表1(Table 1)
2. 北京空间飞行器总体设计部, 北京 100094
2. Beijing Institute of Spacecraft System Engineering, Beijing 100094, China
自1975年Binder等[1]发现空间飞行器单粒子效应以来,由高能质子与重离子造成的现场可编程门阵列(FPGA)等逻辑器件单粒子(SEU)效应日益成为航天设计与研究的焦点。空间环境中辐射条件对FPGA的主要影响分为长期辐射累积造成的总剂量效应(TID)和单个高能粒子电离辐射引起的单粒子效应(SEE)。随着半导体工艺的提高,FPGA门数激增,核电压降低,器件对总剂量效应的抵抗能力增强,但是更容易产生单粒子效应。2013年ITRS报告[2]指出,器件软错误率源自多位翻转的概率由2007年65 nm工艺下的16%上升到2013年35 nm工艺下的64%,并有可能在2016年25 nm工艺下达到100%。单粒子翻转效应已经成为纳米工艺下航天集成电路产品面临的最重要挑战之一。
目前国内外对单粒子效应的研究集中在单粒子翻转机理[3-5]、器件加固、恢复技术[6-8]以及探测评估技术[9-11],器件单粒子软错误对整星的影响则主要凭借工程经验进行分析。然而,实际情况中单粒子效应在器件级表现为多类失效模式,并在卫星各单元间传递失效影响,同时由于卫星设计中的防护与恢复策略,使得单粒子软错误影响在整星层表现出明显的随机特性。另一方面,在导航卫星整星乃至星座层面,可用性是衡量导航服务质量的重要参数之一[12],软错误中断虽然不会造成卫星的永久损伤,但影响到服役卫星的可用性,降低对用户的服务水平,因此分析单粒子软错误的失效传播并评估其对卫星可用性的影响也是单粒子效应研究的重要内容。
本文在研究单粒子软错误防护与恢复策略的基础上,结合导航卫星有效载荷的信息流与功能结构,提出单粒子软错误影响传播的有限状态机(FSM)模型,利用Stateflow仿真得到单星可用性指标,并从影响结果、发生概率和持续时间等方面分析软错误及各类恢复措施对整星可用性的影响,为导航卫星可靠性设计决策提供支持。并通过MATLAB与STK联合仿真,分析了单星软错误中断状态在星座层面的影响。
1 面向任务中断的软错误影响分析 1.1 软错误及其防护/恢复策略分析导航卫星结构按功能分为平台与有效载荷两部分,平台部分包括综合电子、控制、推进和测控分系统,有效载荷部分则主要是导航相关设备,包括上行注入单元、时间产生单元、任务处理单元及信号播发单元等。根据工程验证,导航、测控设备易发生单粒子软错误。为避免软错误或消除其影响,卫星内部在不同层级采用不同的防护与恢复策略,如表 1所示。
| 系统层级 | 防护措施 | 恢复措施 |
| 器件级 | 材料、选型、工艺方面的加固与屏蔽措施,硬件电路与软件设计,如三模冗余,定时刷新 | 器件、模块级复位,看门狗电路 |
| 单机级 | EDAC、余度配置 | 指令复位、开关机 |
| 系统/分系统级 | 并联备份 | 余度切换、工作模态切换 |
针对软错误的防护措施集中在系统较低层级,通过器件硬件设计与软件容错实现较低的翻转失效率。在软错误发生后系统通过对软错误的检测与组合恢复策略恢复系统工作状态,消除软错误影响。一般软错误恢复流程如图 1所示。
|
| 图 1 软错误恢复流程 Fig. 1 Soft error recovery process |
根据工程分析可以得到软错误在卫星各个层级的失效影响及基本传播序列,图 2给出了软错误的部分影响传播示例。图中虽然列出了各类软错误可能形成的影响路径及导致的整星级影响,但是由于各级防护与恢复措施所导致的失效传播过程离散化,使得失效传播具有多种场景,失效传播场景可以分为层级间的纵向传播与同层级部件间的横向传播2类。
|
| 图 2 软错误影响示例 Fig. 2 Example of soft error effect |
纵向传播场景存在以下3种类型:①由于容错、校验等防护措施存在,软错误影响保留在当前层级而停止向上一层级传播。②系统检测到软错误发生后采取特定恢复措施,软错误影响可能继续传递,恢复措施完成后系统恢复正常。③因防护、恢复措施失效而导致整星任务中断且一段时间内无法恢复,须采取地面站人工干预手段恢复。
横向传播发生在具有接口关系的部件之间,该类部件的失效可能由2类原因导致:①部件自身单粒子翻转事件导致的数据错误或功能异常。②由于输入部件失效导致的关联失效,例如上行注入设备与时频系统失效导致的导航任务处理模块失效。
在评估每一种软错误的传播概率及影响程度时,基于故障模式影响分析(FMEA)与故障树分析(FTA)的失效分析难以描述同层次部件的关联失效与不同层次影响传播的随机特性,进而采用基于有限状态机仿真的影响评估方法。
2 软错误传播有限状态机模型 2.1 有限状态机理论有限状态机是一种具有离散输入输出的数学模型,用于表示系统在有限个状态之间进行转移和动作的一系列行为,是描述系统复杂逻辑变化的有效方法。
典型的有限状态机可以表示为一个五元组:M=(Σ,S,S0,δ,F),在构建一般离散事件系统时,Σ描述系统运行中所有可能事件,S表示系统状态空间,S0⊆S为系统初始状态集合,δ为转移函数,表示S×Σ到S的映射,F⊆S为系统终止状态集合。
典型有限状态机无法处理层次化、带有并发特性的问题,在构建规模较大的系统模型时容易导致状态空间爆炸,Harel[13]在此基础上提出分层、正交、并发和广播等特性,分层与正交特性使得构建系统模型过程中能够按照实际系统结构进行抽象,按系统层次进行状态嵌套,同层次独立部件可以表示为带有并发特性的正交组件,从而降低结构复杂度,引入广播机制则扩展了转移的触发方式,简化了系统描述与实现。
MATLAB中的Simulink/Stateflow模块利用状态、转移、节点、事件和数据等对象,实现了对Harel状态图元素的完整覆盖,不仅可以构建层次化系统的逻辑运行状态,还能通过与Simulink其余模块的连接实现混成系统行为描述,是实现有限状态机建模的有力工具[14]。
2.2 模型结构利用Simulink/Stateflow构建系统软错误的传播模型时,将系统状态分为2类:运行状态与功能状态。对具体系统建立Stateflow模型须包含2类状态框图,运行状态描述系统所有可能的工作状态,功能状态描述系统所执行的功能变化情况。在导航分系统软错误传播模型中,2类状态包含:①运行状态:停止状态、正常运行、各类失效模式和恢复动作等。②功能状态:系统停止、功能正常和功能失效影响等。
系统运行过程中并行执行的2类状态空间通过有限状态机隐含事件广播机制相连接,如图 3所示。图中S1表示系统可能运行状态,通过条件C1、C2判别进入不同失效模式,S2为系统功能状态空间,功能状态迁移的触发采用有限状态机的隐含事件触发条件(如图 3中in(S1.O2)~in(S1.O4)所示)。
|
| 图 3 2类软错误传播模型状态 Fig. 3 Two kinds of state in soft error propagation model |
系统分层、余度等结构特性在模型中以层次状态嵌套及并行状态的形式描述,功能状态跟踪系统运行状态而变化,软错误产生、工作模态切换等系统复杂行为的描述主要依靠运行状态的建模。
2.3 软错误影响传播建模星内软错误影响的传播包括2个方面:
1) 系统约定层级间下层部件发生的软错误所导致的上层部件功能异常。
2) 同一约定层级之间具有输入输出等明显交互关系的部件间由于上游部件软错误导致下游部件的功能异常。
软错误沿系统层级向上传播的过程在有限状态机模型使用嵌套运行状态框图的隐含事件触发,类似于图 3所示结构。对于同层级部件的软错误影响建模,为了避免在建模过程中出现循环、递归以及与功能状态冲突等问题,采用直接事件广播形式构建传播关系,如图 4所示。
|
| 图 4 传播关系模型 Fig. 4 Propagation relation model |
S1、S2 2个并行状态分别表示2个同层级部件的运行状态,S1是S2的输入部件,S1存在2种失效模式:S1_O3,S1_O4,其中S1_O4失效模式能够导致S2部件产生失效模式S2_O4。当S1、S2激活时,S1部件满足条件C2,并在触发事件SEU作用下由正常工作态转为失效模式2,同时向S2广播时间event_1,从而令S2进入失效模式2。在此基础上,S1、S2对应的功能状态框图也进入相应功能失效状态。
2.4 防护与恢复措施建模1) 防护策略。单星内部在各个系统层级所采用的防护策略可以根据防护手段是否具有物理边界分为2类。
对三模冗余、余度配置等存在物理结构或明显逻辑特征的防护措施,构建相对应的部件状态机模块以描述其逻辑功能。
类似于器件加固、容错和校验等措施,在器件级以上不存在明显的结构特征,在模型中定义特定翻转事件失效状态转移概率:
(1)
式中:α0为器件基本翻转失效率;βi为各防护手段对降低翻转失效率的影响权重,βi∈[0,1]。在部件正常态到失效态的转移过程中,根据αi调整抽样状态的分支概率。
2) 恢复策略。复位、开关机和余度切换等恢复策略,按照恢复流程建立状态转移链路。图 5所示为一般恢复策略下余度部件的状态转移模型,部件出现软错误失效时依照恢复流程分别执行检测、复位、开关机和切机操作,直至部件功能恢复正常。
|
| 图 5 恢复流程建模 Fig. 5 Recovery process modeling |
软错误对导航卫星的影响主要表现为运行过程中的功能中断,采用可用性作为软错误影响的衡量指标需要从单星与星座2个角度考虑。
3.1 单星可用性单星可用性是指占据轨位(SLOT)的卫星发射健康的、能被跟踪的空间信号的年均时间百分比。单粒子任务中断情况时的单星可用度表示为
(2)
式中:TMTBF为卫星平均单粒子任务中断平均故障间隔时间;TMTTR为单粒子任务中断平均维修时间。
针对单粒子软错误可恢复的特点,平均维修时间实际指软错误发生后从检测到一系列恢复措施完成,卫星恢复正常工作的总时间。仿真过程中通过记录每次软错误发生时刻tis与恢复时刻tie,并记录仿真总时长ttotal,则p及TMTTR转化为
(3)
(4)
式中:n为单次仿真软错误发生总次数。
3.2 星座可用性导航系统的可用性[15]根据不同的描述需要在各类文献中定义都不相同,常用星座可用性指标为位置精度因子(Positioning Dilution of Precision,PDOP)[11]:在任意24 h的时间间隔中,导航系统对其服务区内任意用户点提供的PDOP值小于或等于一个给定阈值的时间所占的百分比。
理论上,可根据各种可能的失效组合利用全概率公式计算PDOP可用度[16-18],但往往难以获得不同组合下的可用度值,通常假定星座特定卫星个数与特定轨道卫星的失效,从而计算该情况下的PDOP可用性。该方案不仅忽略了导航星座高阶失效的情况,而且在计算星座可用性时由于需要分情况考虑,计算流程繁琐。本文通过软错误传播的有限状态机模型,在仿真获得单星可用度的同时生成单星软错误中断时间区间列表,并将中断时间作为STK输入开展星座可用度仿真,由STK计算获得目标服务区内各仿真采样时刻PDOP值,则星座PDOP可用性为
(5)
式中:L为PDOP阈值,当PDOP精度值小于L时，布尔量bool(δPDOPj < L)=1,反之为0,L通常取6;T为仿真采样总次数。
4 案例分析 4.1 软错误影响模型经过FMEA定性分析,卫星上导航设备的器件级软错误传播至单机级总计可能导致15种单机失效模式,并最终产生8类整星级中断影响。
导航设备软错误传播模型的基本结构如图 6(a)所示,导航处理模块仿真运行如图 6(b)所示,图中出现蓝色实线及虚线框的状态为当前激活的状态。
|
| 图 6 导航分系统Stateflow模型 Fig. 6 Stateflow model of navigation subsystem |
软错误影响模型输入包括单粒子软错误事件流、软错误检测、系统复位、开关机、切机时间分布以及各类容错、加固措施所对应β取值。本文假设单粒子软错误事件的发生为泊松过程,单星内部软错误检测、复位、开关机和切机时间均服从正态分布。
设定仿真时长为1 a,分别仿真GEO与MEO 2种轨位卫星软错误传播流程,得到2种轨位下卫星在不同恢复时间均值时的单星可用度及平均中断恢复时间如图 7所示。
|
| 图 7 恢复措施对单星可用度和平均中断恢复时间影响 Fig. 7 Impact of recovery measures on single satellite availability and mean time of interrupt recorery |
由图 7(a)可知,GEO/IGSO单星可用度普遍较MEO低,与实测结论相符,这是由于在较高轨位时卫星所受离子辐射增多,更易产生单粒子翻转效应。随着检测、复位、开关机和切机时间增加,单星可用度普遍降低,其中检测时间对单星可用度的影响相对显著,在取值为μ/4、μ、4μ时单星可用度分别为0.987 0、0.984 1和0.959 7;切机时间对可用度产生的影响较小,3类切机时间取值时可用度分别为0.984 6、0.984 1和0.983 3;表明在当前软错误恢复策略下,软错误检测时间是影响恢复时间的主要因素。由图 7(b)可知，中断时间受软错误发生率影响较小,对检测、复位和开关机的执行时间较敏感,而基本不受切机时间影响。
综合上述结论,提高单星可用性,减少任务中断,最直接的方式是降低软错误检测时间,同时也可以通过改变恢复策略,灵活执行单机切换功能,进一步提高单星可用度。
4.2 软错误星座可用性影响仿真本文参考已运营的北斗区域导航系统,在STK软件中构造5GEO+5IGSO+4MEO的区域导航星座结构[18]。采用MATLAB/GUI构建MATLAB与STK联合仿真平台(如图 8所示),输入不同轨位单粒子翻转率得到14颗卫星中断时间列表,截取30 d中断数据输出至STK,由STK仿真获得星座服务区内PDOP动态变化值并计算星座PDOP可用性,仿真得到导航星座考虑单粒子软错误前后服务区内的PDOP值,如图 9中3条曲线分别表示每一时刻服务区内PDOP最大值、平均值及最小值。统计得到忽略单星软错误影响情况下星座PDOP可用性为100%,区域PDOP平均值最大为3.482,表明当前星座构形与规模在理论层面能够提供满足可用性标准的导航服务;考虑单星软错误后星座PDOP可用性为99.69%,区域PDOP平均值最大达到69.842。对比考虑软错误情况前后的服务区PDOP平均值,表明在星座构形及规模完善的情况下,单纯的单粒子软错误中断不会对星座的PDOP可用性造成严重影响,只有当多颗卫星中断状态耦合时可能导致局部地区的PDOP值突增。因此,确保足够数量的卫星数与稳定星座构形是在星座层面减小单粒子影响的有效措施。
|
| 图 8 MATLAB/STK联合仿真平台 Fig. 8 MATLAB/STK co-simulation platform |
|
| 图 9 卫星软错误中断对PDOP值影响 Fig. 9 Impact of satellite soft error interrupt on PDOP |
深入分析软错误在卫星中的传播过程及其影响,对于提高卫星可靠性具有重要意义。综合本文所作工作,得到如下结论:
1) 针对单粒子软错误在单星内部影响传播的规律,提出了面向单星物理结构、防护与恢复策略的软错误传播有限状态机模型构建方法。
2) 阐述了单星可用性与星座可用性的内涵,利用MATLAB与STK联合仿真得到软错误影响下的单星可用度及星座可用度。
3) 建模方法具有一定的通用性,可针对不同系统的具体结构构建相应的仿真模型,支持可靠性设计分析工作。
目前本文在整星与星座层面建模与仿真过程中仅考虑了单粒子软错误,在此基础上综合分析部件永久失效、卫星人工控制策略等影响因素的共同作用是下一步需要研究的重点。
| [1] | BINDER D, SMITH E C, HOLMAN A B. Satellite anomalies from galactic cosmic rays[J]. IEEE Transactions on Nuclear Science,1975, 22 (6) : 2675 –2680. |
| Click to display the text | |
| [2] | Semiconductor Industry Association.International technology roadmap for semiconductors (ITRS)[R/OL].2013[2015-05-20]. http://www.itrs.net/Links/2013ITRS/Home2013.htm. |
| Click to display the text | |
| [3] | 宋凝芳, 朱明达, 潘雄. SRAM型FPGA单粒子效应试验研究[J]. 宇航学报,2012, 33 (6) : 836 –842. SONG N F, ZHU M D, PAN X. Experimental study of single event effects in SRAM-based FPGA[J]. Journal of Astronautics,2012, 33 (6) : 836 –842. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [4] | MITRA S, SEIFERT N, ZHANG M, et al. Robust system design with built-in soft-error resilience[J]. Computer,2005, 38 (2) : 43 –52. |
| Click to display the text | |
| [5] | ADELL P, ALLEN G. Assessing and mitigating radiation effects in Xilinx FPGAs[M]. Pasadena,CA: Jet Propulsion Laboratory,California Institute of Technology, 2008 : 33 -45. |
| Click to display the text | |
| [6] | 李志刚, 张彧, 潘长勇, 等. 抗单粒子翻转的可重构卫星通信系统[J]. 宇航学报,2009, 30 (5) : 1752 –1756. LI Z G, ZHANG Y, PAN C Y, et al. A new SEU tolerant satellite dynamically-reconfigurable system based on SDR[J]. Journal of Astronautics,2009, 30 (5) : 1752 –1756. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [7] | 胡洪凯, 施蕾, 董暘暘, 等. SRAM型FPGA空间应用的抗单粒子翻转设计[J]. 航天器环境工程,2014, 31 (5) : 510 –515. HU H K, SHI L, DONG Y Y, et al. SEU-tolerant design for SRAM based FPGA on spacecraft[J]. Spacecraft Environment Engineering,2014, 31 (5) : 510 –515. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [8] | CARMICHAEL C,FULLER E,BLAIN P,et al.SEU mitigation techniques for Virtex FPGAs in space applications[C]//Proceeding of the Military and Aerospace Programmable Logic Devices International Conference (MAPLD).Washington,D.C.:NASA,1999:5-9. |
| Click to display the text | |
| [9] | 侯建文, 张爱兵, 郑香脂, 等. FPGA单粒子翻转事件在轨探测研究[J]. 宇航学报,2014, 35 (4) : 454 –458. HOU J W, ZHANG A B, ZHENG X Z, et al. Research on in-orbit detection of SEU of FPGA[J]. Journal of Astronautics,2014, 35 (4) : 454 –458. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [10] | 贺朝会. 空间轨道单粒子翻转率预估方法研究[J]. 空间科学学报,2001, 21 (3) : 266 –273. HE C H. Study of methods for predicting SEU rate in space orbits[J]. Chinese Journal of Space Science,2001, 21 (3) : 266 –273. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [11] | CAFFREY M,MORGAN K,ROUSSEL D,et al.On-orbit flight results from the reconfigurable Cibola flight experiment satellite (CFESat)[C]//Proceedings-IEEE Symposium on Field Programmable Custom Computing Machines(FCCM 2009).Piscataway,NJ:IEEE Press,2009:3-10. |
| Click to display the text | |
| [12] | United States Department of Defense. Global positioning system standard positioning service performance standard[M]. Washington D.C: US United States Department of Defense, 2001 . |
| Click to display the text | |
| [13] | HAREL D. Statecharts:A visual formalism for complex systems[J]. Science of Computer Programming,1987, 8 (3) : 231 –274. |
| Click to display the text | |
| [14] | 王蓓, 赵廷弟, 焦健. 基于有限状态机的安全性仿真技术[J]. 北京航空航天大学学报,2011, 37 (4) : 428 –432. WANG B, ZHAO T D, JIAO J. Safety simulation technology based on finite state machine[J]. Journal of Beijing University of Aeronautics and Astronautics,2011, 37 (4) : 428 –432. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [15] | RYCROFT M J. Understanding GPS:Principles and applications[J]. Artech House Mobile Communications,2005, 59 (5) : 598 –599. |
| Click to display the text | |
| [16] | 李国重, 李建文, 焦文海, 等. 顾及卫星故障修复的导航星座PDOP可用性分析方法研究[J]. 武汉大学学报(信息科学版),2010, 35 (7) : 841 –845. LI G Z, LI J W, JIAO W H, et al. Analysis of PDOP availability of navigation constellation based on satellite service intermittence[J]. Geomatics and Information Science of Wuhan University,2010, 35 (7) : 841 –845. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [17] | 侯洪涛, 谢菲, 张旺勋, 等. 基于Markov过程的导航系统星座可用性分析[J]. 系统工程与电子技术,2014, 36 (4) : 685 –690. HOU H T, XIE F, ZHANG W X, et al. Availability analysis for constellation of GNSS based on Markov process[J]. Systems Engineering and Electronics,2014, 36 (4) : 685 –690. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [18] | 徐嘉. 故障星分布对星座PDOP可用性影响的建模及评价[J]. 航空学报,2008, 29 (5) : 1139 –1143. XU J. Modeling and evaluation of effects of fault satellites distribution on PDOP availability of navigation constellation[J]. Acta Aeronautica et Astronautica Sinica,2008, 29 (5) : 1139 –1143. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
| [19] | 王琦, 杨颖. STK在计算机仿真中的应用[M]. 北京: 国防工业出版社, 2005 : 96 -115. WANG Q, YANG Y. The application of STK in computer simulation[M]. Beijing: National Defense Industry Press, 2005 : 96 -115. (in Chinese). |
| Cited By in Cnki (0) | Click to display the text | |
