单粒子效应对FPGA系统的影响分析

（一）航天器常用FPGA及典型结构

现场可编程门阵列FPGA内部包括可配置逻辑模块、输入/输出模块IOB（Input Output Block）和内部连线等，核心部分是可编程逻辑模块，并且随着技术的发展逐步加入了锁相环、微处理器、查找表等结构。根据FPGA结构的实现原理，FPGA芯片可以分为三种，分别是基于SRAM技术的FPGA、基于Flash/E2PROM技术的FPGA和反熔丝FPGA。在上述三种FPGA中，反熔丝FPGA功耗很低、抗辐射特性良好，非常适合应用于航空航天等有高辐照、高可靠性要求的领域。在星载信号处理平台应用领域，由于对信号处理速度与综合性能的要求很高，越来越多地采用了高密度的SRAM型FPGA，其中以Xilinx公司的FPGA应用最多。

反熔丝是一次性可编程互联单元，编程后其物理结构较编程前发生改变，编程后的状态无法翻转，因此以反熔丝为编程基础的反熔丝FPGA芯片具有可靠性高、保密性良好、抗辐照特性优良等特点。构成反熔丝FPGA的结构有：逻辑模块LB（Logic Block）、布线资源、I/O模块、时钟网络、控制模块、测试和编程电路、安全/识别验证电路和电荷泵等。

SRAM型FPGA种类繁多，结构不尽相同，但以Xilinx等厂商主导的基于查找表结构的FPGA成为市场的主流，SRAM型FPGA的主要组成为：配置存储器（Configurable Memory）、可编程逻辑单元（Configurable Logic Block，CLB）、可编程输入/输出口（Programmable IOB）、块存储器（BlockRAM）、布线资源（Routing Resource）、乘法器（Multiplier）、数字时钟管理模块（Digital Clock Manager，DCM）、配置状态机（Configuration State Machine，CSM）、上电复位状态机（Power On Reset，POR）等。

Flash型FPGA是近几年才出现的一种新型FPGA，它集成了SRAM型FPGA可在线编程和反熔丝型FPGA非易失性的优点，摒弃了SRAM型FPGA大启动电流和反熔丝FPGA只可一次编程的缺点。但是由于和CMOS工艺的兼容问题等，使得Flash型FPGA的集成密度不高及成本过高，导致其应用范围受到限制，主要应用在航天、医疗等需要高可靠性领域。从底层结构来看，Flash型FPGA与SRAM型FPGA最大的区别在于控制互联等用到的开关。相比于SRAM型FPGA采用的六管SRAM控制传输门作为开关结构，典型的Flash型FPGA使用了一对浮栅晶体管作为开关，其中一个浮栅晶体管用来写入和读出信息，另一个浮栅晶体管用作开关，大大节省了芯片面积。

（二）FPGA单粒子效应故障表现形式

FPGA的单粒子效应故障模式可以归为四大类：①由配置存储器、用户存储器/触发器发生单粒子翻转引起的故障；②由上电复位状态机、配置状态机、硬件乘法器等发生单粒子功能中断和单粒子瞬态脉冲引起的故障；③由CMOS工艺FPGA器件中寄生的PNPN结构导致的单粒子锁定故障；④发生在反熔丝结构的单粒子介质击穿（SEDR）。其中，①和②属于单粒子软错误故障，③和④属于单粒子硬错误故障。在各类故障中，单粒子翻转是最主要的表现形式；配置存储器的单粒子翻转在FPGA整个单粒子翻转事件中占90%以上，并且配置存储器的单粒子翻转主要引起布线资源的错误。

（三）FPGA单粒子软错误故障模式

1.SRAM型FPGA单粒子软错误故障

（1）配置存储器SEU引起的故障。

配置存储器SEU并不能直接导致用户逻辑的输出错误，它往往通过配置位影响用户逻辑的描述方式，进而产生错误输出，主要表现形式有：

● 查找表故障。

查找表（Look up Table，LUT）在FPGA设计中主要用于各类函数的生成或者状态机的状态编码，一般是四选一输出逻辑，输出是输入的函数。查找表的内容即输出和输入的函数关系决定于FPGA配置存储器的内容。如果查找表发生了单粒子翻转，函数输出将会出错，同时还将引起后面的逻辑或时序电路的错误。LUT的故障只能通过FPGA的（局部）重配置修复。

● 可配置控制位故障。

FPGA通过可配置控制位（Control bit）对CLB和IOB的配置状态进行控制。控制位故障和LUT故障类似，但是控制位故障影响的范围往往更大。如果这些控制位发生了单粒子翻转，其信号输入极性就会发生变化，可配置控制位的单粒子翻转将严重影响FPGA的功能。

● 开关矩阵和可编程互连点故障。

FPGA的布线资源可以看作是二维的互连网络，由相互独立的开关矩阵（Switch Matrix，SM）和其间的互连线（Line Segments）组成。每一个开关矩阵四周都分布有若干个可编程互连点（Programmable Interconnect Point，PIP），这些PIP按照用户的设计意图，将FPGA内的布线资源连接在一起，完成特定的逻辑功能。开关矩阵存在三种失效模式：开路（Stuck-Open）、短路（Stuck-Closed）和桥接（Bridging）。这三种故障都是由配置存储器的内容发生单粒子翻转引起的。PIP的状态决定了开关矩阵和其他线型资源连接形式，其故障是布线资源错误的重要组成部分。PIP故障将会引起FPGA时序/组合逻辑的输出紊乱，造成后端功能模块布线资源的桥接或者信号传输延迟的变化（开路/短路），是引起FPGA单粒子效应故障的主要原因；PIP短路或桥接还可能引起工作电流的增加和功耗的增大，造成电源的瞬时过载。

● 缓冲器故障。

缓冲器（Buffer）主要存在于互连线和开关矩阵互连的地方，这些缓冲器使得布线资源具有不同的类型：单向、双向互连线，带和不带缓冲的互连线等。缓冲器为FPGA内部用户逻辑中的输入输出信号提供同步缓冲和驱动。缓冲器配置位的单粒子翻转将影响输入或输出信号的时序特性。时序逻辑电路中对信号的缓冲特性比较敏感，缓冲器的故障可能会造成时序电路的紊乱。

● 多路切换器故障。

多路切换器（Multiplexer）是FPGA布线网络的重要组成部分，布线网络中几乎所有的输入输出线都会经过Multiplexer。Multiplexer配置位发生的单粒子翻转将直接影响FPGA的布线网络和数据流向，从而导致FPGA逻辑输出的错误。

（2）单粒子多单元翻转（MCU）引起的故障。

随着晶体管尺寸减小，单粒子多单元翻转（Multiple-Cell Upsets，MCU）和多位翻转（MBU）越来越普遍。图5-6给出的是Xilinx公司几种SRAM型FPGA的MCU发生次数占FPGA全部单粒子效应的百分比情况。可以看出，MCU发生比例随着LET值的增加而增大。Kintex-7系列发生MCU的LET阈值很低。尽管MCU发生概率要低于SEU，但是大多数单粒子效应防护措施是针对SEU开展的，例如针对SEU的三模冗余技术，对MCU几乎没有效果。针对MCU的加固技术很复杂，而且成本很高。广泛使用的方法是最小化MCU传播到校验节点的机会。通常是在配置存储器和块存储器之间交叉使用。从图5-6可以看出Kintex-7系列在高LET值区域，MBU效应比老一代的技术表现得更好，主要原因是交叉技术的使用。

图5-6　MCU发生次数占FPGA全部单粒子效应的百分比

（Xilinx公司几种SRAM型FPGA）

（3）SET故障。

时序和组合电路以及时钟的单粒子瞬态脉冲（SET）将会在数据传输链路上产生短时间的干扰脉冲，造成数据的抖动或者触发器的误触发，最终造成输出数据的错误，如图5-7所示。

图5-7　时序和组合逻辑电路的SET故障

SET对高速信号处理模块的影响更加严重，是单粒子效应对FPGA逻辑功能的主要危害之一。

（4）SEFI引起的故障。

FPGA中的上电复位电路（Power on Reset，POR）、JTAG配置接口、electMAP接口，受高通量的高能粒子轰击后会产生单粒子功能中断SEFI。POR的SEFI将会导致FPGA内部的存储单元复位，用户逻辑电路状态丢失，使整个FPGA恢复到上电复位状态。JTAG配置接口发生功能中断时，通过JTAG接口对FPGA配置存储器的读写功能可能失效，此时如果对配置存储器进行回读操作，就会得到一个常值。SelectMAP是FPGA并行配置接口，发生SEFI时外部控制器将不能从该接口获得正确数据，甚至造成配置状态机中控制寄存器的错误而无法写入数据。星载FPGA在轨运行时，由于SEFI截面较小（每个器件约为10-6 cm2），极少出现SEFI，但是由于其影响极大，在设计过程中仍需充分考虑SEFI的影响。

2.反熔丝型FPGA单粒子软错误故障

应用于FPGA中的反熔丝主要有两种，即氧-氮-氧（Oxide-Nitride-Oxide，ONO）技术反熔丝和金属-金属（Metal to Metal，MTM）反熔丝。其中，MTM反熔丝是应用最广泛的一种反熔丝。反熔丝型FPGA与SRAM型FPGA最大的差别在于编程方式上，反熔丝型FPGA是靠在反熔丝开关的两端加较高的编程电压（一般为7～20 V）产生电流来永久性改变反熔丝的电阻没达到连线导通的目的。

反熔丝器件FPGA相比SRAM型FPGA，不存在SRAM型的配置存储器，器件的配置由反熔丝型一次编程开关决定，不存在配置位翻转。反熔丝的SEE也可以分为两类：一是片上存储器（可以被配置为SRAM或者FIFO）由于SEU造成的存储器故障，二是由于SET扰动以及逻辑电路中寄存器翻转造成的逻辑故障。

AX2000是Actel公司推出的Axcelerator系列反熔丝FPGA，是SX-A架构的扩展，是高性能、高速度系列FPGA，其最大容量为200万等效系统门。Axcelerator系列采用AX架构，提供诸如寄存器、嵌入式RAM（BlockRAM）、时钟锁相环、可分割时钟区域、芯片级高速路由和高速I/O等。

重离子单粒子效应试验结果表明，AX2000内部寄存器资源在LET值为4.4 MeV·cm2/mg时，开始出现翻转错误，随着LET值增高（达到42 MeV·cm2/mg），寄存器资源翻转错误增多。根据原始数据拟合出的单粒子翻转横截面曲线如图5-8所示。测试BlockRAM资源时，发现在5种不同LET值（0.46～42 MeV·cm2/mg）辐照试验过程中，测量数据始终正常，没有发生翻转错误，说明采用的EDAC和数据刷新设计起到了一定的抗单粒子翻转作用。

图5-8　AX2000寄存器单粒子翻转横截面曲线(www.xing528.com)

RTAX2000S是Actel公司在AX系列的基础上推出的一款抗辐射器件，此款与AX系列的最大不同是，内部结构中增加了抗辐加固的设计，主要针对单粒子敏感资源，即寄存器和BlockRAM资源，在重离子束下测试器件RTAX2000S的寄存器和嵌入式存储器资源的单粒子试验。图5-9给出的是寄存器单元与BlockRAM的加固设计后单粒子翻转效应横截面曲线图。

图5-9　寄存器单元与BlockRAM的加固设计后单粒子翻转效应横截面曲线

试验结果表明针对寄存器的三模冗余和针对BlockRAM的EDAC和后台刷新设计，可以有效减少芯片单粒子翻转错误。

3.Flash型FPGA单粒子软错误故障

Flash型FPGA和SRAM型FPGA、反熔丝FPGA一样，也是基于CMOS工艺制造，同时芯片内也集成了SRAM、触发器等结构，具有这些结构普遍存在的SET、SEU、SEL等单粒子效应，在芯片关键节点被高能粒子击中时，也可能发生SEFI。由于遍布整个FPGA芯片的布线资源中大量采用了浮栅晶体管作为开关，有别于前面两种FPGA采用的SRAM和反熔丝结构，Flash型FPGA在高能粒子的辐射下表现出不同于SRAM型FPGA和反熔丝FPGA的特点。由于Flash型FPGA出现得较晚，在宇航领域应用得较少。

Microsemi公司Flash型FPGA具有高性能、低功耗、低成本和固件错误免疫等优点，应用于多颗卫星和航天器中。采用130 nm工艺的ProASIC3系列的A3P250和A3P1000，逻辑容量最大300万门，504 Kbit双端口SRAM，616个用户I/O口。主要包括以下几部分：输入/输出端（I/O端）、可编程逻辑资源（VersaTile）、存储单元（RAM Block）、FlashROM和时钟调节电路（Clock Conditioning Circuits，CCC）。其中，VersaTile是该类型FPGA的核心单元，在FPGA中的分布最广；RAM Block是对单粒子效应敏感的单元，极易发生单粒子翻转。

美国空军研究实验室（the Air Force Research Laboratory）对ProASIC3系列（A3P250和A3P1000）FPGA的单粒子效应开展了详细研究。为了测试VersaTile单粒子效应设计了三种测试方案：①带有移位寄存器SR的非加固测试方案（D1）；②三模冗余设计的SR，使用单个全局时钟、表决器与I/O端口进行三模冗余设计（D2）；③三模冗余设计的SR，全局时钟、表决器与I/O端口进行三模冗余设计（D3）。这三种测试设计方案框图如图5-10所示。

图5-10　ProASIC3系列单粒子效应测试方案

图5-11、图5-12给出的测试结果表明，随着加固措施等级的提升，SEE截面逐渐减小。在D3设计中，FPGA的所有资源都进行了三模冗余设计，其SEU都来源于I/O端口的SET。因此，为了获得完整的SEE免疫能力，所有三模I/O端口必须被隔离在三个不同的I/O区块。

图5-11　单粒子效应测试结果（一）

图5-12　单粒子效应测试结果（二）

ProASIC3系列（A3P250 and A3P1000）器件在其南北侧嵌入了SRAM存储模块。图5-12给出的是SRAM的SEU截面，饱和截面近似的4.22×10-8 cm2/bit。结果表明嵌入式SRAM的单粒子翻转截面与器件时钟频率无关，表明在其周边组合逻辑电路发生的大多数SET效应被过滤，从而没有对SRAM的单粒子翻转造成影响，只有发生在SRAM的SEU事件被记录。同样也没有观测到SRAM的MBU事件。

RTG4系列是Microsemi公司的第4代Flash型FPGA。与前一代使用的VersaTile逻辑单元的ProASIC系列FPGA不同，RTG4系列使用4输入LUT。触发器利用三模冗余TMR进行单粒子翻转加固，并且集成了优化的SET过滤器。BRAM存储器内建了EDAC校验纠错功能和SET过滤功能。RTG4包含了大量的逻辑、存储和数学资源，还有PLL和高速接口用于复杂应用场景。利用Flash技术的优点，RTG4包含了374 Kbit的非易失Flash存储单元，可以用于RAM和嵌入式IP的供电开关。从表5-5可以看出，Microsemi公司的RTG4系列FPGA具有极低的翻转率，在GEO轨道的翻转率达到10-12/（bit·day）。

（四）FPGA的单粒子硬错误故障模式

1.SRAM型FPGA单粒子硬错误故障

空间等级的FPGA一般不会出现SEL现象，因为抗SEL功能是器件设计与制造必须加以考虑的问题。然而，商业级FPGA会出现辐射诱发的SEL效应，并且SEL效应的出现与FPGA阵列规模并没有直接的关系。例如，Xilinx Virtex-Ⅱ系列FPGA会出现SEL效应，这一现象是与器件的半闩锁（halflatches）有关，在Virtex-5系列中这一现象得以解决，SEL问题似乎得到了解决。然而，这一现象又在Virtex-7系列FPGA的辅助电源轨中出现，而在随后发布的Ultrascale系列FPGA中并没有观测到闩锁现象。又有研究者在Ultrascale+系列中观测到类似SEL的现象，这一结果还有待于进一步研究验证；而最近的单粒子试验并没有发现Ultrascale+存在SEL现象。Altera（现在属于Intel公司）的SRAM型FPGA过去一直属于SEL敏感器件，但是最新型的FPGA产品对SEL免疫。总之，SEL免疫是FPGA空间应用的基本要求，必须对所采用的FPGA开展测试评估，以确定采用特定技术的FPGA是否对SEL免疫。

表5-5给出的是主要抗辐射FPGA器件生产商及其抗辐射指标。

表5-5　主要抗辐射FPGA器件生产商及其抗辐射指标

2.反熔丝型FPGA单粒子硬错误故障

由于占FPGA资源比例相当大的布线资源在反熔丝型FPGA和SRAM型FPGA中有本质区别，反熔丝FPGA在高能粒子辐照下也具有不同于SRAM型FPGA的特点，主要表现为单粒子介质击穿SEDR（Single Event Dielectric Rupture），这是一种硬损伤，即使断电重启也不能克服，这也是SEE对该型器件最严重的影响，所幸的是发生该类错误的概率极小。

当编程完的反熔丝FPGA工作在正常电压时，未编程的反熔丝两端有可能存在一相当于电源电压的偏压。反熔丝厚度通常为8～9 nm，当电源电压为5.5 V时，反熔丝中的电场强度约为6 MV/cm。这是一个相当强的电场，但还不至于对反熔丝造成影响。这时若有一高能粒子恰好击中存在偏压的反熔丝，在高能粒子经过反熔丝材料的径迹周围产生电荷，电荷在强电场的作用下被加速，有可能产生以下问题：

（a）使电流小幅度增大。

（b）暂时性的电平跳变边沿变缓，导致电路时序性能劣化。

（c）电荷在强电场的作用下产生雪崩效应，使反熔丝层击穿，形成较低的导通电阻。

其中（a）和（b）对电路的影响是暂时性的，（c）是一种硬损伤，即单粒子介质击穿（SEDR），机理类似于功率MOSFET在单粒子作用下的单粒子栅击穿（SEGR）。SEDR对反熔丝FPGA芯片能否造成影响以及造成多大影响取决于反熔丝开关在电路中所处的位置。若反熔丝开关所处的位置和下载到FPGA芯片中的电路无关联或者反熔丝开关的通断对电路的功能无影响，则该SEDR对反熔丝FPGA芯片的正常工作无影响；若发生SEDR的反熔丝开关位于电路的关键部位，则有可能使芯片完全丧失功能。

反熔丝FPGA芯片完成编程后，被熔通的反熔丝开关只占整个芯片反熔丝开关中的极小一部分，也就意味着很大一部分反熔丝开关面临着SEDR风险。由于以往的应用以及试验都证明反熔丝FPGA发生SEDR的概率极低，其在辐射环境中的可靠性还是明显好于SRAM型FPGA。

3.Flash型FPGA单粒子硬错误故障

从表5-5中可以看出，Microsemi公司的RTG4系列FPGA锁定阈值达到了103 MeV·cm2/mg，在空间应用可以认为无锁定发生。