1. PolarFire可靠性系统设计导论
在航天、工业控制、医疗电子、通信基础设施等领域，FPGA 往往承担着系统中最关键的控制、采集与协议处理任务。一旦器件在辐照、极端温度或长期运行中出现配置翻转、逻辑错误或功能中断，后果可能远超一次普通的功能缺陷。PolarFire 系列 FPGA 正是面向这类场景设计的器件：它在 SRAM 型 FPGA 的高逻辑密度与闪存型 FPGA 的非易失、抗配置翻转特性之间取得平衡，成为可靠性系统设计中一个值得认真评估的平台。
PolarFire 在可靠性应用中的定位
理解 PolarFire 的定位，需要先区分两类常见的可靠性威胁。第一类是配置存储器翻转：传统 SRAM FPGA 的配置位在辐照下可能被翻转，导致逻辑功能改变，甚至出现两个功能单元之间的短路桥接。第二类是用户逻辑与存储单元翻转：无论哪种 FPGA，用户寄存器、Block RAM 和 DSP 流水线都可能受到单粒子翻转影响。PolarFire 采用非易失配置单元，上电即工作，配置层本身不依赖持续供电保持，因此对配置翻转具有天然优势；同时它提供内置的 SEU 免疫或可纠错存储资源，以及系统级监控能力，使设计者可以把精力集中在用户逻辑的容错上。
从系统架构角度看，PolarFire 适合放在“控制与决策”层，而不是单纯的胶合逻辑层。它通常承担状态机控制、数据采集与预处理、协议栈实现、故障检测与隔离等任务。这意味着可靠性设计不能只关注器件本身，还要关注它与电源、时钟、外部存储、传感器和执行机构之间的接口关系。
可靠性系统的基本概念
可靠性不是单一指标，而是一组相互关联的属性。工程上通常从以下几个维度描述：可靠性指在规定条件下、规定时间内完成规定功能的概率；可用性指系统在任意时刻处于可工作状态的比例；安全性指系统失效时不会造成不可接受后果的能力；可维护性指故障发生后恢复的难易程度。对 FPGA 系统而言，还需要特别关注单粒子翻转率和配置保持能力。
这些概念落到设计上，会转化为具体的架构选择。例如，为了提高可用性，可以采用双通道冗余加表决；为了提高安全性，可以在关键输出路径上增加比较器和使能门；为了提高可维护性，可以设计在线自检和故障日志。PolarFire 的非易失配置特性减少了“配置丢失”这一类故障模式，但用户逻辑中的寄存器和存储单元仍然需要容错设计，不能因为器件本身抗配置翻转就忽略整体可靠性。
设计验证流程总览
可靠性系统的验证流程与普通功能验证有显著区别。普通验证主要回答“功能是否正确”，可靠性验证还要回答“在异常条件下是否仍然安全或可恢复”。因此流程通常包含以下环节：
- 需求与故障模式分析：明确系统在哪些条件下必须保持工作，哪些条件下必须进入安全状态。常用 FMEA 或故障树方法识别关键失效路径。
- 架构设计与冗余策略：根据故障模式选择冗余粒度，例如三模冗余、双通道比较、时间冗余或信息冗余。
- RTL 实现与功能仿真：在正常激励下验证功能，同时注入故障模型，观察系统响应。
- 时序与资源分析：确认在极端温度和电压降额条件下仍能满足建立/保持时间，并评估资源占用对布局布线的影响。
- 故障注入与覆盖率评估：通过仿真或硬件注入，统计检测覆盖率、隔离成功率和恢复时间。
- 物理试验与长期监测：在辐照源、温箱或实际运行环境中采集错误率、恢复次数和性能降级数据。
需要强调的是，验证不是最后一步，而是贯穿设计始终的反馈回路。仿真中发现的未覆盖故障模式，往往需要回到架构层修改冗余策略；物理试验中观察到的异常恢复行为，也可能暴露状态机设计中的死角。
课程项目目标与交付物
本课程围绕一个贯穿式项目展开：在 PolarFire 器件上设计一个具备故障检测与恢复能力的可靠性控制模块。项目不追求大而全，而是聚焦于可验证、可复现的关键路径。建议的项目目标包括：
- 实现一个带三模冗余表决的状态机，能够在单通道故障时继续输出正确控制信号；
- 设计一个周期性自检模块，对关键寄存器和存储单元进行巡检，并记录错误计数；
- 建立故障注入测试平台，能够按位翻转、通道失效和时钟抖动三类故障进行注入；
- 输出一份验证报告，包含故障覆盖率、恢复时间和资源开销的量化结果。
交付物建议包括：RTL 源码与约束文件、故障注入测试脚本、仿真波形与覆盖率报告、资源与时序报告，以及一份简明的设计说明文档。文档中应明确列出所假设的故障模型、验证环境和判定准则，使结果可以被他人复核。