В электронике и вычислительной технике мягкая ошибка — это тип ошибки , при котором сигнал или данные неверны. Ошибки могут быть вызваны дефектом, обычно понимаемым как ошибка в проектировании или строительстве, или сломанный компонент. Мягкая ошибка — это также сигнал или данные, которые неверны, но не предполагают такой ошибки или поломки. После наблюдения мягкой ошибки нет никаких признаков того, что система стала менее надежной, чем раньше. Одной из причин мягких ошибок являются единичные сбои из-за космических лучей.
В системе памяти компьютера программная ошибка изменяет инструкцию в программе или значение данных. Программные ошибки обычно можно исправить путем холодной загрузки компьютера. Программная ошибка не повредит аппаратное обеспечение системы; единственный ущерб наносится обрабатываемым данным.
Существует два типа программных ошибок: программные ошибки на уровне чипа и программные ошибки на уровне системы . Программные ошибки на уровне чипа возникают, когда частицы попадают в чип, например, когда вторичные частицы космических лучей попадают на кремниевый кристалл . Если частица с определенными свойствами попадает в ячейку памяти, она может заставить ячейку изменить состояние на другое значение. Атомная реакция в этом примере настолько мала, что не повреждает физическую структуру чипа. Программные ошибки на уровне системы возникают, когда обрабатываемые данные сталкиваются с шумовым явлением, обычно когда данные находятся на шине данных. Компьютер пытается интерпретировать шум как бит данных, что может вызвать ошибки в адресации или обработке программного кода. Неправильный бит данных может даже быть сохранен в памяти и вызвать проблемы в более позднее время.
При обнаружении мягкой ошибки ее можно исправить, перезаписав правильные данные вместо ошибочных. Высоконадежные системы используют исправление ошибок для исправления мягких ошибок на лету. Однако во многих системах может быть невозможно определить правильные данные или даже обнаружить, что ошибка вообще присутствует. Кроме того, до того, как может произойти исправление, система может выйти из строя , и в этом случае процедура восстановления должна включать перезагрузку . Мягкие ошибки подразумевают изменения данных, например электронов в цепи хранения, но не изменения самой физической цепи, атомов . Если данные перезаписаны, схема снова будет работать идеально. Мягкие ошибки могут возникать на линиях передачи, в цифровой логике, аналоговых схемах, магнитных накопителях и в других местах, но наиболее часто встречаются в полупроводниковых накопителях.
Возникнет ли в схеме мягкая ошибка, зависит от энергии входящей частицы, геометрии удара, места удара и конструкции логической схемы. Логические схемы с более высокой емкостью и более высокими логическими напряжениями с меньшей вероятностью будут испытывать ошибку. Эта комбинация емкости и напряжения описывается критическим параметром заряда Q crit , минимальным возмущением заряда электрона, необходимым для изменения логического уровня. Более высокий Q crit означает меньше мягких ошибок. К сожалению, более высокий Q crit также означает более медленный логический вентиль и более высокое рассеивание мощности. Уменьшение размера элемента чипа и напряжения питания, желательное по многим причинам, уменьшает Q crit . Таким образом, важность мягких ошибок возрастает по мере развития технологии чипов.
В логической схеме Q crit определяется как минимальное количество индуцированного заряда, требуемого в узле схемы для того, чтобы импульс напряжения распространялся от этого узла к выходу и имел достаточную длительность и величину для надежной фиксации. Поскольку логическая схема содержит много узлов, которые могут быть поражены, и каждый узел может иметь уникальную емкость и расстояние от выхода, Q crit обычно характеризуется на основе каждого узла.
Мягкие ошибки стали широко известны с появлением динамической оперативной памяти в 1970-х годах. В этих ранних устройствах керамические материалы для упаковки чипов содержали небольшое количество радиоактивных загрязняющих веществ. Для предотвращения избыточных мягких ошибок необходимы очень низкие скорости распада, и с тех пор компании, производящие чипы, время от времени сталкиваются с проблемами загрязнения. Крайне сложно поддерживать необходимую чистоту материала. Для надежной работы большинства схем требуется контролировать скорость испускания альфа-частиц для критических упаковочных материалов до уровня менее 0,001 счета в час на см 2 (cph/cm 2 ). Для сравнения, скорость счета подошвы типичного ботинка составляет от 0,1 до 10 cph/cm 2 .
Радиоактивный распад пакета обычно вызывает мягкую ошибку из-за испускания альфа-частицы . Положительно заряженная альфа-частица проходит через полупроводник и нарушает распределение электронов там. Если возмущение достаточно велико, цифровой сигнал может измениться с 0 на 1 или наоборот. В комбинационной логике этот эффект является временным, возможно, длящимся долю наносекунды, и это привело к проблеме мягких ошибок в комбинационной логике, которые в основном остаются незамеченными. В последовательной логике, такой как защелки и ОЗУ , даже это временное нарушение может сохраняться в течение неопределенного времени, чтобы быть считанным позже. Таким образом, проектировщики обычно гораздо лучше осведомлены о проблеме в схемах хранения.
В статье Black Hat 2011 года обсуждаются реальные последствия безопасности таких бит-флипов в системе доменных имен Интернета . В статье обнаружено до 3434 некорректных запросов в день из-за изменений бит-флипов для различных распространенных доменов. Многие из этих бит-флипов, вероятно, можно отнести к проблемам с оборудованием, но некоторые можно отнести к альфа-частицам. [1] Эти ошибки бит-флипов могут быть использованы злоумышленниками в форме битсквоттинга .
Айзек Азимов получил письмо, в котором его поздравляли со случайным предсказанием ошибок альфа-частиц в оперативной памяти в романе 1950-х годов. [2]
После того, как электронная промышленность определила, как контролировать загрязняющие вещества в упаковке, стало ясно, что действуют и другие причины. Джеймс Ф. Циглер возглавил программу работы в IBM , которая завершилась публикацией ряда статей (Циглер и Ланфорд, 1979), демонстрирующих, что космические лучи также могут вызывать мягкие ошибки. Действительно, в современных устройствах космические лучи могут быть преобладающей причиной. Хотя первичная частица космических лучей обычно не достигает поверхности Земли, она создает поток энергичных вторичных частиц. На поверхности Земли приблизительно 95% частиц, способных вызывать мягкие ошибки, являются энергичными нейтронами, а остальная часть состоит из протонов и пионов. [3] В 1996 году IBM подсчитала, что для настольного компьютера ожидается одна ошибка в месяц на 256 МБ оперативной памяти. [4] Этот поток энергичных нейтронов обычно называют «космическими лучами» в литературе по мягким ошибкам. Нейтроны не имеют заряда и не могут сами по себе нарушить работу схемы, но подвергаются захвату нейтрона ядром атома в чипе. Этот процесс может привести к образованию заряженных вторичных частиц, таких как альфа-частицы и ядра кислорода, которые затем могут вызывать мягкие ошибки.
Поток космических лучей зависит от высоты. Для общего опорного местоположения 40,7° с.ш., 74° з.д. на уровне моря ( Нью-Йорк , штат Нью-Йорк, США) поток составляет приблизительно 14 нейтронов/см2 / час. Захоронение системы в пещере снижает частоту мягких ошибок, вызванных космическими лучами, до пренебрежимо малого уровня. В нижних слоях атмосферы поток увеличивается примерно в 2,2 раза на каждые 1000 м (1,3 на каждые 1000 футов) увеличения высоты над уровнем моря. Компьютеры, работающие на вершинах гор, испытывают на порядок более высокую частоту мягких ошибок по сравнению с уровнем моря. Частота сбоев в самолетах может быть более чем в 300 раз выше частоты сбоев на уровне моря. Это контрастирует с мягкими ошибками, вызванными распадом корпуса, которые не меняются в зависимости от местоположения. [5] По мере увеличения плотности микросхем Intel ожидает , что ошибки, вызванные космическими лучами, будут увеличиваться и станут ограничивающим фактором в проектировании. [4]
Средний уровень ошибок космических лучей обратно пропорционален активности солнечных пятен. То есть среднее количество ошибок космических лучей уменьшается во время активной части цикла солнечных пятен и увеличивается во время спокойной части. Этот противоречащий интуиции результат возникает по двум причинам. Солнце обычно не производит частицы космических лучей с энергией выше 1 ГэВ, которые способны проникать в верхние слои атмосферы Земли и создавать ливни частиц, поэтому изменения в солнечном потоке не оказывают прямого влияния на количество ошибок. Кроме того, увеличение солнечного потока во время активного солнечного периода действительно имеет эффект изменения формы магнитного поля Земли, обеспечивая некоторую дополнительную защиту от космических лучей с более высокой энергией, что приводит к уменьшению количества частиц, создающих ливни. Эффект довольно мал в любом случае, что приводит к модуляции потока энергетического нейтрона в ±7% в Нью-Йорке. Другие места подвержены аналогичному влиянию. [ необходима цитата ]
В одном эксперименте частота мягких ошибок на уровне моря была измерена как 5950 отказов по времени (FIT = отказы на миллиард часов) на чип DRAM. Когда та же тестовая установка была перемещена в подземное хранилище, защищенное более чем 50 футами (15 м) скалы, которая эффективно устраняла все космические лучи, было зафиксировано ноль мягких ошибок. [6] В этом тесте все другие причины мягких ошибок слишком малы, чтобы их можно было измерить, по сравнению с частотой ошибок, вызванных космическими лучами.
Энергичные нейтроны, производимые космическими лучами, могут терять большую часть своей кинетической энергии и достигать теплового равновесия с окружающей средой, поскольку они рассеиваются материалами. Полученные нейтроны просто называются тепловыми нейтронами и имеют среднюю кинетическую энергию около 25 миллиэлектронвольт при 25 °C. Тепловые нейтроны также производятся источниками излучения окружающей среды, включая распад естественных радиоактивных элементов, таких как уран и торий . Поток тепловых нейтронов от источников, отличных от ливней космических лучей, может все еще быть заметным в подземном месте и вносить важный вклад в мягкие ошибки для некоторых схем.
Нейтроны, которые потеряли кинетическую энергию до тех пор, пока они не придут в тепловое равновесие с окружающей средой, являются важной причиной мягких ошибок для некоторых схем. При низких энергиях многие реакции захвата нейтронов становятся гораздо более вероятными и приводят к делению определенных материалов, создавая заряженные вторичные продукты в качестве побочных продуктов деления. Для некоторых схем захват теплового нейтрона ядром изотопа бора 10 B особенно важен. Эта ядерная реакция является эффективным производителем альфа-частицы , ядра 7 Li и гамма-излучения . Любая из заряженных частиц (альфа или 7 Li) может вызвать мягкую ошибку, если она произведена в очень близкой близости, примерно в 5 мкм , к критическому узлу схемы. Поперечное сечение захвата для 11 B на 6 порядков меньше и не способствует мягким ошибкам. [7]
Бор использовался в BPSG , изоляторе в соединительных слоях интегральных схем, особенно в самом нижнем. Включение бора снижает температуру расплава стекла, обеспечивая лучшие характеристики оплавления и планаризации. В этом применении стекло формулируется с содержанием бора от 4% до 5% по весу. Природный бор состоит на 20% из 10B , а остальное — изотопа 11B . Мягкие ошибки вызваны высоким уровнем 10B в этом критическом нижнем слое некоторых старых процессов интегральных схем. Бор-11, используемый в низких концентрациях в качестве легирующей примеси p-типа, не способствует мягким ошибкам. Производители интегральных схем отказались от борированных диэлектриков к тому времени, когда отдельные компоненты схемы уменьшились в размере до 150 нм, в основном из-за этой проблемы.
В критических конструкциях обедненный бор, состоящий почти полностью из бора-11, используется, чтобы избежать этого эффекта и, следовательно, снизить частоту мягких ошибок. Бор-11 является побочным продуктом ядерной промышленности .
Для приложений в медицинских электронных устройствах этот механизм мягкой ошибки может быть чрезвычайно важным. Нейтроны производятся во время высокоэнергетической лучевой терапии рака с использованием энергии фотонного пучка выше 10 МэВ. Эти нейтроны замедляются, поскольку они рассеиваются от оборудования и стен в процедурном кабинете, что приводит к потоку тепловых нейтронов, который примерно на 40 × 10 6 выше, чем нормальный поток нейтронов окружающей среды. Этот высокий поток тепловых нейтронов обычно приводит к очень высокому уровню мягких ошибок и последующему сбою схемы. [8] [9]
Мягкие ошибки также могут быть вызваны случайным шумом или проблемами целостности сигнала , такими как индуктивные или емкостные перекрестные помехи . Однако, в целом, эти источники представляют небольшой вклад в общую частоту мягких ошибок по сравнению с эффектами излучения.
Некоторые тесты приходят к выводу, что изоляция ячеек памяти DRAM может быть обойдена непреднамеренными побочными эффектами специально созданных доступов к соседним ячейкам. Таким образом, доступ к данным, хранящимся в DRAM, приводит к утечке зарядов ячеек памяти и их электрическому взаимодействию в результате высокой плотности ячеек в современной памяти, изменяя содержимое соседних строк памяти, которые на самом деле не были адресованы при первоначальном доступе к памяти. [10] Этот эффект известен как молоток строк , и он также использовался в некоторых эксплойтах компьютерной безопасности с повышением привилегий . [11] [12]
Разработчик может попытаться минимизировать частоту программных ошибок путем разумного проектирования устройства, выбрав правильный полупроводник, корпус и подложку, а также правильную геометрию устройства. Однако часто это ограничивается необходимостью уменьшить размер устройства и напряжение, увеличить скорость работы и уменьшить рассеиваемую мощность. Восприимчивость устройств к сбоям описывается в отрасли с использованием стандарта JEDEC JESD-89.
Один из методов, который можно использовать для снижения частоты мягких ошибок в цифровых схемах, называется радиационной устойчивостью . Он включает в себя увеличение емкости в выбранных узлах схемы для увеличения ее эффективного значения Q crit . Это уменьшает диапазон энергий частиц, при которых логическое значение узла может быть нарушено. Радиационная устойчивость часто достигается путем увеличения размера транзисторов, которые совместно используют область стока/истока в узле. Поскольку площадь и накладные расходы на радиационную устойчивость могут быть ограниченными для проектирования, эта технология часто применяется выборочно к узлам, которые, как прогнозируется, имеют наибольшую вероятность возникновения мягких ошибок при ударе. Инструменты и модели, которые могут предсказать, какие узлы наиболее уязвимы, являются предметом прошлых и текущих исследований в области мягких ошибок.
Была проведена работа по устранению мягких ошибок в ресурсах процессора и памяти с использованием как аппаратных, так и программных методов. Несколько исследовательских работ были направлены на устранение мягких ошибок путем предложения обнаружения и восстановления ошибок с помощью аппаратной избыточной многопоточности. [13] [14] [15] Эти подходы использовали специальное оборудование для репликации выполнения приложения с целью выявления ошибок в выходных данных, что увеличивало сложность и стоимость проектирования оборудования, включая высокие накладные расходы на производительность. С другой стороны, программные схемы, устойчивые к мягким ошибкам, являются гибкими и могут применяться на коммерческих готовых микропроцессорах. Во многих работах предлагается репликация инструкций на уровне компилятора и проверка результатов для обнаружения мягких ошибок. [16] [17] [18]
Разработчики могут принять тот факт, что будут происходить мягкие ошибки, и спроектировать системы с соответствующим обнаружением и исправлением ошибок для изящного восстановления. Обычно конструкция полупроводниковой памяти может использовать прямое исправление ошибок , включив избыточные данные в каждое слово для создания кода исправления ошибок . В качестве альтернативы можно использовать откатное исправление ошибок, обнаруживая мягкую ошибку с помощью кода обнаружения ошибок , такого как четность , и перезаписывая правильные данные из другого источника. Этот метод часто используется для кэш-памяти со сквозной записью .
Мягкие ошибки в логических схемах иногда обнаруживаются и исправляются с помощью методов отказоустойчивого проектирования . Они часто включают использование избыточных схем или вычислений данных и обычно достигаются за счет площади схемы, снижения производительности и/или более высокого энергопотребления. Концепция тройной модульной избыточности (TMR) может использоваться для обеспечения очень высокой надежности мягких ошибок в логических схемах. В этой технике три идентичные копии схемы вычисляются на одних и тех же данных параллельно, а выходные данные подаются в логику голосования большинства , возвращая значение, которое произошло по крайней мере в двух из трех случаев. Таким образом, отказ одной схемы из-за мягкой ошибки отбрасывается, предполагая, что две другие схемы работают правильно. Однако на практике немногие проектировщики могут позволить себе более 200% площади схемы и требуемых накладных расходов, поэтому она обычно применяется только выборочно. Другой распространенной концепцией исправления мягких ошибок в логических схемах является временная (или временная) избыточность, при которой одна схема работает с одними и теми же данными несколько раз и сравнивает последующие оценки на предмет согласованности. Однако такой подход часто влечет за собой накладные расходы на производительность, площадь (если для хранения данных используются копии защелок) и электропитание, хотя он значительно более эффективен с точки зрения площади, чем модульное резервирование.
Традиционно DRAM уделялось наибольшее внимание в стремлении уменьшить или обойти программные ошибки, поскольку DRAM составляла большую часть восприимчивой поверхности устройства в настольных и серверных компьютерных системах (см. распространенность ECC RAM в серверных компьютерах). Точные цифры восприимчивости DRAM трудно получить, и они значительно различаются в зависимости от конструкции, процесса изготовления и производителей. Технология 1980-х годов 256-килобитные DRAM могли иметь кластеры из пяти или шести бит, переворачиваемых из одной альфа-частицы . Современные DRAM имеют гораздо меньшие размеры элементов, поэтому осаждение аналогичного количества заряда может легко привести к переворачиванию гораздо большего количества бит.
Проектирование схем обнаружения и исправления ошибок облегчается тем фактом, что мягкие ошибки обычно локализуются в очень небольшой области чипа. Обычно затрагивается только одна ячейка памяти, хотя высокоэнергетические события могут вызвать сбой в работе нескольких ячеек. Традиционная схема памяти обычно размещает один бит из многих различных слов коррекции рядом на чипе. Таким образом, даже сбой в работе нескольких ячеек приводит только к нескольким отдельным сбоям в работе одного бита в работе нескольких слов коррекции, а не к сбою в работе нескольких битов в работе одного слова коррекции. Таким образом, коду исправления ошибок нужно справиться только с одним битом с ошибкой в работе каждого слова коррекции, чтобы справиться со всеми вероятными мягкими ошибками. Термин «многоячеечный» используется для сбоев, затрагивающих несколько ячеек памяти, независимо от того, в какие слова коррекции попадают эти ячейки. «Многобитный» используется, когда несколько битов в одном слове коррекции содержат ошибку.
Три естественных эффекта маскировки в комбинационной логике , которые определяют, будет ли распространяться единичное событие сбоя (SEU), чтобы стать мягкой ошибкой, — это электрическая маскировка, логическая маскировка и временная (или временная) маскировка. SEU логически маскируется , если его распространение блокируется от достижения выходной защелки, поскольку входы вентилей вне пути предотвращают логический переход выхода этого вентиля. SEU электрически маскируется, если сигнал ослабляется электрическими свойствами вентилей на пути его распространения таким образом, что результирующий импульс имеет недостаточную величину для надежной фиксации. SEU временно маскируется , если ошибочный импульс достигает выходной защелки, но он не происходит достаточно близко к тому моменту, когда защелка фактически срабатывает для удержания.
Если все три эффекта маскирования не происходят, распространяемый импульс становится защелкнутым, и выход логической схемы будет ошибочным значением. В контексте работы схемы это ошибочное выходное значение может считаться событием мягкой ошибки. Однако с точки зрения микроархитектурного уровня затронутый результат может не изменить выход текущей выполняемой программы. Например, ошибочные данные могут быть перезаписаны перед использованием, замаскированы в последующих логических операциях или просто никогда не использоваться. Если ошибочные данные не влияют на выход программы, это считается примером микроархитектурного маскирования .
Коэффициент мягких ошибок (SER) — это частота, с которой устройство или система сталкивается или, как ожидается, будет сталкиваться с мягкими ошибками. Обычно он выражается либо как количество отказов за определенное время (FIT), либо как среднее время между отказами (MTBF). Единица, принятая для количественной оценки отказов во времени, называется FIT, что эквивалентно одной ошибке на миллиард часов работы устройства. MTBF обычно указывается в годах работы устройства; для сравнения, один FIT равен примерно 1 000 000 000 / (24 × 365,25) = 114 077 раз большему времени между ошибками, чем одно годовое MTBF.
Хотя многие электронные системы имеют MTBF, превышающее ожидаемый срок службы схемы, SER все еще может быть неприемлемым для производителя или заказчика. Например, можно ожидать много отказов на миллион схем из-за мягких ошибок в полевых условиях, если система не имеет адекватной защиты от мягких ошибок. Отказ даже нескольких продуктов в полевых условиях, особенно если он катастрофический, может запятнать репутацию продукта и компании, которая его разработала. Кроме того, в критически важных для безопасности или стоимости приложениях, где стоимость отказа системы намного превышает стоимость самой системы, 1% риска отказа мягкой ошибки за срок службы может быть слишком высоким, чтобы быть приемлемым для заказчика. Поэтому выгодно проектировать для низкого SER при производстве системы в больших объемах или требующей чрезвычайно высокой надежности.
{{cite book}}: CS1 maint: отсутствует местоположение издателя ( ссылка ){{citation}}: CS1 maint: местоположение ( ссылка )