范毓洋, 鄧智, 李子航

(1.中國(guó)民航大學(xué) 民航航空器適航審定技術(shù)重點(diǎn)實(shí)驗(yàn)室, 天津 300300; 2.中國(guó)民航大學(xué) 適航學(xué)院, 天津 300300)

隨著機(jī)載電子設(shè)備復(fù)雜性增加、機(jī)載電子芯片設(shè)計(jì)規(guī)模的擴(kuò)大，集成電路設(shè)計(jì)中跨時(shí)鐘域信號(hào)傳輸也逐漸增多。而信號(hào)跨時(shí)鐘域傳輸不可避免地會(huì)在電路中引入亞穩(wěn)態(tài)[1]，若亞穩(wěn)態(tài)處理不當(dāng)，則可能給電路帶來(lái)數(shù)據(jù)丟失、位錯(cuò)、重匯聚等風(fēng)險(xiǎn)，造成設(shè)備關(guān)鍵功能的喪失或錯(cuò)誤。如時(shí)鐘檢查電路功能喪失[2]、飛機(jī)顯示圖像異常、AFDX交換機(jī)數(shù)據(jù)錯(cuò)誤等。更嚴(yán)重的是，若亞穩(wěn)態(tài)沿信號(hào)通道上的寄存器級(jí)聯(lián)傳播，可能造成芯片燒毀的嚴(yán)重后果。如某航天器在為期一年多的地面測(cè)試中突然出現(xiàn)故障，經(jīng)分析發(fā)現(xiàn)，航天器出現(xiàn)故障的原因是跨時(shí)鐘域電路傳輸引入亞穩(wěn)態(tài)，亞穩(wěn)態(tài)傳播導(dǎo)致片上大量MOS(metal oxide semiconductor)管同時(shí)工作致使電路板燒毀[3]。

目前電子設(shè)計(jì)技術(shù)的進(jìn)步和一些機(jī)載電子設(shè)計(jì)部門(mén)的擴(kuò)張，客觀上也增大了設(shè)計(jì)中發(fā)生亞穩(wěn)態(tài)問(wèn)題的可能性。如一些硬件綜合工具支持軟件工程師使用高級(jí)語(yǔ)言設(shè)計(jì)硬件電路，與使用RLT代碼進(jìn)行電路設(shè)計(jì)相比，跨時(shí)鐘域電路的亞穩(wěn)態(tài)問(wèn)題更容易被設(shè)計(jì)人員忽略[4]。另外，機(jī)載電子設(shè)計(jì)部門(mén)因?yàn)槿藛T快速擴(kuò)張，員工技術(shù)水平良莠不齊，不僅使得在設(shè)計(jì)過(guò)程中容易出現(xiàn)同步器功能設(shè)計(jì)錯(cuò)誤，也使得同行評(píng)審質(zhì)量下降，不能依靠評(píng)審有效發(fā)現(xiàn)問(wèn)題。且隨著特征尺寸的下降、新設(shè)計(jì)技術(shù)的出現(xiàn)[5]，芯片電壓下降、時(shí)鐘頻率和數(shù)據(jù)頻率提高、同步路徑增多，導(dǎo)致芯片中已有的功能正確的跨時(shí)鐘域信號(hào)同步器的可靠性下降。若這些同步設(shè)計(jì)不經(jīng)過(guò)可靠性評(píng)估而直接應(yīng)用到航空領(lǐng)域，則會(huì)產(chǎn)生安全隱患。雖然目前跨時(shí)鐘同步電路的問(wèn)題存在的可能性增大，但是目前的機(jī)載電子的驗(yàn)證活動(dòng)中，常常會(huì)忽視掉針對(duì)跨時(shí)鐘域傳輸功能和可靠性的驗(yàn)證活動(dòng)。

FAA Order 8110.105 A提及了機(jī)載電子硬件需進(jìn)行最好或最壞情況下時(shí)序分析[6]。但是Order 8110.105 A及DO-254標(biāo)準(zhǔn)中都未具體提及如何驗(yàn)證跨時(shí)鐘域時(shí)序問(wèn)題[7]。而機(jī)載電子行業(yè)針對(duì)機(jī)載復(fù)雜電子硬件驗(yàn)證活動(dòng)是基于需求開(kāi)展的。時(shí)鐘相關(guān)的需求一般只會(huì)描述各個(gè)時(shí)鐘的時(shí)鐘頻率、占空比、抖動(dòng)等內(nèi)容。針對(duì)這些時(shí)鐘需求的驗(yàn)證一般通過(guò)時(shí)序仿真和靜態(tài)時(shí)序分析來(lái)進(jìn)行覆蓋。因此基于需求的驗(yàn)證及對(duì)應(yīng)的驗(yàn)證方法并不能有效發(fā)現(xiàn)跨時(shí)鐘域傳輸?shù)膯?wèn)題。若未在設(shè)計(jì)活動(dòng)中把概要設(shè)計(jì)或詳細(xì)設(shè)計(jì)中明確的跨時(shí)鐘域路徑反饋到衍生需求，或未在概要設(shè)計(jì)中明確描述跨時(shí)鐘路徑及同步策略方法，則針對(duì)跨時(shí)鐘域的驗(yàn)證活動(dòng)很容易被忽視。若把亞穩(wěn)態(tài)問(wèn)題帶到終端產(chǎn)品上去，則可能會(huì)使機(jī)載設(shè)備產(chǎn)生安全隱患。

因此，為了減少亞穩(wěn)態(tài)問(wèn)題發(fā)生概率，保證同步正確性，需要對(duì)跨時(shí)鐘域電路可能帶來(lái)的問(wèn)題(同步器可靠性問(wèn)題[8-9]、同步器結(jié)構(gòu)問(wèn)題[5,9-10]、跨時(shí)鐘域數(shù)據(jù)傳輸協(xié)議問(wèn)題[5,11]、重匯聚[5,12-13]問(wèn)題)進(jìn)行全面驗(yàn)證。而跨時(shí)鐘域信號(hào)驗(yàn)證通常只能對(duì)多個(gè)實(shí)際電路進(jìn)行長(zhǎng)期測(cè)試以發(fā)現(xiàn)亞穩(wěn)態(tài)隱患。但由于亞穩(wěn)態(tài)造成的故障具有偶發(fā)性和不可重現(xiàn)性，極大增加了電子硬件的研制時(shí)間和驗(yàn)證成本。如果直接使用國(guó)外專(zhuān)用CDC分析軟件(如spyglass，questa-CDC)，在高安全等級(jí)機(jī)載電子電路驗(yàn)證活動(dòng)(例如DAL A，B)中需承擔(dān)工具成本及使用此工具所需的工具鑒定[14]活動(dòng)所帶來(lái)的時(shí)間和經(jīng)濟(jì)成本。另外，由于航空單粒子問(wèn)題，常常要求使用三模冗余對(duì)跨時(shí)鐘域模塊進(jìn)行加固設(shè)計(jì)[15]，但目前的專(zhuān)用CDC分析軟件不支持三?？鐣r(shí)鐘同步電路驗(yàn)證，容易出現(xiàn)錯(cuò)誤的驗(yàn)證結(jié)果，給驗(yàn)證活動(dòng)帶來(lái)問(wèn)題。

針對(duì)此情況，本文對(duì)跨時(shí)鐘域同步可能存在的問(wèn)題開(kāi)展全面的驗(yàn)證方法研究，提出了一套基于傳統(tǒng)FPGA(field programmable gate array)設(shè)計(jì)工具、功能仿真工具的RTL級(jí)驗(yàn)證、板級(jí)加速測(cè)試和計(jì)算評(píng)估相結(jié)合的跨時(shí)鐘域驗(yàn)證的解決方法。該方法有較強(qiáng)的實(shí)用性和適用性，能夠有效彌補(bǔ)專(zhuān)用工具缺陷，在機(jī)載電子設(shè)計(jì)早期發(fā)現(xiàn)并評(píng)估潛在的跨時(shí)鐘域傳輸風(fēng)險(xiǎn)，達(dá)到降低安全隱患的目的。

1 方法概述

完整的跨時(shí)鐘域同步電路驗(yàn)證及可靠性分析方法主要包括RTL級(jí)驗(yàn)證、板級(jí)加速測(cè)試、計(jì)算評(píng)估三部分，具體驗(yàn)證流程如圖1所示。

圖1 驗(yàn)證流程圖

RTL級(jí)驗(yàn)證(包括結(jié)構(gòu)分析、協(xié)議驗(yàn)證、重匯聚驗(yàn)證)旨在證明跨時(shí)鐘域信號(hào)傳輸所使用的同步方法功能正確，保證了單比特的使能信號(hào)或多比特的數(shù)據(jù)信號(hào)能傳輸?shù)侥康臅r(shí)鐘域，且不出現(xiàn)數(shù)據(jù)丟失。

板級(jí)加速測(cè)試通過(guò)構(gòu)建加速亞穩(wěn)態(tài)生成環(huán)境獲取亞穩(wěn)態(tài)相關(guān)數(shù)據(jù)，并根據(jù)板級(jí)測(cè)試所得亞穩(wěn)態(tài)相關(guān)數(shù)據(jù)計(jì)算出亞穩(wěn)態(tài)參數(shù)值。

對(duì)于航空機(jī)載設(shè)備電路的設(shè)計(jì)，需對(duì)這些功能正確的同步電路的可靠性進(jìn)行分析。為評(píng)估電路可靠性，需通過(guò)亞穩(wěn)態(tài)參數(shù)計(jì)算同步電路的MTBF(mean time between failure)。從而最終判斷出設(shè)計(jì)中使用的同步策略是否可接受。

如果在RTL級(jí)驗(yàn)證或計(jì)算評(píng)估中發(fā)現(xiàn)問(wèn)題應(yīng)及時(shí)提出問(wèn)題報(bào)告，依據(jù)問(wèn)題報(bào)告提出更改請(qǐng)求，增加對(duì)應(yīng)的衍生需求。并依據(jù)需求修改對(duì)應(yīng)的概要設(shè)計(jì)及設(shè)計(jì)代碼。最后將修改后的代碼重新進(jìn)行RTL級(jí)驗(yàn)證、板級(jí)加速測(cè)試、MTBF計(jì)算評(píng)估，如果發(fā)現(xiàn)問(wèn)題應(yīng)繼續(xù)提出問(wèn)題報(bào)告并修改直至得到可接受的同步策略。

2 RTL級(jí)驗(yàn)證

在電路RTL設(shè)計(jì)及功能仿真完成后，需要針對(duì)跨時(shí)鐘域信號(hào)進(jìn)行結(jié)構(gòu)分析、協(xié)議驗(yàn)證和重匯聚驗(yàn)證，作為靜態(tài)時(shí)序分析的補(bǔ)充。其中結(jié)構(gòu)分析用以確保同步電路具有正確的同步電路單元，協(xié)議驗(yàn)證對(duì)同步電路是否滿足相應(yīng)的傳輸協(xié)議進(jìn)行檢查，重匯聚驗(yàn)證判斷數(shù)據(jù)在目的時(shí)鐘域內(nèi)是否存在重匯聚問(wèn)題。

2.1 結(jié)構(gòu)分析

能夠?qū)?shù)據(jù)正確跨時(shí)鐘域傳輸?shù)耐诫娐?如握手協(xié)議、異步FIFO等同步電路)都包含至少連續(xù)2級(jí)且中間無(wú)組合邏輯運(yùn)算的寄存器級(jí)聯(lián)的結(jié)構(gòu)單元，本文把其定義為同步單元(或電平同步電路)，如圖2所示。

圖2 同步單元

結(jié)構(gòu)分析主要確定跨時(shí)鐘域路徑上是否含有該同步單元的結(jié)構(gòu)以降低亞穩(wěn)態(tài)傳輸概率，進(jìn)而確定設(shè)計(jì)所采用的同步電路結(jié)構(gòu)或方法，可通過(guò)使用常用的EDA工具來(lái)快速分析。如在Xilinx的Vivado開(kāi)發(fā)環(huán)境下，對(duì)RTL級(jí)代碼進(jìn)行綜合后可得到原理圖，在原理圖上同時(shí)選定不同時(shí)鐘域的時(shí)鐘信號(hào)，便可快速定位出數(shù)據(jù)跨時(shí)鐘域交互模塊。定位出CDC設(shè)計(jì)模塊后，便可分析該模塊所采用的同步策略、模塊是否含同步單元、同步路徑是否含組合邏輯。如果沒(méi)有正確的同步電路結(jié)構(gòu)，則說(shuō)明需要增加合適的同步電路使數(shù)據(jù)正確傳輸。

2.2 協(xié)議驗(yàn)證

電路具有正確的同步電路結(jié)構(gòu)，并不能保證該數(shù)據(jù)可以正確地傳輸?shù)侥康臅r(shí)鐘域，還需滿足相應(yīng)的傳輸協(xié)議。為快速驗(yàn)證電路是否符合傳輸協(xié)議，可使用傳統(tǒng)的仿真軟件，并在基于斷言的仿真測(cè)試平臺(tái)上進(jìn)行動(dòng)態(tài)仿真。為模擬出真實(shí)環(huán)境，保證數(shù)據(jù)在任何情況下都滿足傳輸協(xié)議，動(dòng)態(tài)仿真的輸入激勵(lì)須覆蓋需求規(guī)定的所有情況。在進(jìn)行動(dòng)態(tài)仿真時(shí)，如果傳輸?shù)臄?shù)據(jù)在某一時(shí)刻不滿足相應(yīng)的傳輸協(xié)議，則斷言宣告失敗，說(shuō)明該數(shù)據(jù)不能被正確地跨時(shí)鐘域傳輸，需重新修改同步策略直至驗(yàn)證通過(guò)；如果斷言成功，則表示該同步電路能正確地將數(shù)據(jù)傳輸?shù)侥康臅r(shí)鐘域。

本文以適用于三模冗余的多周路徑(multi-cycle-path,MCP)傳輸電路為例，說(shuō)明CDC電路的傳輸協(xié)議驗(yàn)證過(guò)程。適用于三模的MCP電路如圖3所示，發(fā)送電路在更新數(shù)據(jù)tx-data的同時(shí)發(fā)出脈沖信號(hào)tx-en。tx-en經(jīng)過(guò)結(jié)繩模塊后變?yōu)殡娖叫盘?hào)en-tx-clk。q2-A為同步后的en-tx-clk信號(hào)，q2-B、q2-C則為另外2個(gè)冗余電路的電平同步后信號(hào)。3個(gè)信號(hào)經(jīng)過(guò)voter表決后通過(guò)邊沿檢測(cè)生成en-rx-clk信號(hào)，并把其作為data-sending的讀時(shí)鐘域接收寄存器的使能信號(hào)。

圖3 多周路徑傳輸路徑電路

假設(shè)發(fā)送時(shí)鐘域中的脈沖信號(hào)間隔為nT1(T1代表發(fā)送時(shí)鐘周期)，考慮到亞穩(wěn)態(tài)的情況下，接收時(shí)鐘域中的數(shù)據(jù)信號(hào)必須經(jīng)過(guò)1個(gè)發(fā)送時(shí)鐘周期和至少4個(gè)接收時(shí)鐘信號(hào)的上升沿，才能保證該組數(shù)據(jù)的正確傳輸，即nT1>4T2+T1(T2代表接收時(shí)鐘周期)。因此，使能信號(hào)tx-en的間隔應(yīng)滿足公式(1)。

(1)

式中：Ttx-en-1表示tx-en信號(hào)下降沿到下一個(gè)tx-en上升沿之間包括的最少發(fā)送時(shí)鐘周期，在此期間tx-en應(yīng)保持低電平。

發(fā)送數(shù)據(jù)tx-data在整個(gè)數(shù)據(jù)發(fā)送過(guò)程中均應(yīng)保持穩(wěn)定，協(xié)議可以表示為公式(2)。

(2)

Tdata表示發(fā)送數(shù)據(jù)tx-data需要在多少個(gè)發(fā)送時(shí)鐘周期內(nèi)保持穩(wěn)定。

根據(jù)上述分析，使CDC數(shù)據(jù)正確傳輸發(fā)送數(shù)據(jù)和脈沖信號(hào)間隔斷言表示如下，仿真波形如圖4所示。

property DATA-SEND;

endproperty:DATA-SEND

property TX-EN;

endproperty:TX-EN

圖4 電路斷言波形圖

2.3 重匯聚驗(yàn)證

當(dāng)數(shù)據(jù)經(jīng)過(guò)不同的同步電路后，無(wú)法保證同步電路的路徑、環(huán)境(如時(shí)鐘相位、寄存器電壓、電磁干擾)及器件工藝參數(shù)完全相同，因此經(jīng)過(guò)不同同步電路的傳輸數(shù)據(jù)可能會(huì)出現(xiàn)不可預(yù)測(cè)的提前或延遲。在目的時(shí)鐘域內(nèi)，如果經(jīng)過(guò)不同跨時(shí)鐘域路徑傳輸?shù)臄?shù)據(jù)進(jìn)行組合邏輯運(yùn)算，可能會(huì)造成整個(gè)電路的功能錯(cuò)誤。為避免電路出現(xiàn)無(wú)有效保護(hù)的重匯聚運(yùn)算，須對(duì)設(shè)計(jì)進(jìn)行亞穩(wěn)態(tài)重匯聚驗(yàn)證。重匯聚驗(yàn)證可基于傳統(tǒng)仿真工具，通過(guò)隨機(jī)注入延遲來(lái)判定電路對(duì)亞穩(wěn)態(tài)的容忍度。如果進(jìn)行延遲注入后仿真結(jié)果與預(yù)期一致，則表明該電路符合需求。與協(xié)議驗(yàn)證一樣，重匯聚驗(yàn)證需要仿真測(cè)試平臺(tái)的輸入激勵(lì)覆蓋需求規(guī)定的所有情況。

下面描述的亞穩(wěn)態(tài)注入方案與已有研究的注入方法相比[12]主要區(qū)別是固定了注入隨機(jī)延遲的變化頻率，注入隨機(jī)延遲的時(shí)機(jī)由狀態(tài)機(jī)進(jìn)行控制。該方法保證了進(jìn)行一次使能信號(hào)傳輸時(shí)，隨機(jī)延遲的注入不會(huì)突然變化而導(dǎo)致單比特使能信號(hào)縮短。相比于已有研究論文，其能應(yīng)用在如對(duì)接收使能信號(hào)有長(zhǎng)度要求(一般為2個(gè)接收時(shí)鐘長(zhǎng)度)的三模冗余電路。需注意的是，一般情況下在目的時(shí)鐘域的重匯聚是不允許的，但在抗單粒子翻轉(zhuǎn)使用的三模冗余設(shè)計(jì)中，不同同步路徑會(huì)在三模投票電路處出現(xiàn)計(jì)劃內(nèi)的匯聚點(diǎn)[13]，一些專(zhuān)用的跨時(shí)鐘域分析工具如Questa CDC可能誤報(bào)該錯(cuò)誤。使用本文的亞穩(wěn)態(tài)注入方法，可以對(duì)該投票電路功能在翻轉(zhuǎn)場(chǎng)景下是否失效進(jìn)行動(dòng)態(tài)判別。避免一些靜態(tài)跨時(shí)鐘域分析工具直接對(duì)該匯聚現(xiàn)象報(bào)錯(cuò)的情況出現(xiàn)。

圖5 亞穩(wěn)態(tài)注入電路

如圖5所示，亞穩(wěn)態(tài)注入位置選取在跨時(shí)鐘模塊信號(hào)傳輸完成后三模冗余投票之前的節(jié)點(diǎn)，本設(shè)計(jì)使用狀態(tài)機(jī)確保3個(gè)亞穩(wěn)態(tài)注入點(diǎn)注入亞穩(wěn)態(tài)時(shí)，該信號(hào)不會(huì)被截短導(dǎo)致三模冗余驗(yàn)證不能通過(guò)。且在動(dòng)態(tài)仿真過(guò)程中，為保證驗(yàn)證的全面性，需要收集功能覆蓋率情況。確認(rèn)在驗(yàn)證過(guò)程中覆蓋了亞穩(wěn)態(tài)的一路注入、兩路同時(shí)注入、三路同時(shí)注入的情況。使驗(yàn)證活動(dòng)更為完整可靠。

協(xié)議驗(yàn)證和重匯聚驗(yàn)證可以使用相同的輸入激勵(lì)，因此可以在一次仿真驗(yàn)證過(guò)程中同時(shí)檢查電路的傳輸協(xié)議和重匯聚問(wèn)題。

3 加速測(cè)試和可靠性分析評(píng)估

本節(jié)通過(guò)構(gòu)建加速亞穩(wěn)態(tài)的生成和采集電路獲取亞穩(wěn)態(tài)相關(guān)數(shù)據(jù)，并根據(jù)板級(jí)測(cè)試所得亞穩(wěn)態(tài)相關(guān)數(shù)據(jù)計(jì)算出亞穩(wěn)態(tài)參數(shù)值，使用該亞穩(wěn)態(tài)參數(shù)值，就可以計(jì)算出電路全部跨時(shí)鐘域路徑的TMTBF(平均無(wú)故障時(shí)間)值。

3.1 加速測(cè)試方法

跨時(shí)鐘域傳輸時(shí)通過(guò)單觸發(fā)器后發(fā)生亞穩(wěn)態(tài)的概率常使用公式(3)進(jìn)行評(píng)估[15]：

(3)

式中：tτ為亞穩(wěn)態(tài)解決時(shí)間，即預(yù)留給觸發(fā)器使其從亞穩(wěn)態(tài)恢復(fù)到穩(wěn)定的時(shí)間；τ為觸發(fā)器的亞穩(wěn)態(tài)解析時(shí)間常數(shù)；Tw為亞穩(wěn)態(tài)窗口時(shí)間常數(shù)；fc為設(shè)計(jì)的接收時(shí)鐘頻率；fd為設(shè)計(jì)的異步信號(hào)變化頻率，即輸入的異步信號(hào)翻轉(zhuǎn)率。

對(duì)于具體的電路設(shè)計(jì)來(lái)說(shuō)，參數(shù)fc,fd和tτ已知。因此要對(duì)MTBF進(jìn)行計(jì)算的關(guān)鍵是確定觸發(fā)器的亞穩(wěn)態(tài)參數(shù)Tw和τ。

對(duì)公式(3)兩邊取自然對(duì)數(shù)，得到如下公式：

(4)

易知方程(4)是一條直線，其自變量為亞穩(wěn)態(tài)決斷時(shí)間tτ，因變量為ln(TMTBF)，直線斜率k為1/τ，截距為-ln(Tw·fc·fd)。得到τ的計(jì)算公式，如公式(5)所示

(5)

得到Tw的計(jì)算公式，如公式(6)所示

(6)

所以可以通過(guò)改變tτ，測(cè)得到不同tτ下的TMTBF值，擬合出tτ-ln(TMTBF)直線，從而算出Tw和τ。目前半導(dǎo)體器件的亞穩(wěn)態(tài)參數(shù)測(cè)試方法都是基于該測(cè)試?yán)碚摗?/p>

基于該測(cè)試?yán)碚?，F(xiàn)PGA芯片廠商推薦使用的亞穩(wěn)態(tài)參數(shù)的測(cè)試電路為半周期測(cè)試電路[8]，通過(guò)改變時(shí)鐘周期的頻率改變tτ。本文推薦使用器件的時(shí)間管理模塊以實(shí)現(xiàn)tτ更精確的控制，以便獲得更多更廣泛的數(shù)據(jù)和更高的測(cè)試效率。亞穩(wěn)態(tài)參數(shù)測(cè)試需采集大量的亞穩(wěn)態(tài)數(shù)據(jù)，為計(jì)算TMTBF值，需測(cè)得亞穩(wěn)態(tài)發(fā)生次數(shù)和其對(duì)應(yīng)的時(shí)間。在設(shè)計(jì)亞穩(wěn)態(tài)采集電路時(shí)，測(cè)試前規(guī)定亞穩(wěn)態(tài)采集停止次數(shù)S。開(kāi)始亞穩(wěn)態(tài)采集時(shí)，計(jì)時(shí)計(jì)數(shù)器開(kāi)始計(jì)時(shí)，當(dāng)亞穩(wěn)態(tài)采集次數(shù)計(jì)數(shù)器達(dá)到亞穩(wěn)態(tài)采集停止次數(shù)S時(shí)，使計(jì)時(shí)計(jì)數(shù)器停止，并把該時(shí)間T記錄下來(lái)。S/T即可計(jì)算得出采集到2次亞穩(wěn)態(tài)的平均時(shí)間間隔。通過(guò)改變tτ，經(jīng)過(guò)不同次的測(cè)試計(jì)算獲得對(duì)應(yīng)的TMTBF值。需注意的是，測(cè)試時(shí)要使亞穩(wěn)態(tài)采集點(diǎn)在FPGA上的位置盡可能分散。

為方便在使用某些器件時(shí)進(jìn)行跨時(shí)鐘域的可靠性評(píng)估，本文對(duì)6種典型FPGA芯片的亞穩(wěn)態(tài)相關(guān)參數(shù)進(jìn)行采集計(jì)算。在不同采樣點(diǎn)多次規(guī)定次數(shù)進(jìn)行亞穩(wěn)態(tài)采樣后，對(duì)數(shù)據(jù)點(diǎn)進(jìn)行最小二乘法直線擬合，繪制出6種典型芯片亞穩(wěn)態(tài)參數(shù)采集Matlab圖(圖中tτ和TMTBF的單位為ps)如圖6所示。

圖6 不同芯片亞穩(wěn)態(tài)參數(shù)采集圖

對(duì)多組數(shù)據(jù)擬合成直線，計(jì)算得到的亞穩(wěn)態(tài)參數(shù)值如表1所示。

表1 被測(cè)芯片亞穩(wěn)態(tài)參數(shù)值

3.2 計(jì)算評(píng)估

不同的同步策略解決亞穩(wěn)態(tài)的核心原理都是增加亞穩(wěn)態(tài)的解決時(shí)間，核心電路為同步單元結(jié)構(gòu)。其中雙級(jí)同步單元的MTBF計(jì)算公式如公式(1)所示。

當(dāng)雙級(jí)同步單元不能滿足MTBF的需求時(shí)，可以提高同步單元的串聯(lián)級(jí)數(shù)來(lái)增大亞穩(wěn)態(tài)的實(shí)際解決時(shí)間。多級(jí)觸發(fā)器風(fēng)險(xiǎn)評(píng)估公式(7)[16]

(7)

式中，M為一個(gè)同步單元中寄存器個(gè)數(shù)。

FPGA整體的同步電路的MTBF值由設(shè)計(jì)中所有的跨時(shí)鐘域同步單元決定。一個(gè)同步單元失效率F(Pn)為1/TMTBF(M)，Pn表示第n個(gè)同步單元。整個(gè)設(shè)計(jì)由亞穩(wěn)態(tài)導(dǎo)致的失效率是把所有同步鏈的失效率相加，如公式(8)所示。假設(shè)FPGA整體設(shè)計(jì)含N個(gè)同步單元，其MTBF計(jì)算公式如公式(9)～(10)所示：

在計(jì)算跨時(shí)鐘域同步電路可靠性時(shí)，需關(guān)注兩點(diǎn)：第一是同步單元數(shù)目的確定;第二是對(duì)數(shù)據(jù)變換速度f(wàn)d的確定約束。在確定同步單元數(shù)目時(shí)，要注意每種同步電路含有的同步單元的個(gè)數(shù)不同，同步電路與其含有的同步單元不是一一對(duì)應(yīng)關(guān)系(如握手同步策略，異步FIFO同步策略)。在確定公式使用fd數(shù)值時(shí)，如果數(shù)據(jù)變換速度f(wàn)d未知，一般fd可按照發(fā)送時(shí)鐘域的時(shí)鐘頻率fw估計(jì)，這樣計(jì)算出的MTBF值可認(rèn)為是保守的可靠性值。但在某些場(chǎng)景可對(duì)fd進(jìn)行更精確約束時(shí)，建議使用更精確的方法約束fd最高變換頻率，以求得更符合實(shí)際的MTBF值。下面舉例說(shuō)明如何確定計(jì)算MTBF所需的同步單元的個(gè)數(shù)N和fd的值。假設(shè)一個(gè)電路設(shè)計(jì)中含有一個(gè)異步FIFO，其指向數(shù)據(jù)存儲(chǔ)器的地址采用二進(jìn)制碼編寫(xiě)。其中，異步FIFO中的寫(xiě)滿標(biāo)志判斷需要把讀地址同步到寫(xiě)時(shí)鐘域，讀空標(biāo)志需要把寫(xiě)地址同步到讀時(shí)鐘域[17]。當(dāng)讀寫(xiě)地址碼進(jìn)行跨時(shí)鐘域傳輸時(shí)，需把二進(jìn)制編碼轉(zhuǎn)化為格雷碼。若地址總線位寬為W，由于讀寫(xiě)地址都要同步，因此該異步FIFO中具有2W個(gè)同步單元，即N=2W。確定N之后，需確定約束每個(gè)同步單元的fd。對(duì)于地址總線為W的異步FIFO，存在2W個(gè)寫(xiě)地址，其中最高位為狀態(tài)位，2W-1個(gè)地址對(duì)應(yīng)實(shí)際存儲(chǔ)器的地址。自然二進(jìn)制碼轉(zhuǎn)換成二進(jìn)制格雷碼，其法則是保留自然二進(jìn)制碼的最高位作為格雷碼的最高位，而次高位格雷碼為二進(jìn)制碼的高位與次高位相異或，而格雷碼其余各位與次高位的求法相類(lèi)似。經(jīng)分析計(jì)算，第n位格雷碼最快變換頻率如公式(11)所示。

(11)

以W=4為例，代入公式(11)，可得到各同步單元最快變換頻率表。

表2 4位格雷碼同步單元最快變換頻率表

依據(jù)表2中的各同步單元最快變換頻率fd，便可以使用公式(7)進(jìn)行單個(gè)同步單元TMTBF計(jì)算。之后使用公式(10)進(jìn)行該異步FIFO的TMTBF計(jì)算。

通過(guò)計(jì)算所得的MTBF值即可判斷同步電路是否符合可靠性要求。如不符合，需修改同步電路設(shè)計(jì)，增加相應(yīng)同步單元內(nèi)寄存器的級(jí)數(shù)。

4 結(jié) 論

本文介紹了一種適用于機(jī)載復(fù)雜電子硬件的基于傳統(tǒng)工具的RTL級(jí)驗(yàn)證、板級(jí)加速測(cè)試和計(jì)算評(píng)估相結(jié)合的跨時(shí)鐘域驗(yàn)證及可靠性評(píng)估方法，可以在設(shè)計(jì)早期發(fā)現(xiàn)三模場(chǎng)景和普通場(chǎng)景下的跨時(shí)鐘域信號(hào)的隱患。對(duì)于含跨時(shí)鐘域同步電路的電子設(shè)計(jì)，電路驗(yàn)證應(yīng)關(guān)注跨時(shí)鐘域路徑上的同步電路結(jié)構(gòu)，數(shù)據(jù)傳輸要求，目的時(shí)鐘域重匯聚等問(wèn)題。

對(duì)于應(yīng)用在DAL A/B的機(jī)載復(fù)雜電子硬件的跨時(shí)鐘域同步電路，則需在RTL級(jí)驗(yàn)證通過(guò)后，對(duì)亞穩(wěn)態(tài)參數(shù)未知的芯片進(jìn)行實(shí)際板級(jí)加速測(cè)試，最后根據(jù)測(cè)試結(jié)果計(jì)算評(píng)估其TMTBF值，判斷同步器的可靠性是否符合需求。另外，本文提供了Altera和Xilinx公司的共6款不同特征尺寸的亞穩(wěn)態(tài)參數(shù)測(cè)試參考值，使驗(yàn)證人員能更方便快捷地進(jìn)行該器件的跨時(shí)鐘域可靠性評(píng)估計(jì)算。建議該方法可作為靜態(tài)時(shí)序分析工作的補(bǔ)充，共同完成對(duì)電路的時(shí)序分析工作。