企业官网建设流程全解析

1. 项目概述：当FPGA的“软肋”成为“探测器”

在粒子加速器、空间探测或者质子治疗中心这类高辐射环境里，电子设备的可靠性是个让人头疼的大问题。想象一下，一个看不见的高能中子，像一颗微型的子弹，穿过你的电路板，精准地“打翻”了某个存储单元里的数据位——这就是单粒子翻转（SEU）。对于依赖精密数字逻辑的系统来说，这种随机发生的位翻转轻则导致数据错误，重则引发功能失效，后果不堪设想。

传统的应对策略，往往是把“感知”和“处理”分开：用一块专门的SRAM芯片作为传感器来“感受”辐射，再用另一块经过辐射加固的处理器或FPGA来读取和计数这些翻转事件。这种方案固然有效，但也带来了功耗增加、电路板尺寸变大、设计复杂度飙升等一系列新问题。更麻烦的是，一旦那套加固的读出逻辑固化在硬件里，后期想升级或调整几乎不可能。

那么，有没有可能让一个器件“身兼两职”，既当敏感的“皮肤”，又当聪明的“大脑”？我们这次折腾的项目，就是基于这个想法：用一块SRAM型FPGA，同时扮演强子注量传感器的敏感元件和读出逻辑。敏感元件是它内部的配置存储器（CRAM），读出逻辑则是我们烧写进去的固件。这样一来，整个传感器就变成了一块高度集成、可重编程、功耗还低的紧凑型板卡。

我们选用了Xilinx Artix-7 200T这款FPGA作为核心。选择它，主要是看中了它在价格、配置存储器容量（约77.8 Mb）以及已知的辐射耐受性（总电离剂量耐受超过5.5 kGy）之间取得了不错的平衡。整个传感器板尺寸控制在6.5 x 6.3厘米，功耗仅约0.7瓦，全部采用商用现货元件，目标就是打造一个能在严苛辐射环境下长期、稳定工作的“哨兵”。

这篇文章，我会带你深入这个项目的里里外外。从为什么这么设计，到固件如何实现辐射加固，再到我们把它扔进核反应堆里“烤机”测试的详细过程和结果分析。无论你是从事辐射效应研究、高能物理电子学设计，还是对FPGA的可靠性设计感兴趣，相信都能从中找到一些实用的思路和避坑指南。

2. 传感器板卡设计与辐射加固思路

2.1 核心架构：化繁为简的集成哲学

我们设计的核心思路是极简与集成。传统方案中，传感器（SRAM）和读出逻辑（如Flash FPGA或专用ASIC）是分离的，中间需要通过物理连线通信。这不仅增加了互连的复杂度，也引入了更多的潜在故障点。我们的方案将两者合一，利用SRAM FPGA的可重配置特性，让同一片硅片上的不同资源各司其职。

配置存储器（CRAM）作为传感器：FPGA的每一个逻辑功能，都由CRAM中的比特位定义。当高能粒子（如中子）轰击CRAM单元时，可能引起比特翻转（SEU），从而改变电路的逻辑功能。我们恰恰利用这种“缺陷”，通过持续监测CRAM内容的变化来计数SEU事件。根据公式φ = N_upsets / (σ * N_bits)，只要知道器件的截面σ和监测的比特数N_bits，通过统计翻转次数N_upsets，就能反推出辐射场的强子注量φ。Artix-7 200T拥有约77.8 Mb的CRAM，这为我们提供了巨大的“传感面积”。

可编程逻辑资源实现读出逻辑（ROL）：我们在FPGA的可编程逻辑（Fabric）中，实现了一套完整的固件系统。这套系统的核心任务有三个：1）定期读取CRAM的状态；2）检测并纠正发生的SEU；3）通过通信接口将翻转事件和系统状态上报给后端。这意味着，传感器具备了“自检自修”和“主动上报”的能力。

这种集成架构带来了几个立竿见影的好处：

1. 尺寸与功耗：省去了额外的传感器芯片和接口电路，板卡面积和功耗大幅降低。
2. 灵活性：读出逻辑是固件，可以随时更新、优化，甚至针对不同的辐射场特性进行调整，这是固定功能ASIC无法比拟的。
3. 可靠性：减少了板级互连和元件数量，从系统层面降低了故障概率。

2.2 板级硬件设计的加固考量

虽然FPGA集成了核心功能，但板卡的其他部分依然是潜在的薄弱环节。我们的硬件设计遵循了“最小化有源器件”和“关键路径冗余”的原则。

电源管理：板卡上使用了三颗线性稳压器（LDO）：一颗LT3070为FPGA核心（VCCINT）提供0.95V电压，两颗LT1963分别为FPGA的辅助电压（VCCAUX，1.8V）和其他外围芯片（3.3V）供电。选择这些型号，是因为文献报道它们能耐受数kGy的总电离剂量和10^12 neq/cm²量级的中子注量，满足我们的目标环境要求。同时，我们设计了一个旁路接口，允许跳过板载LDO，直接从外部精密电源供电。这个设计非常关键，主要有两个目的：一是在辐照测试中，可以扫描FPGA核心电压，研究电压对SEU截面的影响；二是一旦板载LDO在超高剂量下失效，系统仍能通过外部供电继续工作，提升了生存能力。

信号链路的冗余：除了时钟信号外，所有FPGA的输入/输出（IO）信号在PCB走线上都采用了三模冗余设计。即每个信号都用三条物理上分离的走线连接，在FPGA内部通过投票逻辑决定最终值。这样，即使某条走线因辐射效应（如瞬态电流）产生错误信号，也能通过另外两条正确信号将其掩盖。时钟信号则通过专用的时钟缓冲芯片（TI LMK1C1103）进行一分为三的驱动，为三套冗余逻辑提供同步时钟。

元件选型的妥协：对于像晶振（SiTime SIT8008）和差分接收器（ADI ADN4691）这类我们未能找到公开辐射数据的商用芯片，我们的策略是纳入测试范围。在辐照实验中，它们本身就是被测对象。我们通过系统级的冗余设计（如支持外部时钟输入）来降低单个元件失效对系统的影响。事后证明，这个预判是明智的。

注意：商用器件（COTS）的辐射数据往往缺失或不完整。在辐射环境中使用它们，必须进行充分的摸底测试，并在系统架构上为其可能的失效准备备份方案，绝不能假设它们“应该没问题”。

2.3 固件层面的辐射加固设计（RHBD）核心

这是整个项目的技术难点和价值所在。我们既要让CRAM对SEU敏感（这样才能当传感器），又要让运行在Fabric里的读出逻辑对SEU免疫（否则计数器自己先疯了）。这听起来矛盾，但通过分层级的加固策略可以实现。

1. 三模冗余与隔离布局：读出逻辑的核心模块（如状态机、计数器、通信控制器）全部采用三模冗余设计。即用三份完全相同的逻辑电路执行相同的任务，输出通过一个多数表决器来决定。任何一个模块发生SEU导致输出错误，都会被另外两个正确模块纠正。更重要的是，我们在FPGA布局布线时，利用Vivado工具的“Pblock”功能，强制将三份冗余模块放置在芯片上物理位置相隔较远的三个区域。这样，一个高能粒子引发的局部电离效应（可能造成多位翻转），就很难同时影响所有三个副本，显著提高了冗余的有效性。

2. 配置存储器的冗余与擦洗：这是保护读出逻辑不被CRAM中的SEU破坏的关键。我们采用了一种“冗余配置帧”的技术。FPGA的CRAM由许多“帧”组成。我们不仅将固件逻辑配置到所需的帧中，还将这些帧的内容复制两份，写入到CRAM中其他未使用的空闲帧里。这样，每个配置信息都有三个副本（A， B， C）。我们实现的“擦洗器”固件，会以约1.5秒为周期，循环读取这三份配置帧。对于每一组（A， B， C），通过多数表决确定正确值，如果发现某一帧的内容因SEU而不同，就用正确值将其重写刷新。这个过程就像给CRAM做“定期体检和修复”，确保定义读出逻辑本身的比特流始终保持正确。

3. 双配置访问端口与故障恢复：FPGA内部访问CRAM的端口主要有两个：内部配置访问端口（ICAP）和JTAG边界扫描端口。ICAP速度快（理论可达3200 Mb/s），但它是硬件原语，无法进行三模冗余保护。JTAG速度慢（约66 Mb/s），但我们可以通过FPGA逻辑和PCB上的三冗余走线去访问它，从而实现全路径冗余。我们的固件设计了一个智能切换机制：正常情况下使用高速的ICAP进行擦洗；一旦固件检测到通过ICAP的访问连续出错（可能ICAP逻辑本身因SEU而功能异常），它会自动切换到通过冗余JTAG路径进行访问和恢复。切换前，程序会尝试读取设备ID进行自检。此外，固件还设置了周期性复位机制（例如每处理300帧就复位一次关键状态机），以清除可能累积的软错误状态。

4. 通信与输出的加固：传感器通过UART串口向上位机报告SEU事件。每个数据包都包含由硬件计算的16位CRC校验码。上位机可以通过CRC立即判断数据在传输过程中是否因干扰而出错，从而丢弃不可靠的数据。对于输出驱动，我们采用了“少数派禁用”策略：每个三冗余输出信号在驱动到PCB三冗余走线之前，会先经过一个“少数表决器”。如果三个输入值不一致，少数表决器会认为发生了SEU，并立即禁用对应的输出缓冲器，避免错误的信号被驱动到总线上造成冲突。

3. 读出逻辑的详细实现与资源管理

3.1 基于软核处理器的系统架构

我们的读出逻辑并非一个简单的硬连线状态机，而是围绕一个可编程的软核处理器（Xilinx picoBlaze-6）构建的微系统。这样设计的好处是灵活性极高，可以通过修改处理器程序来调整擦洗策略、通信协议或故障处理流程，而无需重新进行耗时的综合与布局布线。

整个系统的简化框图如图2所示（注：此处为文字描述，原文有图）。核心是一个三冗余的picoBlaze-6处理器，每个处理器副本配有私有的程序存储器和数据存储器（使用FPGA的Block RAM实现）。它们通过一个三冗余的互连总线与外围模块通信，这些外围模块包括：

• 配置访问控制器：管理对ICAP或JTAG端口的访问，执行帧读取、表决和重写操作。
• 通信控制器：处理UART和JTAG BSCAN指令的收发。
• 定时与看门狗：产生周期性触发信号，并监控系统运行状态。
• 输出投票与驱动单元：实现前述的三冗余输出和少数派禁用逻辑。

处理器的主要任务就是调度这些外围模块，按照既定流程工作：初始化 -> 进入主循环 -> 通过配置访问控制器读取一组三冗余帧 -> 执行多数表决 -> 若发现错误则纠正并记录 -> 通过通信控制器上报事件 -> 检查是否需要切换访问端口或进行复位 -> 继续下一组帧。

3.2 资源占用与性能权衡

在FPGA上实现这样一个包含三冗余处理器和复杂控制逻辑的系统，资源占用必须精打细算。Artix-7 200T的资源相当丰富，但我们的设计目标是在满足功能可靠性的前提下，尽可能少地占用资源。原因有二：第一，节省的资源可以留给未来可能扩展的其他功能；第二，也是更重要的，程序化的配置帧越少，需要擦洗保护的面积就越小，擦洗周期就越短，系统从SEU中恢复的速度就越快。

最终实现的读出逻辑资源占用如下：

• Slice逻辑资源：约占器件总资源的2.5%。这个比例非常低，意味着我们有大量剩余资源可供利用。
• Block RAM：同样约占2.5%，用于存储处理器程序和运行数据。
• 配置帧占用：仅占整个FPGA fabric配置帧的7.4%。这是我们优化后的关键成果。

擦洗周期是衡量传感器实时性的重要指标。我们实测的完整擦洗周期约为1.5秒。这意味着，任何一个CRAM位发生SEU，平均在0.75秒内就会被检测并纠正（假设错误均匀发生）。这个速度对于监测注量率变化不是特别剧烈的辐射场（如加速器隧道内的本底辐射）来说是足够的。计算这个周期的关键在于配置访问端口的速度和需要擦洗的帧数。我们的设计通过最小化程序化帧数量，并利用较快的ICAP端口，达到了这个性能。

3.3 数据输出格式与错误诊断

传感器通过UART输出纯文本格式的ASCII字符串，便于直接阅读和解析。每一行输出都是一条完整的日志，结构如下：[HEADER] | [PAYLOAD] | [FOOTER with CRC16]

• Header：包含时间戳、消息类型等固定信息。
• Payload：消息主体。对于SEU事件，这里会详细记录：发生擦洗的帧地址（Frame Address）、该帧内发生翻转的比特位置（Bit Position）、翻转发生的具体时间、以及是通过哪个访问端口（ICAP/JTAG）检测到的。
• Footer：以16位CRC校验码结束，生成多项式为x^16 + x^15 + x^2 + 1。

这种设计使得上位机软件可以非常可靠地解析数据。即使传输过程中出现偶发错误，CRC校验也能立刻发现，该条数据可以被标记或丢弃，保证了后续注量计算的准确性。同时，丰富的诊断信息（如出错端口）为后期分析系统故障模式提供了宝贵线索。

实操心得：在辐射环境中，通信链路的可靠性至关重要。即使采用差分传输，也建议在应用层增加强校验（如CRC32）。我们最初使用简单的奇偶校验，在测试中曾发现因单粒子瞬态导致的误码无法被检出，升级为CRC后彻底解决了问题。

4. 中子辐照测试：方法与现场实录

4.1 测试平台搭建与实验设计

理论设计和仿真通过后，真正的考验在辐照现场。我们在斯洛文尼亚约瑟夫·斯蒂芬研究所的TRIGA Mark II研究堆上进行了中子辐照测试。这个反应堆能提供从热中子到快中子的宽谱中子场，非常适合我们的测试目的。

我们搭建的测试系统（如图5所示）核心思想是远程控制与监测，将昂贵的测试仪器（电源、电脑、示波器）放在辐射场外10米处，仅通过电缆连接放置在辐照通道内的传感器板（DUT）。这样既能保护仪器，也方便操作人员安全地工作。

系统组成：

1. 传感器板（DUT）：待测的FPGA传感器原型。
2. 接口板（IB）：作为中介，为传感器提供100MHz外部时钟，并转换UART/JTAG信号到以太网接口，同时负责给传感器供电（可选择通过板载LDO或直接远程供电）。
3. 仪器端：包括Keysight N6705A电源分析仪（精确记录各电压轨的电流）、PicoScope便携示波器（监测LDO输出电压波形）、以及一台数据采集电脑（DAQPC）。
4. 软件控制：DAQPC上运行自定义的TCL脚本，通过JTAG/UART控制FPGA的配置、启动擦洗固件、记录SEU事件日志，并定期执行外部部分重配置，作为内部擦洗器的备份。

测试流程： 一次典型的测试运行（Run）包括以下步骤：

1. 给传感器板上电，开始记录所有电源通道的电流。
2. 通过JTAG将带有读出逻辑的比特流配置到FPGA中，并启动固件。
3. 让系统在辐射场中运行，同时进行两项并行监测：
   • 内部监测：固件通过UART实时上报SEU事件。
   • 外部监测：DAQPC的脚本每完成5个内部擦洗周期（约7.5秒），就通过JTAG对FPGA已配置的帧进行一次外部读回和校验。这形成了一种“混合擦洗”机制。
4. 运行持续到读出逻辑发生不可恢复的故障，或达到预设时间（如1小时）。
5. 运行结束后，通过JTAG完整读回整个FPGA的配置，与初始比特流比对，获取最终的SEU全景图。
6. 给传感器板断电，结束本次运行。

这种“混合擦洗”策略是关键。它确保了即使内部固件因严重SEU而崩溃，外部的控制脚本也能在几秒内感知并尝试通过部分重配置来恢复系统，极大提高了测试的连续性和数据获取效率。

4.2 干辐照室测试结果与分析

第一个传感器原型被放置在反应堆的“干辐照室”中。我们进行了总计38次运行，累计辐照时间近30小时，承受的总中子注量达到1.0 × 10^13 cm⁻²。

SEU计数与热中子注量的线性关系：我们将每次运行中检测到的CRAM翻转总数（N_upsets）与对应的热中子注量（φ_thermal）作图。在理想情况下，两者应呈完美的线性关系，斜率就是σ * N_bits。实验数据点（蓝点）基本符合这一趋势，但在某些数据段出现了异常的陡增。分析发现，这些异常点对应的SEU事件中，单个配置帧内同时发生了大量（≥6个）比特翻转。这不符合单粒子作用的典型统计特征（单粒子引起的多位翻转通常在空间上相邻）。我们怀疑这是由“单粒子功能中断（SEFI）”引起的——可能是配置访问端口（ICAP/JTAG）的逻辑或内部状态机因SEU而暂时功能紊乱，产生了错误的读回数据，被误判为大量SEU。

数据过滤与有效性验证：为了剔除这些假信号，我们分析了“每帧比特翻转数”的分布直方图（图7）。结果显示，每帧翻转数在1到5个的分布是连续下降的，符合物理预期；但从6个开始，计数出现震荡，这佐证了我们的SEFI猜想。因此，我们设定了一个过滤条件：丢弃所有报告单帧翻转数≥6的SEU事件。过滤后，数据呈现出优美的线性（图6中的橙色点与虚线）。更重要的是，这个过滤仅损失了约1.9%的事件，对探测效率影响微乎其微。这个简单的过滤算法后来被我们集成到了固件中，实现了在线实时过滤。

关键性能参数提取：

• 器件灵敏度：根据过滤后的线性拟合斜率，我们计算出σ * N_bits = 6.9 × 10⁻⁸ cm²。考虑到CRAM中约有16%的帧因器件设计原因无法被读回（即无效比特N_bits_effective），折算到每个比特的热中子截面σ_bit约为1.2 × 10⁻¹⁵ cm²/bit。这个数值与文献中报道的28nm工艺SRAM数据吻合得很好，验证了我们传感器作为探测器的基本灵敏度。
• 读出逻辑失效率：在整个测试中，读出逻辑共发生了27次不可恢复的软错误（即内部和外部擦洗均无法恢复，需要断电重启）。通过分析故障时的日志，我们将失败模式分为四类（图8）：
  1. 配置端口SEFI（占52%）：ICAP或JTAG控制器功能异常，导致无法正确读回配置数据。
  2. JTAG回环驱动失败（占26%）：固件在通过回环路径驱动JTAG引脚时卡死，阻塞了外部访问。
  3. UART通信中断（占7%）：固件不再响应上位机命令。
  4. 其他各类错误（占15%）。 根据这些故障次数和累计注量，我们计算出读出逻辑的失效截面约为5.1 × 10⁻¹² cm²。这意味着，平均每发生约1.4万次可检测的CRAM SEU事件，读出逻辑才会发生一次需要重启的故障。这个可靠性水平对于很多应用场景已经足够。
• 元件失效：板载的SiTime SIT8008晶振在累计热中子注量约1.0 × 10¹¹ cm²时发生了永久性损坏。这印证了我们之前对商用芯片辐射数据不全的担忧。幸运的是，由于我们设计了时钟冗余方案（支持外部时钟输入），传感器立即切换到了由接口板提供的时钟，测试未受影响。

4.3 高通量TOK2通道极限测试

为了挑战传感器的极限，我们将第二个原型放入截面更小、中子通量更高的TOK2三角形通道中。这里的1MeV等效中子通量高达6.6 × 10⁹ cm⁻²s⁻¹，SEU率接近300次/秒，是干辐照室的50倍。

在这个测试中，我们采用了“累积模式”：关闭内部擦洗固件（不提供时钟），让SEU在CRAM中自由累积，然后定期通过JTAG快速读回整个配置来统计总数。这样可以得到更纯净的、不受擦洗干扰的SEU截面数据。

测试现象与失效分析： 传感器在注量达到约3.4 × 10¹² neq/cm²之前，工作基本正常。超过这个注量后，我们通过JTAG工具读取FPGA内部传感器（如结温、核心电压VCCINT、辅助电压VCCAUX）时，得到了明显错误的数值（图10）。然而，有趣的是，即使在这些错误读数出现后，FPGA本身似乎并未完全“死掉”。

14个月后的深入排查揭示了根本原因：我们对比了辐照后的传感器和未辐照的参考板，发现板载的所有LDO稳压器的输出电压都发生了漂移，普遍比标称值偏高（见表IV）。例如，给FPGA核心供电的0.95V线路，实际输出可能达到了1.0V以上。这种电压漂移会导致FPGA内部模拟传感器（用于监测电压和温度）的读数失真，从而解释了JTAG工具读到错误数据的原因。当我们绕过板载LDO，直接从外部精密电源给FPGA供电时，芯片功能完全恢复，可以正常加载和运行固件。

这个案例给了我们一个极其重要的教训：在强辐射场中，不仅仅是数字逻辑会发生SEU，模拟电路（如LDO的基准电压源、误差放大器）同样会因位移损伤或电离效应而发生参数漂移，进而影响整个系统的供电质量。对于关键任务系统，必须对电源模块进行独立的、更高标准的辐射考核，或者采用远程供电方案。

5. 经验总结、问题排查与方案对比

5.1 实操中遇到的典型问题与解决思路

在开发和测试过程中，我们踩过不少坑，也积累了一些排查问题的经验。

问题一：假SEU爆发（False SEU Burst）

• 现象：在辐照测试中，突然出现短时间内上报海量SEU，且每帧翻转数异常高（≥6）。
• 排查：
  1. 首先检查通信链路。用示波器观察UART波形，排除外部电磁干扰。
  2. 分析原始数据格式，确认CRC校验是否通过。如果CRC错误，则是传输问题；如果CRC正确，则问题出在FPGA内部。
  3. 结合“每帧翻转数分布”直方图，发现高翻转数事件不符合统计规律，指向SEFI。
  4. 检查固件状态机日志，发现异常事件前后，配置访问端口（ICAP）的状态寄存器常有异常值。
• 根因与解决：根本原因是高注量率下，配置访问端口控制器本身发生SEU，进入异常状态，导致读回的数据全错。解决方案是“过滤”：在固件中增加逻辑，对读回的数据进行合理性检查，如果单帧翻转数超过阈值（我们定为5），则丢弃该次读回结果，并触发一次端口控制器复位。同时，在系统层面保持“混合擦洗”，外部脚本作为备份，能在内部固件被SEFI“打懵”时强行将其恢复。

问题二：读出逻辑“僵死”无响应

• 现象：上位机无法通过UART与传感器通信，但JTAG链路似乎仍能连接。
• 排查：
  1. 通过JTAG读取FPGA内部关键寄存器的值，看处理器是否还在运行。
  2. 检查看门狗定时器是否溢出。我们的固件中，主循环必须定期“喂狗”，如果处理器跑飞或死锁，看门狗会触发全局复位。
  3. 检查UART控制器的状态寄存器。
• 根因与解决：多数情况是处理器程序计数器（PC）因SEU跳转到非程序区，或关键数据路径被破坏。解决方法是“冗余与复位”：采用三冗余处理器本身就能纠正很多此类错误。此外，我们设置了更激进的周期性“健康检查”复位，如果固件检测到长时间（如数秒）未完成一次成功的擦洗周期，会主动发起一次局部复位。对于最严重的死锁，则依靠外部混合擦洗脚本进行“心跳”监测，超时则发起全局重配置。

问题三：电源相关的不稳定

• 现象：在TOK2高通量测试后期，出现内部传感器读数异常。
• 排查：
  1. 首先怀疑是FPGA内部传感器电路受损。
  2. 但断电重启后，温度读数恢复正常，电压读数仍异常，这不符合纯数字电路损坏的特征。
  3. 测量板载LDO的输出电压，发现与标称值存在系统性漂移。
  4. 改用外部精密电源直接供电，所有功能恢复正常。
• 根因与解决：根本原因是LDO等模拟器件在高中子注量下发生了位移损伤，导致输出电压漂移。解决方案是“设计冗余和测试覆盖”：在板级设计时，就必须为关键模拟器件（尤其是电源）的失效准备预案（如我们的直接供电接口）。在辐照测试计划中，必须将电源模块作为重点考核对象，监测其输出电压、电流、纹波等参数随注量的变化。

5.2 与现有技术方案的对比

我们的方案并非唯一解，了解其他方案的优缺点，才能明确我们的适用场景。

我们的方案最大的优势在于将传感器做成了“智能”和“可软件定义”的。它不仅仅是一个探测器，更是一个完整的、带数据处理和通信能力的节点。这对于构建大型分布式辐射监测网络、或在质子治疗中实时监测患者体外的中子剂量，具有很大的吸引力。

5.3 给后来者的建议与展望

基于这次项目的经验，如果你也想设计类似的基于SRAM FPGA的辐射监测或加固系统，我有以下几点建议：

1. RHBD设计必须贯穿始终：从架构设计（如三模冗余）、模块设计（如多数表决）、到底层实现（如隔离布局、冗余配置），再到板级设计（如信号冗余、电源备份），每一个环节都需要考虑辐射效应。不能只依赖器件本身的工艺加固。
2. 重视商用器件的辐射摸底：数据手册里没有辐射指标，不代表它不能用，但代表你必须自己测。在项目早期就制定详细的元器件辐射测试计划，特别是电源、时钟、接口芯片等。
3. 设计丰富的诊断和恢复机制：系统在辐射下一定会出错。好的设计不是追求永远不出错，而是出错后能快速发现、定位并恢复。详尽的日志、多路的状态监测、软硬件看门狗、多路径的配置访问和远程重配置能力，都是必不可少的。
4. 测试，测试，再测试：仿真和地面单粒子效应测试（如重离子激光试验）很重要，但最终必须在真实的中子/质子辐射场中进行集成测试。只有实际辐照，才能暴露系统级的问题，比如我们遇到的LDO漂移和SEFI。

这个紧凑型强子注量传感器原型已经证明了其概念可行性和在高达10^12 neq/cm²注量级下的工作能力。未来，我们计划在几个方向继续探索：一是优化固件算法，进一步降低功耗和缩短擦洗周期；二是研究更先进的机器学习算法，用于在线区分真实SEU和假信号；三是将多个这样的传感器节点组网，结合无线通信技术，构建智能辐射场分布监测系统。这条路还很长，但第一步已经迈出，并且走得还算扎实。