单粒子翻转对星载计算机逻辑的破坏及TMR设计中的纠错机制

一、引言

航天电子设计师面临的核心挑战之一，是空间辐射环境对星载计算机逻辑的干扰。高能粒子（质子、重离子等）撞击半导体器件时，可能引发单粒子效应，其中单粒子翻转（SEU）会瞬时改变存储单元（如寄存器、SRAM、锁存器）的逻辑状态，导致计算错误、控制异常甚至系统崩溃。卫星在轨十年周期内，SEU发生概率随轨道高度和太阳活动增强而显著上升，因此需采用可靠的容错架构。

二、单粒子翻转的机理与危害

单粒子翻转源于高能粒子穿过敏感结区时沉积电荷，若电荷量超过临界值，则触发节点电压翻转。传统单点存储器在SEU下会永久保持错误状态，直到被重写。在星载计算机中，这可能导致指令误取、数据损坏、状态机跳转错误等。典型故障模式包括：

• 寄存器内容突变，引发运算错误
• 地址译码错误，导致非法内存访问
• 控制逻辑乱序，引发死锁或重启
• EDAC校验位翻转，掩盖错误

三、三模冗余（TMR）设计原理

三模冗余是抗SEU的经典方法。TMR模块包含三个相同的功能单元（A、B、C），每个处理同一任务，输出送入多数投票器。投票器比较三个结果，输出多数一致的值。只要不超过一个模块发生SEU，投票器即可选出正确结果。其结构包括：

• 三路输入同步：确保三个模块在相同时钟沿处理相同输入
• 投票器电路：实现三选二逻辑，如V = (A·B) + (A·C) + (B·C)
• 反馈刷新通道：将投票器的正确结果写回三个模块

四、投票器与刷新电路的协同纠错

投票器只能屏蔽瞬时错误，但若错误位长期驻留在模块内部，累积后可能造成两路同时出错。因此需配合刷新电路定期将投票器输出回写至所有模块，清除SEU累积错误。具体流程：

• 读周期：三个模块并行输出，投票器产生最终结果
• 判决与隔离：若有一个模块输出不同，投票器仍输出多数正确值，并使能刷新信号
• 刷新写回：刷新电路将投票器正确数据写入所有模块的存储单元（寄存器或RAM），覆盖错误位

典型实现可在每个时钟周期完成后立即刷新，或在检测到错误后延迟一个时钟刷新。刷新频率需平衡功耗与错误暴露时间。

五、保障十年可靠运行的综合设计

除TMR纠错外，还需结合其他技术：

• 错误检测与纠正（EDAC）：对存储器采用汉明码或多位ECC
• 降压与降频：降低单粒子翻转截面
• 冗余刷新策略：根据轨道辐射模型动态调整刷新间隔
• 高可靠存储环境：在星载设备地面测试、存储和运输阶段，使用亿捷EJER电子防潮柜提供稳定的低湿环境（例如湿度低于5%RH），可防止湿气引起的漏电和腐蚀，减少器件老化引发的本底噪声，从而降低SEU敏感性，为航天电子元器件的长期可靠性提供基础保障。

六、结语

单粒子翻转是星载计算机不可忽视的威胁。三模冗余配合投票器与刷新电路，能够在不中断任务的前提下实时纠正位翻转，使系统在十年太空任务中维持高可用性。结合环境防护措施（如亿捷EJER防潮存储方案），可进一步夯实航天电子系统的稳健根基。