Brevet FR3083051A1 — publié le 20191227

L'invention concerne le domaine des procédés de production d'un circuit optimisé pour être protégé contre des radiations. ARRIERE PLAN DE L'INVENTION Dans l'espace, un FPGA (pour Field-Programmable Gate Array) est soumis à un environnement radiatif spatial résultant de plusieurs phénomènes parmi lesquels on trouve le rayonnement cosmique, les éruptions solaires et le vent solaire. De même, dans l'atmosphère, un FPGA est soumis à un environnement radiatif atmosphérique résultant notamment de l'interaction du rayonnement cosmique avec les atomes de l'atmosphère. Un tel FPGA est donc exposé, par exemple, à des ions 15 lourds, des neutrons, des protons et des photons résultant de radiations naturelles. Dans l'espace ou dans l'atmosphère, un FPGA peut par ailleurs être soumis à des radiations artificielles. Il est possible que ces particules ou ces photons 20 perturbent le FPGA et, notamment, produisent des Single Event gpsets (SEUs) sur les éléments mémoire du FPGA. Ces éléments mémoire peuvent être de différente nature, par exemple des bascules flip-flop, des bascules latch ou des points mémoire RAM. Les valeurs binaires des données 25 précédemment échantillonnées par les éléments mémoires sont alors inversées. Les particules et photons provenant des radiations naturelles ou artificielles tendent donc à réduire la robustesse du FPGA et donc de l'équipement électrique 30 dans lequel est intégré le FPGA. L'équipement électrique est par exemple une Unité de Mesure Inertielle d'un lanceur spatial. Un moyen existant pour corriger ce type de perturbation consiste à tripliquer les bascules 35 sensibles, et à associer aux trois bascules tripliquées 2 un voteur majoritaire. On corrige les sorties des bascules à partir du résultat du vote réalisé par le voteur. On parle alors de Local Triple Moduler Redundancy, ou de redondance triple modulaire locale. Ce 5 mécanisme fonctionne très bien à condition qu'une seule bascule sur les trois bascules soit en erreur. On appelle dans la suite de ce document « cellule TMR » une cellule de redondance triple modulaire comprenant un ensemble de trois bascules tripliquées et d'un voteur. 10 Cependant, il est possible qu'une même particule touche deux bascules d'une même cellule TMR et donc corrompe son fonctionnement. On parle ici de Multiple Bit gpsets (MBU). Il est donc relativement complexe de garantir la conformité d'un FPGA (et donc d'un équipement électrique intégrant le FPGA) à une exigence de tenue à des radiations naturelles ou artificielles ou, au contraire, à une exigence de non-tenue à des radiations naturelles ou artificielles. Garantir la conformité à une exigence de non-tenue aux radiations présente un intérêt dans le cas d'un équipement électrique conçu spécialement pour un environnement non radiatif : on évite ainsi un détournement d'usage dudit équipement électrique. Pour garantir la conformité d'un FPGA à ce type 25 d'exigence, on a tenté de caractériser l'impact de radiations sur les éléments sensibles aux radiations du FPGA (tels que les bascules précédemment évoquées). Pour caractériser l'impact des radiations sur le FPGA ou sur l'équipement électrique dans lequel est 30 intégré le FPGA, il est connu de réaliser des simulations du FPGA ou de l'équipement électrique à partir notamment de modèles géométriques physiques du FPGA ou de l'équipement électrique. A partir d'un modèle en trois dimensions et de la 35 composition des matériaux utilisés pour fabriquer le 3 FPGA, une méthode de Monte-Carlo est utilisée pour simuler statistiquement le passage d'un grand nombre de particules. Pour chaque trajectoire modélisée, les effets physiques sur le FPGA sont également simulés. Une 5 connaissance approfondie des processus physiques sous- jacents peut permettre d'estimer les trajectoires provoquant des erreurs et de remonter à la géométrie de l'impact des radiations sur les éléments sensibles. Ces simulations font appel à des modèles extrêmement 10 complexes et à des temps de simulation très longs pour un résultat coûteux et difficile à obtenir, à exploiter et à confirmer expérimentalement. Par ailleurs, ces simulations requièrent des informations techniques précises sur le FPGA, qui sont rarement accessibles. 15 OBJET DE L'INVENTION L'invention a pour objet d'améliorer la robustesse d'un circuit contre des radiations naturelles ou artificielles, et d'être en mesure de garantir cette robustesse. 20 RESUME DE L'INVENTION En vue de la réalisation de ce but, on propose un procédé de production d'un circuit optimisé pour être protégé contre des radiations, le procédé de production comportant une phase de caractérisation préliminaire mise en oeuvre sur un circuit de référence qui comprend au moins une surface de référence sur laquelle sont répartis des éléments de référence sensibles aux radiations, la phase de caractérisation préliminaire comprenant les étapes de : irradier à plusieurs reprises le circuit de référence ; après chaque irradiation, si un ou plusieurs éléments de référence du circuit de référence sont défaillants, localiser ledit ou lesdits éléments de référence ; 4 cartographier un impact des irradiations sur la surface de référence du circuit de référence ; le procédé de production comportant de plus une phase d'optimisation comprenant l'étape d'adapter une 5 position sur au moins une surface optimisée du circuit optimisé d'au moins un élément optimisé sensible aux radiations en fonction de la cartographie mise en oeuvre sur le circuit de référence. Les irradiations et la cartographie mises en oeuvre 10 Sur le circuit de référence permettent de caractériser précisément l'impact des radiations sur les éléments -de référence du circuit de référence, mais aussi sur tout circuit présentant des caractéristiques proches du circuit de référence. Par exemple, l'ensemble des 15 circuits appartenant à la même famille de composants que le circuit de référence, c'est-à-dire les composants du même concepteur basés sur la même technologie de fabrication ASIC et les mêmes choix d'architectures, pourront se voir appliquer directement les résultats 20 obtenus. On peut citer pour exemple et sans que cela soit limitatif les composants FPGAs d'une même famille, c'est-à-dire basés sur la même architecture et le même procédé de fabrication, mais ayant par exemple des tailles de matrice différentes. On peut également citer les 25 composants CPU ou SoC basés sur la même architecture et le même procédé de fabrication. Enfin, on peut également citer des circuits ASIC propriétaires basés sur une même bibliothèque de cellules standards et une même technologie de fabrication. 30 On adapte donc la position d'éléments optimisés du circuit optimisé à partir des résultats de la cartographie pour améliorer la robustesse des fonctions que les éléments optimisés mettent en oeuvre. On améliore donc la robustesse du circuit optimisé 35 et, comme la phase de caractérisation préliminaire est 5 réalisée sur Un circuit de référence dont les caractéristiques réelles sont semblables à celles du circuit optimisé, on est capable de garantir cette robustesse. Garantir la robustesse est particulièrement 5 avantageux pour des circuits optimisés montés dans des équipements électriques susceptibles de subir des activités de certification (comme c'est le cas dans les applications aéronautiques et spatiales). On propose aussi un circuit optimisé produit via le 10 procédé de production qui vient d'être décrit. On propose de plus une carte électrique comportant un circuit optimisé tel que celui qui vient d'être décrit. On propose en outre une Unité de Mesure Inertielle 15 comportant une carte électrique telle que celle qui vient d'être évoquée ainsi qu'un système de navigation comprenant cette Unité de Mesure Inertielle. L'invention sera mieux comprise à la lumière de la description qui suit d'un mode de mise en oeuvre 20 particulier non limitatif de l'invention. BREVE DESCRIPTION DES DESSINS Il sera fait référence aux dessins annexés, parmi lesquels : la figure 1 représente des groupes logiques (ou 25 clusters) d'un FPGA ; - les figures 2 à 5 représentent des exemples de registres de référence défaillants d'un FPGA de référence ; - les figures 6 à 9 représentent des exemples de 30 répartitions de probabilités de défaillance simultanée entre un registre de référence particulier et d'autres registres de référence situés à proximité ; - les figures 10 à 13 représentent des formes géométriques incluant des groupes de défaillance, et des 6 registres optimisés d'un FPGA optimisé coopérant pour mettre en oeuvre une même fonction. DESCRIPTION DETAILLEE DE L'INVENTION Le procédé de production selon l'invention est ici 5 destiné à produire un circuit optimisé pour être protégé contre des radiations naturelles et artificielles. Le circuit optimisé est ici un FPGA de la famille IGL002 fabriqué par le fabricant de composants Microsemi. Le choix de ce composant permet d'illustrer ici 10 l'invention sans toutefois en restreindre la portée à d'autres composants logiques FPGA, CPLD, ASIC, etc. En particulier, l'invention est également applicable aux autres FPGAs, incluant notamment, mais ne se limitant pas, aux composants de Xilinx, Intel/Altera, Microsemi, 15 Lattice. De même, l'invention est également applicable aux circuits utilisant d'autres finesses de gravure ou conçus selon d'autres procédés de fonderies que 1'IGL002. Le FPGA IGL002 est fabriqué avec une finesse de gravure de 65nm. L'outil utilisé pour le placement 20 routage du FPGA est un outil de placement routage de la famille Libero. La couche logique du FPGA, formée sur silicium, présente une surface optimisée qui est divisée en de nombreuses zones. Chaque zone est ici définie comme 25 comportant un groupe logique (ou cluster) Chaque groupe logique comprend ici douze bascules flip-flop, douze tables de correspondance (ou LUT, pour Look-Up Table) et douze buffers. La couche logique du FPGA comprend aussi des 30 ressources de routage, parmi lesquelles on trouve des ressources de routage de signaux globaux. Les signaux globaux comprennent ici des signaux d'horloge et des signaux de reset. Les ressources de routage de signaux globaux 35 comprennent des buffers globaux (Global Buffer) et des 7 buffers globaux de rangée (ou Row Global Buffer). Les buffers globaux sont ici au nombre de 8 (leur nombre dépend de la taille du FPGA, certains FPGAs de la même famille en ont 16). Chaque buffer global est un 5 multiplexeur qui génère un signal global indépendant. Il peut être piloté à partir de plusieurs sources, par exemple depuis une horloge externe ou un signal logique interne. Les buffers globaux de rangée sont situés sur deux 10 bandeaux verticaux à l'intérieur du FPGA. Chaque buffer global de rangée pilote les groupes logiques situés sur une branche de gauche et une branche de droite du buffer global de rangée. Au moment du routage du FPGA, les signaux globaux 15 provenant des buffers globaux sont routés vers les buffers globaux de rangée. Les signaux globaux atteignent alors les groupes logiques par l'intermédiaire de signaux globaux de rangée issus des buffers globaux de rangée. Chaque buffer global a accès à tous les buffers 20 globaux de rangée. Chaque buffer global de rangée est indépendant et peut aussi être piloté par des signaux logiques internes. Les groupes logiques peuvent par ailleurs être pilotés par des signaux logiques internes dits « inter 25 clusters », qui ne sont pas des signaux globaux. Ainsi, sur la figure 1, on peut voir neuf groupes logiques 1 (ou clusters), chaque groupe logique 1 contenant douze bascules flip-floc 2, douze tables de correspondance 3 (LUT) et douze buffers (non 30 représentés). Cette représentation est purement fonctionnelle, les positions physiques et la taille de chacun de ces éléments étant inconnus, de même que l'espacement entre les différents éléments. La structure du composant décrite ci-dessus permet 35 d'illustrer une architecture classique de composant FPGA. 8 D'autres composants FPGAs peuvent se baser sur des architectures différentes, avec des groupements d'éléments logiques et de bascules de géométrie, de taille et d'organisations différents. On retrouvera 5 néanmoins une pluralité d'éléments mémoire couplés à une pluralité d'éléments logiques. L'invention s'attache à caractériser puis à optimiser l'utilisation de la pluralité d'éléments présents dans le FPGA. Le procédé de production selon l'invention comprend 10 tout d'abord une phase de caractérisation préliminaire qui est mise en oeuvre sur un FPGA de référence. On pourrait aussi appeler « véhicule de test » le FPGA de référence. Le FPGA de référence est ici un FPGA de la famille 15 IGL002, semblable au FPGA optimisé que l'on veut produire. Le FPGA de référence présente une surface de référence comportant une matrice comprenant des éléments de référence sensibles aux radiations, qui sont répartis 20 sur une majorité de la surface de référence du FPGA de référence. Les éléments de référence doivent si possible être placés à des distances faibles les uns des autres (c'est-à-dire que le placement doit être le plus dense possible) afin d'assurer une meilleure précision de la 25 caractérisation. Chaque élément de référence est ici un registre de référence formé par une bascule flip-flop 2. Le FPGA de référence comporte de plus une interface de communication permettant de remplir chaque registre de 30 référence avec une donnée, et de lire la donnée contenue dans chaque registre de référence. Cette interface de communication peut être une interface de type série à faible débit, ou bien une interface plus rapide. L'interface de communication 35 permet une relecture de l'état des registres de référence 9 de manière déterministe afin de permettre d'associer des erreurs constatées à des positions de registres de référence. La phase de caractérisation préliminaire comporte 5 tout d'abord l'étape de remplir (c'est à dire de pré- charger) chaque registre de référence du FPGA de référence avec une donnée connue. Puis, la phase de caractérisation préliminaire consiste à irradier à plusieurs reprises le FPGA de 10 référence. Les irradiations sont par exemple réalisées en utilisant un accélérateur de particules. Le FPGA de référence est ainsi soumis, pendant une durée prédéterminée, à des radiations susceptibles de provoquer des défaillances des registres de référence. Les 15 radiations sont par exemple des radiations de protons, de neutrons, d'ions lourds, de photons, ou bien consistent à générer des rayonnements laser, des rayonnements électromagnétiques, etc. Après chaque irradiation, on lit, grâce à 20 l'interface de communication décrite plus tôt, les données contenues dans les registres de référence. On identifie alors les registres défaillants à cause des irradiations, c'est à dire les registres de référence qui contiennent, suite à une irradiation, une donnée 25 différente de la donnée connue. Chaque erreur est associée à un registre de référence défaillant et à la position du registre de référence défaillant sur la surface de référence du FPGA de référence. 30 On répète ces opérations de pré-chargement des registres, d'irradiation puis de lecture un grand nombre de fois, jusqu'à posséder des informations statistiques suffisantes. Typiquement, ces opérations d'irradiation puis de lecture sont répétées environ mille fois. 35 Grâce à ces informations statistiques, on 10 cartographie l'impact des irradiations sur la surface de référence du FPGA de référence. La cartographie permet d'identifier des relations de dépendance de défaillance entre des registres de 5 référence qui sont souvent défaillants simultanément (en réponse à une même irradiation). On définit ainsi au moins un « groupe de défaillance », comprenant une pluralité de registres de référence, de la manière suivante : le groupe de 10 défaillance est tel que la probabilité de défaillance simultanée d'au moins deux registres de référence du groupe de défaillance est supérieure à un seuil prédéterminé. On définit alors des formes géométriques qui 15 incluent chacune des registres de référence formant un groupe de défaillance. Les formes géométriques sont donc représentatives de l'impact des irradiations. Ainsi, sur la figure 2, la forme géométrique 4 renferme un groupe de défaillance de cinq registres de 20 référence défaillants 5 du FPGA de référence, qui sont situés dans trois groupes logiques 6 distincts. De même, sur la figure 3, la forme géométrique 8 renferme un groupe de défaillance de huit registres de référence défaillants 9 qui sont situés dans trois 25 groupes logiques 10 distincts. Sur la figure 4, la forme géométrique 11 renferme un groupe de défaillance de huit registres de référence défaillants 12 qui sont situés dans deux groupes logiques 13 distincts. Les registres de référence défaillants 12 30 peuvent être regroupés entre les deux lignes supérieures (correspondant aux deux groupes logiques 13), mais pas avec la ligne inférieure (correspondant au groupe logique situé sous les deux groupes logiques 13). Sur la figure 5, la forme géométrique 15 renferme un 35 groupe de défaillance de six registres de référence 11 défaillants 16 - qui sont situés dans un même groupe logique 17. Les six registres de référence défaillants 16 semblent être liés par des défaillances simultanées, alors que leurs positionnements logiques (c'est à dire au 5 sein du groupe logique 17) ne sont pas adjacents. Après un nombre suffisant d'opérations d'irradiations et de lectures, la cartographie permet d'évaluer statistiquement des défaillances simultanées autour d'un registre de référence particulier. 10 On estime, en cas de défaillance d'un élément de référence particulier du FPGA de référence, une probabilité de défaillance simultanée d'au moins un autre élément de référence en fonction des positions de l'élément de référence particulier et de l'autre élément 15 de référence. Cette étape est illustrée à l'aide des figures 6 à 9. En référence à la figure 6, on définit une pluralité de motifs associés aux registres de référence pour 20 évaluer la probabilité de défaillance simultanée. Pour un registre de référence défaillant particulier 20, chaque motif 21 à 27 illustre la probabilité de défaillance simultanée d'obtenir une défaillance d'un registre de référence associé audit motif 21 à 27. On nomme Pl la 25 probabilité de défaillance simultanée associée au motif 21, P2 la probabilité de défaillance simultanée associée au motif 22, P3 la probabilité de défaillance simultanée associée au motif 23, P4 la probabilité de défaillance simultanée associée au motif 24, P5 la probabilité de 30 défaillance simultanée associée au motif 25, P6 la probabilité de défaillance simultanée associée au motif 26, P7 la probabilité de défaillance simultanée associée au motif 27. On a : 35 P1 P2 P3 P4 P5 > P6 P7. 12 Ainsi, sur la figure 6, on observe une probabilité de défaillance simultanée qui croît avec la distance entre le registre de référence particulier 20 et un autre registre de référence. 5 Sur la figure 7, on observe un cas de dissymétrie entre les directions verticale et horizontale. La probabilité de défaillance simultanée décroît beaucoup plus vite dans la direction verticale que dans la direction horizontale. 10 Sur la figure 8, on observe des dissymétries entre les lignes (ou groupes logiques) successives, ou entre les lignes « paire » et « impaire ». Ici, les registres de référence de la ligne centrale et de la ligne inférieures présentent des probabilités de défaillance 15 simultanée plus importantes que ceux de la ligne centrale et de la ligne supérieure. Sur la figure 9, on observe le cas d'une différence entre la structure géométrique « théorique » du FPGA de référence et sa structure géométrique « réelle ». La 20 relation entre les probabilités de défaillance simultanée des registres de référence montre un regroupement des registres par neuf et non par douze (comme dans un groupe logique ou cluster). A partir des résultats obtenus pendant la phase de 25 caractérisation préliminaire, il est ainsi possible de calculer la probabilité que des registres de référence soient défaillants simultanément. Ainsi, dans le cas d'une mise en oeuvre de techniques de durcissement du FPGA, par exemple dans le cas de 30 l'utilisation d'une redondance de type redondance triple modulaire, ou bien dans le cas de l'utilisation d'un codage correcteur d'erreur, on peut calculer la probabilité d'avoir une défaillance malgré les contre-mesures en place (c'est-à-dire une défaillance que la 35 technique de durcissement ne saura pas corriger, ou ne 13 saura pas détecter). On peut donc évaluer la sensibilité résiduelle d'un FPGA de référence dans lequel une ou des techniques de durcissement sont mises en oeuvre. 5 Par exemple, pour chacun des trois registres de référence d'une même cellule TMR positionnés dans le composant FPGA, on utilise la cartographie pour connaître la probabilité que deux ou trois registres de référence soient défaillants en même temps (ce qui équivaut à une 10 faute de l'ensemble « cellule TMR »). Par exemple, dans le cas de l'utilisation d'un code correcteur d'erreur permettant de corriger une erreur sur un mot de trente-deux éléments, on utilise l'information de position de ces 32 éléments dans le FPGA ainsi que la 15 cartographie pour connaître la probabilité que deux registres de référence ou plus soient défaillants simultanément dans le mot afin de connaître la probabilité de défaillance résultante. Une fois ce calcul réalisé sur l'ensemble du FPGA de 20 référence ou bien sur une fonction déterminée, une probabilité globale de défaillance est déduite. Le procédé de production consiste alors à utiliser les résultats obtenus pendant la phase de caractérisation préliminaire, mise en oeuvre sur le FPGA de référence, 25 pour produire un ou des FPGAs optimisés pour être protégé contre des radiations. Le FPGA optimisé comporte une surface optimisée sur laquelle sont répartis des éléments optimisés sensibles aux radiations. Les éléments optimisés sensibles aux 30 radiations sont des registres optimisés du FPGA optimisé. La position des registres optimisés, sur la surface optimisée du FPGA optimisée, correspond à la position des registres de référence sur la surface de référence du FPGA de référence. 35 Dans le cas où un objectif est donné sur la 14 probabilité globale de défaillance du FPGA optimisé ou bien d'une fonction déterminée, le placement des registres optimisés est modifié afin de s'approcher de la valeur souhaitée. 5 Le procédé de production comporte ainsi, pour chaque FPGA optimisé produit, une phase d'optimisation comprenant l'étape d'adapter une programmation du FPGA optimisé en fonction de la cartographie mise en oeuvre sur le FPGA de référence. 10 L'adaptation de la programmation comprend l'étape d'adapter une position sur la surface optimisée du FPGA optimisé d'au moins un registre optimisé. On assure ainsi que deux registres optimisés du FPGA optimisé, qui coopèrent au sein d'une même fonction, ne 15 présentent pas des positions correspondant à des positions de deux registres de référence du FPGA de référence appartenant à un même groupe de défaillance. On programme le FPGA optimisé pour les besoins opérationnels. 20 On illustre ce qui vient d'être dit par un premier exemple, en référence à la figure 10. Une cellule TMR d'un FPGA non optimisé comporte un premier registre 30, un deuxième registre 31 et un troisième registre 32. Le premier registre 30, le deuxième registre 31 et le 25 troisième regisLre 32 coopèrent donc pour mettre en oeuvre une même fonction qui est une fonction de durcissement visant à durcir le FPGA contre des radiations. La fonction de durcissement est une redondance triple modulaire. 30 Le premier registre 30 et le deuxième registre 31 présentent des positions correspondant à des positions de deux registres de référence du FPGA de référence appartenant à un même groupe de défaillance et inclus dans la forme géométrique 33, ce qui remet en cause 35 l'efficacité de la protection. 15 On estime donc que, en cas de défaillance du premier registre 30, la probabilité de défaillance simultanée du deuxième registre 31 est élevée. On adapte donc la position du premier registre et du 5 deuxième registre en fonction de cette probabilité de défaillance simultanée élevée. La position du premier registre et du deuxième registre est adaptée de manière à ne pas avoir deux registres parmi le premier registre, le deuxième registre et le troisième registre appartenant à 10 un même groupe de défaillance. On assure ainsi que chaque registre parmi le premier registre, le deuxième registre et le troisième registre soit défaillant de manière indépendante. De même, lorsque la fonction de durcissement est un 15 codage correcteur d'erreur, on s'assure que deux registres utilisés pour stocker des portions (bit) d'un même mot ne se trouvent pas dans un même groupe de défaillance. Ainsi, en référence à la figure 11, on obtient un 20 FPGA optimisé ayant un premier registre optimisé 35 dont la position correspond à un registre de référence appartenant à un premier groupe de défaillance inclus dans la forme géométrique 36, un deuxième registre optimisé 37 dont la position correspond à un registre de 25 référence appartenant à un deuxième groupe de défaillance inclus dans la forme géométrique 38, et un troisième registre optimisé 39 dont la position correspond à un registre de référence appartenant à un troisième groupe de défaillance inclus dans la forme géométrique 40. Le 30 premier registre optimisé 35, le deuxième registre optimisé 37 et le troisième registre optimisé 39 ne peuvent donc pas tomber en panne simultanément sous l'effet d'une unique radiation, avec une probabilité connue et paramétrée par le seuil de probabilité de 35 défaillance simultanée utilisé pour définir les groupes 16 de défaillance. De même, en référence à la figure 12, on obtient un FPGA optimisé ayant un premier registre optimisé 41 dont la position correspond à un registre de référence 5 appartenant à un premier groupe de défaillance inclus dans la forme géométrique 42, un deuxième registre optimisé 43 dont la position correspond à un registre de référence appartenant à un deuxième groupe de défaillance inclus dans la forme géométrique 44, et un troisième 10 registre optimisé 45 dont la position correspond à un registre de référence appartenant à un troisième groupe de défaillance inclus dans la forme géométrique 46. Le premier registre optimisé 41, le deuxième registre optimisé 43 et le troisième registre optimisé 45 ne 15 peuvent donc pas tomber en panne simultanément. De même, en référence à la figure 13, on obtient un FPGA optimisé ayant un premier registre optimisé 50 dont la position correspond à un registre de référence appartenant à un premier groupe de défaillance inclus 20 dans la forme géométrique 51, un deuxième registre optimisé 52 dont la position correspond à un registre de référence appartenant à un deuxième groupe de défaillance inclus dans la forme géométrique 53, et un troisième registre optimisé 54 dont la position correspond à un 25 registre de référence appartenant à un troisième groupe de défaillance inclus dans la forme géométrique 55. Le premier registre optimisé 50, le deuxième registre optimisé 52 et le troisième registre optimisé 54 ne peuvent donc pas tomber en panne simultanément. Ici, on 30 voit que, grâce à l'évaluation de la géométrie des défaillances, on peut coller virtuellement deux registres optimisés sensibles 50, 52 dans le placement, sans que ces registres optimisés soient proches d'un point de vue des défaillances aux radiations. 35 Pour adapter le positionnement des registres 17 optimisés de la manière qui vient d'être décrite, il peut être nécessaire de modifier le placement effectué automatiquement par l'outil de placement routage utilisé. Dans le FPGA de la famille IG1002, par exemple, on 5 peut simplement appliquer des permutations entre les bascules d'un même groupe logique ou entre les bascules de deux groupes logiques différents afin d'espacer les éléments appartenant à une même cellule TMR. L'espacement des éléments appartenant à une même cellule TMR s'entend 10 d'un espacement au sens de la cartographie des défaillances, et non pas simplement d'un espacement relatif à des coordonnées de placement. On note que le procédé de production selon l'invention permet d'atteindre et de justifier des 15 performances de tenue aux fautes qui ne pourraient être atteintes par un logiciel de placement automatique du commerce sur un composant ou une technologie commerciale non durcie. En effet, les outils de placement automatique du commerce répondent à des objectifs autres, notamment 20 de consommation énergétique et de performance (fréquences de fonctionnement atteignables). L'effort à fournir pour atteindre et justifier des performances de tenue aux fautes est moindre par rapport aux simulations complexes de l'état de l'art. 25 Toutefois, un programme informatique destiné à mettre en oeuvre le procédé de production selon l'invention pourrait être directement intégré dans de tels outils de placement du commerce, afin de permettre un durcissement automatique du design. 30 La capacité du procédé de production selon l'invention à démontrer ou mettre en évidence des groupements d'éléments sensibles de forme géométrique et répétitifs sur un composant commercial est également un atout précieux dans le cadre d'une démarche de 35 robustesse. 18 Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications. 5 Les FPGAs sont ici des FPGAs IGL002, mais un autre type de FPGA pourrait bien sûr être utilisé. Le circuit de référence et le circuit optimisé ne sont pas forcément des FPGAs, mais pourraient par exemple être des ASICs programmables ou non, ou d'autres circuits 10 logiques programmables ou non. Dans le cas d'un ASIC, c'est directement en concevant l'ASIC que l'on peut intervenir sur la position des éléments sensibles. Dans ce cas, un véhicule de test serait un test-chip avec un placement dense des éléments 15 sensibles, tandis que le composant optimisé serait le design opérationnel dont le placement tient compte des résultats de mesure sur le test chip. Le circuit de référence et le circuit optimisé ne sont pas nécessairement des circuits logiques, et peuvent 20 aussi être des circuits analogiques quelconques. On pourrait avoir non pas une mais plusieurs surfaces de référence, et non pas une mais plusieurs surfaces optimisées : c'est notamment le cas pour les circuits composés de multiples « dies » empilés ou de 25 multiples « dies » interconnectés dans un même boitier Le circuit de référence n'est pas nécessairement identique au circuit optimisé avant son optimisation : le circuit de référence peut par exemple être un circuit de la même famille, ou bien présentant une même architecture 30 et utilisant une technologie de fabrication identique ou similaire en termes de matériaux utilisés et de géométries produites. Les éléments sensibles aux radiations ne sont pas nécessairement des registres formés chacun par une 35 bascule. Les éléments sensibles pourraient être des 19 registres formés par plusieurs bascules, ou bien d'autres éléments comme des éléments logiques, des points mémoire volatile ou non, des émetteurs de lumière (Diode Electro Luminescente), des récepteurs de lumière (photodiode) ou 5 à bas niveau les transistors d'un circuit numérique ou analogique. Les éléments sensibles peuvent également correspondre à des éléments plus complexes comme par exemple les neurones d'un réseau de neurone sur puce, des coeurs de calcul sur un processeur graphique GPU, des 10 coeurs de processeur sur un système massivement parallèle « many-core ». On note que le procédé de production selon l'invention peut être mis en oeuvre dans un contexte de production en série, pour produire une quantité 15 potentiellement importante de circuits optimisés. Le procédé de production peut aussi être mis en oeuvre pour produire un nombre réduit de circuits optimisés, REVENDICATIONS1. Procédé de production d'un circuit optimisé pour être protégé contre des radiations, le procédé de production comportant une phase de caractérisation préliminaire mise en oeuvre sur un circuit de référence qui comprend au moins une surface de référence sur laquelle sont répartis des éléments de référence (5, 9, 12, 16, 20) sensibles aux radiations, la phase de caractérisation préliminaire comprenant les étapes de : - irradier à plusieurs reprises le circuit de référence ; - après chaque irradiation, si un ou plusieurs éléments de référence du circuit de référence sont 15 défaillants, localiser ledit ou lesdits éléments de référence ; - cartographier un impact des irradiations sur la surface de référence du circuit de référence ; le procédé de production comportant de plus 20 une phase d'optimisation comprenant l'étape d'adapter une position sur au moins une surface optimisée du circuit optimisé d'au moins un élément optimisé (35, 37, 39) sensible aux radiations en fonction de la cartographie mise en oeuvre sur le circuit de référence. 25 2. Procédé de production selon la revendication 1, dans lequel la cartographie comprend l'étape d'estimer, en cas de défaillance d'un élément de référence particulier du circuit de référence, une 30 probabilité de défaillance simultanée d'au moins un autre élément de référence en fonction des positions de l'élément de référence particulier et de l'autre élément de référence. 35 3. Procédé de production selon l'une des 21 revendications précédentes, dans lequel la cartographie comprend l'étape de définir au moins un groupe de défaillance comprenant une pluralité d'éléments de référence du circuit de référence, le groupe de 5 défaillance étant tel qu'une probabilité de défaillance simultanée d'au moins deux éléments de référence du groupe de défaillance est supérieure à un seuil prédéterminé. 10 4. Procédé de production selon la revendication 3, dans lequel la phase d'optimisation comprend l'étape d'assurer que deux éléments optimisés du circuit optimisé, qui coopèrent au sein d'une même fonction, ne présentent pas des positions correspondant à des positions de deux éléments de référence du circuit de référence appartenant à un même groupe de défaillance 5. Procédé de production selon la revendication 4, dans lequel la fonction est une fonction de durcissement visant à durcir le circuit optimisé contre les radiations. 6. Procédé de production selon la revendication 5, dans lequel la fonction de durcissement est une redondance triple modulaire. 7. Procédé de production selon la revendication 5, dans lequel la fonction de durcissement est Un codage correcteur d'erreur. 8. Procédé de production selon l'une des revendications précédentes, dans lequel chaque élément de référence est un registre de référence formé par une ou plusieurs bascules, la phase de caractérisation préliminaire comprenant l'étape, réalisée préalablement 22 aux irradiations, de remplir chaque registre de référence du circuit de référence avec une donnée connue, l'identification d'un registre de référence défaillant consistant à détecter un registre de référence contenant 5 une donnée différente de la donnée connue. 9. Circuit optimisé produit via un procédé de production selon l'une des revendications précédentes. 10 10. Circuit optimisé selon la revendication 9, le circuit optimisé étant un FPGA ou un ASIC. 11. Circuit optimisé selon la revendication 9, le circuit optimisé étant un circuit analogique. 15 12. Carte électrique comportant un circuit optimisé selon l'une des revendications 9 à 11. 13. Unité de Mesure Inertielle comportant une 20 . carte électrique selon la revendication 12. 14. Système de navigation comprenant une Unité de Mesure Inertielle selon la revendication 13. 25