呂 達(dá) 吳 飛 陸 華

(航天恒星科技有限公司,北京 100086)

1 引言

太空環(huán)境下,賽靈思(XILINX)靜態(tài)隨機(jī)存儲(chǔ)器(S RAM)型的現(xiàn)場(chǎng)可編程門(mén)陣列(FPGA)容易受到單粒子翻轉(zhuǎn)(SEU)的影響。FPGA片內(nèi)所有S RAM 都可能受到SEU 的影響,包括配置存儲(chǔ)單元、用戶(hù)邏輯單元、配置邏輯寄存器。配置存儲(chǔ)單元的內(nèi)容決定著FPGA的功能,配置存儲(chǔ)單元發(fā)生翻轉(zhuǎn)會(huì)導(dǎo)致FPGA功能持續(xù)改變,直至下次重新配置完成。用戶(hù)邏輯單元包括塊RAM(BRAM)以及可編程邏輯單元(CLB)、可編程IO 單元(IOB)中的觸發(fā)器,這些存儲(chǔ)單元的值在FPGA運(yùn)行過(guò)程中實(shí)時(shí)刷新,所以SE U 影響不大。配置控制邏輯寄存器發(fā)生翻轉(zhuǎn)屬于單粒子功能中斷(SEFI)的內(nèi)容,會(huì)導(dǎo)致FPGA配置功能失效,但配置控制寄存器發(fā)生錯(cuò)誤概率極低。據(jù)NASA測(cè)試數(shù)據(jù)顯示,每70年才可能發(fā)生一次[1]。故配置存儲(chǔ)單元SEU是FPGA抗SEU 設(shè)計(jì)中最重要的內(nèi)容。

目前抗SEU 的措施包括通過(guò)一定厚度的材料進(jìn)行輻射屏蔽、冗余設(shè)計(jì)、擦洗(Scrubbing)以及系統(tǒng)監(jiān)控與重配置等。

冗余的方法包括采用多個(gè)完成相同功能的器件進(jìn)行備份以及在同一器件中三模冗余容錯(cuò)技術(shù)(TM R)[2],冗余設(shè)計(jì)的假設(shè)前提是:任何兩個(gè)存儲(chǔ)單元的同一位不會(huì)在同一時(shí)間發(fā)生SEU 效應(yīng)[3]。采用多個(gè)完成相同功能的器件備份可以提高可靠性,但會(huì)造成體積和功耗的增加;三模冗余設(shè)計(jì)可以帶來(lái)可靠性的提高[4-5],但會(huì)使模塊的速度降低、占用資源和功耗增加。

擦洗的方法是指周期性的刷新存儲(chǔ)單元中的內(nèi)容,可以減少受到SEU 而發(fā)生翻轉(zhuǎn)的概率,這種方法的優(yōu)點(diǎn)是無(wú)需額外的硬件邏輯資源,實(shí)現(xiàn)簡(jiǎn)單,其缺點(diǎn)是無(wú)法對(duì)擦洗數(shù)據(jù)進(jìn)行校驗(yàn),不能判斷是否發(fā)生過(guò)SEU,而且只能恢復(fù)暫態(tài)故障[6]。同時(shí),如果擦洗的時(shí)間間隔越大,可靠性就會(huì)降低[7]。

對(duì)配置存儲(chǔ)器進(jìn)行回讀和重配置是一種有效的抵抗SEU 的方法,在FPGA實(shí)時(shí)運(yùn)行過(guò)程中,回讀配置存儲(chǔ)器,并對(duì)讀出的數(shù)據(jù)進(jìn)行校驗(yàn),如果發(fā)現(xiàn)錯(cuò)誤則重新配置。目前NASA[8]、日本的智能衛(wèi)星(SmartSat)[9]工作組都進(jìn)行了基于這種結(jié)構(gòu)的衛(wèi)星信號(hào)處理平臺(tái)的研究,國(guó)內(nèi)國(guó)防科技大學(xué)[10]、航天恒星科技有限公司等單位也進(jìn)行了這方面的研究,并取得了一定的進(jìn)展。

本文以XILINX Virtex-II FPGAXC2V3000為例,分別通過(guò)內(nèi)部訪(fǎng)問(wèn)接口(ICAP)和外部并行訪(fǎng)問(wèn)接口(SelectMap),回讀配置數(shù)據(jù)并校驗(yàn),實(shí)現(xiàn)了S EU 檢測(cè)。另外,通過(guò)局部動(dòng)態(tài)重構(gòu)的方法,在地面環(huán)境實(shí)現(xiàn)了故障注入。

2 原理與方案

FPGA抗SEU 設(shè)計(jì)框圖如圖1所示,包括如下4個(gè)模塊。

圖1 FPGA抗SEU 設(shè)計(jì)方案Fig.1 Structure of SEU mitigation

1)目標(biāo)模塊:指被檢測(cè)以及故障注入的實(shí)體。它們具備檢測(cè)以及故障注入的接口。

2)監(jiān)控模塊:對(duì)被檢測(cè)目標(biāo)進(jìn)行監(jiān)控,對(duì)情況進(jìn)行判斷;在出現(xiàn)故障之后報(bào)告故障處理模塊。

3)故障處理模塊:檢測(cè)出目標(biāo)系統(tǒng)故障后,根據(jù)故障類(lèi)型,進(jìn)行相應(yīng)的處理。可以是給出報(bào)錯(cuò)信息,也可能對(duì)錯(cuò)誤予以糾正,也可能是既報(bào)錯(cuò)又給予糾正。

4)故障注入模塊:在驗(yàn)證檢測(cè)算法時(shí)使用,包括故障注入器和故障集。

故障注入器指對(duì)目標(biāo)系統(tǒng)實(shí)施故障注入的實(shí)體。它根據(jù)故障注入模型條件,在故障注入時(shí)機(jī)到來(lái)的情況下,對(duì)目標(biāo)系統(tǒng)進(jìn)行故障注入。

故障集由實(shí)際發(fā)生在系統(tǒng)中的故障組成。故障集是通過(guò)對(duì)故障模型進(jìn)行分析得到的集合。對(duì)于單粒子故障集來(lái)說(shuō),故障集包括了SEU、SEFI、單粒子鎖定(SEL)等,其中SEU 故障集包括CLB 故障、IOB 故障、全局時(shí)鐘(GCLK)故障以及BRAM Interconnect 故障等。

FPGA配置存儲(chǔ)器SEU 檢測(cè)可以通過(guò)ICAP和SelectMap 接口實(shí)現(xiàn)。通過(guò)ICAP 接口,FPGA可以在普通星載軟件無(wú)線(xiàn)電平臺(tái)實(shí)現(xiàn)對(duì)自身的SEU 檢測(cè)。目標(biāo)模塊由兩片XILINX FPGA實(shí)現(xiàn),監(jiān)控模塊位于被監(jiān)控FPGA內(nèi)部,故障注入以及故障處理模塊由被監(jiān)控FPGA和DSP 模塊完成,如圖2所示。通過(guò)SelectMap 接口實(shí)現(xiàn)SEU 檢測(cè),需要在普通星載軟件無(wú)線(xiàn)電平臺(tái)基礎(chǔ)上增加監(jiān)控模塊。目標(biāo)模塊是兩片XILINX FPGA,監(jiān)控模塊由反镕絲FPGA,反镕絲FPGA通過(guò)SelectMap 接口回讀SRAM 型FPGA的配置數(shù)據(jù)。故障注入以及故障處理模塊由反镕絲FPGA和DSP 模塊完成,如圖3所示。

圖2 通過(guò)ICAP 接口進(jìn)行FPGASEU檢測(cè)的硬件框架Fig.2 Detecting SEU for FPGAby ICAP

圖3 通過(guò)SelectMap 接口進(jìn)行檢測(cè)的硬件框架Fig.3 Detecting SEU for FPGAby SelectMap

2.1 檢測(cè)模塊

對(duì)FPGA配置存儲(chǔ)單元進(jìn)行SEU 檢測(cè)的辦法是:目標(biāo)FPGA在工作狀態(tài)下,對(duì)其可配置單元中的內(nèi)容進(jìn)行回讀(active readback),對(duì)配置數(shù)據(jù)進(jìn)行校驗(yàn)。為了避免破壞BRAM 中的內(nèi)容,只針對(duì)其他內(nèi)容進(jìn)行回讀校驗(yàn)。

2.1.1 回讀接口選擇

Virtex II FPGA配置訪(fǎng)問(wèn)接口包括JTAG、SelectMap,以及ICAP 三種,其中ICAP是內(nèi)部訪(fǎng)問(wèn)接口,監(jiān)控模塊在目標(biāo)FPGA內(nèi)部完成,通過(guò)ICAP接口訪(fǎng)問(wèn)配置存儲(chǔ)器,可以實(shí)現(xiàn)對(duì)目標(biāo)FPGA自身的檢測(cè),電路結(jié)構(gòu)最為簡(jiǎn)單,不需要另加監(jiān)控模塊,但監(jiān)控模塊自身也有發(fā)生SEU 的可能,如圖2所示。JTAG 和Selectmap 都是外部訪(fǎng)問(wèn)接口,外部設(shè)備通過(guò)這兩個(gè)接口可以實(shí)現(xiàn)對(duì)目標(biāo)FPGA進(jìn)行回讀,但Selectmap是并行接口,回讀速度快,訪(fǎng)問(wèn)方便,如圖3所示。本設(shè)計(jì)分別選擇了ICAP 接口和SelectMap 接口進(jìn)行回讀檢測(cè)。

2.1.2 檢測(cè)周期確定

根據(jù)NASA和XILINX 一起對(duì)XILINX VirtexII 器件(XC2V1000)進(jìn)行輻照測(cè)試獲得的參數(shù),見(jiàn)表1[11]。以XC2V1000配置存儲(chǔ)器的3Mbit為例,根據(jù)該數(shù)據(jù)可知,平均每天就會(huì)發(fā)生1.3bit 的位翻轉(zhuǎn)錯(cuò)誤,發(fā)生 SEU 的最長(zhǎng)時(shí)間為 18h,XC2V3000 的配置存儲(chǔ)器大約為9M bit,估算得發(fā)生SE U 的最長(zhǎng)時(shí)間約為6h。SEU 檢測(cè)速率至少是故障概率的10倍,所以最長(zhǎng)檢測(cè)時(shí)間為0.6h。

如果回讀檢測(cè)模塊工作時(shí)鐘為10M Hz,通過(guò)SelectMap 接口,對(duì)XC2V3000 配置存儲(chǔ)器進(jìn)行回讀檢測(cè),完成1次檢測(cè)大約需要的時(shí)間是110ms,因此最短周期就是110ms。

根據(jù)以上考慮,文章選定1s 對(duì)配置存儲(chǔ)器進(jìn)行1次回讀檢測(cè)。

2.1.3 檢測(cè)內(nèi)容確定

S EU 檢測(cè)的做法通常是對(duì)配置存儲(chǔ)器的所有內(nèi)容進(jìn)行回讀檢測(cè),但并不是所有回讀數(shù)據(jù)都需要校驗(yàn),如BRAM 中的內(nèi)容。XILINX 提供了mask文件,表明了不需要校驗(yàn)的內(nèi)容。但如果校驗(yàn)的時(shí)候使用mask 文件,需要占用存儲(chǔ)空間,XC2V300器件mask 文件大約9.2M bit,對(duì)星載電子設(shè)備來(lái)說(shuō)是一個(gè)很大的空間。文章將mask 文件嵌入到配置以及回讀中去,回讀數(shù)據(jù)可以直接和原始bit 文件進(jìn)行校驗(yàn)或者進(jìn)行C RC 校驗(yàn),節(jié)省了存儲(chǔ)空間。

2.2 故障注入模塊

故障注入是模擬FPGA、SEU,以及單粒子功能中斷等單粒子效應(yīng)的一種有效方法。對(duì)FPGA進(jìn)行S EU 模擬可以采用重離子輻射的方法,NASA的噴氣推進(jìn)實(shí)驗(yàn)室(JPL)和單粒子效應(yīng)(SEE)協(xié)會(huì)對(duì)大規(guī)模集成電路的單粒子效應(yīng)進(jìn)行了很多模擬試驗(yàn),利用各種模擬源(粒子加速器提供的各種重離子和質(zhì)子、脈沖激光等)對(duì)FPGA進(jìn)行輻照,使FPGA配置單元發(fā)生隨機(jī)錯(cuò)誤。在算法調(diào)試階段,采用照射的方法會(huì)花費(fèi)高額費(fèi)用,另外也不利于實(shí)施。

利用Virtex II 系列FPGA可局部動(dòng)態(tài)重構(gòu)的特點(diǎn)。局部動(dòng)態(tài)重構(gòu)技術(shù)指對(duì)于特定的基于SRAM 結(jié)構(gòu)的FPGA,在一定的控制邏輯的驅(qū)動(dòng)下,對(duì)芯片的部分邏輯資源實(shí)現(xiàn)在系統(tǒng)的高速的功能變換。局部動(dòng)態(tài)重構(gòu)是指對(duì)重構(gòu)器件或系統(tǒng)的一部分進(jìn)行重新配置,而在此過(guò)程中,其余部分的工作狀態(tài)不受影響。

XILINX Virtex II FPGA最小訪(fǎng)問(wèn)單元為1幀,因此對(duì)FPGA配置存儲(chǔ)器每幀進(jìn)行動(dòng)態(tài)重構(gòu)即可完成單粒子模擬。這種研究方法可以在很大程度上仿真地面單粒子模擬試驗(yàn),縮短試驗(yàn)周期,提高試驗(yàn)的靈活性?；贔PGA配置文件的保密性要求,以及XILINX FPGA結(jié)構(gòu)本身的保密性,XILINX對(duì)配置文件中每一幀具體的邏輯資源以及如何組織這部分信息是不公布的。每一幀配置數(shù)據(jù)不但包含對(duì)邏輯資源的配置,即某些位不允許故障注入,可以參考mask 文件對(duì)允許比較的位進(jìn)行故障注入。

故障注入模塊由三部分組成:故障模式寄存器、控制寄存器、故障發(fā)生器。故障模式寄存器和控制寄存器可以由處理器通過(guò)特權(quán)指令訪(fǎng)問(wèn),可以很方便地設(shè)置故障模式,制造所期望的故障模式,并控制故障的注入。故障模式寄存器可以對(duì)FPGA的不同部位設(shè)置所期望的故障模式。如欲使CLB部分的第i 幀第j 位發(fā)生翻轉(zhuǎn),只要設(shè)置故障模式寄存器相應(yīng)的數(shù)據(jù)位即可?？刂萍拇嫫骺梢钥刂乒收系牟迦?再非調(diào)試模式下可以禁止故障的插入,保證被監(jiān)控FPGA正常運(yùn)行。在調(diào)試模式下,允許故障的插入,數(shù)據(jù)在經(jīng)過(guò)故障注入器后,產(chǎn)生類(lèi)似于SEU效應(yīng)的錯(cuò)誤數(shù)據(jù),寫(xiě)入到配置存儲(chǔ)器,達(dá)到故障注入的目的。

2.3 軟件流程圖

S EU 檢測(cè)試驗(yàn)的軟件流程如圖4所示:秒脈沖下降沿到來(lái)時(shí),檢測(cè)故障注入標(biāo)志,如果故障注入標(biāo)志為1,則進(jìn)行故障注入,即對(duì)配置存儲(chǔ)器的一幀進(jìn)行改寫(xiě),否則對(duì)配置存儲(chǔ)器進(jìn)行檢測(cè)。

圖4 S EU 檢測(cè)試驗(yàn)軟件流程圖Fig.4 SEU detection algorithm flow chart

3 試驗(yàn)結(jié)果及分析

3.1 SEU檢測(cè)試驗(yàn)

3.1.1 通過(guò)ICAP 實(shí)現(xiàn)SEU 檢測(cè)

FPGA對(duì)自身配置存儲(chǔ)器進(jìn)行檢測(cè)結(jié)果如下:被監(jiān)控FPGA實(shí)現(xiàn)點(diǎn)燈功能,未進(jìn)行故障注入的時(shí)候,回讀數(shù)據(jù)的CRC值保持恒定,如圖5所示,CRC值始終是0xA2E2,檢測(cè)結(jié)果compareout 信號(hào)也始終為低電平。

對(duì)配置存儲(chǔ)器進(jìn)行故障注入,配置存儲(chǔ)器的Block Interconnect 列的第一幀的第一個(gè)字節(jié)進(jìn)行改寫(xiě),將最初的一個(gè)字節(jié)0×00 改為了0×07。故障注入后重新檢測(cè),回讀數(shù)據(jù)的CRC值變?yōu)镕00F,檢測(cè)結(jié)果信號(hào)compareout 也變?yōu)楦唠娖?表明檢測(cè)到SEU 翻轉(zhuǎn),如圖6所示。

圖5 未故障注入時(shí)候CRC值始終不變Fig.5 CRC data are fixed w hen no SEU happens

圖6 故障注入后CRC 發(fā)生變化Fig.6 CRC data are changed when SEU happens

3.1.2 通過(guò)SelectMap 接口實(shí)現(xiàn)SEU 檢測(cè)

目標(biāo)FPGA實(shí)現(xiàn)點(diǎn)燈功能。故障注入前始終未檢測(cè)到SEU。故障注入是通過(guò)對(duì)GCLK 前兩幀數(shù)據(jù)進(jìn)行改寫(xiě)實(shí)現(xiàn)的。對(duì)配置存儲(chǔ)器前兩幀數(shù)據(jù)第一個(gè)字節(jié)分別寫(xiě)入0×0C,原來(lái)都是0×00;其余部分寫(xiě)入0×00。故障注入后小燈停止閃爍,開(kāi)啟回讀檢測(cè)模塊,檢測(cè)到SEU,如圖7所示。

圖7 故障注入后后檢測(cè)到單粒子翻轉(zhuǎn)Fig.7 S EU is detected after bug is inserted

圖7中,從上至下第8個(gè)信號(hào)compare_o表示回讀的配置數(shù)據(jù)與原始數(shù)據(jù)的比較結(jié)果,readnum表示回讀比特計(jì)數(shù)。由圖中看出當(dāng)readnum=666時(shí),compare_o為高電平,表示檢測(cè)到了SEU。

3.2 資源使用情況

3.2.1 通過(guò)ICAP 實(shí)現(xiàn)SEU 檢測(cè)

FPGA中實(shí)現(xiàn)的功能是通過(guò)ICAP 對(duì)自身配置存儲(chǔ)器進(jìn)行回讀,并對(duì)讀出的數(shù)據(jù)進(jìn)行CRC 校驗(yàn),所使用的資源如表2所示。

由表2可見(jiàn),本文的FPGA抗SEU 設(shè)計(jì)占用資源少。本設(shè)計(jì)在星載GPS 接收機(jī)FPGA模塊中進(jìn)行了試驗(yàn),FPGA設(shè)計(jì)在增加抗SEU 的功能的同時(shí),不會(huì)造成資源的顯著增加。

表2 FPGA通過(guò)ICAP 對(duì)自身配置存儲(chǔ)器SEU 檢測(cè)資源使用情況Table2 Resource using condition when detecting SEU in FPGAconfiguration memory through ICAP by itself

3.2.2 通過(guò)SelectMap 接口SE U 檢測(cè)

本設(shè)計(jì)中選用Virtex II xc2v1500 代替反镕絲器件,對(duì)S RAM 型FPGA進(jìn)行檢測(cè)。監(jiān)控FPGA內(nèi)部實(shí)現(xiàn)監(jiān)控模塊、判決等功能,使用資源見(jiàn)表3?？梢?jiàn),通過(guò)SelectMap 接口實(shí)現(xiàn)SEU 檢測(cè)占用資源很少。

表3 通過(guò)SelectMap 回讀檢測(cè)SEU 資源占用情況Table3 Resource using condition when detecting SEU in FPGAconfiguration memory through Seletcmap

4 結(jié)論及展望

文章分析了S RAM 型FPGASEU 的特點(diǎn),以及FPGA抗SEU 方法,并通過(guò)對(duì)配置數(shù)據(jù)進(jìn)行回讀校驗(yàn)的方法實(shí)現(xiàn)了SEU 檢測(cè)。

FPGA通過(guò)ICAP可以實(shí)現(xiàn)自身SE U 檢測(cè),但由于檢測(cè)模塊運(yùn)行于FPGA內(nèi)部,也可能發(fā)生SEU,可以通過(guò)對(duì)檢測(cè)模塊進(jìn)行三模冗余設(shè)計(jì)提高可靠性,另外可以采用片外反镕絲器件通過(guò)Select-Map 接口對(duì)FPGA配置存儲(chǔ)器進(jìn)行回讀,實(shí)施SEU 檢測(cè)是更加可靠的辦法。

References)

[1]Roosta R.AComparison of radiation-hard and radiation-tolerant FPGAs for space applications[R].NAS A,DEC,2004

[2]Carmichael C.Triple module redundancy design techniques for Virtex series FPGA[EB/OL].(2006-07-06).[2009-07-30]http://www.XILINX.com/hvdoes/apnotes/xapp197.pdf

[3]賀朝會(huì),陳曉華,李國(guó)政.高能質(zhì)子單粒子翻轉(zhuǎn)效應(yīng)的模擬計(jì)算[J].計(jì)算物理,2002,19(4):367-371

[4]Samudrala P K,Ramos J,Katkoori S.Selective triple modular redundancy (STMR)based single-event upset(S EU)tolerant synthesis for FPGAs[J].IEEE Transactions on Nuclear Science,2004,51(5)

[5]Fuller E,Caffrey M ,Salazar A,et al.Radiation testing update,SE U mitigation,and availability analysis of the Virtex FPGAfor space reconfigurable com puting[C]//4thAnnual Conference on Military and Aerospace Programmable Logic Devices(MAPLD).Washington DC:NASAOffice of Logic Design,September 2000

[6]Carmichael C,Fuller E,Blain E A.SEU mitigation techniques for Virtex FPGAs in space applications[C]// Proceeding of the Military and Aerospace Programmable Logic Devices and Technology Conference,1999

[7]Shubhendu S M,Emer J,Fossum T,et al.Cache scrubbing in microprocessors:mythor necessity [C]//PRDC' 04:10thIEEE Pacific Rim International Symposium on Dependable Computing.Tahiti,French Polynesia,2004

[8]Robert F,H odson1,Somervill K,et al.An architecture for reconfigurable computing in space[C]//Military and Aerospace Applications of Programmable Devices and Technologies Conference (MAPLD),Washington DC:NASAOffice of Logic Design,Sepetmber 2005

[9]Nishinaga N,Takeuchi M,Suzuki R.Reconfigurable communication equipment on smartSat-1[C].Military and Aerospace Applications of Programmable Devices and Technologies Conference (MAPLD),Washington DC:NASAOffice of Logic Design,September 2004

[10]邢克飛,楊俊,王躍科,等.XILINX SRAM 型FPGA抗輻射技術(shù)研究[J].宇航學(xué)報(bào),2007,28(1)

[11]Yui C,Swif t G,Carmichael C.Single event upset susceptibility testing of the XILINX Virtex II FPGA[C]//Military and Aerospace Applications of Programmable Devices and Technologies Conference(MAPLD).Washington DC:NAS AOffice of Logic Design,September 2002