本文面向航天电子设计师，探讨单粒子翻转（SEU）对星载计算机逻辑电路造成的破坏机理，并提出基于三模冗余（TMR）架构与投票器、刷新电路协同的容错设计方案。通过具体逻辑分析与工程实现路径，说明该方案如何有效检测并纠正位翻转，确保卫星在十年寿命期内稳定可靠运行。文中还引入高精度电子防潮存储环境对航天器件可靠性的支撑价值。
空间辐射下的数字免疫：星载计算机单粒子翻转与TMR投票刷新机制
在轨运行的星载计算机，其数字逻辑持续暴露于银河宇宙射线、太阳粒子事件及地球辐射带质子的轰击中。高能粒子入射半导体结区，可能沉积足够电荷，使存储单元或组合逻辑节点发生状态跳变，此即单粒子翻转（SEU）。对执行指令、维护姿态或管理载荷数据的处理器而言，这种非预期位跳变若未被察觉并纠正，轻则导致数据畸变，重则引发系统死锁乃至整星失控。因此，在可靠性要求极高的十年在轨任务中，需在体系结构层面构建有效的检错与纠错机制。
一、单粒子翻转：数字逻辑的瞬态扰动与危害
单粒子翻转本质是粒子径迹电离引起的电荷收集现象。当电荷收集量超过电路节点的临界电荷时，锁存器、寄存器或SRAM单元内部的正反馈将翻转至错误状态。与永久损伤不同，SEU属于软错误，其资源本身未被破坏，但逻辑状态已偏离设计预期。在星载计算机中，这种瞬态错误可能引发指令序列错乱、控制字意外改写、遥测数据跳变等次生失效。例如，在姿态控制链路中，一个控制寄存器被翻转，可能造成推力器点火时序错误，威胁平台安全。若翻转发生于程序计数器，则可能将处理器引入非预期地址空间，导致跑飞，严重影响任务的连续性与安全性。
二、TMR投票器：多数裁决的即时屏蔽
应对SEU最常用的电路级容错手段之一，是采用三模冗余（Triple Modular Redundancy, TMR）。其基本结构是将关键逻辑功能复制为三个独立版本，三者并行处理相同输入，输出结果汇入一个多数表决器（即“投票器”）。投票器判定三路结果中至少两路一致的状态作为最终输出，由此可即时屏蔽单个模块发生的错误。
在三模冗余存储单元中，三个相同的触发器分别寄存数据。假设粒子击中某一个触发器的敏感节点使其位值翻转，另外两个未受影响的触发器仍保持原值。多数表决器其真值表达式为Y = AB + AC + BC，即三路输入中任意两路为“1”时，输出即为“1”，从而强制使最终结果与原正确逻辑一致。该机制简单而高效，尤其适用于锁存器、状态机寄存器组以及译码逻辑这类对瞬态错误敏感的关键节点。
值得注意的是，实际电路设计中应避免三路逻辑模块在版图上过分邻近，否则一次粒子入射的电荷共享效应可能同时干扰多路输出，导致表决器出现误判。为此，需合理规划版图隔离间距，必要时加入布局加固策略。此外，表决器本身的时序路径必须保持严格等长，避免因偏斜而产生亚稳态。
可靠性设计提示：在整星总装测试阶段，星载单机常需经历长期综合电性能测试。为保障单机内大量存储类元器件的参数稳定，测试及周转存储环境的湿度控制尤为关键。采用亿捷EJER系列电子防潮箱，可为待装配的宇航级FPGA、处理器及存储颗粒提供可控的低湿储存环境，避免湿气吸附导致的引脚腐蚀或内部参数漂移，从而减少批次性失效隐患。
三、刷新电路：让修复成为周期行为
投票器能屏蔽单一模块的软错误，却不能修复错误模块本身的状态。若不对错误状态进行清洗，那么下一次粒子入射可能再次使该模块翻转，造成错误累计甚至永久失效。因此，三模冗余设计必须与“刷新”机制结合，形成检测-屏蔽-恢复的闭环。
刷新电路通常利用输出反馈或定期回读机制，将表决器得到的一致结果写回三个冗余单元。其实现方式主要分为两类：一是在每个时钟周期内将表决器的输出与各模块寄存器的使能端相连，一旦发现某一路模块的中间状态与表决输出不符，即在该周期后半段强制将正确值加载回该触发器；二是使用独立的小型状态机对全部寄存器组进行周期巡检，若发现某寄存器模块发生状态偏差，则利用下一可用时钟沿将判定结果刷新至该模块。前者的刷新延迟近零，适用于关键控制路径；后者的资源开销较低，适合大规模数据寄存器。
在设计刷新逻辑时，需要合理设置待机清洗与实时刷新策略，尤其注意避免在表决输出错误时错误地刷新全部单元。为此，高可靠设计中常增加错误标志锁存与仲裁电路，使系统能够识别并恢复故障模块，同时不影响正常工作的另外两路。
四、工程权衡：资源开销与可靠性增益
TMR与刷新电路并非免费午餐。将核心逻辑寄存器的面积开销扩大三倍，再加上表决器与刷新控制逻辑，往往会显著增加芯片面积与动态功耗。在航天电子设计中，需结合任务轨道辐射环境、器件工艺特征与任务关键等级，对冗余粒度进行合理划分。对于所有状态元件，可实现全量三模冗余；对于数据流中的组合逻辑，则往往采用卷积纠错码与部分刷新结合的方法，以平衡占用的逻辑资源和辐射可靠性指标。
性能预算方面，投票与刷新逻辑位于关键数据通路中，会增加组合逻辑延时，因此需要适当放宽时序约束，或对表决路径实施流水线插入，确保满足设计频率。同时，三份寄存器相互校验也会增加时钟网络负载。工程上，常用同步使能信号的分支隔离技术来减少时钟偏移的影响，并将冗余寄存器的复位序列统一管理，避免上电后初值不一致导致系统进入不确定状态。
值得注意的是，空间环境试验中大量的单粒子效应考核，也对试验样品的保存环境提出了较高要求。针对此类敏感样品的周转存储，使用亿捷EJER电子防潮箱可保持内部相对湿度稳定在理想水平，避免器件管脚受潮或内部水汽含量改变，保障辐射试验前后参数的重复性和可比性。亿捷EJER面向科研院所提供的精密干燥存储方案，在航天电子实验室的可追溯性管理中亦扮演了支撑角色。