王 豪，程利甫，劉 博，劉 攀

(上海航天電子技術研究所，上海 201109)

?

一種高可靠宇航控制器設計及可靠性評估

王 豪，程利甫，劉 博，劉 攀

(上海航天電子技術研究所，上海 201109)

將8051、存儲器等IP核集成在FPGA內部, 可實現(xiàn)宇航控制器高可靠、小型化的應用需求。但FPGA在空間環(huán)境中容易發(fā)生單粒子翻轉事件(SEU)，影響系統(tǒng)正常功能，常采用在FPGA內部進行三模冗余(TMR)設計;針對三模冗余系統(tǒng)無法糾正存儲區(qū)中發(fā)生的SEU故障，提出了一種采用三模冗余架構并對FPGA配置區(qū)域進行刷新重載的解決方案，同時采用馬爾可夫模型對該設計方案進行了可靠性評估和仿真;結果表明，采用該設計架構的宇航控制器具有較高的可靠性與安全性，可實現(xiàn)飛行器的長期穩(wěn)定運行。

8051核；宇航FPGA；單粒子翻轉；三模冗余；回讀刷新；可靠性

0 引言

長期以來，8051單片機以其性價比高、體積小、功能靈活等方面的獨特優(yōu)點被廣泛應用于宇航產品中。但受其內部資源的限制，8051單片機需要在片外擴展眾多硬件資源以滿足不同應用的需求[1]，其功能如圖1所示。

圖1 典型8051宇航控制器功能框圖

隨著EDA(Electronic Design Automation，電子設計自動化)技術的發(fā)展，可重構的嵌入式CPU核—DW8051核、功能復雜的IP(Intellectual Property，知識產權)核及各種功能強大的EDA工具的出現(xiàn)，使得將CPU(Central Processing Unit，中央處理器)、存儲器和一些外圍電路集成到一個芯片——FPGA(Field Programmable Gate Array，現(xiàn)場可編程門陣列)中成為可能[2-3]。圖2所示為集成后的原理框圖，集成后的系統(tǒng)較之前體積大幅減小。

圖2 FPGA內部嵌入IP核的控制器設計

采用FPGA進行系統(tǒng)集成可大幅縮減系統(tǒng)體積，但FPGA特別是可重構型靜態(tài)存儲器(static random access memory，SRAM)型FPGA應用于空間環(huán)境中存在抗空間輻射能力差，容易發(fā)生SEU(Single Event Upset，單粒子翻轉)[4-5]故障，對衛(wèi)星功能造成了不同程度的故障，因此必須采取一定的抗輻加固措施以提高其可靠性。

下文提出一種內嵌8051IP核并采取抗輻加固措施的宇航控制器設計方案并對其可靠性進行評估。

1 采用8051IP核的高可靠控制器設計

SRAM型FPGA內部的配置區(qū)——配置存儲器，功能區(qū)——塊存儲器、觸發(fā)器等都是單粒子反轉的敏感區(qū)。當一個高能帶電粒子穿過靈敏區(qū)時，將會使FPGA器件內部導通管截止、截止管導通，引起器件邏輯狀態(tài)的翻轉——即單粒子翻轉[6]。

設計中常采用三模冗余(triple module redundancy，TMR)[7]技術對要在FPGA內實現(xiàn)的硬件設計進行保護。

圖3 三模冗余系統(tǒng)原理框圖

圖3所示為采用三模冗余架構的FPGA系統(tǒng)原理框圖，可以看出這種方法通過嵌入冗余處理機制到用戶應用來屏蔽故障，從而獲得正確的輸出，本質上是一種利用硬件冗余或信息冗余進行故障屏蔽的容錯方法。

然而，冗余容錯方法無法改變FPGA的配置內容，對于發(fā)生在配置存儲器中的SEU并無糾正能力[8]，若SEU積累最終將使得TMR失效，導致故障發(fā)作。

針對三模冗余(TMR)系統(tǒng)無法糾正存儲區(qū)中發(fā)生的SEU故障，本文提出一種三模冗余加回讀刷新的解決方案，應對空間FPGA單粒子翻轉。

圖4 采用三模冗余與回讀刷新架構FPGA功能框圖

由于SRAM型FPGA配置信息存儲于SRAM單元中，可對存儲單元進行回讀刷新操作糾正發(fā)生翻轉的存儲單元。回讀刷新是通過回讀刷新器件來實現(xiàn)的，有兩種工作模式：回讀和刷新?；刈x模式[9]下該器件讀取FPGA內配置存儲區(qū)的數(shù)據(jù)，并與存儲在PROM中的原始配置數(shù)據(jù)進行比較，當發(fā)現(xiàn)數(shù)據(jù)不一致的情況時，就意味著配置存儲器單元發(fā)生了SEU，進而將PROM中存儲的原始配置文件重新寫入FPGA。刷新模式[10]下不管FPGA有沒有發(fā)生SEU均周期對配置存儲區(qū)進行刷新。采用回讀刷新加三模冗余架構的FPGA系統(tǒng)原理如圖4所示。其中，PROM芯片內部存儲FPGA的配置信息，該器件采用反熔絲工藝不會受空間SEU干擾；回讀刷新器件亦采用反熔絲工藝對空間SEU免疫；FPGA內部電路采用TMR設計。

2 可靠性分析

系統(tǒng)可靠性是指系統(tǒng)在規(guī)定條件下和規(guī)定時間內完成規(guī)定功能的能力。由于系統(tǒng)是冗余系統(tǒng)，系統(tǒng)發(fā)生故障是余度性能降級的動態(tài)過程，利用馬爾可夫過程理論能夠對余度系統(tǒng)進行精確的可靠性建模分析，較為真實地描述系統(tǒng)的實際工作過程[11-12]。為方便討論及建模，將圖4所示的回讀刷新加TMR的FPGA系統(tǒng)可簡化為如圖5所示的邏輯框圖；回讀刷新器件作為SEU故障修復模塊，周期地對FPGA內部配置存儲區(qū)進行刷新。

圖5 簡化后三冗余及回讀刷新FPGA系統(tǒng)框圖

采用TMR的系統(tǒng)具有23=8種狀態(tài)，當一個模塊發(fā)生故障時，不會影響系統(tǒng)的正常工作，而當失效模塊數(shù)≥2時，系統(tǒng)失效。這個狀態(tài)可以視為馬爾可夫吸收態(tài)。假設每個模塊的失效率都相同均為λ，修復率為μ。

則根據(jù)可靠性分析理論[13]，若某模塊在時刻t正常工作，則在t+Δt時刻發(fā)生常規(guī)故障的概率為p=1-e-λΔt，當Δt→0該故障概率可簡化為λΔt。

基于以上假設，在周期對FPGA配置區(qū)進行定時刷新且考慮共模故障影響下的三模冗余系統(tǒng)的馬爾可夫模型狀態(tài)轉移如圖4所示，其馬爾可夫狀態(tài)可描述如下：

1)狀態(tài)S1—“111”表示A、B、C3個模塊均未受到SEU影響、功能均正常；

2)狀態(tài)S2—“110”表示某時刻C模塊受到SEU影響，功能異常且翻轉單元暫未得到刷新糾錯。A、B模塊正常，經三取二表決后系統(tǒng)仍能正常工作。

3)狀態(tài)S3—“101”表示某時刻B模塊受到SEU影響，功能異常且翻轉單元暫未得到刷新糾錯。A、C模塊正常，經三取二表決后系統(tǒng)仍能正常工作。

4)狀態(tài)S4—“011”表示某時刻A模塊受到SEU影響，功能異常且翻轉單元暫未得到刷新糾錯。B、C模塊正常，經三取二表決后系統(tǒng)仍能正常工作。

5)狀態(tài)S5—“100”表示某時刻B、C模塊受到SEU影響，功能異常而且翻轉單元暫未得到刷新糾錯，經三取二表決后系統(tǒng)功能失效。

6)狀態(tài)S6—“001”表示某時刻A、B模塊受到SEU影響，功能異常而且翻轉單元暫未得

到刷新糾錯，經三取二表決后系統(tǒng)功能失效。

7)狀態(tài)S7—“010”表示某時刻A、C模塊受到SEU影響，功能異常而且翻轉單元暫未得到刷新糾錯，經三取二表決后系統(tǒng)功能失效。

8)狀態(tài)S8—“000”表示某時刻A、B、C模塊均受到SEU影響，功能異常且翻轉單元暫未得到刷新糾錯，系統(tǒng)功能失效。

記Pi(t)=P(X(t)=i)，表示t時刻系統(tǒng)處于狀態(tài)i的概率，i∈{1,2,3...,8}，令P(t)=[P1(t),P2(t),...,P8(t)]，則P(t)滿足狀態(tài)方程：P′(t)=AP(t)，其中，A為狀態(tài)轉移密度矩陣，有狀態(tài)轉移圖可知：

圖6 采用TMR和回讀刷新的FPGA系統(tǒng)的馬爾可夫狀態(tài)轉移圖

(1)

并由此可得微分方程如下：

(2)

A和P(t)代入方程P′(t)=AP(t)中，并代入初始條件P(0)=[1,0,0,...,0]，可得到t時刻各個狀態(tài)的概率，從而求得該系統(tǒng)的可靠度R(t)和安全度S(t)[14]：

(3)

(4)

3 仿真結果分析

對于P(t)的狀態(tài)方程P′(t)=AP(t)，可以通過Laplace變換的方法求得其解析解，進而求得系統(tǒng)的可靠度和安全度，但其計算工作量相當龐大[15]，為此，采用Matlab中的求解微分方程的Ode45指令進行仿真計算[8]。其中單粒子翻轉故障率λ可參照表1所示Xilinx公司FPGA單粒子翻轉率[16]。

表1 Xilinx公司FPGA單粒子翻轉率

由表1可以看出隨著FPGA容量的增加，單粒子翻轉率也隨之增加。系統(tǒng)修復率μ與回讀刷新的頻率有關，以5 s、10 s、15 s、1 min、3 min的刷新周期為例對采用Virtex2系列XQR2V3000型FPGA系統(tǒng)的可靠度、安全度進行分析。

表2 λ=1.07 day-1 時 參數(shù)μ對系統(tǒng)可靠性安全性影響

注：假設刷新周期為1 min、且存儲容量為10×106時的修復率μ為1e-5。

從表2可以看出，隨著參數(shù)μ的增加，三模冗余系統(tǒng)的可靠度和安全度均有所提高，初始時刻系統(tǒng)完好可靠度和安全度皆為1.000，隨著運行時間的增加，系統(tǒng)可靠度和安全度均有所下降。圖7所示的仿真波形為t=0-3.5×108s、λ=1.07 day-1時，三模冗余與回讀刷新系統(tǒng)的可靠度和安全度隨修復率μ的變化曲線。

圖7 不同刷新周期系統(tǒng)可靠度r隨時間t變化曲線

圖8所示為t=0-3.5×108s、λ=1.07 day-1時，采用三模冗余有回讀刷新設計的FPGA系統(tǒng)與三模冗余無刷新FPGA系統(tǒng)的可靠度比對。由圖中可以看出，隨時間的增加，兩者的可靠度均有所下降，但采用三模冗余有回讀刷新的FPGA系統(tǒng)可靠度明顯優(yōu)于無刷新系統(tǒng)。

圖8 三模冗余有刷新系統(tǒng)與三模冗余無刷新系統(tǒng)的可靠度比對

4 結束語

為了提高宇航控制器的集成度、可靠性，本文提出一種在FPGA內部嵌入CPU(8051)、存儲器等IP核的設計方案，但FPGA應用于空間環(huán)境中易受空間高能粒子干擾，產生單粒子翻轉(SEU)風險，對飛行器功能造成影響。文章分析了常規(guī)三模冗余抗輻加固設計的不足后，提出了一種采用三模冗余架

構(TMR)并對FPGA配置區(qū)域進行刷新重載的解決方案，并對其可靠性進行了仿真分析，仿真數(shù)據(jù)證明該設計架構具有較高的可靠性，對小型化、高可靠宇航控制器設計具有較好的參考意義。

[1] 陳金恩，周贏武.基于FPGA與MC8051 IP核的可調窄脈沖激光泵浦源的研制[J].閩江學院學報,2011,32(5)：23-27.

[2] 王 瑞,游志宇,杜 楊,等.MC8051單片機IP核的FPGA實現(xiàn)與應用[J].電子設計工程,2009,17(1)：57-63.

[3] 丁 昊，莊貴敏，宋 杰，等.基于MC8051內核的便攜幅頻特性測試儀設計[J].嵌入式技術，2011,37(4)：29-32.

[4] 邢克飛，楊 俊，王躍科，等．Xilinx SRAM型FPGA抗輻射設計技術研究[J]．宇航學報，2007，28(1):123-129．

[5] 周秀娟，葉榮潤.Virtex-II系列FPGA的回讀與部分重配置[J]. 現(xiàn)代電子技術，2012，35(13)：159-161.

[6] 邱金娟，徐宏杰，潘 雄，等. SRAM型FPGA單粒子翻轉測試及加固技術研究[J]. 電光與控制，2011，18(8)：84-85.

[7] 黃 偉,劉 濤,王 華，等.SRAM型FPGA的單粒子效應及TMR設計加固[J].航天返回與遙感，2012，33(2)：49-53.

[8] 顧義坤，倪風雷，劉 宏.Xilinx FPGA自主配置管理容錯設計研究[J].宇航學報，2012，33(10)：1520-1521.

[9] 劉斐文，姚 睿.基于FPGA動態(tài)部分重構的D/TMR系統(tǒng)設計[J].計算機工程與應用.2010,46(35)：55-57.

[10] Graham P，Caffrey M，Johnson D E，et al．SEU mitigation for half-latch in Xilinx Virtex FPGA[J]．IEEE Transactions on Nuclear Science，2003，50(6):2139-2146．

[11] 鄒見效，徐紅兵，張正遷. 基于三重冗余的ETS控制系統(tǒng)設計及可靠性評估[J].電子科技大學學報，2010，39(5)：793-799.

[12] 王麗華,徐志根,王長林.可維修三模冗余結構系統(tǒng)的可靠度與安全度分析[J].西南交通大學學報,2002,37(1):103-107.

[13] 曾聲奎.系統(tǒng)可靠性設計分析教程[M].北京航空航天大學出版社，2004.

[14] 沈 潔，單 冬.三模冗余計算機聯(lián)鎖系統(tǒng)可靠性安全性分析[J].北方交通大學學報，1998，22(5)：111-114.

[15] 靳紅濤,焦宗夏,王少萍,等.高可靠三余度數(shù)字式作動器控制器設計與實現(xiàn)[J].北京航空航天大學學報,2006,32(5):548-552.

[16] Swift G M，et al．Dynamic testing of Xilinx Virtex-II field programmable gate array(FPGA)input/output blocks(IOBs)[J]．IEEE Tran. on Nuclear Science，2004，51(6):3469-3474.

Design and Reliability Evaluation of Controller with High Reliability Used for Aerospace

Wang Hao, Cheng Lifu, Liu Bo, Liu Pan

(Shanghai Aerospace Electronic Technology Institute, Shanghai 201109,China)

In order to meet the high-dependability requirement of electronic equipment for aerospace, a new method which integrating 8051 IP core and storage IP core into FPGA is proposed. After analyzing the shortcoming of traditional Triple Module Redundancy (TMR) design aiming to migrate the SEU effect on FPGA, a fault tolerance method based on TMR and readback-scrubing the configuration-data of FPGA is used. Then the reliability of this architecture is achieved in detail by Matlab tool with Markov model. Simulation results show that this FPGA architecture has higher reliability, which can meet the requirement of Aerospace electronic controller.

8051 IP core; Aerospace FPGA；SEU; triple module redundancy; readback and scrub；reliability

2015-11-30；

2016-01-04。

王 豪(1989-)，男，河南新安人，碩士，工程師，主要從事高可靠星載計算機方向的研究。

1671-4598(2016)06-0298-04

10.16526/j.cnki.11-4762/tp.2016.06.081

TP181

A