總被忽視的軟錯誤詳析

軟錯誤是指RAM或FF中非由硬錯誤引起的位翻轉(zhuǎn)，因此在斷電再重啟后會消失。以前，軟錯誤在很大程度上被忽略了，可靠性預(yù)測主要集中在硬錯誤上，但在IEC 61508-2:2010提到軟錯誤后，人們再也不能忽略軟錯誤了。這是好現(xiàn)象，因為在有很大RAM的器件中，軟錯誤率可能輕而易舉地比硬錯誤率高出三個數(shù)量級。另一方面，器件即使沒有RAM，也可能存在大量FF，因此每個器件都會有一定程度的軟錯誤。甚至模擬電路（例如使用開關(guān)電容架構(gòu)的那些電路）也可能發(fā)生軟錯誤，但考慮到問題的相對規(guī)模，這個問題在很大程度上被忽略了。

軟錯誤主要是由封裝材料中的α粒子和源于銀河系的中子引起的。在地面高度，二者的貢獻大致相同。α粒子不能深深地滲透到硅中，但它們來自芯片頂部，因此難以屏蔽，不過有文獻表明，聚酰胺可以幫助解決這個問題。另一方面，不使用幾米厚的水泥或鉛的話，很難屏蔽中子。因此，需要在CMOS器件層次、IC上的模塊層次、IC上的系統(tǒng)層次或高級系統(tǒng)層次采取措施予以解決。

如果您沒有更好的信息，可以使用IEC 61508-7:2010第7部分倡導(dǎo)的值——1000 FIT/兆位。廣泛接受的Siemens SN29500系列標準倡導(dǎo)的值是1200 FIT/兆位。實際上，1000 FIT/兆位已被廣為接受。最佳方案是測試每個IC，但這仍然不是沒有爭議，因為你會遇到與典型器件中使用的許多不同類型FF相關(guān)的問題，與加速測試和山頂測試相關(guān)的問題，以及關(guān)于AVF（架構(gòu)漏洞因子）的討論，許多軟錯誤可能永遠不會傳播出去造成系統(tǒng)故障。

在CMOS器件層次，您可以使用加固器件（三阱、SOI、額外電容），但處理軟件錯誤最常見的方法是在硅模塊層次給RAM增加奇偶校驗或ECC。奇偶校驗位檢測受保護的字節(jié)或字中是否有一位發(fā)生翻轉(zhuǎn)。但是，它無法檢測兩位翻轉(zhuǎn)的情況。如果奇偶校驗與邏輯連續(xù)位物理分隔相結(jié)合，就可以解決這個問題，因為一個粒子不再能翻轉(zhuǎn)同一個字中的兩位。另一方面，ECC通?？梢詸z測所有一位、兩位錯誤和大部分更多位錯誤。ECC優(yōu)于奇偶校驗的一大優(yōu)勢實際上是它可以從一位錯誤中恢復(fù)而無需干預(yù)。對于奇偶校驗錯誤，通常需要重啟系統(tǒng)才能清除錯誤，但這取決于最終應(yīng)用。如果ECC或奇偶校驗不可用，應(yīng)用設(shè)計人員仍能解決軟錯誤，方法是將關(guān)鍵值存儲在兩個存儲器位置，使用之前比較這兩個結(jié)果。然而，這往往會擾亂應(yīng)用代碼。其他方案包括使用雙通道系統(tǒng)進行比較。這有點類似于ISO 13849中的典型CAT 3或CAT 4架構(gòu)。雙核同步架構(gòu)具有類似的優(yōu)點。

諸如ADI的ADSP-CM417F等器件有助于實現(xiàn)上述幾種解決方案。片內(nèi)RAM具有ECC和物理分隔，RAM由多個獨立的32k模塊組成，其包含兩個核心，可提供充分的隔離。而AD7124（24位Σ-Δ ADC）之類的器件包含一個片內(nèi)狀態(tài)機，它在配置狀態(tài)結(jié)束時會存儲一個標準CRC，然后狀態(tài)機以不到500uS的間隔重新計算CRC，檢查是否有任何配置位翻轉(zhuǎn)。這兩者還說明了安全數(shù)據(jù)手冊的價值，最終用戶可以獲得額外信息以幫助進行安全分析，例如：關(guān)于RAM中邏輯連續(xù)位的物理分隔的信息；RAM不是作為一個大模塊實現(xiàn)的，而是作為幾個較小模塊實現(xiàn)的......

近來最著名的軟錯誤案例來自汽車，人們質(zhì)疑一位翻轉(zhuǎn)便可能導(dǎo)致意外加速。其他案例包括投票機錯誤和變電站關(guān)閉。