做高可靠性电子产品的 FPGA 逻辑设计，光把功能跑通可不够。得结合 FPGA 的可编程特性、结构弱点，还有高可靠场景的特殊需求（比如抗辐射、零失效），在抗干扰、容错、验证和环境适应这几个维度针对性下手。
一、抗辐射与单粒子效应防护
FPGA（尤其是 SRAM 型）的配置存储器对辐射挺敏感，高能粒子撞击容易导致配置位翻转，引发逻辑错误或功能失效。像航天、核工业这种高可靠场景，这块必须重点防护。
SEU 检测与纠正 给配置存储器加汉明码或 RS 码校验是个好办法，能检测并纠正单比特错误，甚至检测双比特错误。Xilinx Virtex 系列就有 Configuration Memory Scrubber IP，周期性读取配置位比对，发现错了就通过 EDAC 纠正或者重新加载。有条件的话，用工具模拟粒子轰击做个软错误注入测试，评估一下 SEU 率，优化防护策略会更心里有底。
三模冗余与扩展 关键模块（比如状态机、运算单元）复制 3 份，通过表决器输出结果，这是经典的 TMR 方案。不过实现时要注意：表决器本身也得冗余，不然它成了单点故障；复制模块的输入要同步，最好同一时钟驱动，输出隔离避免毛刺干扰。资源消耗大概是原模块的 3 倍，所以可以用部分 TMR，只冗余关键路径来平衡。 工具方面，Xilinx Vivado 有 TMR Manager IP 能自动插冗余和监测逻辑，Intel Quartus 也有 HardCopy TMR 针对结构化 ASIC 流程优化。
配置刷新 SRAM 型 FPGA 掉电会丢配置，运行中也可能累积错误。主动刷新就是周期性从外部 Flash 读备份覆盖错误位。分背景刷新（低优先级持续刷，不耽误正常逻辑）和按需刷新（配合 EDAC 检测到错误再触发）。
抗辐射选型 反熔丝型（如 Microsemi RT ProASIC3）非易失性，抗 SEU 极强但不可重编；Flash 型（如 Lattice Certus-NX）比 SRAM 型 SEU 率低上千倍，支持动态重构；SOI 工艺（如 Xilinx Virtex-5QV）则靠绝缘体上硅减少漏电流提升抗辐射能力。
二、配置可靠性设计
FPGA 的功能全靠配置文件（Bitstream），加载、存储、完整性直接决定系统稳不稳。
配置加载机制 外部配置 Flash 搞主备双芯片，主片挂了自动切备片，靠 FPGA 的 STARTUP 模块监测 INIT_B 引脚。加载完回读配置存储器内容到外部 Flash 或 RAM，用 CRC32 校验完整性，Xilinx Bitstream 自带这个字段。敏感场景（比如军工）还得加密，AES-256 解密防止恶意篡改。
动态重构容错 部分重构只更新部分逻辑区域，得确保重构时其他模块还能跑。要点是划分独立的'重构区域'，和其他模块通过 AXI 总线隔离；重构前保存关键状态，重构后恢复；用厂商工具验证时序收敛。
三、时序与同步设计
FPGA 内部布线延迟不确定，异步信号容易出亚稳态，这是高可靠设计的隐形杀手。
严格同步设计 全局时钟树要用 FPGA 的全局时钟缓冲器（BUFG/BUFGCE），确保所有触发器由同一时钟驱动，避免偏斜。关键路径加寄存器打拍，或者用格雷码替代二进制计数，减少状态跳变位数消除毛刺。
跨时钟域处理 慢到快时钟域用双触发器同步器，第一级捕获，第二级输出稳定值。快到慢用握手协议，valid/ready 信号传递数据，确保接收端就绪。跨时钟域数据用异步 FIFO 缓存，内置空满标志防溢出下溢。
时序约束与优化 SDC 约束文件要明确频率、延迟、虚假路径，指导综合工具优化布局布线。静态时序分析检查建立保持时间，关键路径手动布局或用高速串行收发器预设模板保障收敛。
四、故障检测与自恢复逻辑
主动监测系统状态，快速定位隔离故障，别等错误传开。
内置自测试 集成 LFSR 生成伪随机测试向量，对比预期结果检测组合逻辑故障。Xilinx 提供 LBIST IP，支持全芯片或模块级测试。内存 BIST 对 BRAM/URAM 做读写测试，Intel Quartus 的 Memory BIST Compiler 能自动生成。
状态机保护 有限状态机用独热码或格雷码编码，加默认状态跳转分支，避免进入未定义状态。关键状态机记录历史状态，出错时回滚到上一个有效状态，虽然费点资源但值得。
看门狗与心跳 硬件看门狗系统需周期性喂狗，超时复位或切安全模式。多模块系统里各子模块定期发心跳包，超时没收到就判定失效并隔离，比如切断对外接口。
五、简化与模块化设计
FPGA 资源有限，简化逻辑能减少故障点。
逻辑简化原则 最小化组合逻辑层级，避免嵌套太深的 if-else，用流水线拆分长路径。优先用厂商认证的可靠 IP，比如 AXI Interconnect，别手动写复杂逻辑，浮点运算直接用 DSP48E2 硬核。
