盛江坤， 許 鵬， 王茂成， 姚志斌， 羅尹虹， 楊 業(yè)， 劉臥龍， 趙銘彤， 王 迪， 王忠明

(1. 火箭軍工程大學(xué)， 西安 710025； 2. 強脈沖輻射環(huán)境模擬與效應(yīng)國家重點實驗室， 西安 710024； 3. 西北核技術(shù)研究所， 西安 710024)

數(shù)字信號處理器(digital signal processor，DSP)是一種獨特的微處理器，是電子系統(tǒng)的核心器件之一，在雷達、通信及導(dǎo)航等方面有著廣泛應(yīng)用，在航天領(lǐng)域也得到了廣泛關(guān)注[1-2]。在空間應(yīng)用中，空間輻射環(huán)境會引起集成電路的單粒子效應(yīng)。質(zhì)子或重離子擊中集成電路靈敏區(qū)會造成集成電路邏輯狀態(tài)翻轉(zhuǎn)，進而引發(fā)集成電路功能中斷，甚至功能失效，嚴重影響航天器在軌可靠運行[3]。因此，DSP作為電子系統(tǒng)的核心，準確評估其抗單粒子性能，可為航天應(yīng)用提供重要支撐。

集成電路的抗單粒子性能地面驗證方法通常有輻照實驗和硬件故障注入2種[4-9]。在不同應(yīng)用場景下，DSP的配置程序和功能各不相同，地面驗證實驗存在實驗量大和成本高等問題；硬件故障注入則存在注入時機難以把握、測試周期長及系統(tǒng)復(fù)雜度增加等問題。針對當(dāng)前地面驗證方法存在的問題，本文提出了DSP動態(tài)截面中功能性瞬態(tài)故障截面的預(yù)估計算方法，該方法可以在僅開展靜態(tài)偏置實驗的情況下，結(jié)合數(shù)據(jù)緩存流程，預(yù)估DSP功能性瞬態(tài)故障截面，從而降低實驗量和實驗成本。在西安200 MeV質(zhì)子應(yīng)用裝置(Xi’an 200 MeV Proton Application Facility，XiPAF)上開展了質(zhì)子單粒子效應(yīng)實驗，驗證了預(yù)估方法的有效性。

1 功能性瞬態(tài)故障截面

國內(nèi)外對單粒子功能故障的研究主要關(guān)注DSP的各類本征截面，包括內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面和各組成電路模塊的功能故障截面，其中，功能故障是電路模塊內(nèi)部寄存器翻轉(zhuǎn)等原因造成的，如功能執(zhí)行錯誤和功能中斷等[10-12]。Joshi等在重離子環(huán)境下測量了SMJ320C6701的內(nèi)部RAM翻轉(zhuǎn)及DMA控制器、各外設(shè)接口、存儲區(qū)控制器和CPU的功能故障[4]；Hiemstra等在質(zhì)子環(huán)境下監(jiān)測了SMJ320C6701的內(nèi)部RAM翻轉(zhuǎn)及運算邏輯單元和DMA控制器的功能故障[5]；王月玲等在重離子環(huán)境下記錄了國產(chǎn)DSP的內(nèi)部RAM翻轉(zhuǎn)及CPU和外設(shè)接口的功能中斷[6]。

與某特定應(yīng)用最為直接的、系統(tǒng)開發(fā)人員或用戶最為關(guān)心的參數(shù)是DSP在該特定應(yīng)用下的功能故障截面。特定應(yīng)用的功能故障截面是DSP運行的功能和內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面及各組成電路模塊功能故障截面共同作用的結(jié)果。DSP等處理器類器件的工作原理是根據(jù)指令調(diào)用相應(yīng)硬件資源進行各類數(shù)據(jù)處理，對內(nèi)部存儲區(qū)的占用量根據(jù)應(yīng)用的不同而不同，對內(nèi)部存儲區(qū)的訪問和各類硬件資源的調(diào)用存在隨機性、連續(xù)性和周期性，因此，直接使用DSP本征的單粒子截面可能會低估特定應(yīng)用下DSP的抗單粒子性能。

在電子系統(tǒng)中，DSP的典型應(yīng)用可抽象為圖 1所示的流程，可能存在多次數(shù)據(jù)處理、緩存和執(zhí)行流程。

圖1 DSP典型功能執(zhí)行流程Fig.1 Flow of typical function execution of DSP

DSP的內(nèi)部存儲區(qū)占電路面積最大，因此在執(zhí)行各類計算的過程中，如果存儲區(qū)中緩存的數(shù)據(jù)發(fā)生單粒子翻轉(zhuǎn)，可能會導(dǎo)致數(shù)據(jù)處理錯誤，繼而引起后級相關(guān)的執(zhí)行錯誤，如接口輸出錯誤等。該類故障會在緩存數(shù)據(jù)被刷新后自動恢復(fù)。而程序存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)、電路模塊功能故障或中斷造成的程序跑飛、指令不響應(yīng)及接口功能失效等故障需要通過熱復(fù)位或上電復(fù)位才能恢復(fù)。2類故障的產(chǎn)生機理和表征模式均不相同，為此，將前者定義為電路的單粒子功能性瞬態(tài)故障(single event functional transient fault，SEFT)，后者仍為傳統(tǒng)意義上的單粒子功能中斷故障。當(dāng)前，對于DSP特定應(yīng)用下的單粒子功能故障研究及故障的進一步細化分析未見報道。進一步細化功能故障，結(jié)合DSP的應(yīng)用功能、占用資源及本征截面共同評估特定應(yīng)用下的DSP抗單粒子性能，可為DSP在航天應(yīng)用中的精細化選型和針對性加固提供重要依據(jù)。

DSP的內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面可通過輻照實驗獲取，表示為

(1)

其中，n為實驗測量得到的數(shù)據(jù)位翻轉(zhuǎn)數(shù)，N為存儲區(qū)容量，Φ為入射粒子的累積注量。

單粒子功能性瞬態(tài)故障截面可分為集成電路的功能性瞬態(tài)故障截面和電路中某個功能的功能性瞬態(tài)故障截面。設(shè)功能k累計測量到的單粒子功能性瞬態(tài)故障數(shù)量為qk，則功能k的功能性瞬態(tài)故障截面定義為

(2)

整個電路檢測到的單粒子功能性瞬態(tài)故障總數(shù)為q，功能總數(shù)為K，則DSP的功能性瞬態(tài)故障截面定義為

(3)

2 功能性瞬態(tài)故障截面預(yù)估方法

在分析集成電路內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面和功能性瞬態(tài)故障截面關(guān)系之前，需要先設(shè)定4個前提條件：一是存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)為獨立隨機事件；二是為簡化概率計算而假設(shè)內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面趨于0；三是不考慮數(shù)據(jù)計算中的糾錯，只要有一位與該功能相關(guān)的數(shù)據(jù)位發(fā)生翻轉(zhuǎn)，即會引起數(shù)據(jù)計算或執(zhí)行錯誤，對于糾錯方法，可在系統(tǒng)級抗單粒子性能評估中通過統(tǒng)計學(xué)方法對預(yù)估結(jié)果進行擴展；四是在數(shù)據(jù)量不大的情況下，某一功能只考慮一次數(shù)據(jù)位翻轉(zhuǎn)引發(fā)的功能性瞬態(tài)故障，不考慮邏輯位多位翻轉(zhuǎn)和單一地址多次翻轉(zhuǎn)的情況。

將某一數(shù)據(jù)位從被刷新到被訪問的時間定義為數(shù)據(jù)位有效時間t，將該數(shù)據(jù)位從被刷新到下一次被刷新的時間定義為t′，有t

(4)

當(dāng)功能k內(nèi)有Qk個數(shù)據(jù)位的時候，單位時間內(nèi)功能k發(fā)生功能性瞬態(tài)故障的概率為

(5)

定義數(shù)據(jù)位緩存時間有效占比

(6)

功能k的功能性瞬態(tài)故障截面為

(7)

電路所有功能總的數(shù)據(jù)位為Q時，其功能性瞬態(tài)故障截面為

(8)

即某一功能的功能性瞬態(tài)故障截面等于內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面乘以該功能下所有數(shù)據(jù)位緩存時間有效占比之和；整個集成電路的功能性瞬態(tài)故障截面等于內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面乘以配置程序用到的所有數(shù)據(jù)位緩存時間有效占比之和。

3 質(zhì)子輻照實驗

為驗證功能性瞬態(tài)故障截面預(yù)估方法有效性，在XiPAF上開展了DSP質(zhì)子輻照實驗，實驗選取的質(zhì)子能量為60 MeV，注量率為3.3×106cm-2·s-1。

3.1 實驗器件

DSP型號為德州儀器公司的TMS320C6455。該電路是一款高性能單核定點數(shù)字信號處理器，采用C64X+TM內(nèi)核，基于德州儀器開發(fā)的第三代VelociTITM超長指令字結(jié)構(gòu)開發(fā)，主頻可達1 GHz，指令周期1 ns，每周期執(zhí)行8條32位指令，最大峰值速度8 000 Mbit·s-1，線程為90 nm。器件內(nèi)部集成大容量兩級存儲系統(tǒng)，L1P和L1D為32 Kbit，L2為2 Mbit，均可以映射到存儲空間。外圍接口方面，集成有多通道緩沖串口(multichannel buffered serial port，McBSP)、64位通用定時器(TIMER)、32位主機接口(host-port interface，HPI)、通用輸入輸出端口(general-purpose input/output，GPIO)及外部存儲器接口(external memory interface，EMIF)等。

3.2 輻照偏置

開展質(zhì)子實驗時，采用2種輻照偏置，分別為靜態(tài)偏置和動態(tài)偏置。靜態(tài)偏置是指DSP處于主機接口加載模式下的上電初始狀態(tài)，此時可通過主機接口訪問DSP的內(nèi)部存儲區(qū)數(shù)據(jù)，進行內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面測量。動態(tài)偏置是指DSP處于運行特定應(yīng)用的狀態(tài)，該應(yīng)用程序模擬數(shù)據(jù)處理和緩存的典型功能，運行頻率為1 GHz。動態(tài)偏置的典型程序為2個256點快速傅里葉變換(fast Fourier transform，F(xiàn)FT)計算程序，計算框圖如圖2所示。

(a) No.1

計算程序1首先進行各類配置和初始化工作，包括使能并配置McBSP、EMIF及鎖相環(huán)；然后，計算時域波形和FFT旋轉(zhuǎn)因子時域波形由6個余弦波疊加而成，緩存在一個大小為256的數(shù)組中；之后，進行FFT計算，將得到的幅度譜前128個數(shù)據(jù)填充到數(shù)組Magn [1920][128]中，完成數(shù)組Magn [1920][128]的初始化；最后，再次執(zhí)行FFT計算，將計算得到的幅度譜前128個數(shù)據(jù)填充到數(shù)組Magn[k][128]中，并將數(shù)組Magn[k+1][128]的數(shù)據(jù)通過McBSP和EMIF不斷發(fā)送至測試系統(tǒng)，在累加k后，循環(huán)執(zhí)行該操作，不斷輸出數(shù)據(jù)。計算程序中的M值對應(yīng)數(shù)據(jù)緩存量。

計算程序2和計算程序1相似，不同的是緩存計算結(jié)果的數(shù)組有2個，分別是Magn_1[960][128]和Magn_2[960][128]。2個數(shù)組交替填充和發(fā)送數(shù)據(jù)，在順序填充數(shù)組Magn_1[960][128]的時候，通過McBSP和EMIF順序發(fā)送數(shù)組Magn_2[960][128]的數(shù)據(jù)。

發(fā)送的數(shù)據(jù)定義為數(shù)據(jù)幀，數(shù)據(jù)幀中至少出現(xiàn)一位數(shù)據(jù)錯誤，認為對應(yīng)的功能出現(xiàn)一次單粒子功能瞬態(tài)故障。針對計算程序1，將數(shù)組Magn[1920][128]第k行的計算、緩存及發(fā)送過程定義為功能k，如圖3所示。針對計算程序2，將數(shù)組Magn_j[1920][128]第k行的計算、緩存及發(fā)送過程定義為功能k_j，如圖4所示。由圖3和圖4可見，計算程序1的數(shù)據(jù)位有效占比約為1，計算程序2的數(shù)據(jù)位有效占比約為0.5。

圖3 FFT計算程序1功能定義Fig.3 Function definition for FFT Program No.1

圖4 FFT計算程序2功能定義Fig.4 Function definition for FFT Program No.2

利用示波器觀察發(fā)現(xiàn)，每一次FFT計算得到128個數(shù)據(jù)并寫入緩存需要的時間約為548 μs，通過McBSP將這些數(shù)據(jù)輸出需要的時間約為1 174 μs，通過EMIF將這些數(shù)據(jù)輸出需要的時間約為136 μs，共計約1 858 μs。為了對功能性瞬態(tài)故障截面計算方法進行有效驗證，針對不同的M值，設(shè)計了4組實驗，實驗設(shè)計參數(shù)如表1所列。

表1 實驗設(shè)計參數(shù)Tab.1 Design parameters of experiment

3.3 測試方法

利用自研的測試系統(tǒng)對實驗器件進行了在線測試。測試系統(tǒng)由控制計算機、測試板(包括數(shù)字板和電源板)及輻照板組成，實驗布局如圖5所示。

圖5 質(zhì)子實驗布局Fig.5 Layout of proton experiment

控制計算機用于測試控制與測試數(shù)據(jù)接收；輻照板上安裝有實驗器件，并通過撥碼開關(guān)對部分實驗器件IO引腳上拉或下拉實現(xiàn)實驗器件的上電初始化設(shè)置，實驗器件的上電加載模式設(shè)置為HPI加載；電源板為實驗器件供電，監(jiān)測閉鎖事件，并與實驗器件的HPI、McBSP及EMIF相連，對實驗器件進行功能測試。

靜態(tài)偏置下利用測試系統(tǒng)進行數(shù)據(jù)位翻轉(zhuǎn)測試，動態(tài)偏置下進行接口測試。靜態(tài)偏置下，測試板在輻照前通過主機接口對實驗器件L2存儲區(qū)填充數(shù)據(jù)，輻照時循環(huán)回讀數(shù)據(jù)，并與預(yù)期數(shù)據(jù)進行比較，記錄錯誤數(shù)據(jù)，實現(xiàn)數(shù)據(jù)位翻轉(zhuǎn)測試。翻轉(zhuǎn)測試結(jié)果用于計算被測器件的內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面。動態(tài)偏置下，測試板在輻照前通過HPI對實驗器件配置計算程序，輻照時連續(xù)監(jiān)測實驗器件McBSP和EMIF的輸出數(shù)據(jù)，并與預(yù)期數(shù)據(jù)進行比較，驗證實驗器件是否出現(xiàn)數(shù)據(jù)幀錯誤、程序跑飛及不響應(yīng)等現(xiàn)象，實現(xiàn)接口測試。

動態(tài)偏置下，接口測試的故障類型根據(jù)失效現(xiàn)象可分為功能中斷和數(shù)據(jù)幀錯誤。功能中斷一般表現(xiàn)為程序跑飛和接口無輸出等情況，數(shù)據(jù)幀錯誤表現(xiàn)為實驗器件接口時序輸出正常，但是輸出數(shù)據(jù)與預(yù)期數(shù)據(jù)不符，這可能是計算錯誤導(dǎo)致，也有可能是外圍接口功能故障導(dǎo)致。當(dāng)出現(xiàn)功能中斷或連續(xù)出現(xiàn)錯誤數(shù)較多的數(shù)據(jù)幀錯誤時(錯誤數(shù)閾值由測試人員根據(jù)實際情況設(shè)定)，測試系統(tǒng)將自動重新配置實驗器件并進行測試。

4 實驗結(jié)果與分析

靜態(tài)偏置下，數(shù)據(jù)位翻轉(zhuǎn)數(shù)隨質(zhì)子累積注量的增加呈線性變化，質(zhì)子注量累積到1×109cm-2時，測量得到的數(shù)據(jù)位翻轉(zhuǎn)數(shù)為671個，L2存儲區(qū)為2 Mbit，利用式(1)計算得到內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面為

根據(jù)統(tǒng)計分布規(guī)律和質(zhì)子注量不確定度，計算得到內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面相對測量不確定度在95%置信度下為11%[13]。

動態(tài)偏置下，4組實驗各監(jiān)測了約15萬幀數(shù)據(jù)，檢測到幾十到幾百個功能性瞬態(tài)故障，同時監(jiān)測到了接口功能中斷和錯誤數(shù)較多的連續(xù)非致命故障。

第4組實驗檢測到接口功能中斷2次，表現(xiàn)為接口沒有數(shù)據(jù)輸出和測試系統(tǒng)等待數(shù)據(jù)超時，被測器件重新上電復(fù)位并加載計算程序后功能正常，接口數(shù)據(jù)輸出正常。由于2個接口同時出現(xiàn)功能中斷，因此接口故障的可能性較小，分析認為這一現(xiàn)象是程序存儲區(qū)發(fā)生數(shù)據(jù)翻轉(zhuǎn)進而造成程序跑飛，或是CPU內(nèi)核發(fā)生了單粒子功能中斷造成的。

第2、3、4組實驗各檢測到錯誤數(shù)較多的連續(xù)非致命故障2次、3次、3次，其中，第2組實驗第1次故障表現(xiàn)為McBSP輸出的高16位數(shù)據(jù)出錯，低16位數(shù)據(jù)和外部存儲器接口監(jiān)測結(jié)果正常，分析認為是McBSP功能模塊部分功能失效造成的；第2組實驗第2次、第3組實驗第2、第3次故障表現(xiàn)為連續(xù)數(shù)據(jù)幀錯誤不同，但2個接口的同一幀數(shù)據(jù)錯誤相同，表明程序運行正常，外設(shè)接口功能正常，分析認為這一現(xiàn)象是數(shù)據(jù)存儲區(qū)控制器發(fā)生功能故障，CPU訪問緩存數(shù)據(jù)發(fā)生錯誤造成的；第3組實驗第1次和第4組實驗全部3次故障表現(xiàn)為連續(xù)數(shù)據(jù)幀錯誤相同，分析認為這一現(xiàn)象是時域波形及旋轉(zhuǎn)因子等緩存常量發(fā)生翻轉(zhuǎn)引起的。針對這些現(xiàn)象，還需要進一步結(jié)合數(shù)字信號處理器的組成結(jié)構(gòu)和工作原理，通過優(yōu)化實驗方案及故障注入等手段進一步深入研究其產(chǎn)生機理。

其他檢測到的數(shù)據(jù)幀錯誤中，每幀數(shù)據(jù)均只有1個數(shù)據(jù)位發(fā)生翻轉(zhuǎn)，且McBSP和EMIF檢測到的幀錯誤是相同的，分析認為是功能性瞬態(tài)故障，即數(shù)據(jù)位在緩存期間出現(xiàn)了單粒子翻轉(zhuǎn)。實驗結(jié)果如表2所列，其中，W是數(shù)據(jù)幀監(jiān)測次數(shù)，q為監(jiān)測到的整個電路的單粒子功能性瞬態(tài)故障總數(shù)。

表2 功能性瞬態(tài)故障測量結(jié)果Tab.2 SEFT test results

根據(jù)功能性瞬態(tài)故障截面的定義，針對實驗器件加載的計算程序，某一功能k的功能性瞬態(tài)故障截面為

(9)

每一個功能緩存的數(shù)據(jù)為128個32位有符號整形，因此Qk等于4 096，從而可以根據(jù)每組實驗設(shè)定的M值得到被測器件所有功能總的數(shù)據(jù)位Q。利用式(7)可通過內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面預(yù)估某一功能的功能性瞬態(tài)故障截面，并利用式(8)可預(yù)估整個電路的功能性瞬態(tài)故障截面。通過實驗測量值計算得到的功能性瞬態(tài)故障截面和通過內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面預(yù)估的功能性瞬態(tài)故障截面如表3所列。

表3 功能性瞬態(tài)故障截面的實驗值和預(yù)估值Tab.3 Experimental and estimated results of SEFT cross section

根據(jù)統(tǒng)計分布規(guī)律和質(zhì)子注量不確定度，給出了95%置信度下的相對測量不確定度[13]。由表3可知，實驗測量值和基于內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面的計算值相對偏差小于5%，驗證了基于內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面和數(shù)據(jù)位緩存時間有效占比預(yù)估功能性瞬態(tài)故障截面的方法的有效性。

5 小結(jié)

本文針對單粒子效應(yīng)引起的DSP功能性瞬態(tài)故障，提出了利用DSP內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)截面和數(shù)據(jù)位緩存時間有效占比預(yù)估功能性瞬態(tài)故障截面的方法，該方法可在僅開展靜態(tài)偏置實驗的情況下，預(yù)估DSP功能性瞬態(tài)故障截面，降低了實驗量和實驗成本。在XiPAF上開展了DSP質(zhì)子輻照實驗，得到的功能性瞬態(tài)故障截面與通過預(yù)估方法計算得到的截面相對偏差小于5%，驗證了預(yù)估方法的有效性。預(yù)估方法表明，數(shù)字信號處理器的功能性瞬態(tài)故障截面與緩存數(shù)據(jù)量和數(shù)據(jù)位緩存時間有效占比有關(guān)，與單次運行的絕對時間無關(guān)，數(shù)據(jù)量越大，緩存時間有效占比越大，功能性瞬態(tài)故障截面越高。由于DSP功能中斷主要有指令集的位翻轉(zhuǎn)引起程序跑飛、配置寄存器翻轉(zhuǎn)造成功能失效、數(shù)據(jù)常量翻轉(zhuǎn)造成永久性計算錯誤和各硬件模塊的本征功能中斷等情況，與內(nèi)部存儲區(qū)數(shù)據(jù)位翻轉(zhuǎn)有著重要關(guān)系，因此功能性瞬態(tài)故障截面的預(yù)估方法也可以應(yīng)用到功能中斷截面的預(yù)估中。