FPGA 抗辐射与 SEU 深解
更新时间：2026-10-01。这一篇是 FPGA 抗辐射与 SEU 基础篇 的进阶版。地面调试时 FPGA 几乎从不「自己改错自己」，但在卫星、深空探测器、高空航电里，配置存储器被辐射粒子打翻转是必须按概率设计的常规事件。本篇把辐射环境、效应分类、故障率量化和加固手段的组合逻辑讲完整。
本文要回答的问题
- 空间里到底是什么粒子在打芯片，SEU、SET、SEFI、SEL 的后果差在哪？
- SRAM FPGA 翻转的是「配置」还是「数据」，为什么配置翻转严重得多？
- FIT 和 MTBF 怎么算，配置位为什么占了软错误的绝大多数？
- TMR 和 scrubbing 各自解决什么问题，为什么通常必须一起用？
- 抗辐照 FPGA 有哪些真实器件可选，成本、性能、可靠性怎么权衡？
一、辐射环境：粒子从哪里来
空间辐射不是单一来源，三类粒子对 FPGA 最关键：
| 粒子来源 | 典型环境 | 主要效应 | 工程关注点 |
|---|---|---|---|
| 俘获带高能质子/电子 | 南大西洋异常区、范艾伦带 | 质子引发 SEU/SET | 低轨卫星过顶频次 |
| 银河宇宙射线重离子 | 深空、极地轨道 | 直接电离，SEU/SEL | 屏蔽基本无效 |
| 太阳高能粒子事件 | 太阳风暴期间 | 瞬时通量暴增数个量级 | 任务期概率预算 |
| 大气中子 | 民航高度、高山基站 | 次级中子引发 SEU | 航电与高海拔地面设备 |
两个反直觉的事实先立住：第一，常规铝屏蔽挡得住低能粒子，却挡不住高能重离子和中子，后者甚至会在屏蔽层里撞出更多次级粒子；第二，地面并非零风险——大气中子随海拔升高而增加，民航巡航高度的中子通量约为海平面的数百倍，所以现代航电对 FPGA 抗辐射与 SEU 同样有要求，只是量级与空间不同。
这张因果链是全篇的物理主线：粒子不是「烧坏」管子，而是沿径迹电离出一股瞬态电荷，被某个敏感节点收集后改变电平。后续所有效应分类，区别只在电荷被哪一类电路收集、后果是否可逆。
二、单粒子效应分类：SEU、SET、SEFI、SEL
| 效应 | 全称 | 作用位置 | 后果 | 可逆性 |
|---|---|---|---|---|
| SEU | 单粒子翻转 | SRAM 位、触发器、寄存器 | 0/1 翻转 | 软错误，重写即恢复 |
| MBU | 多位翻转 | 相邻多个存储位 | 单比特 ECC 失效 | 软错误 |
| SET | 单粒子瞬态 | 组合逻辑导线 | 纳秒级毛刺，可能被寄存器捕获 | 瞬态 |
| SEFI | 单粒子功能中断 | 配置控制、上电电路、收发器硬核 | 器件功能模式错乱 | 重配置/复位恢复 |
| SEL | 单粒子闩锁 | CMOS 寄生可控硅 | 电源到地大电流 | 必须断电，可能烧毁 |
对 SRAM FPGA 而言，SEU 的落点要再拆成两类，这是理解一切加固策略的钥匙：
- 用户数据翻转：触发器、BRAM 内容被改。与 ASIC 遇到的软错误同构，影响当前数据。
- 配置位翻转：决定 LUT 真值表、布线开关、I/O 标准的配置 SRAM 被改。翻转后被实现的电路本身变了——一根线断开或短接到别处、一个 LUT 的逻辑函数改掉，且错误持续存在直到重新配置。
配置存储器在现代 SRAM FPGA 中占了片上存储位的绝大部分——用户触发器和 BRAM 只占小头，决定布线和 LUT 的配置位动辄数千万到数亿。因此即使每比特翻转率相同，配置位也贡献了绝大多数软错误，这正是「FPGA 比同工艺 ASIC 更怕辐射」这一说法的量化来源。
三、软错误率：FIT、MTBF 与敏感性预算
工程上不用「会不会翻」这种二元语言，而用统计量：
- FIT（Failure In Time）：每 10^9 器件小时的故障次数。1000 FIT 意味着平均每百万小时约一次故障。
- MTBF：平均无故障时间，等于 1 /（FIT × 10^-9）小时。
- 截面 σ（cross section）：单位粒子注量下器件发生翻转的敏感面积，单位 cm²，由重离子加速器试验测得。
- 注量率 Φ：轨道上单位面积单位时间的粒子数，由辐射环境模型给出。
软错误率的基本算式是 SER = σ × Φ，再按配置位总数、敏感位占比、轨道屏蔽条件积分。关键工程推论有三个：
- 配置位的 FIT 与器件规模正相关——同工艺下更大的 FPGA 配置位更多，不加固时 FIT 更高。
- 轨道决定一切：低轨、地球同步轨道、深空的质子与重离子注量可以差几个数量级，选型和加固强度必须按具体轨道算，不能照搬别的型号。
- 任务时长拉长，累积翻转概率上升。MTBF 只有几十小时的裸 SRAM FPGA 配上快速 scrubbing 后仍可长期工作，因为「翻转」不等于「任务失败」，中间隔着检测与修复时间。
一个常用的直觉算式：若裸配置翻转率为 λ（次/小时），scrubbing 周期为 T，则任意时刻平均挂着未修复翻转约 λT 个，TMR 三个域同时各中一个翻转、且表决失败的概率随暴露时间近似按平方关系下降。这解释了为什么缩短 scrubbing 周期对系统 MTBF 的改善往往是超线性的——刷新快十倍，TMR 被同时打穿的机会大约降两个数量级。反过来，重离子截面 σ 在加速器试验中常表现为随 LET（线性能量传输）上升的 S 形曲线，选型评审看的不是单一数字，而是整条 σ-LET 曲线与任务轨道 LET 谱的卷积。
| 设计变量 | 对 FIT 的影响 | 调节手段 |
|---|---|---|
| 配置位总数 | 越多越高 | 选更小器件、提高利用率 |
| 轨道与屏蔽 | 注量率主导项 | 轨道设计、局部屏蔽 |
| scrubbing 周期 | 越短，翻转暴露窗口越小 | 提高刷新频率 |
| TMR | 把单点翻转从「故障」降为「被掩蔽」 | 全三模 + 表决 |
| ECC | BRAM/配置帧单 bit 翻转可纠 | SEC-DED、帧 ECC |
四、Scrubbing 与读回比对：清除累积的配置翻转
Scrubbing（配置擦洗/刷新）的思路是：配置翻转会累积，那就周期性地把正确配置写回去。它不掩蔽错误，而是缩短错误的存活时间。
实现上分两个层次：盲刷（blind scrubbing）按固定周期无条件重写配置帧，逻辑最简单，不依赖检测；读回比对先读回配置帧，用帧 ECC（多数空间级 FPGA 支持单比特纠、双比特检，即 SEC-DED）定位错误，只重写出错的帧。现代器件还允许不中断用户逻辑的后台刷新，检出错误时结合局部重配置只修一帧，修复时间可以压到毫秒级。
刷新周期的现实约束来自配置端口带宽：一颗大容量器件的配置镜像可达数十至数百 Mb，走 SelectMAP/ICAP 端口全量扫一遍本身需要时间，工程上常见的折中是全量盲刷按小时级巡回，帧 ECC 读回校验穿插进行，关键设计再把配置控制器放进一个反熔丝 CPLD 或独立硬控制器里，避免「负责修翻转的逻辑自己被打翻」的递归问题。Golden 镜像本身要存放在抗辐照存储或带 ECC 的 Flash 中，并防止加载被翻转污染的镜像——镜像完整性校验是刷新链路的一部分。
Scrubbing 的固有盲区必须说清：从翻转发生到被刷新清除之间存在一个暴露窗口，窗口内错误配置产生的错误输出它管不了；如果翻转恰好命中刷新控制器自身或其状态机，还可能造成 SEFI。所以 scrubbing 必须配合下一节的 TMR，以及独立的看门狗。
五、TMR 三模冗余：寄存器级、块级与全局
TMR（Triple Modular Redundancy）把同一份逻辑实现三份，三路输出送多数表决器（voter），任一路出错时三选二仍然正确。它掩蔽的是「当前这一拍的错误」，与 scrubbing 形成互补。
按冗余粒度分三档：
| 粒度 | 做法 | 代价 | 适用 |
|---|---|---|---|
| 寄存器级 TMR | 仅寄存器三模，表决插在反馈路径 | 资源增加较小 | 数据寄存器保护 |
| 块级 TMR | 整个模块三模，块边界表决 | 约 3 倍逻辑 | 局部加固、分域设计 |
| 全局 TMR | 全设计含时钟、复位、IO、内部配置三模 | 约 3 倍资源 + 功耗 | 空间任务主流方案 |
SRAM FPGA 做 TMR 有三个真实的坑。第一，配置位翻转会让三个副本中的连线各自出错，所以三模必须连配置一起冗余（综合工具的 TMR 流程会保证三份布局布线物理分离），不能只复制 RTL。第二，表决器本身是单点，寄存器反馈型 TMR 要在每拍输入处放表决器，时钟树和复位网络也要三分，否则一次 SEFI 打穿全局。第三，三路副本若在布局上靠得太近，一个重离子可能造成 MBU 同时打翻两路——工具要约束三个域物理隔离。工程上通常用厂商或第三方的自动化加固流程，手写三模 RTL 极易漏网，硬化 IP 设计 讲了可复用硬 IP 的做法。
六、ECC、同步设计抗 SET 与系统级故障管理
TMR + scrubbing 覆盖了配置位的主风险，剩余几类问题各有专门手段：
- BRAM/URAM ECC：存储内容天然适合编码，空间级器件内置 SEC-DED，双比特错误上报中断。注意 ECC 只纠数据，不纠逻辑。
- 配置帧 ECC：见上节，是读回定位的基础。
- 汉明码与交织：对 MBU，物理上把逻辑相邻位映射到物理不相邻位置（bit interleaving），让一个粒子打翻的多个物理位落在不同编码组，避免单组出现双 bit 错。
- 同步设计抗 SET：毛刺只有恰好落在触发器的建立/保持窗口内才会被捕获，时钟频率越低、组合路径越短，这个窗口占整周期的比例越小，毛刺被「错过」的概率越高。纯同步设计、避免锁存器、组合路径不过长、输入口加两级同步器或延迟滤波，能让绝大多数 SET 在时间上自然衰减。这也是异步 FPGA 设计在高可靠场景受排斥的原因之一——没有统一时钟沿，SET 可以在任何时刻沿握手链传播，时序假设难以审计。
- 看门狗与安全状态机：独立看门狗监控喂狗，超时触发重配置；状态机要设计成未用状态全部走向安全态（输出安全值、等待恢复），重配置的数百毫秒内系统保持安全姿态，而不是失控输出。
- SEL 防护：板级电流监测是唯一可靠手段——电流越过阈值立即断电再上电，电源裕量和快速断电电路要在硬件层面预留。
七、器件选型：抗辐照 FPGA 与场景权衡
如果预算允许，绕开 SRAM 配置位问题最彻底的办法是换工艺：
| 器件类别 | 配置介质 | 抗配置 SEU | 性能/容量 | 代表器件 |
|---|---|---|---|---|
| 反熔丝 FPGA | 一次可编程反熔丝 | 天然免疫 | 容量小、速度低 | Microsemi RTAX/RTSX 系列 |
| Flash FPGA | Flash 开关 | 配置位免疫，仍需查 SEL | 中等 | ProASIC3 RT 等 |
| 加固 SRAM FPGA | SRAM + 工艺/设计加固 | 配合 TMR+scrubbing | 大容量高性能 | Virtex-5QV、XQRKU060、XQR Versal |
| 商用现货 SRAM | 普通 SRAM | 需全套加固与鉴定 | 最高、最便宜 | 仅低风险/短任务酌情使用 |
选型的实质是三角权衡：反熔丝最稳但资源和性能常常不够现代载荷使用；空间级加固 SRAM 性能够强但器件价格可达商用器件百倍，且仍要做 TMR + scrubbing（加固只降低翻转率，不消除）；商用现货（COTS）最便宜，靠设计加固和详细辐射鉴定也能用于短任务、低轨星座，但 SEL 等破坏性效应必须实测，不能凭工艺节点推断。
这张决策流程图对应真实的型号论证顺序：先由轨道和任务时长给出故障率预算，再让器件方案去满足预算，系统级故障管理对所有方案都是必选项，不存在「选了贵器件就不用看门狗」的豁免。
这一篇在知识体系里的位置
- 上一篇基础概念：FPGA 可靠性 SEU
- 刷新修复所依赖的机制：局部重配置详解
- 加固 IP 的组织方式：硬化 IP 设计
- 量产与质量流程：FPGA 量产与质量
总结
SRAM FPGA 在辐射下的核心风险是配置位 SEU——翻转改变的是电路本身；TMR 掩蔽瞬时和暴露窗口内的错误，scrubbing 清除累积翻转，ECC 管存储、同步设计管 SET、看门狗与电流监测管 SEFI/SEL，按轨道算出 FIT 预算后，再在反熔丝、加固 SRAM 与 COTS 之间做器件选型，任何单一手段都不够，组合起来才构成完整的 FPGA 抗辐射与 SEU 方案。