采用SRAM-FPGA星載測控設(shè)備抗SEU策略*

郜 蓓

（上海衛(wèi)星工程研究所 上海 200240）

引 言

近年來，基于FPGA等大規(guī)模集成電路的軟件無線電應(yīng)答機、測控數(shù)據(jù)處理終端因其功能配置的多樣性與可重復(fù)性，數(shù)據(jù)處理的靈活性與高效性，已被廣泛應(yīng)用于快速響應(yīng)衛(wèi)星以及微小衛(wèi)星[1～3]。綜合比較，Xilinx公司的Virtex系列FPGA在空間環(huán)境應(yīng)用性能和采購渠道上更具優(yōu)勢，但其配置邏輯基于SRAM工藝實現(xiàn)，在太空環(huán)境下易受高能粒子撞擊發(fā)生翻轉(zhuǎn)[4，5]，嚴重時導(dǎo)致邏輯功能紊亂，任務(wù)無法正常進行。傳統(tǒng)單粒子翻轉(zhuǎn)SEU（Single-Event Upset）防護措施有三模冗余、周期性重加載、回讀比對刷新等，這類技術(shù)實現(xiàn)起來較為復(fù)雜，同時也會帶來體積、功耗等性能上的不小犧牲；另外，有的衛(wèi)星通過地面在每次出境前發(fā)送重配置指令緩解單粒子效應(yīng)，但該方法需要頻繁人為操作，容易誤操作，且存在遙控模塊受到單粒子影響無法響應(yīng)地面指令的隱患。為此，本文在相關(guān)研究的基礎(chǔ)上，結(jié)合衛(wèi)星測控任務(wù)的特點，提出了一種采用SRAM-FPGA的星載測控設(shè)備抗SEU策略，并給出了實際應(yīng)用效果。

1 現(xiàn)有措施分析

目前針對SRAM-FPGA的抗SEU策略，主要是基于器件級的技術(shù)，包括回讀刷新、三模冗余等[6～8]，先對其進行分析比較，具體如表1所示。

表1 現(xiàn)有SRAM-FPGA抗SEU策略比較Table1 Comparison of existing SRAM-FPGA SEU mitigation strategies

通過表1分析可知，基于器件級的緩解措施可以在一定程度上解決單粒子翻轉(zhuǎn)問題，但要達到較好的防護效果，需要結(jié)合多種手段，比如三模冗余+周期性刷新、回讀+重載等，這樣往往會給衛(wèi)星應(yīng)用帶來不小的性能犧牲[10，11]。正因如此，本文提出器件層面采取周期性刷新+應(yīng)用層面預(yù)判重載的立體式防護手段，實現(xiàn)成本和性能上的綜合優(yōu)化。

2 單粒子翻轉(zhuǎn)緩解策略研究

2.1 系統(tǒng)構(gòu)成

整個系統(tǒng)構(gòu)成如圖1所示。

圖1 星載測控設(shè)備組成框圖Fig.1 Block diagram of satellite TT&Con-board equipment

圖1中，星載測控設(shè)備與地面衛(wèi)星測控網(wǎng)配合完成對衛(wèi)星的跟蹤、測距、測軌、遙測、遙控等功能。星載測控設(shè)備從功能上可分為基帶和射頻兩部分，射頻部分主要實現(xiàn)信號的濾波、上下變頻、放大等功能?；鶐Р糠忠訴irtex-FPGA為核心，實現(xiàn)上行載波恢復(fù)、遙控解調(diào)、測距信號處理以及下行遙測數(shù)據(jù)的全數(shù)字調(diào)制。在衛(wèi)星任務(wù)中，通常配備一塊反熔絲PROM，用于存儲Virtex-FPGA的配置文件（.bit或其它格式）。一旦Virtex-FPGA受SEU影響，可能導(dǎo)致衛(wèi)星無法接收遙控指令或正確下發(fā)遙測數(shù)據(jù)，從而與地面測控網(wǎng)失去聯(lián)系。為了提高系統(tǒng)抗SEU能力，增加一片反熔絲FPGA對其進行監(jiān)控。其主要功能有：①實現(xiàn)Virtex-FPGA與反熔絲PROM之間的SMAP配置接口；②遙控直接指令譯碼；③接收星載計算機程控指令，根據(jù)任務(wù)需求重載配置程序；④對Virtex-FPGA內(nèi)關(guān)鍵信號檢測。Virtex-FPGA內(nèi)部可以細分為用戶功能模塊和器件功能管理模塊。用戶功能模塊中的關(guān)鍵信號需要結(jié)合其實現(xiàn)的用戶功能進行識別，本文中包括遙控、遙測、測距等；而器件功能管理模塊的關(guān)鍵信號需根據(jù)器件的使用特性來識別，具體有SMAP接口管理、全局信號控制、復(fù)位和時鐘管理等。

2.2 周期性刷新策略

刷新是指在FPGA上電配置成功后，不事先擦除已有邏輯，直接對配置區(qū)重新寫入正確數(shù)據(jù)的過程。刷新過程不影響正常邏輯功能，可以阻止翻轉(zhuǎn)位的不斷累積。

Virtex-FPGA刷新支持兩種算法：①整個器件一次性刷新。僅寫入一次刷新命令序列，接著將所有要寫入的數(shù)據(jù)幀逐幀連續(xù)全部寫入；②按幀尋址刷新。每寫入一幀數(shù)據(jù)前，均重新寫入刷新命令序列。第一種算法實現(xiàn)相對簡單，但存在配置邏輯（例如CCLK、FAR信號等）在刷新過程中發(fā)生單粒子事件的風險，一旦發(fā)生，將造成不可預(yù)知的后果。由于星載測控設(shè)備承載著整星的指令輸出任務(wù)，為了減小刷新過程中產(chǎn)生誤指令的概率，本方案選擇按幀刷新算法。

2.3 預(yù)判重載策略

預(yù)判重載包括兩個層次：信號級和任務(wù)級。信號級主要針對Virtex-FPGA關(guān)鍵信號進行多次重復(fù)采樣比對，判斷當前FPGA工作是否受單粒子影響，關(guān)鍵信號的選取需保證檢測SEU的覆蓋率，但不宜過多，否則易導(dǎo)致頻繁重配，測控功能中斷。根據(jù)前文所述，Virtex-FPGA內(nèi)部可以細分為器件功能管理模塊和用戶功能模塊，下面分別介紹關(guān)鍵信號的選取方法。

2.3.1 信號級預(yù)判重載

2.3.1.1 器件功能管理模塊關(guān)鍵信號選取

本文中使用SMAP接口對Virtex-FPGA進行刷新與重配置，因此，SMAP接口邏輯一旦發(fā)生單粒子事件，將導(dǎo)致寫入的配置程序出錯，引發(fā)不可預(yù)知的結(jié)果。與SMAP接口相關(guān)的信號包括DONE、BUSY、INT、CS等，相關(guān)的寄存器包括CMD、FAR、FDRI、FDRO、CRC、CTL等。結(jié)合Virtex-FPGA配置流程分析，DONE信號在配置結(jié)束后應(yīng)始終為高。配置完成后，在Virtex-FPGA工作期間，一旦DONE信號變低，說明內(nèi)部配置程序已經(jīng)紊亂，導(dǎo)致無法檢測到有效的配置程序，因此DONE信號實質(zhì)上是區(qū)分配置程序有效/無效的標識；而其它接口信號只是讀寫配置區(qū)的中間信號量，狀態(tài)過多，也無法完全反映配置程序的正常與否，因此選擇DONE信號作為關(guān)鍵信號之一。

在Virtex-FPGA配置、刷新過程均按幀尋址，讀寫配置幀前，均需要寫入幀地址。通過寫-讀FAR（幀地址寄存器）判斷FAR是否更新，可以快速定位SMAP接口或配置邏輯故障。由于FAR與配置管理聯(lián)系緊密，而且寫-讀的數(shù)據(jù)可預(yù)知，將其列為關(guān)鍵量檢測SEU效應(yīng)。

Virtex-FPGA的I/O、全局時鐘、ID、FDRI等狀態(tài)均在STATUS寄存器中體現(xiàn)，通過定時讀取其狀態(tài)并與初值比較，可以判斷器件相應(yīng)資源是否受單粒子影響，因此STATUS寄存器值也作為檢測SEU的關(guān)鍵量。

2.3.1.2 用戶功能模塊關(guān)鍵信號選取

Virtex-FPGA內(nèi)部主要實現(xiàn)遙測、遙控、測距等中頻信號的數(shù)字處理，其內(nèi)部功能模塊組成如圖2所示。

圖2 Virtex-FPGA內(nèi)部功能模塊組成Fig.2 Function module of Virtex-FPGA

其工作流程大致為：上行遙控、測距中頻信號經(jīng)AD采樣后，分I/Q兩路送入載波恢復(fù)環(huán)路，去載波后的信號分別進入遙控解調(diào)環(huán)路和測距信號處理模塊。解調(diào)后的遙控數(shù)據(jù)流交由反熔絲FPGA譯碼處理，解調(diào)后的測距信號在Virtex-FPGA內(nèi)部閉環(huán)處理，同時與遙測數(shù)據(jù)流合路后進行全數(shù)字載波調(diào)制，送DA形成下行中頻信號。經(jīng)過對Virtex-FPGA內(nèi)部資源使用情況分析，上行各功能模塊約占80%～85%。在衛(wèi)星測控任務(wù)中，一方面遙控關(guān)系到地面是否可以對衛(wèi)星進行控制，另一方面衛(wèi)星通常都配置導(dǎo)航接收機作為測距測速的輔助設(shè)備，并且，遙測、測距故障還可以通過地面發(fā)送遙控指令進行復(fù)位解除故障，因此，測控任務(wù)中可靠度要求最高的為遙控。綜合資源覆蓋率和測控子功能可靠性等級的考慮，本文選取遙控功能模塊中相關(guān)信號量作為關(guān)鍵用戶功能信號監(jiān)測。

在USB體制中，遙控信號依次由載波恢復(fù)環(huán)、遙控副載波解調(diào)環(huán)、遙控碼時鐘恢復(fù)環(huán)處理，為了保證覆蓋性，可以將三個環(huán)路鎖定信號邏輯“與”之后形成遙控鎖定信號作為監(jiān)測信號。在擴頻體制中，遙控鎖定信號則由載波鎖定、偽碼鎖定、碼時鐘鎖定邏輯“與”形成。綜上，可以選擇遙控鎖定信號作為用戶功能模塊關(guān)鍵信號。

2.3.1.3 信號級重載流程

信號級預(yù)判重載流程如圖3所示。如前文所述，選取的關(guān)鍵信號有器件級的DONE信號、FAR寄存器、STATUS寄存器以及用戶功能模塊的遙控鎖定信號。關(guān)鍵信號監(jiān)測由反熔絲FPGA實現(xiàn)，監(jiān)測關(guān)鍵信號需要采取多次比對的方法，以防誤判造成不必要的重配置引發(fā)功能中斷。

2.3.2 任務(wù)級預(yù)判重載

任務(wù)級預(yù)判重載由圖1中獨立于測控設(shè)備的星載計算機配合完成，重點針對遙控模塊實施。主要策略為：①遙控數(shù)據(jù)塊上傳任務(wù)前重載。衛(wèi)星需要周期性上注的遙控數(shù)據(jù)包括星歷表、軌道數(shù)據(jù)等。當星載計算機判斷衛(wèi)星運行至當前星歷表、軌道數(shù)據(jù)結(jié)束前兩軌時，在測控入境前100s自主對Virtex-FPGA發(fā)出“復(fù)位重載”命令，保證入境上注遙控數(shù)據(jù)塊時測控設(shè)備處于正確的工作狀態(tài)。僅在可預(yù)知的遙控工作周期前，星載計算機對其重載，可以減小因計算機軟件故障引發(fā)的惡意復(fù)位風險。②遙控巡檢自愈。為了保證對遙控通道100%單粒子翻轉(zhuǎn)防護，星載計算機周期性（3分鐘左右）地檢測反熔絲FPGA輸出的遙控上行信號指示，若無上行信號則控制Virtex-FPGA進入閉環(huán)自檢，若功能正常則退出自檢模式，若自檢異常則計算機發(fā)出“復(fù)位重載”命令。遙控巡檢自愈流程如圖4所示。遙控通道閉環(huán)自檢模式下，Virtex-FPGA自形成調(diào)制信號反饋給遙控通道。

圖3 信號級預(yù)判重載流程圖Fig.3 Flowchart of prejudgement and reconfiguration on signal-grade

圖4 遙控巡檢自愈流程圖Fig.4 Flowchart of telecommand inspection and self-healing

3 試驗驗證及應(yīng)用情況

本文選擇了1只軍溫級Virtex-4系列550萬門FPGA進行高能粒子環(huán)境試驗，圖5為試驗單板，有機玻璃罩覆蓋的芯片即為開帽后的試驗FPGA。結(jié)合Xilinx公司單粒子試驗數(shù)據(jù)和原子能所的試驗條件，試驗選擇了氟和氯兩種離子，其特性如表2所示。

圖5 試驗單板Fig.5 Test board

表2 試驗離子特性Table2 Characteristics of test ion

離子束按照LET值從小到大順序送出，試驗在真空環(huán)境中進行，高能離子從HI-13串列加速器中射出至目標樣品FPGA上，束斑尺寸30mm×30mm。試驗過程中進行遙控誤碼率（優(yōu)于1×10-6）、測距誤差（統(tǒng)計100次）和遙測功能測試。試驗分多次進行，現(xiàn)抽取幾次主要測試結(jié)果列于表3中。

表3 主要試驗情況表Table3 Experiment results

試驗結(jié)果表明：高能離子可引起SRAM-FPGA單粒子翻轉(zhuǎn)，導(dǎo)致系統(tǒng)功能錯誤；隨著離子LET值的增加和離子注量的增加，出現(xiàn)功能故障的概率增大。整個試驗過程中，測控單機所采用的抗單粒子翻轉(zhuǎn)措施都能夠發(fā)現(xiàn)錯誤，并通過預(yù)判重載糾正錯誤。目前該技術(shù)手段已經(jīng)應(yīng)用于某型號衛(wèi)星，在軌工作兩年多以來，發(fā)生單粒子翻轉(zhuǎn)問題衛(wèi)星均能自主恢復(fù)，較好地完成了測控任務(wù)。

4 結(jié)束語

SRAM型FPGA應(yīng)用于星載測控設(shè)備中，必須解決單粒子翻轉(zhuǎn)問題。常規(guī)的三模冗余、回讀刷新等方法實現(xiàn)較為復(fù)雜，在功耗、體積較緊張的衛(wèi)星平臺中不宜采用。本文提出的底層刷新+應(yīng)用層預(yù)判重載的抗SEU方法，硬件資源僅需增加一片低功耗（小于0.5W）、小規(guī)模（等效5000門）反熔絲FPGA，易于在微小衛(wèi)星平臺中集成。經(jīng)過高能離子環(huán)境試驗和實際在軌應(yīng)用，表明本設(shè)計能達到較好的抗SEU效果，也可以為其他星載測控設(shè)備內(nèi)SRAM-FPGA抗SEU設(shè)計提供一種解決方案。

[1]馬 寅.航天用SRAM型FPGA抗單粒子翻轉(zhuǎn)設(shè)計[J].航天器環(huán)境工程，2011，28（6）：551～555.Ma Yin.SEU-tolerant Design of Space-based SRAM FPGA[J].Spacecraft Environment Engineering，2011，28（6）：551～555.

[2]Dodd PE，Shaneyfelt M R，F(xiàn)lores R S.Single-Event Upsets and Distributions in Radiation-Hardened CMOSFlip-Flop Logic Chains[J].IEEE Nuclear Science，2011，58（6）：2695～2701.

[3]于慶奎，張大宇，張海明.SRAM FPGA電離輻射效應(yīng)試驗研究[J].航天器環(huán)境工程，2009，26（3）：229～231.Yu Qingkui，Zhang Dayu，Zhang Haiming.Tests on Total Dose Effects and Single Event Effects on SRAM FPGA[J].Spacecraft Environment Engineering，2009，26（3）：229～231.

[4]譚宜濤，楊海鋼，黃 娟.基于關(guān)鍵路徑的三模冗余表決器插入算法[J].電子信息學(xué)報，2012，34（2）：487～492.Tan Yitao，Yang Haigang，Huang Juan.Voter Insertion Algorithm Based Critical Path for Triple Module Redundancy[J].Journal of Electronics&Information Technology，2012，34（2）：487～492.

[5]丁朋程.基于SRAM型FPGA的抗單粒子效應(yīng)容錯技術(shù)的研究[D].蘭州：西北師范大學(xué)，2013.Ding Pengcheng.Research on Fault-Tolerance Techniques against Single Event Effects for SRAM-Based FPGAs[D].Lanzhou：Northwest Normal University，2013.

[6]宋凝芳，朱明達，潘 雄.SRAM型FPGA單粒子效應(yīng)實驗研究[J].宇航學(xué)報，2012，33（6）：836～842.Song Ningfang，Zhu Mingda，Pan Xiong.Research on Testing Single Event Upset for SRAM-based FPGA[J].Journal of Astronautics，2012，33（6）：836～842.

[7]趙 樂，王子歐，張立軍.α粒子注入對SRAM存儲單元的影響研究[J].微電子學(xué)，2011，41（3）：451～473.Zhao Yue，Wang Ziou，Zhang Lijun.Study on αParticles in SRAM Based Memory[J].Microelectronics，2011，41（3）：451～473.

[8]邱金娟，徐宏杰，潘 雄.SRAM型FPGA單粒子翻轉(zhuǎn)測試及加固技術(shù)研究[J].光電與控制，2011，18（8）：84～88.Qiu Jinjuan，Xu Hongjie，Pan Xiong.Study on Testing and Harden Technique of Single Event Upset for SRAM-based FPGA[J].Electronic Optics&Control，2011，18（8）：84～88.

[9]Carl Carmichael，Chen Wei Tseng.Correcting Single-Event Upsets in Virtex-4 FPGA Configuration Memory[EB/OL].California：Xilinx，（2009-10-05） [2015-12-20].http：//www.xilinx.com/support/docmentation/application_notes/xapp1088.pdf.

[10]Xiaoxuan S，Samudrala P K.Selective Triple Modular Redundancy for Single Event Upset Mitigation[J].IEEE Adaptive Hardware and Systems，2009，10（18）：344～350.

[11]Qian Z，Ichinomiya Y，Amagasaki M，Iida M，Sueyoshi T.A Novel Soft Error Detection and Correction Circuit for Embedded Reconfigurable Systems[J].IEEE Embedded Systems Letters，2011，3（3）：89～92.