马英起，朱 翔，李悦，韩建伟

（中国科学院国家空间科学中心，北京 101499）

0 引言

飞机在巡航高度会遭遇大气中子、质子等次级粒子组成的大气辐射环境。其中，大气中子由银河宇宙射线和太阳耀斑爆发所释放的高能粒子与中性大气中的氮和氧发生核反应而形成。大气中子不带电、穿透力强，可穿透飞机蒙皮和机箱入射机载电子设备内部，诱发半导体器件的大气中子单粒子效应（neutron induced single event effect, NSEE），导致电子设备出现数据错误、数据丢失、自动复位、功能异常、功能丧失、死机、复位重启，甚至电路烧毁等故障。随着半导体集成电路工艺尺寸的缩小及深亚微米工艺器件（特征尺寸≤90 nm）的广泛应用，NSEE 严重影响机载电子设备的可靠性，甚至危及飞机安全，已引起世界各国航空安全管理部门和航空工业方的广泛关注[1-4]。从航空电子系统发生故障的历史数据和经验来看，国际上通常认定商用航空器航空电子系统中所发生的不能复现的故障中大约有20%是由NSEE造成的。国内机载电子设备生产厂家和飞机总体单位也逐步认识到NSEE的危害，在某型号飞机上针对40多件关键核心机载电子设备开展NSEE实验，结果表明：80%受试机载电子设备对NSEE 敏感[5]。

国外针对机载电子设备NSEE 的研究总体呈现出以下特点：重视大气辐射环境数据实测，已建立成熟的大气中子能谱预计模型，并考虑中子随太阳活动的变化，可进行地面高度的器件翻转率计算；器件内部晶体管级SEE 机理研究的理论体系已趋于完整，针对中子与半导体器件硅材料之间的核反应过程及产物、电荷收集过程、临界电荷、SER 预计模型等开展了大量研究，建立了核反应数据库、机理模型及仿真计算方法，如美国IBM、Boeing 等公司联合开展了大量飞行实验，各大主流芯片厂家也基于实验室辐射源开展了大量实验，在验证基础模型的同时，积累了大量基础数据以支持SEE 危害分析及防护设计。

国内方面，虽然有航天领域形成的电荷收集机制、临界电荷理论、SEE 失效率预计模型等基础研究成果可以借鉴，但针对航空用关键核心器件及机载电子系统的研究相对缺乏，缺少SEE分析和防护设计的基础数据，对NSEE的影响危害还没有形成系统的认识；航天领域针对重离子、高能质子SEE开展了大量深入研究，也基于粒子加速器开展了大量实验验证，但是针对航空机载电子设备及其器件的NSEE 危害机理研究不足。同时，由于大气层和空间中诱发SEE的粒子种类不同（大气层中主要是中子，空间中主要是重离子和质子），航天装备和航空装备在SEE 防护减缓思路上也存在不同，航天多采用价格昂贵的抗辐射加固器件来避免硬错误；航空装备多采用低等级器件，一般采取容错设计思路以减缓SEU 诱发的软错误。因此，航天SEE的研究成果不能直接用于航空用机载电子设备的NSEE 防护。应借鉴航天抗辐射效应研究经验，大力开展航空大气中子辐射效应危害机理和传播机制研究，为机载电子设备的NSEE 危害分析、防护设计和综合评价等提供必要的技术支撑，以突破照搬国际标准与技术要求的摸索阶段，建立机载电子设备受NSEE影响的器件—电路—系统完整因果链及其评价机制。

当前，针对航空电子系统的SEE 失效率分析基本局限于器件层级，缺乏系统级的SEE 故障传播分析手段。传统的航空电子系统失效率分析方法，如FMECA、故障树模型、Markov 过程分析等，都是针对宏观的功能单元故障展开，无法准确分析NSEE的故障传播机理、评估系统面临的NSEE风险。因此，如何利用传统失效率分析方法，结合NSEE故障分析的特殊要求，建立系统级NSEE传播分析方法是亟待解决的问题。对航空电子设备的NSEE防护从实施层面上有IEC 62396-1国际标准[6]可以参考，但是也仅局限于器件级的NSEE 率预测、错误表现和相应防护设计，缺乏系统级的具体分析技术，难以形成闭环测试，亟需开展NSEE 导致的器件—电路—系统故障及传播分析方面的实验研究。

用于开展NSEE 实验的中子源主要有放射性同位素中子源、反应堆中子源、散裂中子源和加速器中子源等[7-9]。IEC 62396-1标准中特别推荐了利用脉冲激光触发器件内部特定敏感区域的NSEE并持续便捷地获取相关特征信息的实验方法[6]，通过建立激光实验能量-截面数据与中子实验能量-截面曲线的对应关系，可以为NSEE 故障率预测提供实验数据支持。近年来，国内外均有采用激光故障注入方式实现系统级的SEE 危害分析，并最终实现对整个系统的故障定位和机理验证的报道[10-12]。

相比常规的重离子加速器和中子地面模拟实验手段，激光技术的优势主要体现在：激光微束扫描方式与大气中子入射器件的场景相似，可克服地面宽束高能粒子辐照模拟的剂量效应对实验测试的干扰；能够定位至芯片的关注区域，便利地进行重复验证实验，精确控制辐照激光脉冲个数与频次，提供电路时序状态下SEE 动态响应的测试条件等，以实现对不同功能模块的大规模集成电路NSEE 的全面细致观测。

鉴于此，本文通过分析针对机载电子设备典型应用的器件单粒子效应激光实验、测试和分析方法，获取敏感器件的NSEE 特征，开展电路级机载电子设备NSEE防护设计的有效验证。

1 常规机载电子设备NSEE实验手段

表1所示为航天和航空领域对SEE研究的异同对比，可以看到，航天领域已针对空间重离子、高能质子的SEE开展了大量的深入理论研究和实验验证。而航空方面主要针对大气层中的中子，较多采用散裂中子源和加速器中子源进行实验研究[13]；此外，地面（高山）大气环境也可提供无误差大气中子辐射环境，但中子注量率较低，NSEE 实验的时间成本高。因此，NSEE研究应在借鉴航天抗辐射效应研究经验的同时，开展综合实验方法研究，为机载电子设备的NSEE 危害分析、防护设计和综合评价等提供必要的技术支撑。

表1 航天与航空领域的SEE研究对比Table 1 Comparison of SEE studies in aerospace field and aviation field

2 SEE激光实验技术

2.1 阈值等效评估技术

衡量器件抗SEE性能的重要指标是其LET 阈值，而脉冲激光模拟实验能够直接给出的实验结果为器件的SEE 激光能量阈值，因此需建立两者之间的对应关系。器件背部的激光能量传输过程如图1所示，通过普适的芯片内部纵向有效激光能量/等效LET值测算与控制技术，建立脉冲激光能量在器件材料中传输衰减及在有源区附近沉积能量的物理模型，可得到聚焦激光有效能量Eeff为

式中各参数含义参见表2，T1=e-αh，T2=e-α′d。

图1 器件背部的激光能量传输过程示意Fig.1 Process of laser energy transmission from the backside of the device

对于敏感节点尺寸不小于聚焦激光光斑（直径≤2μm）的SEE，如SEL 等，建立诱发器件SEE的LET 值与激光有效能量Eeff及入射能量E0的对应关系，理论与实验研究得到触发SEE 的有效激光能量Eeff与等效重离子LET（ELET）值间为线性对应关系，即

同时，上述情况下，利用激光有效能量对应得到的ELET 值与实测的重离子LET 值在85%置信度下的不确定度不超过25%。

对于敏感节点尺寸小于聚焦激光光斑的SEE，如特征尺寸≤0.18μm 的器件的SEU 等，ELET 值的计算必须考虑横向光斑的影响，需通过光斑影响因子f进行校正，即

2.2 器件敏感功能单元定位技术

器件敏感功能单元定位是故障注入测试的前提。芯片发生故障的敏感区域既可能是芯片基础功能单元发生故障（如最常见的存储位数据翻转）的敏感区，也可能是芯片应用功能发生错误（如FPGA应用程序发生错误）的敏感区。针对机载电子设备的SEE 敏感器件，特别是复杂功能的大规模集成电路，发挥激光束便捷聚焦调控的优势，通过激光在芯片内部光斑及能量控制、芯片移动-激光辐照-SEE 检测协同控制，实现器件敏感功能单元扫描测绘与定位，可为器件特定敏感功能单元进行不同模式的故障注入提供明确指导信息。

定位技术系统的关键是将激光辐照、器件扫描和SEE 检测协调起来，实现操作和数据处理的同步控制，配合背部成像部件、电控移动台、芯片坐标系设定方法和测绘软件，进行器件SEE敏感区域的测绘与定位。SEE激光扫描定位协同测试原理如图2所示。

图2 SEE 敏感功能单元扫描定位测试原理Fig.2 Principle for scanning and mapping of single event effects sensitive functional units

SEE触发检测时空同步控制系统原理如图3所示，其核心为基于标准总线接口（如PXI 或VXI 等）开发系列的SEE测试仪器、移动台控制电路和同步控制电路，通过通用化的信号调理与转接装置可与被测器件及移动台控制箱方便地连接，具有高度的通用性和扩展性。测试软件基于使用的总线协议，同样采用标准架构进行开发。完成SEE敏感单元定位后，可实时记录并标记敏感区，实现敏感区域的快速测绘。

图3 SEE 触发检测时空同步控制系统原理Fig.3 Principle of synchronization control system for single event effects trigger detection

2.3 故障注入技术

对于机载电子设备必须使用的对SEE较敏感的高性能器件，需要加强电路系统级的防护设计与验证。除了关注会导致整个电路系统电流瞬间增大、功能异常、器件烧毁失效的SEL、SEB等，更需分析SEU、单粒子多位翻转（MBU）等可能导致的系统软错误异常。设计师需要充分了解这些器件单粒子现象的特征及其对电路系统的连锁影响，开展充分、精细的故障注入测试，以便在此基础上设计和调试出合理的软硬件加固防护措施。

利用聚焦脉冲激光注入时间和空间可控的优点，可实现与系统功能相同步的动态激光注入，在较大范围调节辐照注量率，从而实现高效、准确、可控的故障注入测试。通过对激光在芯片内部光斑及能量控制、SEE 故障检测及模式控制，建立可在芯片中实施随机位置、特定位置、注入特定数目等不同模式的故障注入技术，测试电路系统的响应，可验证电路系统防护措施的有效性及可靠性。

针对闩锁故障注入，为实时记录和控制器件发生SEL 的时间与位置，同步开发专用的SEL 检测控制系统，可实现对器件电源电流实时监测记录、SEL保护、过流保护、自动重新加电等功能。针对翻转故障注入，通过对激光能量及辐照位置的控制，建立单、多位翻转故障注入模式控制方法。以常用的Xilinx 公司Virtex-2系列FPGA 芯片为例，其CLB单元、BRAM单元以及BRAM互连单元的单、多位翻转的比例随脉冲激光能量的变化情况如图4～图6所示：当脉冲激光能量低于300 pJ 时，SEE 表现为单位翻转；当激光能量增大时，CLB和BRAM 互连单元出现2位、3位乃至4位的多位翻转[14]。因此，在进行故障注入实验时，可以根据用户具体需求实现指定位置的单、多位故障触发。

图4 CLB单元单、多位翻转比例随激光能量变化Fig.4 The ratio of SEU and MBU of CLB cells against the laser energy

图5 BRAM 单元单、多位翻转比例随激光能量变化Fig.5 The ratio of SEU and MBU of BRAM cells against the laser energy

图6 BRAM 互连单元单、多位翻转比例随激光能量变化Fig.6 The ratio of SEU and MBU of BRAM connection cells against the laser energy

3 电路级NSEE激光故障注入实验案例

脉冲激光手段可以为机载电子设备提供有效单粒子故障实验测试，具有精确分辨SEE时空特性、能量连续可调、无放射性、无须抽真空、操作便捷、实验效率高、成本低等特点。某机载电源转换电路进行脉冲激光故障注入的电路原理和测试现场如图7所示。针对电源转换电路中的关键器件——微处理器（TI公司TMS320）进行激光故障注入，快速获取了器件—电路—系统的故障特征，包括故障传递的模式和阈值条件，其DSP器件内部不同敏感单元NSEE 导致系统输出跳变的幅度不同，最恶劣情况导致DC/DC电源转换电路输出由4.98 V 跳变为3.51 V，超过下降0.5 V 的安全阈值范围，导致系统停止工作。上述激光故障注入实验为机载电子设备的系统级失效分析提供了有效输入。

图7 某机载电源转换电路脉冲激光故障注入实验的电路原理和测试现场Fig.7 Circuit diagram and field test picture of pulsed laser fault injection test for airborne power conversion circuit

4 结束语

区别于航天卫星平台及载荷等电子设备的单粒子效应，大气中子诱发的航空电子设备单粒子效应更易使各种高性能、低等级应用器件产生软错误。采用脉冲激光模拟源可以实现大量机载电子设备用非宇航级器件单粒子效应敏感器件的筛选，对电子设备的关键器件进行辐照实验，检测关键器件可能发生的NSEU 等故障、电路错误和计算机系统失效类型及次数，全链条地检验上述NSEE导致的器件故障、电路错误及系统失效等危害机理和故障传播特征。同时，利用脉冲激光故障注入技术，能够方便地验证机载电子设备NSEE防护设计的有效性，指导防护设计实施、验证评价等工作，对深入开展机载电子设备抗大气中子单粒子效应研究和工程设计具有广泛的参考价值。