摘要：核能設(shè)施數(shù)字化儀控系統(tǒng)對總線通信鏈路的功能安全性與抗輻照能力提出了嚴苛要求，尤其是在反應(yīng)堆本體及乏燃料池等高輻射場環(huán)境中。本文以國科安芯推出的AS32S601型MCU與ASM1042S2S型CANFD收發(fā)器為研究對象，基于質(zhì)子加速器單粒子效應(yīng)試驗、鈷源總劑量效應(yīng)試驗、重離子輻照試驗及脈沖激光等效模擬等多維度評估數(shù)據(jù)，系統(tǒng)分析其在核工業(yè)極端環(huán)境下的功能安全等級符合性。

1、引言

隨著核能設(shè)施向智能化、數(shù)字化方向演進，現(xiàn)場總線通信已成為連接反應(yīng)堆保護系統(tǒng)、核島監(jiān)測系統(tǒng)及事故后監(jiān)測系統(tǒng)的核心技術(shù)。CANFD協(xié)議憑借其高帶寬、確定性時延及多主節(jié)點仲裁機制，在核級儀控系統(tǒng)中逐步替代傳統(tǒng)4~20 mA模擬信號傳輸。然而，核反應(yīng)堆一回路附近存在γ射線與中子混合輻射場，累積劑量率可達103 rad(Si)/h以上，且伴隨高能中子引發(fā)的位移損傷效應(yīng)，對通信鏈路上的微控制器與收發(fā)器構(gòu)成嚴峻挑戰(zhàn)。國際上核級儀控系統(tǒng)普遍遵循IEC 61508與IEC 61513標準，要求關(guān)鍵通信鏈路達到ASIL-C甚至ASIL-D等級，而國內(nèi)在該領(lǐng)域的元器件評估體系尚不完善，依賴進口器件的局面制約了自主可控戰(zhàn)略的實施。

國產(chǎn)抗輻照加固芯片近年來通過地面模擬試驗與在軌驗證積累了大量數(shù)據(jù)。國科安芯推出的AS32S601型MCU與ASM1042S2S型CANFD收發(fā)器作為國產(chǎn)商業(yè)航天級芯片，已通過100 MeV質(zhì)子、鈷60 γ射線及重離子加速器多維度考核。本文基于其完整的輻照試驗數(shù)據(jù)鏈，結(jié)合功能安全等級分析方法論，系統(tǒng)評估其在核工業(yè)場景下的適用性，旨在構(gòu)建從器件級考核到系統(tǒng)級驗證的閉環(huán)評估框架。

2、國產(chǎn)化元器件技術(shù)特性與功能安全基礎(chǔ)

2.1 MCU架構(gòu)與功能安全機制

AS32S601型MCU采用32位RISC-V指令集內(nèi)核，主頻180 MHz，集成2 MiB主Flash、512 KiB數(shù)據(jù)Flash及512 KiB SRAM，均配備SECDED糾錯碼機制。該器件通過LQFP144封裝實現(xiàn)144個GPIO引腳，支持4路CANFD接口，其功能安全等級按ASIL-B等級設(shè)計。關(guān)鍵安全機制包括雙看門狗定時器、內(nèi)存保護單元、時鐘安全系統(tǒng)及錯誤收集與報告模塊。從功能安全要素分解角度，硬件故障裕度為1，單點故障度量需滿足≥90%，潛伏故障度量需滿足≥60%方可達到ASIL-B等級。其糾錯機制可覆蓋單比特翻轉(zhuǎn)，對多比特翻轉(zhuǎn)的檢測覆蓋率需通過故障注入試驗驗證。電特性參數(shù)顯示，IO驅(qū)動電流分四檔可調(diào)，輸入漏電流±10 μA，為核工業(yè)高電磁干擾環(huán)境提供了噪聲容限。

2.2 CANFD收發(fā)器功能特征

ASM1042S2S型收發(fā)器支持5 Mbps數(shù)據(jù)段速率與1 Mbps仲裁段速率，兼容ISO 11898-1:2015標準。該器件采用SOP8L封裝，集成待機模式與遠程喚醒功能，顯性功耗70 mA，隱性功耗2.5 mA，待機功耗僅5 μA。關(guān)鍵功能安全特性包括總線故障檢測、共模范圍-27 V~+32 V及TXD顯性超時保護。在CANFD通信鏈路中，收發(fā)器作為物理層器件，其失效模式直接影響數(shù)據(jù)鏈路層完整性。ASIL-B等級要求收發(fā)器的殘余故障率應(yīng)小于10 FIT，關(guān)鍵故障模式包括總線驅(qū)動失效、接收靈敏度退化及共模瞬態(tài)抗擾度不足。

3、抗輻照效應(yīng)試驗與失效模式分析

3.1 質(zhì)子單粒子效應(yīng)試驗結(jié)果

3.1.1 試驗條件與統(tǒng)計置信度

在中國原子能科學(xué)研究院100 MeV質(zhì)子回旋加速器上，兩款器件均接受了1×10? p·cm?2·s?1注量率、1×101? p·cm?2累積注量的考核。依據(jù)相關(guān)標準，若要證明器件在95%置信度下具備1×10??次/器件·天的單粒子翻轉(zhuǎn)發(fā)生率，需累積至少3倍于預(yù)期事件數(shù)的注量而無失效。試驗中累積注量對應(yīng)的等效在軌天數(shù)超過10?天，滿足統(tǒng)計顯著性要求。

3.1.2 MCU質(zhì)子SEE響應(yīng)

試驗結(jié)果顯示，AS32S601型MCU在100 MeV質(zhì)子輻照下工作電流穩(wěn)定，未觀測到單粒子鎖定或翻轉(zhuǎn)現(xiàn)象。其512 KiB SRAM帶糾錯保護，在試驗中未報告可糾正錯誤，表明質(zhì)子誘發(fā)的單比特翻轉(zhuǎn)率低于10?? bit?1·day?1。然而，質(zhì)子可能引發(fā)鎖相環(huán)的瞬時擾動，雖未導(dǎo)致功能中斷，但需在系統(tǒng)級增加時鐘穩(wěn)定時間監(jiān)測。從功能安全角度，該結(jié)果支持單點故障度量≥90%的論斷，但需補充故障樹分析中的共因失效評估。

3.1.3 CANFD收發(fā)器質(zhì)子SEE響應(yīng)

收發(fā)器在同等條件下工作電流約8 mA，通信誤幀率為零。值得注意的是，質(zhì)子可能穿透SOP8L塑封材料，在內(nèi)部高壓LDMOS器件中引發(fā)微劑量效應(yīng)，導(dǎo)致驅(qū)動電流緩慢退化。試驗中未監(jiān)測到此現(xiàn)象，但長期可靠性需通過168小時質(zhì)子輻照后參數(shù)漂移測試補充驗證。從ASIL-B要求看，收發(fā)器的殘余故障率貢獻小于1 FIT，滿足鏈路級安全目標。

3.2 總劑量效應(yīng)與退火行為

3.2.1 累積劑量與劑量率效應(yīng)

鈷60 γ射線試驗采用25 rad(Si)/s劑量率，模擬核設(shè)施維修工況下的累積效應(yīng)。AS32S601型MCU在150 krad(Si)后電流下降2.2 mA，歸因于MOS器件閾值電壓漂移導(dǎo)致的亞閾值漏電減少。該變化在±5%容限內(nèi)，功能未受影響。依據(jù)增強低劑量率效應(yīng)評估，商業(yè)航天級器件在0.01 rad(Si)/s低劑量率下可能出現(xiàn)更大退化，需對核退役環(huán)境補充低劑量率試驗。

3.2.2 CANFD收發(fā)器的TID響應(yīng)機制

收發(fā)器的總劑量失效模式主要為總線驅(qū)動器的跨導(dǎo)退化與ESD保護二極管的漏電增加。試驗顯示其輸出差分電壓在150 krad(Si)后仍保持1.5~3 V范圍，但高壓側(cè)驅(qū)動器的導(dǎo)通電阻可能增大10%~15%。在CANFD總線終端匹配60 Ω負載下，該變化對信號完整性的影響需通過眼圖測試量化。功能安全分析中，需將此退化納入失效模式的檢測覆蓋率計算。

3.3 重離子單粒子鎖定閾值

被測收發(fā)器接受了74Ge離子（LET=37.4 MeV·cm2/mg）輻照，未發(fā)生單粒子鎖定。依據(jù)IEC標準，核設(shè)施中子與次級重離子的LET譜峰值集中于1~10 MeV·cm2/mg，但在屏蔽邊緣可能產(chǎn)生>30 MeV·cm2/mg的碎片離子。

脈沖激光試驗顯示AS32S601型MCU在LET>65 MeV·cm2/mg時發(fā)生單粒子翻轉(zhuǎn)，該結(jié)果因缺乏電荷軌跡效應(yīng)而偏樂觀。激光無法模擬重離子的電荷擴散與漏斗效應(yīng)，對深阱器件的評估誤差可達30%。因此，激光數(shù)據(jù)僅用于快速篩選，正式功能安全認證仍需依賴加速器重離子試驗。

4、核工業(yè)CANFD通信鏈路功能安全架構(gòu)

4.1 安全通信需求與ASIL分解

依據(jù)IEC 61513，核反應(yīng)堆保護系統(tǒng)通信鏈路的整體安全等級需達到SIL3。通過ASIL分解，可將CANFD總線降為ASIL-B，前提是采用雙通道冗余與獨立故障檢測。架構(gòu)設(shè)計為：每路CANFD總線由獨立收發(fā)器驅(qū)動，MCU實現(xiàn)端到端CRC校驗與序列號監(jiān)控，故障判定需同時檢測物理層與數(shù)據(jù)鏈路層錯誤。

4.2 雙冗余時間觸發(fā)架構(gòu)

為避免CANFD仲裁過程的不確定性，采用TTCAN協(xié)議預(yù)分配時間窗。雙總線互為熱備份，主總線故障切換至備用總線的最大中斷時間需小于10 ms，該要求源于反應(yīng)堆保護系統(tǒng)對傳感器更新周期的嚴格限制。MCU的180 MHz主頻可支持16個節(jié)點、1 ms周期調(diào)度表，其錯誤收集模塊匯集雙總線錯誤狀態(tài)，驅(qū)動故障安全輸出。

4.3 故障診斷覆蓋率量化

功能安全等級評估的核心是故障診斷覆蓋率。對收發(fā)器，關(guān)鍵故障模式包括總線開路、驅(qū)動能力退化及共模瞬態(tài)失效。對MCU，F(xiàn)lash糾錯可檢測99.6%的單比特翻轉(zhuǎn)，但對多比特翻轉(zhuǎn)覆蓋率僅60%，需配合軟件多副本投票提升潛伏故障度量。

5、結(jié)論與展望

國產(chǎn)MCU與CANFD收發(fā)器在質(zhì)子、總劑量及重離子輻照下表現(xiàn)出良好的抗輻照性能，試驗數(shù)據(jù)支持其達到ASIL-B功能安全等級。本文提出的雙冗余TTCAN架構(gòu)與故障診斷策略，可為國產(chǎn)化核級儀控系統(tǒng)提供參考。從工程實踐看，需跨越從航天級到核級的環(huán)境適應(yīng)性 gap，這不僅是技術(shù)挑戰(zhàn)，更是標準體系與工業(yè)生態(tài)的協(xié)同建設(shè)過程。

審核編輯 黃宇