航天器平台二次电源系统的可靠性设计

航天器平台二次电源系统的可靠性设计

摘要：二次电源系统是航天器上电路功能模块正常工作的重要前提之一。本文在“电路级”、系统级两个层面对航天器的二次电源系统进行可靠性设计，构想了通用化的二次电源模块。在电路级可靠性设计中，围绕集成的DC/DC转换器芯片，设置防护电路。常见的防护主要有母线输入端防护，浪涌电流防护，电磁干扰（EMI）滤波，转换器输出端滤波。在此基础上加入浪涌电压防护、瞬断储能电路、二次电源输出端负载保护。指出了提高可靠性应注意的电磁兼容设计、防辐射设计、“三防”设计、热设计等。借助MATLAB与MULTISIM软件对浪涌电流的产生与防护进行了分析。在系统级可靠性设计中，使用基本的冗余设计方案构建N+1冗余系统，并在此基础上应用一种动态控制算法，依据负载的需求开/关DC/DC转换器，使二次电源系统更适应实际应用场景，同时进一步提高系统的可靠性。本文假定了一种负载电流需求变化的情形，定量推导了这种情形下传统并联冗余系统和经动态控制算法改进的冗余系统的可靠度表达式，并借助MATLAB工具进行了仿真验证。定量分析结果表明，动态控制算法可以显著提高电源系统的可靠性。

关键词：航天器；二次电源；DC/DC转换器；可靠性设计；冗余设计；控制算法

引言

供电系统为航天器上搭载的各种电子设备提供正常工作所需要的电能，是航天器能够平稳、可靠的运行的前提，直接决定了航天器的寿命。供电系统主要包括发电装置、一次电源系统和二次电源系统[1]。发电装置通过太阳能帆板将光能转化为电能。此时得到的电压变化范围大，故通过一次电源系统（通常由化学蓄电池和电源控制器等设备组成）初步变换得到较为稳定的直流电压，称为母线电压。其通用值有28 V、42 V、50 V、70 V、100 V、120 V等[2]。一方面，母线电压往往比航天器上搭载的各个功能模块正常工作所需的额定电压高；另一方面，由于空间环境中存在各种不利因素，一次电源输出的电压会出现起伏、波动。因此，航天器供电系统在向用电设备供电前必须对电压进行二次转换。本次可靠性设计的二次电源系统，其核心是DC/DC转换器，系统实现的基本功能就是将较高的母线电压转换为航天器搭载的用电模块所需的工作电压。
模块化、通用化、集成化是电子产品的发展趋势，且模块化、通用化、集成化的产品往往具有更高的可靠性，在航天电子领域自然也是如此。放眼国外，美国国家航天局、欧洲航天局都提出了推动航天电子系统设计标准化、模块化的计划[3]。针对二次电源，它的模块化设计关键是DC/DC转换器。DC/DC转换电路早已能够集成在芯片上。但单纯的DC/DC转换器显然不能满足航天平台二次电源系统对可靠性的要求——在“电路级”，还应包括提高可靠性的外围保护电路，他们共同组成了一个大的电压转换模块；在系统级，需要冗余设计进一步提高可靠性。本次可靠性设计的最终目标是，设计出一个航天器设备通用的二次电源模块之雏形：主要参数是输入电压、输出电压，输入端直接与电源母线相连，输出端可以直接接上用电设备，无需再进行额外的可靠性设计（如图1所示）。如果所有电路都能够按功能模块化，则可以如同搭建积木那样便捷，高效、高可靠性实现航天器的生产组装，实现“即插即用”。

图1 通用的模块化二次电源构想

本文首先对二次电源的相关概念进行简要解释，对文中出现的一些名词进行了说明，同时指明设计对象与性能要求（主要是定性的要求）；第二部分是结合参考文献初步设计出电路，实现基本功能；第三部分内容分别从电路级、系统级进行可靠性优化设计；第四部分对设计结果综合分析验证；最后对本次设计成果进行总结。

一、设计定义

1、相关概念与设计对象
实现二次电源转换的核心是DC/DC转换器。根据变换器电路中是否包括变压器可以分为隔离式与非隔离式两类，隔离式又可分为单端正激式隔离变换器、单端反激式隔离变换器等；根据输入输出电压关系将电路分为升压型（BOOST）、降压型（BUCK）、反相型（BUCK-BOOST）。在航天器上，电压变换器通常选用隔离式变换器[4]，且要完成降压功能。
DC/DC转换器已经被集成为芯片并且技术较为成熟，国内外均有厂商能够生产。由于起步较晚，国内电子元器件工艺水平与国外先进仍有一定差距，产品可靠性有待提高。因而国产的宇航级DC/DC转换器内部往往还集成有防浪涌电路，并且关键部分做了冗余设计；国外生产的转换器内部通常没有做防浪涌、冗余等设计[5]。但如引言中提到的，考虑到航天电子系统对可靠性的极高要求，不管DC/DC转换器内部如何，在使用时都应该围绕它设计保护电路，提高可靠性，从而延长整个二次电源系统的寿命。
考虑到模块化电路的优点，在设计航天器平台的二次电源系统时，直接选用成品的电压转换芯片，而不用分立器件搭建DC/DC转换电路。故，在本次设计中不去研究电源芯片内部电路及原理，而着眼于用以提高二次电源系统可靠性的外围保护电路的设计以及系统级的可靠性设计。
2、几点说明
（1）在有些文献中也将DC/DC转换器直接称作二次电源。本文将转换器及围绕它的各种防护设计、可靠性设计构成的整体视作“二次电源系统”，将单个DC/DC转换器视作一个模块电源，即一个二次电源系统由多个DC/DC转换器模块组成。
（2）航天器平台上不同电子设备工作所需要的电压不同，需要不同的二次电源系统。但这些不同的二次电源系统的设计的思路几乎相同，只是核心的DC/DC转换器所选规格参数有区别。为避免设计时因脱离定量指标而显得空泛，这里要求，最终设计好的通用化二次电源模块应能够将+100V电压转换为+28V。
（3）电子产品的设计大致包括从元器件到电路原理、印制电路板，再到成品整机等阶段。在每一个阶段都有其相应的可靠性设计，如元器件级可靠性、印制电路板级可靠性设计等。本文将元器件、电路原理、印制电路板等统称为“电路级”，在“电路级”之上就是系统级。
3、设计指标要求
设计好的航天平台模块化通用二次电源系统应能够实现将+100 V母线电压转化为用电设备所需的+28 V直流电压。“电路级”设计主要的性能指标包括输入输出电压、输出电压纹波、电磁兼容性、防辐射能力等。系统级的可靠性指标使用平均无故障时间（MTTF）。

二、电性能设计实现

二次电源系统的设计围绕DC/DC转换器，“电路级”设计包括保护电路设计、印制电路板的设计等，系统级主要是冗余设计等。
首先是选择合适的DC/DC转换器模块。依照性能要求，输入、输出电压分别为+100 V、+28 V，则电压转换器模块的标定输入应大于等于+100 V，标定输出为+28V即可。在选型时还需要考虑工作温度区间，目前国内航天器上电子设备工作的最低温度设定在-35℃或-40℃[4]。选择国外某公司生产的AFL12028S/CH型DC/DC转换芯片，这款芯片内部是隔离式的转换电路，集成有输入、输出滤波电路。其标称输入电压为+120 V，输出为+28 V。能够在-55℃~125℃的温度区间内工作。此外，厂家经过老化测试，称该电压转换模块可在125℃条件工作160小时。
另一方面是保护电路设计。前面提到过，与国产模块相比，国外生产的DC/DC转换器模块内部通常没有浪涌抑制电路，也没有冗余设计。因而在航天器二次电源系统设计时要格外注意，必须在DC/DC转换器外围增加保护电路。从母线输出端到DC/DC转换器输入端中间分别串接输入（过流）保护电路、浪涌抑制电路、电磁干扰（EMI）滤波电路。DC/DC转换器输出端也需要滤波电路。得到的二次电源系统功能实现框图如图2所示。

图2 二次电源系统功能实现框图

（1）输入保护电路
常见的输入保护电路如图3所示。用一个阻值为R的限流电阻串联熔断器FUSE后再并联一个相同规格的熔断器构成。若选用的熔断器冷态电阻为RF，限流电阻应选择R≥20·RF[6]。

图3 过流保护电路

（2）浪涌抑制电路
电源母线通电瞬间会有很强的浪涌电流冲击二次电源系统。可以通过给母线串接电感，并按照如图4所示方式在电感两端并联一个续流二极管实现浪涌电流的抑制。查阅资料发现，这种在一次电源端的防浪涌措施效果不是十分理想。另有一种在二次电源端加上缓启动电路（在有些文献中也称作软启动电路）的措施有着更出色的防浪涌电流效果。这种缓启动电路如图5所示。

图4 电压母线串电感防护浪涌电流

图5 缓启动电路

可以通过设计电阻阻值、电容容值控制缓启动所需的时间。且理论证明，在实际使用中，场效应管Q1的功耗很小[7]。
（3）输入滤波电路
在本次设计中选用的DC/DC转换模块内部集成有滤波电路，但由于电源模块在实现电压转换的过程会产生电磁噪声，噪声通过导线传导或向外辐射电磁波的方式影响到其他设备的正常运行，考虑到电磁兼容要求必须在输入端加上电磁干扰（EMI）滤波器。
（4）输出滤波电路
输出滤波电路主要用来抑制纹波（高频噪声）。电压转换芯片内部滤波不充分时，高频噪声及其倍频会向外传播。这里借鉴教材，在转换器输出端使用一个两级的LC滤波器（如图6所示）实现对干扰的抑制。

图6 输出滤波

三、可靠性分析与优化设计

航天电子设备往往面临着复杂、恶劣的空间环境，且航天器上天入轨后不易进行故障修复，因此对可靠性设计要求最高。为了为进一步提高航天器平台二次电源的可靠性，从两个主要方面考虑。一是“电路级”可靠性设计，包括电子元器件的选型、防护电路设计优化、可靠性设计等；二是系统级可靠性设计。

（一）“电路级”可靠性设计
1、电子元器件选择与使用
在二次电源中使用的主要元器件有电阻、电容、电感、场效应管以及集成电路等。
（1）选购时以在空间环境中能高可靠性工作为首要标准。从材料角度出发，电阻器尽量选用合成电阻器，电容选用钽电解电容等；从封装形式角度考虑，优先选用表面贴装片式的元器件。
（2）参考GJB/Z35《元器件降额准则》对元器件降额使用，提高可靠性。
（3）所有元器件在使用前一律先进行可靠性筛选，剔除早期失效的产品。
2、外围保护电路的优化设计
（1）两处过流保护装置
当输入电流因种种原因超过DC/DC转换器最大输入电流而无防护措施时，可能会破坏转换器，因此在前面的设计中使用熔断器进行过流保护。但熔断器因过流而熔断是不可逆的，如果出现在航天设备上，绝大部分情况下无法进行更换，不具备可重复性。鉴于此，使用电子熔丝取代前面的熔断保护电路，保证可重复使用的同时，实现过流、过热和过压三重保护。
还应考虑到，在极端情况下出现DC/DC的输出端电流超过用电设备最大工作电流的可能，有必要在二次电源输出接入用电设备前先串联电子熔丝实现对用电设备的过流保护。
（2）浪涌保护电路
在前面的防浪涌设计中指出，利用输入端的缓启动电路取代在母线串接电感，可以更有效抑制浪涌电流。需要注意的是，缓启动电路更加复杂，因而可靠性相较于“串电感”的方式要低。为提高可靠性，一方面，将电阻并联使用、电容串联使用，提高可靠性；另一方面，用两套相同的“缓启动”电路并联，再与后续电路串联，如图7所示。保证浪涌抑制效果的同时提高了“缓启动”电路的可靠性。

图7 改进后的软启动电路

（3）EMI滤波器
DC/DC转换模块的厂家通常也会生产与转换器匹配的模块化成品EMI滤波器，这种匹配的成品滤波器可以有效衰减噪声并抑制干扰信号反射到电源母线。本次设计中选用配套的模块化EMI滤波器。
（4）输出滤波装置
供电母线与回线之间的干扰为差模干扰、供电母线回线与地线之间的干扰为共模干扰。DC/DC转换器工作时输出端的干扰主要是共模干扰[8]，在设计输出滤波器时应侧重于设法滤除共模干扰。因此，输出端使用共模扼流圈完成对差模干扰的滤除。同时应注意，共模扼流圈对磁场敏感。可根据实际中对体积、重量等的要求，制作适当厚度的钢壳罩在共模扼流圈上，用以实现磁屏蔽。
（5）尖峰电压抑制
DC/DC转换器是典型的感性负载，对其通电瞬间，两端会产生超过电源电压两倍以上的尖峰电压（即浪涌电压），若电源电压大小为100V，产生的尖峰电压可能达到200V以上。而本次设计中选用的DC/DC转换器，其标称输入电压为+120V。前面的设计中只考虑了浪涌电流的防护，为进一步提高可靠性，有必要对输入电压钳位。可以将瞬变电压抑制二极管（TVS管）并联接在输入端口上。在选择TVS管型时，应满足钳位电压不超过120V，变位电压等于或略高于100V。考虑到存在二次电源系统将干扰反射到电源母线的可能，使用双向的TVS管进一步提高可靠性。
（6）瞬断储能电路
考虑一次电源系统中化学蓄电池做了冗余设计的情况。当正在使用的蓄电池发生故障时，相关的控制系统会立即将备份蓄电池接入，但从出现问题到重新接入中间一定会有时长为τ的延迟，这期间如果后续电路无法正常工作，有可能对整个航天器造成不可逆的伤害。因此，需要增加瞬断储能电路，保证在极端情况下出现时长τ的断电期间，后续DC/DC转换电路仍能正常工作。瞬断储能电路的电路如图8所示，所需元件有限流电阻、储能钽电容、二极管。正常供电时电容可以储能W=CU2/2，断电时电容两端电压不会发生突变。瞬断储能电路所需电容的容值根据DC/DC转换器工作的电压下限、系统功率P、正常工作时电压以及断电时长τ等参数可以计算出 [8]。

图8 瞬断储能电路

3、电磁兼容设计
电磁兼容性（EMC）包括两个方面，一方面是研究对象产生的电磁干扰（EMI）不能影响到周围设备的正常工作，另一方面是研究对象能够防护周围环境中的电磁干扰，有良好的电磁敏感性（EMS）。
在电压变换器输入端加入EMI滤波器是防止电磁干扰的重要手段。此外，还应通过合理接地、优化PCB设计、使用屏蔽手段来减弱电磁干扰对设备的影响。
电源系统工作频率通常不超过1MHz，此时地线阻抗小于信号线阻抗，地线是电路信号的返回路径，应采用单点接地。实际中若二次电源系统的供电对象是数字电路，则可以采用“浮地”方式，防止电源系统与数字电路系统之间的干扰。
在PCB设计中，应遵循尽量减少电流环路面积、减少辐射导体的长度、加大平行线路间距等原则，从而防止向外辐射噪声。
屏蔽主要有磁屏蔽和电磁屏蔽。通常用磁导率高的合金将磁场吸收实现磁敏感元器件（如前面的共模扼流圈）的保护。电、磁往往耦合在一起同时存在，这时需要将保护对象或干扰源用金属板完全封闭。
4、防辐射设计
在轨运行的航天器不可避免会受到来自空间中的各种辐射（如：太阳辐射、银河宇宙射线、捕获带和次级辐射），资料显示40%左右的航天器故障源自空间辐射[9]，足见航天器防辐射设计的重要性。本次电源系统的防辐射设计遵循以下三点：（1）尽量选用抗辐射能力强的元器件；（2）在电路布局上，用不易受辐射影响的元器件包围对辐射敏感的器件（如DC/DC转换器模块）；（3）若航天器运行轨道较高，还需对DC/DC转换器模块做防辐射加固处理，如：用固封胶将钽片（或铅皮）与转换器模块的封装顶部相连。
5、其他防护设计
（1）三防设计
在成品PCB板及板上组件表面涂装防潮、防腐、防盐雾的专用涂漆，提高在潮湿、盐雾等环境中的使用寿命。
（2）热设计
热设计的目的是提高功率变换效率，减少发热源；并通过热转移、热平衡等措施防止热量在局部累积。统计显示，温度升高，电子元器件的可靠性减小[10]。在空间中热量以热传导、热辐射的方式传播，DC/DC转换模块是二次电源系统主要的热源，它通过热传导方式散热。为提高散热效率，在设计中将DC/DC模块表面与二次电源系统的金属机箱壁连接，中间均匀涂抹导热硅脂。考虑到电磁兼容要求，机箱可能无法开孔，所以在其表面做黑色阳极化处理提高机箱散热能力。

（二）系统级可靠性设计
1、基本冗余设计
卫星用二次电源的配电系统一般有两种方式：集中式供电和分布式供电。从可靠性模型上来说，分布式供电系统的多个二次电源属于可靠性并联系统，容易组成N+1冗余供电，扩展功率也相对容易。因此，在卫星二次电源的系统级设计中，我们采取分布式供电，使用多个DC/DC转换器并联组成二次电源，进行冗余设计，提高系统的可靠性。
简要介绍一下并联供电和N+1冗余系统的原理和优势。并联供电首先满足了大电流供电的要求，DC/DC转换器并联后其输出功率可在额定范围内叠加。其次，并联、分布式供电可以提高系统可靠性：一个DC/DC转换器失效，其他的DC/DC转换器仍能够正常工作。当然，若DC/DC转换器发生的故障是短路，由于并联电路的特点，可能导致整个系统输出电压不正常，这时就需要在每个输出端加进二极管，进行故障隔离。这样就构成了一个N+1冗余系统。

图9 N+1冗余系统原理示意图

传统的冗余设计有热备份和冷备份两种。采用热备份方式时，多路DC/DC转换器并联且同时工作，每一路DC/DC转换器都可单独满足功率的要求。采用冷备份方式时，多路DC/DC转换器同一时刻只有一路工作。当主电源故障时，进行主备切换，备份DC/DC转换器接替主电源继续供电。
2、动态控制方案的引入
以上只是基本的冗余结构。在实际的卫星系统中，受到光照强度变化等一系列因素影响，卫星负载对功率、电流的需求处在不断的动态变化之中。对于这种负载电流不断变化的情形，单一的并联冗余设计将不再具有优势：不仅缺乏灵活性，其系统可靠性也有待进一步优化。
要实现真正高可靠性、高效率的系统结构，还需要依据负载对电流的要求，对DC/DC转换器的接入实现反馈控制：设置监测、控制、执行机构，根据DC/DC转换器是否故障、负载输出电流的大小，让系统自己决定接入DC/DC转换器的数量、是否对所接入的DC/DC转换器进行调整。

图10 控制系统原理图

由上图可知，控制器监测的对象有两个：各DC/DC转换器的输出电流$I_{oi}$，以及各DC/DC转换器的工作状态（待机、正常工作、或故障）[11]。总输出电流$I_o={\sum }_{i=1}^{N+1}{I}_{oi}$表示负载的参考输入电流，若发现$I_o$与$I_r$存在较大差距，则控制器将发出指令，激活一个待机中的DC/DC转换器或令一个工作中的DC/DC转换器待机。若系统监测到某一DC/DC转换器不再正常工作，则故障的DC/DC转换器将强制待机，同时另一原处于待机状态的DC/DC转换器将被激活并进入工作状态。

图11 控制算法流程图

现在我们来将这一动态控制方案与传统的冗余备份方案的性能做一个定性的比较。与热备份方案相比，动态控制方案具有更高的可靠性：DC/DC转换器总数相同时，动态控制方案中处于工作状态的DC/DC转换器数量更少，相当于电源系统有着更短的运行时间，因此失效率更低；工作DC/DC转换器数相同时，动态控制方案中处于待机状态的DC/DC转换器，实际上还起到了备份的作用，可靠性理应更高。与冷备份方案相比，动态控制方案更加灵活、满足的需求更大。冷备份方案中始终只有一个DC/DC转换器在工作，无法适用于高电流输入的负载；而动态控制方案可以根据负载的轻重，灵活选择接入的DC/DC转换器数量。
另外，为了均衡所有DC/DC转换器的运行时间，使系统整体的失效率最小（木桶效应），我们引入循环队列来分配所有DC/DC转换器之间的工作间隔（即首先工作的DC/DC转换器首先被关闭）。循环队列如下图。换句话说，当由于$I_o$与$I_r$不匹配或某电源故障导致需要对工作的DC/DC转换器进行更改时，控制器能够确定对哪个特定的DC/DC转换器进行激活或关闭。这一工作任务分配方案也对控制模块提出要求：监测并均衡所有DC/DC转换器的运行时间。

图12 循环队列分配示意图

通过循环队列分配方案，使共享相同负载的DC/DC转换器运行时间均等，从而进一步提高系统可靠性。

四、综合分析验证（电路性能分析）

1、电路级可靠性分析
通过初步分析，以DC/DC转换器为核心设计的二次电源能够实现+100V到+28V电压转换的功能。通过设置过流保护、浪涌电流保护、尖峰电压抑制能够防止DC/DC转换芯片受到破坏，提高可靠性。利用匹配的EMI滤波器有利于减弱传导噪声和辐射噪声对电源母线、其他设备以及转换器自身的不利影响。特别加入了瞬断储能电路使DC/DC转换器在上一级电源切换过程中仍能处在工作状态。输出端的共模扼流圈在一定程度上抑制了纹波。
这里对浪涌电流及其防护进一步分析。可以证明在通电瞬间，DC/DC转换器内部输入滤波器（通常为LC滤波器）的参数决定了其瞬时的阻抗特性。假设则上电瞬间DC/DC的等效电路可以用图13表示，其中L、C的之可从DC/DC转换器的产品手册上找到。如AFL12028S电压转换芯片输入LC滤波器的电感16.8μH，电容0.78μF。电阻R的具体值一般很难得到，需要通过实验测得。文献[12]指出，DC/DC转换器上电瞬间产生浪涌电流的原因与输入端LC滤波器密切相关，其构成了二阶欠阻尼系统是浪涌电流产生的根本原因。这里先对此进行简单说明。

图13 通电瞬间等效电路

假设电压源为理想电压源u(t)=U0ε(t)，式中U0=+100V。用电路的知识可以得到，回路上电流的时域表达式为：

$i(t)=\frac{U_o}{\sqrt{\frac{L}{C}-\frac{R^2}{4}}}{e}^{-}\frac{Rt}{2L}sin\sqrt{\frac{1}{LC}-\frac{R^2}{4L^2}}t$

虽然R的值不容易得到，但由上式中根号下表达式大于零可得到电阻值应满足

$R<Rmax=\sqrt{\frac{4L}{C}}$

，代入产品手册中L、C的值得到Rmax=9.2819Ω。现分别令R=1Ω、3Ω、6Ω、9Ω，借助MATLAB绘出ⅈ(t)的时域波形如图14至图17所示。

图14 R=1Ω 时电流时域波形

图15 R=3Ω 时电流时域波形

图16 R=6Ω 时电流时域波形

图17 R=9Ω 时电流时域波形

可见，电源接通瞬时（只有在“瞬时”，等效的电路模型才成立），流经电路的电流确为浪涌的形式；且由于电阻R的限流作用，阻值越大，浪涌电流越小。
据此，在MULTISIM中建立如图18的电路模型，用以仿真浪涌保护电路的防护能力。图中有五个开关S1~S5：若闭合S4、S5，打开S1、S2、S3，则未接入任何浪涌保护措施；若闭合S4、，打开S1、S2、S3、S5，相当于在母线上串接电感防浪涌；若闭合S1、S2、S3、S5，打开S4，则是利用缓启动电路防护浪涌电流。

图18 MULTISIM浪涌保护电路仿真

在MULTISIM软件中设置初始值均为零，利用瞬态分析功能查看上电瞬间流经RLC上的电流，设置分析的时间段为0~35μs，最小时间点数量为6400。得到未加入任何防护措施时的电流波形如图19；用电感防浪涌电路时的电流波形如图20；用缓启动电路防护浪涌时的电流波形如图21。

图19 未加入任何防护措施

图20 电压母线串接电感防护浪涌电流

图21 “缓启动”电路防护浪涌电流

可以看出，未加入任何防护措施时，浪涌电流峰值可达到12.5A以上，且需要30μs左右时间收敛；用“电压母线串电感”的方式防护浪涌时，浪涌电流峰值降至2.2A左右，但收敛时间仍需要30μs左右；使用缓启动电路，浪涌电流峰值小于30mA，且只需要不到5μs就可认为电流值收敛了。
在图21中，电流虽然能很快收敛且峰值较小，却波动剧烈，表明稳态解部分（sin函数项）的频率很高。主要是因为缓启动的仿真电路中电阻和电容值之设定并未经过严格的计算。实际应用时，缓启动电路中电阻的阻值、电容的容值、场效应管型号等需要通过计算、实验，结合DC/DC电压转换芯片实物对浪涌电流峰值的具体要求获得。可以想象，在获得合适的电路参数后再仿真可以观察到较好的电流波形。因此，虽然仿真得到的图21中电流波形并不理想，但足以说明缓启动电路防护浪涌效果更好。

2、系统级分析——动态控制算法性能的验证
可靠度R(t)是指产品在t时间内不失效的概率，可表示为：

$R(t)=1-F(t)=1-P(\tau \le t)(1)$

其中F(t)是指产品在t时间内失效的概率。把时间t看作随机变量，则有失效概率密度f(t)，那么

$R(t)=1-P(\tau \le t)=1-{\int }_0^{t}f(x)dx={\int }_t^{\infty }f(x)dx(2)$

失效率λ(t)是指在t时刻尚未失效的产品在t时刻附近的单位时间段内失效的概率，它与失效率的关系为

$\lambda (t)=\frac{f(t)}{R(t)}=\frac{1}{R(t)}\frac{dR(t)}{dt}(3)$

同绝大多数电子元器件和电子整机一样，我们认为DC/DC转换器的失效率随时间的变化规律符合浴盆曲线，并重点研究它在偶然期的失效分布。单一DC/DC转换器基本没有冗余设计结构，且忽略EMI后可认为元器件之间相互独立，故我们认为DC/DC转换器的失效分布服从指数分布。在这种分布下，各可靠性定量表征符合如下公式：

$\{\begin{array}{c}\lambda (t)=\lambda =\text{ const }\\ f(t)=\lambda e^{-\lambda t}\\ R(t)=e^{-\lambda t}\end{array}(4)$

这里R(t)表示一个DC/DC转换器的可靠度函数。
现考虑如下情形：卫星负载电流有一变化区间$(I_{o}min,I_{o}max)$，对应于该区间，需要有M∼N+1个DC/DC转换器接入电路：至少接入M个DC/DC转换器使电流不低于$I_{o}min$，接入N+1个DC/DC转换器时刚好满足$I_{o}max$的要求。为满足所有情形的需要同时不产生浪费，我们假设电源电路中共有N+1个DC/DC转换器。
如果仍采取传统的并联冗余结构，在这种情形下，必须确保所有DC/DC转换器都能正常工作，否则当负载电流需求较大时，就会出现功率供给不足。据此，传统并联冗余结构的系统可靠度$R_c(t)$可表示为

$R_c(t)=(R(t){)}^{N+1}(5)$

其平均无故障时间$MTT{F}_c$表示为

$MTT{F}_c={\int }_0^{\infty }{R}_c(t)dt=\frac{1}{(N+1)\lambda }(6)$

在动态控制方案中，k个DC/DC转换器工作、N+1-k个DC/DC转换器待机时，系统的可靠度$R_{k,N+1}$可按下式计算[13]

$R_{k,N+1}=(R(t){)}^k{\sum }_{i=0}^{N+1-k}\left(\frac{(k\lambda t{)}^i}{i!}\right)(7)$

记$l(k)$为系统中k个DC/DC转换器处于工作状态，N+1-k个DC/DC转换器处于待机状态的概率， k=M,M+1,⋯,N+1。根据概率的归一化公式，l(k)满足

${\sum }_{k=M}^{N+1}l(k)=1(8)$

$l(k)$可能是任意一种概率分布，在物理上，它是卫星负载处在各种电流需求状态概率密度的表达。
根据$l(k)$和$R_{k,N+1}$，改进后系统的可靠度计算表达式为

$R_p(t)={\sum }_{k=M}^{N+1}{R}_{k,N+1}l(k)(9)$

平均无故障时间可表示为

$MTT{F}_p={\int }_0^{\infty }{R}_p(t)dt={\sum }_{k=M}^{N+1}\frac{N+2-k}{k\lambda }l(k)(10)$

为方便计算和对比，不妨假设需要的DC/DC转换器数量k服从均匀分布，即

$l(k)=\frac{1}{N+1-M+1},k=M,M+1,\cdots N+1(11)$

$MTT{F}_p={\sum }_{k=M}^{N+1}\frac{N+2-k}{k\lambda (N+2-M)}(12)$

对于一个要求至少3DC/DC转换器同时工作（M=3）的10DC/DC转换器并联系统（N=9)，$MTT{F}_c$和$MTT{F}_p$可根据式(6)和式(12)进行计算，并得到如下结果

$MTT{F}_c=\frac{0.1}{\lambda }<MTT{F}_p=\frac{0.9648}{\lambda }(13)$

显然，动态控制改进系统的平均无故障时间优于传统并联冗余系统。
动态控制方案对可靠性的改进还体现在对DC/DC转换器运行时间的缩减上。传统的热备份冗余系统，所有DC/DC转换器必须同时工作。设系统工作时间为T，则DC/DC转换器工作时间

$t_c=T(14)$

改进方案中，处于工作状态的模块数均值为

$\bar{k}={\sum }_{k=M}^{N+1}kl(k)(15)$

采取循环队列分配，单一DC/DC转换器的平均工作时间可按下式计算

$t_p=\frac{\bar{k}}{N+1}T=\frac{T}{N+1}{\sum }_{k=M}^{N+1}kl(k)(16)$

可以看出，相比于传统冗余设计，经循环队列分配的动态控制方案，单一DC/DC转换器的运行时间的缩减倍数为

$\frac{N+1}{{\sum }_{k=M}^{N+1}kl(k)}(17)$

综合（4）、（5）、（9）、（17）式的结果，借助MATLAB对传统设计方案和改进设计方案的可靠性进行仿真，结果如下图所示：

图22 系统可靠度对比

由此可见，对于负载电流变化的情形，相比于传统的冗余设计，所提出的动态控制方案，极大地提高了并联冗余系统的可靠性。

五、结论

本次二次电源系统的可靠性设计从两个大的方面入手：电路级和系统级。电路级设计提高了单个二次电源系统的可靠性；系统级设计则是通过冗余设计，进一步保证对母线电压的二次转换和对用电设备的供电能够顺利进行。接下来分别从这两个大的方面进行总结。
1、电路级
优良的供电质量是航天器长时间正常工作的重要前提，因此对航天器二次电源的保护电路设计、可靠性设计等研究有许多。本次设计在参考前人的基础上，发散思维，与课堂上学习的一些通用的可靠性设计方法相联系，同时又阅读了其他平台上二次电源系统设计方面的资料，总结出进一步优化可靠性的方案。因而在这一部分设计中定性描述的内容更多，但具有指导意义，在遇到具体设计任务时可以参考并根据实际要求给出定量的方案。
鉴于本人学识有限，不敢大谈特谈本次设计的新颖性，只能说有一些可取的地方，或可对目前能查到的文献中所给设计方案做一些小小的补充。（1）在防浪涌保护装置中既考虑到了上电瞬间的浪涌电流防护、也考虑到对尖峰电压的抑制。由于DC/DC转换器是典型的感性电路，通电瞬间在其两侧会出现浪涌电压，因而用双向TVS管防浪涌是有必要的。（2）在二次电源给用电设备供电前先通过电子熔丝，防止可能出现的过流损坏用电设备。当然，在用电设备的可靠性设计中应当也会考虑这点，保险起见，二次电源输出端也加上这一装置。（3）在DC/DC转换器前加入了瞬断储能电路。利用较大容值的钽电容储能，保证在“断电-再次通电”的过程中，航天器上用电设备仍要能够正常工作。
在引言中提到过，本次设计的最终目标是实现通用化的二次电源模块。若条件允许，做出的成品应该是一个有输入接口、有输出接口并有固定装置（因为要安装在航天器上）的“机箱”。考虑到电磁兼容性的要求，“机箱”应是密闭的金属或合金板。“机箱”内部是多个PCB板（系统级冗余设计）。但由于最终没有制作出PCB板级的实物并获得尺寸等信息，因而机箱的结构形状、PCB板在机箱内的固定方式等还无法去设计。要实现完整的目标还应将“电路级”的设计充分完成。
2、系统级
首先介绍航天器二次电源的传统冗余设计：并联供电与N+1冗余系统。由于实际场景中卫星的负载对电流的需求存在动态变化，本文在传统设计的基础上，引入了一种动态控制方案。理论推导和仿真结果表明，该方案不仅能够最优化系统中DC/DC转换器的工作状态分配，而且极大地提高了系统的可靠性。这一控制方案的构思也是本设计的新颖性和创新性所在。
本设计方案不足之处主要体现在以下两点：首先是冗余设计的固有问题：更高昂的成本和更重的载荷；其次，设计方案对于控制器部分，并没有给出详细的原理图和元件型号，而是只给出了电路框架和对它功能的要求，细节的缺失可能会导致实际工程应用中出现问题。我们需要合理安排冗余设计，并对控制电路的实现做进一步推敲。

六、参考文献

[1]贺丹凤. 正反激 DC/DC 航天二次电源模块的设计[D]. 秦皇岛: 燕山大学, 2014.
[2]张艺. 航天器一体化电源的三端口DC/DC变换器研究[D]. 哈尔滨：哈尔滨工业大学, 2014.
[3]刘红军, 方芳. 国外航天电子系统模块化架构发展概述[J]. 国际太空, 2019, (3): 15-21.
[4]任海英, 李廷中, 万成安. 航天器二次电源的低温工作特性研究[J]. 航天器环境工程, 2013, (1): 58-62.
[5]雷卫军, 李言俊. 星上DC/DC变换器国内外研究现状[J]. 宇航学报, 2007, (6): 1452-1457.
[6]曹广平. 航天电子设备二次电源输入保护电路设计[J]. 电讯技术, 2011, (5): 114-118.
[7]王小朋, 于平, 李东景, 齐心达. 航天器DC/DC变换器在航天器二次电源中的应用[J]. 空间科学学报, 2011, (6): 814-820.
[8]曾辉, 奚国权, 梁巍. 基于DC/DC变换器的发射控制系统二次电源设计[J]. 中国新通信, 2015, (4): 109-110.
[9] 冯彦君, 华更新, 刘淑芬. 航天电子抗辐射研究综述[J]. 宇航学报, 2007, (5): 1071-1079.
[10]刘克承, 王卫国, 郭祖佑. 航天器DC/DC变换器的可靠性设计[J]. 今日电子, 2009, (2): 80-83.
[11] Jeffrey A C, Erol E, Rajagopalan S, et al. Secondary power source for use in a back-up power system: United States Patent, AEROSPACE2008839041[P]. 2004-09-07.
[12]孟宪会, 何宇, 熊晓英. 航天器 DC/DC变换器启动特性建模分析研究[J]. 航 天器工程, 2010, (1): 17-23.
[13] Wu T F, Hung C Y, Lee C Q. Parallel converter systems with maximum current limit control scheme for reliability improvement circuits and systems[C]// International Symposium on Circuits and Systems, IEEE, 1993: 2343-2346.