一種基于Flash型FPGA的高可靠系統設計

本文設計中采用的改進(jìn)型 TMR，實(shí)質(zhì)上是一種 3+n模冗余，N個(gè)子系統中昀多只有三個(gè)子系統同時(shí)處于運行狀態(tài)，其余的 N-3個(gè)子系統作為備份隊列，當某個(gè)子系統出現錯誤時(shí)，表決模塊用備份的子系統替換下錯誤的子系統，繼續維持 TMR結構。當已無(wú)備份可用時(shí)， 3模冗余系統可以進(jìn)行降級重構，由 3模冗余降級為 1模。由于延長(cháng)了三模冗余系統的工作時(shí)間，整個(gè)系統的可靠性得到了很大提高。

考慮到資源消耗與可靠性提高的平衡，本文設計中采用了 3+1模結構，也就是 3模冗余， 1模備份。3+1模結構的工作方式為：正常時(shí)進(jìn)行三模冗余表決輸出，出現第 1次永久性故障時(shí)表決處理模塊能夠檢測出錯誤，在輸出正常信號的同時(shí)用備用子系統替換故障子系統，繼續維持 TMR結構；出現第 2 次永久故障時(shí)，表決處理模塊仍然能夠檢測出錯誤，在輸出正常信號的同時(shí)切除故障子系統，自動(dòng)降級為單模工作直至單模子系統完全損壞。這種 3+1模結構借鑒了軟件容錯中的恢復塊技術(shù)和動(dòng)態(tài)冗余結構，能夠容忍至少 2個(gè)子系統錯誤。由于 APA300實(shí)現遙控系統資源余量較大，采用了單片 FPGA片內冗余的方案，進(jìn)一步簡(jiǎn)化了系統的復雜度。

3+1模結構的狀態(tài)轉移圖如下， TMR、SMR和 Failure三個(gè)狀態(tài)分別代表三模冗余、單模工作和系統失效。

在設計中，通過(guò)冗余單元的互鎖機制(Inter-Lock, IL)來(lái)防止錯誤數據通過(guò)冗余單元邊界傳播，為此采用了分區約束的方法進(jìn)行布局布線(xiàn)設計。分區設計不僅能夠隔離錯誤，而且可以充分利用 APA300的 Spine分布，減少路徑延遲。

在用戶(hù)約束文件 GCF文件中作如下約束：

這四條語(yǔ)句把 U1~U4四個(gè)子系統分別限制在一個(gè) spine內，除了全局時(shí)鐘線(xiàn)和輸入輸出線(xiàn)以外，子系統之間沒(méi)有直接的連接，這樣分區布局布線(xiàn)以后就能夠有效地隔離錯誤。

在保證可靠性的同時(shí)，3+1模設計昀大程度的保證了輸出的實(shí)時(shí)性，不需要經(jīng)過(guò)關(guān)機等待周期、重發(fā)指令周期或者輸出不確定周期，能夠連續輸出正確結果直到系統完全倒向錯誤狀態(tài)。為了避免系統重構時(shí)過(guò)快降級，考慮到很多錯誤是瞬時(shí)出現又隨即恢復的軟錯誤，因此設定錯誤出現一定次數（例如 3次）以后才去掉故障模塊。

對于 3+1模結構，可靠性提高的代價(jià)是付出了 4倍的資源開(kāi)銷(xiāo)，另外輸出時(shí)間延遲會(huì )略有增加，因為關(guān)鍵路徑上的表決器增加了判斷、替換的邏輯單元。因此這種結構只適用于資源充裕、系統頻率不高的場(chǎng)合。在空間應用系統中，工作速度往往不是昀重要的，因而 3+1模結構實(shí)質(zhì)上是用速度換面積（可靠性），在資源不足的情況下可以只對關(guān)鍵模塊、錯誤敏感率高的模塊進(jìn)行冗余，以節省資源。

4 系統可靠性分析

假設單機的可靠性為（運行 5年后） , 普通 TMR和本文中改進(jìn)型 TMR的可靠性分別為。由于 2個(gè)以上子系統同時(shí)發(fā)生錯誤的概率很小，假定同一時(shí)刻昀多只有一個(gè)子系統發(fā)生錯誤。

TMR可以容忍 1個(gè)子系統錯誤，可靠性相當于 3個(gè)子系統都正常的可靠性加上某一個(gè)子系統錯誤、其它兩個(gè)子系統正常的可靠性：

同理，改進(jìn)型 TMR的可靠性相當于以下三種情況的可靠性之和：

1）4個(gè)子系統都正常

2）1個(gè)子系統錯誤，其它 3個(gè)子系統正常

3）2個(gè)子系統錯誤，其它 2個(gè)子系統正常