3. 故障模型与故障分类

在星载处理器的可靠性设计中，故障模型是容错机制的“输入假设”。如果对故障的时间特性、空间分布和可重复性判断错误，后续的冗余策略、检错编码和恢复流程都会建立在错误前提上。工程上通常按持续时间与可重复性把故障划分为永久故障、瞬态故障和间歇故障三类，它们对检测、隔离和恢复的要求差异很大。

一、三类故障的时间特征

永久故障指故障源持续存在，系统一旦进入该状态，不经过物理修复或结构重构就不会自行消失。典型例子包括：SRAM 单元因总剂量效应被永久锁定在某一逻辑值、互连金属线因电迁移断裂、焊点开裂导致某条数据线恒为开路。永久故障的表现是可重复、稳定、与激励条件弱相关：无论何时访问该地址或该通路，错误都会以相同方式出现。对它的处理必须依赖冗余切换、结构重构或降级运行，单纯重试无效。

瞬态故障（又称软错误）由单粒子翻转、电源噪声、电磁干扰等一次性事件引起，故障源在很短时间内消失。其核心特征是不可重复、随机出现、与时间强相关。例如，宇宙射线击中 SRAM 存储单元导致某位翻转，但该单元本身并未损坏，下一次写入即可恢复正常。瞬态故障的难点在于：错误发生时可能已经传播到下游，而故障源却已消失，因此无法通过“定位坏点”来修复，只能依靠检错、重试、刷新或时间冗余来纠正。

间歇故障介于两者之间，表现为同一位置反复出现、时好时坏。它通常由潜在缺陷引起，如临界时序路径在电压偏低或温度偏高时偶发建立时间违例、接触电阻偏大的过孔在振动下时通时断。间歇故障的危险性在于：它既不像永久故障那样稳定可测，也不像瞬态故障那样完全随机，容易在测试中被漏检，却在轨运行中反复触发。工程上常把间歇故障视为永久故障的“前兆”，一旦定位到固定地址或固定通路的重复错误，应优先按永久故障处理。

二、星载处理器中的典型故障模式

把上述分类落到星载处理器的具体结构上，可以归纳出几类高频故障模式。

存储单元翻转是最典型的瞬态故障。星载 SRAM 和寄存器在轨运行时，高能粒子穿过存储节点，可能使存储的“0”翻成“1”或反之。若该位属于程序计数器、状态寄存器或关键控制字，错误会立即改变执行流。工程上常用 SECDED 纠错码保护存储器，用三模冗余保护关键寄存器，并周期性刷新以清除累积翻转。

组合逻辑单粒子瞬态是另一类瞬态故障。粒子击中组合逻辑门，输出端产生一个窄脉冲，若恰好在时钟沿附近被下游触发器捕获，就形成软错误。它的特点是错误只在特定时序窗口内传播，检测难度高于存储翻转。常用时间冗余（如双采样、延迟锁存）或对关键路径做三模冗余来抑制。

时钟与复位网络故障往往表现为永久或间歇故障。时钟树某分支因工艺缺陷出现建立时间临界，在低温或低压下偶发失锁，属于间歇故障；若时钟源本身损坏，则表现为永久故障。星载处理器通常配置独立看门狗和时钟监测电路，一旦检测到时钟异常即切换备份时钟或复位。

总线与互连故障包括数据线固定故障、地址线桥接、总线竞争等。固定故障属于永久故障，可通过总线回读和校验发现；桥接故障可能随温度变化时隐时现，属于间歇故障。工程上采用总线奇偶校验、CRC 和重传机制应对。

电源与地弹噪声引起的故障多为瞬态。大电流开关瞬间造成电源轨塌陷，可能使触发器误翻转或复位误触发。这类故障与工作负载强相关，常通过去耦电容、电源监测和复位滤波来抑制。

三、故障分类对容错策略的指导

三类故障的划分直接决定容错手段的选择。对永久故障，核心是检测—隔离—重构：通过自检和边界扫描定位故障模块，将其从系统中切除，切换到冗余备份。对瞬态故障，核心是检测—纠正—恢复：利用纠错码、重试、刷新或时间冗余把错误纠正回来，不改变系统结构。对间歇故障，核心是记录—判定—升级处理：先记录错误地址和发生次数，若同一位置重复出现，则按永久故障隔离，避免反复触发。

需要强调的是，故障分类不是绝对的。一个瞬态故障若反复击中同一敏感节点，可能表现为间歇故障；一个间歇故障若潜在缺陷持续恶化，最终会变成永久故障。因此，星载处理器的故障管理通常采用分级响应：先按瞬态处理，记录并观察；重复出现则升级为间歇处理；确认稳定复现后按永久故障隔离。这种“先软后硬、先恢复后重构”的策略，能在保证可靠性的同时最大限度保留可用资源。

在实际设计中，还需要把故障模型与在轨环境结合起来。例如，低地球轨道以单粒子瞬态为主，应重点加强存储和寄存器的检错纠错；高轨或强辐射环境则需同时考虑总剂量效应导致的永久故障累积。只有把故障类型、发生位置和容错资源对应起来，才能形成有效的故障检测与容错闭环。