薛茜男，王 鵬 ，田 毅，白 杰

(中國民航大學適航審定技術(shù)與管理研究中心，民用航空器適航與維修重點實驗室，天津300300)

現(xiàn)場可編程門陣列FPGA(Field Programmable Gate Array)等數(shù)字電路已被廣泛應(yīng)用于航空航天等多方面領(lǐng)域。目前，民用機載電子硬件等相關(guān)開發(fā)很多都是基于FPGA 技術(shù)，諸如信號處理、監(jiān)控、發(fā)動機控制等。由于FPGA 的可編程性，使得其具有極大的靈活度，可以配置執(zhí)行任何用戶指定的操作。同時，F(xiàn)PGA 還可以及時修訂不正確的設(shè)計和重新配置FPGA 而避免一些錯誤的發(fā)生［1］。FPGA 比起ASIC 等其他電路芯片系統(tǒng)有著不可比擬的優(yōu)勢，但是FPGA 對于重離子和原子所引起的單粒子效應(yīng)非常敏感，尤其是近年來高密度集成芯片的出現(xiàn)，電路容量增大、操作電壓降低使得它們在輻射環(huán)境下的可靠性降低［2－3］。單粒子效應(yīng)引起的邏輯翻轉(zhuǎn)會影響到用戶設(shè)計的觸發(fā)器，F(xiàn)PGA 配置比特流，和任何隱藏的FPGA 寄存器或狀態(tài)機。其中配置比特流的翻轉(zhuǎn)是特別重要，因為這樣的翻轉(zhuǎn)會直接影響電路的工作狀態(tài)和相關(guān)動作。如果配置位翻轉(zhuǎn)，電路的工作會被改變，將直接導(dǎo)致資源和邏輯功能被打亂。

單粒子效應(yīng)引起的翻轉(zhuǎn)故障是由粒子和PN 結(jié)相互作用引起的一種暫態(tài)故障，主要是由單粒子翻轉(zhuǎn)SEU(Single Event Upset)及單粒子瞬態(tài)脈沖SET(Single Event Transient)這些單粒子效應(yīng)引起的，對SRAM 型的FPGA 上實現(xiàn)的電路具有特別嚴重的影響。由于三模冗余 TMR (Triple Modular Redundancy)技術(shù)簡單性以及高可靠性，被廣泛使用于FPGA 電路中的SEU 效應(yīng)的容錯技術(shù)。文獻［4－5］中表明三模冗余的容錯技術(shù)可大幅度提高FPGA在SEU 效應(yīng)影響下的可靠性。

FPGA 等數(shù)字電路已經(jīng)成為航空飛行控制的基本組成部分。不同于航天領(lǐng)域，盡管航空飛行遭受輻射的強度和機率都會較低，但是隨著數(shù)字電路技術(shù)的發(fā)展，工藝尺寸已經(jīng)達到微米甚至納米級尺度，在實現(xiàn)高密度和高集成度的數(shù)字電路同時也使得數(shù)字電路更加容易受到重離子轟擊造成單粒子翻轉(zhuǎn)故障［6］。特別是對于民用航空領(lǐng)域，較長的使用時間和很高的使用頻率對FPGA 等相關(guān)數(shù)字電路的可靠性都提出了更高的要求。實驗數(shù)據(jù)表明［7－8］，在6 000 inch 北緯40°飛行時，器件發(fā)生SEU 的概率為1.85×10－2次/(天·器件)。假設(shè)一塊航空電子電路板上有4 個FPGA，航空電子系統(tǒng)含有4 塊板，則此航空電子系統(tǒng)的平均翻轉(zhuǎn)間隔時間為9 h，遠達不到可靠性要求。聯(lián)邦航空管理局(FAA)2011 年2 月最新發(fā)布的《機載系統(tǒng)的微處理器的選擇和評價手冊》［9］中專門提到單粒子翻轉(zhuǎn)引起的軟故障會導(dǎo)致寄存器配置位的改變，并提出應(yīng)該對SEU 效應(yīng)進行監(jiān)控。ARJ21 影子審查開展后，F(xiàn)AA 在其獨立的問題紀要中提到需要考慮的“單粒子效應(yīng)”問題，要求對其進行額外檢查以保證功能的正確性和完整性。因而，亟待民用機載電子硬件適航審定人員開展單粒子效應(yīng)測試研究工作，評估機載電子硬件數(shù)字電路對單粒子效應(yīng)的防護能力。

目前，對FPGA 等數(shù)字電路抗SEU 效應(yīng)的測試方法主要包括航空航天器搭載實驗［10］、地面高能粒子輻照實驗［11］和單粒子翻轉(zhuǎn)故障注入實驗［12］。其中搭載試驗周期長，成本高，試驗靈活性差。地面高能粒子輻照實驗需要昂貴復(fù)雜的設(shè)備，測試周期長，靈活性差，而且是有損測試。另外，由于SEU 是一種隨機事件，為了保證實驗中能夠確保觀察到單粒子翻轉(zhuǎn)現(xiàn)象，需要加長測試時間或是采取加速手段，這都對實驗設(shè)計提出了很高要求。單粒子翻轉(zhuǎn)故障注入的方法實現(xiàn)靈活，測試率高，對器件沒有物理損傷，不受器件固有SEE 性能和其他輻射效應(yīng)影響，受到了許多研究人員的關(guān)注。

本文以仿真SEU 故障注入為手段，從民用機載電子硬件數(shù)字電路中主流的三模冗余技術(shù)入手，設(shè)計了SEU 效應(yīng)仿真測試電路，可仿真檢測系統(tǒng)是否受SEU 故障影響引起系統(tǒng)失效，并計算系統(tǒng)的SEU故障失效率。基于Altera Cyclone? Ⅳ4CE115 FPGA 器件，將冗余系統(tǒng)與多時鐘沿觸發(fā)相結(jié)合，提高了電路的檢錯能力。模擬高空輻射環(huán)境對冗余系統(tǒng)進行故障注入，通過與參照單元的比較，可直接靈活地仿真測試SEU 故障的發(fā)生。

1 SEU 故障注入技術(shù)原理

1.1 SRAM 型FPGA 的單粒子效應(yīng)

由于SRAM 的FPGA 對于帶電粒子的輻射特別敏感，當某個基本電路單元受到高能粒子入侵產(chǎn)生單粒子翻轉(zhuǎn)故障時，這個故障可以通過新生的關(guān)系，擴大到更大的作用區(qū)域，甚至導(dǎo)致電路輸出失效。在空間輻射環(huán)境下，由于高能粒子入射到SRAM 型FPGA并最終導(dǎo)致電路輸出軟失效是一個復(fù)雜的隨機過程［13］。首先，高能粒子穿過航天器表面的防護層及器件封裝材料，抵達器件的敏感區(qū)域。然后，考慮粒子抵達敏感區(qū)域后與器件材料發(fā)生相互作用，使得器件特性發(fā)生變化，導(dǎo)致某些存儲單元或處理節(jié)點發(fā)生了位翻轉(zhuǎn)的邏輯狀態(tài)異常，發(fā)生了軟故障。最后，單粒子翻轉(zhuǎn)發(fā)生后在系統(tǒng)內(nèi)部擴散和傳播，最終導(dǎo)致系統(tǒng)輸出結(jié)果偏離預(yù)期或出現(xiàn)錯誤動作，造成系統(tǒng)失效。單粒子翻轉(zhuǎn)的概率取決于器件的翻轉(zhuǎn)截面和粒子通量，而粒子通量與輻射環(huán)境有關(guān)，翻轉(zhuǎn)截面是器件本身的物理特性，表征的實際上就是器件的固有抗單粒子翻轉(zhuǎn)能力。單粒子翻轉(zhuǎn)將按照一定的概率轉(zhuǎn)化為系統(tǒng)輸出的軟失效，這個過程與系統(tǒng)硬件和軟件的體系結(jié)構(gòu)以及工作負載(對FPGA 就是用戶電路)有關(guān)，如FPGA 中未使用到的配置比特流資源等，這些單元是否發(fā)生單粒子翻轉(zhuǎn)都不會被傳播。目前，研究人員對于單粒子效應(yīng)仿真研究的主要是關(guān)注在軟故障發(fā)生的前提下，是否導(dǎo)致失效發(fā)生，目的在于分析系統(tǒng)在單粒子翻轉(zhuǎn)發(fā)生后的對電路輸出的影響。

1.2 SEU 故障注入方法

故障注入技術(shù)是通過人為向系統(tǒng)中注入故障，并觀察系統(tǒng)的行為來對容錯系統(tǒng)可信性進行驗證的一項技術(shù)［7］。按照注入的方式，可將故障注入分為3 種［8］:基于硬件的故障注入、基于軟件的故障注入和基于仿真的故障注入［14］?；诜抡娴墓收献⑷胧窃谠O(shè)計階段對系統(tǒng)的可靠性進行評價的一種有用的實驗方法，在設(shè)計階段盡早地發(fā)現(xiàn)錯誤并進行修正。并且，與其他技術(shù)相比，基于仿真技術(shù)所建模的組件具有較高的可觀察性和可控制性。

2 SEU 效應(yīng)仿真測試

2.1 基于FPGA 的SEU 效應(yīng)仿真測試模型的建立

本文介紹的面向民用機載電子硬件SEU 效應(yīng)仿真測試系統(tǒng)構(gòu)成如圖1 所示，由測試計算機、基于FPGA 的測試仿真板組成。測試計算機為USB 接口的PC 機，通過JTAG 接口對FPGA 器件加載冗余電路、進行配置或者編程及調(diào)試，并完成測試信號設(shè)定。測試仿真板是整個系統(tǒng)的核心組成部分，由一片Altera Cyclone? Ⅳ4CE115 FPGA 器件實現(xiàn)。

圖1 民用機載電子硬件SEU 效應(yīng)仿真測試系統(tǒng)構(gòu)成

2.2 SEU 效應(yīng)仿真測試過程

在測試過程中，首先，使用仿真器的內(nèi)建命令進行了錯誤注入，運用TB 文件對輸入數(shù)據(jù)進行控制，以模擬真實情況下的SEU 效應(yīng)引起的翻轉(zhuǎn)故障。仿真測試過程中，由測試計算機控制測試單元是否正常工作，當收到故障注入命令后，系統(tǒng)會啟動模擬故障模式，在觸發(fā)時刻同時，故障注入數(shù)據(jù)輸入到系統(tǒng)接收端。測試單元接收故障注入數(shù)據(jù)，并進行容錯處理，最終判別單元將容錯后輸出數(shù)據(jù)以參照單元為標準進行單粒子翻轉(zhuǎn)失效檢測，并輸出判斷結(jié)果。記錄測試過程中共注入的位翻轉(zhuǎn)次數(shù)Ns，共檢測到的失效次數(shù)為Nf，則被檢測系統(tǒng)的失效概率為τ=Nf/Ns［13］，以該失效概率τ 來評估該被檢測系統(tǒng)對單粒子翻轉(zhuǎn)效應(yīng)的防護能力。

3 基于TMR 技術(shù)的檢錯電路設(shè)計及SEU 效應(yīng)仿真測試驗證

3.1 基于多時鐘沿的SEU 故障TMR 檢錯電路設(shè)計

TMR(Triple Modular Redundancy)是一種常用的單粒子翻轉(zhuǎn)故障容錯結(jié)構(gòu)［15］，該設(shè)計原理是將電路復(fù)制成完全相同的3 份，同時運行這3 部分電路，并且將結(jié)果輸出到一個多數(shù)表決器中，表決器會將多數(shù)的結(jié)果作為正確結(jié)果輸出?；谠摲N原理，結(jié)合參照單元比較，即可實現(xiàn)對單粒子翻轉(zhuǎn)造成系統(tǒng)失效的檢測。

具體電路設(shè)計如圖3 所示。3 個相同的輸入分別設(shè)為Input1，Input2，Input3，作為3 個D 觸發(fā)器的輸入端，3 個D 觸發(fā)器的時鐘由CLK 時鐘控制，CLK觸發(fā)時，分別輸出Output1，Output2，Output3。將Output1，Output2，Output3 作為多數(shù)表決器的輸入端，經(jīng)過多數(shù)表決，輸出最終的正確結(jié)果。具體操作為Output1，Output2，Output3 兩兩作為3 個與門的輸入，兩兩相與后的記過輸出到一個或門，最終作為多數(shù)表決器的輸出。

圖2 SEU 效應(yīng)仿真測試過程

圖3 SEU 故障TMR 容錯電路

作為常用的數(shù)字電路容錯技術(shù)，TMR 可以屏蔽大部分的SEU 效應(yīng)引起的翻轉(zhuǎn)故障，但是前提是任意兩個模塊不會在同一時間發(fā)生故障。即便是不考慮TMR 所需附加資源多、功耗大、占用空間大等缺陷，從容錯失效率來講，TMR 技術(shù)對于同一時刻兩路輸入同時發(fā)生翻轉(zhuǎn)故障的情況下，表現(xiàn)得無能為力。如果輸入模塊某兩輸入發(fā)生單粒子翻轉(zhuǎn)效應(yīng)，即便迅速恢復(fù)正確輸入，仍然會造成誤判。

本文的SEU 效應(yīng)仿真測試研究是基于FPGA設(shè)計的一種基于多時鐘沿的SEU 故障TMR 檢錯電路，在每一個冗余模塊結(jié)合時鐘沿延遲觸發(fā)，繼而通過多數(shù)表決器表決，并將輸出結(jié)果與參照單元輸出結(jié)果相比較，判斷是否有單粒子翻轉(zhuǎn)所引起的失效發(fā)生。對于單粒子翻轉(zhuǎn)測試來說，該種設(shè)計在同時多輸入發(fā)生可恢復(fù)的翻轉(zhuǎn)故障時，具有較好的判斷力。對于觸發(fā)器來說，只有在時鐘觸發(fā)的時候，才對輸入信號進行采樣，其輸出數(shù)據(jù)才作為一個冗余數(shù)據(jù)，而其他任何時刻的輸入都不被考慮。

檢錯電路具體設(shè)計如圖4 所示，數(shù)據(jù)不僅輸入到3 個冗余模塊，并同時輸入到參照單元。每個冗余模塊的時鐘觸發(fā)都是不同時的，本文將3 個時鐘分別設(shè)計為具有不同占空比的時鐘，也就決定了采樣到的輸入不是同一時刻的輸入，避免了一些多模塊同時發(fā)生故障導(dǎo)致失效的可能性。參照單元為判斷依據(jù)，判斷單粒子翻轉(zhuǎn)是否造成失效，輸出最終的檢錯結(jié)果?；谠撃Ｊ綄瘟Ｗ臃D(zhuǎn)是否引起失效進行檢測，即便多于一個輸入同時發(fā)生翻轉(zhuǎn)故障，只要在模塊各自時鐘沿觸發(fā)時刻，輸入無故障發(fā)生，即不會影響系統(tǒng)的檢測結(jié)果。該種思路彌補了TMR設(shè)計的一些不足，提高了電路的檢錯能力，對一些產(chǎn)生邏輯翻轉(zhuǎn)并及時恢復(fù)的翻轉(zhuǎn)故障有很好的屏蔽效果。

圖4 基于多時鐘沿的SEU 故障TMR 檢錯電路結(jié)構(gòu)

3.2 民用機載電子硬件的SEU 效應(yīng)FPGA 仿真測試

本文利用模擬的內(nèi)建命令進行了單粒子翻轉(zhuǎn)故障的注入，以模擬真實情況下的單粒子翻轉(zhuǎn)故障?？紤]TMR 系統(tǒng)冗余模塊發(fā)生單粒子故障的可能性，對冗余系統(tǒng)中的一個或多個模塊進行故障注入，使冗余模塊中輸出信號發(fā)生翻轉(zhuǎn)，模擬單粒子效應(yīng)引起的翻轉(zhuǎn)故障。

實驗設(shè)計針對一個檢測周期，以CLK3 的1/4周期為最小單位，設(shè)0 為正確數(shù)據(jù)，1 為發(fā)生翻轉(zhuǎn)故障。每個模塊故障注入有Ⅰ、Ⅱ、Ⅲ、Ⅳ、Ⅴ5 種情況(圖5)，分別代表故障在第0/4CLK3、1/4CLK3、2/4CLK3、3/4CLK3、4/4CLK3 時刻發(fā)生。圖6 所示為當三輸入系統(tǒng)中有2 個模塊在CLK3 上升沿時發(fā)生翻轉(zhuǎn)故障，單粒子翻轉(zhuǎn)故障TMR 容錯電路和基于多時鐘沿的單粒子翻轉(zhuǎn)故障TMR 容錯電路的輸出波形。從圖中可以看出，當有2 個冗余模塊同時發(fā)生翻轉(zhuǎn)故障的時候，傳統(tǒng)的TMR 容錯電路就無法輸出正確的結(jié)果。引入了多時鐘沿觸發(fā)之后，由于一個模塊的翻轉(zhuǎn)故障發(fā)生在其觸發(fā)之后，故其仍能輸出正確的結(jié)果。

表1 部分故障注入2 種電路的容錯結(jié)果

圖5 模擬SEU 效應(yīng)引起的故障注入

圖6 SEU 故障注入

考慮對于三輸入系統(tǒng)故障發(fā)生的可能性，三通道共注入故障125 種，觀察一個周期內(nèi)容錯電路輸出結(jié)果。檢錯電路以參照單元輸出為依據(jù)，判斷SEU 故障是否引起系統(tǒng)失效，從而實現(xiàn)SEU 故障測試。利用本文所述的SEU 故障仿真測試方法，對兩種容錯電路進行故障注入，并進行SEU 故障測試，判斷測試單元在遭受SEU 故障后是否產(chǎn)生失效。表1 列出了部分故障注入2 種電路的容錯結(jié)果，紅色虛線框內(nèi)表示失效的產(chǎn)生。統(tǒng)計位翻轉(zhuǎn)次數(shù)Ns和檢測到的失效次數(shù)Nf，計算測試單元的失效率。從表2 可以看出，基于多時鐘沿的SEU 故障TMR檢錯電路的失效率明顯低于SEU 故障TMR 檢錯電路，檢錯電路能夠?qū)崿F(xiàn)對SEU 效應(yīng)所引起的翻轉(zhuǎn)故障的仿真測試，得出測試單元的SEU 故障失效率，用以評估測試單元對SEU 效應(yīng)的防護能力。

表2 基于多時鐘沿的SEU 故障TMR 檢錯電路與SEU 故障TMR 檢錯電路的失效率

4 結(jié)束語

本文針對民用機載電子硬件易于在飛行中遭受輻射而發(fā)生單粒子翻轉(zhuǎn)故障，研究了一種基于多時鐘沿的冗余檢錯電路用于單粒子翻轉(zhuǎn)故障仿真測試。該仿真檢錯電路通過以參照單元作為判別依據(jù)，可以檢測被測單元是否輸出正確的容錯結(jié)果，計算被測單元的SEU 故障失效率，來評估被測單元的抗SEU 效應(yīng)的能力。通過該檢錯電路仿真結(jié)果表明，引入的多時鐘沿電路，可以降低冗余系統(tǒng)的故障失效率，改進了冗余系統(tǒng)的容錯能力，驗證了該檢錯電路用于SEU 效應(yīng)仿真測試的可行性。

［1］ Eric Johnson，Michael Wirthlin，Michael Caffrey. Single－Event Upset Simulation on an FPGA［C］//Proceedings of the International Conference on Engineering of Reconfigurable Systems and Algorithms(ERSA)，CSREA Press，June 2002，68－73.

［2］ Azambuja J R，Sousa F，Rosa L，et al.Evaluating Large Grain TMR and Selective Partial Reconfiguration for Soft Error Mitigation in SRAM－Based FPGAs［C］//On－Line Testing Symposium，2009.IOLTS 2009.15th IEEE International，24－26 June 2009，101－106.

［3］ 李飛，安海華.0.18 μm NMOS 的重離子單粒子瞬態(tài)脈沖的仿真模擬［J］.電子器件，2011，34(5):558－561.

［4］ Rollins N，Wirthlin M，Caffrey M，et al.Evaluating TMR Techniques in the Presence of Single Event Upsets［C］//Proceedings of the 6th Annual International Conference on Military and Aerospace Programmable Logic Devices(MAPLD). Washington，D. C.:NASA Office of Logic Design，AIAA，September 2003:63.

［5］ Carl Carmichael.Triple Module Redundancy Design Techniques for Virtex FPGAs［R］.Technical report，Xilinx Corporation，November 1，2001.XAPP197(v1.0).

［6］ José Rodrigo Azambuja，F(xiàn)ernando Sousa，Lucas Rosa，et al.Evaluating Large Grain TMR and Selective Partial Reconfiguration for Soft Error Mitigation in SRAM－Based FPGAs［C］//Proceedings of IEEE International On－Line Testing Symposium.Sesimbra－Lisbon，Portugal:IEEE Press，2009，101－106.

［7］ Gracia J，Baraza J C，Gil D，et al. Comparison and Application of Different VHDL－Based Fault Injection Techniques ［C］//Proceedings of IEEE International Symposium on Defect and Fault Tolerance in VLSI Systems，2001，233－241.

［8］ 任向隆，馬捷中，曾憲煉. 基于VHDL 的故障注入技術(shù)研究［J］.測控技術(shù)，2009，11，73－76.

［9］ Air Traffic Organization.Handbook for the Selection and Evaluation of Microprocessors for Airborne Systems，DOT/FAA/AR－11/2.NextGen ＆Operations Planning Office of Research and Technology Development，Washington，DC 20591，F(xiàn)ebruary 2011.

［10］ Paul E Dodd，Lloyd W Massengill. Basic Mechanisms and Modeling of Single－Event Upset in Digital Microelectronics［J］.IEEE Transactions on Nuclear Science，2003，50(3):583－599.

［11］ 王忠明，姚志斌，郭紅霞，等.SRAM 型FPGA 的靜態(tài)與動態(tài)單粒子效應(yīng)試驗［J］.原子能科學技術(shù)，2011，45(12):1506－1510.

［12］ Kastensmidt F L，Neuberger G，Hentschke R F，et al. Designing Fault－Tolerant Techniques for SRAM－Based FPGAs［J］.IEEE Design and Test of Computers，2004，21(6):552－562.

［13］ 周永彬，楊俊.SRAM 型FPGA 單粒子翻轉(zhuǎn)失效率自動測試系統(tǒng)設(shè)計與實現(xiàn)［J］.計算機測量與控制，2010，18(10):2272－2274.

［14］ 聶永峰，于東英，曾澤嶸，等.一種改進的對抗軟錯誤電路結(jié)構(gòu)設(shè)計［J］.現(xiàn)代電子技術(shù)，2011，34(24):184－187.

［15］ 張超，趙偉，劉崢.基于FPGA 的三模冗余容錯技術(shù)研究［J］.現(xiàn)代電子技術(shù)，2011，34(5):167－171.