1. 课程导入与任务场景
星载计算机并不是一台“放在太空里的普通计算机”。它运行在由高能质子、电子、重离子和次级中子构成的持续辐射场中，器件内部会随机发生电离与位移损伤效应。对数字逻辑而言，最典型、也最需要在本课程中反复处理的问题，是单粒子效应引起的软错误：粒子穿过存储单元或时序逻辑时，可能在节点上沉积电荷，使原本存储的 0 翻转为 1，或使 1 翻转为 0。这个翻转不一定损坏芯片，却足以让一条指令取错、一个状态机跳错、一份遥测数据失真，甚至让整星进入不可恢复的异常模式。
软错误与硬故障的关键区别在于“可恢复性”。硬故障通常来自器件永久损伤，例如栅氧击穿、金属化熔断，表现为固定失效；软错误则表现为数据或状态暂时错误，重新写入正确值后器件仍可正常工作。但在轨计算机没有人工复位按钮，错误一旦进入控制流，就可能被放大为任务失败。因此，容错验证要回答的不是“器件会不会出错”，而是“出错之后系统还能不能在一个确定的时间内回到正确状态”。
在轨辐射环境与软错误的作用路径
以典型低地球轨道（LEO）卫星为例，辐射环境可拆成三类来源：银河宇宙射线提供高能重离子本底；地球辐射带在极区或南大西洋异常区贡献高能质子与电子；太阳质子事件在爆发期显著抬高质子通量。这些粒子与航天器结构材料作用后，还会产生次级中子，进一步增加单粒子翻转概率。工程上常用 SEU 率（单位：次/器件/天）来评估翻转频次，用 SEL 阈值（单位：MeV·cm²/mg）判断器件是否会发生锁定，用 TID 总剂量（单位：krad(Si)）评估长期累积损伤。
软错误进入系统的路径并不只有“存储位翻转”一条。它可能发生在：
- SRAM/寄存器：配置位、缓存行、状态变量被翻转，导致逻辑功能错误；
- 组合逻辑：粒子击中组合路径，产生瞬态脉冲，若被下游时序单元捕获则形成软错误；
- 时钟与复位网络：毛刺或复位误触发，使多个模块同时进入异常状态；
- 总线与接口：EDAC 校验位、CRC 校验字段被破坏，通信帧被误判或丢弃。
这些路径最终都汇聚到同一个工程问题：错误检测、错误定位、错误恢复三件事必须在有限时间内完成。检测靠冗余与校验，定位靠比对与日志，恢复靠重写、回滚或重构。容错验证就是围绕这三件事，构造可复现的注入与观测手段，证明系统在真实辐射条件下仍能满足任务要求。
为什么必须做容错验证，而不是只做器件筛选
器件筛选能回答“这颗芯片在给定辐射剂量下是否还能工作”，但不能回答“系统在错误发生后是否还能正确恢复”。一颗通过了 SEL 与 TID 考核的处理器，仍可能在轨发生寄存器翻转，导致控制流跳转错误。容错验证的价值在于把“器件级指标”翻译成“系统级行为”：注入一个位翻转后，EDAC 是否在下一个周期纠正？看门狗是否在超时前复位？复位后任务状态是否回到安全点？这些问题的答案只能通过可复现的注入与观测得到。
本课程以一台真实星载计算机为对象，其典型配置可假设为：抗辐射处理器 + 外部 SRAM + NOR Flash + 1553B/CAN 总线接口 + FPGA 协处理单元。我们关注的关键寄存器包括程序计数器、状态寄存器、堆栈指针、DMA 描述符和通信控制寄存器。验证平台由故障注入器、被测单机、遥测采集卡和上位机分析软件组成。注入器通过 JTAG 或总线接口写入错误位，采集卡记录错误前后的遥测帧与日志，上位机比对预期状态与实际状态。
本节任务闭环示例（假设场景）：对某状态寄存器第 3 位注入一次 0→1 翻转，观察系统是否在 100 ms 内通过 TMR 表决纠正，并确认遥测帧中的错误计数递增 1 后不再累积。若恢复时间超过 100 ms 或错误计数持续增长，则判定该路径容错策略不足，需要调整表决粒度或增加回滚点。