Pourquoi des circuits intégrés parfaitement vérifiés cessent-ils de fonctionner en quelques semaines sur le site du client ?

Pourquoi des circuits intégrés parfaitement vérifiés cessent-ils de fonctionner en quelques semaines sur le site du client ?

Le dysfonctionnement discret que personne n’a détecté

Voici un appel téléphonique que tout fabricant d’appareils électroniques redoute. Un consommateur signale que vos cartes — celles qui ont passé un examen utile  à 100 %, celles livrées avec un résultat impeccable rapport d'inspection  et une certification d’uniformité — présentent des défaillances sur le sol de production. Dès le premier jour. Au jour 40. Les défaillances surviennent de façon dispersée sur divers appareils, avec des numéros de série différents, sans code de lot habituel. Votre première réaction est d’imputer la faute à l’application du client. Votre deuxième réaction est de tenir responsable le fournisseur de circuits intégrés (IC). Tous deux investirez six semaines et 40 000 $ dans une analyse des défaillances afin de déterminer ce qui s’est réellement produit.

T le circuit intégré (IC) défaillant était électriquement sain le jour où il a quitté votre chaîne de production. Il s’est dégradé ultérieurement. Quelque part entre votre socle de test et l’appareil du client, un défaut avait déjà été introduit dans le silicium — invisible, en dessous du seuil de détection de tout examen que vous avez réalisé, et silencieusement actif.

C’est la réalité de la panne douce . Cet article traite de la manière dont elle se produit, pourquoi vos tests ne parviennent pas à la détecter, et ce qui distingue les fabricants qui expédient quelques unités par an de ceux qui n’en expédient aucune.

Panne douce : la défaillance qui n’en est pas une tant qu’elle ne l’est pas

Panne douce  désigne une dégradation partielle et progressive d’un dispositif à semi-conducteurs. Elle se situe dans une zone grise entre « entièrement fonctionnel » et « défaillant de façon catastrophique ». Une panne dure est simple à identifier : l’oxyde de grille cède, l’appareil cesse de fonctionner, et votre test la détecte immédiatement. La panne douce est différente. La couche isolante — généralement l’ oxyde de grille — développe une zone affaiblie. Un courant fuit à travers celle-ci en faible quantité. L’appareil continue de fonctionner, souvent pendant des semaines ou des mois. Ensuite, sous la contrainte cumulative du fonctionnement normal, ce point faible cède. La fuite devient un court-circuit. Le circuit intégré (IC) cesse de fonctionner. Et il cesse de fonctionner sur le site du client, jamais sur le vôtre.

La variable gênante est que la défaillance logicielle est généralement préexistante — implantée durant la production ou provoquée par un événement qui n’a causé aucun dommage immédiat. Le terme du marché présente un problème , et la cause la plus fréquente est la décharge électrostatique.

L’histoire de la DÉS : des dommages invisibles aux tests

Voici un fait troublant concernant ESD  sur Assemblage de PCB : les événements à l’origine des dommages cachés sont généralement trop petits pour être vus et trop rapides pour être détectés. Un spécialiste saisit une carte sans bracelet antistatique. Un plateau de CIs glisse sur une table de travail non protégée. Une buse de pose-saisie génère une charge triboélectrique. L’un quelconque de ces cas peut produire une décharge qui dégrade partiellement un dispositif sans le détruire.

La physique du dommage est bien comprise. Dans un MOSFET, l’oxyde d’éviction  n’a qu’une épaisseur de quelques nanomètres — environ 10 à 20 couches atomiques de dioxyde de silicium. Un événement ESD peut percer une minuscule faiblesse directement dans cet oxyde : un défaut localisé, une charge piégée ou un petit filament de matériau endommagé. L’appareil continue toutefois de commuter. Les critères de la fiche technique sont toujours respectés. Toutefois, la stabilité de l’oxyde a été compromise, et sous la tension de fonctionnement normale, celui-ci continuera à se dégrader — lentement au début, puis soudainement.

Recherche sur CDM (version outil chargé)  les décharges ont révélé des dommages cachés de l’oxyde de grille sur une proportion remarquable d’appareils ayant survécu au premier événement. Ces dommages ne sont pas détectés lors des essais fonctionnels, car les essais fonctionnels vérifient uniquement « l’appareil fonctionne-t-il ? », et non « quelle marge de sécurité lui reste-t-il encore ? »

C’est là le principal défaut de la méthode de test. Un test fonctionnel est un gardien, pas un examen approfondi. Il valide les états logiques, les résultats et les paramètres de base par rapport à un seuil de réussite/échec. Un dispositif dont l’oxyde d’entrée est dégradé à hauteur de 30 % réussit néanmoins tous ces contrôles. Il cesse de fonctionner précisément lorsque la dégradation franchit la limite — sur le site web du client, en fonctionnement continu, éventuellement dans un environnement où la température ou la tension d’alimentation est légèrement supérieure à celle de votre banc d’essai.  

Pourquoi cela glisse-t-il à chaque niveau de haute qualité

Le courbe en forme de baignoire — la courbe de fiabilité que tout ingénieur qualité expérimenté connaît — vous indique la nature du problème. Les défaillances se concentrent dans deux zones : mortalité infantile  durant les premières semaines de vie, et l’usure en fin de vie. La partie centrale de la courbe correspond à la durée de vie utile, où les taux de défaillance sont stables et faibles. Le secret mal gardé de l’industrie réside dans l’énorme effort consenti pour réduire cette zone de défaillances précoces avant l’expédition des produits — et dans le peu d’attention portée à la détection des défauts cachés qui ne se manifestent qu’une fois le produit dans l’environnement du consommateur.

Le dispositif standard permettant de détecter les défaillances précoces est brûlage — faire fonctionner des appareils à des températures et des tensions élevées pendant plusieurs heures ou jours afin d’accélérer la défaillance des composants faibles. Le test de vieillissement accéléré (burn-in) est coûteux, lent et réduit le rendement. Il est couramment utilisé dans les certifications automobile, aérospatiale et militaire. Il est presque jamais appliqué aux appareils électroniques grand public, car son coût par unité est trop élevé et le marché refuse d’en assumer le surcoût. Ainsi, les problèmes non détectés que ce test aurait pu révéler sont tout simplement expédiés.

Il existe également un chaîne d'approvisionnement  mesure qui aggrave encore la situation. Lorsque les circuits intégrés (CI) sont achetés auprès d’intermédiaires, de stocks excédentaires ou de représentants secondaires — une pratique de plus en plus courante dans l’ère post-pénurie — l’historique de gestion reste inconnu. Un lot de composants stocké incorrectement, exposé à des décharges électrostatiques ou soumis à des extrêmes de température pendant le transport comporte une population cachée de défaillances précoces. Votre examen à l’entrée  prévoit quelques dizaines d’appareils et les soumet à des tests. L’échantillonnage est statistiquement insuffisant pour détecter un taux de défauts cachés de 0,1 % : il faudrait tester des milliers d’unités pour le révéler, ce qui va à l’encontre même de l’objectif de l’échantillonnage.

Ce que coûtent réellement les défaillances sur le terrain

L’asymétrie des coûts ici est radicale, et il vaut la peine de préciser les chiffres. Un composant défectueux détecté durant votre propre phase de rodage ou votre test final vous coûte l’appareil lui-même ainsi que quelques minutes de manipulation — disons 2 $ environ. En revanche, un composant qui tombe en panne sur site client vous coûte l’opération de retour (RMA), le transport, l’analyse du défaut, le système de remplacement, la livraison accélérée et les heures d’ingénierie — et cela, sans même compter les dommages causés à la relation client. Selon les estimations sectorielles, le coût d’une défaillance sur site est de 10 à 100 fois supérieur à celui de la même défaillance détectée en interne, selon le produit et le marché.

Et puis il y a l’effet multiplicateur. Une défaillance ponctuelle sur une carte comportant 40 circuits intégrés (IC) déclenche une attitude de rappel. Le client met alors toute la série en quarantaine — pas seulement les systèmes défectueux. Votre crédibilité en prend un coup au niveau de l’ensemble de la population, et non pas uniquement des 0,2 % qui présentaient effectivement le défaut non détecté.

Ce qui fonctionne réellement

Il n’existe pas de solution miracle unique : les défaillances logicielles sont un problème à la fois lié à la chaîne d’approvisionnement, aux procédures et aux essais. Toutefois, les fabricants qui enregistrent le moins d’incidents sur le terrain appliquent régulièrement plusieurs mesures :

Maîtriser l’environnement d’assemblage comme si cela comptait vraiment. La sécurité contre les décharges électrostatiques (ESD)  n’est pas une simple affiche murale ; c’est un système complet. Bracelets de mise à la terre avec testeurs de connexion, surfaces de travail dissipatives, ioniseurs sur la ligne de montage « pick-and-place », bacs conducteurs pour le stockage, et — surtout — vérification continue du bon fonctionnement du système. La plupart des usines possèdent ces équipements. Celles dont les taux de défaillance sur le terrain sont faibles audittent systématiquement leur utilisation réelle par le personnel. Un événement ESD est imperceptible ; la seule façon de s’assurer qu’il ne se produit pas est de confirmer quotidiennement la présence et le bon état de tous les dispositifs de contrôle.

Critères d’essai, pas seulement fonctionnalité. Un essai fonctionnel  qui mesure également la présence de fuites, la présence d’alimentation au repos et les limites d’entrée/sortie, détectant ainsi des dispositifs qui « fonctionnent, mais au niveau minimal ». Un dispositif présentant une fuite accrue est un dispositif qui a subi une contrainte — or, ce sont précisément ces dispositifs que vous souhaitez identifier avant leur expédition. Le coût d’intégration de vérifications paramétriques à un programme de test existant est modeste ; les données qu’elles fournissent révèlent exactement les problèmes cachés.

Connaître l’historique de gestion de votre chaîne d’approvisionnement pour les dispositifs critiques, achetez uniquement auprès de fournisseurs agréés disposant de documents vérifiables concernant le stockage et la manipulation. Si vous devez recourir à un intermédiaire, considérez les composants comme suspects : renforcez la profondeur des évaluations à l’entrée, effectuez un bref essai de vieillissement sur un échantillon et surveillez attentivement les premiers lots de production afin de détecter toute augmentation inhabituelle des taux de défaillance précoces. Le surcoût des composants agréés est moindre que le coût d’un rappel sur un seul site.

Effectuez l’analyse des défaillances dès qu’elles se produisent.  Lorsqu’un composant défectueux est renvoyé, la réaction habituelle consiste à remplacer ce composant et à poursuivre. Résistez à cette impulsion. Décapsulez le circuit intégré, examinez la puce et, si le budget le permet, effectuez Une analyse OBIRCH ou EMMI  afin de localiser les dommages. Une fuite dans l’oxyde d’entrée présente une signature caractéristique. Un événement EOS en présente une autre, distincte. Identifier celle que vous observez vous indique si le problème provient de votre chaîne d’assemblage, de l’usine de fabrication de wafers de votre fournisseur ou de l’application de votre client. Une interprétation erronée signifie que le lot suivant sera expédié avec le même défaut.

La marge que vous ne pouvez pas évaluer

Voici l’expérience de pensée qui illustre parfaitement l’ensemble du problème : imaginez deux dispositifs similaires sur votre banc d’essai. Les deux réussissent tous les tests de votre programme. L’un d’eux a été parfaitement géré, depuis la plaquette jusqu’à votre sortie. L’autre a subi une décharge de 500 volts il y a deux semaines et présente un défaut dans l’oxyde de grille d’une taille de quelques atomes. Vos outils de test les perçoivent comme étant le même dispositif, car ils sont identiques — jusqu’à ce que l’un d’eux épuise sa marge.

Une défaillance mineure n’est pas un échec de vos tests. C’est l’aveu d’un postulat erroné : celui selon lequel les seuls tests peuvent garantir la fiabilité. Les appareils qui tombent en panne chez le consommateur ne sont pas ceux que vos essais étaient censés détecter. Ce sont ceux qui présentent une faible intensité de dommages, un certain niveau de contrainte et une durée de vie réduite. Maîtrisez les dommages, surveillez les contraintes et identifiez votre chaîne d’approvisionnement — voilà l’intégralité de la stratégie. Tout le reste revient à compter sur la chance, et la chance a tendance à vous faire défaut précisément au moment le plus critique.