Gefahr aus dem All
Computerchips stecken inzwischen auch in Flugzeugen und Autos. Eine neue Testmethode legt nahe, dass Defekte durch kosmische Strahlung wohl unterschätzt wurden.
Rund 1000 Teilchen der kosmischen Strahlung treffen pro Sekunde auf jeden Quadratmeter der äußeren Erdatmosphäre. Und das, obwohl das Magnetfeld der Erde den Löwenanteil der Teilchenstrahlung von der Sonne und aus den Weiten des Weltalls abfängt. Entdeckt wurde die kosmische Strahlung vor reichlich hundert Jahren. Da sie damals vom Ballon aus gemessen wurde, nannte sie sein Entdecker Victor Franz Hess 1912 Höhenstrahlung.
Was Hess allerdings gemessen hatte, war weniger die ursprüngliche Strahlung aus dem All, sondern überwiegend die sogenannte sekundäre Strahlung. Die entsteht, wenn Protonen und Alphateilchen (positiv geladene Kerne von Wasserstoff bzw. Heliumatomen) auf Sauerstoff- und Stickstoffatome der Hochatmosphäre treffen. So entstehen aus einem hochenergetischen Proton aus dem All Millionen Sekundärteilchen. Die meisten davon zerfallen sehr schnell. Was bleibt und oftmals bis zur Erdoberfläche fliegt, sind Neutronen.
Die Höhenstrahlung macht nur etwa die Hälfte der ohnehin geringen natürlichen Strahlenbelastung aus. Deswegen nehmen die meisten Menschen die kosmische Strahlung nur als Risikofaktor für Menschen wahr, die ins Weltall fliegen. Ein Risikofaktor ist sie auch für das fliegende Personal auf Langstreckenflügen, vor allem, wenn diese über die Pole führen, wo das Erdmagnetfeld weniger Schutz bietet. In diesen Höhen ist die Strahlung 300 Mal intensiver als am Boden.
Weniger öffentliche Beachtung fanden bisher die Risiken für technische Systeme. In elektronischen Bauteilen können einschlagende Teilchen zeitweilige oder dauerhafte Fehlfunktionen herbeiführen. Am harmlosesten sind noch Treffer, bei denen nur der winzige Kondensator eines Speicherchips entladen wird. Damit wird zwar ein Bit gelöscht, doch wird das Bit beim Auffrischen des Speichers wieder hergestellt. Zu Programmabstürzen kann das gleichwohl führen. Problematischer sind Treffer, die lokal für einen erhöhten Stromfluss sorgen. Ohne Schutzmaßnahmen können diese dazu führen, dass ein Bauteil durchbrennt und funktionsunfähig wird.
Immerhin werden Computersysteme für Flugzeuge auf Ausfallsicherheit getestet. Zudem sind die lebenswichtigen Systeme in den Flugzeugen schon wegen des Risikos anderer Defekte mehrfach vorhanden. Doch mit der zunehmenden Zahl von Computern sind auch Fehler durch auftreffende Teilchen der kosmischen Strahlung zu beachten. Stefan Metzger vom Fraunhofer-Institut für Naturwissenschaftlich-Technische Trendanalysen (INT) in Euskirchen verweist darauf, dass Tests dafür zu den Zulassungsverfahren gehören. »Qualifizierungsmaßnahmen beinhalten auch die entsprechenden Tests.«
Allerdings bemängelt Metzger, dass die derzeit für die Ermittlung der Strahlenanfälligkeit genutzten Teilchenbeschleuniger nicht geeignet seien. Die dort erreichbaren Energien seien viel zu gering. Dadurch würden die dort erzeugten Teilchen nicht so tief in die elektronischen Bauteile eindringen wie die aus der kosmischen Strahlung. Auch die Neutronen aus den Forschungsreaktoren seien zu langsam. Solange für Tests nicht hochenergetische Neutronen zur Verfügung stehen, wie sie die derzeit im schwedischen Lund gebaute Europäische Spallationsquelle ESS liefern kann, setzt der Elektronikexperte unter anderem auf den Picosekundenlaser seines Instituts. Der bietet realistische Eindringtiefen und erzeugt im Halbleitermaterial eine Spur von Elektronen, ähnlich der nach dem Einschlag von Neutronen und ihren Sekundärteilchen.
Die Versuche des Instituts zeigten, dass bei vergleichsweise einfachen Bauteilen deutlich mehr Defekte auftreten können als in Tests mit Schwerionenbeschleunigern gefunden wurden. Am interessantesten ist die Testmethode sicher für Luft- und Raumfahrtanwendungen, da gerade in großen Höhen Elektronik durch kosmische Strahlung gefährdet ist.
Bei Tests mit dem Picosekundenlaser am INT kann ein Bauteil in Schritten von Bruchteilen von Mikrometern mit verschiedenen Laserenergien abgetastet werden. Dadurch kann für jede Region des Bauteils festgestellt werden, ab welcher Energie ein teilcheninduzierter Effekt auftritt. Durch die schrittweise Abtastung wird sichergestellt, dass keine relevante Region und die darin auftretenden Effekte übersehen werden. Die Ergebnisse bilden die Grundlage, um an den betroffenen Stellen Schutzmaßnahmen zu ergreifen und negative Folgen zu vermeiden.
Ein Beispiel, wie gravierend die Teilchentreffer in elektronischen Bauteilen sein können, ist der NASA-Satellit IMAGE. 2005 brachen plötzlich sämtliche Verbindungen zur Kommunikation und Steuerung des Satelliten ab, bis ein kanadischer Funkamateur im Januar 2018 überraschend Signale des bis dahin verschollenen Satelliten empfing. Auch bei der Notlandung des Qantas Fluges 72 im Jahr 2008 wird der strahlungsbedingte Defekt eines Bauteils der Flugzeugsteuerung als Ursache des unkontrollierten Sturzflugs des Flugzeuges mit 119 Verletzten vermutet.
Mit zunehmendem Einsatz hochkomplexer Mikrochips – von der Steuerung konventioneller Flugzeuge über die Triebwerksregelung bis hin zu Drohnen und mehr und mehr automatisierten Autos – wird die statistisch geringe Anfälligkeit schon wegen der Stückzahl der betroffenen Fahrzeuge zum ernsthaften Risikofaktor. Da die Bauteile immer kleinerer Strukturgrößen haben, werden sie anfälliger, nicht nur in großen Höhen. Moderne Prozessoren in Prototypen autonomer Autos haben Transistoren im Nanometerbereich. Bharad Bhuva von der Vanderbilt University in Nashville (US-Bundesstaat Tennessee) hatte im Auftrag von Chipherstellern Mikroprozessoren mit sogenannten 3D-Transistoren in 16-Nanometer-Technologie untersucht. Sein bereits Anfang 2017 gezogenes Fazit: »Unsere Studie bestätigt, dass das ein ernstes und zunehmendes Problem ist.« Negativ sei, dass wegen der schrumpfenden Transistorgröße weniger Energie nötig sei, um einen Bitfehler zu erzeugen. Zwar seien die neuen 3D-Transistoren weniger empfindlich und würden wegen ihrer Kleinheit seltener getroffen. Doch da gleichzeitig die Zahl der Transistoren pro Chip massiv zugenommen habe, sei die Fehleranfälligkeit pro Chip dennoch leicht gestiegen. Bei einem Vortrag führte Bhuva deshalb etwas plakativ manchen Absturz von Smartphones auf die Teilchen aus dem All zurück. Tatsächlich gab es beispielsweise 2003 bei Wahlen in Belgien in der Stadt Schaerbaek 4096 zusätzliche Stimmen in einer elektronischen Wahlmaschine wegen eines Bitfehlers, und Anfang der 1990er Jahre gab es in den ICE-Loks der ersten Generation wiederholt unerwartete Kurzschlüsse in Halbleiterbauelementen. Da dies nie in Tunneln geschah, ist wohl auch hier kosmische Strahlung der Auslöser gewesen.
Fraunhofer-Forscher Metzger gibt allerdings zu bedenken, dass ein einzelner Programmabsturz sich nicht so einfach auf Strahlung zurückführen lässt. »Wenn ihr PC abstürzt, dann schieben sie es auf Windows, fluchen und starten ihn neu.« Anders sei das allerdings in großen Unternehmen, die große Computerfarmen betreiben, zum Beispiel Google. »Die überwachen selbstverständlich, wie häufig zum Beispiel Bit-Fehler auftreten, ein möglicher Effekt von Strahlen.« Da gebe es Untersuchungen, die darauf hindeuten, dass solche Speicherfehler in nicht unerheblicher Zahl auftreten. Und da könne man Korrelationen zwischen Intensität der Höhenstrahlung und der realen Fehlerrate betrachten und die mit der theoretisch vorhergesagten Anzahl von Fehlern vergleichen. Das liefere dann Hinweise darauf, wie viele Fehler auf das Konto der kosmischen Strahlung gingen.
Bleibt die Frage, was man zum Schutz vor solchen Fehlern tun kann. Der vermeintlich einfachste Weg, eine schützende Hülle um die Elektronik zu bauen, ist keiner, sagt Metzger. Die in der Atmosphäre erzeugten Neutronen haben so hohe Energien, dass sie die meisten Materialien durchschlagen. Schon 1929 hatte sich bei Untersuchungen kosmischer Strahlung gezeigt, dass selbst vier Zentimeter dicke Goldbarren die Strahlen nicht aufhielten. Laut Bharad Bhuva bräuchte man einen drei Meter dicken Betonmantel, um die Weltraumteilchen abzuschirmen – für Flugzeuge oder Autos untauglich.
Metzger hält auch die in der Raumfahrt und im militärischen Bereich verbreiteten strahlenresistenten Spezialchips für keinen gangbaren Weg bei künftigen autonomen Autos. Für derart teure Chips, die zudem bislang deutlich geringere Rechenleistungen böten als handelsübliche Computeroder Smartphone-Prozessoren, sei der Automarkt viel zu preissensibel.
Was letztlich bleibt, ist, was der Berliner Vertreter des französischen Unternehmens EasyMile, Benedikt Sperling-Zikesch, sagt. In den derzeit auf mehreren Betriebsgeländen getesteten autonom fahrenden Shuttlebussen von EasyMile seien die Steuercomputer zweimal vorhanden. »Fällt einer aus, steht die Kiste.« Für den Einsatz im realen Straßenverkehr allerdings ist diese Variante wohl kaum akzeptabel. Da müsste die mehrfache Auslegung der Steuercomputer schon den störungsfreien Betrieb bei Ausfall eines Systems sichern.
Mit zunehmendem Einsatz hochkomplexer Mikrochips – von der Steuerung konventioneller Flugzeuge über die Triebwerksregelung bis hin zu Drohnen und mehr und mehr automatisierten Autos – wird die statistisch geringe Anfälligkeit schon wegen der Stückzahl der betroffenen Fahrzeuge zum ernsthaften Risikofaktor.