1、L/O/G/OFPGAFPGA第三方驗證第三方驗證內容內容常見問題和常見問題和故障案例故障案例解析解析FPGA驗證驗證流程流程第三方驗證第三方驗證成效成效解決亞穩態解決亞穩態的方法的方法FPGA第三方驗證流程第三方驗證流程1 任務書任務書需求規格說明需求規格說明概要設計概要設計詳細設計報告詳細設計報告 代碼編寫風格代碼編寫風格可綜合性規則可綜合性規則時鐘與復位規則時鐘與復位規則異步時鐘域規則異步時鐘域規則 代碼規范檢測代碼規范檢測代碼與文檔一致性代碼與文檔一致性檢查檢查可靠性設計，包括可靠性設計，包括三模冗余設計有效三模冗余設計有效性檢查、電路設計性檢查、電路設計合理性檢查、上電合理性檢查、上

2、電配置時間計算等配置時間計算等資源使用情況分析資源使用情況分析 最大工況最大工況 典型工況典型工況 最小工況最小工況 時鐘頻率降額時鐘頻率降額80%Image Info www.wizdata,co,kr Note to customers : This image has been licensed to be used within this PowerPoint template only. You may not extract the image for any other use. FPGA第三方驗證流程第三方驗證流程2 綜合后網表與綜合后網表與RTL代碼一致性檢查代碼一致性檢查布

3、線后二進制流文布線后二進制流文件件最終下載文件最終下載文件 功能測試功能測試 性能測試性能測試 接口測試接口測試邊界值測試邊界值測試強度測試強度測試安全性測試安全性測試覆蓋率測試，語句覆蓋率測試，語句覆蓋率、分支覆蓋覆蓋率、分支覆蓋率、狀態機覆蓋率率、狀態機覆蓋率盡可能達到盡可能達到100%靜態：靜態：運用運用Mentor公司的公司的CDC工具進工具進行跨時鐘域行跨時鐘域靜態靜態檢檢測測動態：動態：通過通過設置設置亞亞穩態穩態監視器監視器，進行，進行跨時鐘域仿真跨時鐘域仿真最大、典型、最小最大、典型、最小三種工況下進行時三種工況下進行時序仿真序仿真三模冗余仿真驗證三模冗余仿真驗證Image I

4、nfo www.wizdata,co,kr Note to customers : This image has been licensed to be used within this PowerPoint template only. You may not extract the image for any other use. 第三方驗證成效第三方驗證成效型號型號問題總數問題總數文檔問題文檔問題程序問題程序問題設計問題設計問題其他問題其他問題YH-1156630TG-1 1154253147SZ-8 116 4548139CZ-2F58220360JB-9812544111問題分配問題

5、分配狀態機要采用狀態機要采用safe模式綜合優化模式綜合優化 某個型號某個型號FPGA設計狀態機定義如下：設計狀態機定義如下：type state_type is (s0,s1,s2,s3,s4,s5,s6,s7,s8,s9); synplify 狀態機默認編碼策略狀態機默認編碼策略 若將若將one-hot的編碼變成的編碼變成safe one-hot,則多出了則多出了210-10個非法狀態個非法狀態 10210若將若將gray的編碼變成的編碼變成safe gray,則多出了則多出了24-10=6個非法狀態個非法狀態 盡可能避免使用盡可能避免使用FF產生時鐘產生時鐘 時鐘偏移（時鐘到達時鐘偏移（

6、時鐘到達FPGAFPGA內部兩個相鄰的寄存器時間差）較大而數據路內部兩個相鄰的寄存器時間差）較大而數據路徑較短時，保持時間不足，有可能帶來功能失效，這種問題一般發生在最好徑較短時，保持時間不足，有可能帶來功能失效，這種問題一般發生在最好情況下情況下( (低環境溫度、高輸入電壓低環境溫度、高輸入電壓) )。 故障案例故障案例1： 在最小工況的后仿真中發現輸出到空空接口的時鐘有毛刺，從而導致對方的在最小工況的后仿真中發現輸出到空空接口的時鐘有毛刺，從而導致對方的數據接收錯誤。該問題在功能仿真、最大工況和典型工況的仿真驗證中均沒有數據接收錯誤。該問題在功能仿真、最大工況和典型工況的仿真驗證中均沒有發

7、生，設計師在常溫下實際的硬件電路測試中也沒有發生過該問題。發生，設計師在常溫下實際的硬件電路測試中也沒有發生過該問題。 VCS仿真器重仿真器重clkout和和clkout的時鐘周期檢測的時鐘周期檢測 Modelsim工具下工具下clkout和和clkout的時鐘周期檢測的時鐘周期檢測 故障案例故障案例1： 靜態時序分析報告中的靜態時序分析報告中的skew 糾正措施：糾正措施：設計師去除四分頻時鐘設計師去除四分頻時鐘clk_decoder，采用全局時鐘，采用全局時鐘dsp_clk去去對對sym_q進行計數，在對進行計數，在對sym_q計數前先判斷計數前先判斷4分頻計數器分頻計數器q的值的值 。時

8、鐘網絡時鐘網絡 占用資源占用資源 扇出數扇出數 時鐘偏移時鐘偏移ns 最大延時最大延時ns U2/U4/q1（4分頻） local 16 1.729 5.509 U2/U4/temp_clkout local 8 0.680 4.290故障案例故障案例2： 故障現象：故障現象：某型號單機在三防前進行高低溫摸底。低溫階段，發現優選功能異常：某型號單機在三防前進行高低溫摸底。低溫階段，發現優選功能異常：地面設備將上行伴音信道的時鐘關閉后，產品仍判斷伴音信道為同步狀態，優選地面設備將上行伴音信道的時鐘關閉后，產品仍判斷伴音信道為同步狀態，優選功能維持選擇伴音信道，無法選擇到功能維持選擇伴音信道，無法

9、選擇到Ka信道或信道或USB信道。故障現象發生后，先后信道。故障現象發生后，先后對產品和測試臺進行了多次開關機和復位操作，故障始終存在。常溫下該故障出現對產品和測試臺進行了多次開關機和復位操作，故障始終存在。常溫下該故障出現概率低，高溫下產品工作正常。概率低，高溫下產品工作正常。 時鐘同步判別邏輯如圖時鐘同步判別邏輯如圖4所示，該所示，該FPGA設計采用了由全局時鐘設計采用了由全局時鐘24.576M分頻分頻產生的產生的1.536M時鐘對輸入時鐘頻率時鐘對輸入時鐘頻率192K時鐘進行同步判別，先是對時鐘進行同步判別，先是對192k時鐘進時鐘進行沿口判斷，然后進行計數，當計數器計到行沿口判斷，然后

10、進行計數，當計數器計到16時，則判定為失步。時，則判定為失步。 故障案例故障案例2： 時鐘網絡時鐘網絡 占用占用資源資源 扇出扇出數數 時鐘偏移時鐘偏移ns 最大延時最大延時ns 最小工況下最小工況下hold slack(ns) model2/testclk2/clk_O local 47 2.724 6.157 1.519ns Intmuxaudio_clkA_OBUF local 17 1.533 4.786 2.025ns model2/counter local 8 1.938 4.436 0.130ns clk768 local 4 2.332 4.402 2.435ns 通過路徑分

11、析，可知計數器通過路徑分析，可知計數器adowncount第第1、2位的位的hold slack余量較小，也就余量較小，也就是說，計數器第是說，計數器第1、2位為全位為全1時，計數器有可能無法進位，計數器第時，計數器有可能無法進位，計數器第3位有可能計不上位有可能計不上去。在這種去。在這種hold violation情況下，發生的現象為當計數值為情況下，發生的現象為當計數值為5b00011時，下一個時鐘時，下一個時鐘計數值為計數值為5h00000。 設計師通過試驗，在不改變設計師通過試驗，在不改變FPGA內部布線的基礎上，將該計數器的內部布線的基礎上，將該計數器的5位全部輸出位全部輸出到端口上

12、，故障發生時，該計數器的第三位始終不能進位到端口上，故障發生時，該計數器的第三位始終不能進位 。較大時鐘較大時鐘skew偏移及延時信息表偏移及延時信息表 根本原因：由于計數器時鐘根本原因：由于計數器時鐘skew過大導致過大導致D觸發器觸發器hold slack時間不能滿足要求，使計數出錯所致。時間不能滿足要求，使計數出錯所致。 接口異步信號要進行同步處理接口異步信號要進行同步處理 接口異步信號處理是為了減少亞穩態影響的傳播。接口異步信號處理是為了減少亞穩態影響的傳播。亞穩態現象亞穩態現象如果如果FPGA中寄存器輸入信號不滿足建立時間的要求，正常的輸出中寄存器輸入信號不滿足建立時間的要求，正常的

13、輸出信號就會在一段不可預知長度的時間內處于一個非信號就會在一段不可預知長度的時間內處于一個非“0”非非“1”的中間狀態的中間狀態(這段時間稱為亞穩態恢復時間這段時間稱為亞穩態恢復時間)，之后可能穩定在，之后可能穩定在“1”狀態，也可能穩定在狀態，也可能穩定在“0”狀態。狀態。 Tw 寄存器輸入數據變化可能形成亞穩態現象的時間窗口寄存器輸入數據變化可能形成亞穩態現象的時間窗口TSU 輸入相對于時鐘沿所需的建立時間輸入相對于時鐘沿所需的建立時間TCO 輸出相對于時鐘沿之后的延遲時間輸出相對于時鐘沿之后的延遲時間Tres 亞穩態恢復時間亞穩態恢復時間 故障案例故障案例1： 某某921型號并行相關處理

14、型號并行相關處理FPGA產品的第三方評測，評測人員發現該代碼存在跨時產品的第三方評測，評測人員發現該代碼存在跨時鐘域問題鐘域問題 。 故障案例故障案例1： 故障案例故障案例2： 某衛星型號固存單機在整機聯試中發現讀指令有時不響應，設計師將該單機某衛星型號固存單機在整機聯試中發現讀指令有時不響應，設計師將該單機拿回來進行故障重現，發現發送拿回來進行故障重現，發現發送200多條指令才會產生一次不響應的情況。設計多條指令才會產生一次不響應的情況。設計師對代碼進行了反復檢測，利用邏輯分析儀進行抓取，抓住的故障現象，師對代碼進行了反復檢測，利用邏輯分析儀進行抓取，抓住的故障現象，FPGA2已解析了讀指令

15、，給出讀狀態控制信號，已解析了讀指令，給出讀狀態控制信號，we信號也有，半滿信號一直有效，可是信號也有，半滿信號一直有效，可是oe信號一直無效，所以無數據輸出。因此斷定故障現象出在信號一直無效，所以無數據輸出。因此斷定故障現象出在FPGA1中。中。 正常正常有效且同步有效且同步無輸出無輸出有效但未同步有效但未同步無輸出無輸出故障案例故障案例2： FPGA1中設計了一個中設計了一個24位轉換為位轉換為16位的狀態機，位的狀態機， 而該而該FPGA設計均未選用設計均未選用safe模式對狀態機進行綜合優化模式對狀態機進行綜合優化 。 24位轉換位轉換為為16位位異步信號，一直穩定異步信號，一直穩定有

16、效有效 ，對該信號進行，對該信號進行網表追蹤網表追蹤 FSM狀態機圖狀態機圖 故障案例故障案例2： FIFO半滿信號信號對半滿信號信號對fsm1:0有影響，經過的路徑不同，有影響，經過的路徑不同，fsm1.d經過兩個組經過兩個組合邏輯電路，明顯比合邏輯電路，明顯比fsm0.d的路徑延時長的路徑延時長 。 Tdelay1Tdelay2Tdelay2 Tdelay1 故障案例故障案例2： 兩個觸發器的數據有一段時間處于亞穩態，當時鐘在這段時間內狀態機由次兩個觸發器的數據有一段時間處于亞穩態，當時鐘在這段時間內狀態機由次態變為現態，就會采到態變為現態，就會采到00，該狀態為非法狀態，狀態機進入死鎖，

17、無法恢復正常，該狀態為非法狀態，狀態機進入死鎖，無法恢復正常狀態狀態 。 時鐘若在此時鐘若在此有上升沿有上升沿糾正措施：糾正措施：對對FIFO半滿信號進行兩個觸發器同步，并對半滿信號進行兩個觸發器同步，并對FPGA設計中設計中所有狀態機采用所有狀態機采用safe+gray碼綜合優化碼綜合優化 故障案例故障案例3 ： XX-2數傳終端機延時停狀態切換時存儲器寫指針異常回零質量問題：整星熱數傳終端機延時停狀態切換時存儲器寫指針異常回零質量問題：整星熱真空試驗，工況真空試驗，工況（A機工作）的高溫保持階段前面工作正常，在第機工作）的高溫保持階段前面工作正常，在第10軌時，數軌時，數傳終端通過程控指令

18、進行工作狀態切換，從實時寫切換至實時停、延時停、延時傳終端通過程控指令進行工作狀態切換，從實時寫切換至實時停、延時停、延時寫過程中，導致數據從頭開始記錄，將原先記錄的數據覆蓋寫過程中，導致數據從頭開始記錄，將原先記錄的數據覆蓋 。故障原因故障原因 問題定位于問題定位于“內部復位指令內部復位指令”能執行是由于寫停切換時，處于兩個時鐘域同能執行是由于寫停切換時，處于兩個時鐘域同時變化時刻，產生時序競爭沖突，從而置位錯誤的狀態，使鎖存狀態值變化，導時變化時刻，產生時序競爭沖突，從而置位錯誤的狀態，使鎖存狀態值變化，導致內部復位存儲器指令有效，從而使存儲器指針復位回零。致內部復位存儲器指令有效，從而使

19、存儲器指針復位回零。 故障的產生是由于內部復位模塊未考慮不同時鐘域信號的同步處理，在兩個時故障的產生是由于內部復位模塊未考慮不同時鐘域信號的同步處理，在兩個時鐘域沿重合時，存在時序競爭，使寫停狀態切換時，置了異常狀態，導致再發寫鐘域沿重合時，存在時序競爭，使寫停狀態切換時，置了異常狀態，導致再發寫指令時存儲器寫指針異常回零。指令時存儲器寫指針異常回零。措施及驗證措施及驗證 更改更改FPGA設計中的內部復位模塊設計，將指令信號同步至設計中的內部復位模塊設計，將指令信號同步至11.25MHz，使時，使時鐘沿不會處理不定態。鐘沿不會處理不定態。三模冗余設計的綜合選項三模冗余設計的綜合選項 在星上在星

20、上FPGA設計中，設計師往往采用三模冗余的方法來解決單粒子翻轉問題，設計中，設計師往往采用三模冗余的方法來解決單粒子翻轉問題，但是如果綜合選項設置不合適，可能會帶來三模冗余被優化掉的問題。但是如果綜合選項設置不合適，可能會帶來三模冗余被優化掉的問題。 某型號某型號FPGA產品的產品的地址譯碼功能和地址譯碼功能和OC指令數據比對功能指令數據比對功能作了作了三模冗余三模冗余設計，設計，方式是通過設計三個相同的模塊，然后通過方式是通過設計三個相同的模塊，然后通過三取二三取二確定輸出結果，但是在綜合確定輸出結果，但是在綜合報告中發現了三模冗余設計被綜合刪除了。報告中發現了三模冗余設計被綜合刪除了。 三

21、模冗余設計的綜合選項三模冗余設計的綜合選項糾正措施：糾正措施：在源代碼中加入綜合約束在源代碼中加入綜合約束syn_preserve來解決這個問題。來解決這個問題。 syn_preserve：阻止寄存器和模塊被綜合優化阻止寄存器和模塊被綜合優化約束約束寄存器、模塊寄存器、模塊。 資源共享資源共享輸出為輸出為0輸入固定值輸入固定值在被調用模塊的例化語句中加入在被調用模塊的例化語句中加入“/*synthesis syn_preserve = 1” */若沒有約束設置若沒有約束設置“/*synthesis syn_preserve = 1” */接口時序不滿足要求接口時序不滿足要求 一個一個FPGA產

22、品若要正常工作，除了需要考慮內部的時序邏輯正確，還要產品若要正常工作，除了需要考慮內部的時序邏輯正確，還要考慮與之接口的器件的時序特性，考慮與之接口的器件的時序特性， 如如SRAM、ROM、FLASH、AD、DO254芯片等，這些器件的輸出延時和硬件鏈路導致的延時會導致芯片等，這些器件的輸出延時和硬件鏈路導致的延時會導致 實際上數據輸出實際上數據輸出的時序關系與預想的不一致，若不進行仔細設計，就有可能導致錯誤的發生的時序關系與預想的不一致，若不進行仔細設計，就有可能導致錯誤的發生 。故障案例故障案例1 在某型號在某型號FPGA產品的評測過程中，評測人員在進行最小工況后仿真時，發現產品的評測過程

23、中，評測人員在進行最小工況后仿真時，發現SRAM的地址保持時間不滿足時序要求的地址保持時間不滿足時序要求 。控制信號。控制信號ce（SRAM片選信號）是一直片選信號）是一直有效的有效的 ，we信號通過狀態機組合邏輯輸出。信號通過狀態機組合邏輯輸出。地址變化和地址變化和we抬高為同一時抬高為同一時刻，布線延時后可能導致寫刻，布線延時后可能導致寫地址的保持時間不足地址的保持時間不足故障案例故障案例2 在某型號在某型號FPGA產品的評測過程中，評測人員在進行最大工況后仿真時，發現產品的評測過程中，評測人員在進行最大工況后仿真時，發現FPGA從從FLASH中讀數據時，采到的數據為中讀數據時，采到的數據

24、為X 。最大值最大值為為35ns驅動驅動245芯片的最芯片的最大延時為大延時為10ns 故障案例故障案例2 修改前功能仿真波形修改前功能仿真波形數據建立時間數據建立時間余量為余量為5ns ld_da高電高電平數據有效平數據有效輸入數據輸入數據要用要用數據數據故障案例故障案例2 修改前最大工況仿真波形修改前最大工況仿真波形數據建立時間數據建立時間余量為余量為-7.6ns ld_da的反向低電的反向低電平采樣數據平采樣數據輸入輸入數據數據要用數據的第要用數據的第12位位原因：原因：該該FPGA設計中設計師未考慮到驅動設計中設計師未考慮到驅動245的延時，因此導致了時序過于緊張。的延時，因此導致了時

25、序過于緊張。 故障案例故障案例2 修改后功能仿真波形修改后功能仿真波形數據建立時間數據建立時間余量為余量為25ns ld_da高低電平采樣高低電平采樣數據數據輸入數輸入數據據要用要用數據數據糾正措施：糾正措施：設計師改用設計師改用clk的上升沿產生的上升沿產生FLASH的讀信號，相當于將讀使能信號的讀信號，相當于將讀使能信號fl_re_n往前移動了半個時鐘周期往前移動了半個時鐘周期 IP核使用不當引發的問題核使用不當引發的問題 FPGA IP(International Property)內核。內核。使用使用IP核能保證系統級芯片的開發效率、質量，并能大大縮短產品開核能保證系統級芯片的開發效率

26、、質量，并能大大縮短產品開發時間發時間 。但使用時，要注意。但使用時，要注意IP核的使用是否正確。核的使用是否正確。故障現象：故障現象：某型號上的星敏感器某型號上的星敏感器FPGA在驗證質心計算功能的過程中，在驗證質心計算功能的過程中，闕值闕值(Threshold)應該是實時更新的，每次當前幀圖像的質心計算過程中，應該是實時更新的，每次當前幀圖像的質心計算過程中，應使用上一幀圖像計算出的闕值。而在行為仿真中發現闕值一直沒有進行應使用上一幀圖像計算出的闕值。而在行為仿真中發現闕值一直沒有進行更新，從而導致姿軌控計算機計算錯誤。更新，從而導致姿軌控計算機計算錯誤。 故障案例故障案例1： 方差方差I

27、P核計核計算出的值算出的值實際使用實際使用的值的值閾值閾值平均值平均值方差值方差值偏移量偏移量增加計數器判定增加計數器判定異步復位的問題異步復位的問題 許多設計者使用異步復位是因為喜歡這樣的想法許多設計者使用異步復位是因為喜歡這樣的想法, , 通過復位將他們的電路完全通過復位將他們的電路完全置于一種可控的狀態。然而很多設計者僅僅只是使用異步復位置于一種可控的狀態。然而很多設計者僅僅只是使用異步復位, , 忽略了可能產生的忽略了可能產生的問題。他們在可控的環境下進行復位測試問題。他們在可控的環境下進行復位測試, , 一切工作正常一切工作正常, , 然而級聯的系統卻會間歇然而級聯的系統卻會間歇性的

28、出錯。設計者常常低估了真實系統中性的出錯。設計者常常低估了真實系統中( (不可控環境不可控環境) ) 的復位信號的復位信號“釋放釋放”問題。而問題。而這個問題可能導致芯片進入未知的亞穩態這個問題可能導致芯片進入未知的亞穩態, , 從而讓所有的復位都失效。從而讓所有的復位都失效。 tremovaltrecoverytclk-qtMETtrecovery ( recovery t ime) 指的是原本有效的異步復位信號釋放(對低電平有效的復位來說就是上跳沿) 與緊跟其后的第一個時鐘有效沿之間所必須的最小時間。tremoval ( removal t ime) 指的是時鐘有效沿與緊跟其后的原本有效的

29、異步復位信號變得無效之間所必須的最小時間。tclk- q是觸發器時鐘端到Q 端的延時, tM ET 是保證亞穩態不傳播到下一級所允許的亞穩態持續的最大時間亞穩態的評估亞穩態的評估 出現亞穩態的平均時間常用平均無故障時間MTBF (Mean Time Between Failures) 來表示tM ET是保證亞穩態不傳播到下一級所允許的亞穩態持續的最大時間; C1 和C2 是與觸發器性質有關的常數; f CLOCK是時鐘頻率; f RESET是異步復位信號的變換頻率; 假設整個FPGA 中有N 個異步復位的觸發器,每個觸發器的復位信號都是與時鐘信號異步, 若每個觸發器的M TBF 都由上述公式得

30、出, 則整個芯片的平均無故障時間MTBFC 將是:N 106,MTBFc 將以秒為單位，亞穩態的影響將非常大tM ETMTBF0.05約28分鐘0.23 約223分鐘0.57 約86小時0.73 約87天隨著兩級觸發器間tMET時間的增大，MTBF呈指數增大。假設時鐘頻率fclock為310MHz，freset為1Hz，當tMET達到2.2ns時，大約10year發生1次錯誤問題的解決問題的解決復位同步器的使用將異步復位信號變成與時鐘同步的復位信號復位同步器的使用將異步復位信號變成與時鐘同步的復位信號, 同時同時使用兩級觸發器組成復位同步器又使得同步器本身發生亞穩態的可能大大減少使用兩級觸發器

31、組成復位同步器又使得同步器本身發生亞穩態的可能大大減少; 復位約束在全局時鐘上糾正了主復位信號傳播到各目的觸發器的傳播復位約束在全局時鐘上糾正了主復位信號傳播到各目的觸發器的傳播延時差異延時差異, 保證復位信號傳播的一致。保證復位信號傳播的一致。約束在全局約束在全局時鐘上時鐘上若單個觸發器MTBF是10年，兩個觸發器則為1000年為什么要用兩級觸發器作同步器？為什么要用兩級觸發器作同步器？對于兩級觸發器的同步器的平均無故障時間MTBF計算如下：很少變化很少變化M TBF (1) 以年為單位, 若M TBF (1) 為100年, 則M TBF (2) 大約為10000 年。MTBF足夠大，因此采

32、用兩級觸發器組成的復位同步器基本上將亞穩態問題降到了可以容忍的地步。克服亞穩態的方法兩級觸發器級聯同步過程兩級觸發器級聯同步過程電平信號的同步電平信號的同步克服亞穩態的方法兩級觸發器級聯同步過程兩級觸發器級聯同步過程跳變沿的同步跳變沿的同步克服亞穩態的方法兩級觸發器級聯同步過程兩級觸發器級聯同步過程脈沖信號的同步脈沖信號的同步異步信號脈沖的長度超過兩個時鐘周期，在最終的輸出端仍然只是出現一個時鐘周期寬的脈沖；異步信號脈沖的長度超過兩個時鐘周期，在最終的輸出端仍然只是出現一個時鐘周期寬的脈沖；如果輸入兩次的異步信號脈沖間隔小于兩個時鐘周期，最終輸出同步信號脈寬超過一個時鐘周期如果輸入兩次的異步信號脈沖間隔小于兩個時鐘周期，最終輸出同步信號脈寬超過一個時鐘周期克服亞穩態的方法兩級觸發器級聯同步過程兩級觸發器級聯同步過程電