Semicondutores para data centers espaciais 1: Como a radiação destrói chips — TID, SEE e design rad-hard

Resumo em 30 segundos. A radiação destrói um chip orbital de duas maneiras completamente distintas. A dose ionizante total (TID) é um veneno lento: a carga aprisionada se acumula nos óxidos do transistor durante meses e anos, desloca as tensões limiares e eleva as fugas até o chip sair da especificação. Os efeitos de evento único (SEE) são um golpe instantâneo: um único íon pesado ou próton deposita carga suficiente em picossegundos para inverter um bit, travar um processador, travar um trilho de alimentação ou queimar um dispositivo, sem aviso. Em 23 de outubro de 2026, todo projeto confiável de data center orbital (ODC) se constrói sobre a mesma pilha: escolher a órbita, orçar a dose em rad(Si), endurecer o silício com design resistente à radiação (RHBD), corrigir o que mesmo assim atravessa com ECC e redundância, e qualificar todo o conjunto com testes. Este é o episódio 1 da série de semicondutores ODC, construído sobre o Relatório técnico de data centers orbitais.

Se uma GPU terrestre for colocada em um satélite sem mudar mais nada, o risco da missão não é o lançamento nem o orçamento de enlace: são os transistores. A Terra protege seus data centers com uma atmosfera e uma magnetosfera. A órbita remove as duas. O que resta é um fluxo contínuo de prótons e elétrons aprisionados, explosões de partículas solares e raios cósmicos galácticos tão pesados que atravessam a parede da nave e o encapsulamento do chip como se não existissem.

Este episódio apresenta primeiro a física, porque todos os episódios seguintes da série dependem dela: estratégia de sobrevivência COTS, design térmico, potência, enlaces ópticos, memória, IA a bordo, economia, atores e oportunidade regional. Quem entende TID e SEE entende por que o silício espacial tem a forma que tem.

Contexto: três fontes de radiação, um mau bairro

A radiação espacial vem de três fontes e cada uma ataca a eletrônica de forma distinta (literatura de efeitos de radiação da NASA e da ESA, consultada em 23 de outubro de 2026).

• Radiação aprisionada (cinturões de Van Allen). O campo magnético terrestre aprisiona prótons e elétrons em dois cinturões. É a fonte de dose dominante e previsível para sistemas em órbita terrestre, e é pior onde o cinturão interno mais se aproxima do planeta: a Anomalia do Atlântico Sul (SAA), uma região sobre o Brasil e o Atlântico Sul onde o campo magnético, deslocado e inclinado, deixa prótons aprisionados descerem até altitudes de órbita baixa (LEO). A maior parte da dose total que um satélite LEO acumula chega durante as passagens pela SAA, que se repetem na maioria das órbitas. Dosímetros voados em uma missão comercial tripulada recente em LEO atribuíram cerca de 44 por cento da dose total absorvida pela tripulação apenas às travessias da SAA (publicado em 2026).
• Eventos de partículas solares. Erupções e ejeções de massa coronal aceleram prótons a altas energias em rajadas que duram horas ou dias. São episódicos, difíceis de evitar com planejamento, e elevam ao mesmo tempo a taxa de dose e a taxa de erros bem quando o operador menos pode agir.
• Raios cósmicos galácticos (GCR). Núcleos vindos de fora do sistema solar, até o ferro e além, com energias tão altas que a blindagem prática mal os freia. O fluxo é baixo, mas um único íon pesado tem a maior transferência linear de energia (LET), a energia depositada por unidade de comprimento de trajetória, medida em MeV·cm²/mg, e a LET é o que torna destrutivos os efeitos de evento único.

Altitude e inclinação decidem qual fonte domina. Uma órbita equatorial de 500 a 600 km é comparativamente benigna. Uma órbita polar ou heliosíncrona cruza os chifres de alta latitude dos cinturões e a SAA com muito mais frequência. Uma LEO alta, perto de 1.400 km, fica dentro do cinturão de prótons e pode ser mais dura que a órbita geoestacionária (GEO) em dose total. Não existe uma dose espacial única: só existe uma dose de missão, calculada órbita a órbita.

Tabela: referências de design de ordem de grandeza compiladas da literatura de efeitos de radiação da NASA e da ESA e de material universitário, consultadas em 23 de outubro de 2026. A dose real da missão depende da blindagem, da órbita e do ciclo solar, e é sempre verificada com análise e testes.

TID: o veneno lento dentro do óxido

A dose ionizante total é a energia acumulada que a radiação ionizante deposita em um material, medida em rad(Si), a dose absorvida em silício. Um rad(Si) são 100 erg por grama. O número em si é pequeno; o problema é o acúmulo.

O mecanismo avança em quatro passos. Primeiro, uma partícula que passa cria pares elétron-buraco no dióxido de silício que isola a porta de cada transistor MOS e separa os dispositivos vizinhos. Segundo, os elétrons são móveis e saem rápido, mas os buracos se movem devagar e uma fração fica aprisionada no óxido, sobretudo perto da interface com o silício. Terceiro, essa carga positiva aprisionada muda o próprio transistor: a tensão limiar se desloca, a fuga em desligado cresce por caminhos parasitas no isolamento de trincheira rasa, a mobilidade dos portadores cai e o ruído de baixa frequência (1/f) aumenta. Quarto, o circuito deriva: as margens de temporização encolhem, a corrente em repouso sobe, os deslocamentos analógicos vagam, até que um dia a peça sai da especificação e a missão degrada ou termina.

Três propriedades tornam a TID traiçoeira para um operador de data centers. Ela é acumulativa: não há reinício para a carga do óxido. Ela é desigual: dois chips na mesma placa podem envelhecer em ritmos distintos conforme a blindagem local e as condições de polarização durante a exposição. E ela é silenciosa: nada avisa quando uma tensão limiar se moveu 50 mV; a falha se anuncia depois, como uma violação de temporização no dia mais quente da missão. Um data center terrestre substitui servidores quebrados em horas. Um orbital vê a mesma falha lenta chegar conforme o previsto, com anos de antecedência, sem nenhuma visita técnica possível.

Contexto para os números: muitas peças comerciais sem endurecimento falham funcionalmente entre cerca de 3 e 10 krad(Si), e cerca de 5 krad(Si) são um ponto de falha orientativo comum. Peças tolerantes à radiação para LEO são tipicamente especificadas entre 20 e 50 krad(Si). Peças totalmente endurecidas miram entre 100 krad(Si) e 1 Mrad(Si). A distância entre a tolerância natural de uma GPU comercial e a dose de uma missão GEO é de cerca de duas ordens de grandeza: essa distância é toda a indústria do endurecimento.

SEE: uma partícula, um nanossegundo, um chip morto

Um efeito de evento único não precisa de acúmulo. Um íon pesado que cruza uma junção com polarização reversa deixa um denso rastro de ionização; o circuito coleta essa carga por deriva, afunilamento e difusão. Se a carga coletada superar a carga crítica do nó (Qcrit), a carga mínima que muda seu estado, o nó inverte. A coleta leva picossegundos; a inversão se decide em nanossegundos. A blindagem não resolve: ela filtra a extremidade de baixa energia do espectro, enquanto os íons de alta energia que causam os piores SEE atravessam quase sem serem afetados. A mitigação precisa ocorrer no dispositivo, no circuito e no sistema.

Tabela: a família SEE, ordenada de rotineira a fatal. A meta de design ODC não é zero eventos: é zero eventos sem correção e sem recuperação.

📩 Acompanhando este tema?

Receba a análise de acompanhamento — resultados, relatórios e oferta de HBM — todos os dias às 10:30 KST. Assinar grátis →

Para uma carga de computação, a aritmética é implacável. Um acelerador moderno carrega gigabits de SRAM e estado de configuração. Mesmo uma seção de choque de inversão por bit minúscula, multiplicada por bilhões de bits e anos de exposição, produz uma chuva constante de inversões. Sem correção, elas corrompem pesos de modelos, gradientes e pontos de controle em silêncio: o pior tipo de falha de um data center, porque a saída parece plausível. É por isso que a arquitetura de memória, tratada no episódio 6, e a estratégia de limpeza importam tanto quanto o nó de processo.

O paradoxo do escalonamento: transistores menores, dois efeitos opostos

Nós avançados cortam nos dois sentidos. Óxidos menores e mais finos aprisionam menos carga TID por dispositivo, e processos modernos costumam ser intrinsecamente melhores em dose total que as gerações de óxido espesso anteriores. O volume sensível de cada nó também é menor, então um único íon coleta menos carga em um transistor.

Mas a carga crítica cai mais rápido. Em nós avançados, a Qcrit de um nó de armazenamento é da ordem de um femtocoulomb ou menos, porque a capacitância do nó e a tensão de alimentação encolheram com o escalonamento. Um impacto que um flip-flop de 180 nm teria ignorado pode inverter um registrador da era FinFET. O compartilhamento de carga soma um segundo problema: uma única trilha de íon pode perturbar várias células adjacentes ao mesmo tempo, e transforma um erro de um bit em um erro multibit que derrota um ECC simples, a menos que os bits de uma palavra sejam fisicamente entrelaçados na matriz. Canais GAA e substratos SOI reduzem de novo o volume de coleta: útil, não suficiente. O resumo honesto em outubro de 2026: o escalonamento melhorou a TID, complicou os SEE e moveu a luta do processo para a arquitetura.

Endurecimento por design: a pilha de cinco camadas

O endurecimento por processo (RHBP) usa wafers especiais, epitaxia ou substratos SOI. O endurecimento por design (RHBD) alcança tolerância em um processo padrão com técnicas de layout e de circuito, e o RHBD é o que torna o silício espacial moderno economicamente possível, porque usa capacidade comercial de fundição em vez de uma linha exclusiva. Na prática, os dois se combinam em uma pilha de cinco camadas.

1. Camada de processo. SOI confina cada transistor em uma cuba dielétrica, corta o volume de coleta de carga e elimina o caminho clássico de travamento. Óxidos finos e isolamento cuidadoso reduzem os caminhos de fuga por TID.
2. Camada de layout. Transistores de layout fechado (ELT) envolvem a porta ao redor do dreno e eliminam a borda de óxido por onde flui a fuga TID. Anéis de guarda cercam dispositivos sensíveis, absorvem portadores perdidos e quebram o tiristor parasita antes que o SEL se sustente. Maior espaçamento entre nós críticos limita o compartilhamento de carga.
3. Camada de circuito. Células de armazenamento endurecidas, por exemplo flip-flops com duplo intertravamento no estilo DICE, toleram por construção um impacto em um nó. O desacoplamento resistivo freia transientes para que os transistores restauradores vençam a corrida. A redundância modular tripla (TMR) triplica a lógica e vota: cara em área e potência, reservada a caminhos de controle onde uma única saída errada é inaceitável.
4. Camada de memória. ECC (SECDED e códigos mais fortes de classe chipkill) corrige inversões, o entrelaçamento de bits espalha um impacto físico por muitas palavras lógicas para que cada palavra veja só um erro corrigível de um bit, e a limpeza em segundo plano lê, corrige e reescreve a memória de forma periódica para que os erros nunca se acumulem até formar um par incorrigível.
5. Camada de sistema. Cães de guarda, monitores de corrente que detectam o travamento e reiniciam o bloco afetado em milissegundos, pontos de controle e software de detecção, isolamento e recuperação de falhas (FDIR) assumem que eventos vão ocorrer e os tornam entediantes na operação.

Cada camada cobra aluguel em área, potência, desempenho ou nos três. Um design totalmente endurecido pode custar várias vezes a área de silício do seu gêmeo comercial e ficar gerações atrás em desempenho bruto: a razão pela qual o episódio 2 examina como sistemas da classe Starlink voam, em vez disso, silício majoritariamente comercial atrás das camadas 4 e 5, aceitando inversões e projetando a recuperação.

Qualificação: dose, LET e a disciplina da margem

Endurecido é uma especificação testada, não um adjetivo. A qualificação TID irradia peças polarizadas, classicamente com fontes gama de cobalto 60, até a dose da missão multiplicada por uma margem de design radiativo, comumente um fator de 2, e depois mede os parâmetros de novo. A qualificação SEE expõe as peças a feixes de íons pesados em uma faixa de valores LET e mede a curva de seção de choque de erro contra LET, a partir da qual as taxas de inversão em órbita são previstas com modelos de ambiente. Uma peça especificada como imune a SEL até 62 MeV·cm²/mg faz uma afirmação precisa e testável: nenhum travamento foi observado até aquela LET. Peças tolerantes para LEO costumam declarar limiares SEL na faixa aproximada de 37 a 62 MeV·cm²/mg e TID de 20 a 50 krad(Si); qualquer coisa mais vaga que números como esses em uma folha de dados deve ser tratada como marketing, não engenharia.

O dano por deslocamento completa o quadro: prótons e nêutrons expulsam átomos de silício da rede e encurtam a vida dos portadores. A lógica CMOS tolera comparativamente bem; dispositivos bipolares, sensores de imagem e optoeletrônica degradam primeiro, uma razão pela qual os enlaces ópticos entre satélites (episódio 5) precisam de seu próprio orçamento de radiação.

Chase's Take

De uma cadeira de VLSI, o problema de radiação ODC é um problema PPA (desempenho, potência, área) com fantasia de física. Cada decisão de endurecimento é uma troca que um engenheiro pode precificar: a TMR triplica um bloco para salvar uma missão; o ECC custa bits e largura de banda para comprar correção silenciosa; o SOI custa um prêmio de wafer para apagar uma classe de falha. As arquiteturas ODC vencedoras não serão as com mais endurecimento, e sim as que gastam o endurecimento exatamente onde um erro é irrecuperável (dispositivos de potência, estado de partida, lógica de controle) e compram o resto de volta com estatística (ECC, limpeza, redundância entre satélites). Uma constelação é, ela mesma, um código de correção de erros: perder um nó é um erro corrigível se o sistema foi projetado para perceber. Esse reenquadramento, RHBD no nível do chip mais tolerância a falhas no nível da constelação, é onde as contas do MBA e a física do dispositivo se encontram, e decide se o modelo de equilíbrio de 10 MW do episódio 8 sobrevive ao contato com a realidade.

Implicações

• Para operadores ODC: a escolha da órbita é uma decisão de silício. Algumas centenas de quilômetros de altitude podem multiplicar a dose da missão e apagar a vantagem de custo da computação COTS.
• Para fornecedores de chips: os números de folha de dados que importam são TID em krad(Si), limiar LET de SEL e seção de choque de SEU, publicados, testados e com margem. Fornecedores de aceleradores de IA que os publicarem primeiro vão dominar a conversa de qualificação.
• Para roteiros de memória: o armazenamento baseado em carga (DRAM, SRAM, flash) é inerentemente propenso a inversões; memórias magnéticas e resistivas mudam a equação SEE, e é por isso que o episódio 6 trata a memória como o gargalo ODC.
• Para testes e EDA: o fechamento com consciência de radiação, previsão de taxas de inversão, análise de compartilhamento de carga e modelos de deriva TID, passa a fazer parte do fluxo padrão, não uma surpresa depois da fabricação.

FAQ

Qual é a diferença entre TID e SEE?

A TID é dano acumulativo da dose total absorvida ao longo do tempo: a carga aprisionada no óxido desloca os parâmetros do transistor até o chip sair da especificação. Um SEE é dano ou interrupção de uma única partícula em um único instante: um bit invertido, um travamento, um engate ou um dispositivo queimado. A TID se gerencia com orçamentos de dose e margem; os SEE, com design endurecido, ECC e recuperação.

Quanta radiação um chip em órbita baixa enfrenta?

Em ordem de grandeza, um chip LEO atrás de blindagem típica acumula cerca de 3 a 5 krad(Si) em 3 a 5 anos perto de 800 km, subindo para cerca de 30 a 50 krad(Si) perto de 1.400 km, com a maior parte da dose chegando durante as passagens pela Anomalia do Atlântico Sul. Missões GEO são projetadas para a classe de cerca de 100 krad(Si) em 10 a 15 anos. Valores exatos exigem análise específica da órbita.

A blindagem pode impedir que a radiação destrua chips?

Só em parte. A blindagem é eficaz contra elétrons e prótons de menor energia, então reduz muito a dose total: passar de 5 mm para 10 mm de alumínio pode cortar uma dose GEO de cerca de 100 krad para cerca de 10 krad em 18 anos. Mas íons pesados de alta energia atravessam a blindagem prática quase sem serem afetados, então os efeitos de evento único precisam ser mitigados no silício e no sistema, não só com massa.

O que significa endurecimento por design (RHBD)?

RHBD significa alcançar tolerância à radiação em um processo comercial padrão com técnicas de design (transistores de layout fechado, anéis de guarda, flip-flops endurecidos, TMR, ECC, entrelaçamento e limpeza) em vez de um processo de fabricação endurecido especializado. É o que permite que programas espaciais usem nós modernos de fundição, ao custo de área, potência e esforço de engenharia.

Nota: os números de dose e LET deste episódio são referências de design de ordem de grandeza compiladas de literatura pública de efeitos de radiação da NASA e da ESA consultada em 23 de outubro de 2026; decisões de hardware de voo exigem análise específica da missão e dados de teste no nível da peça.

Série: Este é o episódio 1 de Semicondutores para data centers espaciais. Comece pelo centro, o Relatório técnico de data centers orbitais, e continue com o episódio 2, o contra-ataque COTS: como sistemas da classe Starlink mantêm chips comerciais vivos em órbita. Relatórios relacionados: leo-01 (chips da Starlink) e leo-02 (GPUs terrestres no espaço), ligados a partir do centro.

📩 Perdeu a análise de hoje? Receba a de amanhã no seu e-mail

Daily Silicon às 10:30 KST e os principais pontos de resultados e relatórios, primeiro. Ao assinar, você escolhe a newsletter em coreano, inglês ou japonês; as análises em português saem todos os dias no site.

Assinar grátis →

Grátis · Sem spam · Cancele quando quiser