2. 星载FPGA故障模式与失效机理

星载FPGA在轨运行时，面临的不是单一故障，而是一组由空间辐射环境触发的、作用层次和持续时间各不相同的失效机理。理解这些机理的差异，是设计故障注入方案和容错验证策略的前提。本节从单粒子效应家族入手，逐一辨析SEU、SET、SEFI、SEL、MBU和累积损伤的物理本质与表现特征，再落到FPGA内部不同资源对辐射的敏感差异上。

一、单粒子效应家族：从瞬态到永久

高能粒子（质子、重离子、中子）穿过FPGA硅衬底时，沿轨迹电离产生电子-空穴对。当收集到的电荷超过节点临界电荷Qcrit，存储或逻辑状态就可能翻转。按后果的严重程度和可恢复性，单粒子效应可分为以下几类。

SEU（单粒子翻转）是最常见的软错误：粒子击中存储单元，使某一位从0变1或从1变0。它不损坏器件，重新写入即可恢复。在配置存储器中，一次SEU可能改变某个LUT的初始化值或布线开关状态，从而改变电路功能。SEU的截面通常用σ（cm²/bit）表示，错误率则与轨道粒子通量、器件位数相关。

SET（单粒子瞬态）发生在组合逻辑或时钟路径中：粒子击中组合节点，产生一个窄脉冲（典型几十到几百皮秒）。若该脉冲在时钟沿附近被下游触发器捕获，就转化为SEU；若被滤除，则无后果。SET本身是瞬态的，但对时序敏感路径威胁很大，尤其在时钟树和高频数据路径中。

SEFI（单粒子功能中断）指粒子导致器件控制逻辑、状态机或配置控制器进入错误状态，使整个功能模块甚至器件级功能中断。SEFI不一定伴随位翻转，可能表现为状态机跳转到非法状态、配置控制器挂死、PLL失锁等。恢复往往需要重新配置或复位。

SEL（单粒子锁定）是CMOS结构中的寄生晶闸管被触发导通，形成低阻大电流通路。SEL是硬故障：一旦发生，电流急剧上升，可能烧毁器件。星载FPGA必须通过工艺加固（如外延衬底）和限流保护来抑制SEL。检测到SEL后通常需要断电重启。

MBU（多位翻转）是单粒子在相邻存储单元中同时造成多位翻转。随着工艺尺寸缩小，一个粒子可影响多个物理相邻的位。若这些位属于同一个逻辑字，纠错码（如SEC-DED）可能无法纠正。MBU对配置存储器和BRAM的威胁尤为突出。

累积损伤包括总电离剂量（TID）和位移损伤（DD）。TID导致阈值电压漂移、漏电流增大，最终器件失效；DD造成晶格缺陷，影响载流子寿命。累积损伤是渐进过程，与任务寿命和屏蔽设计直接相关。

二、配置存储器：最敏感的大面积目标

SRAM型FPGA的配置存储器（CRAM）存储了LUT真值表、布线开关、I/O配置等全部信息。以Xilinx Kintex-7为例，单器件配置位约数千万位，是SEU截面的主要贡献者。一次CRAM翻转可能改变某个LUT的逻辑功能，也可能断开或接通一条布线，导致电路功能偏离设计意图。

CRAM的敏感特性体现在三方面：面积大，翻转概率与位数成正比；后果不可预测，翻转位置不同，影响从无到致命；MBU风险高，先进工艺下相邻配置位可能被同一粒子击中。工程上常用回读比对+部分刷新来纠正，但刷新周期与错误累积速率必须匹配。若刷新间隔过长，多个错误可能叠加成不可纠正状态。

三、BRAM、DSP与时钟资源的敏感差异

BRAM存储用户数据，每个块含数据位和校验位。SEC-DED可纠正一位、检测两位，但MBU若同时翻转两位数据位，纠错即失效。因此星载设计中常采用位交织：把逻辑上相邻的位映射到物理上远离的存储单元，使一次粒子最多影响一个逻辑字的一位。交织深度需根据器件MBU截面和轨道环境确定。

DSP资源包含乘法器、加法器和流水线寄存器。配置位翻转可能改变运算模式；流水线寄存器SEU导致计算结果瞬态错误；SET在乘法器组合路径中产生窄脉冲，若被下游捕获则形成错误。DSP通常位于数据通路关键位置，需重点加固。

时钟资源包括PLL/MMCM和全局时钟树。PLL失锁会使整个时钟域停摆，属于SEFI级故障；时钟树上的SET可能被大量触发器同时捕获，造成系统性错误。时钟资源的故障影响面覆盖全芯片，必须独立监控，并准备冗余时钟切换方案。

四、从机理到注入策略

理解上述机理后，故障注入方案就有了明确的靶点。针对CRAM，注入应覆盖LUT配置位、布线开关和I/O配置位，观察功能偏差并验证刷新恢复；针对BRAM，注入数据位和校验位错误，验证纠错逻辑的边界；针对DSP，注入流水线寄存器位翻转和组合路径SET，观察计算结果偏差；针对时钟，注入PLL配置位翻转模拟失锁，验证时钟监控和切换逻辑。

需要强调的是，不同故障模式的注入粒度和观测窗口不同。SEU注入以位为单位，观测窗口从微秒到秒级；SET注入需在时钟沿附近精确控制，观测窗口为纳秒级；SEL和累积损伤则属于器件级或寿命级验证，通常通过加速试验和长期监测完成。将机理分类与注入策略对应起来，才能构建覆盖完整、层次清晰的容错验证体系。