Xilinx 低等级 FPGA 高可靠应用的升级试验方法研究

刘迎辉，朱恒静，张大宇，唐民，宁永成，段超

（中国空间技术研究院， 北京 100029）

Xilinx 低等级 FPGA 高可靠应用的升级试验方法研究

刘迎辉，朱恒静，张大宇，唐民，宁永成，段超

（中国空间技术研究院， 北京 100029）

随着微电子设计与制造水平的不断提高，部分低质量等级集成电路逐渐地具备了应用于高可靠性要求的军事和宇航领域的能力。 Xilinx FPGA 作为高性能逻辑器件的典型代表， 具有较高的设计和工艺成熟度， 在军事和宇航领域有着广阔的应用前景。 全面梳理了 Xilinx FPGA 质量等级的定义规则， 详细介绍了 Xilinx 不同质量等级 FPGA 的厂家保证情况， 提出了 Xilinx 低质量等级 FPGA 面向高可靠应用的升级试验方法。

现场可编程门阵列；低等级；高可靠性；升级试验

0 引言

随着微电子设计与制造水平的不断提高，低质量等级集成电路的可靠性得到明显的改善，部分低质量等级的集成电路逐渐地具备了应用于高可靠性要求的军事和宇航领域的能力。 SRAM 型 FPGA 是高性能逻辑器件的典型代表，具有功能集成度高、可重复编程、使用简单灵活等优点，可以有效地缩短电子产品的研制周期，提高电子产品的市场竞争力。 成立于 1985 年的 Xilinx 公司一直致力于可编程逻辑器件的产品研发与市场推广， Xilinx 公司的FPGA 产品一直以来有着良好的性能和可靠性， 尤其是其 FPGA 一直在高端 FPGA 市场占有较大的份额。 Xilinx 公司长期以来都积极推动新技术、 新工艺、 新材料在 FPGA 产品上的应用， 技术领先一直是 Xilinx FPGA 产品强大市场竞争力的源泉。 但是，新技术、新工艺、新材料的应用也造成了Xilinx FPGA 产品的质量等级无法完全按照美军标MIL-PRF-38535 设定， 厂家自定义的质量等级较多。 本文希望通过全面梳理 Xilinx FPGA 质量等级的定义规则， 详细分析 Xilinx 不同质量等级 FPGA的厂 家保 证情 况 ， 深 入 研 究 Xilinx 低 质 量 等 级FPGA 在高可靠领域的适用性。 综合美军标 V 级集成电路的质量保证要求和 Xilinx 低质量等级 FPGA的厂家保证情况， 提出 Xilinx 低质量等级 FPGA 面向美军标 MIL-PRF-38535 V 级的升级试验方法。

1 Xilinx FPGA 介绍[1]

1.1 产品描述

Xilinx FPGA 是由可配置逻辑块（CLB： Configuration Logic Block）、 存储器单元（包括存储模块， BRAM： Block SelectRAM、 先入先出存储器，FIFO 等 ）和 数 字 时 钟 管 理 模 块（ DCM： Digital Clock Manager）， 以 及特殊 功能单 元（ 乘法 器 ，Multiplier、 DSP 单元等）等功能单元构成的阵列。功能单元阵列被可编程输入输出块（IOB： Programmable I/O Block）包围 ， 通 过通 用 布线 矩 阵（ GRM： General Routing Matrix）、 局 部 布 线 开 关（Local Routing Switch）、 CLB 局部布线资源（CLB Local Routing Resource）、 输入输出接口布线资源（I/O Interface Routing Resource）和通用目的布线资源（General Purpose Routing Resource）等可 编程布线资源实现互连。 配置存储器（CM： Configuration Memory）用于存储配置 FPGA 所需的位流（Bitstream）文件， 在 CM 的控制下， FPGA 内的CLBs、 IOBs、 布线等可编程资源完成互连， 实现用户设计的特定功能。

a）CLB

CLBs是构建用户逻辑的基本功能单元， 通过它可以完成多样的逻辑功能。 每个 CLB 中都包含两个 Slice， 每个 Slice 中又包含了两个逻辑单元（LC： Logic Cell）， 每个 LC 由一个 4 输入或 6 输入的查找表（LUT： Look Up Table）、 一个进位与控制逻辑和一个存储单元组成。

b）可编程互连资源[2]

FPGA 采用岛型布线结构， 功能单元处于二维栅格上，水平和垂直的布线形成二维栅格的栅格线，不同的布线资源在设计上会存在诸如布线长度、驱动能力等差异，但对布线的可编程连接都是采用可编程多路选择器来实现的。各功能单元按照用户的设计通过可编程布线资源连在一起。

c）IOB

IOBs 提供 CLBs 与封装管脚的可配置布线资源， 通常情况下 FPGA 的 I/O 可以设置为输入、 输出、 高阻态和双向等 4 种属性。 每个 IOB 中包含 3个可配置的D触发器，在使用中可以根据需要配置成边缘触发D触发器或电平敏感锁存器。

d）特殊功能单元

FPGA 的特殊功能单元主要为乘法器和 DSP 单元，用于提高运算速度，实现快速的数字信号处理。

e）DCM

DCM 可以对输入时钟进行倍频、 分频、 相位调整等处理，可以有效地减小时钟的抖动，提高时钟的驱动能力。

f）CM

CM 本质上是静态 RAM， 专用于存储配置FPGA 所需的位流（Bitstream）文件。 FPGA 内部资源的可编程配置通过在配置存储器（CM： Configuration Memory）中写入配置数据实现。 在配置位流文件下载完成并通过循环冗余校验（CRC：Cyclic Redundancy Check）后， FPGA 激活， 所有的 IO 管脚按照设定功能开始工作。

1.2 产品系列与演变

Xilinx 公司适于高端应用的 FPGA 主要为 Virtex 系列 FPGA。 FPGA 从 1998 年出现至今， 特征工艺尺寸不断地缩小，工作电压不断地降低，逻辑集成度不断地提高，内部集成的特殊功能单元日益丰 富。 从 2002 年出现的 Virtex-II PRO FPGA 开始， FPGA 产品内部开始陆续集成 DSP、 PowerPC处理器、 PCI-E 接口单元、 百兆以太网 MAC 等功能强大的嵌入式 IP 硬核资源[3]。 Xilinx Virtex 系列FPGA 产品的发展演变如图1 所示。

2 不同等级FPGA的厂家质量保证情况

Xilinx 公司生产从商业级到宇航级的全质量等级的 FPGA 产品。 各质量等级产品的特征介绍如表1所示。

Xilinx 公司的厂家 V 级、 H 级和 R 级 FPGA 都按照 MIL-PRF-38535 V 级流程或近似 V 级流程研制，推荐可以用于宇航型号，属于厂家高质量等级的 FPGA 产品。 除厂家 V 级、 H 级和 R 级之外的B 级、 N 级、 M 级、 IQ 级、 I级和 C 级 FPGA 产品都未达到 MIL-PRF-38535 V 级的标准， 不具备用于宇航等高可靠领域的条件。 如果 Xilinx 公司的 B级、 N 级、 M 级、 IQ 级、 I级和 C 级 FPGA 产品希望用于宇航等高可靠领域，就需要选择具备一定质量控制水平的质量等级的 FPGA 产品， 按照美军标MIL-PRF-38535 V 级的要求进行有针对性的升级试验。

图1 Xilinx Virtex 系列 FPGA 产品的演变过程

表 1 FPGA 不同质量等级产品基本信息[4-6]

Xilinx 不同质量等级的 FPGA 的厂家质量控制情况如表2所示。

Xilinx 公司的厂家 V 级、 H 级、 R 级和部分具有辐射指标的 B 级 FPGA， 在芯片设计阶段都加入辐射加固或辐射容差设计，无辐射指标的B级、N级、 M 级、 IQ 级、 I级和 C 级 FPGA 产品均没有加入辐射加固或辐射容差设计，这些辐射加固或辐射容差设计无法通过升级试验弥补，只能通过抗辐射能力评估来获取器件的抗辐射能力，在器件使用中加入电源管理、冗余设计、定时刷新等系统级的单粒子加固设计方法和壳体屏蔽等结构级的总剂量加固设计方法，弥补器件在抗辐射能力上的不足。

Xilinx 公司的厂家 V 级、 H 级、 R 级、 B 级、N 级和 M 级 FPGA 产品都在美国国防部认证的QML 生产线上生产， I级和 C 级 FPGA 产品都在商业生产线上生产， IQ 级 FPGA 产品依据生产情况机动地选择生产线。V级、H级和R级FPGA 产品依据 MIL-PRF-38535 V 级流程或近似V级流程生产，B级、N级和M 级 FPGA 产品依据 MILPRF-38535 Q级流程或近似Q级流程生产。

综合考虑FPGA 各质量等级产品基本信息和厂家在生产阶段的质量控制情况，非辐射加固的 B 级、 N 级和 M 级 FPGA 产品具有与适于高可靠应用的质量等级的 FPGA 产品较为接近的质量控制水平，可以通过追加部分升级试验，剔除因为制造缺陷造成早期失效的器件，筛选出适于高可靠应用的器件。 IQ 级、 I级和 C 级器件的生产阶段质量控制、工作温度区间与适于高可靠应用的质量等级的 FPGA 产品存在较大的差异， 不适于通过升级试验而筛选出可用于高可靠应用的器件。

3 面向高可靠应用的升级试验方法研究

低质量等级集成电路的升级试验一般包括破坏性物理分析/结构分析（DPA/CA）、 筛选试验、 考核 试 验 和抗 辐 射能 力 评 估试 验 等 4 个 方 面[6-8]。Xilinx 公司针对不同等级的低质量等级FPGA 开展了不同的厂家保证试验， 在对 Xilinx 公司不同等级的低质量等级 FPGA 开展升级试验时， 需要根据具体质量等级 FPGA 的厂家保证情况， 设置专门的升级试验项目。

表 2 不同质量等级的 FPGA 的厂家质量控制情况[4-5]

3.1 升级试验项目

Xilinx 公司 B 级 FPGA 为美军标标准军级产品， 采用陶瓷封装。 按照 MIL-PRF-38535 V 级的要求，在制造环节存在的主要差别为：未进行PIND 试验和 DPA/CA 试验， 老练试验时间为 168 h（+125 ℃）； 无抗辐射指标的 B 级产品未开展抗辐射能力评估试验，不对用户提供抗辐射指标。采用Xilinx 公司 B 级 FPGA 通过升级试验获取适于高可靠应用的器件，需要追加的升级试验项目如表3所示。

表 3 Xilinx 非辐射加固的 B 级产品升级试验项目表

Xilinx 公司 N 级 FPGA 为军温塑料封装器件，恒定加速试验、 PIND 试验和精、 粗检漏试验不适用。 按照 MIL-PRF-38535 V 级的要求， 在制造环节存在的主要差别为： 未进行 100%内部目检、 温度循环试验、 声扫描试验、 DPA/CA 试验和老练试验，也未进行质量一致性检验和抗辐射能力评估。采用 Xilinx 公司 N 级 FPGA 通过升级筛选获取适于高可靠应用的器件， 除 100%的内部目检无法追加试验外，需要追加的升级试验项目如表4所示。

Xilinx 公司 M 级 FPGA 为军温陶瓷封装器件，分为密封的非密封两种封装形式，非密封器件不适用恒定加速试验、 PIND 试验和精、 粗检漏试验。按照 MIL-PRF-38535 V 级的要求， 在制造环节存在的主要差别为： 未进行 100%内部目检、 温度循环试验、恒定加速度试验、精、粗检漏试验、PIND 试验、 声扫描试验、 DPA/CA 试验和老练试验，也未进行质量一致性检验和抗辐射能力评估。采用 Xilinx 公司 M 级 FPGA 通过升级筛选获取适于高可靠应用的器件， 除 100%的内部目检无法追加试验外，需要追加的升级试验项目如表5所示。

表 4 Xilinx N 级产品升级试验项目表

表 5 Xilinx 公司 M 级产品升级试验项目

3.2 试验流程与方法

Xilinx 公司低质量等级 FPGA 追加的升级试验主要包括 DPA/CA、 筛选试验、 考核试验和抗辐射能力评估试验等4个方面。为了尽早地剔除批不合格器件， DPA/CA 和单粒子辐照评估试验可先进行；考核试验和电离总剂量辐照评估试验在筛选试验之后进行。升级试验的抽样要求如表6所示。

在进行第 2、 3、 4 项试验中， 如果出现器件失效，应对失效器件进行失效分析，明确失效的原因和失效器件所涉及的范围。

表6 升级试验抽样要求

3.2.1 DPA/CA

DPA/CA 主要分析器件的封装、 芯片和内部附属器件的结构、材料和工艺是否适合宇航等高可靠领域应用，重要的关注点如表7所示。

表 7 DPA/CA 主要关注点

3.2.2 筛选试验

筛选试验应对每个检验批 100%进行， 筛选试验项目与方法如表8所示。

3.2.3 考核试验

考核试验针对每个检验批抽样进行，样品必须是通过筛选试验合格的产品，考核试验项目与方法如表9所示。在寿命试验过程中，进行中间电测试和室温终测。

3.2.4 抗辐射能力评估试验

Xilinx 公司主要生产 SRAM 型 FPGA， 它属于单粒子敏感器件，无器件级辐射加固或辐射容差设计的低质量等级 FPGA， 应用于辐射环境中时必须依据器件抗单粒子能力开展系统级的辐射加固设计。在地面采用重离子加速器开展单粒子评估试验， 是获取 FPGA 抗单粒子指标的主要方式， 评估项目至少包括单粒子锁定、单粒子翻转、单粒子功能中断和单粒子瞬态。单粒子评估试验可以按照QJ 10005 要求的芯片版本进行， 为了尽早地剔除批不合格器件，单粒子评估试验可先进行。

表 8 筛选试验项目与方法[7]

表 9 考核试验项目[7]

随着特征工艺尺寸的不断减小， SRAM 型 FPGA对电离总剂量效应的敏感性不断地降低。但随着器件辐射累积剂量的增大， SRAM 型 FPGA 仍表现出瞬态上电电流增大、稳态工作电流增大、信号延迟增大和 I/O 驱动能力下降等典型的电离总剂量辐射效应现象。 当 FPGA 应用于辐射环境中时， 需要依据器件的抗电离总剂量能力数据，评估加入壳体屏蔽等结构级的总剂量加固设计的必要性。在地面采用钴-60（60 Co）γ 射线源开展电离总剂量评估试验， 是获取 FPGA 抗电离总剂量能力数据的主要方式。由于半导体器件电离总剂量特性的离散型， FPGA 的电离总剂量评估试验需要按照 QJ 10004 要求的检验批进行。 由于老练试验可能影响器件的电离总剂量特性，用于电离总剂量评估试验的器件必须使用老炼合格后的器件。

4 结束语

本文通过研究Xilinx 不同质量等级 FPGA 产品的制造流程和厂家质量控制情况， 分析了 Xilinx低质量等级 FPGA 通过升级试验获取适于高可靠应用器件的可能性， 提出了 Xilinx 低质量等级 FPGA面向高可靠应用的针对性升级方法，可以为开展Xilinx 低质量等级 FPGA 面向高可靠应用的升级筛选提供参考。升级试验能够有效地降低低质量等级FPGA 在高可靠环境中应用时的可靠性风险， 但不能保证通过升级试验的低质量等级 FPGA 达到高质量等级 FPGA 的可靠性水平。 用户在应用通过升级试验的低质量等级 FPGA 时， 仍需要对其可靠性风险进行重点的评估。

[1]Xilinx Inc.Virtex series datasheets and application notes[Z]. 2013.

[2]KUON I， TESSIER R， ROSE J.FPGA architecture： Survey and challenges[J].Foundations andTrends in Electronic Design Automation， 2007， 2（2）： 135-253.

[3]Xilinx Inc.Xilinx aerospace and defense solutions[Z].2003.

[4]Xilinx Inc.Xilinx defense and aerospace screening flows[Z]. 2006.

[5]Xilinx Inc.Xilinx defense and aerospacemanufacturing flows [Z].2003.

[6]MIL-PRF-38535J-2010， Performance specification integrated circuits manufacturing， general specification for [S].

[7]MIL-STD-883H-2010， Testmethod standard microcircuits [S].

[8]EEE-INST-002-2003， Instructions for EEE parts selection， screening， qualification and derating[S].

超级病毒或入侵国际空间站的生命维持计算机

国际空间站上拥有自己独立的计算机网络，控制着空间站上的生命支持系统。其实，这是一套电子生态系统，与地球上的互联网是隔离的。即便如此，工程师也无法保证空间站的计算机不会被恶意软件或者病毒感染， 安全性无法得到 100%的保障。卡巴斯基实验室创始人认为网络犯罪、间谍活动等基于计算机平台的攻击事件受到越来越多的关注，是现代网络安全的高发性事件，比如最近出现的攻击中东石油公司和攻击巴西核反应堆的计算机病毒。

美国和以色列的程序员也试图通过恶意代码攻击伊朗的核反应堆，这些病毒似乎已经出现了扩散， 这就是 Stuxnet病毒， 也被称为 “震网” 蠕虫病毒。 Stuxnet病毒可以通过微软视窗操作系统的漏洞进入用户的计算机，其级别不是一般黑客能制作出来的，因此该病毒的身世就变得十分扑朔迷离。 受 Stuxnet病毒感染的 USB 驱动器可威胁计算机安全，还会对特定的工业控制系统进行攻击，外界认为 Stuxnet病毒主要是针对伊朗的浓缩铀设施，但是该病毒却蔓延到了互联网上，包括俄罗斯核反应堆在内的数个机构也受到该病毒的干扰。

由于 Stuxnet病毒的感染能力较强， 有分析称国际空间站可能也受到病毒的感染，尽管国际空间站远离陆地，但是其仍然是一个容易受到攻击的对象，事实上，位于轨道上的其他平台计算机也曾受到不同程度的病毒干扰，有研究人员称蠕虫病毒通过一个受感染的闪存驱动器进入空间站内。

对此， 2013 年 5 月， 国际空间站上的宇航员宣布计算机系统已经由 Windows XP 操作系统转移到更安全的 GNU/Linux 操作系统。 如果国际空间站被恶意病毒干扰，那么情况就会非常严重，控制空间站生命维持系统受到影响后可能导致空间站出现混乱。 美国宇航局卡伦·尼伯格认为， 根据空间站机器人工作站的信息， 目前还没有发现 Stuxnet病毒捆绑计算机软件。

（摘自腾讯科技）

Upgrade Test for Low Level Xilinx FPGA for High Reliability App lication

LIU Ying-hui， ZHU Heng-jing， ZHANG Da-yu， TANGMin， NING Yong-cheng， DUAN Chao
（China Academy of Space Technology， Beijing 100029， China）

As the advance ofmicroelectronics design and manufacturing， some low quality level ICs are capable of applying in the fields ofmilitary and space with high reliability requirements.As the typical high-performance logic device， Xilinx FPGA has a broad application prospect in the fields of military and space due to its highly matured design and process technique.The define rules of quality levels for Xilinx FPGAs are described.Themanufacturer’s assurance for different quality level of Xilinx FPGA is discussed in detail.The upgrade test of low level Xilinx FPGA for high reliability application is proposed.

FPGA； low level； high reliability； upgrade test

V 443； TN 43

:A

:1672-5468（2014）01-0011-07

10.3969/j.issn.1672-5468.2014.01.003

2013-08-08

刘迎辉（1982-）， 男， 河南洛阳人， 中国空间技术研究院宇航物资保障事业部工程师， 从事集成电路的质量保证工作。