孫鵬躍,劉旭輝,毛二坤,黃仰博,張書政,樓生強(qiáng)

(國防科技大學(xué) 電子科學(xué)學(xué)院, 湖南 長沙 410073)

靜態(tài)隨機(jī)存取存儲器(static random access memory,SRAM)型現(xiàn)場可編程的門陣列(field programmable gate array,FPGA)具有信息密度大、性能高、開發(fā)成本低以及可重新編程的特性,在空間領(lǐng)域具有越來越多的應(yīng)用價(jià)值,但隨著SRAM型FPGA集成度的提高,對其在復(fù)雜的太空輻照環(huán)境工作的可靠性提出了更高的要求[1-3]?？臻g單粒子效應(yīng)主要可以分為三類:配置存儲器翻轉(zhuǎn)、用戶邏輯翻轉(zhuǎn)以及控制單元翻轉(zhuǎn)[4-6]。配置存儲器翻轉(zhuǎn)占所有空間單粒子翻轉(zhuǎn)事件的90%以上,對載荷配置項(xiàng)的可靠性影響極大,一直以來是載荷抗輻照可靠性設(shè)計(jì)的重點(diǎn),形成了一系列成熟、有效的抗輻照設(shè)計(jì)方法[7-9]。相比配置存儲器,控制單元發(fā)生單粒子翻轉(zhuǎn)的概率極低,一般為百年級以上[10-11],且難以通過單片F(xiàn)PGA實(shí)現(xiàn)加固,故目前載荷抗輻照設(shè)計(jì)一般不考慮控制單元的加固。而對于用戶邏輯部分而言,其發(fā)生單粒子翻轉(zhuǎn)的概率較高[12-13],且與用戶設(shè)計(jì)密切相關(guān),難以形成體系化的抗輻照加固方法,目前已逐漸成為空間載荷抗輻照設(shè)計(jì)的瓶頸,特別是其中的塊隨機(jī)存儲器(block random access memory,BRAM),難以通過傳統(tǒng)的刷新操作消除空間單粒子翻轉(zhuǎn)的積累,是目前造成SRAM型FPGA空間單粒子異常的主要原因之一[14]。為此,主要研究SRAM型FPGA中BRAM資源的抗單粒子翻轉(zhuǎn)加固方法。

文獻(xiàn)[15]提出一種基于三模冗余的BRAM加固方法,但是該方法隨著存儲器數(shù)量的增多以及讀取速度的提高,對存儲的控制時(shí)序的要求也隨之提高,不適用于對面積和功耗要求較高的場合。在此基礎(chǔ)上,文獻(xiàn)[16]提出了一種部分三模冗余的加固方法,僅對關(guān)鍵功能模塊進(jìn)行三模冗余,在一定程度上節(jié)省了面積的開銷。文獻(xiàn)[17]提出了一種基于格雷碼的BRAM加固方法,可以有效降低位翻轉(zhuǎn)發(fā)生的概率,但其自身可能存在可靠性問題,編碼和解碼電路都有可能發(fā)生單粒子翻轉(zhuǎn)的錯(cuò)誤,導(dǎo)致最后的數(shù)據(jù)錯(cuò)誤。

對于星載FPGA配置項(xiàng)而言,資源使用情況一般都嚴(yán)格受限,在進(jìn)行抗空間輻照加固設(shè)計(jì)時(shí),往往需要在可靠性和資源消耗之間折中[18]。并且,FPGA設(shè)計(jì)所消耗的資源越少,其在軌抗輻照可靠性必然會(huì)越高。因此,如何針對不同載荷配置項(xiàng)設(shè)計(jì)特點(diǎn),設(shè)計(jì)一種在資源消耗和可靠性之間折中的BRAM抗輻照加固方法,對于提升載荷配置項(xiàng)抗輻照性能具有重要意義。本文在分析傳統(tǒng)BRAM抗輻照加固方法不足的基礎(chǔ)上,提出了一種基于分時(shí)刷新和位置約束的衛(wèi)星載荷BRAM抗輻照加固方法:一方面通過監(jiān)控內(nèi)部算法時(shí)隙,實(shí)現(xiàn)BRAM的分時(shí)刷新;另一方面通過位置約束固定BRAM三模冗余后3塊BRAM的位置,大幅降低三模后BRAM被同時(shí)打翻兩模的概率。所述方法能夠在增加極少可配置邏輯塊(configurable logic block,CLB)資源的基礎(chǔ)上,有效提升BRAM的抗輻照可靠性。

1 傳統(tǒng)BRAM抗輻照加固方法的不足

SRAM型FPGA中含有豐富的BRAM存儲資源,是星載FPGA配置項(xiàng)中最常用的知識產(chǎn)權(quán)(intellectual property,IP)核,廣泛應(yīng)用于數(shù)據(jù)緩存和參數(shù)存儲等,可以實(shí)現(xiàn)單口存儲器、雙口存儲器以及先入先出隊(duì)列(first input first output,FIFO)等功能。BRAM是星載FPGA用戶邏輯中單粒子發(fā)生概率最高的,占2.9%[19]。但由于BRAM中存儲的數(shù)據(jù)一直處于動(dòng)態(tài)應(yīng)用中,難以實(shí)現(xiàn)類似配置數(shù)據(jù)的定時(shí)刷新設(shè)計(jì),因此,BRAM中累積的單粒子翻轉(zhuǎn)難以消除。

對于數(shù)據(jù)緩存類BRAM而言,盡管BRAM數(shù)據(jù)為中間結(jié)果,一定時(shí)間后會(huì)被算法自動(dòng)修復(fù),但BRAM數(shù)據(jù)錯(cuò)誤期間已經(jīng)對算法后續(xù)數(shù)據(jù)流產(chǎn)生了影響。而對于參數(shù)存儲類BRAM而言,用戶要求BRAM中數(shù)據(jù)保持不變,但在空間輻照條件下,即使對參數(shù)存儲BRAM進(jìn)行了三模冗余,也無法解決單粒子累積造成的數(shù)據(jù)錯(cuò)誤。因此,在星載配置項(xiàng)BRAM加固中,必須設(shè)計(jì)相應(yīng)的單粒子累積消除方法,以保證數(shù)據(jù)的正確性。

傳統(tǒng)的單粒子累積效應(yīng)消除方法主要有刷新和糾錯(cuò)編碼兩類。對于刷新而言,常用架構(gòu)如圖1所示。

圖1 刷新糾錯(cuò)方法基本架構(gòu)Fig.1 Basic architecture of refreshing error correction method

糾錯(cuò)編碼方法不單獨(dú)占用BRAM端口,不會(huì)造成BRAM資源的浪費(fèi),但糾錯(cuò)編碼方法并沒有從根本上糾正BRAM中數(shù)據(jù)的單粒子翻轉(zhuǎn),只是在使用BRAM數(shù)據(jù)時(shí)能夠檢測2 bit錯(cuò)誤并糾正1 bit錯(cuò)誤。但隨著時(shí)間的積累,當(dāng)BRAM中數(shù)據(jù)發(fā)生多比特錯(cuò)誤時(shí),糾錯(cuò)編碼方法將失效。

2 基于分時(shí)刷新和位置約束的BRAM加固方法

為了從根本上解決BRAM單粒子翻轉(zhuǎn)的積累問題,必須采用三模冗余加刷新的策略。而針對傳統(tǒng)外部處理器刷新方法消耗資源,且容易發(fā)生BRAM讀寫沖突的問題,本文提出了基于分時(shí)自刷新的星載配置項(xiàng)BRAM加固方法,具體架構(gòu)如圖2所示。BRAM及自刷新控制邏輯三模冗余設(shè)計(jì)后共有3條路徑(TR0、TR1、TR2),圖2中僅對TR0路徑進(jìn)行了細(xì)化,每條路徑又包括了自刷新支路和算法讀寫支路,其中算法讀寫支路實(shí)現(xiàn)內(nèi)部算法的BRAM訪問,自刷新支路實(shí)現(xiàn)BRAM數(shù)據(jù)的自刷新控制。分時(shí)自刷新設(shè)計(jì)的主要思想是通過算法監(jiān)控模塊識別內(nèi)部算法訪問BRAM的空閑時(shí)段,自刷新控制模塊根據(jù)當(dāng)前刷新地址,將BRAM數(shù)據(jù)回讀,并經(jīng)三模表決糾錯(cuò),再將糾錯(cuò)后的數(shù)據(jù)回寫B(tài)RAM,并累加地址繼續(xù)刷新。一旦算法監(jiān)控模塊檢測到內(nèi)部算法忙,則立即停止刷新,并記錄當(dāng)前刷新地址,待下次內(nèi)部算法訪存空閑時(shí)繼續(xù)刷新。

圖2 基于分時(shí)刷新的BRAM加固方法基本架構(gòu)Fig.2 Basic architecture of BRAM hardening method based on time-sharing refreshing

可以看到,上述架構(gòu)不需要外部處理器干預(yù)即可完成BRAM的自刷新功能。內(nèi)部算法監(jiān)控模塊可確保BRAM自刷新在整個(gè)算法訪存空閑狀態(tài)下執(zhí)行,因此,其不需要單獨(dú)占用一個(gè)BRAM端口,也不會(huì)造成BRAM訪問沖突。通過上述架構(gòu)設(shè)計(jì),衛(wèi)星載荷FPGA能夠自主完成BRAM自刷新加固,不會(huì)造成BRAM沖突和資源浪費(fèi),僅需要增加少量的CLB資源即可實(shí)現(xiàn)。

算法監(jiān)控模塊一般需要根據(jù)不同F(xiàn)PGA配置項(xiàng)功能進(jìn)行設(shè)計(jì),實(shí)現(xiàn)比較簡單。而對于自刷新控制模塊而言,可將其設(shè)計(jì)成通用化的共用基礎(chǔ)模塊(common building blocks,CBB),適用于不同的載荷FPGA配置項(xiàng),提升開發(fā)效率。自刷新控制模塊主要通過有限狀態(tài)機(jī)(finite state machine,FSM)實(shí)現(xiàn),其狀態(tài)定義如下:

S0:空閑狀態(tài)。復(fù)位后處于該狀態(tài),若BRAM處于內(nèi)部算法訪問忙狀態(tài),則FSM一直處于空閑狀態(tài),否則,進(jìn)入S1狀態(tài)。

S1:BRAM數(shù)據(jù)讀取狀態(tài)。當(dāng)檢測到BRAM訪問空閑時(shí),進(jìn)入自刷新數(shù)據(jù)讀取狀態(tài),當(dāng)BRAM數(shù)據(jù)讀取完成后,進(jìn)入S2狀態(tài)。

S2:BRAM數(shù)據(jù)寫入狀態(tài),在該狀態(tài)將三塊BRAM的讀取數(shù)據(jù)通過表決器進(jìn)行表決,以修正單粒子翻轉(zhuǎn)錯(cuò)誤,再將表決后的數(shù)據(jù)進(jìn)行回寫,消除BRAM中的累積錯(cuò)誤,寫入完成后進(jìn)入S3狀態(tài)。

S3:單次刷新完成狀態(tài)。進(jìn)入該狀態(tài)說明完成了BRAM單地址數(shù)據(jù)刷新,并控制刷新地址累加,并返回S0狀態(tài),繼續(xù)下一地址刷新。

具體狀態(tài)轉(zhuǎn)移過程如圖3所示。

圖3 自刷新控制模塊狀態(tài)轉(zhuǎn)移圖Fig.3 State transition diagram of self-refreshing control module

SRAM型FPGA采用特殊設(shè)計(jì)的開關(guān)矩陣以提升面積利用率和信號傳輸質(zhì)量。BRAM資源也有對應(yīng)的開關(guān)矩陣和BRAM互聯(lián)配置資源,若上述資源發(fā)生單粒子翻轉(zhuǎn),可能造成三模設(shè)計(jì)中的兩模同時(shí)發(fā)生錯(cuò)誤,造成載荷功能異常。造成上述問題的根本原因是兩個(gè)BRAM位置分布超過了安全的幾何布線間隔,使得單粒子翻轉(zhuǎn)有可能影響相鄰兩塊BRAM的功能同時(shí)異常。

而在星載FPGA配置項(xiàng)實(shí)現(xiàn)過程中,用戶一般不會(huì)對布局布線過程進(jìn)行控制,電子設(shè)計(jì)自動(dòng)化(electronic design automation,EDA)工具為達(dá)到好的布線結(jié)果,往往將三模后的BRAM布局在鄰近位置,會(huì)造成三模后超過2塊BRAM布局位于同行或者同列的情況,進(jìn)而導(dǎo)致單粒子翻轉(zhuǎn)造成三模后設(shè)計(jì)發(fā)生功能異常的概率大幅提升。為此,提出了基于位置約束的BRAM布局方法,鑒于星載FPGA設(shè)計(jì)資源占用率一般較高,若采用復(fù)雜的位置約束和迭代策略,很有可能造成整個(gè)設(shè)計(jì)布線失敗,本文在EDA工具對三模后設(shè)計(jì)進(jìn)行布局布線時(shí),增加簡單的BRAM位置約束腳本,將BRAM布局在指定的位置上。

通過將BRAM三模冗余后各冗余模塊的布線區(qū)域從幾何上分割開,避免任意兩個(gè)BRAM共用一個(gè)互聯(lián)矩陣和可編程互連線相鄰的情況,從根本上降低單粒子翻轉(zhuǎn)引起多模設(shè)計(jì)功能同時(shí)異常的概率。

3 試驗(yàn)驗(yàn)證

主要從衛(wèi)星載荷FPGA BRAM數(shù)據(jù)自刷新和位置約束兩個(gè)方面對BRAM抗空間輻照設(shè)計(jì)方法進(jìn)行了改進(jìn),為了驗(yàn)證所述加固方法的有效性,下面從地面故障注入試驗(yàn)、重離子輻照試驗(yàn)以及衛(wèi)星載荷在軌實(shí)測情況三個(gè)層面對本文算法的性能進(jìn)行驗(yàn)證。

目前地面故障注入試驗(yàn)主要是針對SRAM型FPGA配置數(shù)據(jù)進(jìn)行故障注錯(cuò),無法對用戶邏輯部分,如BRAM存儲數(shù)據(jù)進(jìn)行故障注入[20],因此,地面故障注入試驗(yàn)難以驗(yàn)證BRAM自刷新設(shè)計(jì)的性能,但故障注入試驗(yàn)可實(shí)現(xiàn)對BRAM互聯(lián)部分的故障注入,進(jìn)而對BRAM位置約束設(shè)計(jì)的性能進(jìn)行評估。

通過故障注入試驗(yàn)對BRAM位置約束的性能進(jìn)行驗(yàn)證。提出一種基于配置數(shù)據(jù)異常率(rate of fault configuration bits, RFCB)的FPGA配置數(shù)據(jù)故障注入評估指標(biāo),其更容易通過故障注入試驗(yàn)獲取,能夠直觀反映載荷FPGA設(shè)計(jì)抗輻照設(shè)計(jì)的性能,具體定義如下:

(1)

式中:be為會(huì)引起配置項(xiàng)功能異常的比特?cái)?shù),可通過故障注入試驗(yàn)測試,bT為配置數(shù)據(jù)總比特?cái)?shù)。對于本文關(guān)注的BRAM互聯(lián)而言,bT專指BRAM互聯(lián)部分總比特?cái)?shù),對于XQR2V3000型FPGA而言,bT為4 224 bit。

針對BRAM位置約束故障注入采用載荷配置項(xiàng)故障注入測試系統(tǒng),具體組成如圖4所示,主要包括參考單元、被測單元、測試單元、刷新控制器以及上位機(jī)組成,其中上位機(jī)由數(shù)字信號處理器(digital signal processing,DSP)實(shí)現(xiàn),其他4個(gè)單元均由Xilinx XQR2V3000型FPGA實(shí)現(xiàn)。參考單元運(yùn)行被測配置項(xiàng)的單模設(shè)計(jì),作為標(biāo)準(zhǔn)參考數(shù)據(jù)流;被測單元運(yùn)行采用本文所述的BRAM加固后的三模設(shè)計(jì);測試單元完成被測單元和參考單元數(shù)據(jù)流的采集和比對功能;刷新控制器主要負(fù)責(zé)對被測FPGA的動(dòng)態(tài)局部刷新,以及對所有FPGA的上電加載;上位機(jī)通過外部存儲器接口(external memory interface,EMIF)與其余單元通信,控制被測單元和參考單元數(shù)據(jù)流的生成,并記錄測試結(jié)果。

圖4 故障注入測試系統(tǒng)結(jié)構(gòu)圖Fig.4 Structure of fault injection test system

通過上述故障注入平臺,通過位置約束腳本修改被測單元中三模BRAM的位置,對不同BRAM位置約束情況下BRAM互聯(lián)部分的異常比特率進(jìn)行測試,具體測試結(jié)果如表1所示。

表1 不同BRAM位置約束下測試結(jié)果Tab.1 Test results under different BRAM location constraint

測試結(jié)果表明,同一功能BRAM三模后3塊BRAM位于同行或者同列時(shí),單粒子翻轉(zhuǎn)造成功能異常的RRFCB最高;當(dāng)有兩模同行或同列時(shí),RRFCB有一定下降;當(dāng)三模BRAM不同行同列時(shí),RRFCB明顯下降,相比于三模同列情況降低了約42.6%。上述結(jié)果僅為單一BRAM位置約束后的可靠性改善,若對更多BRAM進(jìn)行位置約束,則可靠性改善也將更為明顯。當(dāng)然,位置約束在一定程度上降低了EDA軟件布局布線優(yōu)化的自由度,甚至可能造成布局布線失敗,因此,在實(shí)際應(yīng)用過程中,需要根據(jù)實(shí)際設(shè)計(jì)選擇性地對關(guān)鍵BRAM進(jìn)行位置約束設(shè)計(jì)。

為驗(yàn)證所述方法對星載設(shè)計(jì)面積和速度的影響,采用SM4算法對分時(shí)刷新和位置約束BRAM加固方法前、后的資源占用率和速度結(jié)果進(jìn)行對比分析,以衛(wèi)星載荷常用的XQR2V3000器件為例,SM4算法運(yùn)算過程中的S盒(substitution box,SBOX)通過BRAM實(shí)現(xiàn),為提升運(yùn)算效率,采用兩個(gè)SBOX進(jìn)行并行運(yùn)算,面積和速度評估結(jié)果如表2所示?？梢钥吹?針對SM4算法,增加SBOX BRAM分時(shí)刷新和位置約束加固方法后,三模設(shè)計(jì)的4輸入查找表僅增加84個(gè)(9.24%),寄存器僅增加81個(gè)(9.93%),時(shí)鐘頻率僅下降18.234 MHz(8.52%)。實(shí)際上,上述資源消耗并不會(huì)隨著原有算法復(fù)雜度的提升而大幅增加,因此,對于更為復(fù)雜的設(shè)計(jì)而言,其資源增加的比例將會(huì)更小,甚至忽略不計(jì),但速度的下降可能隨著原有算法復(fù)雜度的提升而更為明顯。

表2 不同設(shè)計(jì)面積和速度對比分析Tab.2 Comparison of area and clock frequency for different design

為進(jìn)一步評估基于分時(shí)刷新的BRAM加固設(shè)計(jì)性能,2018年11月,在蘭州中科院近代物理研究所,采用蘭州重離子加速器產(chǎn)生的Ta離子,線性能量傳輸(linear energy transfer,LET)值為81.35 MeV·cm2/mg,對衛(wèi)星載荷進(jìn)行了重離子輻照試驗(yàn)。該型載荷研制階段分為A星和B星兩個(gè)階段:在A星階段由于未對存儲關(guān)鍵參數(shù)的BRAM進(jìn)行針對性加固設(shè)計(jì),僅進(jìn)行了三模冗余加固,存在單粒子翻轉(zhuǎn)積累的問題,導(dǎo)致其在軌可靠性不太理想。在B星階段,采用了本文所述的基于分時(shí)刷新和位置約束的BRAM抗輻照加固方法。重離子輻照試驗(yàn)是在該型衛(wèi)星載荷B星發(fā)射前進(jìn)行的可靠性評估試驗(yàn),對A星配置項(xiàng)和B星配置項(xiàng)進(jìn)行了對比測試,測試過程以單粒子功能中斷達(dá)到5次,或離子總注量達(dá)到107個(gè)/cm2為輻照停止準(zhǔn)則,上述兩個(gè)條件以先達(dá)到者為準(zhǔn)。輻照試驗(yàn)可靠性評價(jià)指標(biāo)為單粒子功能中斷截面,其主要表征了單個(gè)粒子輻射到器件單位面積上發(fā)生單粒子功能中斷的事件的概率,是表征被測器件對單粒子效應(yīng)敏感程度的公認(rèn)指標(biāo),其定義如下:

(2)

式中,N為單粒子功能中斷次數(shù),F為器件單位截面上入射粒子的總數(shù)。輻照試驗(yàn)測試結(jié)果如表3所示。

表3 輻照試驗(yàn)測試結(jié)果Tab.3 Results of irradiation tests

可以看到,相比于A星,B星單粒子功能中斷(single event functional interrupt,SEFI)截面從5.40×10-4cm2下降到9.92×10-5cm2,下降約81.63%,可靠性大幅提升。盡管輻照試驗(yàn)無法直接對BRAM改進(jìn)部分進(jìn)行性能評估,但相比A星階段設(shè)計(jì),B星階段可靠性設(shè)計(jì)改進(jìn)主要集中在BRAM加固設(shè)計(jì)上,因此上述結(jié)果在很大程度上證明了本文所述方法的有效性。

通過目前該型載荷的在軌運(yùn)行情況,進(jìn)一步驗(yàn)證基于分時(shí)刷新和位置約束的BRAM加固方法的性能。該型衛(wèi)星載荷A星階段共計(jì)3顆衛(wèi)星,由于A星階段BRAM加固設(shè)計(jì)不充分,其在軌發(fā)生了多次單粒子翻轉(zhuǎn)異常,2015年8月至2017年9月期間,3顆衛(wèi)星共計(jì)出現(xiàn)了7次在軌異常,后續(xù)經(jīng)異常歸零分析,7次在軌單粒子翻轉(zhuǎn)異常的分析結(jié)果匯總?cè)绫?所示?？梢钥吹?在所有7次在軌單粒子異常中,BRAM參數(shù)單粒子累計(jì)異常占42.9%,是造成該型工程在軌異常的主要原因。在B星階段,采用了基于分時(shí)刷新和位置約束的BRAM抗輻照加固方法,目前25顆B星在軌運(yùn)行未發(fā)生一次單粒子翻轉(zhuǎn)異常,這充分證明了本文所述加固方法的有效性。

表4 在軌單粒子翻轉(zhuǎn)異常的分析結(jié)果匯總Tab.4 Summary of analysis results of single event upset on navigation satellites

4 結(jié)論

盡管目前針對SRAM型FPGA配置文件抗空間輻照可靠性設(shè)計(jì)已形成一系列成熟技術(shù),但針對用戶邏輯部分,特別是BRAM的可靠性設(shè)計(jì),相關(guān)研究還比較缺乏。傳統(tǒng)針對BRAM的刷新設(shè)計(jì)雖然能夠消除單粒子翻轉(zhuǎn)的積累,但存在資源消耗大,且存在BRAM訪問沖突造成在軌功能異常的風(fēng)險(xiǎn)。本文提出了基于分時(shí)刷新和位置約束的BRAM抗空間輻照可靠性設(shè)計(jì)方法,通過監(jiān)測內(nèi)部算法流程,通過時(shí)分復(fù)用的方式實(shí)現(xiàn)FPGA對BRAM的自刷新設(shè)計(jì),并通過BRAM的位置約束有效降低單粒子翻轉(zhuǎn)造成多模BRAM同時(shí)異常的概率。通過故障注入試驗(yàn)、重離子輻照試驗(yàn)以及在軌實(shí)際運(yùn)行情況三個(gè)層面,對本文所述方法的性能進(jìn)行了充分驗(yàn)證。然而,所述BRAM自刷新方法與用戶設(shè)計(jì)密切相關(guān),通用性不夠強(qiáng),需要根據(jù)FPGA內(nèi)部算法進(jìn)行針對性設(shè)計(jì)。另外,位置約束方法在FPGA資源比較緊張的情況下,可能會(huì)引起EDA軟件布局布線性能下降,甚至失敗,后續(xù)還需要研究位置約束設(shè)計(jì)策略,進(jìn)一步提升增加位置約束后的布局布線性能。