開關脈沖式自毀指令的可靠傳輸設計

甄國涌，陳曉錦，李 祎，王淑琴

(1.中北大學儀器科學與動態測試教育部重點實驗室，山西 太原 030051；2.空軍裝備部駐太原地區軍事代表室，山西 太原 030006)

數據自毀是飛行器實施安全控制的重要保障，一旦出現故障，便會造成國家機密的泄露，產生難以估量的損失[1]。某型自毀系統中采用開關脈沖信號作為自毀指令，在其實際傳輸和響應過程中，發現存在如下問題:(1)自毀狀態下可能發生外部電源失效問題，導致自毀無法完成；(2)受到觸發硬件的制造工藝或空間輻射的影響，接收端的指令特性并不像理想輸入特性那么完美，容易疊入雜波發生畸變。因此，基于自毀的開關脈沖指令能否實現可靠傳輸已經成為研究的重點問題[2]。

鑒于此，分別從硬件和軟件方面進行優化設計。對指令傳輸鏈路和備用鋰電池組采用雙冗余設計，以低功耗思想對電池電壓監測電路以及自毀狀態下主備電源切換進行設計與優化，解決了鋰電池短期失效的問題。在邏輯判別中采用投票表決算法代替硬件消抖算法，盡可能地濾除干擾信號，保障了指令判別的準確性。

1 硬件可靠性設計

1.1 傳輸鏈路雙冗余設計

在失控狀態下，安控系統為及時止損需經指令傳輸鏈路向受控設備發出自毀指令。根據可靠性數學中可靠率的計算方法，用K和G來分別表示該指令傳輸的可靠率和故障率，則

引入如圖1 所示的雙冗余并聯設計，為指令傳輸鏈路A增加結構相同且相對獨立的B通道，將傳輸鏈路A、B的可靠率分別用K1和K2表示，根據式(1)得出故障率:

圖1 雙冗余傳輸鏈路圖

此時，指令傳輸的可靠率為K＝1－G1G2，若A、B鏈路傳輸的可靠率同為95%，故障率為5%，采用雙冗余并聯設計以后，傳輸可靠率就變為K＝1－5%×5%＝99.75%，由此將指令傳輸受阻的概率減小[3]，保證指令的傳輸質量。

1.2 后備電源低功耗設計

鋰電池作為外部電源失效時的后備電源是保障自毀完成的關鍵因素。結合表1 中鋰電池相關參數及實際測試，分析可能影響自毀的潛在問題:

表1 鋰電池相關參數

(1)受低溫環境影響電池容量下降，導致自毀無法完成。

(2)長時間工作或長期貯存下電池失效[4]，導致自毀無法完成。

針對以上問題，對以下硬件部分進行優化。

(1)將電池模塊調整于電源模塊正下方，由持續發熱的電源模塊為其提供一個相對較高的環境溫度，彌補了低溫下電池容量降低的問題。

(2)從鋰電池組雙備份和降低功耗的角度，解決鋰電池失效所帶來的安全問題。如圖2 所示，設計A、B 兩組鋰電池互為備份，并在電池輸出端設置二極管鉗位電路，利用二極管正向導通壓降穩定且低的特點實現鋰電池組的最優選擇。此外，為了縮短鋰電池的工作時間，采用具有開關控制功能的線性穩壓芯片MIC29302BT 配合整流二極管實現自毀判別后的主備電源切換功能[5]。

圖2 主備切換原理圖

MIC29302BT 使能端配置下拉電阻R1，常態下，自毀控制器FPGA 將其EN 端信號置0，關斷MIC29302BT 使電池處于睡眠狀態。當接收到自毀指令后，由FPGA 將EN 信號置1，使能MIC29302BT芯片，此時電壓較高的一組電源回路所對應的二極管優先導通，而電壓較低的鋰電池輸出則被鉗制，此后當發生外部28 V 供電失效時則由優選的備用鋰電池組維持自毀完成。因此通過靈活控制MIC29302BT 的開斷功能可大幅度減少電池的工作時間，為自毀的完成提供保障。

如圖3 所示，鋰電池的靜態漏電流來自電容漏電流i1、電壓采集輸入端漏電流i2、充電管理端漏電流i3及MIC29302BT 輸入端靜態漏電流i4，由此可通過降低靜態功耗來預防鋰電池長期貯存下引起的失效。

圖3 鋰電池管理示意圖

根據反向二極管和運放跟隨器高阻抗的特性，可按照式(4)、式(5)進行如下估算:

參考表1，令UBAT＝7.4 V，而R1、R2按照充電芯片BQ24105 數據手冊取標稱值301 kΩ 和100 kΩ，即i2≈18.5 μA；而AD 采集前端則選擇大阻值的分壓電阻(R1＝7.5 MΩ、R2＝4.99 MΩ)代替小阻值電阻(R1＝1.5 MΩ、R2＝1 MΩ)，將i3相對降低了2.341 μA。經實測，靜態漏電流i1、i2、i3、i4分別穩定在7 μA、0.1 μA、0.72 μA、22 μA，因此鋰電池的靜態漏電流為7＋0.1＋0.72＋22＝29.82 μA，理論計算鋰電池靜態工作時間為640 mAh÷29.82 μA≈21 462 h，超過2 年，可滿足正常的維護周期。

2 軟件可靠性設計

根據任務需求，指令傳輸接口電路如圖4 所示。其工作原理如下:

圖4 指令傳輸接口電路

發送端由FPGA 控制引腳輸出高電平(典型值3.3 V)保持200 ms 后恢復默認狀態(低)來發出自毀指令。高電平作用下NPN 晶體管PN 結(UBE≈0.7 V)導通，經R8產生基極電流驅動晶體管飽和導通，集電極呈低電平，電磁繼電器DS2Y－S 控制端經125 Ω 的線圈電阻產生40 mA 的驅動電流達到銜鐵吸合動作值，200 ms 后繼電器內部線圈失電銜鐵釋放。理論上，接收端將收到一個28 V 幅值、200 ms脈寬的開關脈沖信號，經光電耦合器(光耦)電平轉換后為FPGA 接收引腳提供一個3.3 V 幅值、200 ms脈寬的開關脈沖信號作為自毀指令[6]。

2.1 指令誤判分析

圖5 為指令傳輸接口電路中FPGA 接收端A 點捕獲的完整自毀指令波形，測量發現電磁繼電器在吸合、釋放瞬間存在接觸抖動效應[7]，即在觸點實現完全接觸和完全分離的過程中存在多次0 和1 的隨機輸入。為了進一步確定指令中干擾的特征，在A 點抓取十次波形圖，并利用數據分析軟件Origin對每次的關斷抖動時間及最大毛刺脈寬進行統計分析，如圖6 所示，觸點閉合和斷開的抖動時間最大值分別為1073.5 μs 和190.2 μs，其中，干擾脈沖的脈寬峰值為310.6 μs。

圖5 自毀指令脈沖波形圖

圖6 抖動測試折線圖

此外，指令在長距離傳輸過程中難免受到空間電磁輻射干擾串入雜波[8]。可以看出在200 ms 理論脈寬(低)中存在諸多的不確定性，故以增加脈寬的誤差容限為手段，設計100 ms 的脈寬(低)為合格脈寬的判別條件。

2.2 指令判別邏輯設計

結合以上誤判分析，擬定了兩種解決方案:

方案1 在自毀(ZH)信號進入判決前用邏輯(FPGA 控制)對其進行消抖。參考圖6 中干擾脈寬峰值，將尖峰寬度小于0.4 ms 的脈沖定義為干擾，設置一個0.4 ms 的計數器，一個按鍵信號ZH＿reg(初值為1)用于輸出消抖后的理想波形。系統在40 MHz 主頻時鐘下對ZH 信號進行采樣，當214個周期內采樣值均為邏輯0 時，認為觸點完全接觸，執行ZH＿reg<＝0(無抖動)；當214個周期內采樣值均為邏輯1 時，認為觸點完全斷開，執行ZH＿reg<＝1(無抖動)?？紤]到冗余性，采用10 判8 的差額投票表決算法對消抖后信號的有效脈寬進行判別。

方案2 對接收到的ZH 信號采用先表決再計數的方法進行判別。設置0.9 ms 內低電平占用時間>＝0.5 ms 的投票表決條件實現對ZH 信號的一級濾波處理；設置100 ms 的脈寬限制計數器對一級表決結果中連續“通過”的個數進行累計，即每隔1 ms采樣一次，直至連續采到100 個有效表決結果則認為指令判決成功。

對比發現，方案1 中的消抖和方案2 中的一級投票表決均為指令判決前的濾波處理。從開啟判別流程來看，消抖是以識別到0.4 ms 的連續低電平為條件，強調的是有效連續性，方案2 采用差額投票表決的容錯技術[9]，強調的是有效聚集性。顯然，當攜帶雜波的自毀指令到來時，方案2 開啟判別的門限更低，緩解了指令判別的延遲。此外，方案2 充分考慮了長線傳輸和惡劣背景噪聲下的指令特征，在每段0.9 ms 的脈寬中融入了一定的誤差容限，以更小的脈寬判別單位展開，可靠性更高。

以優選方案2 設計如圖7、圖8 所示的指令判別流程，并提出以下幾點注意點:

圖7 表決流程圖

圖8 判決流程圖

(1)進程參考時鐘的設計

在40 MHz 系統時鐘下分別分頻產生10 kHz 的Clk01ms 時鐘和1 kHz 的Clk1ms 時鐘。用Clk01ms控制對ZH 信號進行一級投票表決；用Clk1ms 控制對表決結果ZH＿flg 的連續有效個數進行累計，決定自毀指令是否響應。

(2)亞穩態緩解分析

如圖9 所示為異步傳輸下亞穩態響應示意圖。tco和tnet分別為觸發器Q 端輸出相對于時鐘沿和一級輸出端Q 到達二級輸入D 端的時間延遲。由于ZH 信號可在任意時刻發生翻轉，當其翻轉時刻出現在以時鐘上升沿為參考的觸發器建立時間ts和保持時間th內時，觸發器Q 端便可能出現亞穩態現象[10]，即觸發器一時無法確定某一輸出狀態(‘0’或‘1’)需在tco的基礎上增加一定的決斷時間tres來確定一個穩定的輸出狀態，此時若直接對Q1進行判別就極可能發生亞穩態現象。

圖9 亞穩態響應示意圖

為預防受控FPGA 陷入失控的風險，在ZH 信號送入采樣表決寄存器Vote＿reg 之前，增加兩級觸發器級聯對ZH 狀態進行同步處理。從圖9 可以看出只要滿足tnet＋tco＋tres＋ts≤Tclk01ms，Q1q便可以恢復至一個穩定的狀態使得二級觸發器Q 端呈現一穩定輸出。

(3)9 判5 差額投票表決法

首先開辟一個9 位的寄存器Vote＿reg()用于存儲0.9 ms 內ZH 信號同步后的狀態ZH＿reg，其中Vote＿reg(i)＝‘0’表示有效。在Clk01ms 上升沿，ZH＿reg 依次進入Vote＿reg(i)，同時計算Vote＿reg(0 to 8)中Vote＿reg(i)＝‘0’的個數sum。當有效狀態個數sum≥5 時，執行ZH＿flg<＝0，表示一級表決通過，即在0.9ms 的有效帶寬內，9 個連續的ZH＿reg狀態中最多允許出現4 個無效狀態。

(4)在Clk1ms 上升沿，監測表決標志ZH＿flg，當投票寄存器Vote＿reg(0 to 8)中首次存夠5 個有效狀態后(ZH＿flg1<＝0)，判決流程正式開始，脈寬限制計數器ZH＿cnt2 從0 開始計數。判別流程開始后，一旦在1 ms 的采樣中發現0.9 ms 內低電平占用時間<0.5 ms 的情況(ZH＿flg<＝1)，ZH＿cnt2 清零判決流程自動結束并重新等待開啟標志。直到發現一段100 ms 內ZH＿flg 均有效的指令段，則認為指令有效。

3 測試與驗證

3.1 仿真測試

為了驗證判別邏輯的準確性和預期的容錯能力，利用測試平臺文件Test Bench 完成如圖10 理論波形下的動態仿真測試[11]。首先依據指令特性劃分抖動段和穩定段，然后以測試峰值和理論極限值為參考，以ZH 信號的采樣時鐘周期為差值對干擾脈寬進行如下設置:

圖10 理論波形

抖動段:310 μs、210 μs、110 μs

平穩段:(400±100)μs/900 μs

平穩段測試激勵是利用＄random 函數在每個900 μs 中設置(400±100)μs 脈寬的干擾[12]，具體代碼如下:

測試時通過更改b 為300、400 來分別驗證干擾脈寬為300 μs～400 μs 和400 μs～500 μs 情況下判別情況。

從圖11 可以看出在ZH＿D 在1 100 μs 的抖動段內時，沒有滿足9 判5 的表決條件，ZH＿flg 始終為1，而在cursor 為1.550 1 ms 的時刻，ZH＿flg 置為0，ZH＿cnt 也由“00000000”變為“0000001”開始對有效脈寬進行計數，判決流程開啟，直至ZH＿cnt 計數達到“01100011”，ZH＿state＿q 由0 置1，指令判別成功。由此證明，該判別邏輯能夠準確判別有效自毀指令，且能濾除900 μs 內400 μs 以下脈寬的干擾，具有一定的可靠性。此外，從圖11 右側的放大波形來看，表決成功的條件為 Vote ＿ reg ()＝“101100100”，可以看出Vote＿reg()中的5 個‘0’，有3 個是在抖動段累積的，所以進入穩定段后，僅需要繼續存夠兩個‘0’，ZH＿flg 便立即置1，可以證明方案2 開啟判別的優勢所在。

圖11 300 μs～400 μs 脈寬干擾下的波形

從圖12 可以看出，當干擾脈寬超出400 μs 時，ZH＿flg 表現出一個不穩定的狀態，直至200 ms 結束ZH＿state＿q 仍然為0。從圖12 中放大波形來看400 μs～500μs 脈寬干擾下，ZH＿flg 是否為1 取決于clk01ms 的有效采樣個數是否恰好處于有效電平(0)內，因此，判決邏輯無法濾除900 μs 內400 μs以上脈寬的干擾，符合設計要求，驗證成功。

圖12 400 μs～500 μs 脈寬干擾下的部分波形

3.2 實驗室測試

為了進一步驗證本次設計的可靠性，采用上位機和測控臺組成的測試系統模擬飛控系統進行測試。利用上位機控制測控臺下發自毀指令，經72 m 的同軸電纜傳入自毀響應模塊。由上位機界面可以看出自毀指令下的狀態返回情況，自毀指令下發后外部28 V 供電失效，由備用電源維持存儲模塊完成數據自毀，多次測試無誤判現象，證明本方案設計的可靠性。

4 結論

結合實際應用背景，提供了較為實用可靠的主備電切換方案及詳細的邏輯優化設計，通過增加判別的容錯性及判別次數，有效保證了開關脈沖指令的傳輸質量以及響應速度。該設計有著較高的可靠性，目前已成功應用在某采編存儲設備上，對于相同形式的緊急命令的傳輸設計有一定的參考價值。