Обратная разработка MCU

Аннотация: Программируемые пользователем вентильные матрицы (FPGA) на основе антипредохранителей стали фундаментальным решением для программируемой логики в военных, космических и аэрокосмических электронных системах благодаря энергонезависимой конфигурации, врождённой радиационной стойкости и способности сохранять данные при нулевом потреблении энергии. Ключевым отличительным компонентом этой архитектуры является двухвыводной антипредохранитель, который служит единственным конфигурационным межсоединением для программируемых логических и трассировочных ресурсов. Для критически важных приложений со сроком службы 10–30 лет, экстремальными температурными режимами и условиями высокорадиационных орбит долгосрочная надёжность антипредохранителей как в запрограммированном, так и в незапрограммированном состояниях не подлежит обсуждению. В данной работе представлен всесторонний обзор структурной классификации основных технологий антипредохранителей, прослежена эволюция надёжности антипредохранительных ПЛИС за десятилетия и систематически обобщены методы радиационного упрочнения на уровне устройств и результаты их верификации. Особое внимание уделяется характеристике надёжности радиационно-стойких ПЛИС серии SX-S с топологией 0,25 мкм, оптимизированных для глубококосмических миссий, а также обсуждаются проблемы надёжности, связанные с масштабированием субмикронных технологических процессов. Помимо аппаратной надёжности на уровне компонентов, в статье анализируются факторы, влияющие на сквозную надёжность системы, включая ограничения инструментария CAE, уязвимости, вносимые разработчиком, стратегии снижения эффектов одиночных событий (SEE) и полноту тестового покрытия при производственном контроле. Приводятся количественные данные по интенсивности отказов (FIT) за 30-летнюю историю, позволяющие сравнить зрелость надёжности устаревших и современных платформ ПЛИС на антипредохранителях. В заключении сформулированы практические рекомендации по проектированию и квалификации для разработчиков систем, применяющих антипредохранительные ПЛИС в высоконадёжных аэрокосмических и военных приложениях.

1. Введение

Распространение реконфигурируемой цифровой логики произвело революцию в парадигме проектирования военных и аэрокосмических встраиваемых систем за последние четыре десятилетия. В отличие от масочных вентильных матриц и заказных БИС (ASIC), FPGA позволяют реконфигурировать логику после изготовления, снижая единовременные затраты на разработку (NRE) и значительно сокращая циклы разработки систем. Среди всех категорий ПЛИС варианты на антипредохранителях выделяются для космических и оборонных приложений благодаря своей однократно программируемой (OTP) природе, энергонезависимой конфигурационной памяти и невосприимчивости к искажению конфигурационной памяти, вызываемому космической радиацией.

ПЛИС на SRAM, доминирующие коммерческие реконфигурируемые логические устройства, страдают от критических недостатков для орбитального применения. Их энергозависимая конфигурационная память требует непрерывного питания для сохранения логических определений, а одиночные сбои (SEU) могут мгновенно повредить данные трассировки и логики, приводя к функциональным отказам системы. ПЛИС на Flash-памяти снижают риски энергозависимости, но имеют большую задержку программирования, ограниченную выносливость и худшую стойкость к полной дозе облучения (TID) по сравнению с антипредохранительными аналогами.

Антипредохранительные ПЛИС устраняют эти проблемы, используя постоянные аппаратные межсоединения, формируемые пробоем диэлектрика, что делает их по своей сути пригодными для работы в жёстких радиационных средах. Однако их надёжность уникальным образом связана с электрической и механической прочностью встроенных антипредохранительных элементов — технологии компонентов, отличной от стандартных CMOS-процессов производства.

Критический сдвиг парадигмы сопровождает внедрение ПЛИС в высоконадёжные системы: разработчик конечной системы принимает на себя частичную ответственность за надёжность на уровне интегральных схем и устойчивость к SEU, а не полагается исключительно на производителя полупроводников. Разработчики должны использовать сложные цепочки инструментов CAE, предварительно созданные радиационно-стойкие логические макросы и аппаратные методы смягчения последствий, часто имея ограниченное представление о базовых алгоритмах инструментов и физическом поведении устройств.

В данной работе анализируются многоуровневые проблемы надёжности, охватывающие аппаратное обеспечение компонентов, производственные испытания, рабочий процесс CAE, разработку логики пользователя и эксплуатационную валидацию на орбите. Она обобщает десятилетия полевых данных ПЛИС Actel на антипредохранителях, результаты радиационных испытаний и квалификационный опыт, чтобы предоставить целостный справочник по надёжности для конструкторских коллективов в аэрокосмической и оборонной отраслях.

Оставшаяся часть статьи структурирована следующим образом: Раздел 2 подробно описывает структуры антипредохранительных устройств и требования к надёжности для каждого состояния. Раздел 3 представляет характеристики надёжности двух основных технологий антипредохранителей, включая TDDB, термическое старение и результаты испытаний на тяжёлых ионах. Раздел 4 обсуждает повреждения, вызванные технологическим процессом, устойчивость к электростатическому разряду и термическую надёжность при пайке. Раздел 5 анализирует исторические тенденции интенсивности отказов (FIT) по поколениям продуктов и технологическим нормам. Раздел 6 подробно описывает архитектуры производственного тестирования и гарантии полноты покрытия для высокоплотных антипредохранительных ПЛИС. Раздел 7 проверяет выход программирования и механизмы гарантии постоянства конфигурации. Раздел 8 исследует риски надёжности, связанные с цепочкой инструментов CAE, и рабочие процессы смягчения. Раздел 9 знакомит с методами проектирования, устойчивыми к SEU, и дисциплиной синхронного проектирования. Раздел 10 предоставляет лучшие практики тестирования на уровне пользователя. Раздел 11 суммирует ключевые выводы и даёт рекомендации по проектированию для критически важных применений.

2. Фундаментальная структура и требования к надёжности антипредохранительных устройств

Антипредохранитель является основным строительным блоком трассировочной архитектуры OTP ПЛИС. Как двухвыводной пассивный элемент, он работает в двух взаимно исключающих состояниях: высокоомное незапрограммированное состояние для разомкнутых межсоединений и низкоомное запрограммированное состояние для проводящих сигнальных путей. Все программируемые трассировочные и логические межсоединения внутри ПЛИС реализованы через массив распределённых антипредохранительных элементов.

В отличие от стандартных CMOS-транзисторов и подзатворных диэлектриков, доминирующих в основных технологических процессах пластин, диэлектрики антипредохранителей и механизмы формирования проводящих нитей являются проприетарными для производителей ПЛИС. Это накладывает более тяжёлое бремя испытаний на надёжность на производителей, поскольку стандартные квалификационные процессы CMOS не могут полностью подтвердить специфические для антипредохранителей механизмы отказов.

Для удовлетворения требований к сроку службы аэрокосмических систем в 15–30 лет антипредохранители должны поддерживать строгие критерии надёжности в обоих рабочих состояниях в экстремальных условиях окружающей среды. Никакая постоянная деградация или катастрофический отказ не допускаются во всём квалифицированном диапазоне температуры, напряжения и облучения.

В запрограммированном состоянии через проводящую нить антипредохранителя во время нормальной работы ПЛИС протекают непрерывные импульсные токи логических сигналов. Основной риск надёжности здесь — прогрессирующий дрейф сопротивления, вызванный токовой нагрузкой, аналогичный электромиграции в слоях металлических межсоединений стандартных CMOS-схем.

В незапрограммированном состоянии антипредохранитель сталкивается с тремя различными категориями угроз надёжности, более сложными, чем для запрограммированных устройств. Первая угроза — временной диэлектрический пробой (TDDB), определяющий долгосрочную стабильность изолирующего диэлектрика под непрерывным напряжением питания.

Для долгоживущих военных и космических систем TDDB должен быть исключён как механизм отказа. Диэлектрик должен выдерживать номинальное напряжение Vcc в течение всей миссии без самопроизвольного пробоя, образования короткого замыкания или неконтролируемого роста тока утечки.

Вторая угроза в незапрограммированном состоянии — механическая и электрическая прочность при обращении с устройством и сборке. Сюда входит воздействие электростатического разряда (ESD) при лабораторных манипуляциях, сортировке пластин и интеграции модулей, а также термический стресс при высокотемпературной пайке оплавлением в процессах сборки.

Третья критическая угроза — пробой диэлектрика под действием одиночного события (SEDR), индуцированный облучением тяжёлыми ионами в космической среде. Частицы с высокими значениями линейной передачи энергии (LET), проникающие в незапрограммированный диэлектрик, могут создавать локализованные проводящие пути, вызывая непреднамеренное программирование антипредохранителей и постоянные ошибки трассировки.

В данной работе приоритет отдаётся анализу надёжности семейства радиационно-стойких антипредохранительных ПЛИС SX-S с топологией 0,25 мкм, специально разработанных для спутников глубокого космоса, ракет-носителей и зондов дальнего космоса. Также обсуждаются проблемы масштабирования для передовых технологических норм менее 0,18 мкм, где более тонкие диэлектрики и меньшие размеры элементов вводят новые механизмы отказов антипредохранителей.

ПЛИС на антипредохранителях относятся к высокоплотным программируемым логическим устройствам с плотностью интеграции от 10⁴ до 10⁵ эквивалентных логических вентилей на монолитном кристалле. Такая высокая интеграция усложняет как функциональную сложность, так и сложность тестирования, делая анализ надёжности на уровне компонентов более сложным, чем у традиционных дискретных военных интегральных схем.

3. Характеристика надёжности двух поколений технологий антипредохранителей

3.1 Антипредохранитель с диэлектриком ONO (оксид-нитрид-оксид)

Антипредохранитель со стеком ONO был первой коммерциализированной технологией антипредохранителей, использованной в ПЛИС Actel ранних поколений. Его вертикальная слоистая структура (показана на Рисунках 1 и 2) состоит из нижнего слоя оксида кремния, среднего слоя нитрида кремния, захватывающего заряд, и верхнего слоя оксида кремния, помещённых между металлическими электродными пластинами.

Основной целью квалификации незапрограммированных антипредохранителей ONO является проверка долгосрочной стабильности диэлектрика при номинальном рабочем напряжении. Ускоренное тестирование TDDB является отраслевым стандартным методом прогнозирования десятилетнего срока службы на основе краткосрочных экспериментальных данных при повышенных нагрузках.

Тестирование TDDB подаёт повышенные напряжения, значительно превышающие номинальное напряжение Vcc по документации, для ускорения старения и пробоя диэлектрика. Данные о времени до отказа (TTF), собранные при нескольких напряжениях нагрузки, наносятся на логарифмическую кривую TDDB, как показано на Рисунке 3.

Инженеры экстраполируют кривую вниз до номинального рабочего напряжения для расчёта прогнозируемого срока службы диэлектрика, гарантируя отсутствие самопроизвольного пробоя в течение миссии. Высокотемпературные испытания на рабочий ресурс (HTOL) дополняют характеристику TDDB для проверки общего качества диэлектрика при комбинированном тепловом и электрическом стрессе.

HTOL является универсальным стандартом квалификации полупроводников, который подвергает устройства максимальной температуре перехода и номинальному смещению в течение тысяч рабочих часов. Он отсеивает скрытые дефекты диэлектрика, которые могут не обнаруживаться при испытаниях TDDB только напряжением.

Для запрограммированных антипредохранителей ONO ключевым показателем надёжности является стабильность сопротивления при длительном токовом стрессе переменного тока. После того как высоковольтное программирование формирует локализованную проводящую нить внутри стека ONO (Рисунок 4), повторяющиеся импульсы тока логических сигналов проходят через эту нить во время работы ПЛИС.

В отличие от электромиграции в металлических межсоединениях, которая вызывает увеличение сопротивления при токовом стрессе, нити антипредохранителей ONO демонстрируют уникальную самостабилизирующую характеристику. Как показано на Рисунке 5, сопротивление нити постепенно уменьшается при длительном токовом стрессе, улучшая долгосрочную стабильность проводимости.

Для проверки долгосрочной стабильности при высоких температурах запрограммированные антипредохранители ONO подвергались ускоренному старению при 250 °C с полным током программирования до наступления катастрофического отказа (Рисунок 6).

Посмертный физический анализ отказов (PFA), представленный на Рисунке 7, показал, что корневой причиной отказа была деградация контактного интерфейса поликремния, а не пробой или дрейф сопротивления проводящей нити ONO. Это подтверждает внутреннюю прочность трассировочных путей антипредохранителей ONO в экстремальных тепловых условиях эксплуатации.

Космическое применение потребовало дополнительных квалификационных испытаний антипредохранителей ONO на воздействие тяжёлых ионов. Ранние коммерческие тонкоплёночные устройства ONO оказались уязвимыми к SEDR при воздействии высокоэнергетических галактических космических лучей.

Данные испытаний, показанные на Рисунке 8, указывают, что тяжёлый ион с LET 53 может пробить тонкий диэлектрик ONO при внутреннем электрическом поле 5,6 МВ/см, вызывая непреднамеренное включение антипредохранителя и ошибки трассировки.

Для снижения этой уязвимости в аэрокосмических приложениях инженеры увеличили толщину стека ONO по сравнению с коммерческими спецификациями. Более толстый диэлектрик повышает порог LET для SEDR, устраняя риски непреднамеренного программирования на орбите.

Более толстый стек ONO увеличивает требуемую длительность высоковольтного программирования, что невыгодно для крупносерийного коммерческого производства. Однако небольшой объём выпуска космических устройств делает этот компромисс по производительности полностью приемлемым для надёжности миссии.

3.2 Антипредохранитель типа металл-металл на аморфном кремнии

Технология антипредохранителей металл-металл на аморфном кремнии (a-Si) была разработана для преодоления ограничений по производительности и плотности устройств ONO. Этот антипредохранитель второго поколения обеспечивает более низкое сопротивление включения, меньший размер, более высокую логическую плотность и более быстрое распространение сигнала для передовых платформ ПЛИС.

Поперечная структура a-Si-антипредохранителя показана на Рисунке 9 и представляет собой слой аморфного кремния, помещённый непосредственно между верхним и нижним металлическими электродами без промежуточных оксидно-нитридных стеков. Такая упрощённая структура значительно снижает паразитную ёмкость.

Несмотря на улучшение производительности, новый диэлектрик и механизм проводимости потребовали полной переквалификации всех показателей надёжности. Кривая TDDB для a-Si-антипредохранителей представлена на Рисунке 10, демонстрируя иное поведение по сравнению с устройствами ONO.

При низких рабочих электрических полях кривая TDDB стремится вверх, что означает, что ток утечки, присущий аморфному кремнию, подавляет эффекты старения захваченного заряда, наблюдаемые в диэлектриках ONO. Этот физический механизм обеспечивает исключительно высокую надёжность TDBS при низких полях для a-Si-антипредохранителей.

Инженеры-испытатели должны применять строгие протоколы измерений для характеристики TDDB a-Si. Высокочастотный шум напряжения и переходные всплески могут вызвать искусственный пробой диэлектрика во время испытаний, что приведёт к неточным данным прогноза срока службы при отсутствии фильтрации.

Критическое различие в поведении отличает a-Si-антипредохранители от ONO-аналогов: запрограммированные a-Si-устройства имеют измеряемую уязвимость к выключению. Стабильная проводящая нить, сформированная после программирования (Рисунок 11), может разрушиться и вернуться в высокоомное состояние при воздействии тока, эквивалентного импульсу программирования (Рисунок 12).

Этот риск депрограммирования отсутствует для антипредохранителей ONO, но представляет основной механизм отказа для a-Si-устройств при рабочем стрессе. Actel решила эту проблему путём консервативного схемотехнического проектирования семейств ПЛИС SX и SXA.

Инженеры-разработчики добавили токоограничивающие резисторные сети и ограничения трассировки для ограничения максимального рабочего тока через запрограммированные a-Si-антипредохранители, предотвращая разрушение нити при нормальном переключении логических сигналов.

Для выявления скрытых уязвимостей к депрограммированию было разработано квалификационное испытание на рабочий ресурс при низкой температуре (LTOL). LTOL подвергает устройства стрессу при -55 °C с повышенным напряжением питания для увеличения плотности тока в нитях антипредохранителей, ускоряя старение маргинальных программируемых участков.

Для проверки запаса по надёжности устройства программировались с токами программирования ниже номинальных для создания слабых нитей, а затем подвергались стрессу LTOL для определения точного порога отказа. Результаты испытаний на Рисунке 12 подтверждают, что устройства SX и SXA имеют значительные конструктивные запасы, значительно превышающие эксплуатационные требования.

Квалификация по радиационной стойкости для ПЛИС SXA на a-Si была сосредоточена на устойчивости к SEDR. Данные испытаний на тяжёлых ионах, обобщённые на Рисунке 13, демонстрируют отсутствие отказов из-за непреднамеренного пробоя во всём диапазоне рабочих напряжений по документации, подтверждая радиационную прочность упрочнённого стека a-Si для космического применения.

4. Электростатический разряд, повреждения, вызванные технологическим процессом, и термическая надёжность при пайке

4.1 Защита от электростатического разряда (ESD)

Пробой диэлектрика, вызванный ESD, является повсеместной угрозой надёжности для всех полупроводниковых устройств, с повышенным риском для схем на антипредохранителях из-за их тонких специализированных диэлектрических слоёв. Actel реализовала фундаментальную стратегию аппаратной изоляции для снижения рисков ESD на уровне выводов.

В архитектурах ПЛИС Actel ни один антипредохранитель не подключён напрямую к внешнему выводу устройства. Все трассировочные антипредохранители изолированы внутри основного логического массива, отделены от буферов ввода-вывода специальными защитными транзисторами.

Такая изоляция позволяет каждому выводу устройства выдерживать разряды ESD свыше 2000 В, соответствуя отраслевому стандарту класса 2 по устойчивости к ESD. Это устраняет отказы в полевых условиях, вызванные обращением, статическими разрядами на сборочных линиях и накоплением статики при транспортировке.

4.2 Повреждения, вызванные технологическим процессом (PID)

Повреждения, вызванные технологическим процессом (PID), представляют собой специфический механизм отказа, впервые обнаруженный при производстве антипредохранительных ПЛИС Actel 1010 раннего поколения. Он описывает непреднамеренное повреждение диэлектрика, вызванное электрическими переходными процессами во время изготовления пластин.

Высокоэнергетическое полупроводниковое оборудование, включая ионные имплантеры и плазменные траверы, может индуцировать переходные напряжения до 20 В на слоях металлических межсоединений пластин во время групповой обработки.

Эти переходные напряжения прикладывают несанкционированное смещение к незапрограммированным диэлектрикам антипредохранителей. Поскольку напряжение пробоя (BVG) антипредохранителей ONO по своей природе ниже, чем у стандартных подзатворных оксидов CMOS, антипредохранители гораздо более подвержены деградации PID.

PID проявляется в двух производственных режимах отказа: снижение выхода при сортировке пластин из-за предварительно повреждённых антипредохранителей и скрытые отказы в полевых условиях из-за электрически напряжённых диэлектриков с сокращённым сроком TDDB (Рисунок 14).

Actel возглавила совместные усилия с литейными производствами для выяснения корневых причин PID, модификации заземления оборудования и оптимизации смещения держателей пластин для устранения генерации переходных напряжений.

Все продукты Actel на антипредохранителях включают обязательные стресс-тесты PID на этапах сортировки пластин и финального производственного контроля. Эти электрические фильтры отсеивают повреждённые PID блоки перед отгрузкой, гарантируя, что никакие скрытые дефектные устройства не достигнут системных интеграторов.

4.3 Термическое циклирование при пайке и предварительная подготовка

Сборка корпусов и оплавление бессвинцовых припоев вводят серьёзный термический циклический стресс для кристалла ПЛИС и подсистемы корпуса. Быстрые колебания температуры между комнатной и пиком оплавления 260 °C вызывают механические напряжения на множестве интерфейсов материалов.

Этот термический стресс распространяется на проволочные выводы, слои металлизации (алюминий/медь), диэлектрические переходные отверстия и встроенные антипредохранительные элементы. Повторяющееся расширение и сжатие может привести к расслоению интерфейсов, усталости переходных отверстий или микротрещинам нитей антипредохранителей в экстремальных случаях.

Отраслевые стандартные процессы предварительной подготовки компонентов являются обязательными для квалификации всех военных и аэрокосмических ПЛИС. Этот рабочий процесс эмулирует полный тепловой профиль оплавления припоя, сушки во влажной среде и температурного циклирования перед формальными испытаниями на надёжность.

Предварительная подготовка является обязательным требованием квалификации в соответствии с руководством MIL-STD-883. Любое устройство, не прошедшее предварительную подготовку, подвергается разрушающему физическому анализу для выявления корневых причин, связанных с корпусом или напряжением кристалла.

5. Надёжность в течение жизненного цикла продукта и анализ исторических тенденций интенсивности отказов (FIT)

Интенсивность отказов (FIT), определяемая как количество отказов устройства на миллиард часов работы, является стандартным показателем для количественной оценки надёжности полупроводников в военных и аэрокосмических системах. Официальная база данных FIT Actel объединяет все механизмы отказов, включая ранние отказы «детской смертности», выявляемые при 168-часовом HTOL и LTOL-скрининге.

Все образцы для испытаний HTOL полностью программируются для имитации реальных полевых условий эксплуатации. Испытания на долговечность на незапрограммированных устройствах не могут воспроизвести токовый стресс и зависящие от трассировки механизмы отказов, возникающие в реальных миссиях.

Данные постоянных испытаний на надёжность (ORT), публикуемые Actel, генерируются на стандартных производственных устройствах без обязательной обработки по MIL-STD-883B (эквивалентной прижоговому старению). Это делает опубликованные показатели FIT консервативной верхней границей надёжности.

Устройства, прошедшие формальную военную квалификацию с обязательным высокотемпературным прижогом, демонстрируют значительно более низкие FIT, поскольку прижог устраняет скрытые дефекты «детской смертности» перед развёртыванием в полевых условиях.

Пробой подзатворного оксида является доминирующим механизмом отказов в полевых условиях для обычных МОП-интегральных схем. Производители обычно прикладывают минимальное напряжение при производственных испытаниях для максимизации выхода пластин, мирясь с остаточными скрытыми оксидными дефектами ради экономии.

Антипредохранительные ПЛИС Actel обладают врождённым преимуществом в надёжности подзатворного оксида. Процесс программирования требует, чтобы все основные транзисторы выдерживали значительно более высокие переходные напряжения, чем при нормальной работе, действуя как естественный агрессивный стресс-тест для целостности подзатворного оксида.

В результате за десятилетия эксплуатации продуктов Actel не было зарегистрировано ни одного полевого отказа, вызванного пробоем подзатворного оксида, что устраняет наиболее распространённый риск надёжности для МОП-логических устройств.

Производители полупроводников регулярно публикуют данные ORT на открытых платформах. На Рисунке 15 представлен консолидированный набор данных FIT за 15 лет для антипредохранительных ПЛИС Actel, наложенный на показатели надёжности бортового компьютера программы NASA Apollo.

Сверхнизкий FIT компьютера Apollo демонстрирует чрезвычайную строгость проектирования для ранних пилотируемых космических миссий. Наблюдается явная тенденция: более старые поколения продуктов Actel показывают более низкие заявленные FIT, чем новые устройства.

Эта тенденция не свидетельствует о худшей надёжности современных устройств. Как показано на Рисунке 16, более низкие FIT для устаревших деталей обусловлены более длительными периодами сбора полевых данных, которые статистически отфильтровывают случайные ранние отклонения, а не врождённо меньшим количеством дефектов.

Детальный анализ корневых причин показывает, что единственными полевыми дефектами, наблюдаемыми в устаревших устройствах, были отказы переходных отверстий, связанные с незрелыми многоуровневыми процессами металлизации на ранних стадиях. По мере накопления промышленного опыта в проектировании стеков металлов эти специфические для процесса дефекты были полностью устранены в последующих поколениях продуктов.

Современные основные технологические процессы антипредохранительных ПЛИС являются зрелыми масштабируемыми производными базовых технологий, проверенных в течение 10 лет, обеспечивая исключительную внутреннюю надёжность. Более высокая плотность интеграции дополнительно снижает риски надёжности на системном уровне за счёт минимизации числа дискретных компонентов на печатной плате.

Однако новые передовые полупроводниковые технологии вводят новые проблемы надёжности. Медные межсоединения и диэлектрики с низким значением k, внедряемые в передовые ПЛИС, приносят уникальные механизмы дефектов и требуют новых квалификационных циклов для аэрокосмического применения.

6. Архитектура тестирования высокоплотных ПЛИС и покрытие неисправностей

Чрезмерная плотность логической интеграции усугубляет проблемы тестируемости для современных программируемых логических устройств. В масочных вентильных матрицах и заказных БИС глубоко встроенные логические узлы часто недоступны для тестовых векторов, что ограничивает достижимое покрытие неисправностей.

Рисунок 18 иллюстрирует эту дилемму тестируемости: вентильная матрица с выходом годных пластин 50% и отраслевым лидирующим покрытием неисправностей 95% всё ещё имеет скрытый дефектный уровень 3%, что неприемлемо для полупроводниковых продуктов военного класса.

Антипредохранительные ПЛИС решают эту проблему с помощью комплексного тестирования всего кристалла до персонализации. Каждый логический модуль, трассировочный трек, транзистор и антипредохранительный элемент электрически тестируется в незапрограммированном состоянии перед конфигурацией заказчиком.

Проприетарная тестовая архитектура Actel обеспечивает 100% структурное и функциональное покрытие неисправностей для незапрограммированных ПЛИС с помощью одиннадцати специализированных тестовых механизмов, описанных ниже:

Во-первых, периферийный кольцевой сдвиговый регистр охватывает всю границу кристалла. Тестовые векторы, загруженные в этот регистр, распространяются через области логического ядра, проверяя функциональность изолированных внутренних схем.

Во-вторых, все вертикальные и горизонтальные металлические трассировочные треки проходят проверку на целостность и короткие замыкания для устранения дефектов обрывов/замыканий до программирования.

В-третьих, каждый проходной транзистор в горизонтальных и вертикальных трассировочных массивах тестируется на ток утечки в выключенном состоянии и функциональность включения для выявления параметрических отклонений.

В-четвёртых, глобальные тактовые буферы проверяются с помощью специального тактового стимула, а уровни на выходе измеряются на границах массива для проверки соответствия перекоса и нагрузочной способности.

В-пятых, два специальных зондовых вывода (Probe A и Probe B) используют периферийный сдвиговый регистр для доступа к выходу каждого отдельного логического модуля в массиве, обеспечивая 100% функциональное покрытие модулей.

В-шестых, Probe A и Probe B обеспечивают комплексное тестирование буферов ввода-вывода, проверяя пороговые уровни входа, выходную нагрузочную способность и характеристики утечки для каждого вывода устройства.

В-седьмых, специальные тестовые режимы принудительно устанавливают все выходные буферы в логический ноль, логическую единицу или высокоимпедансное три-состояние для параметрического тестирования Vol, Voh, Iol, Ioh, тока покоя и утечки выводов.

В-восьмых, в массив ПЛИС встроены две прозрачные для заказчика выделенные колонки. Actel программирует антипредохранители в этих колонках для формирования схемы сортировки при идентичных условиях программирования, что и в проектах заказчиков, проверяя функциональность запрограммированных антипредохранителей и производительность сортировки по скорости.

В-девятых, специальные тестовые последовательности проверяют целостность внутрикристальной схемы высоковольтного программирования, подвергая аппаратное обеспечение стрессу сверх номинальных условий программирования для гарантии выхода программирования более 90%.

В-десятых, изолированные банки высоковольтных транзисторов отделяют логику ядра с низким напряжением от высокого напряжения программирования, предотвращая диэлектрический стресс и случайный пробой во время производственного тестирования.

В-одиннадцатых, тесты антипредохранителей до и после программирования проверяют целостность незапрограммированного состояния и внутреннюю надёжность всех диэлектрических элементов по всему кристаллу.

Помимо тестового оборудования, физическая архитектура ПЛИС оптимизирована для минимизации стационарного электрического напряжения на антипредохранительных элементах как во время тестирования, так и в полевых условиях, что дополнительно повышает долгосрочную надёжность.

7. Алгоритм программирования и гарантия надёжности конфигурации

Антипредохранительные ПЛИС не могут быть предварительно проверены на 100% программируемость на этапе пластин, поэтому небольшой процент устройств не сможет запрограммировать определённые целевые антипредохранители при конфигурации заказчиком. Однако Actel гарантирует 100% функциональную корректность для всех полностью запрограммированных устройств, поставляемых заказчикам.

Эта гарантия обеспечивается тремя ключевыми этапами верификации во время программирования пользователем: подтверждение полного программирования целевых антипредохранителей, устранение плавающих сигнальных цепей и обнаружение непреднамеренных коротких замыканий между цепями.

Проприетарный алгоритм программирования Actel работает в последовательном импульсном режиме. Контроллер идентифицирует каждый антипредохранитель, требующий конфигурации, а затем подаёт последовательные высоковольтные импульсы для постепенного формирования проводящей нити.

Критический этап перепрограммирования (soak overprogram) следует за начальным формированием нити. Этот расширенный токовый стресс выравнивает сопротивление всех запрограммированных антипредохранителей по кристаллу, устраняя риски перекоса синхронизации, вызванного параметрическими вариациями.

Мониторинг в реальном времени встроен во весь поток программирования. Система проверяет, что во время каждой импульсной последовательности программируется только целевой антипредохранитель; любая непреднамеренная активация помечает устройство как ошибку программирования.

Измерения тока покоя (ICC) до и после программирования фиксируют базовую сигнатуру энергопотребления микросхемы. Отклонения указывают на непреднамеренный диэлектрический стресс или паразитную проводимость, вызванную неправильным программированием.

В сочетании с производственным скринингом Actel на уровне пластин и рабочим процессом верификации программирования на уровне устройств эта многоступенчатая испытательная экосистема гарантирует функциональную и параметрическую надёжность всех запрограммированных антипредохранительных ПЛИС, развёрнутых в полевых условиях.

8. Риски надёжности, связанные с цепочкой инструментов CAE, и их смягчение

Хотя современные цепочки инструментов CAE надёжно транслируют код на уровне регистровых передач (RTL) в логические списки соединений на уровне вентилей, внутреннее поведение инструментов и практика написания кода пользователями являются основными источниками рисков надёжности на системном уровне для аэрокосмических проектов на ПЛИС.

Современный промышленный стандарт VHDL аналогичен ассемблеру в разработке программного обеспечения: он обеспечивает эффективность аппаратного обеспечения, но подвержен тонким функциональным ошибкам, вызванным эвристиками оптимизации инструментов. Языки поведенческого моделирования высокого уровня снижают подверженность ошибкам, но страдают от плохой эффективности использования площади кристалла и более низкой рабочей скорости, что делает их непрактичными для высокопроизводительных аэрокосмических миссий.

Пока поведенческий синтез не созреет для реализации высокоплотной логики, разработчики должны овладеть особенностями конкретных версий VHDL и целевых архитектур антипредохранительных ПЛИС, чтобы избежать ошибок, вносимых инструментами.

Часто встречающейся опасностью оптимизации инструментов является автоматическое удаление заданных пользователем задержек для компенсации перекоса тактовых сигналов. Инструменты синтеза классифицируют эти задержки как избыточную комбинационную логику и удаляют их во время оптимизации.

Разработчики должны явно применять атрибут preserve к модулям задержки, чтобы принудительно сохранить их во время компиляции, предотвращая ошибки временного замыкания в финальной реализованной схеме.

Неправильное формирование тактовых сигналов из комбинационной логики является ещё одной распространённой угрозой надёжности. Неаккуратное кодирование на Verilog может создавать стробированные тактовые сигналы, получаемые из комбинационных вентилей И, внося асинхронные риски синхронизации и уязвимость к SEU.

Два примера кода Verilog иллюстрируют эту проблему. Первая реализация использует комбинационный вентиль для генерации тактового сигнала для регистра, создавая асинхронный тактовый домен с неопределённым поведением фронта.

module gatedFF(Q, Data, Clock, Enable);

input Clock, Data, Enable;

output Q;

reg Q;

wire GC;

assign GC = (Clock && Enable);

always @(posedge GC)

begin

Q = Data;

end

endmodule

Пересмотренный стиль кодирования переносит логику разрешения внутрь синхронного блока регистра, позволяя инструментам синтеза выводить специальные триггеры со входом разрешения (Enable-FF), встроенные в архитектуру ПЛИС.

module enableFF(Q, Data, Clock, Enable);

input Clock, Data, Enable;

output Q;

reg Q;

always @(posedge Clock)

begin

if (Enable)

Q = Data;

end

endmodule

Правильная методология синтеза также направляет инструменты на создание специализированных тактовых драйверов CLKINT и CLKBUF для глобальных сигналов с высокой нагрузкой. Это позволяет избежать автоматически генерируемых деревьев буферов, которые ухудшают временные характеристики и потребляют избыточную площадь кристалла.

Дублирование регистров, распространённая оптимизационная функция, вносит непреднамеренные уязвимости к SEU. Инструменты Synopsys отключают эту функцию по умолчанию для радиационно-стойких потоков, в то время как Synplify требует явной конфигурации через параметр компиляции для предотвращения создания избыточных регистров.

Смягчение SEU сильно зависит от поведения инструментов синтеза. Спроектированные пользователем SEU-стойкие триггеры, построенные из комбинационных обратных связей, могут быть свёрнуты алгоритмами оптимизации в компактные стандартные последовательные элементы (S-FF), уязвимые к SEU.

Перестройка конвейера для оптимизации скорости инструментами синтеза также может генерировать недопустимые переходы состояний в избыточных логических путях, увеличивая общую чувствительность устройства к одиночным событиям.

Два поддерживаемых производителем метода проектирования устраняют чувствительность к SEU для радиационно-стойких ПЛИС Actel: метод триггера на комбинационной ячейке (CC-FF) и логика голосования с тройной модульной избыточностью (TMR).

8.1 Метод упрочнения CC-FF

Метод CC-FF полностью исключает традиционные последовательные элементы S-FF, реализуя ячейки хранения с использованием комбинационных логических петель с обратными связями. Эта архитектура устраняет уязвимость к радиационному воздействию на одном узле, присущую обычным триггерам.

Устаревшие семейства Actel, включая ACT 1, 40MX и RH1020, не содержат встроенных S-FF и полностью полагаются на реализацию CC-FF для всех функций последовательного хранения.

Современные инструменты синтеза поддерживают развёртывание CC-FF изначально. Synplify предоставляет атрибут syn_radhardlevel для принудительной реализации CC-FF на уровне модуля, архитектуры или отдельного регистра.

Пакеты проектирования Synopsys включают скрипт sequential_combinatorial для автоматизации массового преобразования CC-FF в крупных аэрокосмических проектах, снижая ручные усилия по реализации.

8.2 Метод упрочнения TMR

Тройная модульная избыточность (TMR) является хорошо зарекомендовавшим себя методом радиационного смягчения, который утраивает ресурсы последовательной логики и добавляет схему мажоритарного голосования на выходе.

Когда один триггер испытывает переворот состояния из-за SEU, два других незатронутых избыточных регистра переопределяют искажённое значение с помощью мажоритарного голосования, предотвращая распространение ошибки через систему.

TMR накладывает накладные расходы по площади кристалла в 3–4 раза и примерно в 2 раза задержку сигнала по сравнению со стандартными S-FF, представляя собой преднамеренный компромисс между надёжностью и производительностью для критических космических миссий.

Инструменты синтеза поддерживают автоматическую вставку TMR с помощью атрибутов конфигурации. Параметр syn_radhardlevel Synplify может задавать чистую TMR или гибридную реализацию TMR-CCFF для иерархических областей проектирования.

Специализированный скрипт Synopsys sequential_triple_voting упрощает генерацию списка соединений TMR и оптимизацию маршрутизации логики голосования для архитектур антипредохранительных ПЛИС.

Семейство продуктов RT54SX-S упрощает работу разработчика, интегрируя самовосстанавливающиеся встроенные схемы TMR в каждый нативный регистр. Эти устройства фактически нечувствительны к ионам для стандартных орбитальных радиационных сред, устраняя необходимость в ручном упрочнении.

9. Усовершенствования устройств нового поколения и дисциплина синхронного проектирования

Новейшие антипредохранительные ПЛИС серии SXS включают десятилетия уроков по надёжности в аппаратные усовершенствования на архитектурном уровне. Изолирующие транзисторы отделяют высоковольтные схемы программирования от низковольтной логики ядра для предотвращения диэлектрического стресса во время конфигурации.

Во время нормальной работы встроенный насос заряда управляет затворами изолирующих транзисторов высоким уровнем для обеспечения беспрепятственной передачи логических сигналов. В ранних поколениях устройств наблюдались неопределённые логические состояния во время нарастания напряжения насоса заряда при включении питания, вызывая переходный ток потребления и всплески выходного напряжения.

Устройства SXS решают эту проблему, принудительно устанавливая все логические модули в заранее определённое безопасное состояние во время инициализации включения питания. Выходные выводы остаются в три-состоянии до тех пор, пока насос заряда не достигнет стабильного рабочего напряжения, полностью подавляя переходные шумы.

Программируемые пользователем токи подтяжки/оттяжки по 50 мкА к Vcc или земле дополнительно стабилизируют выходные состояния в режиме ожидания до полного включения. Встроенное управление скоростью нарастания на всех выводах ввода-вывода минимизирует шум одновременного переключения и отражения на земле в высокоскоростных параллельных интерфейсах.

Встроенная TMR на каждый регистр исключает ручную работу по смягчению SEU для разработчиков. Вывод JTAG TRST, являющийся распространённым вектором радиационной уязвимости, для космических версий заводским способом навсегда подключается к земле, чтобы избежать ошибок конфигурации, вносимых пользователем.

Соблюдение полностью синхронной методологии проектирования является обязательным для надёжного развёртывания антипредохранительных ПЛИС в аэрокосмических системах. Многие полевые отказы связаны с нерегулярной асинхронной логикой, добавленной в процессе итеративной отладки методом проб и ошибок.

Асинхронные временные запасы зависят от номинальных характеристик порогового напряжения транзисторов (Vt). В космической среде полная доза облучения вызывает дрейф Vt, разрушая временные соотношения, основанные на пользовательских задержках, и вызывая перемежающиеся функциональные сбои.

Даже разработчики, намеревающиеся использовать синхронную логику, часто вносят скрытое асинхронное поведение в пути сброса, петли обратной связи и вспомогательные тактовые домены. Инструменты статического временного анализа (STA) Actel используют консервативные временные модели и должны использоваться для всей верификации на этапе выпуска.

Три основных правила определяют полностью синхронное проектирование. Во-первых, все регистры в одном пути данных должны быть подключены к одной и той же глобальной распределительной сети тактовых сигналов ПЛИС для минимизации вариаций перекоса.

Во-вторых, все регистры на общем тактовом сигнале должны срабатывать по одному и тому же фронту (нарастающему или спадающему) для устранения временных зависимостей от скважности.

В-третьих, данные, пересекающие асинхронные тактовые домены, должны проходить через двухступенчатые синхронизаторы для подавления метастабильности, обеспечивая детерминированные состояния инициализации.

Распространённые рискованные методы, включая стробирование тактовых сигналов, производные тактовые сигналы и целочисленное деление тактовой частоты, нарушают синхронные принципы. Эти функции должны быть перереализованы с использованием входов разрешения регистров для сохранения полной синхронизации тактовых сигналов.

Дополнительные асинхронные схемы, включая комбинационные обратные связи, одновибраторы, нерегистрируемую выборку данных и асинхронные входы предустановки/сброса, должны быть заменены синхронизированными эквивалентами для повышения радиационной стойкости.

10. Лучшие практики эксплуатации и тестирования на уровне пользователя

Хотя данная статья фокусируется на надёжности на уровне компонентов и проектирования, две критически важные практики тестирования предотвращают сбои инициализации на орбите, связанные с характеристиками удержания состояний триггеров.

Незапрограммированные и запрограммированные триггеры сохраняют своё последнее логическое состояние до 24 часов после отключения питания из-за захвата заряда в плавающих узлах и на диэлектрических интерфейсах.

Для миссий, требующих детерминированной инициализации при включении питания, разработчики должны принудительно установить все триггеры в состояние, обратное желаемому начальному, поддерживать это состояние в течение одного часа, а затем выполнять официальную последовательность включения питания.

Эта процедура предварительной подготовки перезаписывает остаточный захваченный заряд, гарантируя, что ПЛИС инициализируется в известное состояние для валидации запуска и орбитальных функциональных тестов.

Временные параметры сигнала сброса при включении питания (POR) являются ещё одной важной деталью. Внешний сигнал POR должен подаваться только после того, как все шины питания ПЛИС достигнут номинальных уровней напряжения по документации.

Применение POR во время нарастания напряжения оставляет логические модули ядра частично неактивными, что приводит к неопределённым состояниям регистров и перемежающимся сбоям загрузки системы на орбите.

11. Заключение

Технология ПЛИС на антипредохранителях значительно эволюционировала за последние 30 лет, с непрерывными улучшениями в структуре устройств, радиационном упрочнении, производственном тестировании и поддержке цепочки инструментов CAE. Современные высокоплотные устройства обеспечивают значительно более высокую надёжность на системном уровне по сравнению с ранними военными интегральными схемами эпохи Apollo.

Врождённые архитектурные преимущества, включая энергонезависимую OTP-конфигурацию, скрининг подзатворного оксида во время программирования и настраиваемое радиационное упрочнение, делают антипредохранительные ПЛИС наиболее устойчивым решением для программируемой логики для долгоживущих военных и аэрокосмических миссий.

Исторические данные по интенсивности отказов (FIT) доказывают, что зрелые технологические нормы с десятилетиями полевого опыта обеспечивают наименьший эксплуатационный риск, в то время как новые процессы с медными/низко-k диэлектриками требуют дополнительной квалификации для устранения возникающих дефектных режимов.

Аппаратная надёжность на уровне устройств полностью гарантируется испытательными рабочими процессами производителя, включая скрининг PID, защиту от ESD, старение TDDB/LTOL и структурное тестирование с 100% покрытием неисправностей. Алгоритмы программирования гарантируют постоянную безошибочную конфигурацию для всех поставляемых устройств.

Самым слабым звеном в надёжности миссии обычно является уровень разработчика системы. Эвристики инструментов CAE, неправильные стили кодирования RTL, вставка асинхронной логики и недостаточное радиационное смягчение вносят предотвратимые полевые уязвимости.

Проектные коллективы должны полностью понимать электрические характеристики выбранных антипредохранительных ПЛИС, применять дисциплину синхронного проектирования, развёртывать упрочнение CC-FF/TMR там, где это необходимо, и следовать стандартизированным протоколам тестирования включения питания.

Сочетая проверенную производителем аппаратную надёжность, дисциплинированное использование цепочки инструментов и радиационно-осознанные методы проектирования, инженеры могут использовать антипредохранительные ПЛИС для создания безотказных встраиваемых систем для самых суровых сред глубокого космоса и военных операций.