EGCU MYRIADE Retour d expérience T. CHAPUIS DCT/SB/CC DEMETER PARASOL ESSAIM
Sommaire Présentation mission DEMETER Présentation calculateur EGCU Architecture générale Composants commerciaux utilisés Prise en compte des effets des irradiations Retour d expérience Bilan utilisation Problèmes en orbite Conclusion CCT Composants 08/01/08 2
La mission scientifique DEMETER CCT Composants 08/01/08 3
Enregistrement continu champ électrique et magnétique sauf aux pôles Mode burst avec débit de données de 1.8 Mbits/s pour les zones les plus intéressantes (données brutes) Mode survey avec débit de 25 kbits/s (traitement données à bord) hors de ces zones La mission scientifique DEMETER CCT Composants 08/01/08 4
La charge utile scientifique DEMETER Etude des caractéristiques des ondes électromagnétiques (basse fréquence) de l ionosphère à l aide des instruments : ICE (CETP) : Instrument Champ Electrique (mesure des 3 composantes du champ électrique dans la gamme 0-3 MHz à l aide de 4 antennes électriques déployables) IMSC (LPCE) : Instrument Magnétomètre Search Coil (mesure des 3 composantes du champ magnétique dans la gamme 10 Hz - 18 khz avec 3 capteurs magnétiques fixés à l extrémité d un bras déployable) IDP (CESR) : Instrument Détecteur de Plasma (mesure du spectre d énergie des électrons) ISL (ESTEC) : Instrument Sonde de Langmuir (mesure densité du plasma) IAP (CETP) : Instrument Analyseur de Plasma pour mesure de la densité, de la température et de la vitesse des ions du plasma CCT Composants 08/01/08 5
La charge utile technologique DEMETER Développement de nouveaux équipements pour la filière MYRIADE suite à des études préalables menées dans le cadre de la R et T du CNES TMHD : TéléMesure Haut Débit pour la TM bande X EGCU : Equipement Gestion de la Charge Utile comportant une Mémoire de Masse de 8 Gbits Expériences technologiques COA : Contrôle Autonome d Orbite pour valider le fonctionnement d un système de contrôle d orbite à bord basé sur un GPS et commandant le soussystème propulsion THERME : Etude de l effet de l environnement sur certains revêtements thermiques PYROLASER : Cisaille pyrotechnique commandée par un initiateur optique CCT Composants 08/01/08 6
Architecture informatique de la CU DEMETER &"! &( &" "#" % % " %& %& %"' "#$ CCT Composants 08/01/08 7
Blocs fonctionnels de l EGCU DEMETER & &( &" & "+, -./ + "+, -./ ) *& + 0 "70!(!( 123)4526) " &( &"&" CCT Composants 08/01/08 8
Exigences principales Réduction importante du coût de l équipement et fortes contraintes de masse et consommation Utilisation de composants et de standards commerciaux indispensable pour tenir les exigences de masse et de consommation Forte implication du CNES dans la spécification et la conception de l équipement : conception MdM en interne avec réalisation d un FPGA et reprise d éléments ou de concepts développés pour l OBC Sous-traitance avec des PME Prise de risque acceptée (pas d objectif chiffré de fiabilité et très peu de redondances) Performances obtenues Masse 3.9 kg et encombrement réduit (L 220 x l 176.5 x h 142.5 mm) Consommation de 10 W avec MdM en écriture/lecture et GPS alimenté Coût récurrent d un module de l ordre de 40 000 CCT Composants 08/01/08 9
Exigences principales Respect des exigences fonctionnelles Gestion des équipements de la Charge Utile et de la liaison avec le calculateur de la plate-forme avec un souci de simplification des interfaces et de minimisation des contraintes temps réel Besoin d une Mémoire de Masse de 8 Gbits devant satisfaire des exigences de débit d écriture et de lecture avec possibilité d écriture/lecture simultanées Flexibilité nécessaire pour pouvoir utiliser le produit pour d autres missions avec le minimum de modifications (besoin MYRIADE) Tenues aux contraintes de l environnement spatial Mécanique : vibrations et chocs mécaniques Thermique : plage de fonctionnement et vide thermique CEM : performances en émission et susceptibilité conduites Radiation Robustesse de la conception vis à vis des effets singuliers (upset et latch-up) Tenue minimum à la dose cumulée des composants électroniques (5krad) CCT Composants 08/01/08 10
Composition de l EGCU DEMETER Module CV1 : alimentations secondaires de l EGCU (5V et 3.3V) Module CV2 : alimentations secondaires du GPS TOPSTAR et commande de la Pyrolaser Module CPU : calculateur central basé sur µp T805 avec mémoire RAM de 1 Gbits et FlashEPROM Module I/O : 4 voies E/S génériques programmables (2 numériques et 2 analogiques) Module UCM : contrôleur de la MdM, génération d horloge et gestion du RESET du module CPU Modules UPM1 et UPM2 : plan mémoire à base de FlashEPROM SAMSUNG 128 Mbits (4 Gbits par module) 3 modules récurrents OBC CV1, CPU et I/O CCT Composants 08/01/08 11
Le boîtier EGCU DEMETER & 3 &. ). & % )3 CCT Composants 08/01/08 12
Architecture informatique Reprise des concepts de l OBC Calculateur central basé sur un T805 fonctionnant à 20 MHz Choix du bus I2C (standard commercial) comme bus interne de communication (faible consommation et simplicité) Décentralisation de certaines fonctions assurées par des microcontrôleurs PIC 16C76 de chez MICROCHIP Définition d un protocole sur le bus I2C de type maître/esclave Utilisation du module I/O générique (chaque voie est programmable à l aide d un PIC) et adaptation des interfaces pour la CU DEMETER Utilisation de mémoires non volatiles FlashEPROM 8 Mbits (ATMEL AT45DO81) avec accès série SPI pour limiter l encombrement du bus et la consommation (stockage logiciel et table des secteurs de la MdM) Utilisation de mémoires non volatiles Ferroélectriques 2k x 8 bits (RAMTRON FM24C16S) avec accès série I2C (stockage contexte logiciel EGCU et configuration PIC) CCT Composants 08/01/08 13
Architecture informatique EGCU DEMETER **> "> > >?:@3B "+, "; ">)> 5 + "; & ';3 ++ "; &% ';6 9:1 ';: &% *& &% # % &%! &% <= &% <. &% <6 &% <3 ' 1 + >0 "70 &( &"&" "; *& C *%* &!8 >! '>?:@AB CCT Composants 08/01/08 14
Architecture électrique Choix des convertisseurs de chez GAIA pour des raisons de coût et d encombrement, suite à leur utilisation pour le projet ROSETTA Redondance des convertisseurs GAÏA pour le module CV1 (peu d informations sur la fiabilité du produit) Basculement automatique sur CV redondant si tension secondaire hors limites Possibilité également de commander le basculement sur le CV redondant Gestion fine de la commutation des alimentations locales Contrôle des alimentations géré au niveau de chaque fonction Commande de mise ON/OFF par bus spécifique (bus CMT) contrôlé par un microcontrôleur PIC Décodage local de la commande au niveau de chaque sous-ensemble fonctionnel (utilisation décodeur MOTOROLA MC 1405027) Chaque décodeur contrôle plusieurs circuits jouant le rôle d interrupteurs et de limiteurs de courant (MAXIM MAX 890, MAX 891, MAX 892) Réglage local du seuil de déclenchement en courant afin de couper automatiquement l alimentation locale en cas de latch-up ou de surconsommation CCT Composants 08/01/08 15
Conception de la Mémoire de Masse Choix mémoires FlashEPROM SAMSUNG 128 Mbits KM29U128IT Faible consommation et performances compatibles des débits demandés (sauf écriture/lecture simultanée sur un même composant contrainte de programmation) Largeur du bus réduite car multiplexage adresses et données Sélection fin 1998 en collaboration avec AQ Tenue en dose de l ordre de 8 krad Insensible aux protons, mais impossibilité de réaliser les essais aux ions lourds (masquage par le lead-frame) Exigences de TEB peu sévères (< 10-6 ) Pas de correction d erreur implantée car risque d upset estimé faible Contrôle au niveau du sol pour vérifier cohérence de la télémesure (contrôle formatage en paquets CCSDS et traitements sur données scientifiques) Pas de mise OFF des FlashEPROM car durée de vie limitée à 2 ans et la MdM est accédée en écriture pendant 80% du temps Flexibilité de la conception Compatible avec l utilisation de FlashEPROM 256 Mbits (utilisée pour PARASOL et capacité portée à 16 Gbits avec le même encombrement) Possibilité d avoir jusqu à 4 modules mémoire CCT Composants 08/01/08 16
Architecture Mémoire de Masse!8, *%* *%*,!8 *0& &% %3> &% *0& *& & &% #<# **&% %3> &%! ***& *%* #<# ***0& CCT Composants 08/01/08 17
Robustesse de la conception (exemples) Mémoire du calculateur Mémoire de Masse Microcontrôleurs PIC Protocoles de communication Chien de garde Causes de redémarrage du calculateur CCT Composants 08/01/08 18
Protections de la Mémoire du calculateur Mémoire DRAM 2 Moctets tripliqués et votés Tolérance à une défaillance de DRAM Contient le code et les données du logiciel LVEGCU 120 Moctets protégés par EDAC La fonction EDAC (intégrée dans le FPGA CPU) permet de corriger les erreurs simples et de détecter les erreurs doubles Dans le cas d une erreur simple la donnée est corrigée à la volée mais n est pas réécrite dans la mémoire Mémoire FlashEPROM Zone mémoire composée de 3 FlashEPROM 8 Mbits ATMEL AT45DO81 Accès en écriture et en lecture (de type série) gérés par le FPGA CPU Fonction de triplication des données avec vote en lecture d où tolérance à une panne sur un composant Zone de boot protégée en écriture Impossibilité pour le LVEGCU de «polluer» la zone réservée au boot CCT Composants 08/01/08 19
Protections de la Mémoire de Masse Défaillances au niveau de la table des secteurs Taille de la table de 1 Mbits pour une capacité de stockage de 8 Mbits Chaque adresse a été tripliquée et fonction de vote des données lors de la lecture pour être robuste à une corruption de type SEU Fonctionnement possible sans utiliser la table des secteurs (mode dégradé). Dans ce cas tous les secteurs sont déclarés valides Problème de latch-up sur le plan mémoire Limiteurs de courant implantés localement sur les tensions 3.3 V et 5V Montée d un signal d alarme dans le cas d une surconsommation surveillé par le logiciel central de l EGCU et provoquant la mise OFF de la MdM Prise en compte de certaines anomalies au niveau des PICs Redémarrage automatique du PIC avec coupure d alimentation en cas de latch-up et upset provoquant un dysfonctionnement grave du logiciel du PIC Forte observabilité du fonctionnement de la MdM Messages d erreurs générés par FPGA (FIFO observabilité) ou PICs (table anomalie) CCT Composants 08/01/08 20
Robustesse des PIC Chien de garde Pour chaque PIC, existence d un compteur cadencé à 1 khz dont le débordement va provoquer le redémarrage du PIC. Plusieurs valeurs possibles pour la période de déclenchement du chien de garde (choix sortie du compteur) Service de rafraîchissement du chien de garde assuré par le logiciel du PIC (activation périodique de la broche de RESET du compteur) Permet de détecter un dysfonctionnement grave du logiciel et va provoquer la coupure temporaire de l alimentation du PIC Protection surconsommation Utilisation du signal /FAULT du circuit MAX892 pour couper temporairement l alimentation du PIC dans le cas d une surconsommation (latch-up) Dans les deux cas, redémarrage automatique du PIC après une indisponibilité temporaire proche de 2 fois la période de déclenchement du chien de garde CCT Composants 08/01/08 21
Robustesse des communications Définition de protocoles Au niveau bus I2C (interne) Au niveau OS/link (communication avec l OBC) Rajout de checksum pour contrôler la validité d un paquet Principe d acquittement de l abonné interrogé Détection de time-out Gestion d erreur du bus I2C implantée au niveau du LVEGCU Principe de réémission une seule fois en cas d erreur Génération d un message d anomalie spécifique CCT Composants 08/01/08 22
Fonction chien de garde global (1/2) Fonction assurée par le PIC de reprise qui peut : provoquer un RESET général en activant le signal RESET_FDP couper l alimentation du T805, du FPGA CPU, des PICs et de la MdM Déclenchement du chien de garde basé sur deux signalisations : Détection d un signal périodique RAZ_WDG (période 2s) généré par le LVEGCU à partir du signal de synchronisation CLK_1Hz transmis par la plate-forme Détection de trames d écriture ou de lecture valides sur le bus I2C TM/TC indiquant au PIC de reprise que la communication avec LVEGCU est opérationnelle Déclenchement du chien de garde du PIC de reprise si absence de signal RAZ_WDG et absence de trames I2C pendant 6 secondes 1 seconde Td Td Td Clk_1Hz 2 secondes /RAZ_WdG CCT Composants 08/01/08 23
Fonction chien de garde global (2/2) Sauvegarde dans la FRAM du PIC de reprise de l état de certains signaux du bus fond de panier et transmission d un paquet de télémesure lors de la phase de démarrage du LVEGCU Test par le PIC de reprise des signaux /Fault (un niveau 0 sur un de ces signaux est révélateur d un problème d alimentation interne) Si pas de signal /FAULT actif génération d une impulsion calibrée pour le signal RESET_FDP (simple RESET) Si un signal /FAULT actif Mise OFF de toutes les alimentations internes de l EGCU (sauf le PIC de reprise) puis remise ON et génération d une impulsion calibrée pour le signal RESET_FDP (essai de passivation de la surconsommation) CCT Composants 08/01/08 24
Causes possibles de redémarrage de l EGCU Déclenchement du chien de garde local du PIC de reprise de période 256 ms Contrôle de cohérence par le FPGA CPU des adresses générées par le T805 : Génération d une interruption dans le cas d une adresse hors de la zone adressable Gel de toutes les activités du LVEGCU afin de faire déclencher le chien de garde global du PIC de reprise (latence 6 secondes) Déclenchement du chien de garde global du LVEGCU suite à un plantage du LVEGCU (période égale à 6 secondes) Déclenchement du chien de garde du LVOBC de période 30 secondes suite perte de communication entre EGCU et OBC Mise OFF puis mise ON automatique de l EGCU par l OBC CCT Composants 08/01/08 25
Choix technologiques Forte utilisation de composants commerciaux (81% des actifs) T805 STM et microcontrôleur PIC 16C76 MICROCHIP DRAM 64 Mbits et FlashEPROM 128 Mbits SAMSUNG FlashEPROM série ATMEL 8 Mbits et FRAM série RAMTROM 16 kbits Nombreux circuits de chez MAXIM (driver, switch + limiteur de courant, CAN, régulateur tension, multiplexeur analogique) Modules CV de chez GAIA Quelques composants intégrés spatiaux FPGA ACTEL version Rad Tolerant : conception en VHDL et maquettage préliminaire avec FPGA ALTERA reprogrammable FIFO 16 k octets TEMIC CD4060 et CD4099 INTERSIL CCT Composants 08/01/08 26
Choix technologiques Utilisation majoritaire de composants en boîtier plastique et report type CMS Pas d utilisation de technologies de type 3D ou d hybridation (contrainte de coût), sauf mémoire du CPU (utilisation de stacks de chez 3 D+ constitués de 4 DRAM en boîtier TSOP) Sous-traitance des opérations de report et de câblage des composants à la société RESA (qualification technologique sur cartes de test) Equipement constitué de modules empilables Flexibilité de la configuration Connecteurs de fond de panier de type FRB et liaisons filaires soudées entre modules Utilisation connecteurs externes type SubHD et limitation des types CCT Composants 08/01/08 27
Module UCM CCT Composants 08/01/08 28
Module UPM CCT Composants 08/01/08 29
Sélection des composants Activité gérée au niveau du projet MYRIADE Travail en étroite collaboration avec services AQ du CNES pour établir et finaliser la liste des composants Analyse de criticité pour chaque type et effort de réduction des types (reprise au maximum des types utilisés pour l OBC) Application fréquente du critère de similarité pour limiter les essais d évaluation Essais irradiation ions lourds ou dose cumulée sur technologies inconnues (un essai dose cumulée réalisé sur MQ OBC) et critère de sélection à 5 krad pour EGCU DEMETER (dérogation par rapport à la contrainte générale du projet de 15 krad) CCT Composants 08/01/08 30
Sélection composant FlashEPROM Approvisionnement initial de 30 pièces : Réalisation des essais irradiation Fabrication du prototype de la MdM (16 composants) Approvisionnement par CNES du lot de vol dès obtention des résultats radiation (partiels) pour couvrir besoins DEMETER et ESSAIM Différence de comportement électrique observé sur maquette entre premiers échantillons et pièces du lot de vol Modification du FPGA pour prendre en compte cette différence Sérialisation des FlashEPROM 128 Mbits réalisée au CNES (AQ) Pas de problème rencontré lors de la sérialisation En moyenne 5 secteurs défectueux par composant pour un maximum de 20 annoncé par SAMSUNG Approvisionnement de FlashEPROM 256 Mbits pour PARASOL CCT Composants 08/01/08 31
Approvisionnement des composants Premiers approvisionnements stratégiques EGCU lancés par le CNES FlashEPROM SAMSUNG FIFO TEMIC Sous-traitance à ASTRIUM pour Gestion des tâches d approvisionnement, de stockage, de déstockage et de dispatching (avec contrainte de respecter la chaîne du sec pour les composants en boîtier plastique) Gestion du stock : plus de 300 références Grande réactivité nécessaire pour tenir les délais d approvisionnement et trouver les références demandées Prise en charge par CNES des essais de lot (si existants) Essais radiation DPA CCT Composants 08/01/08 32
Bilan fabrication/qualification Pas de problème majeur concernant les délais d approvisionnement des composants Peu de problèmes composant lors de la fabrication et le test de l équipement Peu d anomalies lors des essais de qualification de l équipement RAS lors des essais mécaniques Une seule non-conformité pour la MdM lors des essais à froid (-25 l utilisation de composants en gamme industrielle [-40 C, 85 Défaillance d un CV GAÏA (problème générique au niveau de la résine d encapsulation) Mise à niveau EGCU DEMETER et complément de qualification C] C) malgré CCT Composants 08/01/08 33
Bilan en orbite EGCU DEMETER : Juillet 2004 EGCU PARASOL : Décembre 2004 EGCU ESSAIM (4) : Décembre 2004 Durée cumulée en orbite = 18,5 ans CCT Composants 08/01/08 34
Prédictions Période de 18 ans pour le T805 Période de 2,5 ans pour le PIC Sensibilité SEU Observations 1 Reset général sur l EGCU PARASOL en Aout 2006 Déclenchement du chien de garde global de 6 secondes Latitude de 76 N au moment de l anomalie RAS pour les PIC Pas de reboot de PIC Pas d erreur de protocole I2C Une erreur sur la liaison UART du GPS DEMETER EDAC DRAM Pas de comptage à bord Sensibilité non connue CCT Composants 08/01/08 35
Sensibilité SEU DSP BANT (ADSP 21060) Bilan des SEU détectés par le logiciel du BANT Scrubbing de la mémoire Contrôle par Checksum Equipement hors tension aux pôles CCT Composants 08/01/08 36
Sensibilité roues TELDIX Localisation des passages intempestifs en mode standby MYRIADE Reaction wheels transitions in standby mode and South Atlantic Anomaly Reference Boundaries 90 Anomalie roue 1334 Km, 10e5 Electrons/cm2/sec, E > 1 MeV 1334 Km, 10e3 Protons/cm2/sec, E > 20 MeV 60 Latitude North (deg) 30 0-30 -60-90 -180-150 -120-90 -60-30 0 30 60 90 120 150 180 Longitude East (deg) CCT Composants 08/01/08 37
Défaillance secteurs Mémoire de Masse MdM DEMETER 65 536 secteurs possibles 323 invalides au départ 3 secteurs supplémentaires défaillants : 04/2005; 06/2006 ; 02/2007 Défaillance confirmée par autotest MdM reconfigurée MdM PARASOL 28 invalides au départ Aucune défaillance enregistrée MdM ESSAIM (4) Environ 250 secteurs invalides par MdM 2 défaillances supplémentaires (1 par équipement) CCT Composants 08/01/08 38
Disponibilité mission Filière Disponibilité système Disponibilité données Causes principales de perte de disponibilité SPOT4 99,8% Disponibilité station bande X (0,98) non prise en compte SPOT5 98.2% Disponibilité station bande X (0,98) non prise en compte Anomalies MTS JASON 1 97,2 % 4 passages en mode survie Erreur sur mémoire calculateur central CALIPSO 99,8% 92,85% Disponibilité CU plus faible car besoin de couper le laser lors d éruptions solaires DEMETER 83,4% Survies satellite COA Problèmes bande X PARASOL 87,61% 86,23% Passages en survie sur problème senseur stellaire CCT Composants 08/01/08 39
Conclusions Très peu d anomalies observées Perturbations liées aux radiations quasi-inexistantes Environnement radiation modéré Orbite polaire avec altitude entre 600 et 700 km Bon comportement en orbite des mémoires FlashEPROM Pas d utilisation de redondances Calculateurs EGCU remplissent parfaitement leur mission Prises de risques se sont avérées payantes Pas d impact négatif lié à une large utilisation de composants commerciaux CCT Composants 08/01/08 40