Perseverance (Mars 2020 rover) - Atlas V 541 - Canaveral SLC-41 - 30.07.2020

[telekast]

Увеличенное быстродействие достигается за счёт более плотной компоновки и более тонкого тех. процесса. А чем тоньше тех. процесс, тем больше чувствительность к радиации и вообще ко всему.

Это не первый робот который летал в космос. И не первый процессор. В сравнении с прошлыми нынешний как мэйнфрейм с арифмометром. Не думаю также, что чувствительность прямо пропорциональна техпроцессу, склоняюсь к тому, что быстродействие растет опережающими темпами. Хотя тут лучше послушать более сведущих людей. Могу ошибаться. Опять жеж ничто не мешает провести опыт на земле: сделать две схемы, традиционную и "мою", и проверить на тестовой задаче бомбардируя их частицами.
ИМХУ

Вы в курсе, сколько стоит сессия на ускорителе для испытаний на тяжелые ионы? Всех ваших внутренних органов не хватит. Никто не будет проводить испытания на исследование проблемы, высосанной вами из пальца.
Прежде чем давать советы разработчикам, нужно ознакомиться с их решениями и порядком обеспечения стойкости и помехоустойчивости.

Я никому не давал советов, тем паче разработчикам. Я занимался обсуждением проблемы и путями возможного решения с такими же как я форумчанами. Исходя из того что где-то читал, или знаю, или применял. Не путайте форумную беседу с производственным совещанием, плиз. И по-вежливее будьте, я Вам не грубил и повода к такому тону не давал.

[thunder26]

Увеличенное быстродействие достигается за счёт более плотной компоновки и более тонкого тех. процесса. А чем тоньше тех. процесс, тем больше чувствительность к радиации и вообще ко всему.

Это не первый робот который летал в космос. И не первый процессор. В сравнении с прошлыми нынешний как мэйнфрейм с арифмометром. Не думаю также, что чувствительность прямо пропорциональна техпроцессу, склоняюсь к тому, что быстродействие растет опережающими темпами. Хотя тут лучше послушать более сведущих людей. Могу ошибаться. Опять жеж ничто не мешает провести опыт на земле: сделать две схемы, традиционную и "мою", и проверить на тестовой задаче бомбардируя их частицами.
ИМХУ

Вы в курсе, сколько стоит сессия на ускорителе для испытаний на тяжелые ионы? Всех ваших внутренних органов не хватит. Никто не будет проводить испытания на исследование проблемы, высосанной вами из пальца.
Прежде чем давать советы разработчикам, нужно ознакомиться с их решениями и порядком обеспечения стойкости и помехоустойчивости.

Я никому не давал советов, тем паче разработчикам. Я занимался обсуждением проблемы и путями возможного решения с такими же как я форумчанами. Исходя из того что где-то читал, или знаю, или применял. Не путайте форумную беседу с производственным совещанием, плиз. И по-вежливее будьте, я Вам не грубил и повода к такому тону не давал.

И я вам не грубил. 
Провести испытания «вашей» схемы это есть совет разработчикам (не сами же вы собирались это проводить).
Вы занимаетесь обсуждением проблемы, которую сами же и придумали. Я вам и говорю - ознакомьтесь для начала с порядком создания космической техники - глядишь и обсуждать ничего не придется.

[Nomernabis_new]

Я вам вроде серьезный вопрос задал.

Я по моему ответил серьёзно. НЕТ там молний и разрядов. По причмне разряженной атмосферы. Возможно стат. электричество от пылевых бурь. Которых не было в районе. Иногда идет снег. Видна изредка радуга.

Если там нет молний, то что вы подразумевали под естественными помехами, про которые не знают разработчики и которые привели к сбою? Это я вас как специалист по помехам спрашиваю.

Забавно. А вы уверены, что разработчики ,  ,всем , что знают, делятся с вами? А если не делятся, зачем я буду вам что-то обьяснять? Выходит, что ваши знания. как специалиста по помехам, им и не нужны.

[Nomernabis_new]

Провести испытания «вашей» схемы это есть совет разработчикам

Ага . Американцам осталость выучить русский и зарегестрироваться на этом форуме. ! 

[thunder26]

Я вам вроде серьезный вопрос задал.

Я по моему ответил серьёзно. НЕТ там молний и разрядов. По причмне разряженной атмосферы. Возможно стат. электричество от пылевых бурь. Которых не было в районе. Иногда идет снег. Видна изредка радуга.

Если там нет молний, то что вы подразумевали под естественными помехами, про которые не знают разработчики и которые привели к сбою? Это я вас как специалист по помехам спрашиваю.

Забавно. А вы уверены, что разработчики ,  ,всем , что знают, делятся с вами? А если не делятся, зачем я буду вам что-то обьяснять? Выходит, что ваши знания. как специалиста по помехам, им и не нужны.

Делятся - в научных статьях, в нормативных документах. Соответственно, мои знания от ихних ничем не отличаются.
Но я понял, что про помехи вы сказали неподумавши. .

[thunder26]

Провести испытания «вашей» схемы это есть совет разработчикам

Ага . Американцам осталость выучить русский и зарегестрироваться на этом форуме. ! 

Если читать что вы пишите, то ни в коем случае не стоит учить.

[telekast]

Увеличенное быстродействие достигается за счёт более плотной компоновки и более тонкого тех. процесса. А чем тоньше тех. процесс, тем больше чувствительность к радиации и вообще ко всему.

Это не первый робот который летал в космос. И не первый процессор. В сравнении с прошлыми нынешний как мэйнфрейм с арифмометром. Не думаю также, что чувствительность прямо пропорциональна техпроцессу, склоняюсь к тому, что быстродействие растет опережающими темпами. Хотя тут лучше послушать более сведущих людей. Могу ошибаться. Опять жеж ничто не мешает провести опыт на земле: сделать две схемы, традиционную и "мою", и проверить на тестовой задаче бомбардируя их частицами.
ИМХУ

Вы в курсе, сколько стоит сессия на ускорителе для испытаний на тяжелые ионы? Всех ваших внутренних органов не хватит. Никто не будет проводить испытания на исследование проблемы, высосанной вами из пальца.
Прежде чем давать советы разработчикам, нужно ознакомиться с их решениями и порядком обеспечения стойкости и помехоустойчивости.

Я никому не давал советов, тем паче разработчикам. Я занимался обсуждением проблемы и путями возможного решения с такими же как я форумчанами. Исходя из того что где-то читал, или знаю, или применял. Не путайте форумную беседу с производственным совещанием, плиз. И по-вежливее будьте, я Вам не грубил и повода к такому тону не давал.

И я вам не грубил.
Провести испытания «вашей» схемы это есть совет разработчикам (не сами же вы собирались это проводить).
Вы занимаетесь обсуждением проблемы, которую сами же и придумали. Я вам и говорю - ознакомьтесь для начала с порядком создания космической техники - глядишь и обсуждать ничего не придется.

Перечитайте свой пост! Если у Вас принято с порога разговаривать употребляя выражения типа "высосан из пальца",... Ну, ладно, Ваша печаль. Будет, при случае, повод для адекватных эвфемизмов.
Никому я не предлагал проводить эксперимент, лишь высказал возможность такого теста. Вы знаете, что это безумно дорого? ОК. Что стоило так и сказать "Это безумно дорого, никто проводить не будет, есть другие методы". Вы же через губу мне сообщаете о стоимости моих органов (они стоят еще меньше, чем Вы предполагаете).
Проблему придумал не я. О проблеме сообщило НАСА/разработчики/етц. Здесь высказанно было предположение о вине ТЗЧ, космической радиации и пр. Высказано было не мной. Я предположил про баг в программе. И лишь сообщил свои мысли о этомуьи другим поводам. Так что претензии не по адресу.
Ознакомиться с порядком производства космической техники мне негде, я в этой отрасли не работаю, на заводы, КБ и пр. допуска не имею. Про методы борьбы с помехами и что-то еще я лишь когда-то, где-то читал. Вот на основе этого я и вел разговор.

[LRV_75]

Вообще-то про вертолёт говорили, что его изюминкой является использование обычной электроники чуть ли не из магазина. Какое троирование?

Никогда не перестану удивляться познаниям современных юристов в электронике.

Кое-кому, прежде чем язвить, неплохо бы ознакомиться, для начала, с предметом обсуждения:

C. Avionics Computing A three-level fault-tolerant computing architecture is used on the helicopter as shown in Fig. 9. Software is implemented using the F' software framework [10]. The avionics design is required to have low mass, low power and adequate radiation tolerance. A set of candidate parts to meet these requirements have been incorporated into the design which is now descirbed. 1. Processors The SnapdragonTM processor from Intrinsyc® with a Linux operating system performs high-level functions on the helicopter. The SnapdragonTM processor has a 2.26 GHz Quad-core SnapdragonTM 801 processor with 2 GB Random Access Memory (RAM), 32 GB Flash memory, a Universal Asynchronous Receiver Transmitter (UART), a Serial Peripheral Interface (SPI), General Purpose Input/Ouput (GPIO), a 4000 pixel color camera, and a Video Graphics Array (VGA) black-and-white camera.

с. 10

NSB. The NSB carries the Snapdragon CPU as a System on a Module (SOM) and provides power and I/O interfaces which include 3 UARTs, 1 SPI and a few discrete GPIOs. The NSB also hosts the drive circuitry for the 6 DC servo motors and delivers over 20 W power. • TCB. The COTS telecom module is mounted on the TCB. Some additional analog circuitry, a 16-bit 8-channel ADC, the temperature sensor interface and heater switches take up the remaining space. This ADC is used for monitoring charging current and temperature without having to turn on the FCs, thereby saving power. • HPB. The HPB has two DC/DC converters that regulate the battery voltage to the 3.3 V and the 5 V. The 5 V regulator can be switched off. Although COTS electronics parts are used, selections are made for military-grade, automotive or industrial grade..

с. 12. Ну и далее можете почитать, может, что интересное для себя найдёте.
https://rotorcraft.arc.nasa.gov/Publications/files/Balaram_AIAA2018_0023.pdf
Дабы не сесть в лужу.

На той же с. 12:

FFB is at the heart of the ECM. The two redundant TI Hercules safety processors serve as the low-level
flight controller (FC); each has dual-core lockstep ARM Cortex-R5F and ECC protected Flash and RAM. The
two processors run in sync and are provided with the same clock and data by the FPGA, which handles all the
sensors and actuators interface. The lockstep mechanism does cycle by cycle error detection. If a fault is detected,
it signals the error to the FPGA; the FPGA switches to the other processor and power cycles the faulty one,
so the flight control software continues to run without disruption. The analog signals are digitized by the two
independent 12-bit ADCs in each of the flight controllers.

Т. е. Система управления резервируется по схеме active-active, 2 двух ядерных процессора работают синхронно и осуществляют обмен данными с ПЛИС(FPGA).
Вот сам ПЛИС не резервируется и может быть точкой отказа.
Правда по каналу сбора данных отказоустойчиаость есть внутри ПЛИС - сбор данных идёт по двум независимым 12 битным каналам АЦП(ADC)
Но вот про дублирование /троирование канала управления внутри ПЛИС или про резервный ПЛИС я ничего не нашёл.
По мне так надо было строить 2 параллельных/  независимых канала active-active (процессор-ПЛИС/Процессор - ПЛИС). Так надёжнее.
Ну это моё имхо, судя по новостям ошибку исправили и в понедельник летим.
Было бы конечно интересно, если бы JPL рассказали поподробнее потом - в чем была ошибка и как они её исправили.
Или это чисто программный баг, тогда интересно на сколько он лежал на поверхности и можно ли бы это поймать на земле (вангую что можно) или это какой то был аппаратный отказ в системе проц-fpga и они его как то программно обошли

[opinion]

По мне так надо было строить 2 параллельных/  независимых канала active-active (процессор-ПЛИС/Процессор - ПЛИС). Так надёжнее.

А как отключить неисправный канал от управления?

[thunder26]

Вообще-то про вертолёт говорили, что его изюминкой является использование обычной электроники чуть ли не из магазина. Какое троирование?

Никогда не перестану удивляться познаниям современных юристов в электронике.

Кое-кому, прежде чем язвить, неплохо бы ознакомиться, для начала, с предметом обсуждения:

C. Avionics Computing A three-level fault-tolerant computing architecture is used on the helicopter as shown in Fig. 9. Software is implemented using the F' software framework [10]. The avionics design is required to have low mass, low power and adequate radiation tolerance. A set of candidate parts to meet these requirements have been incorporated into the design which is now descirbed. 1. Processors The SnapdragonTM processor from Intrinsyc® with a Linux operating system performs high-level functions on the helicopter. The SnapdragonTM processor has a 2.26 GHz Quad-core SnapdragonTM 801 processor with 2 GB Random Access Memory (RAM), 32 GB Flash memory, a Universal Asynchronous Receiver Transmitter (UART), a Serial Peripheral Interface (SPI), General Purpose Input/Ouput (GPIO), a 4000 pixel color camera, and a Video Graphics Array (VGA) black-and-white camera.

с. 10

NSB. The NSB carries the Snapdragon CPU as a System on a Module (SOM) and provides power and I/O interfaces which include 3 UARTs, 1 SPI and a few discrete GPIOs. The NSB also hosts the drive circuitry for the 6 DC servo motors and delivers over 20 W power. • TCB. The COTS telecom module is mounted on the TCB. Some additional analog circuitry, a 16-bit 8-channel ADC, the temperature sensor interface and heater switches take up the remaining space. This ADC is used for monitoring charging current and temperature without having to turn on the FCs, thereby saving power. • HPB. The HPB has two DC/DC converters that regulate the battery voltage to the 3.3 V and the 5 V. The 5 V regulator can be switched off. Although COTS electronics parts are used, selections are made for military-grade, automotive or industrial grade..

с. 12. Ну и далее можете почитать, может, что интересное для себя найдёте.
https://rotorcraft.arc.nasa.gov/Publications/files/Balaram_AIAA2018_0023.pdf
Дабы не сесть в лужу.

На той же с. 12:

FFB is at the heart of the ECM. The two redundant TI Hercules safety processors serve as the low-level
flight controller (FC); each has dual-core lockstep ARM Cortex-R5F and ECC protected Flash and RAM. The
two processors run in sync and are provided with the same clock and data by the FPGA, which handles all the
sensors and actuators interface. The lockstep mechanism does cycle by cycle error detection. If a fault is detected,
it signals the error to the FPGA; the FPGA switches to the other processor and power cycles the faulty one,
so the flight control software continues to run without disruption. The analog signals are digitized by the two
independent 12-bit ADCs in each of the flight controllers.

Т. е. Система управления резервируется по схеме active-active, 2 двух ядерных процессора работают синхронно и осуществляют обмен данными с ПЛИС(FPGA).
Вот сам ПЛИС не резервируется и может быть точкой отказа.
Правда по каналу сбора данных отказоустойчиаость есть внутри ПЛИС - сбор данных идёт по двум независимым 12 битным каналам АЦП(ADC)
Но вот про дублирование /троирование канала управления внутри ПЛИС или про резервный ПЛИС я ничего не нашёл.
По мне так надо было строить 2 параллельных/  независимых канала active-active (процессор-ПЛИС/Процессор - ПЛИС). Так надёжнее.
Ну это моё имхо, судя по новостям ошибку исправили и в понедельник летим.
Было бы конечно интересно, если бы JPL рассказали поподробнее потом - в чем была ошибка и как они её исправили.
Или это чисто программный баг, тогда интересно на сколько он лежал на поверхности и можно ли бы это поймать на земле (вангую что можно) или это какой то был аппаратный отказ в системе проц-fpga и они его как то программно обошли

В ПЛИС троированные ячейки: «The single-event upset (SEU) is mitigated with triple module redundancy (TMR) in the FPGA design».

[thunder26]

The helicopter FPGA implements most of the fault protection on the vehicle. It collects telemetry and health status from a variety of sources and responds to them as a function of the operational state. It operates the pair of FC processors as a primary and hot spare, determining when to switch from one to the other, and restoring critical state data to a processor after it has been power cycled. Critical data used by any of the processors is stored in the FPGA. Triple module redundancy is applied to critical flip-flops, as resources permit, to add additional protection from SEU.

SEU - одиночный сбой при воздействии протонов и ТЗЧ

[LRV_75]

По мне так надо было строить 2 параллельных/  независимых канала active-active (процессор-ПЛИС/Процессор - ПЛИС). Так надёжнее.

А как отключить неисправный канал от управления?

Для этого нужен третий сервер - сервер орбитр(сервер с простой конфигурацией и без всяких взаимодействий с ПЛИС).
Для примера можете вкратце посмотреть как построена технология ADG Oracle для отказоустойчивости кластеров.

Ps: посмотрел документ внимательнее. Ниже описано как работает. Третий сервер не нужен

[thunder26]

Although COTS electronics parts are used, selections are made for military-grade, automotive or industrial grade
with the operating temperature range of at least -40 C to +85 C. The ICs are screened for single-event latch-up (SEL) and parts are also selected for low power. Each subsystem has a current monitor to detect possible latch-up current and can be power cycled to clear a SEL. In addition, current limiting is added to prevent a destructive SEL event and most devices are switched off when not in use to minimize their exposure to SEL. For the critical FPGA which is always on for the duration of the mission, the radiation tolerant ProASIC3 is chosen with the military temperature grade (-55 C to 125 C) and -1 speed grade to mitigate the degradation in the propagation delay caused by the total dose radiation. The single-event upset (SEU) is mitigated with triple module redundancy (TMR) in the FPGA design.

Ну и проведены работы по оценки к катастрофическим отказам при воздействии ТЗЧ и введены аппаратные средства защиты по току потребления. Ну и про TMR в ПЛИС уже выше писал.
SEL - эффект «защелка», катастрофический отказ при воздействии протонов и ТЗЧ.
PS Раз ввели аппаратные средства защиты от SEL, значится по параметрам чувствительности COTS элементы (ожидаемо) оказались не очень.

[LRV_75]

Вообще-то про вертолёт говорили, что его изюминкой является использование обычной электроники чуть ли не из магазина. Какое троирование?

Никогда не перестану удивляться познаниям современных юристов в электронике.

Кое-кому, прежде чем язвить, неплохо бы ознакомиться, для начала, с предметом обсуждения:

C. Avionics Computing A three-level fault-tolerant computing architecture is used on the helicopter as shown in Fig. 9. Software is implemented using the F' software framework [10]. The avionics design is required to have low mass, low power and adequate radiation tolerance. A set of candidate parts to meet these requirements have been incorporated into the design which is now descirbed. 1. Processors The SnapdragonTM processor from Intrinsyc® with a Linux operating system performs high-level functions on the helicopter. The SnapdragonTM processor has a 2.26 GHz Quad-core SnapdragonTM 801 processor with 2 GB Random Access Memory (RAM), 32 GB Flash memory, a Universal Asynchronous Receiver Transmitter (UART), a Serial Peripheral Interface (SPI), General Purpose Input/Ouput (GPIO), a 4000 pixel color camera, and a Video Graphics Array (VGA) black-and-white camera.

с. 10

NSB. The NSB carries the Snapdragon CPU as a System on a Module (SOM) and provides power and I/O interfaces which include 3 UARTs, 1 SPI and a few discrete GPIOs. The NSB also hosts the drive circuitry for the 6 DC servo motors and delivers over 20 W power. • TCB. The COTS telecom module is mounted on the TCB. Some additional analog circuitry, a 16-bit 8-channel ADC, the temperature sensor interface and heater switches take up the remaining space. This ADC is used for monitoring charging current and temperature without having to turn on the FCs, thereby saving power. • HPB. The HPB has two DC/DC converters that regulate the battery voltage to the 3.3 V and the 5 V. The 5 V regulator can be switched off. Although COTS electronics parts are used, selections are made for military-grade, automotive or industrial grade..

с. 12. Ну и далее можете почитать, может, что интересное для себя найдёте.
https://rotorcraft.arc.nasa.gov/Publications/files/Balaram_AIAA2018_0023.pdf
Дабы не сесть в лужу.

На той же с. 12:

FFB is at the heart of the ECM. The two redundant TI Hercules safety processors serve as the low-level
flight controller (FC); each has dual-core lockstep ARM Cortex-R5F and ECC protected Flash and RAM. The
two processors run in sync and are provided with the same clock and data by the FPGA, which handles all the
sensors and actuators interface. The lockstep mechanism does cycle by cycle error detection. If a fault is detected,
it signals the error to the FPGA; the FPGA switches to the other processor and power cycles the faulty one,
so the flight control software continues to run without disruption. The analog signals are digitized by the two
independent 12-bit ADCs in each of the flight controllers.

Т. е. Система управления резервируется по схеме active-active, 2 двух ядерных процессора работают синхронно и осуществляют обмен данными с ПЛИС(FPGA).
Вот сам ПЛИС не резервируется и может быть точкой отказа.
Правда по каналу сбора данных отказоустойчиаость есть внутри ПЛИС - сбор данных идёт по двум независимым 12 битным каналам АЦП(ADC)
Но вот про дублирование /троирование канала управления внутри ПЛИС или про резервный ПЛИС я ничего не нашёл.
По мне так надо было строить 2 параллельных/  независимых канала active-active (процессор-ПЛИС/Процессор - ПЛИС). Так надёжнее.
Ну это моё имхо, судя по новостям ошибку исправили и в понедельник летим.
Было бы конечно интересно, если бы JPL рассказали поподробнее потом - в чем была ошибка и как они её исправили.
Или это чисто программный баг, тогда интересно на сколько он лежал на поверхности и можно ли бы это поймать на земле (вангую что можно) или это какой то был аппаратный отказ в системе проц-fpga и они его как то программно обошли

В ПЛИС троированные ячейки: «The single-event upset (SEU) is mitigated with triple module redundancy (TMR) in the FPGA design».

Да, посмотрел внимательнее и нашёл.

Спасибо. Стр. 13

И про троирование на уровне ПЛИС
и про работу пары процессоров. Режим active-active работает по принципу основного и горячего резерва и эта пара сама определяет кто из них главный и когда кому передавать управление.
Тогда по архитектуре с точки зрения надёжности отказоустойчивости я косяков не вижу, имхо.

The helicopter FPGA implements most of the fault protection on the vehicle. It collects telemetry and health
status from a variety of sources and responds to them as a function of the operational state. It operates the pair of FC
processors as a primary and hot spare, determining when to switch from one to the other, and restoring critical state data
to a processor after it has been power cycled. Critical data used by any of the processors is stored in the FPGA. Triple
module redundancy is applied to critical flip-flops, as resources permit, to add additional protection from SEU.

[thunder26]

Осмелюсь предположить, что проблема была в калибровке датчиков Холла в моторах

[opinion]

По мне так надо было строить 2 параллельных/  независимых канала active-active (процессор-ПЛИС/Процессор - ПЛИС). Так надёжнее.

А как отключить неисправный канал от управления?

Для этого нужен третий сервер - сервер орбитр(сервер с простой конфигурацией и без всяких взаимодействий с ПЛИС).
Для примера можете вкратце посмотреть как построена технология ADG Oracle для отказоустойчивости кластеров.

Ps: посмотрел документ внимательнее. Ниже описано как работает. Третий сервер не нужен

FPGA и есть арбитр.

[Старый]

Осмелюсь предположить, что проблема была в калибровке датчиков Холла в моторах

Не, так не интересно! 

[LRV_75]

Осмелюсь предположить, что проблема была в калибровке датчиков Холла в моторах

Не, так не интересно! 

Почему?
Эта проблема в принципе решаема с земли и относительно просто. 
Или вам приключения а-ля хаябуса подавай?))

[Старый]

Осмелюсь предположить, что проблема была в калибровке датчиков Холла в моторах

Не, так не интересно! 

Почему?
Эта проблема в принципе решаема с земли и относительно просто.
Или вам приключения а-ля хаябуса подавай?))

Ну тут столько было о радиационных повреждениях и резервировании а оказалось делов то - подкалибровать датчики. Это несерьёзно! Я так не играю.   
 

[Штуцер]

Понравилось. Ни хера не понятно.
Главное "в понедельник летим".