抗雷电电磁脉冲控制器综合加固设计方法

张俊楠, 陈 曦, 张敏湧, 王 欣, 唐 昭

(北京宇航系统工程研究所,北京100076)

0 引言

雷电是一种常见自然现象，平均每天发生约800万次，使飞行器的安全飞行面临极端恶劣环境。现代航空航天领域中，随着电子技术和材料科学的发展，飞行器设计时为减重和提高测控系统性能，在电气设备中越来越多地采用复合材料[1]。复合材料的使用在减小设备质量的同时也降低了机体对外电磁屏蔽效能，增加了机体内电气设备对雷电环境的敏感度[2]。1988年9月，越南一架客机在曼谷上空受到雷击，76名乘客遇难。2010年，哥伦比亚一架飞机遭雷击，飞机断为3段。这些事故的原因是雷电电磁脉冲(Lightning electromagnetic pulse，LEMP)引起电气设备及系统异常[3],因此提升电气设备抗雷电能力至关重要。

控制器作为箭上关键单机，是飞行控制的核心，其对雷电环境的适应性，直接影响火箭雷电环境飞行的安全性[4]。本文提出一种综合加固设计方法，通过分别对控制器硬件、软件、壳体、电缆4方面采取不同措施可以大幅度提升抗雷电电磁脉冲性能，经试验验证控制器在抗雷电电磁脉冲强度方面能够满足任务要求。

1 现状调研

经雷电环境研究结果，为保证新一代火箭对雷电环境的适应能力，要求控制器在不低于1500A的传导雷电电磁脉冲环境下不出现指令误发、设备重启、降级或失效[5]。

围绕抗强电磁脉冲能力对现有航天飞行控制器进行调查，查阅目前产品相关技术文件，考虑到体积和质量的限制，共计6种控制器具备一定的抗电磁脉冲设计。对各单机进行了雷电间接效应抗扰度试验，试验表明参试产品最高抗扰强度仅达到1300A，低于任务需求。现场照片见图1，试验情况见表1。

图1 雷电间接效应抗扰度试验现场照片Fig.1 Test for the equipment susceptibility to LEMP

序号产品代号抗扰强度异常现象1K-1≤1200A设备重启2K-2≤1300A误发指令3K-3≤1100A设备重启4K-4≤1000A误发指令5K-5≤1000A设备失效6K-6≤500A误发指令

2 综合加固设计方法

2.1 控制器的组成

控制器由硬件、软件、壳体、电缆4大部分组成(见图2)，其中硬件由电源板、CPU板和指令板组成，软件由计算模块、控制模块和信息模块组成。

图2 控制器组成Fig.2 Composition of controller

2.2 抗雷电电磁脉冲强度分析及设计

将雷电电磁脉冲干扰下失效视为故障结果事件，利用故障树(FTA)分析法(见图3)[6]，分5个层次17个节点梳理出控制器加固设计的关键环节。通过软硬件结合设计，达到最优加固效果。

图3 失效因果图Fig.3 Failure tree analysis

2.2.1 壳体加固设计

壳体加固设计是保证设备在电磁脉冲干扰下正常工作必不可少的第一层屏障，整机应设计为一个屏蔽体，并对整个结构进行密封，减少壳体上存在的缝隙。壳体缝隙用导电材料填充，确保整机搭接良好。采用从母板上引线至外接插座的方式，减少从面板连接器引进的电磁干扰。对壳体屏蔽设计，对目前主要加固措施进行统计，见表2。

表2 壳体保护措施Tab. 2 Protective methods for shells

综合壳体强度、质量、工艺难度要求，并最大可能减少试验成本及研制周期，运用层次分析法(AHP)[7]对壳体在上述3个方面(材料、表面处理、接缝保护)的选用分别进行多方案优选评估，以壳体材料的选用为例，具体见图4和表3。

图4 AHP法方案优选Fig.4 Application of AHP

通过单项指标量化分析得到判断矩阵，其中各量化分析准则得分按照强度大、质量小、工艺难度低、周期短、成本低进行。

表3 3种方案的层次总排序Tab.3 Result of AHP method

根据AHP的评估分析结果，采用得分最高的方案1铝合金材料壳体作为新型控制器的材料方案。

经过同样的方式，对表面处理方式及接缝保护方法分别进行优选，最终确定壳体加固总方案，即铝合金材料外壳，表面采用导电氧化处理，接缝采用导电泡棉进行防护的方案。

2.2.2 硬件加固设计

硬件加固是设备加固设计的核心和关键环节，必须确保设备接口及核心器件不出现永久失效。

硬件加固主要考虑通过衰减、滤波、瞬态抑制等硬件手段对板级硬件接口进行加固，衰减电磁脉冲的幅度和能量，防止电浪涌进内部核心电路，提高系统的抗电磁脉冲能力。基于对各硬件电路板接口分析，进行针对性加固设计。

(1)电源板

电源板的功能是对控制器输入电源进行调压，满足控制器额定电压需求。对电源板的保护设计关键在于电源输入端的保护。电源输入保护电路设计如图5所示。

图5 电源输入保护电路Fig.5 Protective circuit for power entries

电磁脉冲注入后，第一级的电容在电磁脉冲对应的频段表现出低阻抗，起到滤波作用，第二级TVS晶闸管对超过一定幅值的电磁脉冲表现出低阻抗，起限幅作用。磁珠实现两级之间的滤波隔离。

(2)CPU板

电磁脉冲干扰可能对CPU产生干扰，使CPU运行故障。CPU故障分为永久损伤和瞬时故障，对于永久损伤，CPU不可恢复，主要措施集中在CPU瞬时故障恢复方法。

瞬时故障主要依靠FPGA进行故障恢复，故障检测与恢复的过程采用监测电路对死机故障检测和定位，产生CPU的重新启动信号，进入预装的死机恢复程序段和初始状态，利用被保护RAM中的保护信息恢复死机前正常的信息及相关参数，在发生瞬时故障后的2个控制周期内重新启动正常的工作节拍和运算周期。

(3)指令板

指令板采集地面系统发出的启动信号，将其作为系统启动信号。信号形式为28V脉宽信号，持续时间200ms的开关信号。对28V开关量输入保护电路进行设计，使用晶闸管的限幅功能，对硬件接口进行保护设计，当其两端电压超过一定数值时，晶闸管导通，如图6所示。

图6 开关量输入保护电路Fig.6 Protective circuit for digital inputs

2.2.3 软件加固设计

软件加固以硬件加固为基础，是硬件加固的补充和完善，主要为避免硬件加固无法全面保护时，泄露的电磁脉冲产生错误触发信号，干扰正常程序的运行。

从软件的故障模式出发，基于对软件功能的分析，确定软件加固采用瞬时故障检测与恢复、数字滤波及容错方式进行软防护，保证硬件发生瞬时故障或存在程序跑飞的情况下，能自动检出故障并自动恢复正常运行，完成指定的任务，使软件具有自我修复功能。

(1)瞬时故障检测与恢复

瞬时故障检测与恢复通过软、硬件结合，协同动作完成。通过定义硬件故障模式的特征，在瞬时故障发生时识别故障，通过软件读取被保护RAM中的保护信息对数据进行恢复。

(2)数字滤波及容错

数字滤波主要将输入内部电路的信号都在可编程逻辑器件中进行脉冲宽度监测，设定阈值，低于阈值的信号就认为是干扰信号，将其滤除，这样被滤波整形的输入信号就不会对内部电路产生干扰了。

容错设计主要是软件运行到一定的判断语句时，设定一定的等待时间，如果在规定的时间内没有达到判断条件，则退出该分支，避免陷入死循环中程序无法正常运行。

2.2.4 电缆加固设计

电缆是电磁脉冲耦合的重要途径之一，耦合产生的电压极易对硬件接口形成干扰。对电缆进行屏蔽材料包裹，且将屏蔽材料与设备外壳进行导通连接，是电缆加固的主要内容。

电缆保护设计一般采用抗核加固成缆或电缆屏蔽层保护设计。鉴于控制器为飞行产品，需严格控制质量，成缆硬度大，质量大。加固电缆使用单层360目铜网屏蔽电缆，在满足设计指标要求的情况下尽量减重。

2.3 加固设计方案及效果

结合控制器的特点，通过分别对硬件、软件、壳体、电缆4方面采取不同措施进行加固设计，达到最优的抗电磁脉冲性能，确定了研制新型控制器的最佳方案(见图7)。

图7 新型抗电磁脉冲控制器最佳方案Fig.7 Optimal hardening design for controllers

2.3.1 壳体保护设计

控制器在结构上采用铝合金材料外壳，表面采用导电氧化处理，接缝采用导电泡棉进行防护的方案，集成小型化设计，各模块均通过针孔式连接器插在母板上，通过背板连接实现通讯控制功能。

对加工好的壳体进行电磁屏蔽效能测试，壳体屏蔽效能达到45dB，试验数据如图8所示。

图8 壳体屏蔽能测试结果Fig.8 Shielding effectiveness of shell

2.3.2 硬件保护设计

按照设计方案对电源板、CPU板、指令板分别进行针对性的保护设计，达到硬件防护最优效果，硬件板见图9。

图9 硬件产品图Fig.9 Hardened avionics boards

电源板27V～35V输入，+5V、+30V输出；CPU板10ms内识别瞬时故障状态；指令板按规定延时输出+28V/200ms脉宽信号。

2.3.3 软件保护设计

按照设计方案在抗电磁脉冲软件设计中，采用瞬时故障检测与恢复、数字滤波及容错方式进行软防护，保证硬件发生瞬时故障或存在程序跑飞的情况下，能自动检出故障并自动恢复正常运行，完成指定的任务。

20ms内进行CPU故障恢复；对输入信号进行数字滤波设计，滤波宽度30ms；软件进行容错设计，最长等待时间50ms。

2.3.4 电缆保护设计

按照设计方案对电缆使用单层360目铜网进行屏蔽，在满足设计指标要求的情况下尽量减重。对电缆屏蔽层进行敷设、焊接，并对电缆屏蔽效能进行测试，如图10所示。

图10 三同轴法电缆屏蔽效能测试Fig.10 Shielding effectivness test with tri-axial method

根据三同轴法对电缆屏蔽效能进行测试[8]，屏蔽电缆屏蔽效能达到70dB。

2.3.5 整机总成调试

将板级嵌入软件进行烧写，烧写完毕后对硬件功能板进行组装，如图11所示。安装完毕后对单机功能进行测试，确保软、硬件协调匹配，点火指令发出正常。

图11 整机组装测试Fig.11 Post-assembly test

3 试验验证

为验证新型控制器的抗雷电电磁脉冲强度达到1500A要求，对生产的3台控制器进行了雷电间接效应抗扰度试验。试验对3台单机进行共计29发次的雷电脉冲试验，试验量级从500A～2000A。试验现场照片见图12，试验结果见表4。

图12 雷电间接效应抗扰度试验现场照片Fig.12 LEMP immunity test

序号产品编号电磁脉冲强度发次试验结论123401500A2合格1000A3合格1500A3合格2000A3合格567021000A3合格1500A3合格2000A3合格8910031000A3合格1500A3合格2000A3合格

试验表明，3台单机雷电脉冲抗扰度均大于2000A，已超出预定指标要求。

4 结论

抗雷电电磁脉冲控制器综合加固设计方法能有效提升控制器抗雷电电磁脉冲性能，加固方法通过环境试验验证，措施有效。该方法具有良好的可移植性，适用于对传统仪器的加固改造，具有推广应用价值，可有效提升各类电气产品抗雷电电磁脉冲能力。

[1] 赵毅. 大型客机油箱结构雷电点火源防护验证[J]. 高电压技术, 2017, 43(5): 1432-1437.

[2] 陈曦, 曹雷团, 吴强, 等.碳纤维复合材料的屏蔽效能[J].宇航材料工艺，2014，44(2):58-61.

[3] 滕向如, 刘光斌, 余志勇, 等. 飞行器雷电间接效应危害及其防护研究[J]. 环境技术, 2014 (S1): 130-133.

[4] 刘伟, 陈曦, 杨秀山, 等. 网络控制系统及其在航天领域中的应用研究[J]. 导弹与航天运载技术, 2015 (1): 56-60.

[5] MIL-STD-461G Requirements for the control of electromagnetic interferernce characteristics of subsystems andequipment [S].2007.

[6] 朱慧丽, 马玉林, 徐姜楠. 故障树分析在可靠性, 安全性分析中的作用与运用[J]. 航空电子技术, 2014, 45(4): 20-25.

[7] 任丽超, 栗振锋, 邢继星, 等. 基于改进 AHP 算法的桥梁风险评估模型的研究[J]. 太原科技大学学报, 2016, 37(1): 59-64.

[8] IEC 62153-4-3-2002 Metallic communication cable test methods-part 4-3: electromagnetic compatibility(EMC)-surface transfer impedance-triaxial method[S].2002.