宇宙・高信頼性FPGA
放射線がFPGAに何をするか、三重冗長化、ECC、コンフィギュレーションスクラビングがそれをどう緩和するか、どの耐放射線部品があるか、認定規格がどう関わるかを解説します。
概要
大気圏の外、そして大気圏内の一部の場所（航空電子機器、粒子加速器、原子力発電所、高地のデータセンター）では、荷電粒子がシリコンを通過し、望まれない場所に電荷を残します。SRAMベースのFPGAでは、その電荷がコンフィギュレーションビットを反転させ、何かが書き直すまで設計を配線し直してしまうことがあります。このハブは、そうした環境向けに設計するエンジニアのためのページです。その影響、緩和技術、この仕事のために作られたデバイスファミリー、そして付随する文書作業を説明します。その多くは、同じ技術でランダム故障から守る安全性重視の地上設計にも当てはまります。
この分野には正確に学ぶ価値のある語彙があります。どのデータシートもそれを使うからです。用語集のSEU、TMR、TIDの項目が出発点です。
重要な考え方
トータルドーズ対シングルイベント
トータルイオナイジングドーズ（TID）は累積的な効果です。酸化膜に捕獲された電荷がトランジスタのしきい値をずらし、リークを増やし、ついにはデバイスが仕様から外れます。radまたはグレイ（100 radが1 Gy）で測定され、部品は線量で定格が決まります。耐放射線FPGAでは通常100 kradから300 kradです。シングルイベント効果（SEE）は瞬間的です。シングルイベントアップセット（SEU）はメモリビット（コンフィギュレーションビットを含む）を反転させます。シングルイベントトランジェント（SET）は組み合わせ論理のネット上のグリッチで、レジスタがそれをサンプリングするとアップセットになります。シングルイベント機能割り込み（SEFI）は制御ロジック（コンフィギュレーションエンジン、PLL、JTAGステートマシン）のアップセットで、機能全体を停止させます。シングルイベントラッチアップ（SEL）は寄生サイリスタがオンになるもので、電源を入れ直すまで破壊的な電流を流します。ベンダーは重イオンと陽子のビームでそれぞれを特性評価し、線エネルギー付与に対するビットあたりの断面積を平方センチメートルで公開しています。ミッションの軌道と期間が、それを期待アップセット率に変換します。
緩和策: 冗長化、訂正、スクラビング
三重冗長化（TMR）はロジックを3つ複製して動かし、出力を多数決します。分散した多数決器とフィードバックを用いてレジスタレベルで行えば、3倍以上の面積と多少の速度を代償に、あらゆる単一アップセットをマスクします。Synopsys（Synplify Premier）のツールとオープンソースのTMRGおよびSpyDrNetプロジェクトがこれを自動化します。RTLで手作業で行うのは間違いやすく、止めない限り合成が冗長性を最適化で消してしまうからです。ブロックRAMと外部メモリのECCはデータのアップセットを訂正します。コンフィギュレーションスクラビングはFPGA固有の問題に対処します。専用エンジンがコンフィギュレーションメモリを継続的に読み出し、ゴールデンコピーまたはCRCと比較し、破損したフレームを書き直します。AMDのSoft Error Mitigationコアはこれをデバイス内部から行い、外部の耐放射線マイクロコントローラやアンチヒューズFPGAは外部から行えます。TMRがアップセットをマスクし、スクラビングが2つ目が蓄積する前にそれを除去するので、両者は併用されます。フラッシュベースのFPGA（RTG4、RT PolarFire）とアンチヒューズ部品（RTAX）はコンフィギュレーションセルがアップセットの影響を受けないため、スクラビングの問題がなくなり、保護すべきはユーザーレジスタとメモリだけになります。
認定部品とその背後にある規格
耐放射線FPGAとは、放射線応答が特性評価され、セラミックまたは気密パッケージに封止され、温度範囲が拡張され、スクリーニングフローを経た商用ダイです。米国ではMIL-PRF-38535がスクリーニングとロット受け入れを規定するQMLクラス（Q、V、および非気密パッケージ向けの新しいY）を定義しています。欧州ではECSS-Q-ST-60シリーズの規格とESAのEuropean Preferred Parts Listが同じ役割を果たし、ESCC認定がQMLの欧州版に相当します。NASAとESAも独自の放射線試験ガイドラインと結果を公開しています。シングルイベントの試験方法はJEDEC JESD57とASTM F1192に従います。実際の影響はこうです。宇宙グレードの部品は商用の同等品の10倍から100倍の価格で、リードタイムは四半期単位で、読むことが求められるデータパッケージ付きで届きます。寿命の短いニュースペースのミッションでは、緩和策を施した商用部品を飛ばしてリスクを受け入れることがよくあります。数字をもって判断する限り、それは間違いではなく工学的な決定です。
どこから始めるか
緩和策は普通のRTLに適用するので、基礎は普通の入門トラックです。TMRが三重化するレジスタについては/learn/beginner/04-registers-clocks-and-state/、不正状態をもつ保護されていないステートマシンは典型的なSEU故障なので/learn/beginner/07-finite-state-machines/、ECCが保護するメモリについては/learn/beginner/09-memories-block-ram-and-fifos/を読んでください。どのボードでもできる最初の演習は故障注入です。ベンダーのSEMコアやJTAGスクリプトでコンフィギュレーションビットを反転させ、どれが設計を壊すか観察してください。信頼性エンジニアリングに関する上級トラックは準備中です。
ツールとベンダー
| デバイス | ベンダー | 技術 | TID定格 | 備考 |
|---|---|---|---|---|
| RTG4 | Microchip | 65 nmフラッシュ | 100 krad | SEU耐性のコンフィギュレーション、TMRフリップフロップ内蔵、SEL耐性、QML V |
| RT PolarFire | Microchip | 28 nmフラッシュ | 100 krad | より大規模で低電力、SerDes、本稿執筆時点でQML Class Q取得済み、Class Vは進行中 |
| RTAX-S | Microchip | アンチヒューズ | 300 krad | ワンタイムプログラマブル、長い実績 |
| XQR Kintex UltraScale（XQRKU060） | AMD | 20 nm SRAM | 100 krad以上 | スクラビング必須、Class BおよびY、大きなロジック容量 |
| XQR Versal | AMD | 7 nm SRAM | 100 krad以上 | 宇宙グレードのアダプティブSoC、2022年発表 |
| NG-Medium、NG-Large、NG-Ultra | NanoXplore | 65 nmおよび28 nm SRAM、設計で耐性化 | 50 krad（NG-Ultra、NanoXploreによる） | 欧州製、ESCC認定、セルにSEU耐性を内蔵 |
| 任意の商用部品 | すべて | さまざま | 定格なし | 自前の試験のうえ、緩和策付きでニュースペース用途に |
Synplify Premier、Mentor（Siemens）のPrecision Rad-Tolerantフロー、Libero SoCがTMRとセーフステートマシン符号化を提供します。CERNのオープンソースTMRGとBYUのSpyDrNetは、Yosysベースのフローで同じことを行います。
よくある間違い
- データパスにTMRを適用し、クロックツリー、リセット、スクラバーを保護しないままにする。
- 合成に3つの複製を統合させてしまう。ベンダーのkeepやpreserve属性、またはTMRツールのフローを使わなければなりません。
- SETを忘れる。3つの複製が共有入力の同じトランジェントをサンプリングすれば、レジスタの多数決器は役に立ちません。
- それ自体が保護されたゴールデンコピーなしにスクラビングする。ビットストリームを保持する外部メモリにはECCか冗長化が必要です。
- ビーム試験向けに設計してミッション向けに設計しない。断面積データは軌道の粒子スペクトルと畳み込んで初めて発生率になります。
- 文書作業を過小評価する。認定の証拠がスケジュールの大半を占めます。
さらに深く
- AMD PG036, Soft Error Mitigation Controller。デバイス内スクラバーです。
- Microchip耐放射線FPGA。RTG4とRT PolarFireを扱っています。
- NanoXplore。NGファミリーのデータがあります。
- ECSS規格。EEE部品に関するQ-ST-60シリーズは登録後に無料でダウンロードできます。
- NASA Goddard Radiation Effects and Analysis。商用および宇宙グレード部品に関する数十年分の試験報告があります。
- ESCIES。European Preferred Parts Listと放射線データをもつESAの部品情報システムです。