姜昱光 韩建伟 朱 翔 蔡明辉

(中国科学院 空间科学与应用研究中心，北京100190)

由于SRAM(Static Random Access Memory)型FPGA(Field Programmable Gate Array)相对于传统的ASICs设计周期较短，成本更低，尤其是其可编程性使卫星在轨编程成为可能，因而其在空间电子设备中的应用越来越广泛.但该器件的配置存储位对空间中的单粒子效应较为敏感，单粒子翻转会影响可编程逻辑和布线资源，威胁整个芯片的正常工作甚至可能导致用户的电路出现功能故障，因此研究FPGA的单粒子效应具有十分重要的意义.

对于基于SRAM的FPGA，其单粒子效应、单粒子效应加固方法，以及应用重离子加速器进行器件功能故障分析在国外已经有比较成熟的研究结果[1－4]，国内对 SRAM 型 FPGA 的单粒子效应方面进行一些初步的研究，主要分析翻转阈值和翻转截面[5－7]、单粒子功能中断效应和单粒子锁定效应[8]，其中文献[8]进行单粒子效应的防护加固设计，并应用仿真和重离子加速器方法开展验证实验[9－13].面对单粒子效应可能造成的功能故障，迫切需要对其加固防护设计并进行有效的测试评估，本文应用脉冲激光和重离子实验方法，对采取三模冗余(TMR，Triple Modular Redundancy)和动态刷新技术加固的Virtex-Ⅱ器件的功能故障展开实验研究.

1 实验设计

1.1 测试芯片

脉冲激光和重离子实验测试器件分别为倒装芯片Xilinx XC2V1000FF896和塑料焊球阵列封装(plastic ball grid array package)芯片XC2V1000 FG456(见图1)，两款芯片内部资源完全一致，区别主要在于芯片封装形式，其中倒装芯片适合脉冲激光背部辐照实验，正常封装芯片适合重离子正面辐照实验.芯片工艺尺寸为0.15 μm，金属布线为8层，主要包含32列CLB(Configurable Logic Block)，4列 BRAM(Block SelectRAM)和 BRAM内联，共1104帧，配置位达374万.

图1 实验芯片Fig.1 Experimental devices

1.2 实验装置

Virtex-ⅡFPGA单粒子效应加固方法实验分别在皮秒脉冲激光试验装置、中国原子能科学研究院串列静电加速器(HI-13)以及北大串列加速器(EN-6)上进行(见图2).皮秒脉冲激光波长为1064nm、脉冲宽度为25 ps，重复频率最高为10kHz.脉冲激光能量连续可调，激光到达芯片表面的能量可达几百纳焦.由于激光波长为1064nm，激光在芯片的Si衬底穿透深度可以到达1000 μm左右，应用背部辐照技术可以穿透绝大部分芯片的硅衬底触发单粒子效应.脉冲激光试验装置配有高精度的三位移动平台，可以实现准确的测试芯片定位.重离子实验的C离子和F离子在北大重离子加速器进行，Ti离子在串列静电加速器HI-13进行.重离子实验的重离子种类、入射角度、在硅中的线性沉积能量以及穿透深度如表1所示.

图2 重离子加速器束流终端与测试板Fig.2 Experimental set-up for SEE testing with heavy ions

表1 实验重离子种类以及LET值Table 1 Energies and species for heavy ions testing

1.3 测试程序以及加固方法

测试器件Virtex-Ⅱ配置程序为数据加密算法(DES，Data Encryption Standard)，该程序占用芯片资源情况:触发器434个(为总数的4%)，4输入查找表546个(为总数的5%).三模冗余DES程序后占用芯片资源情况:slice触发器1 343个(为总数的13%)，4输入查找表2059个(为总数的20%).对比表明三模冗余后，触发器和查找表的资源占用率分别增加至原来的309.45%和377.11%.

实验中分别应用脉冲激光和重离子辐照4种情况下的芯片:①未采用任何加固方法;②应用三模冗余加固方法;③应用动态刷新加固方法;④同时应用三模冗余和动态刷新.其中三模冗余[14－15]加固方法是指在FPGA中，通过使用3份相同的功能模块，使其同步执行相同的任务功能，然后通过表决模块将这3份的输出结果进行对比.动态刷新功能可以在不破坏FPGA正常功能的情况下修复其配置存储位中的单粒子翻转错误.动态刷新加固方法可以校正FPGA发生翻转的存储位，实验时对FPGA整个CLB列进行刷新，刷新频率为3.125 MHz.

1.4 实验方法

将芯片连续运行加密算法并实时监控运算结果，分别应用重离子或脉冲激光辐照测试芯片，若加密算法输出错误的结果，定义为一次功能错误.当器件发生功能错误时，通过SelectMAP端口重新配置芯片，使器件功能恢复正常.

当测试FPGA为刷新单粒子效应消减方法的DES程序，应用脉冲激光或者重离子辐照芯片，通过测试板检验程序功能是否正常，然后无论是否发生功能错误都重新配置整个FPGA.对于没有任何加固方法，单独应用三模冗余加固以及同时应用三模冗余和刷新的DES程序单粒子效应消减方法实验，应用脉冲激光或者重离子辐照芯片，通过测试板检验程序功能是否正常，当程序功能出错则通过SelectMAP端口重新配置芯片恢复程序正常功能，如果程序功能正常则不重新配置芯片，发生翻转的存储位将累计到下一个测试周期.值得注意的是对于重离子动态刷新加固方法，在整个实验过程中重离子束流持续辐照，在器件发生功能错误通过重新配置恢复程序正常功能过程中，重离子束流不停止;由于脉冲激光具有时序可控性，激光注入时序与功能错误测试电路的工作时序具有一定匹配关系，实验时先应用脉冲激光辐照芯片并对程序功能验证，然后再刷新整个芯片.

2 实验结果和讨论

2.1 重离子实验结果

图3给出FPGA加固方法的加速器实验结果.

图3 重离子验证不同加固方法Fig.3 Test results of each method with heavy ions

HI-13加速器与EN-6加速器实验结果表明，单独应用三模冗余或刷新加固方法可以一定程度上校正由单粒子效应引起的器件功能错误，同时应用两种加固方法能够进一步降低单粒子效应产生的功能错误.

在HI-13串列加速器实验中，重离子以1300 cm－2/s束流强度辐照芯片，当 DES程序未采用任何加固方法时，在重离子辐照下，每次程序均出现功能错误;应用刷新加固方法可以校正发生翻转的存储位，避免存储位的累积造成功能错误，由于束流强度较大以及束流注入时序不可控性，刷新功能起作用之前发生翻转的存储位可能已经破坏程序的功能;应用三模冗余加固方法，当发生翻转的存储位未破坏三模冗余功能时，可以很好地起到加固作用，但在实验束流条件下，产生的翻转位会破坏三模冗余功能，从而产生功能错误;同时应用三模冗余和刷新加固方法，可以提高单粒子效应加固效果，但是实验的重离子束流情况下仍然可以破坏加固方法，这主要由于刷新加固方法起作用之前，重离子产生的翻转存储位已破坏三模冗余的功能，则仍存在功能错误.

在单粒子效应加固方法重离子实验中，刷新加固方法的有效性主要与刷新的频率以及重离子束流强度有关.重离子束流强度越低，单位时间内产生翻转存储位数目越少;刷新的频率越高，单位时间内累计的翻转存储位数目越少.当刷新频率较高且束流强度较低时，刷新加固方法的效果明显.北大加速器的F离子相对于串列加速器的Ti离子的刷新加固方法的效果并不明显(见图3b)，主要因为北大加速器束流较大，在刷新加固方法起作用之前重离子产生的翻转就已经破坏芯片的功能.

2.2 脉冲激光实验结果

脉冲激光辐照得到的实验结果如图4所示.

图4 应用脉冲激光验证不同加固方法Fig.4 Test results of each method with pulsed laser

脉冲激光实验结果表明，三模冗余和动态刷新加固方法都有一定的加固单粒子翻转效应的功能，同时应用刷新和三模冗余加固方法可以完全校正单粒子翻转造成的功能错误，联合应用刷新和三模冗余是一种有效的单粒子效应加固方法.

脉冲激光的低束流强度以及时序的可控性有利于单粒子效应加固方法的验证.当单独应用刷新加固方法时，先用单脉冲激光辐照芯片并运行程序，然后再对芯片进行刷新.由于单个脉冲激光触发存储位翻转有可能影响程序功能并造成功能错误，所以实验中观察到功能错误出现.同时应用刷新和三模冗余单粒子效应加固方法时，单个脉冲激光造成的存储位翻转不足以破坏三模冗余加固的DES程序，同时刷新方法能够纠正发生翻转的存储位防止其累计破坏三模冗余功能，所以没有发现功能错误.

值得注意的是脉冲激光实验结果表明，刷新和三模冗余加固方法同时应用时，可以完全消除功能错误.这主要是由于在验证程序功能时，脉冲激光和重离子的辐照到芯片上的束流不同.地面重离子加速器实验通常是加速实验，束流强度很大(每秒几百个至几千个粒子)，而脉冲激光辐照芯片的束流可以自由准确地控制，实验中脉冲激光的束流强度为1 cm－2/s，这种束流强度更接近真实空间辐射环境中的重离子辐照在芯片上的情况.在束流强度较小空间辐射环境中，同时应用三模冗余和刷新加固方法可以完全消除单粒子翻转造成的功能错误.

2.3 FPGA功能错误截面

图5为不同加固方法DES程序的功能错误截面.

图5 Virtex-Ⅱ FPGA功能翻转截面Fig.5 Cross-section of functional errors for Virtex-ⅡFPGA

实验表明，未加固的DES程序翻转截面最高;同时应用三模冗余和刷新加固方法的翻转截面最低.

根据功能错误截面可以得到存储位翻转情况，计算表明存储位翻转对器件功能错误的影响较大.对于未加固的DES程序，平均77个存储位发生翻转就会导致程序的功能故障，表明程序功能错误对器件存储位翻转敏感，少量的存储位翻转就可以造成程序功能的破坏.

2.4 Virtex-Ⅱ在轨功能错误率

通过中科院空间中心的空间环境特殊效应分析软件计算Virtex-Ⅱ FPGA在近地轨道、极地轨道、GPS(Global Positioning System)轨道以及GEO(Geostationary Orbit)轨道的单粒子翻转率，并分析应用不同加固方法的DES程序在各种轨道上的故障率(见表 2).其中卫星屏蔽厚度为2.54 mm，空间辐射环境取太阳活动高年.

表2 Virtex-Ⅱ在不同轨道功能错误率Table 2 Functional error rates for Virtex-ⅡFPGA d/次

分析结果表明，对于不同的卫星轨道，造成器件发生翻转的主要来源有所不同，在近地轨道，翻转主要来源于辐射带质子，极地轨道主要是辐射带质子和银河宇宙线重离子，GPS轨道主要是银河宇宙线重离子，GEO轨道主要是银河宇宙线重离子.

在太阳活动高年的情况下，极地轨道器件功能故障率是最高的.在应用三模冗余加固的情况下平均132d会产生77个存储位翻转而造成程序功能错误，所以动态刷新的频率为4 h一次(刷新频率设定的标准是存储位翻转率的10倍).对于实验分析4种卫星轨道，同时应用动态刷新和三模冗余单粒子效应加固方法，可以完全校正由于存储位翻转造成的功能错误.

3 结论

1)脉冲激光可以进行三模冗余和动态刷新单粒子效应加固方法的评估;

2)SRAM型FPGA程序功能错误对器件存储位翻转敏感，当芯片存储位发生翻转易造成程序功能的破坏;

3)三模冗余和动态刷新加固方法的联合应用可以完全校正存储位翻转引起的功能故障，能够满足空间辐射环境下的应用要求.

References)

[1]Yui C，Swift G，Carmichael C.Single event upset susceptibility testing of the Xilinx Virtex-Ⅱ FPGA[C]//Katz R B.Military and Aerospace Applications of Programmable Device and Technologies Conference(MAPLD).Washington:Kossiakoff Conference Center，2002:212 －217

[2]Yui C C，Swift G M，Carmichael C，et al.SEU mitigation testing of Xilinx Virtex-II FPGAs[C]//Radiation Effects Data Workshop.Piscataway，NJ:IEEE，2003:92 －97

[3]Sterpone L，Violante M.Analysis of the robustness of the TMR architecture in SRAM-based FPGAs[J].IEEE Transactions on Nuclear Science，2005，52(5):1545 －1549

[4]Velazco R，Foucard G，Peronnard P.Combining results of accelerated radiation tests and fault injections to predict the error rate of an application implemented in SRAM-based FPGAs[J].IEEE Transactions on Nuclear Science，2010，57(6):3500 －3505

[5]宋凝芳，朱明达，潘雄.SRAM型FPGA单粒子效应试验研究[J].宇航学报，2012，33(6):836 －842

Song Ningfang，Zhu Mingda，Pan Xiong.Experimental study of single event effects in SRAM-based FPGA[J].Journal of Astronautics，2012，33(6):836 －842(in Chinese)

[6]张宇宁，张小林，杨根庆，等.商用FPGA器件的单粒子效应模拟实验研究[J].宇航学报，2009，30(5):1000 －1328

Zhang Yuning，Zhang Xiaolin，Yang Genqing，et al.Simulation experiment of single event effect in commerical FPGA [J].Journal of Astronautics，2009，30(5):1000 －1328(in Chinese)

[7]王忠明，姚志斌，郭红霞，等.SRAM型 FPGA的静态与动态单粒子效应试验[J].原子能科学技术，2011，45(12):1506－1510

Wang Zhongming，Yao Zhibin，Guo Hongxia，et al.Static and dynamic tests of single-event effect in SRAM-based FPGA[J].A-tomic Energy Science and Technology，2011，45(12):1506 －1510(in Chinese)

[8]范雪，李平，李威，等.252Cf源和重离子加速器对FPGA的单粒子效应[J].强激光与粒子束，2011，23(8):2229 －2232

Fan Xue，Li Ping，Li Wei，et al.Single event effects on FPGA of californium-252 and heavy-ion accelerator[J].High Power Laser and Particle Beams，2011，23(8):2229 －2232(in Chinese)

[9]周永彬，邢克飞，王跃科，等.辐射易敏SRAM型FPGA在导航卫星中的实用性实验研究[J].中国科学:物理学·力学·天文学，2010，40(5):541 －545

Zhou Yongbin，Xing Kefei，Wang Yueke，et al.Experimental study on the suitability of using SRAM based FPGAs in navigation satellite[J].Scientia Sinica Phys，Mech ＆ Astron，2010，40(5):541－545(in Chinese)

[10]顾义坤，倪风雷，刘宏.Xilinx FPGA自主配置管理容错设计研究[J].宇航学报，2012，33(10):1519－1527

Gu Yikun，Ni Fenglei，Liu Hong.Fault-tolerance design of Xilinx FPGA with self-hosting configuration management[J]Journal of Astronautics.2012，33(10):1519 － 1527(in Chinese)

[11]黄锦杰，孙鹏，沈鸣杰，等.基于 TMR的FPGA单粒子加固试验探究[J].复旦学报:自然科学版，2011，50(4):477－484

Huang Jinjie，Sun Peng，Shen Mingjie，et al.Test and inquiry of FPGA SEU-hardening by TMR[J].Journal of Fudan University:Natural Science，2011，50(4):477 －484(in Chinese)

[12]李志刚，张彧，潘长勇，等.抗单粒子翻转的可重构卫星通信系统[J].宇航学报，2009，30(5):1752 －1756

Li Zhigang，Zhang Yu，Pan Changyong，et al.A new SEU tolerant satellite dynamically-reconfigurable system based on SDR[J].Journal of Astronautics，2009，30(5):1752 － 1756(in Chinese)

[13]Xing K F，Yang J W，Zhang C S，et al.Single event upset induced multi-block error and its mitigation strategy for SRAM-based FPGA[J].Science China Technological Sciences，2011，54(10):2657－2664

[14]Carmichael C.Triple module redundancy design techniques for Virtex FPGAs[R].Xilinx Application Note XAPP197，2001

[15]Sterpone L，Violante M.Analysis of the robustness of the TMR architecture in SRAM-based FPGAs[J].Nuclear Science，IEEE Transactions on，2005，52(5):1545 －1549