基于三模冗余加固的ASIC设计与实现

夏 辉，唐 威，黄媛媛，赵 亮

（西安微电子技术研究所，西安710065）

·大规模集成电路设计、制造与应用·

基于三模冗余加固的ASIC设计与实现

夏 辉，唐 威，黄媛媛，赵 亮

（西安微电子技术研究所，西安710065）

集成电路处于太空环境下，可能会受到单粒子效应的影响。针对单粒子翻转的影响提出了一种三模时空冗余架构的设计和实现方法，通过了功能仿真并对抗辐照实验进行了验证。仿真和实验结果表明，这种架构相对于全电路三模冗余架构面积开销较小却满足了抗辐照性能的要求。

单粒子翻转；三模冗余；时钟树综合；辐射加固；专用集成电路；功能后仿真

1 引 言

随着科技的进步，人们对于太空的探索越来越深入频繁，对于宇航用集成电路的要求越来越高。专用集成电路在太空能否正常工作成为人们关注的焦点，抗辐照指标成为衡量专用集成电路性能的重要指标。太空辐照环境下，高能单粒子会入射到集成电路芯片的内部，并在入射路径上发生电离，产生电子空穴对，电路的节点会吸收电子或空穴改变原有的电平，造成存储电路或者时序电路功能异常甚至失效，这种效应称为单粒子翻转（SEU，Single EventUpset）［1］。据美国NGDC（national geophysical data center）统计，在美国1971年至1982年间发射的39颗地球同步卫星中，发生了1589次故障，其中由各种空间辐射效应引起的故障多达1129次，占故障总数的71%，而在辐射引起的故障中，单粒子翻转造成的故障多达621次，占故障总数的39.08%［2］。法国地球资源卫星SPOT－1星上计算机存储器在轨道工作的前30年期间发生了100多次单粒子翻转事件，平均每年3～5次，通常每次SEU影响卫星工作1～3天。我国发射的航天器也有类似的故障发生［3］。

为满足航天技术对集成电路的需求，基于单粒子翻转的抗辐照加固技术愈发受到人们的关注。三模冗余是一种对单粒子翻转有效的容错技术，有效屏蔽了单粒子对电路的攻击，保证整个电路功能的正确性［4－5］。文献［6］中使用全电路的三模冗余架构完成电路的抗辐照加固，但是面积开销太大，经过加固之后的电路逻辑面积增大到4～5倍。文献［7］通过设计抗辐照双互锁存储单元来实现抗辐照加固，虽然具有很好的抗辐照性能，但是设计抗辐照标准单元会明显延长设计周期。文中介绍一种基于时空冗余的三模加固方案，具有研发周期短，面积开销小等优点。

2 三模时空冗余

集成电路的三模冗余设计在架构上分为空间冗余和时间冗余。空间冗余设计是将要加固的模块复制成三份，三个模块执行相同的功能，通过增加电路规模来提高抗辐照性能；时间冗余设计是三路时钟之间存在一定的延迟，将三路时钟错开，通过避免时钟跳变边沿附近的毛刺影响来提高电路抗辐照性能。

以一款宇航用ASIC为例介绍基于时空冗余的三模加固设计实现，该电路用于星载遥感遥测，设计采用SOI工艺，规模达20多万门，126个功能I/O，采用半定制标准单元正向设计。

2.1 空间冗余设计

考虑到全电路三模加固带来功耗和面积开销太大，电路设计是功耗、面积和性能三者之间的折衷。组合逻辑中不存在反馈信号，即便有节点发生单粒子翻转，当翻转结束后组合电路也会恢复到原来的电位，而且实验证明由单粒子翻转产生的毛刺宽度一般不会超过1ns［8］。可测性设计添加的寄存器只在测试时用到，电路处于太空辐射环境下工作于功能模式时，可测性设计添加的寄存器抗辐照性能不会对整体电路的抗辐照性能造成影响，所以设计采用的加固方案不同于全电路三模冗余加固，只针对需加固模块的寄存器进行三模加固，组合逻辑以及由可测性设计引入的寄存器不做三模加固处理，三模空间冗余架构如图1所示。

图1 电路的三模冗余架构

设计采用的空间冗余加固过程是为需要加固模块中的寄存器额外生成两个冗余寄存器并加上表决逻辑，在RTL代码中实现比较困难，所以要对逻辑综合之后的网表进行修改。把寄存器改为用门级描述编写的三模冗余寄存器模块。此外由于有三路时钟信号，要引入时钟生成模块（CGU，Clock Generation Unit）产生三路时钟，这样修改后的网表就不是完全映射后的网表，要对网表进行再综合，将三模冗余模块和CGU模块映射到综合库中的标准单元，得到三模冗余加固之后的网表文件。

2.2 时间冗余设计

采用的三模冗余空间设计区别于全电路冗余设计，可以解决单个寄存器的单粒子翻转，但是存在单粒子瞬态位于时钟沿附近跳变的问题，这就需要引入时间冗余设计来弥补这个问题。设计基于时间冗余的加固方案是将时钟生成模块CGU产生的三路时钟之间产生一个时间延迟，值的大小决定了电路的抗辐照性能，值越大，可纠错的毛刺宽度就越大，电路的抗辐照性能就越高。单粒子翻转产生的毛刺一般不超过1ns，因此将值设置为1.2ns。

图2 电路CGU结构图

三路时钟之间的延迟使得在时钟树综合阶段的流程发生变化。如图2所示，全电路三模加固功能模式下的SDC约束文件对于CGU输入时钟in＿clk的定义为create clock。在D、E、F三个节点定义经过延迟、分频产生的三模冗余时钟clk1、clk2、clk3为create generated clock，clk1、clk2、clk3为同一个输入时钟生成的三个create generated clock。在时钟树综合时，综合工具会在三路时钟上插入缓冲器（buffer），从输入时钟到达A、B、C三个节点的延迟近乎相等，无法实现基于时间冗余的容错设计。

为解决以上问题带来的设计实现难度，设计采用两个功能SDC约束文件。其中之一采用上文提到的时钟定义，用于布局布线以及时序修复；另一个约束文件专门用于时钟树综合。具体做法就是在输入端和A、B、C三个节点分别定义时钟为create clock，在D、E、F定义时钟为create generated clock，这样三路时钟的源分别为A、B、C，在进行时钟树综合时，工具会从A、B、C三个节点开始生成时钟树，从而实现基于时间冗余的容错设计。

3 三模设计实现

数字集成电路按照层次化抽象，一般包括输入输出PAD，组合逻辑，时序逻辑。为了提高电路的抗辐照性能，采用三模冗余架构，希望由单粒子翻转引起的错误不会逐级传递。

实现电路的三模冗余架构流程如图3所示，首先要对电路进行逻辑综合，得到电路网表；使用Formality工具验证网表和RTL代码的一致性；一致性验证通过后开始对网表进行三模处理。对需要加固的功能模块进行空间冗余的处理，将加固模块的寄存器扩展为三倍并加入表决器；对CGU进行时间冗余的处理，CGU生成三个互有延迟的时钟信号，延迟关系约为clk1＋2Δt＝clk2＋Δt＝clk3。得到三模加固的网表后再次进行逻辑综合，通过比较加固模块的寄存器数量、延迟关系验证时空冗余架构是否完整。验证通过后使用IC Compiler对网表进行物理综合，得到电路版图，然后对版图网表进行静态时序分析以满足电路建立时间和保持时间的要求，再对网表进行形式验证，DRC/LVS验证等。验证通过后对带有时序信息的网表进行后仿真，并对电路节点进行注错分析，最后得到用于流片的版图数据。

图3 基于三模冗余的设计实现流程图

从后仿真故障注错图4（a）可以看到，当关闭一路时钟clk1时，即第一路时钟所在路径发生故障，该路寄存器无法正常采样，其他两路寄存器输出结果仍正确，经过裁决后的输出正确，空间冗余设计的正确性得到验证。如图4（b）所示，由单粒子翻转产生的毛刺位于组合逻辑中且发生在时钟边沿时，由于时间冗余的三模设计，该跳变只会改变其中一路寄存器的值，其他两路寄存器输出不变，经过裁决后的输出正确，时间冗余设计的正确性得到验证。

4 实验结果及分析

文中所设计的是对单粒子翻转容错的电路，最终电路版图如图5所示。

流片后实验结果满足航天器件的抗辐照指标要求：

图4 后仿真故障注错图

图5 电路版图

实现的电路基于时空冗余的三模架构和全电路三模架构的性能及指标影响，如表1所示。

表1 电路性能指标的比较

表1中门数和关键路径的延迟是通过EDA软件IC Compiler分析出来的结果。通过比较结果，可发现从电路规模方面看，时空冗余三模加固架构的电路规模明显小于全电路加固电路的规模，设计门数减少57.58%。虽然关键路径的延迟稍有变大，但在用户可接受的范围之内。经过流片测试验证后，设计采用的时空冗余架构同全电路三模加固架构一样都达到了航天器件的抗辐照指标。由此可见，同全电路三模加固架构相比，有效减小了电路规模，同样达到了抗辐照加固指标。

5 结束语

首先分析了三模冗余机理，然后针对数字集成电路的设计提出了一种抗单粒子翻转的三模冗余架构，并将其应用于一款星载遥感遥测ASIC的设计实现中，同全电路三模冗余架构进行了对比，该架构满足了航天器件的抗辐照标准，牺牲了较小的关键时序路径的延迟，有效地减小了电路的规模。

［1］ 刘文平.硅半导体器件辐射效应及加固技术［M］.北京：科学出版社，2013.

LIUWen－ping.Radiation effect of silicon semiconductor devices and reinforcement technology［M］.Beijing：Science Press，2013.

［2］ 王长河.单粒子效应对卫星空间运行可靠性的影响［J］.半导体情报，1998，35（1）：1－8.

WANG Chang－he.The influence with reliability of motional satellite by the single－event phenomena［J］.Semiconductor Information，1998，35（1）：1－8.

［3］ 邵隆.超深亚微米器件单粒子翻转率计算方法研究［D］.西安：西安电子科技大学，2013.

SHAO Long.Research on the calculationmethod of single event upset rate for ultra－deep submicron device［D］.Xi’an：Xidian University，2013.

［4］ 宁新权，刘步民，聂永峰.三模冗余设计在ASIC设计中的实现方法［J］.现在电子技术，2012，35（2）：128－130.

NING Xin－quan，LIU Bu－min，NIE Yong－feng.Implementation of triple modular redundancy in ASIC design［J］.Modern electronic technology，2012，35（2）：128－130.

［5］ 刘丽娜，吴全兴，刘宝娟.三模冗余技术在FPGA领域的应用［J］.微处理机，2011（5）：15－17.

LIU Li－na，WU Quan－xing，LIU Bao－juan.The applications of triple module redundancy in FPGA［J］.Microprocessors，2011（5）：15－17.

［6］ 桂江华，徐睿，卓琳.基于三模冗余架构的集成电路加固设计［J］.中国电子科学研究院学报，2013（6）：643－646.

GUI Jiang－hua，XU Rui，ZHUO Lin.The research of radiation harden for ASIC［J］.Journal of CAEIT，2013（6）：643－646.

［7］ 张丹丹.DICE型D触发器三模冗余设计实现及辐照实验验证［J］.半导体集成电路，2014，39（7）：496－500.

ZHANG Dan－dan.TMR realization of the DICE－type D flip－flop and the radiation harden experiment verification［J］.Semiconductor integrated circuits，2014，39（7）：496－500.

［8］ BAZE M P，BUCHNER S P.Attenuation of singer event induces pulses in CMOS combinational logic［J］.IEEE Transactions on Nuclear Science，1997，44（6）：2217－2223.

Research of Radiation Harden Based on Triple Modular Redundancy for ASIC

Xia Hui，Tang Wei，Huang Yuanyuan，Zhao Liang
（Xi’an Microelectronics Technology Institute，Xi’an 710065，China）

Integrated circuitmay be affected by the single event upset in the outer space.In this paper，a design and implementation based on triple modular time－space redundancy architecture is introduced to solve single event upset effect.The functional simulation and anti－irradiation experiment show that the architecture，with a smaller area，meets the requirements of anti－irradiation performance comparing to full triplemodular redundancy architecture.

SEU；TMR；CTS；Radiation harden；ASIC；Functional simulation

10.3969/j.issn.1002－2279.2015.05.001

TN492

A

1002－2279（2015）05－0001－03

夏辉（1989－），男，山东省威海市人，硕士研究生，主研方向：IC设计。

2015－03－18