FPGA软错误防护：纠正配置不等于恢复业务

配置位翻转被修正后，设备仍可能继续输出错误结果。针对基于静态存储配置的FPGA，软错误防护必须区分逻辑配置是否恢复与业务状态是否恢复，再判断冗余结构能否覆盖剩余故障。

配置存储决定查找表功能、路由连接及部分资源设置。一次翻转可能不产生可见影响，也可能临时改变控制条件或数据路径；厂商监测与擦洗机制能够检测并修复所支持的配置错误，但能力受器件系列、错误类型与运行方式限制。不能把它理解成所有翻转都能瞬间纠正，更不能将配置帧保护直接等同于用户寄存器和业务存储的纠错。防护范围应按照实际资源逐项划分。

即使受损配置已恢复，故障期间产生的错误可能已经进入用户状态。例如计数使能被临时改变，使业务计数器多走了一步；路由短暂出错，使一笔无效数据被写进队列。修复配置只恢复今后的状态转移规则，不会自动知道过去应该发生什么。若后续流程以错误计数为依据继续运行，输出可能持续偏离，却不再触发配置错误告警。因而告警清除不能被直接解释为系统恢复完成。

恢复策略应按状态的可重建程度制定。无状态处理可以丢弃受影响的在途样本后重新开始；有边界的帧处理可以回到下一帧；带长期积分或外部动作的控制状态，则可能需要可信检查点或安全停机。监测逻辑应记录错误发现与修复的时间区间，并将其关联到业务有效性，避免只留下一个累计次数。恢复粒度越小，对状态边界与可信备份的要求越高，不能只通过缩短擦洗周期替代恢复设计。配置监测报告还应区分已纠正、不可纠正与检测通路异常。不同状态应触发不同恢复级别，否则一条统一的清告警逻辑，可能把尚未恢复的故障误判为正常，并提前重新开放输出。

三模冗余试图在单个副本出错时，由多数结果继续维持输出，但其前提是故障不会同时破坏足够多的副本或投票路径。FPGA综合可能合并等价逻辑，布线也可能共享敏感资源；若只在源代码中复制三份模块，而不检查实现后的独立性，冗余效果会被高估。需要结合器件故障模型使用适当的保留与布局策略，并审查时钟、复位、供电及输入分发这些共同资源。

投票器本身也是潜在单点。可通过分布式投票等结构降低某些单点风险，但这会增加资源和反馈复杂度，并不能消除共享电源或共同输入错误。若三个副本同时接收同一份错误传感数据，它们一致输出错误并不违反多数原则，而是超出该保护目标。设计应清楚说明防的是局部随机逻辑错误，还是还要覆盖外部输入与系统级共因，避免把冗余数量当成完整可靠性论证。

被隔离的错误副本还需要重新同步。配置修复之后，其内部状态可能仍与另外两个副本不同，若直接重新加入投票，系统事实上仍处在降级状态。可以在已定义的事务边界重置该副本，或从可信多数状态重建，但必须核对状态复制的一致性和执行时机。验证应分别注入配置类故障与用户状态故障，检查检测、屏蔽、修复、重加入的完整链条；只观察一次投票结果正确，无法证明系统恢复了下一次容错能力。

可靠性闭环应从检测走到业务恢复，再走到冗余能力恢复。明确配置与状态的不同职责，并限制共因故障范围，才能让防护措施具有可验证的意义。