从太空到芯片：KEEP_HIERARCHY如何守护航天级FPGA设计的可靠性

rgv23456789

192人浏览 · 2026-02-13 11:58:10

rgv23456789 · 2026-02-13 11:58:10 发布

从太空到芯片：KEEP_HIERARCHY如何守护航天级FPGA设计的可靠性

在航天电子和军工领域，FPGA设计的可靠性直接关系到任务成败和系统安全。太空环境中高能粒子撞击引发的单粒子翻转（SEU）效应，可能导致存储单元状态翻转，进而引发系统功能错误。为了应对这种极端环境，工程师们采用了三模冗余（TMR）等容错设计技术，但这类技术的有效性高度依赖于设计层次结构的保持。这正是KEEP_HIERARCHY属性发挥关键作用的场景——它通过防止综合工具过度优化而破坏冗余结构，成为航天级FPGA设计不可或缺的守护者。

1. 理解KEEP_HIERARCHY的核心机制与价值

KEEP_HIERARCHY是一种综合约束属性，它指示FPGA工具链在综合过程中保留用户定义的层次结构边界，防止优化操作跨越这些边界。在常规消费电子设计中，综合工具通常会打平（flatten）设计层次以获得更好的面积和时序结果，但这种优化策略在高可靠性应用中可能带来灾难性后果。

工作原理对比：

设计类型	综合策略	层次保持	优化程度	适用场景
消费电子	激进优化	层次打平	高	成本敏感应用
航天军工	保守优化	层次保留	可控	高可靠性系统

当我们在关键模块上设置KEEP_HIERARCHY = "TRUE"时，实际上是在告诉综合工具："这个模块的边界是神圣不可侵犯的，请在此边界内进行优化，但不要跨越它"。这种约束确保了冗余模块在综合后仍然保持物理和逻辑上的独立性，这是容错机制能够正常工作的基础。

从实现角度看，KEEP_HIERARCHY可以在三个层面应用：

模块级别：保持整个模块的层次结构
实例级别：保持特定实例的层次边界
架构级别：保持特定架构的层次关系

2. 航天环境中的单粒子效应与容错设计需求

太空辐射环境对电子系统构成严重威胁，其中单粒子翻转是最常见的辐射效应。当高能粒子穿透半导体材料时，可能在存储节点中产生足够的电荷改变逻辑状态，导致程序执行错误或数据损坏。对于基于SRAM的FPGA，这种效应尤为严重，因为配置存储器也可能受到影响。

典型辐射效应分类：

单粒子翻转（SEU）：存储单元状态改变
单粒子瞬态（SET）：组合逻辑产生瞬态脉冲
单粒子功能中断（SEFI）：控制逻辑错误导致功能丧失
单粒子闩锁（SEL）：寄生晶闸管导通导致大电流

为了应对这些挑战，航天级FPGA设计采用多重防护策略：

-- 三模冗余基本结构示例
entity TMR_module is
    port (
        clk     : in std_logic;
        data_in : in std_logic;
        data_out: out std_logic
    );
end entity;

architecture redundant of TMR_module is
    signal vote_result : std_logic;
begin
    -- 三个相同的功能模块
    module1: entity work.functional_module
        port map(clk, data_in, output1);
    
    module2: entity work.functional_module  
        port map(clk, data_in, output2);
    
    module3: entity work.functional_module
        port map(clk, data_in, output3);
    
    -- 多数表决逻辑
    vote_result <= (output1 and output2) or 
                   (output2 and output3) or 
                   (output1 and output3);
    
    data_out <= vote_result;
end architecture;

关键提示：如果没有KEEP_HIERARCHY约束，综合工具可能识别出三个模块功能相同而合并它们，完全破坏冗余设计的效果。

3. KEEP_HIERARCHY在实际航天项目中的实施策略

在实际航天项目中，KEEP_HIERARCHY的应用需要精心规划和严格执行。以下是一个典型的实施流程：

设计阶段约束策略：

识别关键模块：确定需要冗余保护的功能单元
定义层次边界：明确每个冗余模块的接口和边界
添加约束属性：在RTL代码中嵌入KEEP_HIERARCHY约束
验证约束有效性：通过综合后检查确认层次保持

Verilog实现示例：

// 航天器控制模块的三模冗余实现
module spacecraft_control (
    input wire clk,
    input wire rst_n,
    input wire [15:0] sensor_data,
    output wire [7:0] control_signals
);

// 保持三个冗余实例的层次结构
(* KEEP_HIERARCHY = "TRUE" *)
redundant_control_module ctrl_mod1 (
    .clk(clk),
    .rst_n(rst_n),
    .sensor_data(sensor_data),
    .control_out(ctrl_out1)
);

(* KEEP_HIERARCHY = "TRUE" *)  
redundant_control_module ctrl_mod2 (
    .clk(clk),
    .rst_n(rst_n),
    .sensor_data(sensor_data),
    .control_out(ctrl_out2)
);

(* KEEP_HIERARCHY = "TRUE" *)
redundant_control_module ctrl_mod3 (
    .clk(clk),
    .rst_n(rst_n), 
    .sensor_data(sensor_data),
    .control_out(ctrl_out3)
);

// 多数表决逻辑
assign control_signals = (ctrl_out1 & ctrl_out2) | 
                        (ctrl_out2 & ctrl_out3) |
                        (ctrl_out1 & ctrl_out3);

endmodule

VHDL实现示例：

library IEEE;
use IEEE.STD_LOGIC_1164.ALL;

entity redundant_system is
port (
    clk : in std_logic;
    data_input : in std_logic_vector(31 downto 0);
    data_output : out std_logic_vector(31 downto 0)
);
end entity;

architecture structural of redundant_system is

    component critical_module is
    port (
        clk : in std_logic;
        din : in std_logic_vector(31 downto 0);
        dout : out std_logic_vector(31 downto 0)
    );
    end component;
    
    signal output1, output2, output3 : std_logic_vector(31 downto 0);
    
    attribute KEEP_HIERARCHY : string;
    attribute KEEP_HIERARCHY of comp1 : label is "TRUE";
    attribute KEEP_HIERARCHY of comp2 : label is "TRUE"; 
    attribute KEEP_HIERARCHY of comp3 : label is "TRUE";

begin

    comp1: critical_module
    port map (
        clk => clk,
        din => data_input,
        dout => output1
    );
    
    comp2: critical_module
    port map (
        clk => clk,
        din => data_input, 
        dout => output2
    );
    
    comp3: critical_module
    port map (
        clk => clk,
        din => data_input,
        dout => output3
    );
    
    -- 表决逻辑
    process(output1, output2, output3)
    begin
        for i in 0 to 31 loop
            if (output1(i) = output2(i)) then
                data_output(i) <= output1(i);
            else
                data_output(i) <= output3(i);
            end if;
        end loop;
    end process;

end architecture;

4. 综合工具配置与约束管理最佳实践

正确配置综合工具是确保KEEP_HIERARCHY约束有效性的关键。不同的综合工具提供多种配置选项，需要根据具体需求进行优化设置。

综合策略对比分析：

配置选项	激进优化模式	平衡模式	保守模式
flatten_hierarchy	full	rebuilt	none
optimization_effort	high	medium	low
keep_equivalent_registers	false	true	true
resource_sharing	enabled	limited	disabled

对于航天应用，推荐采用以下综合设置：

# Vivado 综合设置示例
set_property STEPS.SYNTH_DESIGN.ARGS.FLATTEN_HIERARCHY none [current_run]
set_property STEPS.SYNTH_DESIGN.ARGS.KEEP_EQUIVALENT_REGISTERS true [current_run]
set_property STEPS.SYNTH_DESIGN.ARGS.RESOURCE_SHARING off [current_run]
set_property STEPS.SYNTH_DESIGN.ARGS.NO_LC true [current_run]

约束管理策略：

分层约束管理：在不同设计层次应用适当的约束强度
约束验证：通过综合后分析确认约束有效性
约束文档化：详细记录每个约束的设计意图和预期效果
约束影响分析：评估约束对时序、面积和功耗的影响

实践经验分享：在某个深空探测器项目中，我们发现在关键路径上过度使用KEEP_HIERARCHY会导致时序难以满足。通过分层约束策略，只在最关键的冗余模块上使用强约束，在其他模块使用SOFT约束，成功平衡了可靠性和性能要求。

5. 验证与测试：确保KEEP_HIERARCHY的有效性

实施KEEP_HIERARCHY约束后，必须通过严格的验证流程确认其有效性。验证过程包括综合后检查、形式验证和故障注入测试等多个环节。

验证流程步骤：

综合网表分析：检查综合后网表是否保持了预期的层次结构
形式验证：使用形式工具验证冗余逻辑的功能等价性
故障注入测试：模拟单粒子效应验证容错机制有效性
时序分析：确认层次保持没有引入时序违例

故障注入测试示例：

// 简单的故障注入测试平台
module fault_injection_tb;

    logic clk, rst;
    logic [7:0] test_data;
    logic [7:0] normal_output, redundant_output;
    
    // 实例化正常设计和冗余设计
    normal_design u_normal (.*);
    redundant_design u_redundant (.*);
    
    // 时钟生成
    always #10 clk = ~clk;
    
    initial begin
        // 初始化
        clk = 0; rst = 1; test_data = 8'hA5;
        #100 rst = 0;
        
        // 正常操作测试
        #200;
        
        // 注入故障 - 模拟SEU
        force u_redundant.ctrl_mod1.internal_reg = 8'h00;
        #50;
        release u_redundant.ctrl_mod1.internal_reg;
        
        // 检查系统恢复
        #100;
        if (redundant_output === normal_output)
            $display("TEST PASS: Redundancy mechanism working correctly");
        else
            $display("TEST FAIL: Output mismatch detected");
        
        $finish;
    end

endmodule

验证指标评估：

验证指标	目标值	测量方法	接受标准
层次保持率	100%	网表对比	关键模块层次完整
故障恢复时间	<100ns	故障注入测试	满足系统要求
资源开销	<200%	综合报告	在预算范围内
性能影响	<10%	时序分析	满足时序约束

在实际项目中，我们建立了自动化的验证流程，每次综合后自动检查KEEP_HIERARCHY约束的有效性，确保任何设计变更都不会意外破坏冗余结构。

6. 与其他设计约束的协同优化

KEEP_HIERARCHY很少单独使用，通常需要与其他设计约束协同工作，以达到可靠性、性能和面积的平衡。理解这些约束之间的相互作用至关重要。

相关约束属性：

DONT_TOUCH：防止特定网络或模块被优化
KEEP：保持特定信号不被吸收到逻辑块中
MAX_FANOUT：限制信号扇出以提高时序性能
ASYNC_REG：标识异步时钟域寄存器

约束协同策略：

# XDC 约束文件示例
# 保持关键冗余模块的层次
set_property KEEP_HIERARCHY TRUE [get_cells {redundant_mod1 redundant_mod2 redundant_mod3}]

# 保持表决逻辑的关键信号
set_property KEEP TRUE [get_nets {vote_logic/*}]

# 限制关键路径的扇出
set_property MAX_FANOUT 16 [get_nets {critical_clock_net}]

# 标识跨时钟域寄存器
set_property ASYNC_REG TRUE [get_cells {sync_ff1_reg sync_ff2_reg}]

约束优先级管理：

当多个约束应用于同一对象时，需要明确优先级顺序。通常遵循以下原则：