TMR_5DFF结构的三模冗余抗辐照加固单元电路及其应用

摘要

TMR_5DFF结构的三模冗余抗辐照加固单元电路及其应用，属于集成电路领域，用于解决增强型时空三模冗余在时钟下降沿附近前后两级锁存器会同时导通，造成输出错误的问题，要点是包括三组冗余模块和一个表决器，第一组冗余模块包括D触发器U00、D触发器U01；第二组冗余模块包括D触发器U10、D触发器U11；第三组冗余模块包括D触发器U2，效果是避免EST_TMR出现的LATCH同时导通的情况发生。

权利要求

1.一种TMR_5DFF结构的三模冗余抗辐照加固单元电路，其特征在于：包括三组冗余模块和一个表决器，

第一组冗余模块包括D触发器U00、D触发器U01；

第二组冗余模块包括D触发器U10、D触发器U11；

第三组冗余模块包括D触发器U2；

第一组冗余模块中的D触发器U00的信号输出q0m是D触发器U01的信号输入，第二组冗余模块的D触发器U10信号输出q1m是D触发器U11的信号输入；

D触发器U00、D触发器U10、D触发器U2使用同一数据信号输入D；

D触发器U00的时钟信号输入是Clk0，D触发器U10的时钟信号输入是Clk1，D触发器U2的时钟信号输入是Clk2；

D触发器U01、D触发器U11与D触发器U2使用同一时钟信号输入Clk2；

D触发器U01、D触发器U11、D触发器U2的输出分别为q0、q1、q2，作为表决器的三个输入，表决器的输出是Q；其触发方式是时钟边沿触发，在时钟周期内，时钟信号Clk0的上升沿到达时，D触发器U00采集D值；时钟信号Clk1的上升沿到达时，D触发器U10采集D值；时钟信号Clk2的上升沿到达时，D触发器U01采集q0m，D触发器U11采集q1m，D触发器U2采集D值，使q0，q1，q2同时得到新值，并传到表决器，进行表决输出；在下一个上升沿到达之前，D触发器U00、U01、U10、U11、U2均不被触发，使所述单元电路仅通过时钟边沿进行触发，使得输出Q在一个时钟周期内不会发生变化；两级所述单元电路的时序关系由下式表示：其中:tc‑q,for为前一级单元电路的最大延时，tlogic为组合逻辑的最大延迟，tsu,lat为后一级单元电路的建立时间，tc‑q,cd,for为前一级单元电路的最小延迟，tlogic,cd为组合逻辑的最小延迟，Δt为相邻时钟信号之间的位相延时，T为时钟周期， 为保持时间。

2.如权利要求1所述的TMR_5DFF结构的三模冗余抗辐照加固单元电路，其特征在于：其中的第一组或第二组冗余模块的两个D触发器的时序关系由下式表示：其中:tc‑q,00为前一级D触发器的最大延迟，tline为前一级输出到后一级输入之间的线延迟，tsu,01为后一级D触发器的建立时间，d为SEU引起的瞬态故障的宽度。

3.如权利要求1或2所述的TMR_5DFF结构的三模冗余抗辐照加固单元电路，其特征在于：包括TMR_5DFF结构的三模冗余抗辐照加固单元电路在电路抗辐照加固中的作用。

说明书

TMR_5DFF结构的三模冗余抗辐照加固单元电路及其应用

技术领域

[0001] 本发明属于集成电路领域，涉及一种TMR_5DFF结构的三模冗余抗辐照加固单元电路。

背景技术

[0002] 随着航天事业的发展，集成电路在航空航天领域中有了广泛的应用，ASIC (Application Specific Integrated Circuit,ASIC)芯片的抗辐射能力越来越成为影响
其性能的一个重要指标。在太空中存在着大量的高能辐射粒子，这些粒子会随机入射到航
天器的电子电路中，引起辐射效应，如单粒子效应、总剂量效应等。单粒子效应又分为单粒
[1]
子翻转、单粒子闩锁、单粒子瞬态等 ，其中单粒子翻转 (Single Event Upset，SEU)是最
[2]
普遍的辐射效应 。高能粒子在入射路径上对粒子进行电离，产生大量的电子和空穴，电子
器件会收集这些电荷，导致瞬态故障，一旦电荷量超过器件的临界电荷(器件能够承受的不
发生SEU的最大电荷量)，将引发电路的逻辑状态发生翻转，形成SEU，但是通过重写或重新
[3]
初始化可以将电路恢复为最初的工作状态，因此SEU是一种可恢复的软错误 。这些辐射效
应会使电路的功能发生紊乱，导致严重的后果。由于航天领域在国防事业中的特殊地位，这
使得航天领域的芯片抗辐照技术研究变得十分重要。

[0003] 针对航空航天领域对ASIC芯片高抗辐射能力的要求，国内外研究人员开展了广泛而深入的研究，提出了很多提高芯片抗辐照能力的方法，模块冗余就是其中一种。三模冗余
(Triple Modular Redundancy，TMR)由Von Neumann首次提出，是一种普遍使用的有效提高
[4,5,6,7]
芯片抗SEU性能的技术 ，它能有效提高芯片的抗辐照性能。但是单纯地采用空间冗余
而实现的传统TMR的缺点较为明显，容易产生抗辐照失效现象。这是由于TMR只能处理一个
冗余单元出现错误的情况，如果SEU在数据采样点引起了瞬态故障，瞬态故障会被多个冗余
单元同时采集到，从而使TMR给出错误的表决结果以至TMR失效，为此，研究人员在基于空间
冗余的传统三模冗余的基础上，加入时间冗余，即时空TMR(Space‑Time Triple Modular 
Redundancy，ST_TMR)，以达到屏蔽瞬态故障的作用，但由于时间冗余的存在，导致电路的工
[8]
作速度受到影响，不能广泛应用于所有的电路设计 。因此，文献[9]提出了一种增强型时
空三模冗余(Enhanced Space‑Time Triple Modular Redundancy，EST_TMR)，但在时钟下
降沿附近，它的前后两级锁存器会同时导通，从而造成输出错误。

发明内容

[0004] 针对增强型时空三模冗余在时钟下降沿附近前后两级锁存器会同时导通，造成输出错误的问题，本发明提出了一种新的EST_TMR结构—TMR_5DFF，使 TMR_5DFF单元电路通
过时钟边沿进行触发，在时钟周期内，不会产生同时导通的问题。TMR_5DFF结构具有增强时
空三模冗余的优点，还具有三路数据信号输出同时到达表决器，避免EST_TMR出现的LATCH
同时导通的情况发生，为了实现上述目的，本发明的技术方案是：一种TMR_5DFF结构的三模
冗余抗辐照加固单元电路，包括三组冗余模块和一个表决器，第一组冗余模块包括D 触发
器U00、D触发器U01；第二组冗余模块包括D触发器U10、D触发器U11；第三组冗余模块包括D
触发器U2；

[0005] 第一组冗余模块中的D触发器U00的信号输出q0m是D触发器U01的信号输入，第二组冗余模块的D触发器U10信号输出q1m是D触发器U11的信号输入；D触发器U00、D触发器
U10、D触发器U2使用同一数据信号输入D；

[0006] D触发器U00的时钟信号输入是Clk0，D触发器U10的时钟信号输入是Clk1， D触发器U2的时钟信号输入是Clk2；D触发器U01、D触发器U11与D触发器U2使用同一时钟信号输入
Clk2；

[0007] D触发器U01、D触发器U11、D触发器U2的输出分别为q0、q1、q2，作为表决器的三个输入，表决器的输出是Q。

[0008] 进一步的，TMR_5DFF结构的三模冗余抗辐照加固单元电路触发方式是时钟边沿触发，在时钟周期内，时钟信号Clk0的上升沿到达时，D触发器U00采集D值；时钟信号Clk1的上
升沿到达时，D触发器U10采集D值；时钟信号 Clk2的上升沿到达时，D触发器U01采集q0m，D
触发器U11采集q1m，D触发器U2采集D值，使q0，q1，q2同时得到新值，并传到表决器，进行表
决输出；在下一个上升沿到达之前，D触发器U00、U01、U10、U11、U2均不被触发，使所述单元
电路仅通过时钟边沿进行触发，使得输出Q在一个时钟周期内不会发生变化。

[0009] 进一步的，两级所述单元电路的时序关系由下式表示：

[0010] tc‑q，for+tlogic+tsu，lat＜T‑2αt  (2‑1)

[0011] thold，lat＜tc‑q，cd，for+tlogic，cd  (2‑2)

[0012] 其中：tc‑q，for为前一级单元电路的最大延时，tlogic为组合逻辑的最大延迟，tsu，lat为后一级单元电路的建立时间，tc‑q，cd，for为前一级单元电路的最小延迟，tlogic，cd为组合逻
辑的最小延迟，Δt为相邻时钟信号之间的位相延时。

[0013] 进一步的，所述的TMR_5DFF结构的三模冗余抗辐照加固单元电路中的第一组或第二组冗余模块的两个D触发器的时序关系由下式表示：

[0014] tc‑q，00+tline+tsu，01＜Δt＜T/2  (2‑3)

[0015] At＞d  (2‑4)

[0016] 其中：tc‑q，00为前一级D触发器的最大延迟，tline为前一级输出到后一级输入之间的线延迟，tsu，01为后一级D触发器的建立时间，Δt为时钟信号之间的延时，d 为SEU引起的
瞬态故障的宽度，T为时钟周期

[0017] 本发明还涉及一种所述的TMR_5DFF结构的三模冗余抗辐照加固单元电路在电路抗辐照加固中的作用。

[0018] 有益效果：本发明使TMR_5DFF单元电路通过时钟边沿进行触发，在时钟周期内，不会产生同时导通的问题。TMR_5DFF单元电路的结构一方面保留了增强时空三模冗余的优
点，可以保证三路数据信号输出同时到达表决器，另一面避免了EST_TMR出现的LATCH同时
导通的情况发生，不会造成Q输出错误，单元电路时序错误。

附图说明

[0019] 图1传统TMR的基本结构示意图

[0020] 图2 ST_TMR结构示意图

[0021] 图3 ST_TMR屏蔽瞬态故障仿真波形示意图

[0022] 图4前后两级延迟较小时，ST_TMR结构输出错误示意图

[0023] 图5 EST_TMR的基本结构示意图

[0024] 图6 EST_TMR的锁存器同时导通导致数据采集错误示意图

[0025] 图7提出的TMR_5DFF结构示意图

[0026] 图8 TMR_5DFF仿真波形示意图

[0027] 图9 TMR_5DFF级间的时序分析示意图

[0028] 图10 TMR_5DFF内部两级DFF间的时序分析示意图

具体实施方式

[0029] 1.1发明目的

[0030] 增强型时空三模冗余(Enhanced Space‑Time Triple Modular Redundancy， EST_TMR)，在时钟下降沿附近，它的前后两级锁存器会同时导通，从而造成输出错误，本发
明的目的在于解决增强型时空三模冗余结构出现的前后两级锁存器同时导通的问题，以能
够保障电路功能的正确。使TMR_5DFF可以更广泛的应用于各种电路的抗辐照加固设计中。
同时，在ASIC设计过程中，采用TMR_5DFF 加固的电路既可以通过修改网表二次综合的方式
来实现，也可以通过全定制或半定制的方法建立单元库来实现。

[0031] 1.2 TMR及其衍生结构原理

[0032] TMR是一种普遍使用的提高芯片抗SEU性能的方法，传统TMR[10]的基本结构如图1所示，它由三个相同的冗余模块和一个表决器组成。其基本思想是对需要加固的电路模块
进行复制，将一个电路模块复制为3个相同的模块，之后将这3个模块的输出连接到一个表
决器上，表决器按照少数服从多数的原则进行表决。对同一个输入信号，即使有一个模块因
辐射而产生错误的输出，但由于其他两个模块的输出是正确的，所以经过表决器后，其输出
结果Q仍然是正确的，达到抗SEU的作用。TMR结构虽然牺牲了面积，但提高了芯片的抗辐照
能力。

[0033] 由于在电路模块后增加了表决器，这会给电路带来额外的延时，限制了电路的工作速度。此外，当数据端(见图1中的D)因辐照而产生的瞬态故障位于时钟跳变沿附近(数据
采样点)时,三个相同的模块均会采集到瞬态故障，导致所有的冗余单元均发生错误，经判
决后，输出错误结果。针对这个问题，研究人员在传统TMR的空间冗余的基础上，增加了时间
冗余，提出了ST_TMR，其结构如图2所示。ST_TMR使用三路时钟信号，分别接到三个相同的冗
余模块，且三路时钟信号之间有一定的延迟(Clk1＝Clk0+Δt，Clk2＝Clk0+2Δt，Δt为时
钟位相延迟时间)，且延迟值要大于因辐照而产生的瞬态故障的最大脉宽。因此，最多仅会
有一路时钟信号采集到瞬态故障，而其他两路的采集数据均正确，可以达到屏蔽瞬态故障
的效果，如图3所示。

[0034] 当ST_TMR结构应用于某些电路时，也会出现错误，如移位器、加法器等[8,9]，当两级电路之间的延迟较小时，可能发生第三路时钟信号未到，而前一级电路的输出已经到达后
一级电路的现象，导致输出混乱，如图4所示，U0、U1分别为数据传输路径上的前后两级电路
的ST_TMR加固后的触发器，在Clk0、Clk1的上升沿到达之后，U_former的输出q[0]经过判决
后变为1，由于前后两级电路之间的延迟较小，在Clk2的上升沿到达之前，q[0]已传递到下
一级，当Clk2的上升沿到达时，U_latter的q2采集到新值，经过多个周期的传递，将造成输
出混乱。这个问题限制了ST_TMR在芯片加固设计中的广泛应用。造成这种问题的根本原因
是由于三路时钟互有延迟，导致三个冗余模块的输出值(如图2中的q0,q1,q2) 不能同时到
达表决器，因此，当前两路信号的输出相同时，表决器无需等待第三路信号，即可输出结果，
传递到下一级电路，在第三路时钟到达时，下一级电路的第三个冗余单元将采集到新传递
到的值，最终造成输出错误。

[0035] 针对以上提到的ST_TMR存在的问题，文献[9]提出了EST_TMR，将图2 中的触发器用锁存器来代替，并用两个有一定延迟的时钟进行控制，只有当第三路时钟信号(最慢的时
钟，Clk2)到达时，三个冗余模块同时输出结果，并到达表决器，其简化的基本结构如图5所
示，只有当Clk2到达时，q0、q1、q2才能采到新值，之后输出同时到达表决器。

[0036] 2 TMR_5DFF

[0037] 2.1 TMR_5DFF的结构及原理

[0038] 增强时空三模冗余[9]虽然解决了数据信号不能同时到达表决器的问题，但是由于其为了减小面积而采用了锁存器，时钟之间的位相延迟会导致两级锁存器同时导通，从而
数据采样错误。如图6所示，由于三路时钟之间的位相延迟，Clk0、 Clk1的低电平与Clk2的
高电平会同时存在一定的时间，从而导致图5中的U00、 U01、U10和U11四个锁存器同时导
通，因此，在同时导通的时间段内，q0、q1、 q2将输出D的新值，即q0、q1、q2由1变为0，经过表
决器后，Q输出0，这使得Q本来要保持一个时钟周期的1，在下一个时钟周期没到之前就变为
0，造成Q输出错误，单元电路时序错误，且三路时钟之间的位相延迟Δt越大，U00、 U01、
U10、U11同时导通的时间越长，造成的输出错误的概率越大。

[0039] 针对此问题，本发明对EST_TMR进行了改进，提出了TMR_5DFF结构，使TMR_5DFF单元电路通过时钟边沿进行触发，在时钟周期内，不会产生同时导通的问题。TMR_5DFF结构一
方面可以保留增强时空三模冗余的优点，可以保证3路数据信号输出同时到达表决器，另一
面避免了EST_TMR出现的LATCH 同时导通的情况，其基本结构和仿真波形如图7及图8所示，
TMR_5DFF由5 个DFF和1个表决器构成，单元电路通过时钟边沿进行触发。Clk0的上升沿到
达时，U00采集D值；Clk1的上升沿到达时，U10采集D值；Clk2的上升沿到达时，U01采集q0m，
U11采集q1m，U2采集D值，这使q0，q1，q2同时得到新值，并传到表决器，进行表决输出。同时
在下一个时钟周期之前，即下一个上升沿到达之前，U00、U01、U10、U11、U2均不会被触发，使
TMR_5DFF单元电路仅通过时钟边沿进行触发，所以不会出现如图6所示的同时导通的情况，
这使得Q在一个时钟周期内不会发生变化，输出正确，单元电路时序正确。

[0040] 2.2 TMR_5DFF的时序分析

[0041] tc‑q，for+tlogic+tsu，lat＜T‑2Δt (2‑1)

[0042] thold，lat＜tc‑q，cd，for+tlogic，cd  (2‑2)

[0043] 本发明对TMR_5DFF实现的系统的时序进行了分析，以确定TMR_5DFF对系统时序的影响。TMR_5DFF级间的时序分析如图9所示。建立时间、保持时间要满足的条件如公式2‑1及
2‑2所示，其中tc‑q，for为前一级TMR_5DFF的最大延时，tlogic为组合逻辑的最大延迟，tsu，lat为
后一级TMR_5DFF的建立时间，tc‑q，cd，for为前一级TMR_5DFF的最小延迟，tlogic，cd为组合逻辑
的最小延迟，Δt为相邻时钟信号之间的位相延时。由公式2‑1及2‑2可见，虽然由于采用冗
余设计，TMR_5DFF系统一个周期可用的工作时间减少了2Δt，将降低电路的工作频率，但系
统并未对建立、保持时间提出特殊要求，这与普通的DFF系统一致。

[0044] TMR_5DFF内部实际上是由两级DFF组成，这两级DFF间也需要进行时序分析，以确定所需要满足的时序关系。内部时序分析如图10所示。Δt要满足的条件如公式2‑3及2‑4所
示，其中tc‑q,00为前一级DFF的最大延迟，tline为前一级输出到后一级输入之间的线延迟，
tsu,01为后一级DFF的建立时间，Δt为时钟信号之间的延时，d为SEU引起的瞬态故障的宽度，
T为时钟周期。由公式可见， TMR_5DFF内部DFF间的时序约束与普通DFF系统一样，不需要特
殊的设置。而相邻时钟间的位相延迟Δt由系统实现，即采用TMR_5DFF实现的系统需要由片
外(或系统外)送入三路有一定位相关系的系统时钟。因此采用TMR_5DFF 实现的系统，在使
用修改网表二次综合的方式对其实现时，完全可以采用常规的 DC综合流程，而不必做特殊
的时序约束设置，修改网表二次综合与标准的ASIC 设计流程不同的地方在于，完成前端综
合后，需要修改前端网表，将普通DFF 替换成TMR_5DFF，同时系统的时钟端口由一个变为三
个，再进行第二次综合，得到TMR_5DFF加固后的电路网表。

[0045] 同时，TMR_5DFF结构也可以采用建立库单元的方法实现，即通过EDA工具为TMR_5DFF建立标准库单元，然后利用库单元采用标准的ASIC设计流程进行加固设计。注意虽然
TMR_5DFF有三路时钟，但是作为库单元，其端口只有一个时钟端口，其他两路时钟在TMR_
5DFF库单元内部通过增加延时单元产生。一旦单元库成功建立，DC就可以通过综合一次性
地直接将电路映射到 TMR_5DFF上，从而完成电路的综合。

[0046] 以上所述，仅为本发明创造较佳的具体实施方式，但本发明创造的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明创造披露的技术范围内，根据本发明
创造的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明创造的保护范围之
内。

[0047] 参考文献

[0048] [1]Luis Alberto Contreras Benites；Fernanda Lima Kastensmidt.Automated Design Flow for Applying Triple Modular Redundancy(TMR)in Complex Digital 
Circuits.2018IEEE 19th Latin‑American Test Symposium(LATS),2018.

[0049] [2]Nematollah Bidokhti.SEU Concept to Reality(Allocation,Prediction, Mitigation).2010Proceedings‑Annual Reliability and Maintainability Symposium 
(RAMS),2010.

[0050] [3]Riadul Islam.A Highly Reliable SEU Hardened Latch and High Performance SEU Hardened Flip‑Flop.Thirteenth International Symposium on 
Quality Electronic Design(ISQED),2012.

[0051] [4]P.K.Samudrala；J.Ramos；S.Katkoori.Selective Triple Modular Redundancy  (STMR)Based Single‑Event Upset(SEU)Tolerant Synthesis for 
FPGAs.IEEE Transactions on Nuclear Science,2004,51(5):2957‑2969.

[0052] [5]S.Mitra；E.J.McCluskey.WORD‑VOTER:A NEW VOTER DESIGN FOR TRIPLE MODULAR REDUNDANT SYSTEMS.Proceedings 18th IEEE VLSI Test Symposium,2000.

[0053] [6]O.Ruano；P.Reviriego；J.A.Maestro.Automatic Insertion of Selective TMR for SEU Mitigation.2008European Conference on Radiation and Its Effects 
on Components,2008,284:287.

[0054] [7]Tianwen Li；Haigang Yang；Gang Cai,et al.A CMOS Triple Inter‑Locked Latch for SEU Insensitivity Design.IEEE Transactions on Nuclear Science,2014,
61(6):3265‑3273.

[0055] [8]宁新权,刘布民,聂永峰.三模冗余在ASIC设计中的实现方法[J].现代电子技术,2012,35(2):128‑130.

[0056] [9]Wei Chen；Rui Gong；Kui Dai,et al.Two New Space‑Time Triple Modular Redundancy Techniques for Improving Fault Tolerance of Computer Systems.The 
Sixth IEEE International Conference on Computer and Information Technology 
(CIT'06),2006.

[0057] [10]Firoz Ahmed Siddiqui；Puran Gour.Scan‑chain‑based multiple error recovery in TMR systems(SMERTMR).2014Innovative Applications of Computational
Intelligence on Power,Energy and Controls with their impact on Humanity 
(CIPECH),2014,374‑378。