宇宙射線(xiàn)對汽車(chē)電子系統的損傷分析

　　設想一下：如果你駕駛最新款的汽車(chē)，以每小時(shí) 75 英里的速度在高速公路上疾馳，并一邊欣賞著(zhù)流行的樂(lè )曲。突然間，引擎管理系統或穩定控制系統失效。面對這個(gè)情勢，您不僅可能會(huì )遭遇嚴重 (甚至致命) 的車(chē)禍，而車(chē)廠(chǎng)的聲譽(yù)也可能遭到損害，如果類(lèi)似情況不止出現在你身上的話(huà)。

　　隨著(zhù)汽車(chē)在過(guò)去 25 年中從純機械設備演變成高度集成的線(xiàn)控駕駛汽車(chē)電子系統，設計人員面臨的挑戰也不斷增加。他們必須把復雜的電子設備增添到每一個(gè)后續車(chē)型中，同時(shí)還得維持高標準的品質(zhì)和可靠性，并滿(mǎn)足嚴格的低成本和大批量生產(chǎn)要求。

　　傳統上，汽車(chē)開(kāi)發(fā)人員一直依賴(lài)于 MCU、ASIC 和碩大的線(xiàn)束來(lái)實(shí)現和控制電子系統，并擴展每一代汽車(chē)的功能。如今，這些解決方案正逼近其技術(shù)極限，而且隨著(zhù)汽車(chē)電子的復雜性呈指數級增長(cháng)，其可靠性也引起人們的關(guān)注。為了解決這些問(wèn)題，許多設計人員開(kāi)始轉向 FPGA，將其作為下一代汽車(chē)電子設計的靈活及低成本解決方案。

　　為了確?，F代汽車(chē)中各種系統的功能運轉正常，必須對元件提出可靠性數據的要求。雖然人們已掌握元件可靠性的大部分要素，但是在選擇可編程邏輯器件如 FPGA 的過(guò)程中，還得考慮一些特殊的問(wèn)題。

　　了解宇宙射線(xiàn)的破壞作用

　　具體點(diǎn)說(shuō)，技術(shù)決策人必須預見(jiàn)到影響可編程邏輯系統的故障源。來(lái)自太空 (宇宙射線(xiàn)) 的中子轟擊，這聽(tīng)起來(lái)有點(diǎn)像電影《星際旅行》中的某個(gè)情節，但事實(shí)上中子導致的錯誤對許多類(lèi)型的電子設備都有危害。中子導致的固件錯誤 (firm error) 已經(jīng)從純粹的麻煩事變?yōu)榇髥?wèn)題。例如，如果中子導致基于 SRAM 的FPGA 配置單元被擾亂，就可能使到功能失效。如果出現這種情況，可以造成主系統失常。展望未來(lái)，這種問(wèn)題將更為嚴重，因為將來(lái)的 FPGA 會(huì )采用深亞微米制造工藝，這將給基于 FPGA 的汽車(chē)電子設計工程師帶來(lái)實(shí)實(shí)在在的挑戰。

　　中子轟擊造成的單事件擾亂 (SEU) 在任何類(lèi)型的易失性存儲單元都易于發(fā)生。上述SRAM FPGA 采用內部存儲單元來(lái)保持 FPGA 的配置狀態(tài) (或個(gè)性)。這種存儲器單元存在更為嚴重的可靠性問(wèn)題。當內容被更改的時(shí)候，我們說(shuō)器件發(fā)生“軟錯誤”，因為在這種情況下，僅數據受影響，而功能未受影響。雖然可以采用校正數據成功地重新寫(xiě)入器件 (對 SRAM 數據和寄存器可以分別采用 EDAC (錯誤檢測和校正) 和 TMR (隧道磁阻) 技術(shù)來(lái)糾正)，但軟錯誤還是可以導致數據丟失或“系統意外故障”。

　　如果 SRAM FPGA 配置存儲器單元受到破壞，我們說(shuō)器件發(fā)生“固件錯誤”，因為這些錯誤不易檢測或校正，而且本質(zhì)上不是暫時(shí)現象。一旦在 FPGA 中出現固件錯誤，必須重新載入初始配置數據。在某些情況下，還必須重新上電以清除故障，然后再重新配置。在這些配置單元中，只要有一個(gè)遭遇中子導致的SEU，后果都可以很?chē)乐?。如果某個(gè)配置位被擾亂而改變狀態(tài)，它可能會(huì )改變整個(gè)器件的功能，導致重大數據崩潰或向系統中的其它電路發(fā)送虛假的信號。在極端情況下，如果固件錯誤長(cháng)期未被檢測到，那么，就會(huì )變成“硬故障 (hard errors)” 并對器件本身或包含該器件的系統造成破壞。這類(lèi)問(wèn)題的常見(jiàn)例子是：中子導致的固件錯誤把信號導向錯誤的路徑，從而造成短路。

　　對采用 SRAM FPGA 來(lái)實(shí)現關(guān)鍵任務(wù)汽車(chē)電子應用系統來(lái)說(shuō)，中子導致的錯誤存在嚴重的潛在隱患。由于現有的檢測技術(shù)是通過(guò)每隔一段時(shí)間讀回 FPGA配置實(shí)現檢測，因此，對防止系統內的錯誤毫無(wú)幫助。此外，能夠檢測受破壞配置的讀回電路本身就易于遭受 SEU 或破壞。再者，隨著(zhù)這種易受攻擊的FPGA 技術(shù)的廣泛發(fā)展，有可能需要能檢查汽車(chē)電子系統對中子導致的固件錯誤免疫能力的全新質(zhì)量評價(jià)系統，把它添加到 AEC-Q100 標準之中，以補充JEDEC 標準 No.89 的不足。此外，目前用于檢測和糾正 FPGA 固件錯誤的方案會(huì )增加系統設計的復雜性，并大幅增加線(xiàn)路板尺寸和材料成本，進(jìn)而提高發(fā)現中子導致錯誤的材料清單成本。

　　中子導致的固件錯誤可能對整個(gè)系統的 FIT (failure in time) 率影響很大。這種固件錯誤難于檢測，且幾乎不可能診斷，給維護和維修帶來(lái)棘手的問(wèn)題，并造成維護費用攀升。在三種主流 FPGA 技術(shù) (反熔絲、Flash 和 SRAM) 之中，只有反熔絲和 Flash 技術(shù)能抵御中子導致的軟錯誤和固件錯誤的影響。

　　實(shí)例：采用 SRAM FPGA 實(shí)現的汽車(chē)電子系統

　　本例分析了安裝在駕駛室內地板中的系統。有人用 SpaceRad 4.5 (廣泛應用的輻射效應預測軟件程序) 計算了美國科羅拉多州丹佛市 5000 英尺高度的中子射線(xiàn)密度。根據已發(fā)表的輻射數據，對于采用 0.22 微米技術(shù)，密度為百萬(wàn)門(mén)的SRAM FPGA，每天發(fā)生 SEU 的概率為 1.05E-4。

　　如果廠(chǎng)商在乘員傳感器和安全氣囊控制模塊中采用百萬(wàn)門(mén)的 SRAM FPGA，把這個(gè) 1.054E-4 的 SEU 發(fā)生概率換算成每天每系統的 SEU 發(fā)生概率就是 4.38E-06，或者說(shuō)系統的 FIT 值為 4,375。這意味著(zhù)如果該廠(chǎng)商在 50 萬(wàn)輛車(chē)中采用這種百萬(wàn)門(mén) SRAM FPGA 實(shí)現的安全系統，這個(gè) 1.054E-4 的 SEU 發(fā)生概率乘以路上的車(chē)輛/系統數量，就得到該車(chē)輛群體中每天總計會(huì )發(fā)生 52.5 次 SEU 事件(假設車(chē)輛一直在運行)。這就相當于每 27.4 分鐘出現一次 SEU。即使假定這些車(chē)輛平均每天只行駛兩小時(shí)，每天仍然會(huì )發(fā)生兩起 SEU。由于這些故障是固件故障，因此會(huì )持續下去，直到 SRAM FPGA 被重新加載 (通常需要重新上電或強制重新配置)。

　　在目前的半導體技術(shù)中，器件中的軟錯誤已經(jīng)受到高度關(guān)注。隨著(zhù)器件尺寸不斷縮小，大家都認識到這種軟錯誤將成為大問(wèn)題；這些錯誤可能會(huì )極大地降低系統的可用性。因此在許多應用場(chǎng)合中，人們都強烈要求避免出現軟錯誤，使到系統的可用性維持在可以接受的水平。
在選擇 FPGA 時(shí)，最重要的是評估每一種可編程體系的總體擁有成本，并選擇那些擁有本質(zhì)上可靠的核心技術(shù)的供應商，而不是為較低檔次要求應用而設計的二等品質(zhì)供應商提供的商業(yè)級產(chǎn)品。

　　如果采用 SRAM FPGA 來(lái)設計，設計人員就必須增加檢測和校正配置錯誤的電路，因而會(huì )增加系統成本和復雜性。幸運的是，設計人員還有別的選擇。輻射測試數據表明，以反熔絲和 Flash 技術(shù)為基礎的 FPGA 不易于出現因中子導致的 SEU 事件而造成配置數據丟失。這使它們特別適用于要求高可靠性的應用。

　　現在，想象一個(gè)稍微不同的場(chǎng)景：你以每小時(shí) 75 英里的速度駕駛著(zhù)最新款的汽車(chē)在高速公路奔馳，耳畔聆聽(tīng)著(zhù)流行的歌曲。由于知道引擎管理系統中采用的是以非易失性 Flash 為基礎的 FPGA，而不是基于 SRAM 的FPGA，你可以繼續推桿加速，享受著(zhù)舒適和無(wú)憂(yōu)的旅程。