23、高级话题：动态重构与容错计算
各位同学，今天我们聊点硬核的。动态重构和容错计算，这两个词放在一起，说白了就是让芯片在运行过程中既能“变脸”，又能“扛揍”。
我在做卫星通信项目时，遇到过一块FPGA在太空里被高能粒子打中，逻辑功能突然紊乱。那时候我就想，要是芯片能自己检测到错误，然后动态切一块备用电路上去，该多好？嗯，今天的内容，就是解决这个问题的。
23.1 动态重构与容错的基本概念
动态重构，指的是FPGA在运行状态下，通过部分重构（Partial Reconfiguration, PR）技术，改变部分逻辑区域的功能。容错计算，则是系统在出现硬件故障时，仍能正确执行任务。
两者结合，就形成了“自修复系统”。
核心思想： 动态重构提供“变”的能力，容错计算提供“稳”的保障。缺一不可。
我个人的习惯是，把容错分为三个层次：
- 检测层： 发现错误（比如CRC校验、双模冗余比较）
- 隔离层： 把故障区域从系统中剥离（比如三模表决中的故障模块）
- 恢复层： 用动态重构把故障区域替换成新的功能模块
你想想看，如果只有检测没有恢复，那系统只能报警，不能自救。只有恢复没有检测，那就是盲修。所以这三层必须闭环。
23.2 动态重构在容错中的典型架构
我在项目中常用的一种架构，叫做“三模冗余 + 动态刷新”。说白了，就是三个模块同时干活，输出结果投票。如果某个模块出错了，系统自动触发部分重构，把那个模块重新加载一遍。
下面这张图展示了这个流程：
这个架构的好处是：投票器能容忍一个模块出错，而动态重构能把出错的模块“换掉”。我曾经在雷达信号处理项目里用过这个方案，当时模块B因为单粒子翻转（SEU）导致输出异常，系统在3微秒内完成了检测和重构，业务几乎没受影响。
23.3 关键设计要点
做动态重构容错，有几个坑必须避开。我一个个说。
23.3.1 重构区域与静态区域的隔离
动态重构时，重构区域的逻辑会瞬间“消失”。如果静态区域（不重构的部分）正在读取重构区域的输出，那数据就会变成高阻态或随机值。
避坑指南： 我曾经在重构区域和静态区域之间忘记加同步寄存器，结果静态区域读到了毛刺，导致整个状态机跑飞。后来我强制要求：所有跨区域信号必须经过两级同步，并且用“使能信号”做握手。
23.3.2 重构时间与容错窗口的匹配
动态重构需要时间（通常是毫秒级）。如果系统要求微秒级恢复，那重构就来不及。
我的做法是：
- 对于时间敏感的任务，先用“热备份”模块顶上去（比如三模冗余中，故障模块被隔离后，剩下两个模块继续工作）
- 然后后台慢慢重构故障模块，重构完成后重新加入投票
说白了，就是“先隔离，后修复”。不要等重构完了再恢复功能。
23.3.3 重构位流的存储与校验
重构位流（bitstream）如果本身被损坏，那重构出来的电路也是坏的。这在太空环境中尤其常见。
我的经验： 我会在片外Flash中存储两份位流，一份主本，一份副本。加载前先做CRC校验，如果主本坏了，自动切换到副本。如果副本也坏了，那就触发“回退模式”，加载一个最小功能的应急位流。
23.4 实际案例：卫星通信中的抗辐射设计
我记得有一次做低轨卫星的通信载荷，FPGA用的是Xilinx的Kintex-7。太空中的高能粒子会导致两种问题：
- 单粒子翻转（SEU）： 寄存器或BRAM内容被翻转
- 单粒子功能中断（SEFI）： 配置存储器被改写，导致逻辑功能完全错误
对于SEU，我们用三模冗余 + 定期回读校验（Readback CRC）来解决。对于SEFI，就必须用动态部分重构来恢复。
具体流程是这样的：
| 步骤 | 操作 | 时间 |
|---|---|---|
| 1 | FPGA内部CRC检测到配置错误 | 实时 |
| 2 | 故障检测器定位到具体重构区域 | ~10 μs |
| 3 | 系统暂停该区域的输入数据 | ~1 μs |
| 4 | 从Flash加载正确的部分位流 | ~5 ms |
| 5 | 重构完成后，恢复数据通路 | ~1 μs |
你看，整个过程中，系统只有5毫秒左右的“降级运行”状态（其他两个模块继续工作），之后完全恢复。这在卫星通信中是完全可接受的。
23.5 总结与个人体会
动态重构与容错计算，说白了就是给FPGA装了一套“免疫系统”。它能自己发现毛病，自己吃药，自己康复。
我做了这么多年设计，最大的体会是：容错不是事后补救，而是设计之初就要考虑进去的架构。如果你等到流片回来再想怎么容错，那就晚了。
嗯，最后说一句：动态重构的位流管理一定要做好版本控制。我曾经因为位流版本搞混，导致重构出来的模块和静态区域接口不匹配，查了三天才找到原因。从那以后，我每个位流文件都带时间戳和CRC校验值，文件名里还标注了对应的功能版本。
希望今天的分享对你有帮助。下次遇到需要高可靠性的场景，不妨试试这套思路。