某航天載荷通信故障分析與可靠性提升研究

張澤明，李鵬,2,3，張雯，梁兆剛

（1.中國科學院空間應用工程與技術中心，北京 100094；2.中國科學院大學，北京 100049；3.香港城市大學 先進設計與系統(tǒng)工程學系，香港 999077 ；4.中國科學院上海光學精密機械研究所，上海 201800）

引言

航天任務投入大，周期長，風險高，在研制過程中規(guī)劃了嚴苛的研制試驗、鑒定試驗和驗收試驗等試驗考核，以了解、分析、提高、評價產品的可靠性，從而降低產品航天應用風險。但是從可靠性工程角度，產品可靠性不能僅僅依靠對系統(tǒng)的檢驗和試驗來獲得，還必須從設計、制造和管理等方面加以保證。產品設計是決定產品固有可靠性的重要環(huán)節(jié)，可靠性對設計是極其敏感的[1]。

眾多航天任務的失效甚至災難性事故都源于可靠性設計不充分，盡管在頂層設計做了冗余備份，但是往往并沒有發(fā)揮作用，而由于底層的可靠性細節(jié)設計存在嚴重缺陷導致任務失敗。1994年，加拿大兩顆通信衛(wèi)星Anik E-1和Anik E-2在兩個小時內沒有任何故障警報情況下相繼自旋失控，是因為空間粒子造成充放電效應導致陀螺導航系統(tǒng)電路永久損壞[2]。1996年，阿麗亞娜5號火箭爆炸自毀，是因為在繼承性使用阿麗亞娜4型火箭的軟件時沒有嚴謹復核，火箭水平速度的64位浮點數轉換成16位整數時發(fā)生溢出導致重大損失[3,4]。2018年，俄羅斯“聯盟-FG”型運載火箭發(fā)射失敗，原因是某個傳感器引腳變形造成排氧的噴嘴沒有打開，致使捆綁助推器異常分離，擊中了燃油箱區(qū)域的核心級，導致其減壓后火箭失去姿態(tài)控制。這幾個案例均是由于在軟硬件細節(jié)設計上對潛在故障沒有針對性識別，預防設計措施不充分導致的航天災難性故障[5]。Martin Langer對178顆立方星的在軌壽命和故障統(tǒng)計分析也說明設計不足是導致大量立方星出現早期故障的主要原因[6]。

某航天載荷是實現任務目標的關鍵核心電子學設備，具有驅動控制激光器的功能。本文剖析了某航天載荷在地面可靠性試驗階段發(fā)生的通信故障、排故和可靠性設計提升過程，闡述加強軟硬件設計細節(jié)對保障產品固有可靠性的重要作用。

1 某航天載荷基本工作原理

某航天載荷由五塊板卡組成，如圖1所示，DSP主控板為主機，其它4塊板卡為從機，主機通過從機實現對激光器的驅動和控制。DSP主控板與FPGA時序邏輯板、主份激光器驅動板、備份激光器驅動板和重泵浦激光器驅動板之間的通信接口之間采用RS-422總線主從通信方式，從機是采用單片機為核心的數字控制電路，DSP主控板與四個從機板卡之間的總線驅動接口和通信使能信號接口是一致的。DSP主控板與地檢系統(tǒng)采用點對點RS422通信總線，當四個從板中某個從板沒有數據傳送給DSP主控板，那么DSP主控板按照通信協(xié)議會在傳送給地面測試設備的數據格式中將該從板數據塊填充零。

圖1 載荷通信接口拓撲圖

2 某載荷通信故障根本原因分析

某航天載荷在（-25～60）℃的溫度循環(huán)試驗低溫升高溫過程中，地面測試設備先后3次與主控DSP板失去通信，主控DSP板發(fā)送的通信內容中重泵浦激光器驅動板和主份激光器驅動板的數據塊為零，并且通信異常后沒有自行恢復，通信終止，主控DSP板與備份激光器驅動板、FPGA時序邏輯板通信正常。

經敲擊法分析確認，導致上述故障的原因是在熱機械應力或振動情況下程序存儲器與DIP28管座之間接觸不良，對程序存儲器進行綁扎固定處理后，敲打設備主體底座時再沒有發(fā)生驅動板工作異常。

進一步分析，出現通信故障時驅動板單片機進入了軟復位中斷服務程序，如果軟復位中斷程序沒有問題，軟件會復位從地址0000H重新運行，不會造成通信終止問題。激光器驅動板的電源監(jiān)控和看門狗采用集成電路MAX706MJA，外圍電路設計如圖2所示，在正常工作條件下，MAX706MJA的WDI輸入引腳有周期小于1 s的喂狗信號。在通信故障情況下，檢測發(fā)現WDI輸入引腳為高電平，單片機沒有喂狗，而WDO輸出低電平，狗叫起作用，MAX706MJA工作正常。

圖2 單片機復位和看門狗電路

看門狗起了作用，但單片機沒有繼續(xù)發(fā)送喂狗信號，說明軟復位中斷程序運行異常。經排查，單片機進入到軟復位中斷服務程序后，運行了軟復位中斷服務程序中的BUG語句（PUSH 0xCOH），導致軟件沒有從地址0000H重新運行，造成單片機停止運行，從而導致從板和DSP主控板失去通信聯系。

因此，管座選型不當，導致存儲器管腳與管座接觸不良是通信終止故障的誘因，而軟件中斷程序錯誤，引起驅動板卡單片機程序跑飛運行異常，是導致失去通信的深層次原因。最終，通過更換高可靠管座，并將程序存儲器直接落焊在DIP28管座上，并對單片機中斷服務程序做了修正，故障得以排除。

3 基于軟硬件細節(jié)設計的可靠性提升策略

可靠性提升是通過對產品的設計、生產工藝、使用條件和維護措施等進行有效改進，使得產品的可靠性逐步改善的過程。通過提高產品的設計，采用可靠性更高的元器件，改善產品的生產工藝流程以及使產品運行在更安全的操作條件以及更加合理的維護條件下，達到不斷降低產品的失效率的最終目標。在某載荷通信故障分析和排查過程中，按照航天故障歸零的要求，對軟硬件設計細節(jié)進行了復核和舉一反三，全面排查漏洞，提升可靠性。

3.1 硬件設計優(yōu)化改進

1）程序存儲器選用高可靠管座并落焊。除存儲器管座接觸不良外，重泵浦激光器驅動板上的程序存儲器管座（圖3）的12和17腳有硅橡膠殘余物，也是可能導致接觸不良的因素，通過更換高可靠管座并落焊措施解決；

圖3 重泵浦激光器驅動板程序存儲器管座

2）單片機取消管座。驅動板上單片機采用了DIP40管座，舉一反三，將管座取消，單片機直接落焊在激光器驅動板上；

3）增強晶振信號質量。激光器驅動板上采用某型號有源晶振，故障排查時檢查晶振信號是否正常，示波器測試晶振的輸出信號為11.059 2 MHz的方波信號，如圖4所示，符合單片機方波輸入（0～5）V電平要求。該檢測結果雖然排除了晶振輸出信號超限對單片機造成損傷的可能，但上升和下降沿有振鈴，為進一步提高電子學系統(tǒng)的可靠性，在晶振的電源端增加10 nF的去耦電容；

圖4 單片機晶振輸入端波形

4）空閑管腳抗干擾設計。重泵浦激光器驅動板使用了總線收發(fā)器SNJ54LS245J，其5管腳數字輸入端設計為懸空狀態(tài)，雖然檢測為高電平，但在電磁干擾下有可能會產生下降沿觸發(fā)單片機掃頻中斷，影響重泵浦激光器的穩(wěn)頻狀態(tài)，而且有被靜電損傷的可能性。改進措施采取在輸入端口接10 kΩ上拉電阻直接連到+5 V電源，如圖5所示，確保該管腳為抗干擾安全狀態(tài)。

圖5 總線收發(fā)器SNJ54LS245J外圍電路

3.2 軟件設計優(yōu)化改進

1）修正中斷復位指令。在看門狗中斷的軟復位程序中，機器碼“0xc0 0xc0”對應的指令為“POP 0xC0”，0xC0寄存器是單片機內部受到保護的特殊功能寄存器，從0xC0單元讀取的數據內容是不確定的，所以在退出看門狗中斷軟復位程序執(zhí)行“POP 0xC0”指令后，程序地址指針也是不確定的，程序有可能跑飛。機器碼修改為“0xc0 0xe0”，對應的指令為“POP ACC”，在執(zhí)行指令“POP ACC”后程序從地址0x0000重新開始運行，確保了軟件正常復位；

2）減小中斷執(zhí)行時間。看門狗中斷服務程序中有一個激光器保護函數FLD_Pro()，該函數將占用看門狗軟復位中斷服務程序的運行時間，改為在主程序系統(tǒng)初始化函數InitDevice()中調用FLD_Pro()函數，增強軟件設計合理性和可靠性[7]；

3）確保正常合理喂狗。刪除定時器中斷服務程序中的喂狗語句DOG=!DOG，改為在循環(huán)掃描找峰的循環(huán)語句中喂狗，保證合理發(fā)出喂狗信號；

4）通信錯誤預警和確認應答。激光器控制軟件增加對數據注入指令的接收錯誤計數及實際執(zhí)行參數的返回，增強故障預警和通信確認機制，保證可靠傳輸。

3.3 設計驗證

采取以上軟硬件設計改進和可靠性提升措施后，開展了相同試驗條件的6個周期溫度循環(huán)試驗進，該航天載荷無異常發(fā)生，驗證了可靠性提升措施的有效性。

4 討論

從本航天載荷通信故障分析案例看，直接的設計更改和針對潛在故障隱患的可靠性細節(jié)設計包含十余處，通過測試驗證展示了軟硬件設計細節(jié)對于產品可靠性提升的重要性，也落實了“預防為主”的質量管理思想[8,9]。

德國飛機渦輪機的發(fā)明者帕布斯·海恩提出了著名的海恩法則：每一起嚴重事故的背后，必然有29次輕微事故和300起未遂先兆以及1 000起事故隱患。張森等對130顆衛(wèi)星272次在軌故障進行統(tǒng)計，其中一個特點是很多故障是重復發(fā)生的，說明故障跟前期設計不充分緊密相關[10]。在航天高可靠領域，航天設備往往是小子樣產品，缺少大量樣品現場應用的反饋數據，更新迭代機會少，這就更加要求在前期設計階段結合產品具體實際，盡可能挖掘潛在隱患[11]，預想故障場景故障模式，通過必要的設計手段消除潛在故障，避免共性事故[12,13]。

研制階段的例行試驗檢驗對于暴露缺陷排除隱患固然重要，但一定是不充分的。可靠性工程的重點更應放在早期設計階段，遵循預測預防為主的原則，關鍵是從技術設計細節(jié)出發(fā)提前識別產品所有可能發(fā)生的故障[14,15]。任何事情都有兩面性，做了某項技術設計實現了特定功能，但也可能帶來意外的潛在隱患，因此強化“可能出錯“的風險意識，挖掘潛在的隱患和薄弱環(huán)節(jié)，通過故障模式影響分析、故障案例集、成熟的設計準則、專家審核等手段，早期投入，既做功能測試也做非功能測試，排除嚴重故障，降低殘余故障，這是研制高可靠航天產品的一個重點。

錢學森曾指出，產品可靠性是設計出來的，生產出來的，管理出來的。美國波音公司曾總結一個經驗公式，高可靠性產品保證=可靠性技術保證+質量保證[16]。實踐證明，產品的可靠性首先是設計出來的[17]，每一條程序語句，每一個電路連接，每一條布線都伴隨著可靠性問題，產品設計過程即是可靠性技術保證過程，如何在設計過程中挖掘和確定隱患將對產品的固有可靠性產生重大的影響。

5 總結

某航天有效載荷是實現激光器驅動控制的關鍵核心電子學設備。本文針對其在溫度循環(huán)試驗過程中出現的通信故障問題為切入點，分析了管座選型不當和軟件中斷程序錯誤的故障原因，從硬件角度和軟件角度提出了可靠性技術改正和優(yōu)化措施，論證了軟硬件設計細節(jié)在研制高可靠產品中的重要性，對于可靠性提升具有較好的實踐意義。本文的相關技術成果也可為從事航天產品電子學設計、工藝、測試、質量保證的相關技術和管理人員提供借鑒和參考。