Halbleitertechnologie von A bis Z

Ein Chip, der in einem Smartphone einwandfrei funktioniert, kann in einem Motorsteuergerät oder einem Satelliten binnen Wochen ausfallen. Der Grund liegt nicht in schlechterer Fertigungsqualität, sondern in fundamental anderen Betriebsbedingungen und Ausfallkonsequenzen: Ein abgestürztes Smartphone lässt sich neu starten, ein ausgefallenes Bremssteuergerät oder ein Satellit in 36.000 km Höhe nicht.

Die Industrie hat daher gestufte Qualifikationsstandards etabliert, die jeweils strengere Anforderungen an Temperaturbereich, zulässige Ausfallrate, Dokumentationspflicht und Rückverfolgbarkeit stellen:

• Consumer: Kein einheitlicher Standard, meist 0 bis 70 °C, Ausfallraten im Bereich einiger hundert FIT (siehe Absatz 6), begrenzte Losdokumentation.
• Automotive (AEC-Q100): Vier Temperatur-Grades (0 bis 3, siehe Absatz 2), verpflichtender Stresstest-Katalog, vollständige Losrückverfolgbarkeit (PPAP), Ausfallraten im niedrigen einstelligen FIT-Bereich gefordert.
• Militär (MIL-STD-883): Definiert Prüfmethoden für Bauteilklassen, oft hermetische statt Kunststoffgehäuse, 100-%-Screening statt Stichprobenprüfung.
• Weltraum (z. B. ESA ESCC, NASA-Standards): Zusätzlich zu den militärischen Anforderungen kommt Strahlungshärte hinzu (Absatz 3 und 4) sowie eine oft jahrzehntelange Missionsdauer ohne jede Möglichkeit zur Reparatur.

Jede Stufe erweitert die vorherige um zusätzliche Anforderungen – ein weltraumtaugliches Bauteil muss also nicht nur die extreme Umgebung überstehen, sondern zusätzlich alle Automotive- und Militär-Anforderungen mit erfüllen oder übertreffen.

Der Temperaturbereich ist die sichtbarste, aber bei Weitem nicht die einzige Anforderung, die sich zwischen den Grade-Systemen unterscheidet.

Automotive-Bauteile werden nach dem Einbauort im Fahrzeug gestaffelt: Je näher am heißen Aggregat (Motor, Getriebe, Abgasstrang), desto höher der geforderte Grade. Diese Temperaturspannen wirken sich unmittelbar auf die Bauelementeauslegung aus – bei 150 °C verschieben sich Schwellspannung und Leckströme eines MOSFETs deutlich gegenüber Raumtemperatur, was bereits im Schaltungsdesign kompensiert werden muss.

Im Weltraum kommt eine zusätzliche Belastungsform hinzu, die kein irdisches Grade-System kennt: Da ein Satellit im erdnahen Orbit alle rund 90 Minuten zwischen Sonnenlicht und Erdschatten wechselt, durchläuft die Elektronik mehrere zehntausend Temperaturzyklen über die Missionsdauer – ohne die dämpfende Wirkung einer Erdatmosphäre und ohne Konvektionskühlung im Vakuum. Wärme kann dort ausschließlich per Strahlung und Wärmeleitung abgeführt werden, was das thermische Design des gesamten Gehäuses und der Leiterplatte mitbestimmt.

Außerhalb der schützenden Erdatmosphäre und des Erdmagnetfelds ist Elektronik einer Strahlungsumgebung ausgesetzt, die auf der Erdoberfläche praktisch keine Rolle spielt: galaktische kosmische Strahlung, solare Partikelereignisse und – für erdnahe Umlaufbahnen besonders relevant – die Van-Allen-Gürtel, in denen das Erdmagnetfeld geladene Teilchen einfängt und konzentriert.

Für die Bauelementezuverlässigkeit unterscheidet man zwei grundlegend verschiedene Schadensmechanismen:

• Total Ionizing Dose (TID): Kumulativer Schaden durch die über die gesamte Missionsdauer aufsummierte Strahlungsdosis. Ionisierende Strahlung erzeugt Elektron-Loch-Paare im Gateoxid; die Löcher werden dort eingefangen und verschieben die Schwellspannung des Transistors dauerhaft – ein Alterungsmechanismus, der demselben physikalischen Grundprinzip folgt wie die im Zuverlässigkeitskapitel behandelte Bias-Temperature-Instability, nur mit Strahlung statt elektrischem Feld als Ursache. Angegeben wird TID meist in Gray oder rad; typische Anforderungen für Erdorbit-Missionen liegen im Bereich einiger zehn bis einiger hundert krad.
• Single Event Effects (SEE): Schäden durch ein einzelnes energiereiches Teilchen, das direkt durch den Chip fliegt und entlang seiner Spur Ladungsträger erzeugt. Man unterscheidet:
  • Single Event Upset (SEU): Ein einzelnes Teilchen kippt den Zustand einer Speicherzelle (Bitflip) – nicht destruktiv, aber ein Datenfehler, der korrigiert werden muss.
  • Single Event Latch-up (SEL): Das Teilchen löst denselben parasitären Thyristormechanismus aus, der bereits im SOI-Kapitel als Latch-up-Risiko bei Bulk-CMOS beschrieben wurde – hier jedoch strahlungsinduziert statt durch elektrisches Übersprechen. Ohne rechtzeitige Stromabschaltung kann der dabei fließende Strom das Bauteil thermisch zerstören.
  • Single Event Burnout / Gate Rupture (SEB/SEGR): Bei Leistungshalbleitern (Power-MOSFETs) kann ein einzelnes Teilchen einen lokalen Durchbruch auslösen, der das Bauteil sofort und dauerhaft zerstört.

Der wesentliche konzeptionelle Unterschied: TID ist ein Verschleißmechanismus, der sich durch ausreichende Abschirmung und Materialauswahl verlangsamen lässt. SEE sind dagegen statistische Ereignisse – auch ein perfekt abgeschirmtes Bauteil kann von einem einzelnen, ausreichend energiereichen Teilchen getroffen werden. Hier hilft nur eine robuste Schaltungsarchitektur, die einen solchen Treffer toleriert oder erkennt (siehe nächster Absatz).

Da sich einzelne Teilchentreffer nicht zuverlässig verhindern lassen, verlagert sich die Strahlungshärtung auf die Schaltungs- und Prozessebene: Das Bauelement soll einen Treffer entweder gar nicht erst in einen Fehler umsetzen oder den Fehler automatisch erkennen und korrigieren.

• SOI/SOS als Substratwahl: Wie im Kapitel zu Bulk vs. SOI beschrieben, entfällt bei SOI der durchgehende Halbleiterpfad zum Substrat – damit ist die parasitäre Thyristorstruktur, die Latch-up ermöglicht, strukturell ausgeschlossen. Aus demselben Grund ist SOI (bzw. das verwandte Silicon-on-Sapphire, SOS) die bevorzugte Substratwahl für strahlungsharte Digitalschaltungen: Ein Teilchentreffer kann keinen niederohmigen Pfad durch das Substrat mehr öffnen.
• Verstärkte Guard-Ring-Strukturen: Bei Bulk-CMOS-Designs, die aus Kostengründen dennoch eingesetzt werden, umschließen zusätzliche, breitere Guard-Ringe die empfindlichen Wannenübergänge und leiten durch einen Teilchentreffer erzeugte Ladung ab, bevor sie den parasitären Thyristor zünden kann.
• Triple Modular Redundancy (TMR): Kritische Logik- oder Speicherzellen werden dreifach ausgeführt, ein Mehrheitsentscheider (Voter) vergleicht die drei Ergebnisse. Kippt ein SEU eine der drei Kopien, überstimmen die anderen beiden den Fehler – das System bleibt funktional korrekt, ohne dass der Fehler überhaupt sichtbar wird. Der Preis ist der mehr als dreifache Flächenbedarf gegenüber einer einfachen Implementierung.
• Vergrößerte Gate-Oxid-Margen: Um die durch TID verursachte Schwellspannungsverschiebung über die gesamte Missionsdauer zu tolerieren, werden Schaltungen mit deutlich größerem Spannungsspielraum (Design-Margin) ausgelegt, als es für terrestrische Anwendungen nötig wäre.

Diese Maßnahmen haben ihren Preis: Ein strahlungsgehärtetes Bauteil ist typischerweise mehrere Fertigungsgenerationen hinter dem kommerziellen Stand der Technik zurück, deutlich größer und um ein Vielfaches teurer als sein kommerzielles Äquivalent – Zuverlässigkeit und Redundanz werden hier bewusst gegen Integrationsdichte und Kosten eingetauscht.

Neben der Bauteilarchitektur selbst unterscheidet sich auch der Weg, auf dem ein Bauteil als qualifiziert gilt, grundlegend vom Consumer-Bereich.

Der AEC-Q100-Stresstest-Katalog für Automotive-Halbleiter umfasst unter anderem Temperaturwechseltests (mehrere hundert bis tausend Zyklen zwischen Tiefst- und Höchsttemperatur), Feuchte-Wärme-Tests, mechanische Schock- und Vibrationstests sowie beschleunigte Lebensdauertests. Erst wenn ein Bauteil den vollständigen Katalog besteht, gilt es als AEC-Q100-qualifiziert für den jeweiligen Grade.

Im Militär- und Weltraumbereich treten hermetische Metall- oder Keramikgehäuse an die Stelle der im Consumer- und meist auch im Automotive-Bereich üblichen Kunststoffgehäuse. Kunststoff lässt über die Missionsdauer Feuchtigkeit eindringen, was bei den langen Einsatzzeiten und ohne Wartungsmöglichkeit im Feld oder im Orbit ein inakzeptables Risiko darstellt.

Ein weiterer zentraler Unterschied betrifft das Burn-in-Verfahren aus dem vorangegangenen Kapitel: Während im Consumer-Bereich meist nur eine statistische Stichprobe eines Loses dem Burn-in-Test unterzogen wird, verlangen Militär- und Weltraumstandards ein 100-%-Screening – jedes einzelne ausgelieferte Bauteil durchläuft den vollständigen Burn-in, um frühausfallende Exemplare (Bereich der Badewannenkurve mit hoher Ausfallrate) vor dem Einbau auszusortieren.

Im Automotive-Bereich kommt zusätzlich die vollständige Rückverfolgbarkeit über den Production Part Approval Process (PPAP) hinzu: Für jedes Bauteil muss lückenlos dokumentiert sein, aus welchem Wafer, welchem Los und welcher Fertigungscharge es stammt – im Fehlerfall lässt sich so die betroffene Bauteilmenge exakt eingrenzen, statt eine gesamte Modellreihe zurückrufen zu müssen.

Um die Zuverlässigkeit verschiedener Bauteile und Anwendungen vergleichbar zu machen, hat sich die FIT-Rate (Failures In Time) als Standardkennzahl etabliert: Sie gibt die Anzahl erwarteter Ausfälle pro einer Milliarde (10⁹) Bauteilbetriebsstunden an. Ein Wert von 10 FIT bedeutet beispielsweise, dass bei einer Million gleichzeitig betriebener Bauteile im Schnitt 10 Ausfälle pro 1000 Stunden zu erwarten sind. Automotive- und Weltraumanwendungen fordern typischerweise FIT-Raten im niedrigen einstelligen Bereich – eine Größenordnung, die nur durch die Kombination aus robustem Design, Screening und Derating erreichbar ist.

Derating bezeichnet die bewusste Praxis, Bauteile weit innerhalb ihrer spezifizierten Grenzwerte zu betreiben, statt sie bis an ihr Limit auszureizen: Ein für 150 °C spezifizierter Chip wird im Automotive-Design beispielsweise nur bis 130 °C eingeplant, ein für eine bestimmte Spannung spezifizierter Kondensator nur mit einem Bruchteil seiner Nennspannung betrieben. Da praktisch alle Alterungsmechanismen – Elektromigration, TDDB, NBTI – exponentiell von Temperatur und elektrischem Feld abhängen, senkt schon ein moderater Sicherheitsabstand die tatsächliche Ausfallrate um Größenordnungen gegenüber dem Betrieb an der spezifizierten Grenze.

Zusammengenommen ergibt sich damit ein Bild, das sich deutlich von der Consumer-Elektronik unterscheidet: Nicht die höchste erreichbare Integrationsdichte oder der niedrigste Bauteilpreis stehen im Vordergrund, sondern die vorhersagbare, über Jahre bis Jahrzehnte garantierte Funktion unter Bedingungen, die weit außerhalb dessen liegen, wofür kommerzielle Halbleiterprozesse ursprünglich entwickelt wurden.