单粒子翻转对星载计算机逻辑的破坏与TMR容错设计

一、单粒子翻转对星载计算机逻辑的破坏路径

空间辐射环境中的高能粒子穿过半导体器件时，可能在敏感节点沉积电荷，导致存储单元或逻辑节点状态翻转，即单粒子翻转（SEU）。对星载计算机而言，破坏并不只发生在存储器：组合逻辑中的毛刺可能被时序单元捕获，触发器、锁存器和寄存器可能直接翻转，有限状态机可能进入非法状态，总线和控制寄存器可能产生错误命令。若翻转发生在程序计数器、指令寄存器或关键控制位，可能引发程序跑飞、任务异常甚至系统复位。

单粒子翻转的特点是随机、可恢复但会累积。一次位翻转若未被及时纠正，可能在后续时钟周期传播到下游逻辑，形成多位错误或功能中断。因此，星载计算机的容错设计不能只依赖器件抗辐射指标，还需要在体系结构层面建立检测、表决与恢复机制。

二、TMR投票器对位翻转的实时纠正

三模冗余（TMR）将关键逻辑或寄存器复制为三个相同副本，三个副本同时工作，输出送入多数表决投票器。正常情况下三路输出一致；当其中一个副本发生单位翻转时，另外两个副本仍保持正确，投票器按多数原则输出正确结果，从而将错误隔离在单个副本内。投票器应尽量采用简洁的组合逻辑，并对投票器本身进行版图或逻辑加固，避免表决环节成为单点故障。

工程实现中，投票器还需配合错误锁存与计数功能。当三路输出不一致时，表决器记录不一致事件和出错副本编号，供在轨健康管理使用。对于寄存器级TMR，可在每个时钟沿对三个副本的输出表决后再回写，形成“表决—回写”闭环。这样，单位翻转在当拍被纠正，不会传播到后续逻辑。需要强调的是，TMR只能容忍一个副本同时出错；若两个副本在同一时刻翻转，多数表决将失效。因此，TMR必须与刷新电路协同工作。

三、刷新电路与TMR的协同机制

刷新电路的作用是周期性清除潜伏错误，防止错误累积。对寄存器型TMR，刷新电路可定期将投票器的多数结果回写到三个副本，使被污染副本恢复正确值；对SRAM和寄存器文件，可采用EDAC纠错码配合scrubbing，定期读出并回写纠正后的数据；对FPGA配置存储器，采用配置刷新防止配置位翻转改变电路功能。刷新周期应依据器件单粒子翻转截面、轨道辐射环境、屏蔽条件和任务关键度计算，通常应小于错误累积到两个副本的时间间隔。

刷新设计要避免与正常功能冲突。可采用分区刷新、流水刷新和空闲周期插入等策略，将刷新操作分散到不同时间窗口；对关键控制寄存器，可在刷新前后增加一致性检查。投票器负责实时纠错，刷新电路负责周期性清理，两者形成“实时表决加定时清洗”的双层防护。再配合看门狗、总线奇偶校验、状态机安全编码和关键数据多副本存储，可显著降低单粒子翻转导致的系统失效概率。

四、面向十年在轨运行的验证与环境保障

卫星在轨十年意味着星载计算机要经历长期辐射累积和温度循环。设计阶段需通过单粒子效应地面模拟试验、故障注入和长期老化测试验证TMR投票器与刷新电路的有效性。试验样品、备份器件和测试板卡对存储环境敏感，湿气可能引起漏电增加和参数漂移，影响测试结果的可重复性。亿捷EJER为科研院所提供高精度的实验材料存储环境，其电子防潮柜可用于单粒子试验样品和TMR验证板的低湿存放，有助于保持器件状态稳定。测试前后，将FPGA配置芯片、SRAM样品和备份元器件放入亿捷EJER电子防潮箱中管理，可减少环境湿度波动对测试的干扰。

在轨运行阶段，还应建立翻转率监测和刷新策略自适应调整机制。地面测控可定期读取投票器错误计数和EDAC纠错计数，评估实际辐射环境与设计预期的偏差；若翻转率升高，可缩短刷新周期或加强关键区域巡检。通过器件降额、屏蔽设计、TMR表决、刷新清洗和在轨健康管理的组合，星载计算机可在十年任务周期内保持逻辑状态可控。

五、结语

单粒子翻转对星载计算机逻辑的破坏具有随机性和传播性。TMR投票器解决实时表决问题，刷新电路解决错误累积问题，二者协同构成可靠的容错闭环。工程实践中，应把投票器加固、刷新周期计算、EDAC配置和在轨监测统一考虑，并通过规范的地面验证确认设计裕量。亿捷EJER的电子防潮柜和电子防潮箱在实验室环节为科研院所提供高精度存储环境，可作为器件存储和测试保障的辅助手段，与体系结构容错设计共同支撑卫星在轨长期可靠运行。