出现位错误和由于电离粒子撞击而导致的逻辑错误的频率非常重要。CubeSats最广泛讨论的辐射规格是总电离剂量（TID）：这是物质中可以吸收的能量量的量度（在这种情况下，物质是硅），以Krad（Si）或千单位的辐射吸收剂量（以硅表示）。TID会随着时间的推移而累积，并导致IC中MOS晶体管中的源漏泄漏增加，因为器件氧化物会积聚累积电荷。PMOS和NMOS型设备之间的耗尽区域也扩大了。TID积累会导致漏电流增加;最终，CMOS器件将随着阈值电压被下拉而停止工作。

CubeSat设计人员使用IC TID规范来估计CubeSat在结构内的IC屈服于TID影响之前可能运行多长时间。这个时间长度取决于轨道高度、方向和时间。在立方体卫星通常飞行的LEO中，TID的来源将主要是电子和质子。参考设计中IC的TID性能详见表1。

表 1：OBC 参考设计 IC 的 TID 性能。

审核编辑：郭婷