18、重构容错设计：三模冗余（TMR）与重构、故障检测与恢复、自修复系统
各位好，今天我们来聊一个在航天、军工、通信领域绕不开的话题——重构容错设计。
说白了，就是让FPGA在出故障时还能继续干活。我早年做卫星通信项目时，最怕的就是单粒子翻转（SEU）。太空里高能粒子一撞，寄存器里的值就变了，系统直接崩掉。那会儿我就深刻体会到：没有容错的设计，在关键系统里就是定时炸弹。
18.1 三模冗余（TMR）——最经典的容错方案
TMR（Triple Modular Redundancy）的思路很简单：三个模块同时算，多数表决输出。你想想看，三个结果里至少两个是对的，那输出就取多数值。单个模块出错，系统照样跑。
核心思想：用面积换可靠性。三个模块并行，一个表决器兜底。
我在项目中遇到过一个问题：TMR虽然能抗单点故障，但如果表决器本身坏了呢？嗯，这里要注意——表决器也需要加固。我一般用三模表决器，或者用更简单的“两两比较”逻辑来降低表决器复杂度。
18.1.1 典型TMR结构
// 三模表决器 Verilog 示例
module voter #(parameter WIDTH = 8) (
input [WIDTH-1:0] a, b, c,
output [WIDTH-1:0] y
);
assign y = (a & b) | (b & c) | (a & c);
endmodule这个代码看着简单，但实际用的时候要注意：位宽要匹配，组合逻辑不能有毛刺。我曾经因为没加同步寄存器，导致表决结果在时钟沿附近跳变，整个系统跟着抖。后来我习惯在表决器前加一级寄存器，稳得很。
18.1.2 TMR的代价
| 指标 | 单模块 | TMR | 代价倍数 |
|---|---|---|---|
| LUT用量 | 1000 | ~3200 | 3.2x |
| 功耗 | 1W | ~3.5W | 3.5x |
| 布线资源 | 正常 | 紧张 | 2~3x |
你看，代价不小。但关键系统里，这钱必须花。我建议只在关键路径、状态机、配置寄存器上做TMR，别全片铺开，否则资源爆炸。
18.2 故障检测与恢复——怎么知道坏了？
TMR能抗错，但没法告诉你“哪个模块坏了”。要检测故障，还得加监控逻辑。
我个人习惯用看门狗定时器（WDT）加CRC校验的组合。WDT检测模块是否“卡死”，CRC检测数据是否“篡改”。
小技巧：在重构区域里放一个“心跳信号”，每隔一段时间翻转一次。外部监控如果发现心跳停了，就判定该区域故障，触发重构。
18.2.1 故障检测流程
- 监控层：每个模块输出一个健康状态信号（0正常，1故障）。
- 比较层：将三个模块的输出两两比较，不一致则标记。
- 决策层：如果某个模块连续N次不一致，判定为永久故障。
- 恢复层：触发部分重构，重新加载该模块的比特流。
我曾经踩过一个坑：故障判定阈值N设得太小。有一次瞬态干扰导致模块短暂异常，结果系统误判为永久故障，直接触发了重构。重构期间系统性能下降，反而影响了正常业务。后来我把N设为3~5，配合去抖逻辑，误判率降到了0.1%以下。
18.3 自修复系统——让FPGA自己“疗伤”
自修复，说白了就是故障检测 + 动态重构的闭环。系统检测到故障后，自动调用ICAP（内部配置访问端口）重新加载故障区域的比特流。
我做过一个自修复控制器，结构大致如下：
// 自修复状态机（简化版）
typedef enum {IDLE, DETECT, RECONFIG, VERIFY} state_t;
state_t state;
always @(posedge clk) begin
case (state)
IDLE: if (fault_detected) state <= DETECT;
DETECT: begin
fault_addr <= locate_fault(); // 定位故障模块
state <= RECONFIG;
end
RECONFIG: begin
icap_reconfig(fault_addr); // 调用ICAP重构
state <= VERIFY;
end
VERIFY: begin
if (verify_ok()) state <= IDLE;
else state <= DETECT; // 重构失败，重试
end
endcase
end警告：ICAP操作期间，被重构的区域会暂时失效。如果该区域负责关键数据通路，需要设计“降级模式”或“旁路模式”来保证系统不中断。
18.4 知识体系总览
下面这张图总结了本章的核心逻辑：从TMR容错，到故障检测，再到自修复闭环。
18.5 实战建议
- 先做仿真验证：注入故障（比如翻转寄存器值），看TMR和自修复是否按预期工作。我习惯用$random函数模拟SEU。
- 注意重构时间：部分重构需要毫秒级时间。如果系统要求微秒级恢复，那TMR本身就得扛住，重构只是“后台修复”。
- 保留调试接口：在自修复控制器里留一个JTAG或UART口，方便查看故障日志。我曾经因为没留接口，现场出了问题只能干瞪眼。
避坑指南：我曾经在TMR的三个模块里用了同一个时钟源，结果时钟抖动导致三个模块同时出错，表决器直接输出错误值。后来我改用三个独立的时钟域，或者加时钟去抖电路，问题才解决。
好了，关于重构容错设计就聊到这里。TMR、故障检测、自修复，这三板斧用好了，你的FPGA系统就能在恶劣环境下稳如泰山。记住：容错不是锦上添花，而是雪中送炭。
公众号:蓝海资料掘金营，微信deep3321