CN103198868A - 一种用于单粒子翻转的故障模拟系统及分析方法 - Google Patents

Abstract

本发明涉及一种用于大规模集成电路SRAM型FPGA中单粒子翻转的故障模拟系统及分析方法，包括上位计算机和控制板，所述控制板包括故障注入模块、故障检测模块、故障分析模块。本发明提供了一种使用灵活、成本低廉、具有模拟精度高、模拟速度快、对芯片不造成任何物理上的损伤的故障模拟系统及分析方法。

Description

一种用于单粒子翻转的故障模拟系统及分析方法

技术领域

本发明涉及一种单粒子翻转的故障模拟系统及分析方法，尤其涉及一种用于大规模集成电路SRAM型FPGA中单粒子翻转的故障模拟系统及分析方法。

背景技术

单个高能带电粒子入射到半导体器件的灵敏体积内，对电路造成的瞬态扰动或永久性损伤称为单粒子效应。在卫星及航天器上工作的电子学系统处于空间辐射环境中，必须采取适当的加固措施来解决单粒子效应带来的可靠性问题。现场可编程门阵列（FPGA）是一种半定制的数字大规模集成电路，片内包含丰富的可编程逻辑资源及互连资源，用户可以通过编程配置来实现各种数字电路功能，电路的结构和实现何种功能完全由FPGA内部配置存储器中的数据决定。SRAM型FPGA是指采用CMOS工艺的静态随机存储单元（SRAM）作为配置存储器的FPGA，而SRAM是典型的易发生单粒子翻转的双稳态存储结构，因此SRAM型FPGA对单粒子效应极为敏感。

近年来，随着空间通信和计算技术的发展，对集成电路的规模及性能需求不断提高，大规模SRAM型FPGA以其优越的接口性能及设计灵活性逐渐取代传统的逻辑电路，成为星载处理平台的核心电子元器件。在航天工程中应用的SRAM型FPGA必须采取针对单粒子效应的加固措施。

目前在该领域应用的主流加固方法是Xilinx公司在美国专利US7,036,059B1中提出的三模冗余以及配置数据的定时刷新。其中三模冗余是一种容错技术，它是指在FPGA内部实现三个相同的设计模块，并在其输出端进行多数表决，这样可以保证在单一模块中出现的错误不会出现在最终的输出端。而定时刷新是一种纠错技术，是指通过周期性的重新配置来避免单粒子翻转数在时间上的累积。

星载系统的抗单粒子能力及容错技术需要在地面进行验证，采用的验证方法主要有加速器辐照试验和仿真模拟两大类。其中加速器辐照试验方法成本高，周期长，而且严重受加速器束流时间限制，无法满足日益增长的任务需求；而软硬件仿真方法成本低，使用灵活，成为目前颇受欢迎的研究方法。

故障注入是在容错技术验证领域广泛采用的一种仿真方法，这种方法的核心思想是采用人为手段主动向目标系统中引入错误，通过观察输出响应来确定系统的容错性能。目前，在单粒子效应领域出现的故障注入方法主要可以分为硬件故障注入、软件故障注入和仿真故障注入三种。

硬件故障注入是指采用物理手段，特别是对芯片管脚电压的直接操作将故障注入到目标系统的硬件中。专利申请号200610150972.4，名称“一种嵌入式故障注入系统及其方法”介绍了一种硬件故障注入方法，这种方法基于可编程逻辑平台，通过修改目标电路的管脚信号来注入故障，以期在容错计算机研制的各个阶段对系统的设计和实现进行验证。专利申请号201110009648.1，名称“嵌入式星载计算机故障注入系统及其注入方法”中公开了一种用于嵌入式星载计算机操作系统的软件评测的故障注入方法。该方法通过边界扫描链（JTAG）控制FPGA引脚的高低电平，向包含DSP、FPGA、RAM等多芯片组成的嵌入式系统中注入错误，从而观测星载计算机对故障的容错能力，该方法适用于带有边界扫描单元的嵌入式星载计算机。

软件故障注入是指用计算机语言对目标系统进行描述，通过修改抽象出来的目标系统的内存单元或处理器内部寄存器的值来模拟硬件故障的发生。目前国内外存在Fiat、Ferrari、Doctor、Xception、SOBFI等几种软件故障注入系统，这些系统主要用来仿真CPU和内存中的故障，进而研究容错机制对不同故障类型和工作负载情况下的容错能力。软件方法不需要复杂的实验系统，成本较低，控制灵活，可在编译或运行阶段注入故障，但是模拟精度严重依赖故障模型的准确性，模拟速度也较慢，程序运行一次通常需要很长时间。

仿真故障注入方法是指利用某种标准硬件描述语言（HDL）为测试系统建立仿真模型，然后在模型内部插入故障注入单元来实现的故障注入。专利申请号200510111494.1，名称“智能全自动单粒子事件故障注入器”中的方法通过调用HDL仿真工具，改变信号的电平值来实现故障的注入，以便在功能仿真阶段及时了解容错方法的抗单粒子能力。专利申请号200810113439.X，名称“一种验证抗单粒子效应能力的故障注入系统及其方法”中制作了一种故障电路单元库，通过在门级网表中采用故障单元替代原始设计中的库单元来实现单粒子故障的模拟，这种方法主要应用在集成电路设计领域。

发明内容

为了解决背景技术所存在的技术问题，本发明提出了一种SRAM型FPGA中单粒子翻转的故障模拟系统及分析方法，可以用来验证SRAM型FPGA对单粒子翻转的容错能力，提高模拟精度和模拟速度。

本发明的技术解决方案如下：

1.一种单粒子翻转的故障模拟系统，包括上位计算机和控制板，所述控制板包括故障注入模块、故障检测模块、故障分析模块；其特殊之处在于：

上述故障注入模块包括非易失性存储器Flash；

上述故障检测模块包括参照FPGA、逻辑控制FPGA；所述逻辑控制FPGA包括测试向量存储器、频率发生器、比较器；

上述故障分析模块包括下位计算机DSP、CPU外围存储器；

上述上位计算机与下位计算机DSP之间通过RS422协议进行通信；

上述同步时钟、输出时钟、比较时钟由逻辑控制FPGA产生；

上述非易失性存储器Flash与被测FPGA、参照FPGA相互连接通信；

上述下位计算机分别与非易失性存储器Flash、逻辑控制FPGA、CPU外围存储器相互连接；

上述频率发生器分别与测试向量存储器、比较器、被测FPGA、参照FPGA相互连接并发送信号；

上述测试向量存储器与被测FPGA、参照FPGA相互连接。

2.一种单粒子翻转的故障模拟分析方法，其特殊之处在于：包括以下步骤：

1】上位计算机将配置文件发送至下位计算机；

2】下位计算机将配置文件转存到非易失存储器中；

3】上位计算机发送配置FPGA指令；

4】下位计算机从非易失存储器中提取配置数据，并按照被测FPGA的读写时序将配置数据写入被测FPGA；

5】向被测FPGA注入故障：

在上位计算机发送故障注入指令后，下位计算机根据指令中的注入地址和注入模式将包含错误的一帧数据以及部分读写命令整合成新的数据包，通过被测FPGA的8位并行数据接口写入到被测FPGA的配置存储器中；

6】故障检测模块判断注入的故障是否对系统功能造成了破坏：

在向被测FPGA注入故障之后，逻辑控制FPGA产生一个测试向量，输入被测FPGA与参照FPGA，并且检测被测FPGA与参照FPGA的输出是否一致；如果出现不一致的情况，说明注入的故障有效，逻辑控制FPGA立即向下位计算机请求中断，并且将出错信息返回上位计算机；

7】故障分析模块利用故障注入的结果评价由FPGA实现的系统的抗单粒子能力。

3.上述2所述的单粒子翻转的故障模拟分析方法，其特殊之处在于：所述步骤7具体包括以下步骤：

1】利用故障注入和故障检测模块，遍历FPGA内部存储器中的每一位，找出该设计对应的所有敏感位；

2】通过公式计算该设计的敏感因子，用这个参数表征该系统对单粒子翻转的容错能力；所述公式是：

敏感因子=动态翻转截面/静态翻转截面=敏感位数/配置存储器位数；

3】如果已经从辐照实验或者相关资料中获得了该器件的静态翻转截面，可以利用公式计算该系统的动态翻转截面；所述公式是：

敏感因子=动态翻转截面/静态翻转截面=敏感位数/配置存储器位数。

本发明所具有的积极效果：

1.本发明提出的故障注入方法是一种模拟方法，可以用来验证SRAM型FPGA对单粒子翻转的容错能力。这种方法与传统的重离子辐照试验相比，使用灵活，成本低廉，对芯片不造成任何物理上的损伤，可以节约非常宝贵的加速器束流时间。

2.本发明提出的故障注入方法是一种硬件故障注入方法，具有模拟精度高、模拟速度快等优点。但是与一般的硬件注入方法改变芯片管脚电压的方式不同，本发明中根据SRAM型FPGA的单粒子效应的特点，有针对性的向它的配置存储器注入单粒子翻转，与芯片在空间辐射环境中受到的真实损伤非常接近。

3.本发明采用单帧部分重构技术向FPGA中注入错误，利用同步运行的参照器件进行实时比较，随时报告错误的发生，与其他故障注入工具相比，模拟速度得到了进一步提升。

4.本发明提出采用静态翻转截面、动态翻转截面以及敏感位的概念来分别描述器件本身和FPGA实现的系统对单粒子效应的敏感程度。在已知FPGA的静态翻转截面时，可利用故障分析模块给出动态翻转截面及敏感因子，在不进行重离子实验的情况下描述FPGA上搭载的系统对单粒子翻转的敏感程序，从而节省实验的机时及成本。

5.本发明采用下位计算机控制配置程序的下载，采用逻辑控制FPGA实现输入测试向量的生成，具备遍历式故障注入、指定位置注入、随机故障注入以及批量故障注入四种注入方法及友好的用户界面，支持多种型号的FPGA芯片，具备良好的兼容性。

附图说明

图1是本发明SRAM型FPGA故障注入系统的功能框图；

图2是本发明SRAM型FPGA故障注入系统的硬件结构示意图；

图3是系统下位计算机DSP内的固件程序框图；

图4是配置文件下载及配置FPGA子程序流程图；

图5是配置数据回读子程序流程图；

图6是遍历式的故障注入方法流程图。

具体实施方式

图2是本发明中故障注入系统的硬件结构示意图，系统的主体框架由上位计算机和控制板组成，上位计算机与控制板之间用串口通信协议RS422进行通信。下位计算机采用TI公司2000系列的DSP TMS320LF2407，主要负责从上位机接收命令及数据、把从测试板上获取到的测试数据回传给计算机、对Flash的读写、以及控制时序及逻辑控制FPGA对被测FPGA进行配置及回读。

时序及逻辑控制电路采用Xilinx公司Spartan-II系列的FPGA来实现，主要负责时序及逻辑控制电路的实现，包括：产生系统的时钟信号，如两片FPGA的同步时钟、测试向量存储器的输出时钟、输出向量比较器的比较时钟；利用片内的BRAM生成一个双向的512×16的测试向量存储器；负责两片FPGA的输出向量的比较，并在两个向量不同时向下位计算机产生中断信号；生成对SelectMAP接口访问的读写控制时序。

系统中的其他芯片包括：非易失性存储器Flash，用于保存被测FPGA的配置文件；电源模块TPS76833/25，负责产生3.3V和2.5V的直流电平；RS422串口电平转换芯片MAX232以及CPU外围存储器CY1041等。

系统上电启动后，下位计算机将上位机生成的测试向量下载到由逻辑控制FPGA实现的测试向量存储器中，可以实现测试向量的在线更改，以适应不同的测试方案。逻辑控制FPGA中的频率发生器负责生成测试向量和输出向量的时钟以及两片FPGA的同步时钟。当待测器件与参照器件的输出向量出现差异时，比较器会置高，使得下位计算机产生中断，读取锁存的输入向量及输出值并用串口回传出错信息，标志一次功能失效的发生。

图3是下位机控制程序的主体框架，下位机在上电启动及初始化之后就进入循环等待中断，中断响应程序由功耗测试中断响应程序、功能测试中断响应程序、和串行传输中断响应程序构成。其中串行中断响应程序又分为文件下载子程序、配置FPGA子程序及回读FPGA子程序这三个模块。

图4中左侧是文件下载子程序流程，负责从上位机将配置文件写入非易失的Flash存储器中。右侧是配置FPGA子程序，负责从Flash中读取数据，并通过逻辑控制FPGA将配置数据写入被测FPGA及参照FPGA。这种配置数据下载方式比利用Xilinx提供的JTAG下载线来配置器件要灵活很多，可以在线更改配置程序以适应不同的测试方案。

图5是配置数据回读子程序，负责从待测器件及参照器件中回读配置数据，并且与原始配置文件进行比较。通过比较可以得到被测FPGA内部配置存储器的翻转情况，主要用于验证故障注入中写入的错误数据是否有效。

本发明所述的故障注入模块采用单帧部分重构技术向被测FPGA的配置存储器中写入包含一位错误的一帧配置数据。写入单帧数据的方法与图4所示的配置FPGA类似，只是写入的数据不再是由EDA工具生成的完整的配置文件，而是由部分写入全局控制寄存器的命令和包含错误的一帧数据构成的数据包。单帧部分重构过程中写入的数据包格式如下：

1.FF FF FF FF    无意义的字

2.AA 99 55 66    同步命令

3.30 00 80 01    向CMD寄存器写入控制指令

4.00 00 00 07    向CMD中写入RCRC命令，重置CRC寄存器

5.30 01 60 01    向FLR寄存器写入控制指令

6.00 00 00 14    写入FLR的帧长度值,，以Virtex XCV300为例，每帧包含20个32位的字，即十六进制的0×14

7.30 01 20 01    向COR寄存器写入控制指令

8.00 80 3F 2D    写入COR中的值，此处为默认选项

9.30 00 20 01    向FAR寄存器写入控制指令

10.0X XX XX 00   写入FAR寄存器的值，可用该帧在配置文件中的编号计算

11.30 00 80 01   向CMD寄存器写入控制指令

12.00 00 00 01   向CMD中写入WCFG命令，准备写入配置数据

13.30 00 40 15   向FDRI中写数据命令，FDRI是一个缓存器，写入配置存储器中的数据首先要进入FDRI，此命令最后十位说明接下来将要写入多少个32位的字

14.21个Word      待写入的一帧数据，可以从原始的配置文件中拷贝出来，每一帧有一个唯一的编号N，从0开始，用于计算FAR值

15.30 00 80 01   向CMD寄存器写入控制指令

16.00 00 00 07   向CMD中写入RCRC命令，重置CRC寄存器

17.30 00 80 01   向CMD寄存器写入控制指令

18.00 00 00 03   LFRM命令，意味着写入最后一个帧

19.30 00 40 15   向FDRI中写数据命令，写入一帧空值将FDRI中的内容压出来

20.00 00 00 00   21个空的字

21.30 00 80 01   向CMD寄存器写入控制指令

22.00 00 00 05   START命令

23.30 00 A0 01   向CTL寄存器写入控制指令

24.00 00 00 40   Persist On指令

25.30 00 80 01   向CMD寄存器写入控制指令

26.00 00 00 07   向CMD中写入RCRC命令，重置CRC寄存器

27.00 00 00 00   4个空的字

图6是遍历式的故障注入方法流程图。故障注入的步骤如下：

（1）系统上电启动，配置FPGA器件，实现待测器件的正常运行；

（2）向被测FPGA中写入一位错误，加载测试向量，对系统功能进行检测；

（3）若发现功能失效，则该配置位即为此配置电路的敏感位，回传此时的输入/输出向量值，若没有发现功能失效，则该配置位不是本设计的敏感位；

（4）在功能失效之后对器件进行重新配置，对上一次注入的故障进行修复。如果此时没有到达配置存储器末位，则返回第（2）步，进行下一次故障注入。

为增加故障注入模块的灵活性，除了遍历式的故障注入之外，本系统还支持向指定位置注入错误、随机故障注入以及批量的故障注入。

系统的上位机控制程序采用NI公司的虚拟仪器工具Labview编写，主要由设置界面和测试界面两部分组成。其中设置界面主要包括以下几种初始化功能：

（1）更改并下载配置文件至Flash；

（2）设置待测器件的型号、工作频率及测试频率；

（3）设置测试向量的长度和产生方式；

（4）配置器件，即将Flash中的配置文件写入FPGA。

上位机控制程序的测试界面包括以下功能：

（1）确定故障注入的方式，包括：遍历式注入、向固定地址注入、随机故障注入以及批量故障注入；

（2）启动及临时终止故障注入；

（3）监测配置存储器的翻转情况；

（4）监测待测器件的功能失效情况，给出发生功能失效时的输入向量值、输出向量期望值及实际输出值。

Claims (3)

1.一种单粒子翻转的故障模拟系统，包括上位计算机和控制板，所述控制板包括故障注入模块、故障检测模块、故障分析模块；其特征在于：所述故障注入模块包括非易失性存储器Flash；所述故障检测模块包括参照FPGA、逻辑控制FPGA；所述逻辑控制FPGA包括测试向量存储器、频率发生器、比较器；所述故障分析模块包括下位计算机DSP、CPU外围存储器；所述上位计算机与下位计算机DSP之间通过RS422协议进行通信；所述同步时钟、输出时钟、比较时钟由逻辑控制FPGA产生；所述非易失性存储器Flash与被测FPGA、参照FPGA相互连接通信；所述下位计算机分别与非易失性存储器Flash、逻辑控制FPGA、CPU外围存储器相互连接；所述频率发生器分别与测试向量存储器、比较器、被测FPGA、参照FPGA相互连接并发送信号；所述测试向量存储器与被测FPGA、参照FPGA相互连接。

2.一种单粒子翻转的故障模拟分析方法，其特征在于：包括以下步骤：

1】上位计算机将配置文件发送至下位计算机；

2】下位计算机将配置文件转存到非易失存储器中；

3】上位计算机发送配置FPGA指令；

4】下位计算机从非易失存储器中提取配置数据，并按照被测FPGA的读写时序将配置数据写入被测FPGA；

5】向被测FPGA注入故障：

在上位计算机发送故障注入指令后，下位计算机根据指令中的注入地址和注入模式将包含错误的一帧数据以及部分读写命令整合成新的数据包，通过被测FPGA的8位并行数据接口写入到被测FPGA的配置存储器中；

6】故障检测模块判断注入的故障是否对系统功能造成了破坏：

在向被测FPGA注入故障之后，逻辑控制FPGA产生一个测试向量，输入被测FPGA与参照FPGA，并且检测被测FPGA与参照FPGA的输出是否一致；如果出现不一致的情况，说明注入的故障有效，逻辑控制FPGA立即向下位计算机请求中断，并且将出错信息返回上位计算机；

7】故障分析模块利用故障注入的结果评价由FPGA实现的系统的抗单粒子能力。

3.根据权利要求2所述的单粒子翻转的故障模拟分析方法，其特征在于：所述步骤7具体包括以下步骤：

1】利用故障注入和故障检测模块，遍历FPGA内部存储器中的每一位，找出该设计对应的所有敏感位；

2】通过公式计算该设计的敏感因子，用这个参数表征该系统对单粒子翻转的容错能力；所述公式是：

敏感因子=动态翻转截面/静态翻转截面=敏感位数/配置存储器位数；

3】如果已经从辐照实验或者相关资料中获得了该器件的静态翻转截面，可以利用公式计算该系统的动态翻转截面；所述公式是：

敏感因子=动态翻转截面/静态翻转截面=敏感位数/配置存储器位数。

Images