張澤明，李鵬,2,3，張?chǎng)?，梁兆?/p>

（1.中國(guó)科學(xué)院空間應(yīng)用工程與技術(shù)中心，北京 100094；2.中國(guó)科學(xué)院大學(xué)，北京 100049；3.香港城市大學(xué) 先進(jìn)設(shè)計(jì)與系統(tǒng)工程學(xué)系，香港 999077 ；4.中國(guó)科學(xué)院上海光學(xué)精密機(jī)械研究所，上海 201800）

引言

航天任務(wù)投入大，周期長(zhǎng)，風(fēng)險(xiǎn)高，在研制過(guò)程中規(guī)劃了嚴(yán)苛的研制試驗(yàn)、鑒定試驗(yàn)和驗(yàn)收試驗(yàn)等試驗(yàn)考核，以了解、分析、提高、評(píng)價(jià)產(chǎn)品的可靠性，從而降低產(chǎn)品航天應(yīng)用風(fēng)險(xiǎn)。但是從可靠性工程角度，產(chǎn)品可靠性不能僅僅依靠對(duì)系統(tǒng)的檢驗(yàn)和試驗(yàn)來(lái)獲得，還必須從設(shè)計(jì)、制造和管理等方面加以保證。產(chǎn)品設(shè)計(jì)是決定產(chǎn)品固有可靠性的重要環(huán)節(jié)，可靠性對(duì)設(shè)計(jì)是極其敏感的[1]。

眾多航天任務(wù)的失效甚至災(zāi)難性事故都源于可靠性設(shè)計(jì)不充分，盡管在頂層設(shè)計(jì)做了冗余備份，但是往往并沒(méi)有發(fā)揮作用，而由于底層的可靠性細(xì)節(jié)設(shè)計(jì)存在嚴(yán)重缺陷導(dǎo)致任務(wù)失敗。1994年，加拿大兩顆通信衛(wèi)星Anik E-1和Anik E-2在兩個(gè)小時(shí)內(nèi)沒(méi)有任何故障警報(bào)情況下相繼自旋失控，是因?yàn)榭臻g粒子造成充放電效應(yīng)導(dǎo)致陀螺導(dǎo)航系統(tǒng)電路永久損壞[2]。1996年，阿麗亞娜5號(hào)火箭爆炸自毀，是因?yàn)樵诶^承性使用阿麗亞娜4型火箭的軟件時(shí)沒(méi)有嚴(yán)謹(jǐn)復(fù)核，火箭水平速度的64位浮點(diǎn)數(shù)轉(zhuǎn)換成16位整數(shù)時(shí)發(fā)生溢出導(dǎo)致重大損失[3,4]。2018年，俄羅斯“聯(lián)盟-FG”型運(yùn)載火箭發(fā)射失敗，原因是某個(gè)傳感器引腳變形造成排氧的噴嘴沒(méi)有打開(kāi)，致使捆綁助推器異常分離，擊中了燃油箱區(qū)域的核心級(jí)，導(dǎo)致其減壓后火箭失去姿態(tài)控制。這幾個(gè)案例均是由于在軟硬件細(xì)節(jié)設(shè)計(jì)上對(duì)潛在故障沒(méi)有針對(duì)性識(shí)別，預(yù)防設(shè)計(jì)措施不充分導(dǎo)致的航天災(zāi)難性故障[5]。Martin Langer對(duì)178顆立方星的在軌壽命和故障統(tǒng)計(jì)分析也說(shuō)明設(shè)計(jì)不足是導(dǎo)致大量立方星出現(xiàn)早期故障的主要原因[6]。

某航天載荷是實(shí)現(xiàn)任務(wù)目標(biāo)的關(guān)鍵核心電子學(xué)設(shè)備，具有驅(qū)動(dòng)控制激光器的功能。本文剖析了某航天載荷在地面可靠性試驗(yàn)階段發(fā)生的通信故障、排故和可靠性設(shè)計(jì)提升過(guò)程，闡述加強(qiáng)軟硬件設(shè)計(jì)細(xì)節(jié)對(duì)保障產(chǎn)品固有可靠性的重要作用。

1 某航天載荷基本工作原理

某航天載荷由五塊板卡組成，如圖1所示，DSP主控板為主機(jī)，其它4塊板卡為從機(jī)，主機(jī)通過(guò)從機(jī)實(shí)現(xiàn)對(duì)激光器的驅(qū)動(dòng)和控制。DSP主控板與FPGA時(shí)序邏輯板、主份激光器驅(qū)動(dòng)板、備份激光器驅(qū)動(dòng)板和重泵浦激光器驅(qū)動(dòng)板之間的通信接口之間采用RS-422總線主從通信方式，從機(jī)是采用單片機(jī)為核心的數(shù)字控制電路，DSP主控板與四個(gè)從機(jī)板卡之間的總線驅(qū)動(dòng)接口和通信使能信號(hào)接口是一致的。DSP主控板與地檢系統(tǒng)采用點(diǎn)對(duì)點(diǎn)RS422通信總線，當(dāng)四個(gè)從板中某個(gè)從板沒(méi)有數(shù)據(jù)傳送給DSP主控板，那么DSP主控板按照通信協(xié)議會(huì)在傳送給地面測(cè)試設(shè)備的數(shù)據(jù)格式中將該從板數(shù)據(jù)塊填充零。

圖1 載荷通信接口拓?fù)鋱D

2 某載荷通信故障根本原因分析

某航天載荷在（-25～60）℃的溫度循環(huán)試驗(yàn)低溫升高溫過(guò)程中，地面測(cè)試設(shè)備先后3次與主控DSP板失去通信，主控DSP板發(fā)送的通信內(nèi)容中重泵浦激光器驅(qū)動(dòng)板和主份激光器驅(qū)動(dòng)板的數(shù)據(jù)塊為零，并且通信異常后沒(méi)有自行恢復(fù)，通信終止，主控DSP板與備份激光器驅(qū)動(dòng)板、FPGA時(shí)序邏輯板通信正常。

經(jīng)敲擊法分析確認(rèn)，導(dǎo)致上述故障的原因是在熱機(jī)械應(yīng)力或振動(dòng)情況下程序存儲(chǔ)器與DIP28管座之間接觸不良，對(duì)程序存儲(chǔ)器進(jìn)行綁扎固定處理后，敲打設(shè)備主體底座時(shí)再?zèng)]有發(fā)生驅(qū)動(dòng)板工作異常。

進(jìn)一步分析，出現(xiàn)通信故障時(shí)驅(qū)動(dòng)板單片機(jī)進(jìn)入了軟復(fù)位中斷服務(wù)程序，如果軟復(fù)位中斷程序沒(méi)有問(wèn)題，軟件會(huì)復(fù)位從地址0000H重新運(yùn)行，不會(huì)造成通信終止問(wèn)題。激光器驅(qū)動(dòng)板的電源監(jiān)控和看門(mén)狗采用集成電路MAX706MJA，外圍電路設(shè)計(jì)如圖2所示，在正常工作條件下，MAX706MJA的WDI輸入引腳有周期小于1 s的喂狗信號(hào)。在通信故障情況下，檢測(cè)發(fā)現(xiàn)WDI輸入引腳為高電平，單片機(jī)沒(méi)有喂狗，而WDO輸出低電平，狗叫起作用，MAX706MJA工作正常。

圖2 單片機(jī)復(fù)位和看門(mén)狗電路

看門(mén)狗起了作用，但單片機(jī)沒(méi)有繼續(xù)發(fā)送喂狗信號(hào)，說(shuō)明軟復(fù)位中斷程序運(yùn)行異常。經(jīng)排查，單片機(jī)進(jìn)入到軟復(fù)位中斷服務(wù)程序后，運(yùn)行了軟復(fù)位中斷服務(wù)程序中的BUG語(yǔ)句（PUSH 0xCOH），導(dǎo)致軟件沒(méi)有從地址0000H重新運(yùn)行，造成單片機(jī)停止運(yùn)行，從而導(dǎo)致從板和DSP主控板失去通信聯(lián)系。

因此，管座選型不當(dāng)，導(dǎo)致存儲(chǔ)器管腳與管座接觸不良是通信終止故障的誘因，而軟件中斷程序錯(cuò)誤，引起驅(qū)動(dòng)板卡單片機(jī)程序跑飛運(yùn)行異常，是導(dǎo)致失去通信的深層次原因。最終，通過(guò)更換高可靠管座，并將程序存儲(chǔ)器直接落焊在DIP28管座上，并對(duì)單片機(jī)中斷服務(wù)程序做了修正，故障得以排除。

3 基于軟硬件細(xì)節(jié)設(shè)計(jì)的可靠性提升策略

可靠性提升是通過(guò)對(duì)產(chǎn)品的設(shè)計(jì)、生產(chǎn)工藝、使用條件和維護(hù)措施等進(jìn)行有效改進(jìn)，使得產(chǎn)品的可靠性逐步改善的過(guò)程。通過(guò)提高產(chǎn)品的設(shè)計(jì)，采用可靠性更高的元器件，改善產(chǎn)品的生產(chǎn)工藝流程以及使產(chǎn)品運(yùn)行在更安全的操作條件以及更加合理的維護(hù)條件下，達(dá)到不斷降低產(chǎn)品的失效率的最終目標(biāo)。在某載荷通信故障分析和排查過(guò)程中，按照航天故障歸零的要求，對(duì)軟硬件設(shè)計(jì)細(xì)節(jié)進(jìn)行了復(fù)核和舉一反三，全面排查漏洞，提升可靠性。

3.1 硬件設(shè)計(jì)優(yōu)化改進(jìn)

1）程序存儲(chǔ)器選用高可靠管座并落焊。除存儲(chǔ)器管座接觸不良外，重泵浦激光器驅(qū)動(dòng)板上的程序存儲(chǔ)器管座（圖3）的12和17腳有硅橡膠殘余物，也是可能導(dǎo)致接觸不良的因素，通過(guò)更換高可靠管座并落焊措施解決；

圖3 重泵浦激光器驅(qū)動(dòng)板程序存儲(chǔ)器管座

2）單片機(jī)取消管座。驅(qū)動(dòng)板上單片機(jī)采用了DIP40管座，舉一反三，將管座取消，單片機(jī)直接落焊在激光器驅(qū)動(dòng)板上；

3）增強(qiáng)晶振信號(hào)質(zhì)量。激光器驅(qū)動(dòng)板上采用某型號(hào)有源晶振，故障排查時(shí)檢查晶振信號(hào)是否正常，示波器測(cè)試晶振的輸出信號(hào)為11.059 2 MHz的方波信號(hào)，如圖4所示，符合單片機(jī)方波輸入（0～5）V電平要求。該檢測(cè)結(jié)果雖然排除了晶振輸出信號(hào)超限對(duì)單片機(jī)造成損傷的可能，但上升和下降沿有振鈴，為進(jìn)一步提高電子學(xué)系統(tǒng)的可靠性，在晶振的電源端增加10 nF的去耦電容；

圖4 單片機(jī)晶振輸入端波形

4）空閑管腳抗干擾設(shè)計(jì)。重泵浦激光器驅(qū)動(dòng)板使用了總線收發(fā)器SNJ54LS245J，其5管腳數(shù)字輸入端設(shè)計(jì)為懸空狀態(tài)，雖然檢測(cè)為高電平，但在電磁干擾下有可能會(huì)產(chǎn)生下降沿觸發(fā)單片機(jī)掃頻中斷，影響重泵浦激光器的穩(wěn)頻狀態(tài)，而且有被靜電損傷的可能性。改進(jìn)措施采取在輸入端口接10 kΩ上拉電阻直接連到+5 V電源，如圖5所示，確保該管腳為抗干擾安全狀態(tài)。

圖5 總線收發(fā)器SNJ54LS245J外圍電路

3.2 軟件設(shè)計(jì)優(yōu)化改進(jìn)

1）修正中斷復(fù)位指令。在看門(mén)狗中斷的軟復(fù)位程序中，機(jī)器碼“0xc0 0xc0”對(duì)應(yīng)的指令為“POP 0xC0”，0xC0寄存器是單片機(jī)內(nèi)部受到保護(hù)的特殊功能寄存器，從0xC0單元讀取的數(shù)據(jù)內(nèi)容是不確定的，所以在退出看門(mén)狗中斷軟復(fù)位程序執(zhí)行“POP 0xC0”指令后，程序地址指針也是不確定的，程序有可能跑飛。機(jī)器碼修改為“0xc0 0xe0”，對(duì)應(yīng)的指令為“POP ACC”，在執(zhí)行指令“POP ACC”后程序從地址0x0000重新開(kāi)始運(yùn)行，確保了軟件正常復(fù)位；

2）減小中斷執(zhí)行時(shí)間?？撮T(mén)狗中斷服務(wù)程序中有一個(gè)激光器保護(hù)函數(shù)FLD_Pro()，該函數(shù)將占用看門(mén)狗軟復(fù)位中斷服務(wù)程序的運(yùn)行時(shí)間，改為在主程序系統(tǒng)初始化函數(shù)InitDevice()中調(diào)用FLD_Pro()函數(shù)，增強(qiáng)軟件設(shè)計(jì)合理性和可靠性[7]；

3）確保正常合理喂狗。刪除定時(shí)器中斷服務(wù)程序中的喂狗語(yǔ)句DOG=!DOG，改為在循環(huán)掃描找峰的循環(huán)語(yǔ)句中喂狗，保證合理發(fā)出喂狗信號(hào)；

4）通信錯(cuò)誤預(yù)警和確認(rèn)應(yīng)答。激光器控制軟件增加對(duì)數(shù)據(jù)注入指令的接收錯(cuò)誤計(jì)數(shù)及實(shí)際執(zhí)行參數(shù)的返回，增強(qiáng)故障預(yù)警和通信確認(rèn)機(jī)制，保證可靠傳輸。

3.3 設(shè)計(jì)驗(yàn)證

采取以上軟硬件設(shè)計(jì)改進(jìn)和可靠性提升措施后，開(kāi)展了相同試驗(yàn)條件的6個(gè)周期溫度循環(huán)試驗(yàn)進(jìn)，該航天載荷無(wú)異常發(fā)生，驗(yàn)證了可靠性提升措施的有效性。

4 討論

從本航天載荷通信故障分析案例看，直接的設(shè)計(jì)更改和針對(duì)潛在故障隱患的可靠性細(xì)節(jié)設(shè)計(jì)包含十余處，通過(guò)測(cè)試驗(yàn)證展示了軟硬件設(shè)計(jì)細(xì)節(jié)對(duì)于產(chǎn)品可靠性提升的重要性，也落實(shí)了“預(yù)防為主”的質(zhì)量管理思想[8,9]。

德國(guó)飛機(jī)渦輪機(jī)的發(fā)明者帕布斯·海恩提出了著名的海恩法則：每一起嚴(yán)重事故的背后，必然有29次輕微事故和300起未遂先兆以及1 000起事故隱患。張森等對(duì)130顆衛(wèi)星272次在軌故障進(jìn)行統(tǒng)計(jì)，其中一個(gè)特點(diǎn)是很多故障是重復(fù)發(fā)生的，說(shuō)明故障跟前期設(shè)計(jì)不充分緊密相關(guān)[10]。在航天高可靠領(lǐng)域，航天設(shè)備往往是小子樣產(chǎn)品，缺少大量樣品現(xiàn)場(chǎng)應(yīng)用的反饋數(shù)據(jù)，更新迭代機(jī)會(huì)少，這就更加要求在前期設(shè)計(jì)階段結(jié)合產(chǎn)品具體實(shí)際，盡可能挖掘潛在隱患[11]，預(yù)想故障場(chǎng)景故障模式，通過(guò)必要的設(shè)計(jì)手段消除潛在故障，避免共性事故[12,13]。

研制階段的例行試驗(yàn)檢驗(yàn)對(duì)于暴露缺陷排除隱患固然重要，但一定是不充分的?？煽啃怨こ痰闹攸c(diǎn)更應(yīng)放在早期設(shè)計(jì)階段，遵循預(yù)測(cè)預(yù)防為主的原則，關(guān)鍵是從技術(shù)設(shè)計(jì)細(xì)節(jié)出發(fā)提前識(shí)別產(chǎn)品所有可能發(fā)生的故障[14,15]。任何事情都有兩面性，做了某項(xiàng)技術(shù)設(shè)計(jì)實(shí)現(xiàn)了特定功能，但也可能帶來(lái)意外的潛在隱患，因此強(qiáng)化“可能出錯(cuò)“的風(fēng)險(xiǎn)意識(shí)，挖掘潛在的隱患和薄弱環(huán)節(jié)，通過(guò)故障模式影響分析、故障案例集、成熟的設(shè)計(jì)準(zhǔn)則、專家審核等手段，早期投入，既做功能測(cè)試也做非功能測(cè)試，排除嚴(yán)重故障，降低殘余故障，這是研制高可靠航天產(chǎn)品的一個(gè)重點(diǎn)。

錢(qián)學(xué)森曾指出，產(chǎn)品可靠性是設(shè)計(jì)出來(lái)的，生產(chǎn)出來(lái)的，管理出來(lái)的。美國(guó)波音公司曾總結(jié)一個(gè)經(jīng)驗(yàn)公式，高可靠性產(chǎn)品保證=可靠性技術(shù)保證+質(zhì)量保證[16]。實(shí)踐證明，產(chǎn)品的可靠性首先是設(shè)計(jì)出來(lái)的[17]，每一條程序語(yǔ)句，每一個(gè)電路連接，每一條布線都伴隨著可靠性問(wèn)題，產(chǎn)品設(shè)計(jì)過(guò)程即是可靠性技術(shù)保證過(guò)程，如何在設(shè)計(jì)過(guò)程中挖掘和確定隱患將對(duì)產(chǎn)品的固有可靠性產(chǎn)生重大的影響。

5 總結(jié)

某航天有效載荷是實(shí)現(xiàn)激光器驅(qū)動(dòng)控制的關(guān)鍵核心電子學(xué)設(shè)備。本文針對(duì)其在溫度循環(huán)試驗(yàn)過(guò)程中出現(xiàn)的通信故障問(wèn)題為切入點(diǎn)，分析了管座選型不當(dāng)和軟件中斷程序錯(cuò)誤的故障原因，從硬件角度和軟件角度提出了可靠性技術(shù)改正和優(yōu)化措施，論證了軟硬件設(shè)計(jì)細(xì)節(jié)在研制高可靠產(chǎn)品中的重要性，對(duì)于可靠性提升具有較好的實(shí)踐意義。本文的相關(guān)技術(shù)成果也可為從事航天產(chǎn)品電子學(xué)設(shè)計(jì)、工藝、測(cè)試、質(zhì)量保證的相關(guān)技術(shù)和管理人員提供借鑒和參考。