9种抗单粒子翻转的方法

        航天器电子系统单粒子翻转防护设计的目标主要有两个，一是确保在发生单粒子翻转时不影响航天器的主要业务，确保航天器业务的连续性；二是确保在发生单粒子翻转时不影响航天器的安全，确保航天器姿态、能源、测控信道等稳定可靠。通过强化系统、单机、器件等全层级的单粒子翻转防护设计，可以提升航天器的抗单粒子翻转能力，降低单粒子翻转对航天器在轨运行的影响。

        下面介绍9种航天器常用的单粒子翻转防护设计方法。

1.元器件选用

        采用宇航级等高等级元器件，可有效降低航天器电子系统受单粒子翻转影响的概率。在单粒子翻转方面，没有经过抗SEU加固的器件，通常具有较低的线性能量传递（LET，linear energy transfer）阈值和较高的在轨翻转率，而经过了SEU加固的器件可具有较高的LET阈值和较低的在轨翻转率。

2.错误检测与纠正

        错误检测与纠正（EDAC，error detection and correction）是抗单粒子翻转的有效技术之一，在航天领域已广泛应用于随机存取存储器（RAM，random-access memory）、带电可擦可编程只读存储器（EEPROM，electrically erasable programmable read-only memory）的抗单粒子翻转防护设计。对于以上常用的RAM、EEPROM等存储器，同时在不同区域发生多bit翻转的概率非常低，因此可以利用EDAC的方法来对1 bit翻转错误进行自动检测与纠正。

        采用EDAC的方法的主要目的是容忍单粒子翻转的发生，通过采用错误检测并予以纠错的方式避免单粒子翻转错误对系统性能造成更大的影响。可用于EDAC方法的纠错码比较多，常用的纠错码主要有汉明码、卷积码以及R-S（Reed-Solomon）码等，不同的纠错码方式各具特点，需要针对实际应用场景选择适合的编码方式。

3.冗余设计

        冗余设计也是抗单粒子翻转的有效技术之一，在航天领域广泛应用的冗余设计主要是三模冗余设计。三模冗余通过将原有的功能模块扩展为3个一模一样的模块，通过三取二表决器对3个功能模块的输出结果进行表决。因此，即使其中某一模块因为单粒子翻转功能受到影响，也不影响最终结果。三模冗余很大程度上提高了航天器抗单粒子翻转的能力，但是逻辑资源会增加3倍，因此在FPGA逻辑资源不是很充足的情况下很难实现。

        除了功能模块的三模冗余，其他的三模冗余方式还有关键参数三模冗余、关键寄存器三模冗余等。关键参数三模冗余和关键寄存器三模冗余方法，首先要确定哪些关键参数及关键寄存器被单粒子打翻或被非正常篡改时会触发较为严重的问题，然后针对他们进行三模冗余的设计。对关键参数和关键寄存器进行三模冗余设计时，其资源消耗要比模块级三模余要低很多，更容易在工程中实现。

4.刷新

        刷新（Scrubbing）方法主要有内部刷新和外部刷新。

        内部刷新是利用FPGA的内部配置访问接口对配置数据进行回读刷新。

        外部刷新主要的方法有回读刷新和定时刷新。回读刷新是采用外部刷新芯片对配置数据进行回读与检测。该方法中，SRAM型FPGA的配置文件一般存放在于可编程只读存储器（PROM，programmable read-only memory）中，PROM中的配置文件具有一次固化即无法修改的特性，因此其抗单粒子翻转的能力非常高。利用独立的反熔丝FPGA按一定的频率对配置文件进行回读，并与存放于PROM中的配置文件进行实时比对，如果发现校验数据比对不成功，则自主进行程序的重新加载。该方法也是现阶段航天领域抗单粒子翻转比较主流的一种设计方法。定时刷新则是按照预先设计的时间长度对配置数据进行定期刷新。

5.重构

        重构是指在轨运行过程中因程序中的安全性可靠性设计欠缺，通过地面遥控上注全新的配置文件，来取代原始版本。重构可以灵活解决在轨的一些不可预料的问题，提高软件运行的可靠性，有效降低空间单粒子对航天器电子系统的影响，目前越来越多的航天器开始采用在轨重构的方法来进行软件的升级，提升软件的健壮性。

6.指令复位或重启

        目前绝大多数在轨长加电航天器电子系统均设计有指令复位或重启功能，在轨遇到单粒子翻转事件导致电子系统功能异常时，可以通过地面遥控指令进行复位或重启。

        对重要的长加电产品，星载计算机软件一般会设计自主异常监视功能，若出现异常，可通过星载计算机自主指令复位或重启，用以解决长加电产品在轨单粒子翻转问题，提升系统自主恢复的能力。

7.模拟器件单粒子翻转防护

        单粒子翻转不仅仅出现在逻辑器件中，具有双稳态器件的模拟电路也有可能发生单粒子翻转，如电压比较器。在电压比较器的应用中，比较器的输入端电压差设计的尽可能大，可有效地防止电压比较器产生单粒子翻转。

8.看门狗（WDT，watchdog）复位

        当电子产品因单粒子翻转导致程序跑飞，无法按照预定的时间周期进行喂狗操作时，看门狗芯片发出复位信号使软件能够恢复初始状态重新执行，避免因单粒子翻转造成的软件跑飞而影响整个任务。

9.利用累加和检查存储器内容的正确性

        对固化后的星上程序进行累加和计算，将其作为自测试的判断基准，存储在特定区域内。运行过程中定期进行累加和计算，根据任务情况决定取全累加和或分段累加和，并与所存储的基准值比对，若不等，则由系统进行容错切换管理。这种常用的容错手段，也是对单粒子翻转是否引起程序异常的有效判断方法。

        此外，还可以采用自诊断程序、多重编码、指令重复执行、分支流程作两次以上有效性判别、建立健康和安全模式、地面遥控注入等方式提高系统抗单粒子能力。