„Odporny na promieniowanie” nie jest pełną właściwością elementu. Ten sam układ może dobrze znosić dawkę skumulowaną, a zarazem ulegać pojedynczym błędom pamięci; może przeżyć błąd logiczny, lecz być podatny na destrukcyjne uszkodzenie tranzystora mocy. Ocena wymaga więc łańcucha prowadzącego od środowiska przez fizykę części do skutku dla usługi systemowej.
Główna teza artykułu brzmi: odporność radiacyjna jest weryfikowalnym argumentem systemowym, nie etykietą zakupową. Argument łączy profil misji, pole przy konkretnym elemencie, mechanizmy uszkodzeń, podatność architektury, skuteczność ochrony i ryzyko resztkowe dla zidentyfikowanej konfiguracji.
Standardy i podręczniki kosmiczne dostarczają najbardziej dojrzałej publicznej metody Radiation Hardness Assurance (RHA). Nie oznacza to, że środowisko satelity można przenieść na każdy pocisk. Krótki lot atmosferyczny, długie magazynowanie, lot wysokoatmosferyczny i impulsowe środowisko wymuszone są odmiennymi przypadkami, które potrzebują własnego profilu. Artykuł pokazuje metodę, nie parametry odporności współczesnego uzbrojenia.
Bezpieczeństwo: źródła promieniowania i akceleratory obsługuje wyłącznie uprawnione laboratorium zgodnie z programem ochrony radiologicznej. Nieznanego modułu uzbrojenia nie wolno otwierać, zasilać ani wystawiać na promieniowanie: może zawierać inicjatory, baterie, kondensatory i toksyczne materiały. Należy zabezpieczyć miejsce i powiadomić właściwe służby.
Poniższe symbole rozdzielają środowisko, odpowiedź części i skutek systemowy. To ważne, ponieważ ta sama litera „strumień” bywa potocznie używana dla wielkości różniczkowej, całkowej i fluencji:
| Symbol lub skrót | Znaczenie | Typowa jednostka lub charakter |
|---|---|---|
| $\phi(E,t)$ | różniczkowy strumień cząstek względem energii | cząstki·m$^{-2}$·s$^{-1}$·J$^{-1}$, często w jednostkach praktycznych |
| $\phi_{\mathrm{tot}}(t)=\int\phi(E,t)\,dE$ | strumień scałkowany po rozpatrywanym paśmie energii | cząstki·m$^{-2}$·s$^{-1}$ |
| $\Phi(E)=\int\phi(E,t)\,dt$ | różniczkowa fluencja | cząstki·m$^{-2}$·J$^{-1}$ |
| $D$, TID | dawka pochłonięta i całkowita dawka jonizująca | Gy; materiał odniesienia musi być wskazany |
| NIEL, DDD | niejonizująca strata energii i dawka uszkodzeń przemieszczeniowych | iloczyn NIEL i fluencji ma wymiar energii na masę |
| LET | liniowy transfer energii znormalizowany gęstością materiału | zwykle MeV·cm$^2$/mg |
| $\sigma(E)$ | przekrój czynny zdarzenia przy danej energii | powierzchnia na układ, bit lub inny jawny zasób |
| $\lambda$ | częstość zdarzeń po złożeniu przekroju ze strumieniem | s$^{-1}$, h$^{-1}$ albo inna odwrotność czasu |
| $AVF$ | współczynnik podatności architektonicznej | bezwymiarowy, zależny od konfiguracji i obciążenia |
| $\tau$, $U$ | czas odzyskania i udział czasu niedostępności | czas; wielkość bezwymiarowa |
| $Q_{\mathrm{collected}},Q_{\mathrm{critical}}$ | ładunek zebrany i graniczny dla utrzymania stanu | C |
Skróty skutków także opisują różne poziomy: TID — skumulowane skutki jonizacji, TNID/DDD — skumulowane uszkodzenia przemieszczeniowe, SEE — skutki pojedynczych zdarzeń, a w ich obrębie SEU oznacza zmianę stanu, MBU zmianę wielu bitów, SET impuls przejściowy, SEFI przerwanie funkcji i SEL zatrzaśnięcie pasożytniczej struktury. RHA jest procesem zapewnienia odporności radiacyjnej, nie typem części.
Od misji do lokalnego pola przy części
Opis środowiska zaczyna się od rodzaju cząstek lub fotonów, ich energii, kierunku i zmienności w czasie. Różniczkowy strumień $\phi(E,t)$ odnosi liczbę cząstek także do przedziału energii; po scałkowaniu po energii otrzymuje się strumień całkowity w rozpatrywanym paśmie. Różniczkowa fluencja jest całką strumienia po czasie:
$$\Phi(E)=\int_0^{T}\phi(E,t)\,dt.$$
Dawka pochłonięta opisuje energię zdeponowaną na jednostkę masy,
$$D=\frac{dE_{dep}}{dm},$$
ale jedna wartość dawki nie opisuje wszystkich skutków. Dwie mieszaniny cząstek mogą dać podobną dawkę jonizującą, a inną liczbę uszkodzeń sieci krystalicznej lub zdarzeń pojedynczych.
Środowisko zewnętrzne nie jest jeszcze środowiskiem elementu. Obudowa, płytka, sąsiednie części i orientacja osłabiają jedne składowe, a dla innych wytwarzają cząstki wtórne. Transport przez materię ma więc postać modelu geometryczno-materiałowego z niepewnością. „Grubość osłony” bez widma, kierunku i położenia układu nie wystarcza do określenia lokalnego narażenia.
ECSS-E-ST-10-12C porządkuje obliczenia środowiska, transportu, skutków i marginesów dla systemów kosmicznych.1 W zastosowaniu innym niż kosmiczne zachowuje się strukturę rozumowania, lecz profil i autorytet wymagań muszą pochodzić z właściwego programu.
Trzy główne klasy skutków
Wspólne słowo „promieniowanie” ukrywa mechanizmy o różnych skalach czasu i innych metodach badania.
| Klasa | Mechanizm dominujący | Typowy skutek | Charakter czasu |
|---|---|---|---|
| TID — całkowita dawka jonizująca | gromadzenie ładunku i stanów pułapkowych | dryf prądów, progów, wzmocnienia lub czasu | skumulowany, zależny od dawki i wygrzewania |
| TNID/DDD — uszkodzenia niejonizujące | przemieszczenia atomów i defekty sieci | spadek czułości optoelektroniki, wzrost szumów | skumulowany, zależny od widma cząstek |
| SEE — skutki pojedynczego zdarzenia | lokalna depozycja i zebranie ładunku | błąd bitu, impuls, przerwanie funkcji lub uszkodzenie | zdarzenie dyskretne, odwracalne albo destrukcyjne |
Ładowanie powierzchniowe i wewnętrzne oraz wyładowanie elektrostatyczne mogą współistnieć z tymi efektami, lecz są odrębnym mechanizmem interakcji plazma–pojazd. Podobnie zaburzenie elektromagnetyczne, awaria termiczna lub spadek zasilania może dać symptom podobny do SEE. NASA-HDBK-4002B świadomie traktuje ładowanie jako osobną dziedzinę.2
Ocena musi zatem zacząć się od mechanizmu. Wynik próby TID nie jest dowodem odporności na SEE, a brak błędów pamięci nie mówi nic o degradacji sensora wskutek uszkodzeń sieci.
Mapa nie jest rankingiem technologii. Jej sens polega na zachowaniu właściwego toru: skumulowany dryft wymaga śledzenia parametru w funkcji dawki i historii, degradacja sieci — odpowiedniej miary NIEL oraz parametru sensora, a SEE — statystyki zdarzeń i propagacji do usługi. Dopiero na końcu tory mogą spotkać się we wspólnym ryzyku systemowym.
TID: skumulowany dryf, nie licznik „zaliczonej dawki”
Jonizacja w dielektrykach tworzy pary elektron–dziura. Część ładunku rekombinuje, część jest transportowana, a część pozostaje w pułapkach w tlenku lub na granicach. Zmienia to lokalne pola i parametry tranzystorów. Odpowiedź zależy od technologii, polaryzacji podczas ekspozycji, temperatury, szybkości dawkowania i późniejszego wygrzewania.
Dlatego krzywa parametr–dawka nie musi być liniowa ani monotoniczna. Układ może chwilowo częściowo odzyskać parametr po przerwie, a następnie znów dryfować. Próba wykonana bez reprezentatywnego polaryzowania może pobudzać inne pole elektryczne niż rzeczywiste zastosowanie.
Wymaganie systemowe nie powinno kończyć się na „część przeżywa dawkę”. Trzeba przełożyć dryf na budżet funkcji. Dla toru analogowego można zapisać
$$y(D,T)=G(D,T)x+b(D,T)+n(D,T),$$
gdzie dawka i temperatura zmieniają wzmocnienie $G$, offset $b$ oraz szum $n$. Nawet gdy układ pozostaje elektrycznie czynny, błąd $y$ może wyjść poza budżet pomiaru.
Margines powinien obejmować rozrzut egzemplarzy, błąd dozymetrii, niepewność transportu i profil życia. Średni wynik małej próby nie chroni przed najsłabszym egzemplarzem populacji.
TNID i DDD: uszkodzenie sieci krystalicznej
Cząstka może przekazać atomowi energię wystarczającą do wybicia go z położenia w sieci. Powstające defekty zmieniają czas życia nośników, prąd ciemny, sprawność zbierania ładunku lub parametry złącza. Szczególnie istotne bywają sensory półprzewodnikowe, transoptory i inne elementy optoelektroniczne.
Ponieważ różne energie oraz gatunki cząstek mają inną skuteczność tworzenia defektów, stosuje się miary równoważne oparte na niejonizującej stracie energii (NIEL). Dawkę uszkodzeń przemieszczeniowych można schematycznie zapisać jako
$$DDD=\int \Phi(E)\,NIEL(E)\,dE.$$
To nadal model redukujący. Jego zakres ważności trzeba potwierdzić dla danej technologii i mierzonego parametru. Dwa sensory o tym samym numerze katalogowym, ale innym procesie lub partii, mogą nie tworzyć jednej populacji statystycznej.
Skutek systemowy często narasta stopniowo: spada czułość, rośnie szum, zmienia się próg detekcji. Weryfikacja powinna więc śledzić parametr funkcjonalny w reprezentatywnym torze, a nie tylko prąd zasilania elementu.
SEE: od zebranego ładunku do zdarzenia logicznego
Pojedyncza cząstka pozostawia w materiale tor jonizacji. Wytworzone nośniki są zbierane przez pole elektryczne i dyfuzję. Jeżeli ładunek zebrany w węźle wrażliwym przekroczy lokalną zdolność układu do zachowania stanu, pojawia się impuls albo zmiana logiczna.
Warunek można opisać symbolicznie jako
$$Q_{collected}>Q_{critical},$$
lecz obie strony zależą od technologii, napięcia, temperatury, stanu logicznego i czasu. „Krytyczny ładunek” nie jest uniwersalnym progiem rodziny części, a objętość wrażliwa nie musi pokrywać się z całym fizycznym tranzystorem.
Klasyczne opracowanie fizyki SEU pokazuje, że po wytworzeniu par elektron–dziura ładunek dociera do elektrod przez dryf i dyfuzję, a nieliniowe odkształcenie pola może utworzyć „lejek pola” (field funneling) przyspieszający zbieranie.11 Z tego powodu powyższa nierówność jest warunkiem funkcjonalnym, nie kompletnym modelem transportu ładunku. Wymaga danych lub symulacji właściwych geometrii, polaryzacji i skali czasu badanego węzła.
SEU zmienia stan bitu lub przerzutnika. MBU obejmuje kilka bitów od jednego zdarzenia. SET jest przejściowym impulsem w torze analogowym lub logicznym. SEFI przerywa funkcję urządzenia i może wymagać resetu albo ponownej konfiguracji. SEL tworzy pasożytniczą ścieżkę dużego prądu. W tranzystorach mocy występują także destrukcyjne mechanizmy wypalenia struktury (burnout) lub uszkodzenie bramki.
Nazwy opisują skutek na poziomie elementu, nie końcową konsekwencję. SEU w buforze niewykorzystywanym w danej fazie może pozostać bez znaczenia, a pojedynczy błąd w stanie sterującym wspólnym dla kilku kanałów może wyłączyć usługę. Biuletyn NASA NESC podkreśla właśnie wielowymiarowość podatności SEE i zależność od misji, środowiska, zastosowania i czasu życia.3
Przekrój czynny nie jest częstością awarii
Przekrój czynny $\sigma$ jest probabilistyczną miarą odpowiedzi elementu na fluencję. Dla jednorodnej ekspozycji najprostszy estymator ma postać
$$\hat\sigma=\frac{N}{\Phi},$$
gdzie $N$ jest liczbą sklasyfikowanych zdarzeń. Nie jest to powierzchnia geometryczna ani gotowa częstość awarii systemu.
Przewidywaną częstość zdarzeń otrzymuje się przez złożenie odpowiedzi z widmem lokalnego strumienia:
$$\lambda=\int \sigma(E)\,\phi(E)\,dE.$$
Jeżeli odpowiedź zależy od LET, kąta lub gatunku cząstki, całka musi używać odpowiedniego opisu. Następnie współczynnik podatności architektonicznej $AVF$ określa, jaka część zdarzeń fizycznych może dotrzeć do funkcji:
$$\lambda_{funkcji}\approx AVF\,\lambda_{elementu}.$$
To przybliżenie jest użyteczne tylko wtedy, gdy $AVF$ wynika z rzeczywistych stanów, obciążenia i pokrycia mechanizmów ochronnych. Losowe wstrzykiwanie błędów bez wag może odkrywać słabe miejsca, ale nie daje automatycznie ilościowej częstości.
Co naprawdę znaczy brak zdarzeń w próbie
Zero zaobserwowanych zdarzeń nie dowodzi zerowej podatności. Przy modelu Poissona górna granica średniej liczby zdarzeń dla jednostronnego poziomu ufności $1-\alpha$ wynosi
$$\mu_{up}=-\ln\alpha.$$
Dla 95% ufności jest to około 3,0. Jeżeli test dostarczył fluencję $\Phi_{test}$ i miał pełne pokrycie detekcji, otrzymujemy
$$\sigma_{up}\approx\frac{3}{\Phi_{test}}.$$
Załóżmy neutralny przykład: podczas fluencji $2\cdot10^7$ jednostek nie wykryto zdarzenia. Górna granica przekroju przy 95% ufności wynosi około $1{,}5\cdot10^{-7}$ w odpowiadających jednostkach powierzchni. Wynik nie brzmi „część jest niewrażliwa”, lecz „test ograniczył przekrój do tej granicy, pod warunkiem poprawnej detekcji i reprezentatywnego stanu”.
Jeżeli tester nie obserwował części zasobów albo miał czas martwy, efektywna fluencja jest mniejsza. Niepewność wiązki, położenia próbki i klasyfikacji zdarzeń również musi przejść do wyniku.
Mała liczba niezerowa także nie uzasadnia traktowania $\hat\sigma=N/\Phi$ jak wartości dokładnej. Dla $N>0$ dwustronny dokładny przedział Poissona o poziomie $1-\alpha$ można zapisać przez kwantyle rozkładu chi-kwadrat:
$$\mu_{\mathrm{lo}}=\frac{1}{2}\chi^2_{2N,\alpha/2}, \qquad \mu_{\mathrm{hi}}=\frac{1}{2}\chi^2_{2(N+1),1-\alpha/2}, \qquad \sigma_{\mathrm{lo,hi}}=\frac{\mu_{\mathrm{lo,hi}}}{\Phi_{\mathrm{eff}}}.$$
Załóżmy trzy sklasyfikowane zdarzenia, surową fluencję $5\cdot10^7$ jednostek i pokrycie detekcji $0{,}8$. Jeżeli prawdopodobieństwo wykrycia jest stałe i znane, a tło pomijalne, można przyjąć $\Phi_{\mathrm{eff}}=4\cdot10^7$. Estymator wynosi $7{,}5\cdot10^{-8}$, lecz dokładny 95-procentowy przedział dla średniej liczby zdarzeń, około $[0{,}62;\,8{,}77]$, daje przedział przekroju w przybliżeniu
$$\sigma\in[1{,}5\cdot10^{-8};\,2{,}2\cdot10^{-7}].$$
Szerokość nie jest wadą rachunku, lecz informacją o małej próbie. Gdy zdarzenia mają różne energie, kąty albo stany układu, prosty iloraz dodatkowo miesza różne odpowiedzi; wtedy potrzebny jest model warstwowy lub dopasowanie krzywej przekroju, a nie tylko większa liczba cyfr w wyniku.
Od częstości zdarzeń do niedostępności usługi
Zdarzenie odwracalne nie musi powodować utraty misji, ale czas detekcji i odzyskania tworzy okres niedostępności. Dla rzadkich zdarzeń o częstości $\lambda$ i średnim czasie odzyskania $\tau$ przybliżenie wynosi
$$U\approx\lambda\tau,\qquad \lambda\tau\ll1.$$
Jeżeli mechanizm zdarza się średnio raz na $10^5$ jednostek czasu, a odzyskanie trwa 10 tych jednostek, niedostępność rzędu $10^{-4}$ może być mała albo niedopuszczalna — zależnie od funkcji i fazy. Sam niski przekrój nie rozstrzyga decyzji.
Model powinien uwzględnić również zdarzenia nakładające się, nieskuteczny reset, utratę danych i wspólne zależności. Reset jednego urządzenia może odłączyć zasilanie kilku odbiorników, a ponowne dołączenie z nieaktualnym stanem może wygenerować poprawne elektrycznie, lecz błędne wyjście.
Analiza NASA dotycząca wpływu SEE na niezawodność złożonej awioniki pokazuje potrzebę przejścia od okresowej niedostępności urządzeń do usługi całej architektury.4
Mapa podatności technologii
Nie istnieje prosty ranking „cyfrowe bezpieczne, analogowe wrażliwe” ani „rad-hard zawsze lepsze”. Różne części tworzą odmienne ścieżki skutku.
| Rodzina | Przykładowa podatność | Skutek na wyższym poziomie |
|---|---|---|
| pamięć i logika | SEU, MBU, SEFI, dryf czasu | zła konfiguracja, błąd danych, utrata funkcji |
| tor analogowy | SET, dryf offsetu, wzmocnienia i szumu | chwilowy lub stały błąd pomiaru |
| sensory/optoelektronika | TID, DDD, prąd ciemny, spadek czułości | gorszy stosunek sygnału do szumu i detekcja |
| zegary i układy czasowe | impuls, zatrzymanie, dryf | utrata synchronizacji i kolejności danych |
| interfejsy | impuls, zawieszenie, błąd protokołu | propagacja między domenami |
| elektronika mocy | SEL, burnout, uszkodzenie bramki | utrata zasilania, przegrzanie lub awaria wspólna |
Klasa jakości zakupowej nie zastępuje charakterystyki radiacyjnej. COTS, część wojskowa i układ projektowany jako rad-hard nadal muszą być ocenione wobec konkretnego środowiska, zastosowania i czasu życia. Rekomendacje NASA NESC dla COTS ujmują to jako wspólny problem misja–środowisko–zastosowanie–czas życia (MEAL).5
Ochrona warstwowa i jej granice
Osłona materiałowa może zmniejszyć część dawki lub fluencji, lecz dodaje masę i ma malejące korzyści. Dla pewnych widm może także zmienić skład cząstek wtórnych. Nie jest więc uniwersalnym lekarstwem.
Na poziomie danych stosuje się kody korekcyjne i okresowe odświeżanie pamięci. ECC korygujący pojedynczy bit może nie poradzić sobie z wielobitowym zdarzeniem w jednym słowie. Przeplot bitów ogranicza wspólnotę fizyczną tylko wtedy, gdy rozmieszczenie rzeczywiście rozdziela je przestrzennie.
Redundancja logiczna, w tym potrójne głosowanie, maskuje pojedynczą rozbieżność, ale głosujący, zegar, reset i konfiguracja mogą pozostać przyczynami wspólnymi. Odświeżanie konfiguracji zmniejsza czas utrzymywania błędu, lecz samo wymaga poprawnego źródła danych oraz mechanizmu sterującego.
Filtracja czasowa pomaga na krótkie impulsy, kosztem opóźnienia. Watchdog odzyskuje funkcję po zawieszeniu, ale nie rozstrzyga, czy stan zapisany przed resetem jest poprawny. Ograniczenie energii zasilania może zapobiec destrukcji przy SEL, lecz monitor i przełącznik również są elementami podatnymi.
Każda bariera potrzebuje zatem twierdzenia, warunku ważności i testu. Podręcznik ECSS dotyczący ASIC i FPGA porządkuje mitigacje od procesu i układu tranzystorowego po architekturę FPGA i oprogramowanie.6
Studium 1: SRAM FPGA od bitu do usługi
FPGA z pamięcią SRAM zawiera co najmniej stan konfiguracji, rejestry użytkownika, pamięci blokowe, zegary, interfejsy i ścieżki sterujące. Błąd konfiguracji może utrzymywać się do odświeżenia, podczas gdy błąd rejestru może zniknąć po kolejnym zapisie. Nie wolno więc mnożyć jednej liczby przekroju przez liczbę wszystkich bitów bez zbadania ich roli.
Załóżmy czysto dydaktycznie, że model środowiska i dane prób dają częstość $10^{-5}$ zdarzenia na godzinę dla zasobów istotnych. Wstrzykiwanie błędów wskazuje, że 20% niezamaskowanych zdarzeń narusza obserwowaną usługę, a odzyskanie trwa średnio 2 s. Otrzymujemy
$$\lambda_s=0{,}2\cdot10^{-5} \mathrm{h}^{-1},$$
$$U\approx\lambda_s\frac{2}{3600}\approx1{,}1\cdot10^{-9}.$$
Rachunek nie jest prognozą żadnego wyrobu. Pokazuje drogę od fizycznego zdarzenia przez podatność funkcjonalną do niedostępności. Gdyby wspólna domena zegara albo głosujący nie były objęte kampanią, 20% nie byłoby wiarygodnym $AVF$.
Dowód łączy napromienianie reprezentatywnego układu, identyfikację konfiguracji, wstrzykiwanie błędów, pomiar czasu odzyskania i scenariusze błędnego resetu. Bitstream, wersja narzędzi i rozmieszczenie domen są częścią konfiguracji, ponieważ zmiana implementacji może zmienić fizyczną podatność. NASA-HDBK-4008 dostarcza publicznej ramy zapewnienia jakości programowalnych układów logicznych.7
Aktualizacja wytycznych NEPP dla prób SEE układów FPGA dodatkowo rozdziela badanie akademickie od oceny właściwej misji i pokazuje wpływ częstotliwości, wzorca danych, przechodzenia po stanach oraz obserwowalności wewnętrznych bloków na wynik.12 To bezpośrednio uzasadnia, dlaczego sam numer części i jedna krzywa przekroju nie zamykają studium.
Studium 2: analogowy tor pomiarowy
W torze analogowym TID może przesuwać źródło odniesienia i wzmocnienie, a uszkodzenia sieci zmniejszać czułość sensora. Łączny błąd dla małych zmian można zapisać jako
$$\delta y\approx x\,\delta G+\delta b+G\,\delta x_{sensor}.$$
Jeżeli wszystkie składniki zależą od wspólnej dawki i temperatury, nie są niezależne. Próba samego wzmacniacza nie zamyka budżetu, a kalibracja początkowa nie dowodzi parametru na końcu życia.
Niech wszystkie wielkości będą znormalizowane do pełnego zakresu toru, $FS$, a $G=1$ i $x=0{,}6\,FS$. Dla hipotetycznego stanu końca życia średnie zmiany wynoszą: $\overline{\delta G}=0{,}008$, $\overline{\delta b}=0{,}004\,FS$ oraz $\overline{\delta x}_{sensor}=-0{,}003\,FS$. Średni przesuw wyjścia jest więc
$$\overline{\delta y} =0{,}6(0{,}008)+0{,}004-0{,}003 =0{,}0058\,FS.$$
Średnie częściowo się znoszą, ale rozrzutów nie wolno zsumować pierwiastkiem z sumy kwadratów bez sprawdzenia korelacji. Dla standardowych niepewności wkładów $u=(0{,}0018,\;0{,}0015,\;0{,}0010)\,FS$ i umownych współczynników korelacji $\rho_{12}=0{,}7$, $\rho_{13}=0{,}4$, $\rho_{23}=0{,}3$:
$$u_y^2 =\sum_i u_i^2+2\sum_{i<j}\rho_{ij}u_i u_j, \qquad u_y\approx0{,}00355\,FS.$$
Jeżeli rozkład można wystarczająco dobrze przybliżyć normalnym, przy dwukrotnej niepewności standardowej górny koniec budżetu wynosi około $0{,}0058+2u_y=0{,}0129\,FS$. Umowny limit $0{,}012\,FS$ nie jest spełniony. Założenie niezależności dałoby około $0{,}0109\,FS$ i fałszywie korzystną decyzję. Przykład nie określa parametrów rzeczywistego toru; pokazuje, że wspólna dawka i temperatura mogą skorelować dryft kilku elementów. Korzystne znoszenie średnich także wymaga dowodu stabilności znaków w całej populacji.
Program dowodowy mierzy krzywe parametrów wielu egzemplarzy w reprezentatywnych stanach polaryzacji, zachowuje rozrzut i historię wygrzewania, a następnie przenosi je do modelu toru. Weryfikacja funkcjonalna sprawdza, czy estymowany sygnał pozostaje w budżecie także przy tolerancjach zasilania, temperatury i starzenia nieradiacyjnego.
Ochrona może obejmować kalibrację, diagnostykę, redundancję różnorodną albo ograniczenie czasu użycia, lecz każda zmienia inne ryzyko. Kalibracja nie pomoże na szybki SET, a dwa identyczne kanały z tej samej partii mogą dryfować wspólnie.
Studium 3: krytyczny kanał zasilania
Destrukcyjny SEE w kluczu mocy różni się od odwracalnego błędu pamięci: samo wykrycie po fakcie może być za późne. Analiza zaczyna się od energii dostępnej w źródle i elementach magazynujących, drogi propagacji do odbiorników oraz zdolności niezależnego monitora do odłączenia domeny.
Łańcuch funkcjonalny ma postać
$$\text{zdarzenie}\rightarrow\text{nadprąd}\rightarrow\text{detekcja} \rightarrow\text{odłączenie}\rightarrow\text{rozładowanie} \rightarrow\text{kontrolowany powrót}.$$
Każda strzałka może zawieść. Zasilanie wsteczne przez interfejs może utrzymać układ mimo otwarcia głównego klucza, a wspólny monitor może stracić zasilanie razem z chronioną domeną. Ponowny rozruch może obciążyć źródło lub wczytać uszkodzony stan.
Weryfikacja obejmuje bezpieczne wstrzyknięcie reprezentatywnego uszkodzenia, pomiar reakcji i energii, przypadek nieskutecznego odłączenia oraz wpływ na sąsiednie funkcje. Konkretne progi, czasy i topologie współczesnego uzbrojenia pozostają w dokumentacji kontrolowanej.
Trzy studia muszą przejść wspólną bramkę falsyfikacji
Różne mechanizmy wymagają innych doświadczeń, ale końcowa logika dowodu jest wspólna: trzeba wskazać twierdzenie, obserwację zdolną je obalić oraz skutek dla decyzji. Bez tej bramki dodatni wynik łatwo staje się potwierdzeniem tylko najwygodniejszego scenariusza.
| Studium | Twierdzenie wymagające dowodu | Obserwacja falsyfikująca | Co trzeba otworzyć ponownie |
|---|---|---|---|
| SRAM FPGA | odwracalne zdarzenia nie odbierają usługi ponad przyjęty udział czasu | SEFI poza pokryciem, błędny stan po restarcie albo wspólna utrata zegara, resetu lub głosowania | $AVF$, model odzyskania, pokrycie wstrzykiwania i granice domen |
| tor analogowy | błąd końca życia pozostaje w budżecie dla populacji i historii | skorelowany dryft przekracza limit, zmienia znak po wygrzewaniu albo zależy od niewłączonego stanu polaryzacji | model kowariancji, populację prób, profil dawki–temperatury i strategię kalibracji |
| kanał zasilania | destrukcyjny skutek pozostaje ograniczony do jednej domeny | zasilanie wsteczne, utrata wspólnego monitora, energia po odłączeniu albo niekontrolowany powrót | granicę domeny, bilans energii, niezależność detekcji i sekwencję odzyskania |
W pierwszym studium podstawową miarą może być niedostępność, w drugim błąd pomiaru, a w trzecim energia i zakres propagacji. Nie należy sprowadzać ich do jednej liczby „odporności”. Wspólny jest za to obowiązek zachowania konfiguracji oraz aktualizacji modelu, gdy próba ujawni skutek spoza przewidzianej klasy.
Próba radiacyjna jest eksperymentem metrologicznym
Wiązka, dozymetria, uchwyt, obudowa części, polaryzacja, temperatura, wzorce testowe i detekcja tworzą jeden układ pomiarowy. Raport powinien identyfikować gatunek cząstek, energię lub widmo, jednorodność, strumień, fluencję, położenie próbki, stan zasilania i czas martwy aparatury.
Warunki muszą pobudzać właściwy mechanizm. W TID ważne są materiał odniesienia, szybkość dawkowania, polaryzacja i wygrzewanie. Dla SEE liczą się stany aktywnych węzłów, obciążenie i pasmo detekcji. Statyczny wzorzec danych może nie odwzorować części zasobów używanych podczas rzeczywistego działania.
Zdarzenie potrzebuje definicji przed próbą. Upset, impuls, przerwanie funkcji, latchup i uszkodzenie destrukcyjne mają odrębne kryteria. Automatyczny reset może usunąć symptom przed zapisem, a błąd testera może wyglądać jak błąd urządzenia. Kontrola poza wiązką i wspólna podstawa czasu pomagają oddzielić te przypadki.
Metody MIL-STD-883 zapewniają ujednoliconą ramę badania mikroukładów, ale wykonanie pojedynczej metody nie tworzy całego argumentu RHA.8 Wynik dotyczy przebadanej populacji i konfiguracji; nie przechodzi automatycznie na inny układ scalony pod tą samą handlową nazwą.
Tutorial NASA HEART z 2023 r. ujmuje plan próby SEE jako połączenie celu, znajomości urządzenia, wyboru wiązki, pokrycia geometrycznego i czasowego, obserwowalności oraz statystyki.13 Szczególnie ważne jest rozróżnienie prób przyspieszonych od rzeczywistego użycia: duży strumień laboratoryjny może powodować nakładanie się zdarzeń, częste przerwania funkcji i maskowanie skutków, które w naturalnym środowisku występowałyby osobno.
Wstrzykiwanie błędów zamyka lukę systemową
Napromienianie części pokazuje odpowiedź fizyczną, lecz zwykle nie pokrywa całego systemu. Wstrzykiwanie błędów sprawdza propagację, detekcję i odzyskanie na poziomie oprogramowania, procesora, FPGA lub kompletnego stanowiska ze sprzętem w pętli (HIL).
Model błędu powinien wynikać z danych radiacyjnych. SEU odwzorowuje się w odpowiednich zasobach i stanach, SET potrzebuje modelu miejsca oraz czasu trwania, a SEFI — reprezentatywnej utraty funkcji i drogi odzyskania. Efektu destrukcyjnego nie należy udawać samą zmianą bitu.
Kampania eksploracyjna może losowo szukać słabości. Kampania ilościowa musi dodatkowo ważyć miejsca i chwile zgodnie z ich ekspozycją oraz użyciem. Mierzy nie tylko „system wrócił”, lecz czas detekcji, stan wyjść podczas błędu, integralność odtworzonych danych, sygnalizację i wpływ na sąsiednie funkcje.
Jeżeli wynik odzyskania jest gorszy od założenia, aktualizuje się model niezawodności i ryzyko, a nie jedynie protokół testu.
Program RHA i dowód konfiguracji
ECSS-Q-ST-60-15C Rev.1 ujmuje RHA jako proces obejmujący środowisko misji, analizę części, dane, próby, marginesy i raport zamknięcia.9 W projekcie rakietowym metoda wymaga dostosowania, ale zachowuje fundamentalną kolejność:
- zdefiniować fazy i środowiska;
- przetransportować je do lokalnego pola przy elementach;
- zidentyfikować części krytyczne oraz wszystkie właściwe mechanizmy;
- zebrać lub wytworzyć dane dla reprezentatywnej populacji;
- przełożyć efekty na funkcje i zagrożenia;
- zaprojektować bariery oraz wykazać ich pokrycie;
- zachować niepewność, margines i ryzyko resztkowe;
- utrzymywać ważność dowodu po zmianach.
Lista części musi wiązać producenta, oznaczenie, strukturę układu, partię, obudowę, źródło zakupu i przeznaczenie. Ta sama nazwa katalogowa nie zawsze oznacza ten sam proces półprzewodnikowy. Zmiana dostawcy, partii, maski, obudowy albo miejsca produkcji może wymagać ponownej oceny.
Zapewnienie jakości części EEE ogranicza ryzyko pomyłek, wad i niekontrolowanych zamienników, lecz nie zastępuje RHA. Z kolei doskonała próba radiacyjna części bez identyfikowalnego związku z egzemplarzami produkcyjnymi może badać niewłaściwą populację. NASA-STD-8739.10 pokazuje rolę doboru, zakupu, identyfikowalności i kontroli zastosowania części.10
Cykl życia: magazynowanie, zmiana i anomalia
Odporność nie kończy się po kwalifikacji. Nowa partia, aktualizacja oprogramowania, przebudowa FPGA, zmiana obudowy lub wydłużenie życia może naruszyć wcześniejsze założenia. Każda zmiana wymaga oceny wpływu, choć nie każda wymaga pełnego ponownego napromieniania.
Wieloletnie magazynowanie wpływa na temperaturę początkową, starzenie nieradiacyjne i stan zasilania podczas późniejszej misji. Dłuższy czas ekspozycji zwiększa dawkę oraz oczekiwaną liczbę zdarzeń. Dane telemetryczne o skorygowanych błędach mogą aktualizować model, ale trzeba je normalizować względem czasu aktywności i używanego stanu urządzenia.
Reset, nadprąd lub błąd bitu nie jest automatycznie zdarzeniem radiacyjnym. Alternatywami są zakłócenie elektromagnetyczne, błąd oprogramowania, zasilanie, temperatura i wada produkcyjna. Dochodzenie zachowuje logi, przebiegi prądów, stan pamięci, konfigurację i czas. Wielokrotne niekontrolowane restarty mogą usunąć dowód albo pogłębić uszkodzenie.
Synteza: argument zamiast obietnicy
Dojrzały argument odporności odpowiada na pięć pytań:
- jakie środowisko dociera do części w każdej fazie;
- jaki mechanizm może zmienić daną technologię;
- jak efekt elementu przechodzi do usługi i zagrożenia;
- która bariera go wykrywa, maskuje lub ogranicza oraz jak to sprawdzono;
- jakie niepewności, zmiany konfiguracji i ryzyko resztkowe pozostają.
Nie obiecuje braku zdarzeń. Pokazuje, że częstość i konsekwencje są rozumiane, ochrona ma zweryfikowane warunki ważności, a decyzja dotyczy konkretnego egzemplarza, oprogramowania i profilu misji.
Najczęstszy błąd poznawczy polega na skróceniu całego łańcucha do etykiety rad-hard, wartości dawki lub jednego udanego testu. Poprawna analiza biegnie w przeciwnym kierunku: od wymaganej usługi i dopuszczalnego ryzyka przez architekturę oraz część aż do widma przy strukturze wrażliwej — a następnie wraca dowodem tą samą drogą.
Źródła
Uzupełniająco: Michael Campola, NASA GSFC/NEPP, Radiation Effects & EEE Parts Selection, 2023, https://nepp.nasa.gov/docs/tasks/053-SmallSat-RHA/NEPP-CP-2023-Campola-SmallSat-LEARN-Forum-Presentation-Radiation-Effects-and-EEE-Parts-Selection-20230015379.pdf; NASA GSFC/NEPP, Compendium of Radiation Effects Test Results, https://ntrs.nasa.gov/citations/20205009313 — przykłady zależności danych od technologii, partii i warunków próby.
pominięto wymagane poziomy odporności, geometrie ekranowania, listy części, progi zabezpieczeń, wyniki podatności oraz strategie konkretnych współczesnych systemów uzbrojenia. Impulsowe środowisko wymuszone wspomniano wyłącznie jako odrębną klasę wymagań, bez obliczeń operacyjnych.