梁 博,劉錦輝?,熊 涔,劉珉強(qiáng),陳 煜,譚雯丹

(1. 西安電子科技大學(xué) 計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院,西安 710071; 2. 中國工程物理研究院 電子工程研究所,四川綿陽 621054)

微處理器是衛(wèi)星電子系統(tǒng)和設(shè)備的核心器件,可應(yīng)用于數(shù)管計(jì)算機(jī)、姿軌控計(jì)算機(jī)及有效載荷數(shù)據(jù)處理等設(shè)備。應(yīng)用于電路開發(fā)板的嵌入式實(shí)時(shí)計(jì)算機(jī)系統(tǒng)中的微處理器,能滿足多種航天應(yīng)用的功能及性能指標(biāo)要求,只需加上存儲(chǔ)器及與應(yīng)用相關(guān)的外圍電路,就可構(gòu)成完整的單板計(jì)算機(jī)系統(tǒng)。

微處理器工作在空間環(huán)境時(shí),受高能粒子和帶電粒子的影響可能改變電路節(jié)點(diǎn)的正常電壓和電流,進(jìn)而導(dǎo)致系統(tǒng)出錯(cuò)。這種現(xiàn)象稱為單粒子效應(yīng)(single event effect, SEE)。資料表明,在導(dǎo)致航天器異?；蚬收系目臻g環(huán)境效應(yīng)中,各種輻射效應(yīng)占88%,其中,總劑量效應(yīng)占5.4%,表面充電效應(yīng)占20.1%,深層充電效應(yīng)占24.7%(難以辨別的充電效應(yīng)占9.4%),SEE占28.4%[1-3]。到目前為止,SEE是誘發(fā)航天器異?；蚬收献疃嗟妮椛湫?yīng)。SEE的主要表現(xiàn)有6種,包括:單粒子翻轉(zhuǎn)(single event upset, SEU),存儲(chǔ)單元邏輯狀態(tài)改變;單粒子多位翻轉(zhuǎn)(multiple bit upset,MBU),存儲(chǔ)單元多個(gè)位的狀態(tài)改變;單粒子瞬變(single event transient, SET),組合邏輯中出現(xiàn)的瞬時(shí)脈沖;單粒子功能中斷(single event functional interrupt,SEFI),控制部件出錯(cuò);單粒子鎖定(single event latch-up, SEL),由單粒子引起的鎖定效應(yīng);單粒子?xùn)艙舸?single event gate rupture, SEGR),高能粒子擊穿晶體管柵極。其中,SEU,MBU,SET,SEFI是可恢復(fù)的故障,稱為軟錯(cuò)誤;SEL和SEGR是導(dǎo)致器件不可恢復(fù)的故障,稱為硬錯(cuò)誤。

微處理器中各種存儲(chǔ)單元,包括數(shù)據(jù)存儲(chǔ)器、指令存儲(chǔ)器及寄存器等,占芯片面積的40%～70%,更易受SEU的干擾。資料表明,在微處理器發(fā)生的各種故障中,絕大部分是由存儲(chǔ)單元發(fā)生故障引起的[4]。對(duì)于微處理器中的SET,如組合電路中出現(xiàn)SET干擾,電路中的信號(hào)會(huì)出現(xiàn)毛刺,毛刺會(huì)沿著電路路徑傳播到電路輸出端,只有這個(gè)瞬時(shí)脈沖傳播到時(shí)序電路,且被時(shí)序電路捕獲,導(dǎo)致時(shí)序電路產(chǎn)生瞬態(tài)脈沖,才會(huì)對(duì)電路的最終運(yùn)行結(jié)果產(chǎn)生影響。因此本文只針對(duì)SEU開展故障注入與仿真。

為在航天器及衛(wèi)星設(shè)計(jì)階段對(duì)系統(tǒng)進(jìn)行抗輻射評(píng)估,模擬仿真手段是目前最有效且經(jīng)濟(jì)的方法。在諸多模擬仿真手段中故障注入方法是最常用和最有效的方法。

目前,許多學(xué)者對(duì)SEE故障注入技術(shù)進(jìn)行了研究。文獻(xiàn)[5]實(shí)現(xiàn)了一種SEE仿真方法,將電流源脈沖注入SPICE網(wǎng)表,進(jìn)行電路級(jí)仿真,并在RISC-V處理器上驗(yàn)證。結(jié)果表明,該方法能準(zhǔn)確觀測(cè)到SEE故障。文獻(xiàn)[6]為FPGA設(shè)計(jì)了一個(gè)故障注入和故障定位系統(tǒng),利用基于資源的精確故障注入過程來尋找敏感單元,圖形化顯示敏感資源的分布情況,便于輻射加固。文獻(xiàn)[7]研究了ARM微處理器的SEFI,測(cè)試了一種在程序和數(shù)據(jù)存儲(chǔ)器中使用故障注入的方法,并通過計(jì)算結(jié)果與實(shí)驗(yàn)結(jié)果的比較來修正模型。文獻(xiàn)[8]提出了一種改進(jìn)的SET模型,基于SET電流模型,利用Verilog-A軟件建立了SET脈沖故障模型,并通過SRAM單元驗(yàn)證了脈沖故障注入模型的實(shí)用性和合理性。文獻(xiàn)[9]構(gòu)造了一個(gè)具有隨機(jī)注入機(jī)制的故障電流源,用腳本語言實(shí)現(xiàn)了粒子入射時(shí)間、入射電路節(jié)點(diǎn)、電流峰值和寬度的隨機(jī)化,并通過實(shí)驗(yàn)和仿真擬合驗(yàn)證了故障注入方法的有效性。文獻(xiàn)[10]提出了一種微處理器程序代碼的程序注入算法,在PIC17微處理器上測(cè)試了SEFI截面,并將模擬結(jié)果與實(shí)驗(yàn)結(jié)果進(jìn)行了比較。文獻(xiàn)[11]提出了一種基于運(yùn)行時(shí)軟件的故障注入方法,并在商用混合信號(hào)可編程片上系統(tǒng)(system on chip,SoC)的控制寄存器和SRAM中進(jìn)行了位翻轉(zhuǎn)模擬,評(píng)估了SoC的容錯(cuò)性。文獻(xiàn)[12]提出了一種可配置的位置感知故障注入技術(shù),在軟件層面模擬不同類型的單粒子故障,并在X86架構(gòu)上實(shí)現(xiàn)了一個(gè)應(yīng)用原型。

綜合目前的所有單粒子故障注入技術(shù),大都采用電流源模型,在電路底層開展脈沖故障注入,這種方法對(duì)于VLSI來說仿真時(shí)間長、資源消耗大。本文提出一種基于微處理器IP核的高層SEU故障注入與仿真方法,利用故障注入工具直接將SEU故障注入到微處理器ROM程序區(qū),觀察系統(tǒng)的輸出并統(tǒng)計(jì),通過在實(shí)際微處理器上開展實(shí)驗(yàn),驗(yàn)證了故障注入和仿真方法的可靠性。

1 故障注入與仿真方法

針對(duì)傳統(tǒng)單粒子故障注入方法存在的仿真耗時(shí)、資源消耗大及不適用于VLSI等缺點(diǎn),本文提出一種基于微處理器IP核的高層單粒子故障注入與仿真方法,并對(duì)微處理器IP核設(shè)計(jì)框架進(jìn)行概述。

1.1 故障注入與仿真方法介紹

空間中的任何電子系統(tǒng)都有特定的功能,在空間輻照下會(huì)出現(xiàn)不同程度的錯(cuò)誤。這些錯(cuò)誤都是系統(tǒng)內(nèi)部某個(gè)器件的敏感節(jié)點(diǎn)發(fā)生錯(cuò)誤后逐層傳播到系統(tǒng)層面造成的。由于底層器件的SEE反映到系統(tǒng)層面就是系統(tǒng)輸出與預(yù)期輸出不一致,在對(duì)某個(gè)電路系統(tǒng)進(jìn)行單粒子故障注入前,需確定系統(tǒng)的功能與輸出。然后,在集成開發(fā)環(huán)境中編寫功能代碼,生成Hex文件。由于本文使用的IP核ROM區(qū)讀取的是二進(jìn)制數(shù)據(jù),還需轉(zhuǎn)換為特定的dua文件。最后,從仿真和實(shí)驗(yàn)兩方面開展故障注入與仿真運(yùn)行,并對(duì)比分析。圖1為故障注入與仿真方法總體流程。

圖1 故障注入與仿真方法總體流程Fig.1 General flow of fault injection and simulation method

仿真時(shí),針對(duì)dua文件進(jìn)行故障注入工作,由于SEE引起的最終結(jié)果是狀態(tài)位的變化,因此直接將翻轉(zhuǎn)信息注入到ROM區(qū)文件中,然后將故障注入后的程序文件和其他IP核組成文件加載到Modelsim仿真器中,觀察仿真的輸出,并記錄數(shù)據(jù)。

為覆蓋ROM區(qū)所有位翻轉(zhuǎn)后系統(tǒng)的狀態(tài)信息,將ROM區(qū)數(shù)據(jù)dua文件的每一位及連續(xù)兩位進(jìn)行翻轉(zhuǎn),并仿真記錄相應(yīng)的系統(tǒng)輸出,建立仿真輸出表。

實(shí)驗(yàn)驗(yàn)證時(shí),選擇一款與IP核兼容的微處理器進(jìn)行故障注入并運(yùn)行程序。由于實(shí)物微處理器的ROM區(qū)讀取的是Hex文件,因此在故障注入時(shí)將Hex文件中的數(shù)據(jù)轉(zhuǎn)換為二級(jí)制數(shù),對(duì)每一位及連續(xù)兩位進(jìn)行翻轉(zhuǎn),并加電運(yùn)行,統(tǒng)計(jì)結(jié)果輸出,建立實(shí)驗(yàn)輸出表。通過實(shí)驗(yàn)結(jié)果與仿真結(jié)果對(duì)比,可評(píng)估此故障注入方法的可靠性。

最后,根據(jù)仿真輸出和實(shí)驗(yàn)輸出對(duì)比驗(yàn)證,分析ROM區(qū)一位翻轉(zhuǎn)和連續(xù)兩位翻轉(zhuǎn)后系統(tǒng)的出錯(cuò)率。

1.2 8051 IP核

本文以O(shè)regano Systems 提供的開源MC8051 IP核為基礎(chǔ),開展基于8051 IP核的SEU故障注入與仿真。

MC8051 IP核采用完全同步設(shè)計(jì),指令集和標(biāo)準(zhǔn)8051 IP核微控制器完全兼容,內(nèi)部帶128×8 bit RAM,最多可擴(kuò)展至64k×8 bit的ROM和64k×8 bit的RAM[13]。MC8051 IP核結(jié)構(gòu)框架如圖2所示。圖2給出了MC8051 IP核的頂層結(jié)構(gòu)及與3個(gè)存儲(chǔ)器之間的連接關(guān)系,同時(shí)顯示了頂層的輸入輸出I/O口。MC8051 IP核中的存儲(chǔ)模塊有內(nèi)部RAM、擴(kuò)展RAM和ROM。其中,內(nèi)部RAM和ROM是必要的,內(nèi)部RAM固定為128×8 bit,ROM最大可選64k×8 bit。

圖2 MC8051 IP核結(jié)構(gòu)框架Fig.2 Architectural framework of the MC8051 IP core

2 8051 IP核 SEU故障注入與仿真

根據(jù)圖1所示的故障注入與仿真方法,以8051 IP核為基礎(chǔ),分別開展單粒子一位翻轉(zhuǎn)和連續(xù)兩位翻轉(zhuǎn)的故障注入與仿真,并統(tǒng)計(jì)結(jié)果。

2.1 功能確定

在進(jìn)行故障注入與仿真前,需對(duì)8051 IP核的具體功能進(jìn)行定義,便于對(duì)生成的二進(jìn)制代碼文件進(jìn)行故障注入。表1為定義8051 IP核具體功能的代碼及hex文件。

在能說明仿真方法的基礎(chǔ)上,為簡(jiǎn)化工作量,定義8051 IP核的具體功能為:使P0輸出11(00010001),P1輸出22(00100010),P2輸出33(00110011),P3輸出44(01000100)。通過編譯工具將定義8051 IP核具體功能的代碼進(jìn)行編譯,并生成可燒錄到實(shí)物8051 IP核的hex文件,如表1所列。

表1 定義8051 IP核具體功能代碼及hex文件Tab.1 Function code of 8051 IP core and hex file

實(shí)驗(yàn)中,使用燒錄工具和軟件對(duì)實(shí)驗(yàn)8051 IP核的ROM區(qū)燒錄表1中hex文件。而8051 IP核的ROM區(qū)使用函數(shù)讀取二進(jìn)制數(shù)據(jù)文件,文件格式為dua文件。dua文件的內(nèi)容是hex文件中的數(shù)據(jù)部分,即表1中下劃線標(biāo)記部分轉(zhuǎn)換成二進(jìn)制而來,即程序?qū)?yīng)的機(jī)器碼,也是仿真時(shí)將要存入ROM中的數(shù)據(jù)。轉(zhuǎn)換后,dua文件的每一行存儲(chǔ)一個(gè)字節(jié)(8 bit)的數(shù)。

2.2 故障注入

大多數(shù)傳統(tǒng)的單粒子故障注入方式都基于底層物理進(jìn)行,通過在電路中加入電流源等方式引起敏感節(jié)點(diǎn)的狀態(tài)位變化。但這種方式對(duì)百萬門量級(jí)以上的VLSI來說仿真難度和時(shí)間消耗非常大。

SEU的最終結(jié)果是狀態(tài)位的變化,因此,本文從高層行為級(jí)仿真模型開始故障注入,將SEU的故障直接注入到ROM區(qū)的程序機(jī)器碼中,仿真運(yùn)行后,觀察系統(tǒng)的整體輸出,統(tǒng)計(jì)SEU對(duì)系統(tǒng)功能的影響。

SEU故障注入工具如圖3所示,包括文件選擇、故障類型選擇和注入方式選擇等功能,還可顯示原始數(shù)據(jù)和故障數(shù)據(jù),便于對(duì)比是否注入成功。故障注入流程如圖4所示。

圖3 SEU故障注入工具Fig.3 SEU fault injection tool

圖4 SEU故障注入流程Fig.4 Injection process for SEU

首先,選擇原始文件,即hex經(jīng)過轉(zhuǎn)換后的dua文件;然后,選擇故障注入后的文件存儲(chǔ)位置及名稱;接著,選擇故障注入類型,包含單粒子一位翻轉(zhuǎn)和連續(xù)兩位翻轉(zhuǎn),并選擇注入方式,包括隨機(jī)注入和定點(diǎn)注入,在選擇定點(diǎn)注入時(shí)還需輸入定點(diǎn)注入的位置,開始注入;最后,界面將顯示故障的位置及原始數(shù)據(jù)和故障數(shù)據(jù),檢查故障注入是否成功,若不成功,則重新選擇文件開始新的注入。

2.3 單粒子一位翻轉(zhuǎn)仿真

首先開展單粒子一位翻轉(zhuǎn)仿真,在故障注入時(shí)選擇單粒子一位翻轉(zhuǎn),對(duì)ROM區(qū)的每一個(gè)位逐位翻轉(zhuǎn),依次根據(jù)故障注入后得到的文件,使用批處理指令加載到仿真器中,進(jìn)行SEU仿真,統(tǒng)計(jì)ROM區(qū)每一位翻轉(zhuǎn)后系統(tǒng)的輸出,得到單粒子一位翻轉(zhuǎn)仿真結(jié)果統(tǒng)計(jì),如圖5所示。

由圖5可見,ROM區(qū)一位翻轉(zhuǎn)后,P0端口有68.10%的情況會(huì)輸出正確結(jié)果,有26.29%的情況會(huì)輸出FF,表示翻轉(zhuǎn)引起了指令碼錯(cuò)誤;其他情況下發(fā)生數(shù)據(jù)碼出錯(cuò),會(huì)輸出00,91等數(shù)據(jù)。其他輸出端口的情況和P0口類似。

2.4 單粒子連續(xù)兩位翻轉(zhuǎn)仿真

開展單粒子連續(xù)兩位翻轉(zhuǎn)仿真,在故障注入時(shí)選擇單粒子連續(xù)兩位翻轉(zhuǎn),對(duì)ROM區(qū)的所有連續(xù)兩位進(jìn)行翻轉(zhuǎn),依次根據(jù)故障注入后得到的文件,使用批處理指令加載到仿真器中,進(jìn)行SEU仿真,統(tǒng)計(jì)ROM區(qū)每連續(xù)兩位翻轉(zhuǎn)后系統(tǒng)的輸出,得到單粒子連續(xù)兩位翻轉(zhuǎn)仿真結(jié)果統(tǒng)計(jì),如圖6所示。

圖5 單粒子一位翻轉(zhuǎn)仿真結(jié)果統(tǒng)計(jì)Fig.5 Simulation result statistics of single event one-bit upset

圖6 單粒子連續(xù)兩位翻轉(zhuǎn)仿真結(jié)果統(tǒng)計(jì)Fig.6 Simulation result statistics of single event consecutive two-bit upset

由圖6可見,ROM區(qū)連續(xù)兩位翻轉(zhuǎn)后P0端口有65.09%的情況會(huì)輸出正確結(jié)果,有30.17%的情況會(huì)輸出FF,表示翻轉(zhuǎn)引起了指令碼錯(cuò)誤;其他情況下發(fā)生數(shù)據(jù)碼出錯(cuò),會(huì)輸出EF,00等數(shù)據(jù)。其他輸出端口的情況和P0口類似。理論上,單粒子連續(xù)兩位翻轉(zhuǎn)造成的系統(tǒng)錯(cuò)誤要比單粒子一位翻轉(zhuǎn)造成的系統(tǒng)錯(cuò)誤情況占比大。以P0端口為例,對(duì)比圖5和圖6可見,單粒子連續(xù)兩位翻轉(zhuǎn)后的系統(tǒng)出錯(cuò)率比單粒子一位翻轉(zhuǎn)占比多,與理論分析結(jié)論一致。其他端口的結(jié)論也是如此。

3 仿真與實(shí)驗(yàn)對(duì)比

為驗(yàn)證本文提出的單粒子故障注入與仿真方法的可靠性,在商用8051微處理器上開展故障注入,并運(yùn)行程序統(tǒng)計(jì)結(jié)果。

本文使用與MC8051 IP核指令兼容且框架類似的商用微處理器STC89C82,在STC89C82上燒錄單粒子故障注入后的程序文件,統(tǒng)計(jì)系統(tǒng)的輸出結(jié)果,與仿真結(jié)果對(duì)比,實(shí)驗(yàn)用商用微處理器核心板如圖7所示。

3.1 單粒子一位翻轉(zhuǎn)實(shí)驗(yàn)與仿真對(duì)比

首先,與仿真相同,使用表1所列的系統(tǒng)功能,對(duì)hex文件開展單粒子一位故障注入,利用批處理程序?qū)ex文件數(shù)據(jù)區(qū)的每一個(gè)字節(jié)轉(zhuǎn)為二進(jìn)制,逐位翻轉(zhuǎn)每一位,并燒錄到微處理器中,運(yùn)行程序并統(tǒng)計(jì)結(jié)果,得到單粒子一位翻轉(zhuǎn)實(shí)驗(yàn)結(jié)果統(tǒng)計(jì),如圖8所示。

圖8 單粒子一位翻轉(zhuǎn)實(shí)驗(yàn)結(jié)果統(tǒng)計(jì)Fig.8 Experimental result statistics of single event one-bit upset

由圖8可見,ROM區(qū)一位翻轉(zhuǎn)后P0端口有67.24%的情況會(huì)輸出正確結(jié)果,有28.02%的情況會(huì)輸出FF,同仿真結(jié)果的68.10%正確輸出和26.29%輸出FF偏差很小。其他端口的仿真與實(shí)驗(yàn)偏差分析同理。

3.2 單粒子連續(xù)兩位翻轉(zhuǎn)實(shí)驗(yàn)與仿真對(duì)比

接著在實(shí)物微處理器上開展單粒子連續(xù)兩位翻轉(zhuǎn)故障注入,并燒錄到微處理器中,運(yùn)行程序并統(tǒng)計(jì)結(jié)果,得到單粒子連續(xù)兩位翻轉(zhuǎn)實(shí)驗(yàn)結(jié)果統(tǒng)計(jì),如圖9所示。

圖9 單粒子連續(xù)兩位翻轉(zhuǎn)實(shí)驗(yàn)結(jié)果統(tǒng)計(jì)Fig.9 Experimental result statistics of single event consecutive two-bit upset

由圖9可見,ROM區(qū)連續(xù)兩位翻轉(zhuǎn)后P0端口有63.36%的情況會(huì)輸出正確結(jié)果,有31.90%的情況會(huì)輸出FF,同仿真結(jié)果的65.09%正確輸出和30.17%輸出FF偏差很小。其他端口的仿真與實(shí)驗(yàn)偏差分析同理。

根據(jù)圖5、圖6、圖8和圖9所示的結(jié)果統(tǒng)計(jì),得到8051 IP核SEU仿真與實(shí)驗(yàn)系統(tǒng)出錯(cuò)率對(duì)比,如表2所列,對(duì)比各種情況下仿真和實(shí)驗(yàn)導(dǎo)致的系統(tǒng)出錯(cuò)率(系統(tǒng)出錯(cuò)表示不能輸出正確結(jié)果)。由表2可知,在單粒子一位翻轉(zhuǎn)和連續(xù)兩位翻轉(zhuǎn)情況下,仿真和實(shí)驗(yàn)測(cè)試情況下系統(tǒng)出錯(cuò)率很接近,在可接受的范圍內(nèi)。

表2 8051 IP核SEU仿真與實(shí)驗(yàn)系統(tǒng)出錯(cuò)率對(duì)比Tab.2 Comparison of system error rate for 8051 IP core single event upset between simulation and experiment

4 結(jié)論

本文提出了一種基于8051 IP核的SEU故障注入和仿真方法。對(duì)8051的具體功能代碼進(jìn)行了注入和仿真,并通過在商用微處理器STC89C52上的驗(yàn)證,證明了在高層直接注入基于8051 IP核的SEU故障是可行的。該方法可用于航天器設(shè)計(jì)階段系統(tǒng)抗單粒子翻轉(zhuǎn)事件的評(píng)估。

致謝

感謝中國工程物理研究院電子工程研究所和強(qiáng)脈沖輻射環(huán)境模擬與效應(yīng)全國重點(diǎn)實(shí)驗(yàn)室給予的指導(dǎo)和幫助。