4. 存储阵列级可靠性建模与指标分配

当存储系统从单器件走向阵列后，可靠性问题的性质发生了变化：不再是“某颗芯片会不会坏”，而是“在给定冗余结构、纠错能力和任务时间下，整个阵列能否持续提供正确数据”。本节围绕四个相互耦合的量展开——失效率预计、MTBF与任务可靠性、冗余粒度、纠错能力与系统可用度，并给出可落地的建模与指标分配方法。

一、从器件失效率到阵列失效率

阵列级建模的起点是器件级失效率 λ。工程上通常以 FIT（1 FIT = 10⁻⁹ 次失效/小时）为单位，由厂商数据、GJB/Z 299 类手册或现场统计获得。对由 N 个相同存储单元构成的阵列，若单元失效相互独立且任一失效即导致阵列失效（无冗余），则阵列失效率为：

λ_array = N × λ_cell
MTBF_array = 1 / λ_array = 1 / (N × λ_cell)

例如某 NAND 颗粒经预计后 λ_cell = 200 FIT，则 16 颗无冗余阵列 λ_array = 3200 FIT，MTBF ≈ 3.1×10⁵ h。这个数字说明：无冗余时，容量越大，MTBF 越低，这正是必须引入冗余与纠错的根本原因。

需要强调的是，器件失效率本身随温度、擦写次数、电压裕度变化，建模时应使用任务剖面下的等效失效率，而不是常温标称值。对宇航应用，还需叠加单粒子翻转（SEU）与单粒子锁定（SEL）等辐射失效率，二者量纲一致，可直接相加。

二、MTBF 与任务可靠性的区别

MTBF 描述的是长期平均无故障时间，适用于可维修、持续运行的系统；而任务可靠性 R(t) 描述的是“在任务时间 t 内不失效的概率”，适用于发射、在轨成像、再入等一次性或短时任务。二者不可混用：

R(t) = exp(-λ × t)          （指数寿命假设）
任务时间 t = 72 h，λ = 3200 FIT
R = exp(-3200e-9 × 72) ≈ 0.99977

可见 MTBF 高达数十万小时，并不代表任务可靠性一定满足要求；指标分配时必须明确“考核的是 MTBF 还是 R(t)”，并据此选择冗余策略。

三、冗余粒度：器件级、通道级与阵列级

冗余粒度决定了失效影响的范围和修复代价。常见三种粒度：

• 器件级冗余：以额外颗粒替换失效颗粒，粒度最细，恢复代价低，但需要独立通道与切换逻辑，面积与功耗开销大。
• 通道级冗余：以整条存储通道为替换单位，切换简单，但一次失效损失容量大。
• 阵列级冗余：整阵列备份，可靠性提升有限，通常只用于关键小容量区。

粒度越细，冗余带来的可靠性增益越高，但控制逻辑复杂度、功耗和成本也越高。工程上常采用“器件级 + 纠错码”组合，而非单纯堆冗余。

四、纠错能力与可用度的定量关系

纠错码（ECC）把“失效”重新定义为“超出纠错能力的不可纠正错误（UE）”。以 BCH 码为例，若每页可纠 t 位、检测 t+1 位，则单页 UE 概率近似为：

P_UE ≈ C(n, t+1) × p^(t+1)
n = 8192 bit/页，t = 8，p = 1e-6
P_UE ≈ C(8192,9) × (1e-6)^9 ≈ 1.6e-24

该示例说明：纠错能力每提高 1 位，UE 概率可下降数个数量级。但 ECC 只对抗随机位错误，对整颗颗粒失效、通道断路等硬故障无效，因此必须与冗余配合。

系统可用度 A 可表示为：

A = MTBF / (MTBF + MTTR)
MTTR = 检测时间 + 切换时间 + 重构时间

冗余切换越快、重构越短，MTTR 越小，可用度越高。对不可维修的在轨系统，可用度退化为任务可靠性，此时应优先提升 R(t) 而非 MTBF。

五、指标分配示例

假设某星载存储阵列要求任务时间 72 h 内 R(t) ≥ 0.999，总失效率预算 λ_total ≤ 1.4×10⁻⁵ /h（约 14000 FIT）。按下列分配：

分配完成后需回代验证：λ_total × t = 1.4e-5 × 72 ≈ 1.0e-3，R(t) ≈ 0.999，恰好满足要求。若某分项超预算，应优先通过提高 ECC 纠错位数或细化冗余粒度来压缩，而不是简单削减其他分项。

综上，阵列级可靠性建模的核心是把“器件失效率—冗余结构—纠错能力—可用度”串成一条可计算的链路：先用任务剖面确定 λ，再按冗余粒度修正有效失效率，用 ECC 把随机位错误压到可忽略，最后用 MTBF/MTTR 或 R(t) 判断是否达标。指标分配则是这条链路的反向操作——从系统目标逐级下压到颗粒、控制器、电源与互连，并在回代验证中确认预算闭合。