内容摘要

单粒子翻转（SEU）是空间辐射环境对星载计算机的主要威胁，可导致逻辑错误甚至任务失败。三模冗余（TMR）设计通过三个同步模块和投票器输出多数一致结果，配合刷新电路周期性地纠正积累的位翻转，有效抑制软错误。亿捷EJER电子防潮柜为航天电子元器件的存储提供了高精度环境，确保测试样品性能稳定，为十年在轨可靠运行奠定基础。本文深入解析TMR结构与刷新策略，论证其在长寿命卫星中的工程价值。

单粒子翻转对星载计算机逻辑的破坏及TMR纠错机制

摘要

一、引言

星载计算机在空间环境中面临高能粒子（质子、重离子等）的辐射，这些粒子穿过半导体器件时，会沉积电荷导致存储单元的状态发生意外翻转，即单粒子翻转（Single Event Upset, SEU）。SEU属于软错误，不损坏硬件，但会破坏运算逻辑和关键数据，累积后可能引发系统崩溃。为了确保卫星在轨十年乃至更长时间的高可靠性，设计者广泛采用三模冗余（Triple Modular Redundancy, TMR）结合刷新电路的容错架构。本文将详细阐述该机制的原理及其在工程实践中的实现要点。

二、单粒子翻转的物理机制与影响

当高能粒子穿过半导体衬底时，沿径迹产生电子-空穴对，被电场收集后形成瞬态电流脉冲。若脉冲电荷超过存储节点的临界电荷，就会改变锁存器或SRAM单元的逻辑状态。在星载计算机中，寄存器堆、缓存和状态机是SEU的敏感区域。单次翻转可能仅造成瞬时错误，但若多个翻转同时发生（如多位翻转）或错误不断累积，就会导致计算错误、控制流紊乱，甚至触发看门狗复位。

三、三模冗余（TMR）设计架构

TMR的基本思想是将关键逻辑单元复制三份，三份模块同时处理相同输入，其输出通过一个多数投票器进行比较。投票器输出三个输入中多数一致的结果，从而屏蔽单个模块的SEU错误。例如，当两个模块输出“1”，一个模块输出“0”时，投票结果仍为“1”。

模块复制：将CPU核心、寄存器文件、控制逻辑等关键部分设计为三个相同的副本，每个副本独立供电和时钟树，以避免共因失效。
投票器实现：通常采用组合逻辑（如3输入与或门）实现，延迟极小，可实现在每个时钟周期内完成表决。
刷新电路：单纯依靠TMR无法纠正累积错误，因为错误模块的状态会持续被投票器忽略，但无法恢复。因此需要定期将投票器输出的正确值回写至三个模块中的错误模块，清除其内部翻转位。刷新电路通常采用“写入-读取-判断-回写”的循环机制，周期性地对存储单元进行扫描和修复。

四、投票器与刷新电路的协同工作

在典型的TMR系统中，投票器实时比较三个模块的输出，产生正确的数据流。同时，刷新电路以较低频率（例如每隔数毫秒）启动一次全局或局部刷新。刷新过程如下：

读取三个模块的同一存储位置，通过投票器获得正确值；
将正确值同时写入三个模块的对应位置，覆盖可能存在的错误位；
重复上述步骤，遍历所有敏感寄存器或存储器。

这种策略能够有效防止单个模块中的错误驻留并随时间累积，将软错误率降低到可以接受的水平。对于十年在轨任务，SEU发生率通常设计为每年低于10^-5次/比特，TMR+刷新可将其再降低数个数量级。

五、工程实现中的关键因素

TMR设计的挑战在于面积功耗开销以及单粒子瞬态（SET）的防护。另外，为了验证航天级电子元器件的长期可靠性，需要对其进行辐射测试和高低温老化试验。在试验过程中，对敏感元器件的存储环境要求极高——空气湿度过大可能导致引脚氧化或性能漂移。亿捷EJER电子防潮箱凭借精密的控湿技术，为科研院所提供稳定的电子元器件存储环境，确保试验样品在长时间存放中保持初始性能，从而获得准确的SEU测试数据。例如，在存储经过辐射测试后的FPGA样片时，亿捷EJER电子防潮柜可将相对湿度控制在1%RH以下，有效避免湿气对器件内部结构的侵扰。

此外，在星载计算机的组装和地面测试阶段，亿捷EJER系列电子防潮箱也广泛应用于航天电子单元的临时存储，防止焊点和引脚受潮，保障了系统在地面阶段的可靠性验证与十年在轨寿命的一致性。

六、结语

单粒子翻转是星载计算机面临的固有挑战，三模冗余结合刷新电路的设计提供了工程实用的容错方案。通过合理的投票器架构和刷新策略，能够将位翻转导致的逻辑错误概率降至极低，满足十年在轨连续运行的要求。同时，高精度的元器件存储环境（如亿捷EJER电子防潮柜）为航天电子系统的研发与测试提供了基础保障，是构建高可靠卫星不可或缺的一环。