Разработка саморемонтных модулей ADC для критически важных приложений

Введение в саморемонтные модули ADC

Аналоговые-цифровые преобразователи (ADC) являются сенсорными передними концами практически каждой электронной системы, которая взаимодействует с физическим миром. В критически важных приложениях - авионика, управление ядерным реактором, имплантируемые медицинские устройства и автономный синтез датчиков транспортного средства - надежность ADC непосредственно определяет живучесть системы. Одна необнаруженная ошибка преобразования может каскадировать в потерю жизни или многомиллионный ущерб оборудованию.

Традиционные отказоустойчивые конструкции полагаются на избыточность оборудования грубой силы (дюплексные или триплексные системы) или периодическое автономное обслуживание. Однако эти подходы не могут справиться с неисправностями, которые возникают во время работы, и не адаптируются к постепенному ухудшению производительности. Модули саморемонта ADC закрывают этот разрыв, обнаруживая, изолируя и исправляя неисправности автономно - часто в течение микросекунд - пока система остается онлайн. В этой статье рассматриваются архитектуры, технологии, компромиссы проектирования и новые тенденции, которые делают самоисцеляющиеся преобразователи практической реальностью для тяжелых сред.

Основы ошибок и режимов отказов ADC

Перед проектированием саморемонтного АЦП инженеры должны понимать типы неисправностей, которые могут возникнуть. Неисправности в АЦП в целом классифицируются как постоянные (жесткие) или переходные (мягкие). Постоянные неисправности включают короткие замыкания в компараторах, соединения с открытыми связями или защелки в коммутаторах CMOS. Переходные неисправности возникают из-за одномерных нарушений (SEU) из-за излучения, электромагнитных помех или сбоев питания. Кроме того, параметрические неисправности, такие как дрейф усиления, дрейф смещения или нелинейность, накапливаются по температуре и старению.

Механизмы саморемонта должны охватывать все три категории. Для постоянных неисправностей система обычно опирается на избыточное или реконфигурируемое оборудование. Для переходных неисправностей достаточно алгоритмической коррекции (например, большинство голосов, коды коррекции ошибок). Параметрические неисправности требуют адаптивной калибровки с использованием опорных напряжений на чипе или цифровой постобработки.

Общие архитектуры ADC и их профили уязвимости

• SAR (Регистр успешного приближения) ADC: Доминирующие в приложениях со средним разрешением, высокоскоростные. Их конденсатор-массив DAC подвержен несоответствию и сбоям заряда. Саморемонт часто включает избыточные банки конденсаторов и фоновую калибровку.
• Sigma-Delta (ΣΔ) ADC: Используются в прецизионных сенсорных и аудиоприложениях. Их аналоговые интеграторы и цифровые фильтры чувствительны к дрожи часов и шуму подачи. Саморемонт может использовать реконфигурацию фильтра с образованием ошибок или запасные этапы интегратора.
• Flash ADCs: Ультрабыстрые преобразователи с банком компараторов. Один сбой компаратора может вызвать разрыв в коде термометра. Саморемонт использует избыточность (спараторы запаса) и таблицы поиска цифрового кода-ремонта.
• Пипелиновые АЦП: Серия этапов, каждый из которых разрешает несколько битов. Неисправная стадия повреждает все последующие биты. Саморемонт включает этап за этапом BIST (встроенный самотест) и обход или перенастройку дефектных этапов.

Основные технологии для саморемонта

Саморемонт в ADCs не опирается на одну волшебную схему, а на многоуровневую комбинацию аппаратных, программных и программно-аппаратных методов. В следующих подразделах подробно описаны наиболее зрелые и перспективные подходы.

Увольнение оборудования на нескольких уровнях

Простейшая форма отказоустойчивости - избыточность, но ее реализация в системе саморемонта должна быть разумной. Вместо целых дублированных АЦП (которые имеют двойную площадь и мощность), современные конструкции используют распределенное избыточность:

• Увольнение на уровне канала: В многоканальных АЦП запасные каналы отключаются до обнаружения неисправности. Контроллер переназначает активный канал на запасной.
• Субблок избыточности: Критические подблоки (сравнительные, конденсаторы DAC, усилители) имеют один или несколько запасных. Матрица переключателя с поперечной панелью повторно соединяет запасной в сигнальный путь при изолировании неисправности.
• Избыточность на основе изотопов (N-модульная): Три идентичных канала ADC голосуют по каждому образцу. Если один канал отклоняется, используется выход большинства и неисправный канал помечается для ремонта. Это распространено в аэрокосмической промышленности (см. использование НАСА тройного модульного избыточности для ADC космического класса).

Внешний ресурс: Технический меморандум НАСА по отказоустойчивым архитектурам ADC для космических приложений (2020).

Встроенный самотест (BIST) и обнаружение ошибок

Саморемонтирующийся АЦП должен сначала знать, что он сломан. Схемы BIST вводят известные стимулы (например, точные напряжения постоянного тока или сигналы рампы) и сравнивают цифровой выход с ожидаемыми значениями. Обнаружение может быть выполнено:

• Онлайн (при нормальной работе): Вставляя тестовые сигналы в боковой канал или используя время простоя ADC. Например, модулятор ΣΔ может вводить псевдослучайный калибровочный тон, который перекрывает полосу сигнала, а затем вычитать его в цифровом виде.
• Оффлайн (при подаче питания или обслуживании): Полные тесты линейности вычисляют INL (интегральная нелинейность) и DNL (дифференциальная нелинейность). Если параметры выходят за пределы порогов, то активируется логика саморемонта.

Расширенное обнаружение использует классификаторы машинного обучения, обученные на гистограмме выходного кода, чтобы обнаружить тонкие отклонения, прежде чем они вызовут катастрофические ошибки.

Изоляция и реконфигурация ошибок

После обнаружения неисправности система должна изолировать дефектный подблок и перенастроить сигнальный путь. Изоляция достигается с помощью цифровых управляемых переключателей (трансмиссионных затворов, аналоговых мультиплексоров), которые отключают неисправный элемент. Реконфигурация может быть:

• Программное обеспечение: Использование микроконтроллера на чипе или проводной машины с конечным состоянием для перенаправления сигналов.
• Программное обеспечение на основе: В реализациях FPGA или гибридного ADC процессор софт-ядра загружает новый битовый поток конфигурации, который обходит неисправный блок.

Пример из промышленного сектора: Xilinx (теперь AMD) Zynq UltraScale + RFSoC интегрирует ADC с динамической частичной реконфигурацией. Если на срезе конвертера показан повышенный шум, система может перенастроить ткань FPGA для маршрутизации данных через здоровый срез без цикличности питания чипа.

Калибровка и восстановление производительности

Для параметрических ошибок (смещение, смещение, ошибки усиления) простое избыточность расточительно. Вместо этого саморемонтирующиеся АЦП используют фоновые калибровочные петли, которые непрерывно корректируют цифровые коэффициенты коррекции. Два популярных метода:

• На переднем плане калибровки: Применяется известное прецизионное напряжение; разница между измеренным и ожидаемым кодом обновляет таблицу коррекции. Это делается в периоды простоя или при запуске.
• Базовая калибровка:] Калибровка выполняется одновременно с нормальным преобразованием, часто путем введения небольшого возмущения, которое позже удаляется в цифровом домене. АЦП Sigma-delta с калибровкой сплит-интегратора могут исправить до 10° фазового несоответствия.

Внешний ресурс: IEEE Journal of Solid-State Circuits — 16-битный самокалибровочный SAR ADC с 0,6-LSB INL Correction (2020).

Стратегии проектирования для критически важных реализации

Создание саморемонтного АЦП, отвечающего строгим требованиям к надежности (например, DO-254 для авиации или IEC 61508 для промышленной безопасности), требует систематической методологии проектирования.

От архитектуры систем высокого уровня до кремния

Отправной точкой является режим сбоя эффектов и анализ критичности (FMECA), который идентифицирует все возможные точки сбоя ADC. Каждый критический сбой должен иметь соответствующий механизм ремонта. Архитектура системы затем выделяет ресурсы:

• Бюджет мощности и площади: Избыточные блоки могут занимать 30-50 % дополнительной кремниевой площади. Для приложений с ограниченным пространством (например, имплантируемых устройств) предпочтительно избыточность микромасштабирования (запасные транзисторы, а не запасные подблоки).
• Бюджет задержки: Обнаружение и реконфигурация неисправностей должны быть завершены в течение доли периода отбора проб, чтобы избежать пропущенных образцов. Для ADC 1-MSPS это означает <1 мкс. Это часто заставляет обнаружение выполняться в аналоговом оборудовании, а не в прошивке.
• Диагностический охват: Такие стандарты, как DO-254, требуют покрытия скрытых неисправностей >99%. Саморемонтные АЦП должны включать периодические процедуры «проверки здоровья», даже если не было обнаружено никакой неисправности.

Балансировка избыточности против ограничений SWaP

Размер, вес и мощность (SWaP) имеют решающее значение в бортовых и спутниковых системах. Инженеры должны решить, сколько запасных каналов или подблоков включать. Общий компромисс заключается в том, чтобы между тройным модульным резервированием (TMR) и двойным модульным резервированием с самотестированием. TMR обеспечивает немедленную коррекцию ошибок, но утрояет аналоговую мощность. Двойное резервирование плюс саморемонт снижает мощность на 30%, но вводит окно обнаружения, в течение которого необнаруженный дефект может повредить данные. Многие современные конструкции используют гибридный подход: TMR на критическом фронтальном (образец-и-держания) и двойное резервирование с фоновой калибровкой на ядре преобразования.

Программно-определяемые саморемонт и цифровые близнецы

Новые тенденции используют модели машинного обучения и цифровых двойников для прогнозирования возникающих неисправностей. Цифровой двойник - программная модель ADC в реальном времени - сравнивает ожидаемые и фактические выходы. Отклонения запускают вероятностный диагноз. Например, если двойник указывает, что пороговое напряжение компаратора дрейфовало на 3 мВ, контроллер корректирует предвзятый DAC для повторной концентрации порога. Этот прогнозирующий подход снижает необходимость полного резервирования оборудования и может быть обновлен в полевых условиях.

Тематическое исследование: саморемонт ADC в телеметрии CubeSat

CubeSats (маленькие, недорогие спутники) работают в суровых радиационных условиях, где SEUs в ADCs являются рутинными. Типичный модуль CubeSat ADC использует 12-битный SAR-преобразователь с четырьмя каналами. Для достижения саморемонта инженеры добавили один запасной канал и закаленный радиацией CPLD (комплексное программируемое логическое устройство) для управления неисправностями. CPLD выполняет еженедельную проверку фоновой линейности. Если INL канала превышает 0,5 LSB, запасной канал активируется и неисправный изолирован. Эта система продемонстрировала 8-кратное улучшение среднего времени между отказами (MTBF) по сравнению с неизбыточной конструкцией, согласно докладу конференции 2022 года.

Внешний ресурс: Малая спутниковая конференция 2022 — отказоустойчивая архитектура ADC для телеметрии CubeSat.

Проблемы и открытые исследовательские вопросы

Несмотря на значительный прогресс, саморемонтные АЦП пока не вездесущи.

Аналоговая сложность и проверяемость

Аналоговое избыточность сложно автоматизировать. Перенастраиваемая аналоговая маршрутизация вводит паразитные емкости и токи утечки, которые ухудшают производительность на высоких частотах. Построение комплексного BIST для аналоговых блоков (время установки, гистерезис компаратора) сложнее, чем цифровой BIST. В настоящее время нет эквивалента стандарта межевания IEEE 1149.1 (JTAG) для аналогового самотеста.

Власть над непрерывным мониторингом

Фоновая калибровка и схемы BIST потребляют энергию даже тогда, когда не существует неисправности. В критически важных системах с питанием от батареи (например, датчики бурения скважины) энергетический бюджет может не позволять осуществлять постоянный мониторинг. Исследования саморемонта по требованию, вызванного только предполагаемой аномалией, продолжаются.

Валидация и сертификация

Сертификация системы саморемонта для критически важного использования с точки зрения безопасности является сложной задачей. Регуляторы требуют, чтобы сам механизм ремонта был безотказным, но одна точка отказа в контроллере коммутатора может отключить всю логику ремонта. Разрабатываются вероятностные подходы к сертификации (например, обеспечение покрытия неисправностей с помощью кампаний по впрыску неисправностей), но еще не приняты всеми отраслями.

Будущие направления и новые технологии

Следующее поколение саморемонтирующихся ADC будет интегрировать больше интеллекта на чипе, переходя от ремонта на основе правил к автономному обучению.

Машинное обучение - основанное на прогнозировании управление ошибками

Обучая нейронные сети историческим данным о производительности ADC (включая тепловой дрейф, старение и радиационные эффекты), система может предсказать время выхода из строя каждого подблока. Это позволяет проводить активную замену или перекалибровку до возникновения кризиса. Ранние работы в лаборатории VLSI в Стэнфорде показали, что легкий 1-слойный перцептрон в 28-нм ADC может предсказать деградацию INL с 95% точностью, используя только 500 мкВт дополнительной мощности.

In-Memory и 3D-интегрированный саморемонт

3D-интеграция (вертикальное укладывание матриц ADC) предлагает новые возможности избыточности. Неисправный аналоговый слой может быть обойден микро-сквозными кремниевыми с помощью (TSV), а цифровой слой может переназначить функции на здоровый слой. Вычислительные ADC в памяти (с использованием ячеек RRAM или MRAM как для хранения, так и для преобразования) позволяют на месте исправлять сбои ячеек путем переназначения адресных пространств памяти.

Стандартизация саморемонтных интерфейсов

Отраслевые инициативы, такие как Open Compute Project и JEDEC Solid State Technology Association, изучают стандартные интерфейсы для команд саморемонта (похожие на сеть IEEE 1687 IJTAG). Стандартизированный протокол саморемонта позволит управлять ошибками в плагинах и воспроизведениях на чипах разных поставщиков.

Заключение

Модули саморемонта ADC больше не являются лабораторным любопытством. Они развертываются в космических системах, авионике и промышленных сетях управления, где каждая миллисекунда времени безотказной работы имеет значение. Объединив аппаратную избыточность, интеллектуальную калибровку и все более сложные алгоритмы обнаружения, эти преобразователи достигают уровней надежности, ранее достижимых только благодаря массивному дублированию на системном уровне. Поскольку узлы процессов сокращаются, а возможности машинного обучения встраиваются непосредственно в аналоговый передний конец, стоимость и сложность саморемонта будут продолжать падать, что делает его стандартной функцией в критически важном дизайне ADC.

Для инженеров, приступающих к такой конструкции, ключевые выводы ясны: начать с тщательного анализа неисправностей, выбрать схему резервирования, которая соответствует вашим ограничениям SWaP, и планировать строгую проверку самой логики ремонта. Путь к действительно автономному, самовосстанавливающемуся преобразователю данных является требовательным, но окупаемость в устойчивости системы неоспорима.