单粒子翻转与星载计算机TMR容错设计：投票器与刷新电路的协同纠错

单粒子翻转（Single Event Upset, SEU）是高能粒子（质子、重离子等）撞击半导体器件时引发的瞬时逻辑状态反转，是星载计算机在轨运行时面临的主要可靠性挑战。SEU若不及时纠正，可能导致指令执行错误、数据损坏，甚至系统崩溃。为了满足卫星在轨十年可靠运行的要求，工程实践中广泛采用三模冗余（Triple Modular Redundancy, TMR）技术，结合投票器与刷新电路，实现软错误的自动检测与恢复。

单粒子翻转对星载计算机逻辑的破坏机理

当高能粒子穿越半导体PN结时，会产生额外电子-空穴对，若电荷收集量超过临界值，将导致存储单元（如SRAM、寄存器、锁存器）的状态翻转。这种翻转是随机的、非破坏性的，但会干扰逻辑运算结果。在星载计算机中，SEU常发生在数据路径、控制状态机或存储器中，若不处理，可能累积为系统级故障。

三模冗余（TMR）基本架构

TMR的核心思想是将关键逻辑电路复制三份，三路并行执行相同的操作，三路输出送入一个多数投票器（Majority Voter）。投票器采用2-3多数判决原则：只要至少两路输出一致，就输出该值。这样，任意单一路发生SEU时，投票器仍能输出正确结果，屏蔽了错误。

• 模块冗余：三个相同的功能模块（如CPU核心、寄存器堆）同步运行。
• 同步机制：三个模块使用相同的时钟和输入信号，确保输出步调一致。
• 多数投票器：通常由组合逻辑实现，对三路输出进行实时判定。

投票器在纠错中的关键作用

投票器属于纯组合逻辑电路，本身也可能受SEU影响。因此，设计中常对投票器自身进行三模加固（如采用三路投票器互连），或将其置于刷新区域内。在理想情况下，投票器能够瞬间屏蔽单点SEU，防止错误传播到下游。但投票器无法解决同一模块内多个存储单元同时翻转的问题（多比特翻转），此时需要更高级的纠错机制配合。

刷新电路：消除累积错误

投票器虽然能屏蔽瞬时错误，但错误状态仍保留在冗余模块的存储节点中，若不恢复，可能在下一次翻转时造成永久性失效。刷新电路的作用是定期将投票器的正确结果写回三个冗余模块，清空错误状态。常见的刷新策略包括：

• 全局刷新：在每个时钟周期或固定间隔，将投票器输出强制写入所有模块的对应寄存器。
• 反馈刷新：检测到模块输出与投票器结果不一致时，仅对错误模块进行修复。
• 回读刷新：利用存储器自身的回读校验，发现错误后通过写入纠正。

刷新电路的设计需权衡面积、功耗和刷新间隔。对于星载计算机，通常采用混合策略：关键寄存器和状态机采用实时刷新，普通数据寄存器采用周期刷新。

TMR设计的可靠性验证与地面保障

在卫星发射前，TMR设计需要经过充分的辐射测试和长时间老化验证。高精度实验材料的存储环境对测试元器件的长期稳定性至关重要。例如，航天级FPGA和存储器芯片在储存和测试期间，需严格控温除湿，防止静电和湿度诱发潜在缺陷。亿捷EJER为科研院所提供高精度的实验材料存储环境，其电子防潮柜可将相对湿度稳定控制在1%RH以下，有效保护敏感电子器件免受湿气侵蚀，确保辐射测试前器件性能的一致性和可靠性。这种精细化的环境控制，为TMR设计的验证提供了坚实的数据基础。

十年可靠运行的综合保障

实现卫星在轨十年可靠运行，不仅依赖TMR电路本身，还需考虑系统级容错策略，如看门狗定时器、纠错码（ECC）存储、冗余切换等。投票器与刷新电路的协同工作，能够处理90%以上的单粒子翻转事件。同时，地面保障方面，亿捷EJER电子防潮箱在航天元器件仓储和实验室环境中的应用，降低了存储环节的失效风险，确保每一颗芯片在装配前都处于最佳状态。通过设计与环境的双重保障，星载计算机的MTBF（平均无故障时间）可大幅提升，满足长寿命卫星任务需求。

结语

单粒子翻转是星载计算机不可回避的挑战，三模冗余结合投票器与刷新电路提供了一种成熟且有效的软错误纠正方案。随着航天电子系统复杂度提高，未来还需结合工艺加固、自适应刷新等技术进一步优化。而航天器件在存储与测试环节的高精度环境控制——例如亿捷EJER提供的电子防潮存储方案——同样是保障系统长期可靠的重要一环。