Правильный «завтрак космонавта»,
или Методы построения надежной системы питания космической бортовой аппаратуры

Введение

Защита от распространения сбоев — это проектный подход, гарантирующий, что сбои в одном функциональном блоке не распространятся на последующий или соседствующий блоки КА. Такова важнейшая часть дизайна любой БА космического корабля, призванная обеспечить его эффективность и работоспособность на весь срок его активного существования (САС). Поскольку даже применение высоконадежной космической ЭКБ не гарантирует 100%-ной защиты от возникновения сбоев и отказов, проектировщики БА космических кораблей должны учитывать режимы и механизмы возникновения и проявления отказов, а также пути их распространения и влияние на работоспособность всего КА.

В силу своего функционального назначения интерфейсные схемы обеспечивают связь между различными функциональными блоками КА и становятся потенциальным путем распространения катастрофических сбоев. Поэтому правильная конструкция интерфейсных систем, а также их цепей питания имеет решающее значение для функционирования всего КА и успеха возложенной на него миссии.

Цель сдерживания отказов — ограничить их влияние на всю систему КА, если они возникли в одном функциональном блоке. Обращаясь к рис. 1, можно сказать, что отказ, произошедший в блоке A, сдерживается (ограничивается), если в результате его проявления затронуто только функционирование блока A. В то же время отказ в блоке Б, который впоследствии приводит к отказу в блоке В, не ограничивается. В таких случаях мы говорим, что отказ распространился из блока Б в блок В.

Рис. 1. Взаимосвязь функциональных блоков БА

Защита от отказов является важной частью проектирования КА, поскольку без применения этого подхода один-единственный отказ может потенциально распространяться по всему космическому кораблю, подобно эффекту домино, в результате чего весь КА будет выведен из строя. Однако описанные ниже методы построения защищенной от распространения сбоев системы питания интерфейсов могут успешно применяться и для проектирования систем питания любых узлов и элементов БА, в особенности критически важных и дорогостоящих элементов (ПЛИС, ЦПУ и т. д.).

Пути межблочного распространения отказов систем питания

Микросхемы приемопередатчиков используются для обеспечения взаимодействия между различными функциональными блоками КА, и поэтому они являются потенциальным путем распространения критических отказов. Когда напряжение питания приемопередатчика превышает его абсолютное допустимое значение, может случиться (точнее, наверняка произойдет) критический отказ в работе микросхемы. В этой ситуации «отказ» означает, что устройство каким-то образом будет повреждено. Как правило, самое худшее, что может случиться, — то, что высокое напряжение питания появляется на одном или нескольких выводах передатчика и транслируется на соответствующее приемное (приемопередающее) устройство на другом конце линии связи. Если это напряжение превысит максимальное значение, которое способно выдержать микросхема интерфейса на приемном конце (а именно так оно и будет), — сбой распространится по интерфейсу на соседний блок и повлияет на его работу.

Многие приемопередающие устройства, используемые в современных космических аппаратах, имеют низковольтные внутренние структуры для достижения высокой скорости передачи данных, и между рекомендованным уровнем питания и максимально-допустимым входным напряжением микросхемы запас очень мал. К примеру, LVDS-передатчик RHFLVDS31A компании STMicroelectronics обладает рекомендованным напряжением питания 3,3 В и максимально допустимым уровнем входного напряжения 4,8 В. На рис. 2 приведена «классическая» схема построения электропитания интерфейсного узла БА космического корабля. Изолированный DC/DC-преобразователь (как правило, модульного исполнения) создает 5-В цепь питания из 28-В бортовой шины питания КА, а неизолированный преобразователь постоянного тока, обычно POL-конвертер (Point-of-Load) ,генерирует, необходимое для питания микросхемы интерфейса напряжение 3,3 В.

Рис. 2. Типовая схема питания БА

Анализ режимов, эффектов и критичности отказов (Failure Modes, Effects and Criticality Analysis — FMECA) подсистемы питания, представленной на рис. 2, показывает, что по ряду различных причин неизолированный POL-преобразователь может выйти из строя с установлением постоянно высокого состояния на выходе, равного входному напряжению. Это будет означать, что напряжение питания LVDS-передатчика составляет 5 вместо максимально допустимых 4,8 В, что способно привести к его выходу из строя (отказу).Такой отказ, в свою очередь, может распространиться на другой функциональный блок, потому что невозможно точно предсказать, как именно (по какому механизму) микросхема выйдет из строя. Метод FMECA, как правило, рассматривает вероятные отказы в худшем случае. Хотя и консервативный, но такой подход целесообразнее, чем попытка аргументировать менее критичные режимы проявления отказа и рассматривать его (отказ) более детально (тем более что такие режимы и условия проявления отказа производитель микросхемы или компонента, в любом случае, вряд ли станет гарантировать). Из этого следует, что документ FMECA рассматривает в основном случай отказа, когда POL-преобразователь выходит из строя из-за короткого замыкания его выхода на вход. На практике микросхема вряд ли выйдет из строя с идеальным коротким замыканием между двумя выводами, и мы ожидаем некоторого остаточного внутреннего сопротивления, но при анализе механизма и последствий отказа мы, в соответствии с методом FMECA, предполагаем худшее.

Рис. 3. Выходная силовая часть POL-преобразователя

На рис. 3 представлена более подробная схема выходного силового каскада POL-преобразователя. В практических схемах нагрузка будет иметь более сложный характер, чем простое резистивное сопротивление RL, используемое в этой схеме для представления нагрузки, но для нашей задачи анализа критического отказа такое представление нагрузки вполне достаточно и допустимо. Когда в результате отказа на ключевом выводе SW (иногда называемом фазовым узлом) POL-преобразователя устанавливается высокое напряжение, выходные силовые элементы L и C_О образуют слабозатухающий контур второго порядка, который «звонит» в течение нескольких тактов перед установлением выходного напряжения на уровень V_I, как это показано на рис. 4.

Рис. 4. Выходной сигнал слабозатухающего контура после отказа

В большинстве практических случаев RL >> DCR + ESR и мало влияет на динамический отклик системы. Значения L и C_О устанавливают частоту колебаний, которая в таком случае очень близка к собственной частоте системы:

f_n = 1/2π√(LC_O). (1)

Пиковое (экстремальное) значение выходного напряжением в этом случае может быть рассчитано так:

V_peak = 2V_I(2) – V_O(1), (2)

где V_I(2) — входное напряжение POL-преобразователя в условиях отказа; V_O(1) — выходное напряжение POL-преобразователя до возникновения отказа.

На практике сопротивление постоянного тока индуктивности (DCR) и эквивалентное последовательное сопротивление конденсатора (ESR) ослабляют значение пикового напряжения до более низкой величины. С компонентами, использованными в нашем примере, максимальное мгновенное напряжение V_peak, появляющееся на выходе системы, составляет 6,3 В, а форма установления выходного напряжения в результате отказа представлена на рис. 4.

Введение дополнительного каскада в систему питания

Для того чтобы предотвратить распространение отказа далее по системе, требуется спроектировать источник питания с выходным напряжением 3,3 В, в котором отказ одного любого компонента не сможет привести к увеличению выходного напряжения выше опасного для последующих микросхем напряжению. Так, в рассматриваемой нами проблеме распространения отказа через микросхемы интерфейсов можно ограничить напряжение питания на уровне 4 В. На рис. 5 показан простейший вариант реализации такого подхода к ограничению распространения отказа. Линейный регулятор (LDO), добавляемый на второй ступени регулирования напряжения, позволяет обеспечить работу системы питания так, что даже если на выходе неизолированного DC/DC-преобразователя постоянного тока происходит отказ — линейный регулятор продолжает контролировать входное напряжение нагрузки до необходимых 3,3 В.

Рис. 5. Двухкаскадный метод построения системы питания

На рис. 6 представлена подробная электрическая схема возможной практической реализации описанного подхода с использованием каскадного включения микросхем неизолированного преобразователя TPS50601A-SP и линейного стабилизатора напряжения TPS7H1101-SP.

Рис. 6. Пример реализации двухкаскадной системы питания

Выходное напряжение линейного регулятора TPS7H1101-SP (U2) установлено на уровне 3,3 В, а выходное напряжение TPS7H1101-SP (U1) составляет 3,815 В. Этот уровень промежуточного напряжения достаточно высок, чтобы обеспечить корректную работу линейного регулятора во всех стационарных и переходных условиях, но довольно низок, чтобы гарантировать, что, в случае отказа микросхемы регулятора U2 напряжение питания приемопередатчика V_O(2) не будет превышать 4 В. Рис. 7 отображает реакцию представленной схемы в случае возникновения отказа, когда V_O(1) внезапно увеличивается с 3,815 до 5 В (при выходе из строя POL-преобразователя на базе TPS5060A-SP). Канал 1 отражает состояние схемы в точке V_O(1), а канал 2 — это выходное напряжение V_O(2). Максимальный скачок напряжения в точке V_O(2) (выход линейного регулятора) не превышает 100 мВ относительно целевого напряжения 3,3 В, что значительно ниже абсолютно допустимого значения напряжения питания трансивера.

Рис. 7. Реакция схемы питания (рис. 6) на возникновение отказа

Обратите внимание, что мощность, рассеиваемая на микросхеме U2 в период отказа, значительно больше, чем во время нормальной работы схемы. Если система не может адекватно рассеивать увеличенную мощность, то микросхему линейного регулятора U2 следует отключить, чтобы предотвратить ее перегрев. Пример схемы с использованием дополнительного компаратора, позволяющая организовать такое отключение микросхемы U2, когда выходное напряжение первого каскада превышает 4,5 В, приводится в [1].

Разумеется, возможность практической реализации рассмотренного подхода по ограничению распространения отказа в цепи питания не ограничивается микросхемами, представленными в схеме на рис. 7. В таблице 1 указаны рекомендуемые к применению микросхемы POL-преобразователей космического уровня качества. Приведенные в таблице 1 микросхемы по экспортной классификации относятся к группе EAR99 и в настоящее время не требуют оформления экспортной лицензии страны-производителя для поставки в Россию. Среди представленных микросхем некоторые решения хочется отметить и обсудить более подробно. Так, микросхема SPPL14080RH нового для российского рынка производителя Space IC отличаются широким диапазоном входных напряжений — до 40 В при обеспечении более чем достойного выходного тока до 8 А. Микросхема TPS7H4001-SP от компании Texas Instruments (TI) обеспечивает самый высокий уровень выходного тока — до 18 А, а микросхема TPS50602-SP являет собою объединение в одном корпусе двух кристаллов TPS50601-SP, что позволяет обеспечить выходной ток до 12 А. Микросхема преобразователя RHRPMPOL01 от STMicroelectronics (STM) создает дополнительный запас по выходному току — до 7 А, по сравнению с рассмотренной в статье TPS50601A-SP, а также, по результатам исследований производителя, обладает более низким уровнем выходных шумов и бросков напряжения при подключении (отключении) нагрузки [2]. Микросхема ISL73005SEH компании Intresil (Renesas) хотя и обеспечивает не самый большой ток нагрузки — 3 А, зато имеет дополнительный встроенный LDO-регулятор, позволяющий обеспечивать или потреблять (sourcing/sinking capability) ток 1 А. Эта особенность делает данную микросхему идеальным решением для питания микросхем DDR-памяти. Решение ISL71001M (Intersil) является представителем нового направления в космической электронике — радиационно устойчивой (Radiation Tolerant) элементной базы, не уступающей по своим электрическим характеристикам привычным космическим микросхемам. В отличие от «классической» радиационно стойкой (Radiation Hardened) элементной базы, RT-компоненты исполняются в корпусах, изготовленных из «космического пластика» в противовес металлокерамике. Благодаря такому подходу к корпусированию, а также более простым (а значит, и менее дорогостоящим) выходным тестам на стойкость микросхемы к ионизационному излучению и воздействию тяжелых заряженных частиц (ТЗЧ), стоимость RT-компонентов значительно (2–4 раза) ниже, чем у RH-компонентов, при соответственно более низкой стойкости к факторам космического пространства. Все это делает RT-компоненты идеальным решением для построения многочисленных низкоорбитальных космических систем.

Примечание. * CFP (Ceramic Flat-Pack).

В качестве второго каскада системы питания мы рассматривали применение линейных регуляторов питания (LDO-регуляторов), коих также существует большое множество. В таблице 2 перечислены наиболее интересные представители этой группы космической продукции и их основные электрические параметры. Все указанные в таблице решения не требуют оформления экспортной лицензии и относятся к группе EAR99 по экспортной классификации.

Основываясь на приведенных примерах реализации каждого из каскадов низковольтной системы питания отдельных микросхем и элементов, вы всегда сможете не только подобрать комплексное решение, наилучшим образом удовлетворяющее электрическим требованиям основных узлов бортовой аппаратуры, но и обеспечить ограничение распространения отказа внутри одного узла или блока.

Отключение нижестоящей нагрузки

На рис. 8 показан альтернативный подход к ограничению распространения отказов, в котором функция защиты от перенапряжения (OVP) коммутатора нагрузки TPS7H2201-SP (U2) отключает питание трансивера, если обнаруживает перенапряжение на входе. Такой метод особенно актуален для приложений с небольшой нагрузкой на выходе коммутатора нагрузки — например, если небольшое количество приемопередающих микросхем подключено к коммутатору нагрузки, а остальная часть схемы питается непосредственно с выхода POL-преобразователя или модуля питания.

Рис. 8. Использование коммутатора нагрузки с защитой от перенапряжения на выходе POL-преобразователя

В приведенном примере выходное напряжение POL-преобразователя установлено на 2,5 В, а коммутатор U2 настроен на пороговое значение перенапряжения 3,774 В. Этот OVP-порог достаточно высок, чтобы предотвратить ложные срабатывания при номинальных установившихся напряжениях и переходных условиях, но довольно низок, чтобы не допустить появления на выходе коммутатора напряжения выше 4 В.

Когда коммутатор U2 выключается в ответ на перенапряжение по входу, выходной фильтр POL-преобразователя почти не нагружен. В этом недемпфированном состоянии выходное напряжение преобразователя может скачком приблизиться к теоретическому выходному максимуму в 7,5 В. Максимально допустимое входное напряжение для TPS7H2201-SP составляет 7,5 В, поэтому он может выдерживать данный скачок напряжения, однако разработчикам рекомендуется учитывать этот момент при использовании схемы для питания внешней нагрузки напряжением ниже 2,5 В. Один из вариантов решения указанной проблемы — применение выходного конденсатора с более высоким ESR, хотя это увеличит пульсации выходного напряжения и может потребовать пересчета номиналов компонентов компенсационной цепи. На рис. 9 представлены диаграммы напряжений на входе и выходе коммутатора при возникновении отказа в каскаде POL-преобразователя. Как мы видим из графиков, выходное напряжение системы не поднимается выше 3,3 В.

Рис. 9. Реакция схемы питания (рис. 8) на возникновение отказа

Использование приведенной на рис. 9 схемы для питания микросхем приемопередатчика с напряжением питания 3,3 В невозможно без ее доработки, поскольку допуск порогового напряжения срабатывания U2 означает, что в наихудших условиях выходное напряжение системы может превысить критичный уровень 4 В. Решением проблемы может стать использование прецизионного компаратора с программируемым источником опорного напряжения в цепи детектирования входного перенапряжения для установления порогов петли гистерезиса на уровне около 3,8 и 3,4 В соответственно. Подробная схема такого включения приводится в [1].

Отключение вышестоящей нагрузки

При таком подходе POL-преобразователь работает непосредственно на нагрузку, а сам питается от входного источника питания через коммутатор. На рис. 10 показана базовая блок-схема подобного решения. Компаратор контролирует выходное напряжение системы и отключает вышестоящий коммутатор в случае обнаружения перенапряжения на выходе POL-преобразователя.

Рис. 10. Использование коммутатора нагрузки на входе POL-преобразователя

Прерывистый входной ток TPS50601A-SP требует обеспечения значительной входной емкости. Небольшой конденсатор должен быть расположен близко к выводу Vin микросхемы POL-преобразователя, чтобы обеспечить его устойчивую работу. Но основная часть входной емкости должна находиться перед коммутатором нагрузки. Это связано с тем, что накопленная в C_I(2) энергия продолжает поступать на POL-преобразователь в течение короткого периода после размыкания коммутатора. В случае отказа резистора R1 «в обрыв», POL-преобразователь будет продолжать увеличивать свое выходное напряжении до тех пор, пока заряд в C_I(2) не истощится.

В случае отказа верхнего плеча POL-преобразователя по принципу короткого замыкания, конденсатор C_I(2)образует конденсаторный делитель с емкостью C_О, а недемпфированное напряжение V_О появится в инвертированном виде в точке V_I(2). Амплитуда переходной волны напряжения V_I(2) зависит от отношения емкостей C_I(2 и C_О и может быть достаточно большой, чтобы вытянуть точку V_I(2) в отрицательную область. В этом случае диод Шоттки, подключенный в точке V_I(2), защитит POL-преобразователь и коммутатор нагрузки от повреждения. На рис. 11 показано, как работает наша схема, когда TPS50601A-SP выходит из строя с образованием короткого замыкания между контактами VIN и PH.

Рис. 11. Реакция схемы питания (рис. 10) на возникновение отказа

Рассмотренная в примере микросхема ограничения тока TPS7H2201-SP рассчитана на диапазон входного напряжения 1,5–7 В и имеет интегрированные силовые ключи с максимальным сопротивлением открытого канала 35 мОм, которые обеспечивают защиту от обратного тока (reverse current protection) и позволяют работать с током нагрузки до 6 А. Прямую конкуренцию этому решению предлагает компания Intersil — микросхемы ISL73061SEH и ISL73062SEH, также с интегрированными ключами и рабочим током до 10 А. Вероятно, из-за таких высоких токовых характеристик производителю пришлось «разделить» диапазон входных напряжений между микросхемами: ISL73061SEH обладает входным диапазоном 3–5,5 В, а микросхема ISL73062SEHпредназначена для диапазона 0–3,5 В. Немного особняком в этом ряду стоит микросхемы RHRPMICL1A фирмы STM. Дело в том, что в отличие от рассмотренных выше коммутаторов нагрузки она не имеет встроенного силового ключа. Это несколько усложняет конструкцию системы защиты, но добавляет ей гибкости — рабочий ток нагрузки определяется параметрами внешнего транзистора и может быть выбран исходя из задач разработчика БА. При этом микросхема RHRPMICL1A обладает самым широким диапазоном входных напряжений 8,5–90 В (квалифицировано в условиях радиации до 52 В по входу). Все рассмотренные микросхемы коммутаторов имеют рабочий температурный диапазон не уже чем –55…+125 °С и обладают высокой стойкостью к ионизирующим факторам космического пространства. Основные электрические и радиационные параметры микросхем приведены в таблице 3.

Примечания. *CDFP (Ceramic Flat-Pack with Thermal Pad). **Определяется параметрами внешнего транзистора.

Рассмотренное нами применение коммутаторов нагрузки не является классическим. Они в основном предназначены для ограничения тока в нагрузке, поэтому данные коммутаторы носят иное название — «ограничители тока» (current limiters). Для космической БА эти микросхемы имеют особое значение и применяются для безопасного отключения важных/дорогостоящих микросхем (ПЛИС, процессор, микроконтроллер, АЦП/ЦАП и т. п.), чтобы сохранить их работоспособность в случае попадания тяжелых заряженных частиц (ТЗЧ). Результатом пролета такой частицы через микросхему может стать появление токопроводящего канала внутри p—n-перехода, что ведет к лавинному увеличению тока через переход и, как следствие, его выгоранию или тепловому повреждению микросхемы. Коммутатор нагрузки призван отследить резкое повышение тока нагрузки выше допустимых пределов и произвести отключение нагрузки (микросхемы). Спустя некоторое время токопроводящий канал рассасывается и микросхема (нагрузка) может быть снова включена без риска появления критичного отказа.

Заключение

Обеспечение защиты от отказов — важная часть проектирования космической бортовой аппаратуры. Микросхемы приемопередатчиков, ввиду своей функции по обеспечению связи между различными блоками космического аппарата, являются потенциальным путем для распространения отказов. Проектирование надежной системы питания, не допускающей появления на своем выходе потенциально опасных уровней напряжения, позволяет уберечь микросхемы интерфейсов (и не только их) от возникновения отказов и их распространения на нижестоящие блоки космической аппаратуры.