|
(11) | EP 1 031 997 B1 |
| (12) | FASCICULE DE BREVET EUROPEEN |
|
|
| (54) |
Système électronique fonctionnant sous irradiation, procédé de conception d'un tel système, et application de celui-ci à la commande d'un robot mobile Unter Strahlung arbeitendes elektronisches System, Verfahren zur Gestaltung desselben und dessen Anwendung zur Steuerung eines beweglichen Roboters Electronic system for operating under radiation, method for designing such a system and implementing the same for driving a mobile robot |
|
|
|||||||||||||||||||||||||||||||
| Il est rappelé que: Dans un délai de neuf mois à compter de la date de publication de la mention de la délivrance de brevet européen, toute personne peut faire opposition au brevet européen délivré, auprès de l'Office européen des brevets. L'opposition doit être formée par écrit et motivée. Elle n'est réputée formée qu'après paiement de la taxe d'opposition. (Art. 99(1) Convention sur le brevet européen). |
Domaine technique
[0001] La présente invention concerne un système électronique fonctionnant sous irradiation, notamment X ou gamma, un procédé de conception d'un tel système, destiné à faire fonctionner ce système sous irradiation, tout en comportant des composants « vulnérables », c'est-à-dire intrinsèquement inaptes à fonctionner sous cette irradiation, et l'application de ce procédé à la commande d'un robot mobile.
[0002] Bien que l'unité de mesure légale pour les doses de radiations intégrées par les composants soit le Gray (Gy), les hommes de métier et la plupart des documents de référence expriment cette grandeur dans l'ancienne unité : le Rad. Dans la suite on utilisera donc cette seconde unité. Il est toutefois rappelé que : 100 Rad = 1 Gy.
[0003] On entend par circuits "vulnérables" des circuits électroniques qui ne supportent qu'une ou que quelques centaines de kRad, typiquement sous forme d'irradiations gamma ou neutronique telles qu'on les rencontre en ingénierie nucléaire. Généralement, ces circuits sont à très haut degré d'intégration (définis par le terme anglais VLSI (« Very Large Scale Integration ») et en technologie CMOS, bien que ces caractéristiques ne soient pas limitatives.
[0004] Ces circuits "vulnérables" sont les seuls à pouvoir réaliser des fonctions très complexes. On peut citer comme exemples des microcontrôleurs, des processeurs spécialisés dans le traitement de signaux ("Digital Signal Processor"), des ASICs ("Application Specific Integrated Circuits") ou des mémoires de grande capacité. Ils sont particulièrement adaptés à la réalisation de systèmes de commande embarqués sur télémanipulateurs de haute technologie ou sur robot mobile.
[0005] L'invention est donc principalement développée pour la conception de systèmes de commande pour environnement nucléaire, qui sont actuellement les systèmes électroniques les plus performants travaillant dans cet environnement. C'est pourquoi ils sont pris comme exemple pour la description d'une réalisation privilégiée. Mais on ne sort pas du cadre de l'invention en l'appliquant à tout autre système électronique, dès lors que sa complexité rend avantageux l'usage de composants "vulnérables" à l'irradiation ambiante.
[0006] L'expression "système de commande" n'est pas considérée ici dans le sens très restreint souvent utilisé en ingénierie nucléaire, notamment en raison des performances très rudimentaires autorisées dans l'art connu, et dont quelques exemples sont fournis ci-après. Dans la suite, système de commande est utilisé dans le sens plus large qu'il a en automatique, à savoir : il a pour objet de recueillir des informations sur le système à commander, les traiter si besoin est (par exemple par filtrage numérique, par correction de non-linéarité), leur appliquer une ou plusieurs lois de commande numérique pouvant comporter des modes de fonctionnement autonomes aptes à des prises de décision, gérer les commandes des amplificateurs de puissance associés aux actionneurs, assurer des fonctions de sécurité et gérer, en cas de défaillance partielle, des modes de fonctionnement dégradés. Une telle commande peut aussi être apte à communiquer avec un dispositif de transmission d'informations, selon les possibilités des diverses configurations de travail (multiplexage, transmission hertzienne, ou tout autre moyen).
Etat de la technique antérieure
[0007] Dans l'art connu, les systèmes électroniques, travaillant sous une telle irradiation et comportant de tels composants vulnérables sont essentiellement les systèmes de commande pour robots mobiles ou engins téléopérés. Ils peuvent être répartis en deux catégories, selon la dose de rayonnement qu'ils supportent.
[0008] Une première catégorie comporte des systèmes de commande pouvant correspondre à la définition ci-dessus, mais ne pouvant supporter en pratique plus de quelques kRad, exceptionnellement quelques dizaines de kRad.
[0009] On peut citer comme exemple le robot mobile d'intervention « Andros », construit par Remotech, USA. L'électronique embarquée se compose d'un contrôleur standard constitué d'une carte microcontrôleur et de variateurs du commerce. Les commandes sont transmises par un cordon ombilical. Le système de commande est conventionnel, proche des commandes de type industriel, mais sa tenue aux radiations ne dépasse pas 1 à 10 kRad.
[0010] Une seconde catégorie comporte des systèmes de commande très simplifiés, ne pouvant correspondre à la définition ci-dessus, mais pouvant supporter en pratique plusieurs dizaines de kRad, voire plusieurs centaines de kRad s'ils ne comportent pratiquement pas d'électronique et si leur commande est déportée à l'extrémité d'une liaison fil à fil.
[0011] Un exemple est constitué par le robot mobile d'intervention « Oscar », pour lequel tous les signaux de commande sont transmis fil à fil par un cordon ombilical de diamètre important devant les dimensions du robot, et dont la longueur est nécessairement limitée.
[0012] Un autre exemple est constitué par le télémanipulateur assisté «RD 500» utilisé sur le site de La Hague dans les années 1990 : tous les signaux de commande sont transmis fil à fil par un cordon ombilical, et la commande proprement dite est déportée en zone non irradiée.
[0013] Plus généralement, cette seconde catégorie de systèmes de commande très simplifiés vise uniquement à :
- acquérir une ou plusieurs mesures,
- éventuellement les traiter de façon rudimentaire par un filtrage analogique simple (du premier ordre), ou dans le meilleur des cas par une numérisation sous 8 bits avec des temps de conversion longs (supérieurs à 10µs),
- transmettre cette (ou ces) mesure(s) selon un protocole séquentiel figé, quand ce n'est pas directement fil à fil, ce qui pose alors le problème d'un cordon ombilical pénalisant par son diamètre, son poids, ou tout simplement son existence même (il rend impossible le franchissement d'un sas),
- envoyer des consignes vers les amplificateurs de puissance qui n'appartiennent pas à proprement parler au système de commande.
[0014] Les systèmes de cette seconde catégorie ne peuvent réaliser des fonctions évoluées, performantes, ni être autonomes et sûrs, la sûreté supposant en effet l'existence de modes dégradés ou de redondances, ainsi que l'aptitude au fonctionnement autonome.
[0015] Il n'existe actuellement aucune solution permettant de faire fonctionner sous irradiation un système de commande tel que défini ci-dessus. La preuve en a été fournie dans le document référencé [3] qui mentionne le projet d'un robot mobile destiné à intervenir sur le site de Tchernobyl. Le cahier des charges demandait une tenue à 1 MRad et la solution retenue correspond à la seconde catégorie précitée, dans son expression la plus rudimentaire : absence totale d'électronique embarquée, toute l'électronique est déportée fil à fil par un cordon ombilical.
[0016] La réponse de l'homme de l'art est décrite dans le document référencé [4], au chapitre 4 consacré à la stratégie de conception. Elle ne comporte que quatre solutions :
A - le blindage des composants ou de l'équipement,
B - le choix de la localisation de l'équipement,
C - l'utilisation d'un équipement tolérant aux radiations déjà disponible commercialement,
D - la mise au point d'un équipement tolérant aux radiations.
[0017] En pratique, elle se limite le plus souvent au blindage ou à la localisation déportée de l'électronique. On va ci-dessous examiner chacune de ces solutions :
• solution A, concernant le blindage :
[0018] Certains composants ont un boîtier conçu pour résister contre les rayonnements ionisants, mais il s'agit d'un blindage léger contre les SEUs ("Single Event Upsets") rencontrés par les satellites, qui sont des collisions accidentelles avec des particules extrêmement énergétiques, pouvant causer la destruction locale d'un microcomposant. Leur efficacité contre les rayonnements gamma est dérisoire, même si on la renforce par un écran métallique supplémentaire, car la dose cumulée de radiations gamma que doit supporter un satellite est relativement faible (environ 100 kRad pour toute sa durée de vie) et ne constitue pas un objectif pour le concepteur. L'homme du métier sait que, malgré l'appellation commune de "rayonnements ionisants", il s'agit en fait d'un problème différent de ceux rencontrés dans l'industrie nucléaire.
[0019] Dans le domaine de l'industrie nucléaire, le blindage contre les rayonnements ionisants est constitué d'une épaisse couverture de métal lourd (par exemple du plomb ou du Dénal pour un rayonnement gamma), puisque l'atténuation apportée par ce blindage dépend de la masse atomique du matériau. Les courbes d'atténuation montrent que l'épaisseur doit dépasser plusieurs centimètres pour que le blindage soit significatif, et que cette épaisseur augmente très rapidement à mesure que l'on augmente la dose de rayonnement admissible. Ainsi, pour blinder au plomb le contrôle commande d'un pont roulant en fonctionnement sur un site industriel français (géré par un Automate Programmable Industriel), il a fallu recourir à un blindage d'environ une tonne de plomb, qui a nécessité un surdimentionnement coûteux de la structure du pont. Ce blindage a été calculé pour permettre à la commande de supporter 1 MRad. La commande a, de plus, dû être remplacée tous les ans, imposant une immobilisation de l'installation si coûteuse que l'exploitant a renoncé à cette solution et installé une commande déportée en zone non irradiée, avec liaison fil à fil.
[0020] Cette solution de blindage, qui apparaît trop pesante pour un équipement lourd, le serait infiniment plus pour un engin mobile dont le poids est toujours critique, en particulier si on envisage de lui faire gravir un escalier en caillebotis pour intervenir dans une centrale nucléaire à la suite d'un éventuel incident technique. Outre son effet direct, le poids d'un blindage représente aussi un problème incontournable lorsqu'on examine l'énergie potentielle mise en jeu lors d'un choc, d'une chute ou de la descente d'une marche. Soit par exemple un blindage d'une tonne, dont on a vu qu'il est notoirement insuffisant, si l'engin mobile descend brutalement une marche de 10 cm, et que l'énergie correspondante mgh est absorbée par un dispositif élastique de raideur k, s'écrasant d'un cm, on peut écrire : mgh = ½ Fx, où F= kx, avec x=10-2 m et h = 10-1 m, alors : F = 2.10 8 N, ce qui correspond à une accélération de 2.10 5 g.
[0021] On voit clairement que la suspension d'une telle masse (système de commande + blindage) placée sur un engin mobile devient un problème insoluble en pratique.
• Solution B, concernant la localisation déportée de l'électronique :
[0022] Par définition, elle est contraire au problème posé qui consiste à faire fonctionner un système de commande sous irradiation.
• Solution C, recourant à un équipement tolérant aux radiations, disponible dans le commerce :
[0023] Par définition, elle est contraire au problème posé qui consiste à faire fonctionner sous irradiation un véritable système de commande, dans le sens défini ci-dessus, alors que les systèmes commercialement disponibles sont beaucoup trop rudimentaires pour répondre au problème posé.
• Solution D, visant à concevoir un système de commande durci :
[0024] Le durcissement consiste essentiellement à remplacer les circuits MOS par leurs équivalents, lorsqu'ils existent, en technologie durcie (SOS, SOI, DMILL, etc...). Cependant les trois technologies SOS, SOI et DMILL restent peu diffusées commercialement, d'où une offre de composants pauvres, aussi bien en terme de diversité de produits qu'en terme de performances. A titre d'exemple pour les microcontrôleurs, les produits durcis actuellement disponibles ont des fonctionnalités et des performances correspondant à un retard technologique de l'ordre de 20 ans par rapport aux composants non durcis : ils ne possèdent pas de mémoire à accès aléatoire, et leurs fonctionnalités et jeux d'instructions sont difficilement compatibles avec un système de commande tel que défini ci-dessus. Leur tenue à l'irradiation est d'environ 300 kRad, soit une amélioration d'un facteur 10 environ par rapport à un composant standard, un peu plus par rapport à un modèle particulièrement vulnérable. Seule se démarque la technologie DMILL qui permet d'atteindre 10 MRad. Néanmoins, elle ne permet pas la réalisation de mémoire réinscriptibles. En outre l'offre commerciale est extrêmement limitée et nécessite, pour sa mise en oeuvre, le développement d'ASICs, ce qui impose des contraintes incompatibles en pratique avec la réalisation d'une commande de robot mobile.
[0025] Le durcissement de l'électronique est de plus en plus difficile à réaliser à mesure que la dose d'irradiation à supporter croît. En outre, comme le montre le document [5], passé un seuil d'environ 1 kRad (limite basse de l'électronique conventionnelle sous irradiation), le coût du durcissement croît avec le débit de dose dans des proportions ne permettant pas d'envisager d'atteindre ou de dépasser 1 MRad.
[0026] Pour conclure, les systèmes de commande actuels n'offrent donc que des fonctions rudimentaires, exécutées à faible cadence, sans possibilité d'améliorer significativement ni leurs performances ni leur fiabilité. La cadence d'acquisition des informations des capteurs est si faible qu'elle interdit toute possibilité de retour d'effort, qui serait pourtant indispensable pour l'exécution de certaines tâches en téléopération.
[0027] Le niveau d'autonomie conféré par de telles commandes est très faible : on peut parler en pratique de systèmes téléopérés. Or bien des applications nucléaires ne peuvent se contenter d'une téléopération. Un engin radiocommandé, par exemple, doit pouvoir, en cas de problème de transmission, prendre une décision autonome (par exemple revenir à la position précédant la perte de communication). Un autre exemple bien connu consiste à introduire, via un sas, un robot mobile dans une centrale nucléaire après un accident ayant abouti à la fuite de matière nucléaire à l'intérieur du bâtiment. On sait introduire le robot, mais le respect de l'étanchéité interdit de lui transmettre les commandes par câble. Le robot doit donc alors impérativement se déplacer de manière autonome vers l'un de ces points, ce qui est actuellement impossible à réaliser.
[0028] Cet état de l'art peut se résumer au récent projet de construction d'un robot mobile "Pioneer" pour intervention sur le site de Tchernobyl. Le cahier des charges imposait de supporter une dose cumulée de 1 MRad. Aucune industrie, aucun laboratoire de recherche n'a pu proposer un système de commande embarqué répondant au besoin. Dans le dispositif actuellement à l'étude, toutes les consignes seront ramenées en fil à fil vers un poste de commande déporté.
[0029] La présente invention a pour objet un système électronique fonctionnant sous irradiation, notamment X ou gamma, un procédé de conception d'un tel système et son application préférentielle à un système de commande de robot mobile fonctionnant sous cette irradiation.
Exposé de l'invention
[0030] La présente invention concerne un procédé de conception de systèmes électroniques aptes à fonctionner sous irradiation, qui comporte les étapes suivantes :
I. énumérer l'ensemble des fonctions que doit réaliser le système.
II. déterminer les composants électroniques aptes à réaliser physiquement ces fonctions, en accordant la préférence aux modèles ayant le plus fort taux d'intégration.
III. déterminer le volume de composants qu'il est possible de protéger par des moyens de protection dénommés blindage, en tenant compte de la dose d'irradiation que doit supporter le système, du poids maximal admissible, du matériau choisi pour ce blindage, ainsi que de la distance à laquelle les composants sélectivement protégés par ce blindage pourront être des autres composants non blindés.
IV. établir une liste des composants les plus vulnérables en tenant compte d'abord de leur technologie, puis de leur degré d'intégration, en associant à chacun de ces composants les composants qui doivent être implantés à leur proximité immédiate, s'il en existe, et en plaçant en premier le composant le plus vulnérable, puis en second celui dont la vulnérabilité est un peu moins élevée, et ainsi de suite, éventuellement en plaçant plusieurs circuits de vulnérabilités identiques.
V. sélectionner à partir de la liste de l'étape précédente, un ensemble de composants, en commençant par les composants les plus vulnérables, en limitant cet ensemble aux composants qui peuvent, de par leurs dimensions, être implantés dans le volume défini lors de l'étape III.
VI. éxaminer si les composants de cet ensemble peuvent réaliser des fonctions cohérentes, et ne communiquer avec le reste du système que par un nombre raisonnable de fils, qui transmettent des signaux aptes à parcourir sans être altérés la distance prévue à l'étape III entre les composants sélectivement protégés et les autres composants ; si toutes ces conditions ne sont pas simultanément remplies, modifier par itération la liste des composants pour obtenir ce résultat, sans excéder le volume défini à l'étape III ; si toutes ces conditions sont simultanément remplies, aller à l'étape suivante, l'ensemble de composants ainsi obtenu étant dénommé "premier ensemble de premiers composants", et les autres composants étant dénommés "second ensemble de seconds composants".
VII. concevoir l'implantation physique du premier ensemble de premiers composants, concevoir le blindage, constitué d'au moins un matériau absorbant pour les rayonnements, disposé autour de ce premier ensemble de composants, et concevoir, entre le premier ensemble de composants et le second, des moyens de connexion agencés pour ne pas former de chemin de pénétration pour les rayonnements ambiants.
VIII. concevoir l'implantation physique du second ensemble de composants, évaluer la dose de rayonnements qu'ils auront effectivement à supporter, et si nécessaire, utiliser une technique complémentaire pour améliorer leur aptitude au fonctionnement sous irradiation par une technique autre que le blindage.
IX. évaluer si la solution au problème posé est obtenue ou non : si elle n'est pas obtenue, modifier les paramètres de l'étape III (poids et nature du matériau du blindage, dose maximale d'irradiation acceptable, distance entre le premier ensemble de composants et le second), et réitérer le processus à partir de cette étape III ; si oui considérer que la partie de conception pure est achevée, et éventuellement lancer la partie expérimentale de l'étape X.
X. valider la conception en réalisant un prototype conforme aux étapes de conception ci-dessus, au moins en ce qui concerne le premier ensemble de composants, mis en place dans ses moyens de protection (blindage), et effectuer des essais d'irradiation ; si ces essais ne sont pas conformes aux spécifications, modifier les paramètres de l'étape III (poids et nature du matériau du blindage, ou éventuellement dose maximale d'irradiation acceptable), et réitérer le processus à partir de cette étape III, cette étape X étant facultative.
[0031] On ne sort pas de l'invention en réalisant certaines étapes de manière implicite et plus ou moins simultanée, mais remplissant de fait la même fonction. C'est notamment le cas des étapes IV, V, VI qu'une personne expérimentée peut effectuer "au juger", sans nécessairement découper son travail en étapes élémentaires, comme il a été fait ici par souci de clarté. De même, on ne sort pas du cadre de l'invention si on n'effectue pas l'étape X.
[0032] L'étape II, qui conduit à choisir de préférence des circuits fonctionnellement très riches, a pour conséquence de limiter les fonctionnalités à assurer par les autres composants du système. Ceci facilite le recours à d'autres techniques que le blindage pour assurer leur protection.
[0033] L'étape III fait intervenir les paramètres qui dimensionnent la protection. Le blindage lui même est réalisé selon l'état de l'art, notamment en ce qui concerne le matériau qui doit être adapté à la nature des rayonnements considérés.
[0034] L'étape IV mentionne une liste des composants les plus vulnérables en tenant compte d'abord de leur technologie, puis de leur degré d'intégration. Une personne expérimentée ou s'aidant des informations du constructeur, peut établir une première hiérarchie dans l'aptitude des composants à tolérer une certaine dose d'irradiation. Toutefois, si l'on veut être rigoureux et tenir compte des différences de comportement des circuits selon l'énergie des rayonnements, leur intensité et leur répartition dans le temps, il est particulièrement avantageux d'effectuer des essais.
[0035] L'étape V définit des composants destinés à être sélectivement protégés, qui sont des composants performants et riches de fonctions pour lesquels il est impossible de trouver, dans les gammes industrielles usuelles, des équivalents résistants aux radiations. L'exemple type est un microcontrôleur en technologie CMOS à très haute intégration (VLSI), comportant sur une seule « puce » de semi-conducteur : unité centrale, mémoires, entrées/sorties, chien de garde, etc.... On ne retient de la liste du paragraphe précédent que les composants, en commençant par les plus vulnérables, qui peuvent être implanté dans le volume défini au paragraphe III. Les composants qui doivent être physiquement très proches des ces composants, comme par exemple le quartz d'horloge d'un microcontrôleur ou des condensateur(s) de découplage, leurs sont associés et sont a priori retenus de la même manière. Néanmoins on ne sort pas du cadre de l'invention en renonçant à protéger ces composants annexes.
[0036] S'il est impératif de protéger plus de composants que ce que le blindage peut contenir, il existe deux autres possibilités qui peuvent être mise en oeuvre tout en restant conforme à l'invention :
- combiner ces composants par voie d'implantation ou d'« hybridation » (montage compact de puces électroniques) pour les protéger par un unique blindage,
- affecter à la protection contre le rayonnement plusieurs blindages renfermant des composants sélectivement protégés.
[0037] Il peut exister des difficultés pour évacuer la chaleur générée par le fonctionnement de ces composants. Dans ce cas, on ne sort pas de l'invention en incorporant entre ces composants et le blindage un produit électriquement isolant mais thermiquement conducteur, afin d'évacuer la chaleur par le blindage.
[0038] L'étape VI constitue une validation des composants sélectionnés à l'étape précédente, en envisageant les contraintes liées au fonctionnement de l'électronique : notamment, le nombre et la bande passante des signaux devant circuler entre les composants destinés à être sélectivement protégés par blindage et ceux destinés à ne pas l'être. Néanmoins, on s'efforce pour ces seconds composants d'améliorer leur tolérance aux rayonnements par toute autre technique que le blindage (voir étape VIII).
[0039] L'étape VII comporte la réalisation des moyens de protection ou blindage. Une réalisation préférentielle du blindage est constituée de deux demi-coques solidarisées par des vis, disposées de manière à minimiser leur incidence sur la protection des composants. Les connections avec le second ensemble de composants peuvent avantageusement s'effectuer par un circuit imprimé souple, qui suit une chicane dont est pourvu le blindage à son entrée/sortie, pour éviter la pénétration des rayonnements.
[0040] Dans un mode de réalisation avantageux ce blindage est relié au reste du système :
- mécaniquement par une suspension amortissante,
- électriquement par des connexions suffisamment souples pour prendre en compte les déplacements dus à cette suspension mécanique.
[0041] L'étape VIII mentionne des techniques de protection autres que le blindage, par exemple des procédés de gestion du fonctionnement de ces composants par redondances et/ou optimisation des tensions d'alimentation tels que décrits dans les documents [1] et [2], permettant d'allonger significativement leur durée de vie. Un autre exemple est l'utilisation de chronogrammes d'enchaînement des actions (en particulier au niveau de la logique) dont les fourchettes temporelles sont suffisamment larges pour rendre leur fonctionnement tolérant vis à vis des dérives temporelles qui peuvent résulter de l'irradiation.
Brève description des dessins
[0042]
- La figure 1 est un organigramme retraçant les diverses étapes du procédé de l'invention,
- le figure 2 représente schématiquement le système électronique de l'invention,
- la figure 3 est un schéma synoptique de l'interface représentée sur la figure 2, qui dans la réalisation décrite comporte plusieurs cartes électroniques montées dans une baie,
- les figures 4A et 4B représentent une implantation de l'ensemble des premiers composants,
- les figures 5A et 5B représentent deux vues en coupe du blindage, montrant de profil l'ensemble des premiers composants illustrés sur les figures 4A et 4B,
- la figure 6 schématise fonctionnellement les échanges d'information entre les composants sélectivement protégés dans le blindage 22 et le reste du système, via les cartes d'interface 33 et 37,
- les figures 7A et 7B illustrent un mode de réalisation mécanique de l'invention ; la figure 7A montrant l'agencement général et la figure 7B montrant un montage mécanique amortisseur de chocs et/ou vibrations pour la partie blindée,
- la figure 8 situe le système de commande selon l'invention dans le contexte global de son utilisation.
Exposé détaillé d'un mode de réalisation particulier
[0043] Dans la suite de la description on considère, à titre d'exemple, une application privilégiée de l'invention constituée par un système de contrôle commande pour robot mobile apte à fonctionner dans un milieu irradié, et devant supporter 1 MRad.
[0044] L'application du procédé de l'invention, décrite ci-dessous, est faite conformément à l'organigramme de la figure 1, retraçant les diverses étapes du procédé de conception. Si ce procédé aboutit au terme d'une première itération à un résultat incompatible avec les paramètres initiaux, une seconde itération est alors entreprise après modification de ces paramètres.
Première itération
Etape I - Fonctions du système de contrôle commande
[0045] La liste des fonctions à réaliser pour la commande envisagée comporte les cinq familles suivantes :
- acquisition de mesures capteur et traitement analogique ou numérique, par exemple
:
- six mesures analogiques de courant moteur,
- deux mesures analogiques de température,
- une mesure analogique de courant batterie,
- une mesure analogique de mesure de référence de tension,
- dix entrées TOR de conformité commande relais (TOR :Tout Ou Rien),
- cinq entrées TOR divers ;
- envois de commandes, par exemple :
- six commandes analogiques de moteur,
- dix sorties TOR de commande de relais,
- cinq sorties TOR annexes ;
- communication via un lien série « full duplex » avec le poste de commande :
- interprétation des messages reçus,
- émission de messages,
- contrôle de la conformité des messages ;
- contrôle du fonctionnement du robot :
- contrôle des actions du robot,
- interprétation de la mesure des capteurs de sécurité,
- gestion de modes de sécurité (thermique,
- gestion de mode dégradé ou de mode autonome (perte de communication, actions autonome...).
Etape II - Composants électroniques du système
[0046] L'analyse fonctionnelle du contrôleur du robot conduit à rechercher des composants comportant :
- amplificateurs de ligne ("driver" en anglais), décodage d'adresse, logique trois états,
- convertisseur analogique/numérique, filtres analogiques, amplificateurs analogiques,
- convertisseurs numérique/analogique,
- composants logiques TOR, relais.
[0047] Le choix des composants électroniques à proprement parler est orienté vers les composants ayant le plus fort taux d'intégration possible, soit :
- un contrôleur 40 (comportant le processeur, une mémoire de code, une mémoire RAM ("Random Access memory"), un circuit UART ("Universal Asynchronous Receiver Transmitter"), un gestionnaire de bus, un chien de garde, et des performances élevées en rapidité de calcul),
- un convertisseur analogique/numérique 43 (incluant référence de tension, échantillonneur/bloqueur, logique fonctionnant en mode trois états, signaux de contrôle, performances élevées en termes de résolution et de temps d'acquisition),
- des amplificateurs opérationnels (filtrage et amplification),
- des convertisseurs numérique/ analogiques incluant une référence de tension,
- des composants logiques TTL (amplificateurs de ligne, décodage d'adresse, logique trois états, composants logiques TOR) de type ALS,
- des composants passifs,
- des relais électromécaniques.
[0048] Le microcontrôleur et le convertisseur analogique/numérique sont en technologie CMOS à faible consommation et faible bruit, mais leur technologie les rend très fragiles aux radiations. Ces deux composants n'ont pas d'équivalent insensible ou peu sensible au rayonnement.
[0049] Pour les autres composants, on retient dans la mesure du possible des composants en technologie bipolaire ou JFET aptes à supporter une irradiation gamma.
[0050] La démarche proposée dans le procédé de l'invention va à l'encontre de celle de l'homme de l'art qui utiliserait des composants peu sophistiqués de préférence durcis. Dans l'invention, on accepte de réaliser des fonctions (liées au processeur et ses périphériques) qui n'existent qu'en technologie MOS, très sensible aux radiations. L'homme de l'art utiliserait au mieux des composants en technologie durcie (SOI, SOS) pour réaliser ces fonctions. Or il n'existe pas de microcontrôleur industriel durci ayant un niveau d'intégration équivalent à ceux des technologies CMOS classiques, et qui pourrait assurer l'ensemble de ces fonctions. Les conséquences seraient alors de plusieurs ordres :
- le niveau de dose tolérable reste inférieur à 300 kRad pour la plupart des composants durcis (donnée imposée par les besoins du marché spatial, sans intérêt pour le nucléaire), ce qui revient à dire que le problème posé ne pourrait être résolu ;
- même avec une durée de vie n'excédant pas le tiers de la durée de vie spécifiée, les performances générales du système seraient inférieures de plusieurs ordres de grandeur, c'est-à-dire de dix fois à plus de cent fois selon le paramètre considéré : puissance de calcul du processeur, taille de la mémoire, débit des liaisons séries, temps de cycle processeur, vitesse du bus.
Etape III - Détermination du volume disponible
[0051] Pour la détermination du volume utile, les paramètres sont :
- le poids maximal admissible pour le blindage : par exemple 10 kg ;
- le matériau : par exemple pour le rayonnement gamma considéré, on choisit le Dénal, alliage de tungstène ; lors de l'étape III le plomb et le Dénal sont envisagés pour apprécier l'intérêt du Dénal par rapport au plomb, mais on ne fera pas d'itération avec le plomb pour ne pas alourdir inutilement l'exposé ;
- la dose d'irradiation tolérable : par exemple 1 MRad ;
- la distance entre les deux ensembles de composants : par exemple moins de 2 dm.
Etape IV - Classification des composants par vulnérabilité
[0053] Les connaissances théoriques, enrichies par l'expérience, ont conduit à la liste suivante :
- convertisseur analogique numérique : 20 kRad,
- microcontrôleur : environ 50 kRad,
- convertisseur numérique/analogique : >1 MRad,
- amplificateur opérationnel : >1MRad,
- composants logiques TTL : >1MRad en respectant des règles de mise en oeuvre (voir étape VIII),
- composants passifs : environ 100 MRad,
- relais : > 1MRad.
Etape V - Composants à protéger
[0054] Le microcontrôleur et les convertisseurs analogique/numérique doivent être protégés. A ces composants il convient d'ajouter, comme éléments annexes devant être implantés à proximité, un quartz d'horloge et des condensateurs de découplage.
Etape VI - « Premiers composants » compatibles avec le volume imparti
[0055] Le volume disponible pour la protection n'est-pas suffisant pour loger le microcontrôleur et les convertisseurs analogique/numérique, même en utilisant les techniques d'hybridation.
Seconde itération
Etape II - Composants électronique du système
[0057] On limite le nombre de convertisseurs analogique/numérique à un seul composant et on introduit un multiplexeur analogique, et une logique de sélection qui permet d'augmenter le nombre de voies d'acquisition analogique. Ce choix se fait au détriment du temps d'acquisition total des mesures, mais peut être compensé par un mécanisme logiciel d'acquisition en temps masqué.
[0058] La nouvelle liste des composants électroniques est la suivante :
- un microcontrôleur de la Société Siemens,
- un convertisseur numérique/analogique,
- un multiplexeur analogique de la Société Analog Devices,
- des amplificateurs opérationnels (filtrage et amplification),
- six convertisseurs numérique/ analogiques,
- des composants logiques en technologie TTL (amplificateurs de ligne, décodage d'adresse, logique trois états, composants logiques TOR, logique de sélection),
- composants passifs,
- relais électromécaniques.
Etape III - Détermination du volume disponible
Etape IV - Classification des composants par vulnérabilité
[0060]
- microcontrôleur : environ 50 kRad,
- convertisseur analogique numérique : 20 kRad,
- multiplexeur analogique >1 MRad,
- convertisseur numérique/analogique : >1 MRad,
- amplificateur opérationnel : >1 MRad,
- composants logiques TTL : >1 MRad en respectant des règles de mise en oeuvre,
- composants passifs : environ 100 MRad,
- relais : >1 MRad.
Etape V - Composants à protéger
[0061] Un microcontrôleur et un convertisseur analogique/numérique, tous deux encapsulés selon la technologie CMS, c'est-à-dire des composants pour montage en surface. On leur associe comme éléments annexes un quartz et des condensateurs de découplage. Le multiplexeur n'est pas compris parmi les composants protégés.
Etape VI - « Premiers composants » compatibles avec le volume imparti
[0062] Le microcontrôleur et le convertisseur analogique sont implantés chacun sur un circuit imprimé multicouches. Chacun de ces circuits imprimés est relié aux composants non blindés par un circuit imprimé souple, dont l'autre extrémité est une carte d'interface d'une baie électronique.
[0063] Les signaux circulant dans ces circuits imprimés souples sont :
- les alimentations,
- un bus multiplexé propre au microcontrôleur (0-5V, 20 MHz),
- les signaux de commandes et de données propres au convertisseur (0-5V, 20 MHz),
- le signal d'entrée analogique du convertisseur (+/-10V,300Hz max).
[0064] La bande passante et la sensibilité de mesure permettent un déport de quelques décimètres des premiers composants par rapport aux seconds composants
[0065] Le blindage est constitué de deux demi-coques de Dénal, pesant ensemble 10kg, et dont la forme extérieure se rapproche d'une sphère aplatie. La taille du blindage est calculée en faisant le rapport entre la dose à atteindre (1 MRad) et la tenue sous irradiation du composant le plus vulnérable. Le rapport pour le système de commande est un facteur 50 de protection. On sait que 35 mm de plomb apportent un facteur 10 d'atténuation pour une irradiation au cobalt 60. On obtient le même résultat avec 24 mm de Dénal. On retient un blindage quasi sphérique de 10 kg ayant 60 mm de rayon en plomb, ou 42 mm de rayon en Dénal. Cette dernière valeur permet de garantir la tenue des premiers composants à l'irradiation, avec une bonne marge de sécurité.
Etape VII - Réalisation de l'ensemble protégé
[0066] Le premier ensemble de premiers composants est implanté sur deux circuits imprimés multicouches, mais on ne sort pas du cadre de l'invention en utilisant un seul circuit imprimé. Ces deux circuits imprimés communiquent chacun avec une carte d'interface, appartenant au second ensemble de composants.
Etape VIII - Réalisation de l'électronique de l'ensemble non protégé
[0067] Cette étape met en oeuvre d'autres techniques pour garantir la tenue sous irradiation de l'électronique non protégée, parmi lesquelles :
- des chronogrammes d'enchaînement des actions (au niveau de la logique TTL) tolérants vis-à-vis de dérives temporelles,
- un fonctionnement dynamique de la logique TTL trois états géré par le microcontrôleur pour minimiser le courant de fuite en phase bloquée,
- une compensation logicielle de la dérive sous irradiation de la mesure du convertisseur analogique/numérique par mesure de tensions de référence connues.
Etape IX - Conformité du système
[0068] Les calculs de l'étape VI et l'expérience concernant la mise en oeuvre des techniques complémentaires mentionnées à l'étape VIII permettent de vérifier que le système est susceptible de satisfaire aux spécifications.
Etape X - Essai de validation
[0069] Les essais de validation sous irradiation sont d'abord effectués sur le premier ensemble de premiers composants, muni de son blindage. Puis un test sous irradiation du système complet permet de vérifier la conformité de l'ensemble du système.
[0070] A l'issue des différentes étapes du procédé de l'invention illustrées sur l'organigramme de la figure 1, on obtient par exemple le système électronique décrit ci-après. On suppose dans ce qui suit qu'il s'agit d'un système de commande de robot mobile qui est décrit à titre de réalisation privilégiée.
[0071] La figure 2 illustre l'architecture générale d'un système électronique 10, qui est constitué :
- d'un système d'interfaces 20 (comportant plusieurs cartes), équipé de composants résistants ou durcis ou tolérants,
- d'un module 21 comportant des composants industriels standards, protégé par un blindage 22, et relié au système d'interfaces 20 par un circuit imprimé souple 23, 25,
- d'une ligne 15 de transmission série de données,
- de connexions avec le robot 11 (commandes de moteurs, retour d'informations capteurs),
- d'une ligne 16 d'alimentation en énergie.
[0072] La figure 3 schématise le système 20, montrant d'une part les diverses cartes électroniques d'interfaces respectivement dotées d'entrées tout ou rien 31, de sorties tout ou rien 32, d'entrées analogiques 33 (reliées au circuit imprimé souple 25), de sorties analogiques 34, de l'interface 35 (relié à une ligne 15 de transmission série de données), et de la carte d'interface 37 de gestion du bus processeur (reliée au circuit imprimé souple 23), ainsi que des flèches 38 en trait double représentant la circulation des informations entre ces diverses cartes. Elle montre aussi la carte d'alimentation électrique 36 qui fournit les tensions nécessaires aux interfaces 31, 32, 33, 34, 35 et 37, ainsi qu'au module 21 via les circuits imprimés souples 23 et 25.
[0073] La figure 4A représente un microcontrôleur 40, un quartz 41 et un condensateur de découplage 42, montés sur un circuit imprimé 24 et reliés par un circuit imprimé souple 23 à la carte d'interface 33, illustrée sur la figure 3. Le quartz d'horloge 41 et le condensateur 42 de découplage d'alimentation doivent être reliés au plus près du microcontrôleur 40.
[0074] La figure 4B représente un convertisseur analogique/numérique 43, un condensateur de découplage 44 et une référence de tension externe 45, montés sur un circuit imprimé 26 et reliés par un circuit imprimé souple 25 à la carte d'interface 37, illustrée sur la figure 3. Le circuit de référence de tension 45 et le condensateur découplage d'alimentation 44 doivent être reliés au plus près du convertisseur analogique/numérique 43.
[0075] Les figures 5A et 5B représentent un exemple de réalisation du blindage 22. Celui-ci est constitué de deux demi-coques 50 et 51, qui assurent la protection des composants 40, 41, 42 , 43, 44, 45. Ces deux demi-coques constituent un blindage, que l'on s'efforce ici de rendre isotrope pour l'atténuation des rayons gamma. Le passage des circuits imprimés souples 23 et 25, en entrée/sortie du blindage, présente une chicane 52 empêchant les rayonnements d'atteindre directement lesdits composants. La figure 5B représente schématiquement une vue de dessus des deux demi-coques 50 et 51, maintenues entre elles par les vis 53, 54.
[0076] La figure 6 schématise fonctionnellement les échanges d'information entre les composants sélectivement protégés dans le blindage 22 et le reste du système, via les cartes d'interface 33 et 37.
[0077] Le microcontrôleur 40 et le convertisseur analogique/numérique 43 sont montés sur des circuits imprimés spécifiques 24 et 26. Ils sont reliés à des interfaces appartenant au second ensemble de composants par les circuits imprimés souples 23 et 25 qui véhiculent :
- les alimentations 63,
- le bus d'adresses et de données 64 propre au microcontrôleur 40,
- les signaux de commande et de données 65 propres au convertisseur 43,
- le signal d'entrée analogique 66 du convertisseur 43.
[0078] Une logique, implantée sur la carte d'interface 37, relaie les signaux de données, d'adresse et de commande selon un schéma conventionnel pour un homme de l'art via un bus processeur 38 classique (fond de panier).
[0079] Sur ce bus 38 est connectée une logique 70 de décodage d'adresse et d'échange de données. Cette logique 70 commande la logique de sélection d'une entrée parmi N d'un multiplexeur analogique 72 du type N : 1, reliée aux N entrées analogiques via des préamplificateurs/conditionneurs 73, tous réalisés dans des technologies connues comme résistantes. Via le bus processeur 38 et la logique de commande 70, le programme du microcontrôleur 40 commande successivement la conversion des signaux d'entrées analogiques, par sélection successive de ceux-ci au moyen du multiplexeur 72, puis récupère le résultat de cette conversion analogique/numérique via la même logique de commande 70 et le bus processeur 38.
[0080] Les figures 7A et 7B représentent un mode de réalisation mécanique de l'invention. Sur un bâti 90, réalisé par une plaque métallique, est fixé un châssis classique 91, qui constitue le support physique du système 20, doté d'une carte-mère 92 dont le circuit imprimé véhicule les signaux du bus 38 ainsi que les lignes analogiques attaquant les conditionneurs 73, et les lignes d'alimentation issues de la carte 36. Sur la carte mère 92 sont connectées les cartes 37 d'interface de gestion du bus processeur, la carte 33 qui comporte l'ensemble de multiplexage analogique 70 à 73, et les autres cartes 31, 32, 34, 35 36 non détaillées sur cette figure. Les cartes 95 sont des cartes de commande de moteurs non détaillées.
[0081] Le blindage 22 est constitué d'une sorte de sphère évidée 100 en Dénal, composée des deux demi-coquilles 50 et 51, dont émergent les circuits imprimés souples 23 et 25 reliés aux cartes 33 et 37. Cette sphère 100 est maintenue par deux tores 98 en élastomère, rendus solidaires par une plaque 96 évidée et quatre colonnettes 97. L'élastomère choisi est du polyuréthane.
[0082] La sphère 100 se trouve ainsi posée sur un premier tore 98 en élastomère, dont le rayon intérieur est choisi de manière à ce que celle-ci ne vienne pas au contact du plan d'appui où repose ce premier tore 98, même à son écrasement maximal. Un second tore 98 identique est placé au-dessus de la sphère 100. Ces deux tores assurent la suspension principalement selon l'axe vertical. Pour assurer aussi la suspension selon les deux autres directions orthogonales, deux autres jeux de tores peuvent être ajoutés selon ces axes.
[0083] Ce système amortisseur assure le maintien de l'ensemble sur le bâti 90, tout en assurant l'amortissement des mouvements de la sphère 100 en cas de choc (par exemple en cas de chute) ou de vibrations selon la direction perpendiculaire au plan du bâti 90.
[0084] Cette réalisation permet ainsi d'éviter que, dans des limites d'accélérations prédéterminées, la masse de la sphère ne transmette au bâti 90 et au châssis des efforts mettant en danger l'intégrité mécanique de l'ensemble.
[0085] La figure 8 situe le système de commande selon l'invention dans le contexte global de son utilisation pour commander un robot mobile ou un dispositif de téléopération. Le schéma représente un système complet de commande, divisé en deux ensembles :
- une unité 10 localisée au voisinage immédiat du robot 11, et soumise au flux de radiations (milieu irradié 12),
- un ordinateur 13 au contact de l'opérateur 14, localisé en milieu non hostile.
[0086] Cette unité 10 et cet ordinateur 13 sont interconnectés par une liaison rapide 15 de transmission de données.
[0087] L'unité 10 permet d'assurer cycliquement :
- la scrutation des différents capteurs du robot (positions, vitesses, retour d'efforts),
- l'envoi des données des capteurs à l'ordinateur 13,
- la réception des consignes calculées par l'ordinateur 13,
- la transmission pour exécution de ces consignes aux modules d'électronique de puissance reliés aux actionneurs du robot (moteurs).
[0088] En outre on attend de l'unité 10 des actions réflexes telles que l'arrêt d'urgence en cas d'anomalies comme un excès de courant consommé par un moteur, ou des modes de fonctionnement dégradé, voire autonomes. La réalisation de telles fonctionnalités, connues de l'homme de l'art, ne fait pas partie de l'invention.
[0089] De façon plus générale, l'invention est applicable à tout système électronique devant fonctionner sous irradiation. On peut citer, comme systèmes autre que les commandes, les capteurs intelligents ou les systèmes de télétransmission.
REFERENCES
[0090]
[1] FR-A-2 765 342 (CEA)
[2] FR-A-2 764 713 (CEA)
[3] Article du « Los Angeles Times » intitulé « The Cutting Edge » (13 mars 1998)
[4] « A Designer's/User's Guide For The Nuclear Power Industry » (Radiation Effects On Elecronic Equipment, Atomic Energy Authority (UK), AEA-D&W-0691, document 200 page 8, document 800 pages 9 à 14)
[5] « The Effects Of Radiation On Electronic Systems » de Georges C. Messenger et Miklton S. Ash (Deuxième édition, figure 15-13, page 881)
I. énumérer l'ensemble des fonctions que doit réaliser le système.
II. déterminer les composants électroniques aptes à réaliser physiquement ces fonctions, en accordant la préférence aux modèles ayant le plus fort taux d'intégration.
III. déterminer le volume de composants qu'il est possible de protéger par un blindage, en tenant compte de la dose d'irradiation que doit supporter le système, du poids maximal admissible, du matériau choisi pour ce blindage, ainsi que la distance à laquelle les composants sélectivement protégés par un blindage pourront être des autres composants non blindés.
IV. établir une liste des composants les plus vulnérables en tenant compte d'abord de leur technologie, puis de leur degré d'intégration, en associant à chacun de ces composants les composants qui doivent être implantés à leur proximité immédiate, s'il en existe, et en plaçant en premier le composant le plus vulnérable, puis en second celui dont la vulnérabilité est un peu moins élevée, et ainsi de suite, éventuellement en plaçant plusieurs circuits de vulnérabilités identiques.
V. sélectionner à partir de la liste de l'étape précédente, un ensemble de composants, en commençant par les composants les plus vulnérables, en limitant cet ensemble aux composants qui peuvent, de par leurs dimensions, être implantés dans le volume défini lors de l'étape III.
VI. examiner si les composants de cet ensemble peuvent réaliser des fonctions cohérentes et ne communiquer avec le reste du système que par un nombre raisonnable de fils, qui transmettent des signaux pouvant parcourir sans être altérés la distance prévue à l'étape III entre les composants sélectivement protégés et les autres composants ; si toutes ces conditions ne sont pas simultanément remplies, modifier par itération la liste des composants pour obtenir ce résultat, sans excéder le volume défini à l'étape III ; si toutes ces conditions sont simultanément remplies, aller à l'étape suivante ; l'ensemble de composants ainsi obtenu étant dénommé premier ensemble de premiers composants, et les autres composants étant dénommés second ensemble de seconds composants.
VII. concevoir l'implantation physique du premier ensemble de premiers composants, et concevoir des moyens de protection, dénommés blindage, constitués d'au moins un matériau absorbant pour les rayonnements, disposés autour de ce premier ensemble de composants, et concevoir, entre le premier ensemble de composants et le second, des moyens de connexion agencés pour ne pas former de chemin de pénétration pour les rayonnements ambiants.
VIII.concevoir l'implantation physique du second ensemble de composants, évaluer la dose de rayonnements qu'ils auront effectivement à supporter et si nécessaire, utiliser une technique complémentaire pour améliorer leur aptitude au fonctionnement sous irradiation par une technique autre que le blindage.
IX. évaluer si la solution au problème posé est obtenue ; si elle n'est pas obtenue, modifier les paramètres de l'étape III et réitérer le processus à partir de cette étape III.
X. valider la conception en réalisant un prototype conforme aux étapes de conception précédentes, au moins en ce qui concerne le premier ensemble de composants, implanté et mis en place dans ses moyens de protection, et effectuer des essais d'irradiation ; si ces essais ne sont pas conformes aux spécifications, modifier les paramètres de l'étape III et réitérer le processus à partir de cette étape III.
- un premier ensemble de composants comportant des composants intrinsèquement très vulnérables à ces rayonnements, et éventuellement quelques éléments associés devant être physiquement implantés à leur voisinage immédiat, dénommé premier ensemble (21) de premiers composants, protégé de ces rayonnements par des moyens de protection (22) dénommés blindage,
- un second ensemble (20) de seconds composants, moins vulnérables que les premiers, non protégés par blindage,
- des moyens de connexion (23,25) entre ces deux ensembles agencés pour ne pas former de chemin de pénétration pour les rayonnements ambiants.
- les alimentations (63),
- un bus multiplexé (64) propre au microcontrôleur (40),
- les signaux de commandes et de données (65) propres au convertisseur (43),
- le signal d'entrée analogique (66) du convertisseur (43).
dadurch gekennzeichnet,
dass es die folgenden Schritte umfasst:
I. Aufzählen der Gesamtheit der Funktionen, welche das System realisieren soll.
II. Bestimmen der elektronischen Komponenten, welche geeignet sind, diese Funktionen physikalisch zu realisieren, wobei Modelle mit dem größten Integrationsgrad bevorzugt werden.
III. Bestimmen des Volumens der Komponenten, welche durch eine Abschirmung geschützt werden können, wobei die Strahlungsdosis, welche das System aushalten soll, das maximal zulässige Gewicht und das für diese Abschirmung ausgewählte Material ebenso wie die Distanz, die die selektiv durch eine Abschirmung geschützten Komponenten von nicht abgeschirmten Komponenten entfernt sein können, berücksichtigt wird.
IV. Aufstellen einer Liste der empfindlichsten Komponenten, wobei zunächst ihre Technologie und dann ihr Integrationsgrad berücksichtigt wird, wobei mit jeder dieser Komponenten die Komponenten verknüpft werden, welche in ihrer unmittelbaren Umgebung angesiedelt werden sollen, wenn es sie gibt, und wobei als erstes die empfindlichste Komponente, dann als zweites diejenige, deren Empfindlichkeit etwas weniger hoch ist und so weiter platziert wird, wobei schließlich mehrere Schaltkreise gleicher Empfindlichkeit platziert werden.
V. Auswählen einer Gesamtheit von Komponenten ausgehend von der Liste des vorausgehenden Schritts, indem mit den empfindlichsten Komponenten begonnen wird, wobei diese Gesamtheit auf Komponenten beschränkt wird, welche von ihren Abmessungen her in das während Schritt III. definierte Volumen angeordnet werden können.
VI. Untersuchen, ob die Komponenten dieser Gesamtheit kohärente Funktionen realisieren können und mit dem Rest des Systems nur über eine vernünftige Anzahl von Leitungen, welche Signale übertragen, welche über die in dem Schritt III. zwischen den selektiv geschützten Komponenten und den anderen Komponenten vorgesehene Distanz ohne geändert zu werden laufen können, mit dem Rest des Systems kommunizieren können; wenn nicht alle diese Bedingungen simultan erfüllt sind, Modifizieren der Liste der Komponenten durch Iteration, um dieses Resultat zu erreichen, ohne das in Schritt III. definierte Volumen zu überschreiten; falls alle diese Bedingungen simultan erfüllt sind, Gehen zum nächsten Schritt; die so erhaltene Gesamtheit von Komponenten wird erste Gesamtheit von ersten Komponenten genannt und die anderen Komponenten werden zweite Gesamtheit von zweiten Komponenten genannt.
VII. Entwerfen der physikalischen Anordnung der ersten Gesamtheit der ersten Komponenten und Entwerfen der Schutzmittel, genannt Abschirmung, welche aus mindestens einem strahlenabsorbierenden Material bestehen und um diese erste Gesamtheit von Komponenten angeordnet sind und Entwerfen von Verbindungsmitteln zwischen der ersten Gesamtheit von Komponenten und der zweiten, welche so ausgestaltet sind, dass sie keinen Durchgangskanal für die Umgebungsstrahlen bilden.
VIII. Entwerfen der physikalischen Anordnung der zweiten Gesamtheit von Komponenten, Bewerten der Strahlendosis, welche sie effektiv aushalten müssen und falls nötig Benutzen einer komplementären Technik, um ihre Eignung zum Funktionieren unter Bestrahlung durch eine andere Technik als Abschirmung zu verbessern.
IX. Bewerten, ob die Lösung für das erstellte Problem erhalten wurde; wenn sie nicht erhalten wurde, Modifizieren der Parameter des Schritts III. und Wiederholen des Verfahrens ausgehend von diesem Schritt III.
X. Validieren des Entwurfs, indem ein den vorangegangenen Entwurfsschritten entsprechender Prototyp zumindest insoweit realisiert wird, als dass es die erste Gesamtheit von Komponenten, angeordnet und in seinen Schutzmitteln platziert, betrifft, und Ausführen von Bestrahlungsversuchen; wenn diese Versuche nicht den Spezifikationen entsprechen, modifizieren der Parameter des Schritts III und wiederholen des Verfahrens ausgehend von diesem Schritt III.
dadurch gekennzeichnet,
dass es umfasst:
- eine erste Gesamtheit von Komponenten umfassend intrinsisch sehr gegenüber diesen Strahlungen sehr empfindliche Komponenten und möglicherweise einige diesen angesichts dessen, dass sie physikalisch in ihrer unmittelbaren Nachbarschaft angeordnet sind, zugeordnete Elemente, genannt erste Gesamtheit (21) von ersten Komponenten, geschützt vor diesen Strahlen durch Abschirmung genannte Schutzmittel (22),
- eine zweite Gesamtheit (20) von zweiten Komponenten, weniger empfindlich als die ersten, nicht durch eine Abschirmung geschützt,
- Verbindungsmittel (23, 25) zwischen diesen zwei Gesamtheiten, welche derart angeordnet sind, dass sie keinen Durchgangskanal für die Umgebungsstrahlen bilden.
- die Versorgungen (63),
- einen zum Mikrocontroller (40) gehörenden Multiplexbus (64),
- die zum Wandler (43) gehörenden Steuersignale und Daten (65),
- das analoge Eingangssignal (66) des Wandlers (43)
übertragen, mit Schnittstellen verbunden sind.I. Enumerating all the functions to be implemented by the system;
II. determining the electronic components able to physically implement these functions whilst giving preference to models having the larger scale integration;
III. determining the volume of components which can be protected by protection means referred to as shielding, whilst taking account of the radiation dose to be withstood by the system, the maximum permitted weight of the material chosen for said shielding, as well as the distance at which components selectively protected by said shielding could be from other, unshielded components;
IV. establishing a list of the most vulnerable components, whilst firstly taking account of their technology, then their degree of integration, whilst associating with each of these components the components which have to be installed in their immediate vicinity, if existing, and whilst firstly positioning the most vulnerable component, then that whose vulnerability is slightly less high and so on, optionally placing several identical vulnerability circuits;
V. selecting on the basis of the list of the preceding stage, a group of components, commencing with the most vulnerable components and limiting said group to components which, by their very dimensions, can be installed in the volume defined in stage III;
VI. examining whether the components in said system can implement coherent functions and only communicate with the remainder of the system by a reasonable number of wires, which transmit signals able to pass through without deterioration the distance stipulated in stage III between the selectively protected components and the other components; if all these conditions are not simultaneously fulfilled, codifying by iteration the list of components in order to obtain this result, but without exceeding the volume defined in stage III; if all these conditions are simultaneously fulfilled pass to the following stage, the group of components obtained in this way being called the "first group of first components" and the other components being called the "second group of second components";
VII. designing the physical installation of the first group of first components, designing the shielding, constituted by at least one radiation-absorbing material, positioned around said first group of components, and designing between the first group of components and the second, connection means arranged so as not to form a penetration path for ambient radiation;
VIII.designing the physical installation of the second group of components, evaluating the radiation dose which they have to withstand and, if necessary, using a complimentary procedure for improving their suitability for operating under irradiation by a technique other than shielding;
IX. evaluating whether the solution to the set problem is in fact obtained; if it is not obtained, modifying the parameters of stage III and repeating the process as from stage III.
X. validating the design by producing a prototype in accordance with the preceding design stages, at least with regards to the first group of components, installed and fitted in its protection means, and performing irradiation tests; if said tests are not in accordance with the specifications, the parameters of stage III are modified and the procedure is repeated as from stage III.
- a first group of components incorporating components which are intrinsically very vulnerable to such radiation, and possibly a few associated elements which must be physically installed in their immediate vicinity, called the first group (21) of first components, protected against said radiation by protection means (22) known as shielding,
- a second group (20) of second components, which are less vulnerable than the first and not protected by shielding,
- connection means (23, 25) between said two assemblies arranged so as not to form a penetration path for ambient radiation.
- supplies (63),
- a multiplexed bus (64) belonging to the microcontroller (40),
- control and data signals (65) belonging to the converter (43),
- the analog input signal (66) of the converter (43).