AN-2036：冗余供电和冗余测量

AN-2036：冗余供电和冗余测量

冗余测控技术的有效使用，是提高系统可靠性的重要途径。但不恰当地应用冗余概念，非但不能提高系统的可靠性，而且会对系统的正常工作带入不可控的风险。

简单说，冗余就是备份，即在一个系统发生故障时，另一个系统代替工作，以达到系统正常工作的目的。这两个系统是“或”逻辑关系。如下图所式：

冗余又分为“冷冗余”和“热冗余”。“冷冗余”就是在已知某个系统发生故障后，人为切换到另一个系统。“热冗余”则是A、B两个系统都正常工作，若某个系统发生故障，则另一个系统要在纳秒级时间内自动顶替，且已发生故障的系不能干扰备份的工作。“热冗余”技术广泛应用于电源管理部分。

冗余设计里，往往必须要包含“表决”环节，以完成“容错”功能。所谓“表决”，就是少数服从多数。假若是逻辑指令，可以靠组合逻辑完成表决。假若是模拟测控回路，则要靠计算机程序完成表决。不管使用什么方式，均是要丢弃那个最不靠谱的量。

冗余系统也会有故障出现。在可能的故障模式中，主要以灾难性故障、单点故障、次生故障等为主。

所谓灾难性故障就是不管冗余怎么设计都无法规避的故障。比如说：整个系统失电，执行机构机械故障，壳体断裂引发大部分电连接失效等。

所谓单点故障和次生故障则是指设计师对冗余概念认识不足，或元器件选型不当，或者在工程实施上出现了问题，致使已损坏的单元对可正常工作的单元造成了二次损坏，从而导致系统无法正常工作。比如，公用的电源线断路，熔断的电源线搭接到信号线上，熔化的锡球使得器件/连接器无关点短路，已损坏单元对正常工作单元的供电/通信造成阻隔，备份迟迟不能启动等。

下面以我们经历的案例，来印验上述部分观点

案例一、不恰当的器件选型造成次生故障

某型号需要对28V主电源和备份电源进行热冗余设计。要求损耗要小、切换阀值和切换时间要小。经分析需要如下图示的两个肖特基快恢复二极管来完成：

其中，主电源的输出电压比备份电源的输出高0.8V，要求的输出电流最小值为8A，切换阀值≤0.8V，切换时间≤50ns。

经分析选型，最后选用SM1U21PST来完成。

SMIU21PST是一个在T0-257A封装的共阴双肖特基快恢复二极管，B_V≥200V，I_OM≥18A，t_r≤35ns其内部的显微镜照片下见图：

这种结构的好处在于封装尺寸小，壳体可直按紧固在散热器上。但其不足处在于，若其中一路由于异常的电浪涌烧毁时，产生的可移动金属多余物(见下图)很容易短路旁路二极管的阳、阴极，从而造成次生故障。

这是一种典型的设计思路正确，但器件选型不当而引发次生故障的案例。解决的办法就是，在体积允许的情况下，选择两个独立封装，且反向恢复时间接近的肖特基二极管。

案例二、不恰当的电源限流引发的次生故障

某型号需要对三个传感器“热冗余”配电，同时要限制每路传感器总成从电源取的电流最大值，采用了如下图示结构来实现：

元件选型：D1=D2：1N5819

　　　　　D3：1N5245

　　　　　R1=R2=R5：100Ω

　　　　　R3、R4：未知C1：0.1μF

这个设计形式上既完成了主备份电源的“热冗余”，又限制了每路传感器总成从+15V电源上取得的功率，还可以通过后续程序处理来完成对三个传感器的输出进行表决运算。在正常情况下，能够很好地发挥作用。

但系统上的冗余设计，恰好是要处理非正态。

上述设计存在的问题在于，当这三个传感器总成中有一路出现电源对地短路时，会造成另外两路的供电下降、从而使它们的输出也不正常。原因如下图所示(以P3传感器电源对地短路为例)：

元件选型：D1：1N5819

　　　　　R1=R5：100Ω

在P3传感器电源对地短路后，由于前后级两个限流电阻R1和R5的分压关系，致使供Po、CL传感器的电压至少下降了一半，其输出不正常也就不足为怪了。

要想规避这种情况的发生，只需要按下图所示，将两级限流改为一级限流即可。

元件选型：D1=D2：1N5819

　　　　　D3=D4=D5：1N5245

　　　　　R1=R2=R5：100Ω

　　　　　C1=C2=C3：0.1μF

案例三、伪冗余

某型号需要对指令进行双冗余设计。考虑到空间尺寸所限，选用了SG2803J作为其中一级。

SG2803J是一个八路达林顿管，见下图

其好处在于很容易与后续三极管构成“线与”或“线或”逻辑，进而能在较小的体积内完成指令的双冗余设计。

但由于这八路达林顿管之间的隔离是靠反偏的二极管完成的，不符合冗余设计的绝缘介质隔离理念。