FPGA抗单粒子效应设计概述

以 SRAM 为基础的 FPGA 可以现场编程， 设计人员可在运行的航天器中重新配 置逻辑电路。因此，SRAM 型的 FPGA 成为多数设计人员在应用中的首选。不过这 种灵活性所要付出的代价是：所有 SRAM 都易受高强度宇宙辐射的影响，易发生 SEU。 对于大多数航天应用而言， 以反熔丝为基础的 FPGA 比 ASIC 和 SRAM 产品具 有更多优势。 它拥有最低的 FPGA 能耗且具有高可靠性， 采用耐辐射的反熔丝 FPGA， 设计人员可以免除 ASIC 设计中那些 NRE 成本和工程延误风险，并且能享受只有 FPGA 才能提供的设计灵活性。此外，耐辐射反熔丝 FPGA 所需元件较少，因此能 简化板级设计、减轻重量和节省板卡的空间。
5 宇航应用中的芯片选择
在实际宇航工程应用中，可选择的芯片包括专用集成电路（Application Specific Integrated Circuit, ASIC） 、以 SRAM 为基础的 FPGA 和以反熔丝为基础的 FPGA。 由于没有一项技术是万能的，设计人员需要针对特定的应用权衡取舍各种特性，从 而得到最佳方案。 对于多数航天系统而言，ASIC 是具有最高密度、最小重量和最低功耗的解决 方案，但它却缺乏 FPGA 的灵活性。除此之外，当把设计工具成本、校验时间和非 经常性工程费用（Non Recurring Engineering Cost, NRE）一并考虑之后，ASIC 也是 成本最高的解决方案[9]。
FPGA 发生 SEU 效应时，存储单元的“位翻转”是一个常见的现象。由于翻转的位 置可能恰好不在 FPGA 编程布线区，故配置数据中的一个位（bit）的翻转不一定直 接导致 FPGA 发生功能故障。然而，如果不及时采取恢复措施，翻转位数量会不断 积累，达到一定程度终究会导致功能错误。刷写（Scrub）的直接功能就是阻止翻转 位的累积。由于 FPGA 是可重复编程的逻辑器件，可以通过周期性刷写存储单元中 的内容，来减小存储单元受到 SEU 而发生位翻转的概率[13]。从许多空间飞行器中 搜集到的数据显示： 频繁地刷写可以直接提高存储器的抗 SEU 能力； 而且存储单元 刷写的时间间隔越大，可靠性越低[14]。 刷写无需冗余的附加硬件逻辑资源，仅需适当增加自适应周期性刷新操作。因 此， 存储区域的重新刷写是目前国外 FPGA 和 DSP 空间应用时解决单粒子翻转问题 的最有效的方法， 尤其是对未作防护的标准商用货架器件 （Commercial Off The Shelf, COTS）器件[15]。但是，该方法只能解决时序逻辑的瞬时故障，不能解决由 SEU 导 致的错误传播效应。因此，刷写技术仅适合片外 FPGA 配置存储单元的抗 SEU 设 计。 6.4 结构设计 6.4.1 金字塔形体系结构设计基本概念 从结构设计上研究提高系统抗单粒子效应能力的方法是目前国内外正在研究 的重点[15]。设计中常采用金字塔形体系结构，金字塔形体系结构的含义是指：高等 级、高可靠性的器件实施对中等级、中可靠性的器件的状态监控，中等级、中等可 靠性的器件实施对低等级、低可靠性器件的监控，依此类推，构成一个金字塔形的 层层监控的可靠性体系结构。 Actel 宇航级 FPGA 是国内外星载设备上普遍使用的高可靠单元（High Reliable Unit, HRU） ，它位于信号处理平台的金字塔塔尖，负责系统故障的诊断、控制、调 配和重构，是系统的大脑。由于 Actel 的宇航级 FPGA 的规模较小，不适合进行复 杂的信号处理[15]，因此它必须结合具有自主重构能力、高性能的 FPGA 或 DSP 才 能完成复杂的信号处理，如测控、通信、数据压缩等。处于第二层结构的是 SRAM 型 FPGA，它可以是军品级、工业级，甚至商业级器件，它完成多通道高速并行信 号处理、DSP 阵列的数据管理和待处理数据流向的控制。第三层是多个地位平等的 高性能 DSP，它们构成了一个具有高速数据处理能力的信号处理网络。 6.4.2 配置存储器的回读和重配置 Actel 高可靠性的反熔丝 FPGA 负责从非易失大容量存储器中读取 Xilinx FPGA 的配置数据并对其进行配置，然后在系统运行期间，对最容易受辐射效应影响的配 置存储器按列进行读操作，回读出数百万配置锁存器中的 FPGA 配置信息后，将其 与原始配置文件进行逐位比对[16]。如果有不同，则说明可能有单粒子翻转，且能同 时准确定位到时哪一帧数据的哪一位发生了翻转，从而对出现错误的列进行局部重
1 引言
2000 年和 2003 年美国成功举行了两次太空战演习， 这预示着 21 世纪太空将成 为国际军事竞争的制高点，因此我们要有争夺制天权的准备[1]。随着技术的发展和 科技的进步， 航天电子设备对诸如现场可编程门阵列 （Field Programmable Gate Array, FPGA） 、数字信号处理器（Digital Signal Processor, DSP）等超大规模集成电路的依 赖性越来越强。另一方面，宇宙中存在各种辐射射线，使得高性能芯片受太空射线 影响而产生单粒子效应的概率大大提高，并且器件的集成度越高，单粒子效应的影 响就越显著，这严重影响和制约着航天电子仪器设备的正常工作。因此开发具有高 速度、强抗辐射能力的集成电路技术对于发展我国航天技术及在辐射环境下工作的 武器系统具有重要的意义。
2 辐射环境概述
空间辐射主要来自宇宙射线，太阳耀斑和太阳风辐射。宇宙射线是指来自宇宙 空间的高能量的粒子辐射， 它们主要由高能质子和电子、 X射线和γ射线、 中子组成。 这些高能量粒子能在局部淀积足够量的电荷，不仅会造成逻辑翻转还会对加工的芯 片产生辐射损伤[2]。 国内外对航天故障的统计显示， 40%左右的故障源自太空辐射[3]： 1993 年 8 月 21 日，美国有五颗卫星同时失效，原因是使用的同一批定时器芯片， 均因宇宙射线辐照而失效；我国 1994 年发射的“风云二号”气象卫星失去控制， 也是由于一块超大规模集成电路（Very Large Scale Integration, VLSI）芯片受到空间 辐射影响而失效[4]。2003 年 10 月太阳风暴引起强烈的北极光，导致日本高级地球 观测卫星 Midori-2 等多颗卫星失灵。 因此抗辐射技术是保障航天电子设备高可靠长 寿运行的关键技术，是航天电子领域的研究重点和热点[5]。4 单粒子效应的产生机理
单个粒子可能击中硅片中的组合逻辑，也可能击中时序逻辑。当一个带电粒子 击中存储单元的某一敏感节点时，如截止态晶体管的漏极时，其产生的瞬时电流脉 冲能够开启对面晶体管的栅极。这种作用将产生存储值的倒置，也就是存储单元中 的位翻转。 存储单元有两个稳定状态， 一个表示存储 “0” ， 而另一个表示存储 “1” 。 每种状态都有两个晶体管开启和两个晶体管关闭（SEU 以漏极为目标） 。存储单元 中的位翻转发生在高能粒子引起电路中晶体管状态翻转的时刻， 这种效应就是 SEU 效应，也是数字电路中需要重点关注的问题之一。 当一个带电粒子冲击组合逻辑块时，同样会产生瞬时电流脉冲，这种现象称为 单粒子瞬态脉冲效应（SET） 。如果逻辑运行速度足够快，以至于传播了引入的瞬时 电流脉冲，那么该 SET 将最终出现在第二个锁存器的输入端，并被认为是有效的信 号。该 SET 是否会被当作真正数据而得到保存，取决于当时它到达的时间和时钟下 降沿或上升沿之间的关系。SET 有转变为 SEU 的可能。 基于静态随机访问存储器（Static Random Access Memorizer, SRAM）工艺的 FPGA 受空间高能粒子影响较大，其内部配置存储器的逻辑状态常常发生 SEU。如 果翻转发生在 RAM 单元， 可能导致数据错误或丢失； 如果翻转发生在逻辑功能区， 可能导致航天器的功能中断[8]。因此，研究提高其抗单粒子效应能力的新方法是相 当具有吸引力的工作。
图 1 基于硬件的 TMR 表决机制
TMR 技术的优点在于速度快，缺点是所需附加硬件资源多，一个受保护模块 的冗余至少需要备份两次， 同时表决时分别需要三个 2 输入与门， 三个 2 输入或门， 从而造成功耗、体积及质量增大。 6.3 刷写 SRAM 型 FPGA 上电时通过配置电路将配置存储单元的内容写入其中。当
效应主要是总剂量效应和单粒子效应。 随着工艺水平的提高，FPGA 内核电压逐步降低，器件的辐射总剂量承受能力 会越来越高，因此对采用先进工艺的高性能 FPGA 来讲，总剂量效应影响会相对减 小。但是随着器件核电压的降低、门数的剧增，单粒子翻转、单粒子功能中断和单 粒子瞬态脉冲等一系列单粒子效应会越来越明显[7]。单粒子效应可以造成某个器件 或者器件的某个区域较长时间甚至永久性的失效。因此 FPGA 的抗单粒子效应设计 将极大程度上影响以 FPGA 为重要组成部分的航天电子设备的可靠性。
3 辐射效应概述
空间电子设备由于其所处的轨道不同，受到的辐射影响也不相同。总的来讲， 空间中的辐射效应主要有：总剂量效应（ Total Ionizing Dose, TID ） 、位移损伤 （Displacement Damage） 、单粒子翻转（Single Event Upset, SEU） 、单粒子功能中断 （Single Event Functional Interrupt, SEFI） 、 单粒子烧毁 （Single Event Burnout, SEB） 、 单粒子瞬态脉冲（Single Event Transient, SET）等[6]。其中对 FPGA 影响较大的辐射
FPGA 抗单粒子效应设计概述
摘要：辐射效应是影响航天电子可靠性的重要问题，本文首先分析了宇宙空间 中的辐射效应和其对空间电子设备的影响，紧接着比较了 ASIC、SRAM 型 FPGA 和反熔丝 FPGA 在实际宇航应用中的性能， 最后根据 FPGA 单粒子故障效应的特点， 讨论了单粒子效应故障加固设计的一般方法。
6 抗单粒子效应的加固设计
6.1 看门电路 FPGA 设计中防止单粒子翻转的硬件措施是采取看门电路，一旦发生单粒子翻 转导致的程序走飞， 可通过狗咬信号对 FPGA 进行复位， 从而达到自动恢复。 此外， 在 FPGA 内部状态机设置状态陷阱，使由于单粒子翻转而产生的错误状态可以自动 恢复初始状态，从而避免死锁[10]。目前此项技术已在中俄火星探测中崭露头角。 6.2 三模冗余 图 1 为典型的基于硬件的三模冗余（Triple Module Redundancy ,TMR）逻辑原 理示意图，三个相同的模块M0 、M1 和M2 分别接收三个相同的输入 Input，产生的三 个结果送至三选二表决逻辑。 若有一个模块发生 SEU 故障， 另外两个正常模块的输 出可将故障模块的输出掩蔽，从而不会在表决器输出产生差错[11]。此设计思想基于 的假设前提为：任意两个存储单元的同一位不会在统一时间发生 SEU [12]。