1. 从“好奇号”着陆到“披头士”专辑封面：一位工程师的周五随想
又是一个周五，Max（Clive Maxfield）在EE Times的专栏里轻松地打了个招呼。这周确实不一般，远在数亿公里外的火星上，NASA喷气推进实验室的工程师们刚刚完成了一项壮举——“好奇号”火星车成功着陆。作为一名长期浸淫在可编程逻辑与半导体设计领域的工程师，我（Max）对这件事的感受尤为特别。去年，我恰好因为一个关于FPGA在辐射环境下的应用议题，受邀去JPL做过一次技术分享。那次经历让我得以隔着玻璃窗，亲眼见到了当时还在进行最后测试的“好奇号”。它的大小堪比一辆紧凑型轿车，传统的着陆气囊方案对它来说已经失效，这也引出了那次任务中最令人惊叹的工程奇迹——“天空起重机”着陆系统。
这个系统的工作原理，简直像是从科幻小说里走出来的：在距离火星表面几百英尺的高度抛弃降落伞，然后由一台反冲火箭驱动的“起重机”悬停在极其稀薄的火星大气中，自主选择最佳着陆点，再用缆绳将火星车缓缓降落到地面，最后“起重机”自行飞离坠毁。当我第一次在JPL看到这个方案的动画演示时，心里的第一反应是：“他们能把这玩意儿搞成功，那得有多好的运气？”但事实证明，这绝非运气，而是无与伦比的、令人敬畏的超级工程。考虑到地球与火星之间长达数分钟的通讯延迟，“天空起重机”必须拥有高度的自主决策能力，这背后是无数个在CPLD、FPGA上运行的精密控制算法和容错逻辑在支撑。如今，“好奇号”正在火星表面漫步，执行它的科学使命，这让我这个搞数字设计、整天和EDA工具、半导体器件打交道的人，也感到与有荣焉。
不过，今天我想聊的，并不全是这些宏大的科技叙事。技术之外，生活里那些由人串联起来的、带着温度的小插曲，同样让我这个“技术宅”感到愉悦。这就要说到我的老朋友Steve了。在所有朋友里，Steve是对现代科技最“敬而远之”的一位。他至今偏爱35mm胶片相机胜过数码相机，家里没有电脑，直到不久前，他甚至没有手机。然而，他公司最近给他配了一部iPhone，这扇新世界的大门一旦被同事帮他推开——注册了Gmail，开通了Facebook，发现了YouTube——就再也关不上了。现在，我每天上班打开邮箱，几乎都能收到Steve发来的一两张图片，内容五花八门：一道闪电、一棵造型奇特的树、一张保罗·麦卡特尼的老照片……今天早上收到的，是一张《辛普森一家》角色模仿披头士乐队著名《Abbey Road》专辑封面的恶搞图。
这张图片让我会心一笑。看着荷马·辛普森扮演约翰·列侬的样子，我决定今晚回家要听几首披头士的歌。那么，从哪一首开始呢？这又让我想起关于Steve的另一个趣事：他自称是保罗·麦卡特尼的头号粉丝，并且多年前真的因为保留了三十年前演唱会的票根，而获得了与偶像后台见面的机会。你看，从火星着陆的工程史诗，到一张恶搞图片引发的音乐回忆，再到老朋友与技术“和解”的温馨故事，这些看似不相关的事物，通过“人”这个纽带连接了起来。作为工程师，我们钻研CPLD、FPGA的架构，使用复杂的EDA工具进行仿真和综合，设计数字电路以应对像火星辐射环境那样的极端挑战；但同时，我们也为一张有趣的图片而开心，为一段老歌而感动。这种在精密逻辑与感性生活之间的切换，或许就是我们这群人的日常写照吧。
2. 工程奇迹背后的逻辑：从“天空起重机”看自主系统的设计哲学
“好奇号”的“天空起重机”着陆方案，之所以被誉为工程奇迹，关键在于它在极端约束条件下，实现了一套高度复杂、必须完全自主的闭环控制系统。作为一名硬件设计工程师，我习惯从系统架构和逻辑实现的角度去拆解它。这个过程，与我们使用可编程逻辑器件解决一个复杂设计挑战，在核心思想上异曲同工。
2.1 问题定义与约束分析：为什么传统方案行不通？
首先，我们必须理解火星给工程师们出的难题。火星大气密度仅为地球的1%左右，这意味着降落伞的减速效率大大降低，无法单独让“好奇号”这样重达近1吨的庞然大物安全减速至零。同时，火星表面地形复杂，遍布岩石和沙丘，一个不平整的着陆点可能导致任务失败。传统的气囊弹跳式着陆，适用于“勇气号”、“机遇号”那样的小型火星车，但无法承载“好奇号”的质量和精密仪器。
因此，设计约束非常明确：
- 质量与体积：有效载荷（火星车）巨大。
- 环境约束：大气稀薄，无法单纯气动减速；通讯延迟长达7-20分钟，无法实时遥控。
- 精度与安全要求：需实现软着陆（垂直速度接近零），并尽可能选择平坦、安全的区域。
这直接否决了“地球指挥，火星执行”的简单遥控模式。系统必须具备在几分钟的“黑障”期间，独立完成感知、决策、执行的完整能力。这本质上是一个典型的嵌入式实时控制系统问题，而且是一个可靠性要求达到“一次成功”的终极版本。
2.2 系统架构拆解：感知、决策、执行的硬件逻辑实现
“天空起重机”系统可以粗略分为三大功能模块，每个模块都对底层硬件逻辑的可靠性提出了极致要求。
感知模块：这是系统的“眼睛”和“皮肤”。它包括了雷达高度计、激光雷达以及惯性测量单元。雷达持续测量与地面的相对距离和速度；激光雷达快速扫描下方地形，生成三维点云图；IMU则提供自身的姿态和加速度信息。这些传感器数据以极高的频率（通常是毫秒级）被采集。在硬件层面，需要高速的ADC将模拟信号数字化，然后由FPGA或高性能DSP进行初步的数据滤波、融合处理。例如，剔除雷达信号中的噪声，将激光雷达的点云数据与预存的火星轨道地图进行快速匹配，以确定自身水平位置。这里，FPGA的并行处理能力至关重要，它能同时处理多路传感器数据流，满足实时性要求。
决策模块：这是系统的“大脑”。它接收来自感知模块的融合后状态信息（位置、速度、地形），并运行一套复杂的着陆算法。这套算法需要实时计算出一条最优的下降轨迹，并动态规避识别出的障碍物（如大石头、陡坡）。由于通讯延迟，所有决策必须在线、自主完成。这个“大脑”很可能由一颗或多颗抗辐射加固的处理器担当，但其中关键的、计算密集型的部分（如轨迹优化计算、障碍物地图的实时更新）很可能由FPGA以硬件加速的形式协助完成。FPGA能够将算法固化到硬件逻辑中，提供确定性的低延迟计算，这对于分秒必争、且不容有错的着陆过程是关键保障。
执行模块：这是系统的“手脚”。根据决策模块生成的指令，精确控制8台反冲火箭发动机的推力矢量，以实现悬停、平移、下降等动作。发动机的推力控制是一个典型的闭环控制问题。FPGA或CPLD在这里可以扮演“神经末梢”的角色，实现高速、高精度的脉冲宽度调制控制，驱动发动机阀门，同时快速读取压力、温度传感器反馈，形成内环的快速控制回路，将主处理器从繁琐的底层IO和时序控制中解放出来。
注意：在如此高可靠性的系统中，单一器件的故障可能导致灾难性后果。因此，设计中大量采用了冗余设计。例如，传感器可能有多套备份，主控处理器可能是双机甚至三机热备，并通过CPLD实现快速的故障检测与切换逻辑。CPLD在这里的优势是结构简单、可靠性高、上电即运行，非常适合实现这种看门狗、切换仲裁等“硬核”控制逻辑。
2.3 从“好奇号”到你的工作台：自主系统设计的通用原则
虽然我们大多数人不会设计火星着陆器，但“天空起重机”所体现的设计哲学，在工业自动化、机器人、汽车电子等领域无处不在。其核心可归纳为以下几点：
- 明确的层级划分：将系统清晰地划分为感知、决策、执行层，每层有明确的输入输出和性能指标。这有助于团队分工和模块化开发。
- 实时性保障：为每个任务链分配严格的时间预算。使用FPGA处理传感器融合、电机控制等硬实时任务；使用处理器处理路径规划、状态机等软实时或非实时任务。
- 可靠性优先：在设计初期就考虑故障模式。采用冗余（硬件冗余、信息冗余）、自检、安全状态机制。简单的CPLD常被用来实现最基础的、必须万无一失的安全逻辑。
- 仿真与测试至上：像“好奇号”这样的系统，在地球上进行了成千上万次的仿真和模拟测试，构建了“硬件在环”测试平台。在我们的项目中，即便资源有限，也应充分利用EDA工具进行充分的仿真（前仿真、后仿真），并在原型阶段进行严格的边界条件测试。
理解这些，再看我们手头的FPGA/CPLD项目，无论是实现一个电机驱动控制器，还是一个通讯协议转换桥，思路都会更加清晰：我们不是在简单地连接逻辑门，而是在为一个更大的自主或智能系统，构建其赖以生存的、可靠的“神经”和“反射弧”。
3. 数字设计基石：深入理解CPLD与FPGA的核心差异与选型考量
在“好奇号”这样的复杂系统中，CPLD和FPGA各司其职。对于刚踏入可编程逻辑领域的工程师，或者那些一直在用却未曾深究区别的朋友，彻底理解这两者的本质差异，是做出正确技术选型的第一步。这不仅仅是记忆几个参数，而是理解它们不同的架构哲学所适用的场景。
3.1 架构本质：乘积项 vs. 查找表
这是最根本的区别，决定了它们的行为模式和适用领域。
CPLD：其核心是基于乘积项的逻辑结构。你可以把它想象成一个巨大、但结构相对固定的“与-或”逻辑阵列。输入信号进入一个可编程的“与”阵列，产生大量的乘积项（即多个输入信号的逻辑与组合），这些乘积项再进入一个“或”阵列进行求和，最终产生输出。CPLD内部通常包含多个这样的逻辑块，块之间通过一个全局的、延迟可预测的互联矩阵连接。
FPGA：其核心是基于查找表的结构。一个查找表本质上是一个小型的静态存储器。例如，一个4输入LUT，可以看作一个拥有16个存储位的RAM。这16个位存储了所有4个输入变量组合（0000到1111）所对应的输出结果（0或1）。输入信号充当地址线，选中其中一个存储位，将其内容作为输出。FPGA由大量这样的LUT基本单元构成，单元之间通过非常丰富但延迟可变的布线资源连接。
带来的关键影响：
- 延迟特性：CPLD的互联是全局性的、连续的，其信号延迟是可预测的，基本上由经过的乘积项数量决定，变化不大。FPGA的延迟则高度依赖于布局布线结果，不同的实现、甚至同一设计的不同修改，都可能导致关键路径延迟发生变化，需要靠时序约束和工具优化来保证。
- 逻辑容量与复杂度：CPLD的乘积项结构在处理宽输入的组合逻辑（如地址解码器、状态机输出逻辑）时非常高效。但面对复杂的时序逻辑或需要大量寄存器（如流水线、大型计数器）的设计时，其容量扩展性不如FPGA。FPGA的LUT结构则非常灵活，可以高效地实现任意输入的逻辑函数，并且集成了大量的触发器，非常适合实现复杂的时序电路、数据流处理和微处理器内核。
3.2 选型实战：何时用CPLD？何时用FPGA？
基于以上本质区别，我们可以得出一些实用的选型指南：
选择CPLD当你的设计符合以下大部分特征时：
- “胶合逻辑”需求：需要将CPU、存储器、外设等不同接口和协议的芯片连接起来。例如，进行电平转换、总线协议桥接（如I2C转SPI）、地址译码。
- 控制密集型：设计核心是复杂的组合逻辑和有限状态机，且对输出相对于输入的延迟有严格要求（即“引脚到引脚”延迟需确定）。例如，工业控制中的顺序逻辑、键盘扫描、电源时序管理。
- 上电即运行：CPLD通常采用基于EEPROM或Flash的工艺，配置数据非易失，上电后几乎瞬间（微秒级）即可工作。这对于需要快速启动、控制整个系统上电时序的应用至关重要。
- 设计相对稳定：逻辑规模适中，且后期改动可能不大。因为CPLD的布线资源相对固定，大规模修改逻辑可能导致布局布线困难。
选择FPGA当你的设计符合以下大部分特征时：
- 数据处理密集型：需要完成大量的数据运算、滤波、编码解码（如图像处理、音频处理、通讯协议中的编解码）。
- 需要并行处理：有大量可以并行执行的任务，FPGA的并行架构可以带来巨大的性能提升。例如，同时处理多路传感器数据流。
- 逻辑极其复杂或需要软核处理器：设计规模庞大，需要集成一个Nios II、MicroBlaze或ARM Cortex-M系列的软核处理器，并运行定制软件。
- 需要高性能接口：实现高速串行收发器，如PCIe、SATA、万兆以太网等，这些IP核通常只在高端FPGA中提供。
- 算法尚在演进：项目处于原型阶段，算法和逻辑可能需要频繁迭代修改。FPGA的重新配置和灵活性更适合这种探索性开发。
实操心得：在实际项目中，我经常看到一种“杀鸡用牛刀”或反之的情况。比如，用一个中等规模的FPGA只实现了一个简单的状态机和几个计数器，这造成了资源和功耗的浪费。反之，试图用一个CPLD去实现一个简单的图像预处理算法，结果逻辑单元根本不够用。我的建议是：在项目初期进行充分的评估。列出设计所需的关键资源：触发器数量、LUT/乘积项数量、存储器大小、DSP块数量、高速IO需求、最大时钟频率、以及延迟确定性和上电时间是否为关键需求。这个清单会自然而然地引导你走向正确的选择。
3.3 工具链的差异：开发体验的不同
除了硬件本身，开发工具链的体验也不同。CPLD的开发工具通常更轻量、更简单，综合和布局布线的速度极快（几分钟甚至几秒），适合快速开发和验证。FPGA的工具链则庞大而复杂，功能强大，但编译一次设计可能需要几十分钟甚至数小时，尤其是当设计规模大、时序约束严格时。这要求FPGA开发者需要有更强的耐心和更系统的调试方法，例如熟练掌握内部逻辑分析仪的使用。
理解CPLD和FPGA不是“谁更好”的问题，而是“谁更合适”的问题。就像“好奇号”上，CPLD可能负责某个关键电源模块的上电顺序控制（要求确定、快速），而FPGA则负责处理雷达数据的实时滤波和融合。各取所长，方能构建出稳定可靠的系统。
4. EDA工具实战：从代码到比特流，高效设计流程与避坑指南
拥有了合适的器件（CPLD/FPGA），下一步就是将它们变成我们想要的逻辑功能。这个过程完全依赖于EDA工具链。无论是Altera的Quartus，Xilinx的Vivado，还是Lattice的Diamond，其核心流程大同小异，但魔鬼藏在细节里。一个高效、可靠的设计流程，能极大提升开发效率，避免后期令人头疼的调试。
4.1 核心设计流程四步走
一个标准的FPGA/CPLD设计流程，可以概括为四个主要阶段，它们环环相扣。
第一步：设计输入与功能仿真这是创意的起点。你可以使用硬件描述语言或原理图进行设计。
- HDL：VHDL或Verilog是主流。我的个人偏好是，在复杂的算法、状态机或需要精确建模时用VHDL，而在快速原型、模块连接时用Verilog。但这没有定论，团队统一更重要。
- 原理图：对于小型、直观的组合逻辑或胶合逻辑，原理图有时更直观，但在大型项目中难以维护。
- 关键动作——功能仿真：这是第一道，也是最重要的质量关卡。在RTL级编写测试平台，用仿真工具验证你的设计在理想情况下，逻辑功能是否正确。此时完全不考虑时序延迟。目标是确保你的代码“想法”是对的。我见过太多工程师跳过或草草进行这一步，导致问题在后期才发现，调试成本呈指数级增长。
第二步：综合与优化综合工具将你的RTL代码翻译成目标器件的基本逻辑单元网表。这个过程充满了优化。
- 工具做了什么：它会进行逻辑优化（合并冗余逻辑）、映射（将你的逻辑映射到器件特定的LUT或乘积项上）、有时还会进行有限的布局。
- 你必须做什么：提供准确的时序约束！这是综合和后续步骤的“指挥棒”。你需要告诉工具，时钟频率是多少，输入输出信号与时钟的关系如何。没有约束，工具就无法进行有效的优化，结果性能会远低于器件能力。一个常见的错误是只约束了主时钟，而忽略了衍生时钟或异步路径。
第三步：布局布线这是将网表物理地“放置”到芯片的逻辑单元上，并用布线资源“连接”起来的过程。这是最耗时、也最易出问题的阶段。
- 布局：工具决定每个逻辑块放在芯片的哪个位置。好的布局能减少布线延迟和拥塞。
- 布线：工具用芯片内部的连线资源连接这些逻辑块。布线资源是有限的，复杂设计可能出现布线拥塞，导致工具无法完成布线，或不得不使用绕远的路径，从而恶化时序。
- 时序分析：布局布线后，工具会根据实际的走线延迟进行静态时序分析。你必须仔细查看时序报告，确保所有路径都满足建立时间和保持时间要求。出现时序违例是常态，需要通过优化代码、调整约束、或手动进行位置约束来解决。
第四步：生成与下载配置文件最后，工具将布局布线后的结果，生成一个二进制配置文件。对于FPGA，通常是.bit或.pof文件；对于CPLD，可能是.jed文件。通过下载器将这个文件烧录到芯片中，你的设计就开始运行了。
4.2 常见问题排查与调试技巧实录
即使流程规范，在实际操作中仍会踩坑。下面是一些典型问题及我的排查思路：
问题1：功能仿真通过，但上板后行为异常。
- 可能原因A：未初始化的寄存器。在仿真中，寄存器可能初始化为X（不定态），但在实际电路中，上电后的状态是随机的。这会导致基于初始状态的逻辑出错。
- 排查：在代码中为所有寄存器显式地赋予一个确定的复位值。确保复位逻辑正确且可靠。
- 可能原因B：异步逻辑产生的毛刺。组合逻辑产生的毛刺在仿真中可能被忽略，但在高速时钟下，可能被寄存器捕获，导致错误。
- 排查：检查代码中是否存在复杂的多级组合逻辑直接驱动寄存器。尽量采用同步设计，对跨时钟域的信号使用同步器。
- 可能原因C：时序违例导致的亚稳态。这是最棘手的问题之一。当时序不满足时，寄存器输出可能在一段时间内处于非0非1的亚稳态，导致后续逻辑混乱。
- 排查：仔细阅读布局布线后的时序报告，重点关注建立时间和保持时间违例。使用工具内置的逻辑分析仪抓取实际信号，观察亚稳态传播情况。
问题2：布局布线失败，或资源利用率过高。
- 可能原因A：代码风格导致资源浪费。例如，使用不完整的if-else或case语句，可能生成锁存器而非寄存器，浪费资源且可能产生毛刺。
- 排查：综合后查看资源利用率报告和RTL视图。检查是否有意外的锁存器生成。确保所有条件分支都被完整覆盖。
- 可能原因B：过于复杂的组合逻辑路径。一个超长的组合逻辑链会导致时序无法满足，工具在优化时会复制逻辑来“打平”路径，从而增加资源使用。
- 排查：使用流水线技术，将长组合逻辑拆分成多个时钟周期完成。查看时序报告中的关键路径，对其进行针对性优化。
- 可能原因C：物理约束不当。将大量相关逻辑分散在芯片两端，导致布线过长。
- 排查：对于高性能模块，可以尝试使用区域约束，将其逻辑限定在芯片的某个区域内，减少布线延迟。
问题3：功耗远超预期。
- 可能原因A：时钟管理不当。大量逻辑始终在最高频率下运行，即使空闲时也是如此。
- 排查：使用时钟使能信号，在模块不工作时关闭其时钟树。对于FPGA，使用专用的时钟管理单元进行动态频率调整。
- 可能原因B：频繁翻转的信号。一些高负载、高翻转率的信号（如计数器的高位）会产生可观的动态功耗。
- 排查：使用格雷码计数器代替二进制计数器，可以减少多位同时翻转的情况。对于长距离传输的信号，考虑是否可以进行流水线或寄存器重定时来降低负载。
调试利器：内部逻辑分析仪现代EDA工具都集成了类似SignalTap或ChipScope的内部逻辑分析仪。它允许你将芯片内部任何信号连接到未使用的RAM块中，实时捕获其波形。这是定位上板后问题的终极武器。使用技巧是：缩小触发条件。不要试图捕获所有时间的所有信号，而是精心设置一个触发条件（如某个错误标志拉高），只捕获问题发生前后一段时间的数据，这样可以节省宝贵的存储深度，抓到关键证据。
掌握工具，不仅仅是会点按钮，更是理解每个步骤背后的意义，并建立起一套从仿真、综合、布局布线到调试的完整方法论和问题排查直觉。这能让你从被工具“牵着走”，变为驾驭工具的主人。
5. 半导体视角下的可靠性设计：应对极端环境的工程思维
让我们把视线从设计工具拉回到物理世界。“好奇号”要去火星，面临的是极端的辐射环境；而我们设计的许多工业、汽车、航天产品，同样需要应对高温、低温、振动、电磁干扰等恶劣条件。作为设计者，我们不能只关心逻辑功能的正确性，还必须从半导体物理和系统层面思考可靠性。这不仅仅是选择一款“军工级”或“车规级”芯片那么简单，它贯穿于从架构设计到PCB布局的每一个环节。
5.1 理解失效模式：什么会“杀死”你的芯片？
在恶劣环境下，半导体器件主要面临以下几类威胁：
- 单粒子效应：这是空间和高空电子设备的主要杀手。高能粒子穿透芯片，可能引起：
- 单粒子翻转：改变存储器单元或寄存器的值，导致数据错误。这是可恢复的软错误。
- 单粒子闩锁：触发CMOS器件内部的寄生可控硅结构，形成大电流通路，导致器件永久性损坏。
- 单粒子烧毁：直接造成结区熔毁。
- 总剂量效应：长期暴露于辐射环境下，器件内部会积累电荷，导致阈值电压漂移、漏电流增加，性能逐渐退化直至失效。
- 电磁干扰：外部的强电磁场可能在电路内部感应出噪声电压或电流，导致信号失真、逻辑误触发，甚至损坏端口。
- 热应力与机械应力：温度循环、振动会导致焊点疲劳、芯片开裂、引线断裂。
5.2 设计层面的加固策略
知道了敌人是谁，我们就可以在设计和系统层面构筑防线。
针对软错误（如SEU）的加固：
- 三模冗余：这是最经典的空间应用技术。对关键的逻辑模块或寄存器，复制三份，并用一个表决器对输出进行表决。只要不同时有两个副本出错，输出就是正确的。这可以在RTL级通过编码实现，但会带来约200%的面积开销。
- 纠错编码：对存储器使用汉明码等ECC，可以自动检测和纠正单位错误，检测双位错误。这在FPGA的块RAM配置中通常是一个可选项，务必为关键数据路径开启。
- 刷新与回读：定期刷新配置存储器。对于FPGA，其配置存储器也可能发生SEU，导致逻辑功能改变。可以采用“回读-比对-重写”的机制，定期检查配置数据是否正确，发现错误立即修复。
针对系统级干扰的防护：
- 电源完整性设计：这是所有稳定性的基础。使用低ESR/ESL的滤波电容，在芯片的每个电源引脚附近放置去耦电容，为高频噪声提供低阻抗回路。模拟和数字电源域要严格隔离。
- 信号完整性设计：对于关键信号或高速信号，进行阻抗匹配，使用差分信号传输，避免长距离的平行走线以减少串扰。在敏感信号线上可以串联小电阻来阻尼反射。
- 良好的接地策略：采用星型接地或平面接地，避免地环路。将嘈杂的数字地和敏感的模拟地分开，并在单点连接。
架构层面的容错设计：
- 看门狗定时器：一个简单但极其有效的措施。由一个独立的时钟源驱动，主程序需定期“喂狗”，若程序跑飞无法喂狗，则看门狗复位整个系统。这个看门狗逻辑本身，往往就用一个最简单、最可靠的CPLD来实现。
- 心跳与互检：在多处理器或冗余系统中，各个模块之间定期发送“心跳”信号，互相确认存活和功能正常。
- 安全状态机：设计状态机时，必须为所有未定义的输入组合指定一个安全的跳转路径，通常是跳转到空闲状态或复位状态，避免“挂死”在未知状态。
5.3 选型与测试：把好第一道关
- 器件选型：明确应用环境等级。商业级、工业级、汽车级、军工级、宇航级，其温度范围、失效率、抗辐射能力天差地别。对于汽车和工业应用，要关注AEC-Q100等认证标准。
- 降额使用：不要让器件工作在标称极限。通常，电压、电流、功耗、结温都应留出至少20%-30%的余量。例如，一个额定结温125℃的芯片，在设计中应控制其最高工作结温在100℃以下。
- 环境测试：在设计后期，必须进行严格的环境可靠性测试，如高低温循环、振动测试、ESD测试、群脉冲抗扰度测试等。许多问题只有在这些测试中才会暴露出来。
可靠性设计是一种“预防性”的思维模式。它要求我们在画下第一根逻辑线、连接第一个元件时，就考虑到它可能失败的所有方式，并为之准备备份、检测和恢复的机制。这增加了设计的复杂性和成本，但对于许多关键应用来说，这是必须付出的代价。就像“好奇号”的系统，其每一个环节都经过了无数次的冗余设计和故障模式分析，才最终赢得了在火星上那个“恐怖七分钟”的入场券。我们的设计或许不需要面对火星的严酷环境，但将这种追求可靠性的工程思维融入日常，无疑会让我们做出的产品更加稳健、值得信赖。
