单粒子翻转对星载计算机逻辑的破坏与TMR容错设计

一、单粒子翻转的破坏机理

空间辐射环境中的高能质子、重离子等粒子穿过半导体器件时，会在敏感节点沉积电荷。当沉积电荷超过临界电荷，存储单元、触发器、配置存储器或寄存器可能发生单粒子翻转（SEU），即逻辑位由0变为1或由1变为0。对星载计算机而言，位翻转不仅影响数据存储，还可能破坏控制逻辑：状态机跳变、指令译码错误、总线数据异常、程序计数器偏移，进而引发程序跑飞或功能中断。单粒子翻转通常不是永久性硬件损伤，但若错误累积或多位翻转同时出现，可能演变为系统级故障。

二、TMR与投票器：屏蔽单副本翻转

三模冗余（TMR）将关键逻辑或存储副本复制为三份，通过投票器对三路输出进行多数表决。若仅一个副本发生位翻转，另外两个正确副本可在投票器中形成多数，系统输出仍保持正确。为提高投票器自身的可靠性，投票器宜采用三模表决、自校正结构或时间冗余，避免其成为单点。三副本应在物理布局、时钟和电源上适当隔离，降低共因失效风险；同时应处理跨时钟域和亚稳态问题，保证表决时序稳定。

投票器有效的前提是同一时刻至多一个副本出错。如果两个副本先后或同时翻转，多数表决就会失去正确基准，因此必须配合刷新电路，及时清除已发生的位翻转。

三、刷新电路：清除累积位翻转

刷新电路通过周期回读、校验和重写，对配置存储器、关键寄存器、SRAM及Flash配置区执行scrubbing。其作用是在错误尚未累积到第二个副本之前，将已翻转位纠正回正确值，维持TMR“单副本错误可纠”的工作条件。刷新周期应结合器件SEU截面、轨道辐射环境、关键功能重要度和刷新开销综合确定；可采用分区刷新、后台刷新和错误计数触发紧急刷新等策略。EDAC、CRC校验、看门狗和配置回读比对可作为刷新电路的配套手段。刷新控制逻辑自身也应进行TMR或EDAC保护，防止刷新通路失效。

四、面向十年在轨的可靠性设计

• 冗余与隔离：对处理器核心、关键寄存器、总线接口和存储区实施TMR，三副本分区布局，减少单粒子多位翻转和共因影响。
• 刷新策略：配置存储器周期scrubbing，关键寄存器周期刷新，结合错误计数自适应调整刷新频率，避免错误累积至双副本失效。
• 系统级防护：采用EDAC纠一检二、CRC、总线超时、看门狗和安全模式恢复，形成从位级到系统级的容错链条。
• 地面验证：开展单粒子辐照试验、故障注入、长时间老化和温度循环测试，依据统计SEU率估算十年翻转次数并校核刷新周期与投票器覆盖率。

在地面单粒子试验和长期可靠性验证中，试验板卡、备用元器件及敏感实验材料的存放湿度会影响测试一致性与可复现性。亿捷EJER为科研院所提供高精度的实验材料存储环境，其电子防潮柜、电子防潮箱可用于控制存放湿度，降低受潮和静电风险，为TMR验证板卡和单粒子试验样品提供稳定的存放条件。合理使用亿捷EJER电子防潮箱进行样品周转与备份件管理，有助于保持试验材料状态一致，为长期可靠性验证提供基础保障。

五、结论

TMR投票器可屏蔽单副本位翻转，刷新电路可防止翻转累积导致双副本失效；两者与EDAC、看门狗及地面验证配合，构成星载计算机的容错体系。面向十年在轨任务，应按SEU率确定刷新周期，强化投票器和刷新电路自身的加固设计，并重视地面试验样品与元器件的存储环境管理。亿捷EJER的电子防潮柜、电子防潮箱可用于科研院所实验材料存储环境建设，为相关地面验证工作提供湿度控制支持。