Analyse et vérification de l'atténuation des perturbations d'un événement unique - Semiwiki

Republié par Platon

Suiveurs: 0

L’évolution des applications spatiales continue de stimuler l’innovation au sein des entités gouvernementales et privées. Les nouvelles demandes en matière de capacités et de fonctionnalités avancées ont un impact direct sur le matériel sous-jacent, poussant les entreprises à migrer vers des géométries plus petites pour offrir les avantages requis en termes de performances, de surface et de puissance.

Simultanément, l’espace des applications évolue et les paramètres de mission de ces nouvelles applications amènent les entreprises à évaluer des approches non traditionnelles. Les processus commerciaux de haute fiabilité (c'est-à-dire ceux développés pour la conception automobile) sont envisagés pour l'aérospatiale car ils répondent à la fois aux exigences de capacité de survie de certains scénarios et permettent de réduire les délais et les coûts de développement.

Malheureusement, les avantages offerts dans les géométries inférieures ont un coût, et l'un de ces inconvénients est que le matériel sous-jacent est plus sensible aux erreurs logicielles, communément appelées perturbations d'événement unique (SEU). Les approches traditionnelles de redondance ou de triplement sur les fonctions principales (sinon toutes) de la puce deviennent rapidement prohibitives.

Heureusement, les nouveaux flux et l'automatisation fournissent aux équipes de projet un aperçu de l'atténuation des SEU et offrent la possibilité d'optimiser l'architecture d'atténuation des SEU, également appelée durcissement sélectif.

Figure 1 Tendances déterminantes — Figure 1. Tendances déterminantes en matière d’atténuation sélective des rayonnements

Tout d’abord, passons en revue les défis.

Défis de durcissement sélectif

Les commentaires de l’industrie aérospatiale suggèrent que l’approche traditionnelle de l’atténuation des SEU comporte de nombreux pièges et laisse deux questions importantes sans réponse.

Pour les éléments de conception connus pour être essentiels à la mission, quelle est l’efficacité des mesures d’atténuation mises en œuvre ?
Comment puis-je identifier le potentiel de défaillance dû à des défauts dans des éléments de conception non protégés ?

L’approche traditionnelle de l’atténuation des SEU est mieux résumée dans un flux de travail en trois étapes.

Étape 1 : Identifier les points de défaillance grâce à une analyse menée par des experts
Étape 2 : Les ingénieurs de conception insèrent les mesures d'atténuation (matérielles et/ou logicielles)
Étape 3 : Vérifier l’efficacité de l’atténuation
- Simulation exploitant les régressions fonctionnelles et les commandes de force pour injecter des SEU
- Tests fonctionnels post-silicium sous exposition à des ions lourds

Figure 2, ancien flux de travail — Figure 2 : L’approche traditionnelle de l’atténuation des SEU

Malheureusement, l’approche traditionnelle présente de nombreux inconvénients, notamment :

Aucune mesure commune (métrique) qui détermine l’efficacité de l’atténuation des SEU.
L’analyse menée par des experts n’est ni reproductible ni évolutive à mesure que la complexité augmente.
Forcer manuellement les défauts dans la simulation fonctionnelle nécessite des efforts d'ingénierie substantiels.
Une incapacité à analyser l’espace complet des états de panne à l’aide de simulations fonctionnelles et d’instructions de force.
Identification tardive des échecs lors des tests dans un environnement Beam et visibilité limitée du débogage lorsqu'elles se produisent.

Automatisation et flux de travail prenant en charge le durcissement sélectif

L'objectif primordial du durcissement sélectif est de protéger les fonctions de conception qui sont essentielles au fonctionnement de la mission et de réduire les coûts (énergie et surface) en laissant les fonctions non critiques sans protection. En résumé, la méthodologie poursuit trois objectifs :

Donnez l’assurance dès le début du cycle de conception que l’atténuation est optimale.
Fournissez des preuves empiriques démontrant que ce qui n’est pas protégé ne peut pas entraîner un comportement anormal.
Fournir une évaluation quantitative détaillant l’efficacité des mesures d’atténuation mises en œuvre.

Siemens a développé une méthodologie et un flux de travail intégré pour proposer une approche systématique permettant de mesurer l'efficacité des mesures d'atténuation existantes ainsi que de déterminer le caractère critique de la logique non protégée. Le flux de travail est divisé en quatre phases.

Flux d’atténuation de la figure 3 — Figure 3. Flux de travail d'atténuation des SEU de Siemens

Partitionnement structurel : La première étape du flux exploite les moteurs d’analyse structurelle pour évaluer les fonctions de conception en combinaison avec l’atténuation matérielle mise en œuvre protégeant la fonction. Le résultat du partitionnement structurel est un rapport indiquant l’efficacité des mesures d’atténuation matérielles existantes ainsi qu’un aperçu des lacunes existantes.

Analyse d'injection de défauts : Les atténuations qui n’ont pas pu être vérifiées structurellement sont candidates à l’injection de fautes. Au cours de cette phase, les SEU sont injectés, propagés et leur impact évalué. Le résultat de l'analyse par injection de fautes est un rapport de classification des fautes répertoriant les fautes qui ont été détectées par une atténuation matérielle ou logicielle et celles qui n'ont pas été détectées.

Analyse de propagation : Les sites SEU non protégés sont évalués structurellement sous l'effet de la charge de travail attendue afin de déterminer la criticité de chaque site et sa probabilité d'entraîner une défaillance fonctionnelle. Le résultat de l’analyse de propagation est une liste de défauts actuellement non protégés qui ont été identifiés comme ayant un impact sur le comportement fonctionnel.

Calcul des métriques : Les données issues de l’analyse structurelle, d’injection et de propagation alimentent le moteur de calcul des métriques et le cockpit de visualisation. Le cockpit fournit des informations visuelles sur le taux de défaillance, l'efficacité de l'atténuation et les éventuelles lacunes existantes.

Chaque programme de développement de semi-conducteurs possède des caractéristiques uniques. La méthodologie décrite ci-dessus est flexible et hautement configurable, permettant aux équipes de projet de s'ajuster selon les besoins.

Conclusion

L'atténuation des perturbations liées à un événement unique continue de représenter un défi, même pour les équipes de projet les plus expérimentées, et ce défi est exacerbé à mesure que la complexité de la conception augmente et que les nœuds technologiques diminuent. De nouvelles méthodologies existent pour fournir des résultats quantitatifs détaillant l’efficacité de l’atténuation des SEU.

Pour une vue plus détaillée de la méthodologie Siemens SEU et des défis qu'elle vous aidera à surmonter, veuillez vous référer au livre blanc, Atténuation sélective des rayonnements pour les circuits intégrés, accessible également sur Académie de vérification : atténuation sélective des rayonnements.

Jacob Wiltgen est le responsable des solutions de sécurité fonctionnelle pour Siemens EDA. Jacob est responsable de la définition et de l'alignement des technologies de sécurité fonctionnelle dans l'ensemble du portefeuille de solutions de vérification IC. Il est titulaire d'un baccalauréat ès sciences en génie électrique et informatique de l'Université du Colorado à Boulder. Avant Mentor, Jacob a occupé divers postes de conception, de vérification et de direction dans le cadre du développement de circuits intégrés et de SoC chez Xilinx, Micron et Broadcom.