王燕清，杜偉峰，金 荷，占曉敏，鐘金鳳，張 磊

（上海航天控制技術(shù)研究所，上海 201109）

0 引言

星敏感器是一種以恒星作為測(cè)量參考基準(zhǔn)的空間姿態(tài)敏感器，是迄今為止航天器上姿態(tài)測(cè)量精度最高的敏感器，具有實(shí)時(shí)捕獲姿態(tài)信息且不隨時(shí)間產(chǎn)生漂移等優(yōu)點(diǎn)，在對(duì)地遙感、深空探測(cè)、空間攻防等航天應(yīng)用中具有重要的戰(zhàn)略意義[1-2]。隨著以美國(guó)星鏈（Starlink）為代表的互聯(lián)網(wǎng)星座衛(wèi)星的發(fā)展，衛(wèi)星需要星敏感器滿足輕小型、高精度、低成本、批量化、生產(chǎn)周期短的技術(shù)要求[3]，因此微型星敏感器的電路系統(tǒng)需要選用高集成度、小封裝的電子元器件。在半導(dǎo)體電荷存儲(chǔ)器，如靜態(tài)隨機(jī)存儲(chǔ)器（SRAM）[4]和動(dòng)態(tài)隨機(jī)存儲(chǔ)器（RAM）[5]中，高能離子入射會(huì)在MOS 晶體管的阱區(qū)和源漏端引發(fā)電子-空穴對(duì)，產(chǎn)生的寄生電流會(huì)使存儲(chǔ)單元比特狀態(tài)改變，導(dǎo)致單粒子翻轉(zhuǎn)（SEU）錯(cuò)誤；且隨著器件的特征尺寸越來(lái)越小，以往大尺寸器件中不明顯的效應(yīng)（如單粒子效應(yīng)）顯得愈發(fā)突出而成為新的器件損傷因素[6-12]。

目前針對(duì)SEU 現(xiàn)象采取的防護(hù)措施包括硬件設(shè)計(jì)和軟件設(shè)計(jì)兩方面。文獻(xiàn)[13]提出的單粒子效應(yīng)防護(hù)措施主要包括加強(qiáng)元器件選用控制、軟硬件冗余設(shè)計(jì)以及關(guān)鍵器件限流等，需要對(duì)選用的低等級(jí)元器件在地面通過(guò)輻照試驗(yàn)進(jìn)行測(cè)定；然而輻照試驗(yàn)周期長(zhǎng)、費(fèi)用高，因此，在商業(yè)航天中考慮到低成本和快速研制需求，微型星敏感器選用了大量低等級(jí)元器件，并不適合采取上述防護(hù)措施。文獻(xiàn)[14]提出的抗SEU 可靠性設(shè)計(jì)認(rèn)為，選用抗SEU 器件，配置刷新芯片進(jìn)行回讀刷新和定時(shí)刷新等是解決SEU 的根本辦法。但是抗SEU 器件、配置刷新芯片價(jià)格昂貴，且體積較大，不能滿足微型星敏感器的小型化設(shè)計(jì)和成本控制要求。文獻(xiàn)[15]提出的抗SEU 技術(shù)采用傳統(tǒng)的DSP+FPGA 架構(gòu)，增加反熔絲元器件作為檢測(cè)和邏輯譯碼單元，通過(guò)回讀對(duì)比功能進(jìn)行監(jiān)控和處理。該方法主要依靠反熔絲元器件的高可靠性保證，但受成本和體積約束，同樣不適用于微型星敏感器。

本文從微型星敏感器的電路框架硬件平臺(tái)和器件選用的特點(diǎn)出發(fā)，根據(jù)星敏感器工作流程，給出了流程監(jiān)控狀態(tài)字實(shí)時(shí)檢測(cè)軟件運(yùn)行狀態(tài)的方案；同時(shí)對(duì)于SRAM 區(qū)運(yùn)行的程序和寄存于Flash中的程序進(jìn)行比對(duì)和校正，通過(guò)向姿軌控分系統(tǒng)提供統(tǒng)計(jì)分類復(fù)位次數(shù)和產(chǎn)品狀態(tài)字的方式由系統(tǒng)用戶進(jìn)行綜合診斷干預(yù)，旨在快速有效地發(fā)現(xiàn)和解決SEU 問(wèn)題。

1 某星敏感器在軌SEU 現(xiàn)象

SEU 現(xiàn)象的發(fā)生與空間天然輻射環(huán)境和衛(wèi)星運(yùn)行區(qū)域有關(guān)[13]。某星座衛(wèi)星為太陽(yáng)同步軌道衛(wèi)星，軌道高度500～800 km。2023 年2 月下旬，在太陽(yáng)風(fēng)暴和地球磁場(chǎng)的相互作用下，該星座衛(wèi)星上的微型星敏感器在相近的時(shí)間段內(nèi)相繼出現(xiàn)SEU 導(dǎo)致在軌工作異常的現(xiàn)象，無(wú)法正常為航天器提供準(zhǔn)確的姿態(tài)數(shù)據(jù)，在整星對(duì)星敏感器斷電、上電重啟后恢復(fù)了正常工作。星敏感器故障現(xiàn)象和數(shù)據(jù)表現(xiàn)如表1 所示。

表1 某衛(wèi)星上微型星敏感器在軌SEU 故障現(xiàn)象和數(shù)據(jù)表現(xiàn)Table 1 In-orbit SEU fault and data performance of micro star sensors on a satellite

2 電路架構(gòu)和軟件工作流程

微型星敏感器采用傳統(tǒng)的DSP+FPGA 架構(gòu)[16]，其中：FPGA 采用MICROSEMI 公司的Flash 型器件，抗SEU 能力較強(qiáng)；DSP 采用TI 公司的TMS320XX系列器件。微型星敏感器的應(yīng)用軟件在ISSI 公司的SRAM 中運(yùn)行，而SRAM 中容易發(fā)生SEU 現(xiàn)象?？紤]到微型星敏感器主要應(yīng)用于商業(yè)航天，不適合選用高等級(jí)元器件，因此需要通過(guò)軟件設(shè)計(jì)增強(qiáng)器件發(fā)生SEU 時(shí)星敏感器檢測(cè)和恢復(fù)的能力，從而提高整機(jī)的可靠性。為此，需對(duì)微型星敏感器應(yīng)用軟件的工作流程進(jìn)行梳理。星敏感器可在星跟蹤和全天識(shí)別兩種模式間切換，正常工作時(shí)99.9%的情況下處于星跟蹤模式，其流程如圖1 所示。

圖1 星敏感器星跟蹤流程Fig.1 Star tracking process of a star sensor

從圖1 可以發(fā)現(xiàn)，星跟蹤模式下，軟件功能模塊包括：角速率估計(jì)；四元數(shù)和光軸指向估計(jì)；星矢量之和的計(jì)算；二分查找；查找視場(chǎng)內(nèi)的導(dǎo)航星；計(jì)算導(dǎo)航星在星敏感器坐標(biāo)系下的坐標(biāo)；反算導(dǎo)航星在探測(cè)器像面上的坐標(biāo)；姿態(tài)解算。

軟件在SRAM 中運(yùn)行；當(dāng)發(fā)生SEU 時(shí)，功能模塊數(shù)據(jù)錯(cuò)誤將使工作流程出現(xiàn)混亂。因此，通過(guò)對(duì)正常工作流程的實(shí)時(shí)監(jiān)控可以及時(shí)發(fā)現(xiàn)流程異常、診斷SEU 問(wèn)題。

3 抗單粒子翻轉(zhuǎn)方法

3.1 軟件流程監(jiān)控

結(jié)合第2 章對(duì)微型星敏感器電路架構(gòu)和軟件工作流程的分析，為提高器件發(fā)生SEU 時(shí)的檢測(cè)和恢復(fù)能力，需要增強(qiáng)軟件和FPGA 產(chǎn)品的可靠性。為了監(jiān)測(cè)SEU 發(fā)生時(shí)刻及在軟件流程中的位置，增加軟件對(duì)星敏感器全天識(shí)別與星跟蹤流程各個(gè)模塊的自主檢測(cè)功能，以便實(shí)時(shí)發(fā)現(xiàn)SEU 現(xiàn)象并進(jìn)行自主復(fù)位；同時(shí)上報(bào)系統(tǒng)用戶，通過(guò)系統(tǒng)級(jí)保護(hù)恢復(fù)機(jī)制來(lái)提高系統(tǒng)的抗SEU 能力和可靠性。

采用流程監(jiān)控字方式，開辟一個(gè)監(jiān)控寄存器，用于軟件運(yùn)行流程監(jiān)控（功能類似看門狗），監(jiān)控功能僅在星敏感器正常工作模式（即全天識(shí)別模式和星跟蹤模式）下運(yùn)行，其流程如圖2 所示。

圖2 星敏感器軟件運(yùn)行流程監(jiān)控Fig.2 Flow monitoring for software running of a star sensor

正常工作模式下，軟件運(yùn)行時(shí)依次向FPGA寫入監(jiān)控字（全天識(shí)別或星跟蹤模式下），由FPGA檢測(cè)寫入寄存器中的監(jiān)控字是否完整正確：若寫入的監(jiān)控字在設(shè)定的安全時(shí)間內(nèi)不更新或不符合上述流程監(jiān)控規(guī)則時(shí)，判定軟件運(yùn)行流程異常，同時(shí)，F(xiàn)PGA 對(duì)軟件進(jìn)行復(fù)位，流程監(jiān)控復(fù)位次數(shù)加1。

3.2 程序比對(duì)檢測(cè)

微型星敏感器受到空間輻射影響會(huì)發(fā)生SEU，出現(xiàn)應(yīng)用軟件運(yùn)行異常，因此需要對(duì)軟件進(jìn)行實(shí)時(shí)檢測(cè)和校正。微型星敏感器的應(yīng)用軟件、導(dǎo)航星庫(kù)、標(biāo)定參數(shù)和壞像元參數(shù)均存儲(chǔ)3 份（A、B、C）于Flash 中，且這3 份數(shù)據(jù)完全一致。DSP 地址空間中，程序Flash 的起始地址為0x000000。

應(yīng)用軟件、導(dǎo)航星庫(kù)、標(biāo)定參數(shù)和壞像元參數(shù)在Flash 存儲(chǔ)器中的存儲(chǔ)要求見表2。

表2 微型星敏感器程序Flash 數(shù)據(jù)存儲(chǔ)要求Table 2 Flash data storage requirements for micro star sensor program

微型星敏感器上電后，應(yīng)用軟件、導(dǎo)航星庫(kù)、標(biāo)定參數(shù)和壞像元參數(shù)依次從Flash 加載至程序SRAM中運(yùn)行，SRAM 存儲(chǔ)空間為1 Mbyte×16 bit。DSP 地址空間中，程序SRAM 的主程序段地址為0x400000至0x441000。

程序比對(duì)檢測(cè)流程如圖3 所示。應(yīng)用軟件在執(zhí)行每幀圖像周期的全天識(shí)別模式或星跟蹤模式過(guò)程中，向FPGA 寄存器寫入監(jiān)控字，之后分別讀取Flash 中的A、B、C 份和程序SRAM 軟件，并將上述4 份軟件寫入FPGA 的塊RAM 中，完成后軟件再向FPGA 寄存器寫入對(duì)應(yīng)的監(jiān)控字。FPGA 得到檢測(cè)通知并進(jìn)行軟件比對(duì)，比對(duì)原則為：FPGA 將Flash 中的3 份軟件進(jìn)行三取二比對(duì)，并將三取二結(jié)果與程序SRAM 軟件進(jìn)行比對(duì)，若比對(duì)結(jié)果存在不一致，則FPGA 對(duì)DSP 器件進(jìn)行復(fù)位，應(yīng)用軟件重新從Flash 加載至程序SRAM 中，程序比對(duì)復(fù)位次數(shù)加1。完成上述流程后，開始下一輪比對(duì)檢測(cè)。

圖3 程序比對(duì)檢測(cè)流程Fig.3 Flowchart for software comparison and testing

3.3 分類復(fù)位計(jì)數(shù)

微型星敏感器設(shè)置3 種復(fù)位方式，用于對(duì)流程監(jiān)控、程序比對(duì)和看門狗超時(shí)復(fù)位次數(shù)進(jìn)行統(tǒng)計(jì)，同時(shí)為用戶診斷提供參考。其中，系統(tǒng)復(fù)位主要是為了防止應(yīng)用程序跑飛或者死循環(huán)，當(dāng)DSP 長(zhǎng)時(shí)間不向FPGA 發(fā)送喂狗信號(hào)或者FPGA 監(jiān)控字寄存器長(zhǎng)時(shí)間不更新時(shí)，F(xiàn)PGA 對(duì)DSP 進(jìn)行復(fù)位，軟件重新從Flash 加載至程序SRAM 中，看門狗超時(shí)復(fù)位次數(shù)加1。DSP 對(duì)分類復(fù)位計(jì)數(shù)只讀。微型星敏感器設(shè)置的狀態(tài)字分類復(fù)位計(jì)數(shù)寄存器為32 位寄存器，各位的定義見表3。

表3 微型星敏感器狀態(tài)字分類復(fù)位計(jì)數(shù)寄存器位定義Table 3 Definition of classified reset count of status word for micro star sensors

4 測(cè)試試驗(yàn)驗(yàn)證

為了驗(yàn)證第2 章所述通過(guò)分類復(fù)位計(jì)數(shù)來(lái)診斷SEU 故障方法的有效性，需要人為制造錯(cuò)誤來(lái)模擬在軌SEU 事件：第一種方法是開發(fā)單粒子效應(yīng)模擬軟件，通過(guò)在軌編程模擬單粒子效應(yīng)逐次隨機(jī)更改程序SRAM 中的1 bit 數(shù)據(jù)；第二種方法是通過(guò)仿真器，分別修改程序中使用的恒星庫(kù)、角距庫(kù)、壞像元以及標(biāo)定參數(shù)等重要數(shù)據(jù)，模擬產(chǎn)品中這些數(shù)據(jù)被單粒子破壞的情況。

4.1 流程監(jiān)控、程序比對(duì)、看門狗超時(shí)測(cè)試

通過(guò)上述在軌編程和仿真器修改數(shù)據(jù)的測(cè)試方法人為制造數(shù)據(jù)錯(cuò)誤后，觸發(fā)星敏感器的流程監(jiān)控錯(cuò)誤、程序比對(duì)錯(cuò)誤或看門狗超時(shí)從而觸發(fā)軟件復(fù)位操作，通過(guò)觀察遙測(cè)數(shù)據(jù)包中分類復(fù)位計(jì)數(shù)寄存器的內(nèi)容，可以統(tǒng)計(jì)各類復(fù)位情況。微型星敏感器程序Flash 數(shù)據(jù)存儲(chǔ)要求如表4 所示。

表4 微型星敏感器程序Flash 數(shù)據(jù)存儲(chǔ)要求Table 4 Flash data storage requirements for micro star sensor program

從測(cè)試結(jié)果分析，星敏感器通過(guò)流程監(jiān)控、程序比對(duì)、看門狗超時(shí)復(fù)位等可以對(duì)SEU 造成的故障進(jìn)行自我診斷和恢復(fù)，有效避免類似在軌數(shù)據(jù)異常情況的發(fā)生。

4.2 星庫(kù)變量、壞像元、標(biāo)定參數(shù)數(shù)據(jù)維護(hù)測(cè)試

該測(cè)試項(xiàng)目用于測(cè)試星敏感器應(yīng)用軟件利用Flash 中燒錄的星庫(kù)、壞像元和標(biāo)定參數(shù)信息，對(duì)程序SRAM 中星庫(kù)變量、壞像元、標(biāo)定參數(shù)等重要數(shù)據(jù)進(jìn)行校驗(yàn)，對(duì)SRAM 中被破壞的數(shù)據(jù)進(jìn)行自動(dòng)恢復(fù)。

通過(guò)仿真器模擬產(chǎn)品中重要數(shù)據(jù)被單粒子破壞后數(shù)據(jù)維護(hù)的測(cè)試情況如表5 所示。從表中可以看出，通過(guò)仿真器將程序中使用的恒星庫(kù)、角距庫(kù)、壞像元以及標(biāo)定參數(shù)等重要數(shù)據(jù)進(jìn)行修改來(lái)模擬數(shù)據(jù)被單粒子破壞的情況，最終被破壞的數(shù)據(jù)均成功恢復(fù)為正確值，表明在軌出現(xiàn)SEU 數(shù)據(jù)錯(cuò)誤時(shí)，可以被自動(dòng)維護(hù)修正。

表5 星庫(kù)變量、壞像元、標(biāo)定參數(shù)數(shù)據(jù)維護(hù)測(cè)試Table 5 Maintenance and testing of library, bad pixel data, and calibration parameters

5 結(jié)束語(yǔ)

本文針對(duì)微型星敏感器在軌SEU 引起的異常現(xiàn)象，基于商業(yè)衛(wèi)星微型星敏感器的元器件低成本、小封裝等特點(diǎn)，從電路架構(gòu)和軟件工作流程出發(fā)，設(shè)計(jì)了軟件流程監(jiān)控、程序比對(duì)檢測(cè)、看門狗超時(shí)復(fù)位等軟件增強(qiáng)設(shè)計(jì)來(lái)提高器件的抗SEU 能力，并通過(guò)地面修改相關(guān)參數(shù)或者隨機(jī)生成錯(cuò)誤的方式進(jìn)行模擬驗(yàn)證。分析測(cè)試數(shù)據(jù)，表明該方案對(duì)于SEU 產(chǎn)生的故障可以及時(shí)發(fā)現(xiàn)、有效恢復(fù)，從出現(xiàn)故障到發(fā)現(xiàn)故障的時(shí)間＜19 s，從發(fā)現(xiàn)故障到恢復(fù)星敏感器姿態(tài)正常輸出的時(shí)間＜0.2 s，是原先需要地面判斷和控制所需時(shí)間的千分之一。同時(shí)，該方案可為地面基站遙測(cè)控制范圍外的航天器發(fā)生故障時(shí)的自主恢復(fù)提供有效保證，提高了微型星敏感器的在軌可靠性，也為航天飛行器的其他單機(jī)產(chǎn)品提供了一種新的抗SEU 解決方案。

后續(xù)將開展地面SEU 環(huán)境試驗(yàn)，進(jìn)一步驗(yàn)證該SEU 解決方案的有效性。