摘要：核能設施數字化儀控系統(tǒng)對總線通信鏈路的功能安全性與抗輻照能力提出了嚴苛要求，尤其是在反應堆本體及乏燃料池等高輻射場環(huán)境中。本文以國科安芯推出的AS32S601型MCU與ASM1042S2S型CANFD收發(fā)器為研究對象，基于質子加速器單粒子效應試驗、鈷源總劑量效應試驗、重離子輻照試驗及脈沖激光等效模擬等多維度評估數據，系統(tǒng)分析其在核工業(yè)極端環(huán)境下的功能安全等級符合性。

1、引言

隨著核能設施向智能化、數字化方向演進，現場總線通信已成為連接反應堆保護系統(tǒng)、核島監(jiān)測系統(tǒng)及事故后監(jiān)測系統(tǒng)的核心技術。CANFD協議憑借其高帶寬、確定性時延及多主節(jié)點仲裁機制，在核級儀控系統(tǒng)中逐步替代傳統(tǒng)4~20 mA模擬信號傳輸。然而，核反應堆一回路附近存在γ射線與中子混合輻射場，累積劑量率可達103 rad(Si)/h以上，且伴隨高能中子引發(fā)的位移損傷效應，對通信鏈路上的微控制器與收發(fā)器構成嚴峻挑戰(zhàn)。國際上核級儀控系統(tǒng)普遍遵循IEC 61508與IEC 61513標準，要求關鍵通信鏈路達到ASIL-C甚至ASIL-D等級，而國內在該領域的元器件評估體系尚不完善，依賴進口器件的局面制約了自主可控戰(zhàn)略的實施。

國產抗輻照加固芯片近年來通過地面模擬試驗與在軌驗證積累了大量數據。國科安芯推出的AS32S601型MCU與ASM1042S2S型CANFD收發(fā)器作為國產商業(yè)航天級芯片，已通過100 MeV質子、鈷60 γ射線及重離子加速器多維度考核。本文基于其完整的輻照試驗數據鏈，結合功能安全等級分析方法論，系統(tǒng)評估其在核工業(yè)場景下的適用性，旨在構建從器件級考核到系統(tǒng)級驗證的閉環(huán)評估框架。

2、國產化元器件技術特性與功能安全基礎

2.1 MCU架構與功能安全機制

AS32S601型MCU采用32位RISC-V指令集內核，主頻180 MHz，集成2 MiB主Flash、512 KiB數據Flash及512 KiB SRAM，均配備SECDED糾錯碼機制。該器件通過LQFP144封裝實現144個GPIO引腳，支持4路CANFD接口，其功能安全等級按ASIL-B等級設計。關鍵安全機制包括雙看門狗定時器、內存保護單元、時鐘安全系統(tǒng)及錯誤收集與報告模塊。從功能安全要素分解角度，硬件故障裕度為1，單點故障度量需滿足≥90%，潛伏故障度量需滿足≥60%方可達到ASIL-B等級。其糾錯機制可覆蓋單比特翻轉，對多比特翻轉的檢測覆蓋率需通過故障注入試驗驗證。電特性參數顯示，IO驅動電流分四檔可調，輸入漏電流±10 μA，為核工業(yè)高電磁干擾環(huán)境提供了噪聲容限。

2.2 CANFD收發(fā)器功能特征

ASM1042S2S型收發(fā)器支持5 Mbps數據段速率與1 Mbps仲裁段速率，兼容ISO 11898-1:2015標準。該器件采用SOP8L封裝，集成待機模式與遠程喚醒功能，顯性功耗70 mA，隱性功耗2.5 mA，待機功耗僅5 μA。關鍵功能安全特性包括總線故障檢測、共模范圍-27 V~+32 V及TXD顯性超時保護。在CANFD通信鏈路中，收發(fā)器作為物理層器件，其失效模式直接影響數據鏈路層完整性。ASIL-B等級要求收發(fā)器的殘余故障率應小于10 FIT，關鍵故障模式包括總線驅動失效、接收靈敏度退化及共模瞬態(tài)抗擾度不足。

3、抗輻照效應試驗與失效模式分析

3.1 質子單粒子效應試驗結果

3.1.1 試驗條件與統(tǒng)計置信度

在中國原子能科學研究院100 MeV質子回旋加速器上，兩款器件均接受了1×10? p·cm?2·s?1注量率、1×101? p·cm?2累積注量的考核。依據相關標準，若要證明器件在95%置信度下具備1×10??次/器件·天的單粒子翻轉發(fā)生率，需累積至少3倍于預期事件數的注量而無失效。試驗中累積注量對應的等效在軌天數超過10?天，滿足統(tǒng)計顯著性要求。

3.1.2 MCU質子SEE響應

試驗結果顯示，AS32S601型MCU在100 MeV質子輻照下工作電流穩(wěn)定，未觀測到單粒子鎖定或翻轉現象。其512 KiB SRAM帶糾錯保護，在試驗中未報告可糾正錯誤，表明質子誘發(fā)的單比特翻轉率低于10?? bit?1·day?1。然而，質子可能引發(fā)鎖相環(huán)的瞬時擾動，雖未導致功能中斷，但需在系統(tǒng)級增加時鐘穩(wěn)定時間監(jiān)測。從功能安全角度，該結果支持單點故障度量≥90%的論斷，但需補充故障樹分析中的共因失效評估。

3.1.3 CANFD收發(fā)器質子SEE響應

收發(fā)器在同等條件下工作電流約8 mA，通信誤幀率為零。值得注意的是，質子可能穿透SOP8L塑封材料，在內部高壓LDMOS器件中引發(fā)微劑量效應，導致驅動電流緩慢退化。試驗中未監(jiān)測到此現象，但長期可靠性需通過168小時質子輻照后參數漂移測試補充驗證。從ASIL-B要求看，收發(fā)器的殘余故障率貢獻小于1 FIT，滿足鏈路級安全目標。

3.2 總劑量效應與退火行為

3.2.1 累積劑量與劑量率效應

鈷60 γ射線試驗采用25 rad(Si)/s劑量率，模擬核設施維修工況下的累積效應。AS32S601型MCU在150 krad(Si)后電流下降2.2 mA，歸因于MOS器件閾值電壓漂移導致的亞閾值漏電減少。該變化在±5%容限內，功能未受影響。依據增強低劑量率效應評估，商業(yè)航天級器件在0.01 rad(Si)/s低劑量率下可能出現更大退化，需對核退役環(huán)境補充低劑量率試驗。

3.2.2 CANFD收發(fā)器的TID響應機制

收發(fā)器的總劑量失效模式主要為總線驅動器的跨導退化與ESD保護二極管的漏電增加。試驗顯示其輸出差分電壓在150 krad(Si)后仍保持1.5~3 V范圍，但高壓側驅動器的導通電阻可能增大10%~15%。在CANFD總線終端匹配60 Ω負載下，該變化對信號完整性的影響需通過眼圖測試量化。功能安全分析中，需將此退化納入失效模式的檢測覆蓋率計算。

3.3 重離子單粒子鎖定閾值

被測收發(fā)器接受了74Ge離子（LET=37.4 MeV·cm2/mg）輻照，未發(fā)生單粒子鎖定。依據IEC標準，核設施中子與次級重離子的LET譜峰值集中于1~10 MeV·cm2/mg，但在屏蔽邊緣可能產生>30 MeV·cm2/mg的碎片離子。

脈沖激光試驗顯示AS32S601型MCU在LET>65 MeV·cm2/mg時發(fā)生單粒子翻轉，該結果因缺乏電荷軌跡效應而偏樂觀。激光無法模擬重離子的電荷擴散與漏斗效應，對深阱器件的評估誤差可達30%。因此，激光數據僅用于快速篩選，正式功能安全認證仍需依賴加速器重離子試驗。

4、核工業(yè)CANFD通信鏈路功能安全架構

4.1 安全通信需求與ASIL分解

依據IEC 61513，核反應堆保護系統(tǒng)通信鏈路的整體安全等級需達到SIL3。通過ASIL分解，可將CANFD總線降為ASIL-B，前提是采用雙通道冗余與獨立故障檢測。架構設計為：每路CANFD總線由獨立收發(fā)器驅動，MCU實現端到端CRC校驗與序列號監(jiān)控，故障判定需同時檢測物理層與數據鏈路層錯誤。

4.2 雙冗余時間觸發(fā)架構

為避免CANFD仲裁過程的不確定性，采用TTCAN協議預分配時間窗。雙總線互為熱備份，主總線故障切換至備用總線的最大中斷時間需小于10 ms，該要求源于反應堆保護系統(tǒng)對傳感器更新周期的嚴格限制。MCU的180 MHz主頻可支持16個節(jié)點、1 ms周期調度表，其錯誤收集模塊匯集雙總線錯誤狀態(tài)，驅動故障安全輸出。

4.3 故障診斷覆蓋率量化

功能安全等級評估的核心是故障診斷覆蓋率。對收發(fā)器，關鍵故障模式包括總線開路、驅動能力退化及共模瞬態(tài)失效。對MCU，Flash糾錯可檢測99.6%的單比特翻轉，但對多比特翻轉覆蓋率僅60%，需配合軟件多副本投票提升潛伏故障度量。

5、結論與展望

國產MCU與CANFD收發(fā)器在質子、總劑量及重離子輻照下表現出良好的抗輻照性能，試驗數據支持其達到ASIL-B功能安全等級。本文提出的雙冗余TTCAN架構與故障診斷策略，可為國產化核級儀控系統(tǒng)提供參考。從工程實踐看，需跨越從航天級到核級的環(huán)境適應性 gap，這不僅是技術挑戰(zhàn)，更是標準體系與工業(yè)生態(tài)的協同建設過程。

審核編輯 黃宇