Die Firma u-blox vertreibt mit dem SARA-R410M ein LTE-Model mit den Abmessungen 26mm x 16mm. Das SARA-R410M bedient LTE-M und NB-IoT, andere Varianten beherrschen auch (E)GPRS und GNSS.
Typisch für derartige Module ist der Betriebstemperaturbereich nicht allzu groß. Freigegeben sind -40°C bis +85°C, das vollständige Einhalten aller Spezifikationen wird allerdings nur im Bereich von -20°C bis +65°C garantiert.
Auf der Oberseite des Moduls markiert ein Punkt den Pin 1, auf der Unterseite befindet sich in dieser Ecke ein kleines Quadrat.
Das Datenblatt des SARA-R410M zeigt den Aufbau des Moduls. Ein Power Management IC versorgt einen Prozessor mit einem externen Speicher. Die Daten des Prozessors werden über einen Transceiver, einen Verstärker, einen Filter und einen Umschalter an die Antenne übertragen. Der Umschalter wechselt zwischen einem Sende- und einem Empfangspfad. Empfangene Daten werden vom Transceiver vorverarbeitet und dann zum Prozessor übertragen.
Das vorliegende Modul hat bei einem Lötprozess bereits massiven Schaden genommen. Viele Bauteile sind leicht verschoben.
Die großen Bauteile lassen sich relativ unproblematisch ihrer Funktion zuordnen. Der Power Management IC ist ein Qualcomm PDM96077 (rot). Rechts davon befindet sich der zugehörige Quarz (lila). Der Baseband Prozessor ist ein Qualcomm MDM9206 (grün). Es handelt sich dabei um einen ARM Cortex A7. Der notwendige RAM und ROM ist in dem MX63U1GC12HA von Macronix in einem gemeinsamen Package integriert (blau). Darin enthalten ist 1GBit NAND Flash ROM und 512MBit DDR2 RAM. Der Qualcomm WTR2965 (gelb) stellt den LTE Transceiver dar, der an das Front-End SKY68001-31 von Skyworks angebunden ist (türkis). Das kleine, weiße SMD-Bauteil über dem Front-End ist die Antenne.
Angaben über die grundsätzliche Funktion der Bausteine sind leicht zu finden. Ausführliche Datenblätter sucht man für die Schaltkreise von Qualcomm allerdings vergeblich.
Das Schirmblech besitzt nur kleine Durchbrüche, die auch nicht direkt über der Antenne platziert sind. Anscheinend wird das Signal trotzdem nicht zu stark gedämpft.
Der Qualcomm PMD9607 übernimmt die Versorgung des Moduls mit den notwendigen Spannungen und dem Taktsignal. Mit Sicherheit wird darüber auch ein sauberes Aufstarten und Abschalten realisiert. Es ist gut möglich, dass in diesem Baustein zusätzlich eine Watchdog-Funktion integriert ist, die den Baseband Prozessor überwacht.
Seitlich betrachtet zeigt sich, dass der Baustein kein vollständiges Gehäuse besitzt. Auf dem 0,28mm hohen Silizium ist nur noch eine ungefähr 24µm dünne Deckschicht aufgebracht.
Die Leitungen auf der obersten Metalllage, auf der sich auch die Kontakte zur Platine befinden, sind an vielen Stellen sehr breit ausgeführt und mit vielen Durchkontaktierungen versehen. Das ist kaum verwunderlich, da darüber die Stromversorgung des Moduls erfolgt.
In der Mitte des Bausteins findet sich ein interessantes Element. Die Potentiale zweier Kontakte greifen hier mit einer kleinen Kammstruktur ineinander. Die Potentiale sind aber allem Anschein nach nicht mit der integrierten Schaltung verbunden.
Unter der obersten Metalllage ist eine weitere Metalllage mit sehr breiten Leitungen zu erkennen.
Der Quarz ist nur 2,0mm x 1,6mm groß. Über die Beschriftung alleine findet man keine weiteren Informationen.
Die Qualcomm-Spezifikation "GPS Quality, 19.2 MHz, Crystal, and TH+Xtal" zeigt um was es sich hier handelt. 19.2 steht mit Sicherheit für die Resonanzfrequenz von 19,2MHz. Die Buchstaben TH verraten, dass der Baustein zusätzlich einen NTC zur Temperaturmessung enthält.
Auf der Unterseite des Gehäuses befindet sich der NTC als gewöhnliches SMD-Bauteil in einer kleinen Einbuchtung.
Der kleine Streifen auf der Oberfläche lässt vermuten, dass der NTC abgeglichen wurde.
Das Gehäuse lässt sich leider nicht zerstörungsfrei öffnen. In den Überresten findet man noch die rechteckige Quarzscheibe, die auf der Oberseite und auf der Unterseite mit einer Metallschicht überzogen wurde.
Der Qualcomm MDM9206 enthält einen ARM Cortex A7 und stellt den Baseband Prozessor dar. Er verwaltet die ein- und ausgehenden Datenströme und passt das Format an die Funk-Strecke an.
Das gesamte Gehäuse ist 0,60mm hoch. Auf der Unterseite befindet sich eine 0,14mm hohe Platine, der sogenannte Interposer. Die darin miteinander verwobenen Glasfaserbündel sind ebenso gut zu erkennen wie zwei dünne Schichten eines grünen Lötstopplacks.
Der Interposer verteilt die sehr dicht gepackten Anschlüsse des Dies auf die größere Fläche des gesamten Gehäuses. Durch den Lötstopplack sind die Leiterzüge zu erkennen.
Verbrennt man den Epoxidverguss, so bleibt das Die des Prozessors und der Interposer zurück. Zwar verbrennt auch das Epoxid im Interposer, die Glasfasermatte stabilisiert aber die Überreste. Von oben ist nun auch das Layout der oberen Kupferlage zu erkennen.
Das Die des MDM9206 ist ungefähr 90µm hoch.
Entfernt man die Überreste des Interposers, so ist zu erkennen, dass sich auf der linken Seite des Dies noch einige breitere Leiterzüge befinden. Höchstwahrscheinlich erfolgte darüber die Spannungsversorgung. Die Stromaufnahme leistungsfähiger Prozessoren kann sehr hoch sein. Gleichzeitig muss die niedrige Spannung möglichst exakt eingestellt werden. In Kombination erfordert das niedrige Zuleitungswiderstände.
Ein Großteil der Kontakte verteilt sich über den Rahmen des Dies. In der Mitte sind es bedeutend weniger Anschlüsse.
Die letzten Reste lassen sich nur schwer von der Oberfläche des Dies entfernen. Wahrscheinlich sind die letzten schwarzen Flächen Überreste einer schützenden Polyimidschicht, die meist höhere Temperaturen benötigt, um sich aufzulösen.
Die vielen Anschlüsse in der Mitte des Dies kontaktieren breite Streifen der Metalllage, die sich weit über das Die erstrecken. Das erweckt den Eindruck, dass es sich hierbei tatsächlich zu einem Großteil um Versorgungsanschlüsse handelt. Die Kontaktflächen an den Rändern sind dagegen über dünnere Leitungen angebunden, wie man es für Signalleitungen erwarten würde.
An der linken Kante befinden sich an einer Stelle im Außenbereich breitere Strukturen und ein Ring, das an eine Induktivität erinnert. Vielleicht ist hier ein Spannungsregler integriert.
An der unteren Kante sind größere Strukturen integriert, die nicht von den massiven Versorgungsleitungen verdeckt werden und eher an Analogschaltungen erinnern. Es könnte sein, dass es sich hier um die Digital-Analog-Wandler und Analog-Digital-Wandler handelt, die die Schnittstelle zum Transceiver darstellen.
Der MX63U1GC12HA von Macronix ist ein Baustein, der RAM und ROM enthält.
Es sind verschiedene RAM/ROM-Kombinationen erhältlich. Die Bezeichnung verrät, dass hier 512MBit DDR2 RAM und 1GBit NAND Flash ROM kombiniert wurden.
Das Datenblatt zeigt recht deutlich wie sich die Potentiale von RAM und ROM die Kontakte des Bausteins teilen.
Das Package ist ungefähr 0,67mm hoch und enthält einen Interposer mit einer Höhe von 0,2mm.
Beim Freilegen der Speicher zeigt sich, dass es sich tatsächlich um zwei Dies handelt. Das obere Die ist von einer zusätzlichen Schutzschicht, vermutlich einem Polyimid, überzogen.
Das obere Die muss der DRAM sein. Dafür spricht, dass es sehr viel mehr kontaktierte Bondpads aufweist als das andere Die. Dazu kommt die Polyimidschicht, die bei DRAM-Speichern üblicherweise notwendig ist, um Bitkipper durch minimale radioaktive Verunreinigungen im Gehäusematerial zu reduzieren.
Ebenfalls typisch für einen RAM sind Ausschnitte wie sie hier mittig zu sehen sind. Diese Bereiche waren auch in der Polyimidschicht ausgeschnitten. In älteren RAM-Bausteinen meint man darin unterbrochene Leitungen erkennen zu können (siehe dazu: Speicher (flüchtig)). Der Zweck dieser Ausschnitte bleibt unklar.
In der unteren linken Ecke des Dies sind die Zeichen APD7 abgebildet. An der unteren Kante finden sich weitere Streifen, die wie gewollte Ausschnitte aussehen.
Der Flash-Speicher besitzt sehr viel weniger kontaktierte Bondpads. Es ist noch deutlich zu erkennen wo sich das DRAM befand.
Der Flash-Speicher mit seiner gleichmäßigen Struktur nimmt den Großteil der Fläche ein. Die umgebenden Hilfsschaltungen benötigt allerdings ebenfalls überraschend viel Fläche. Das ist spezifisch für einen Flash-Speicher, der neben der Adressierung von Speicherzellen und dem Auslesen der Signale noch sehr viel mehr Hilfsschaltungen als zum Beispiel ein DRAM benötigt.
Der Flash-Speicher erhält lediglich eine Versorgungsspannung zwischen 1,7V und 1,95V. Das Schreiben von Daten benötigt allerdings sehr viel höhere Spannungen, die auf dem Die mit Ladungspumpen generiert werden müssen.
Die Speicherzellen eines Flash-Speichers können nicht einzeln beschrieben und gelöscht werden. Geschrieben werden die Daten in Pages, gelöscht werden sie in Blöcken. Mehrere Pages bilden einen Block. Das macht es notwendig beim Löschen eines Blocks die Daten zwischenzuspeichern, die erhalten bleiben sollen. Außerdem ist es sinnvoll kleine Datenpakete auf möglichst wenig Pages zusammenzufassen. Alle diese Vorgänge verkomplizieren Zugriffe auf den Speicher.
Werden mehrere Bits in einer Speicherzelle abgelegt (MLC, TLC, QLC), so reicht ein einfacher Vergleich des Ausgangssignals dieser Zelle nicht mehr aus, es muss genauer ausgewertet werden. Das ist hier allerdings nicht notwendig, da es sich um einen SLC-Speicher handelt (single level cell).
Flash-Speicher altert mit jedem Zugriff. Damit die einzelnen Bereiche möglichst gleichmäßig altern und nicht ein Teil frühzeitig ausfällt, enthält ein Flash-Speicher üblicherweise ein Speichermanagement, das dafür sorgt, dass Datenpakete nicht dauerhaft auf dieselben Zellen geschrieben werden.
Da die Flash-Zellen altern und somit eine begrenzte Lebensdauer aufweisen, muss ein Ausfall erkannt werden können. Der hier vorliegende Speicher bietet 4Bit-ECC, um Bitkipper in einer Page erkennen zu können. Teilweise bieten Speicherbausteine Reservebereiche, die nach einem Ausfall in den aktiven Betrieb aufgenommen werden.
Der Flash-Speicher im MX63U1GC12HA bietet zusätzliche Funktionen, die weitere Flächen einnehmen: Unique ID Read support, Secure OTP support, Electronic Signature
Abgesehen vom Speicherbereich lassen sich die Funktionen der verschiedenen Strukturen optisch natürlich nicht mehr identifizieren.
Der Qualcomm WTR2965 stellt den LTE Transceiver des Moduls dar. Der Transceiver generiert üblicherweise aus dem Datenstrom des Baseband Prozessors das HF-Signal, das später über die Antenne gesendet werden soll. Gleichzeitig werden empfangene Signale auf eine niedrigere Zwischenfrequenz heruntergemischt, damit der Baseband Prozessor sie verarbeiten kann.
Die Oberfläche des Bausteins zeigt, wie dünn die Epoxidschicht auf dem Die ist. Das Die zeichnet sich bereits durch die Oberfläche ab. Es scheint, dass hier die Füllung des Epoxidmaterials sichtbar werden.
Das Die ähnelt einem Flip-Chip, der kein Epoxidgehäuse mehr besitzt. Der WTR2965 ist allerding noch in ein etwas größere Epoxidgehäuse eingebettet, das auch einige Kontakte trägt.
Typisch für einen integrierten Schaltkreis, der mit sehr hohen Frequenzen arbeitet, sind auf der Metalllage viele kreisförmige Strukturen zu erkennen, die Induktivitäten darstellen. In den Zuleitungen kann man teilweise Kondensatoren und Transistoren erahnen.
Für den SKY68001-31 von Skyworks ist ein ausführlicheres Datenblatt frei verfügbar. Darin ist auch ein Blockschaltbild abgebildet. Der Baustein enthält zwei Sende- und zwei Empfangspfade, auf denen er zwei LTE-Frequenzbereiche bedient (low-band und mid-band).
Im Empfangspfad befinden sich lediglich Tiefpassfilter, im Sendepfad sind neben den Tiefpassfiltern zwei Verstärker integriert (+23dBm). Die Verstärkerleistung wird laut Datenblatt nicht über die Versorgungsspannung, sondern über die Arbeitspunkteinstellung in den Verstärkern variiert.
Ein Umschalter verbindet die externe Antenne mit einem der zwei Empfangspfade, mit einem der zwei Sendepfade oder mit zwei Hilfsausgängen.
Zur Steuerung besitzt der Baustein ein MIPI-Interface.
Auf der Unterseite des nur 4mm x 5mm großen Gehäuses befinden sich mittig größere Pads, die die Ableitung der Verlustleistung verbessern.
Der Baustein ist 0,8mm hoch, davon nimmt der Interposer ungefähr 0,22mm ein. Der Interposer scheint vierlagig aufgebaut zu sein. Oben und unten befinden sich helle Prepreg-Schichten, die außen eine Kupferschicht tragen. Das Core-Material in der Mitte ist etwas dunkler. Es ist beidseitig mit Kupfer kaschiert.
Hat man das Epoxidmaterial verbrannt, so kann man den oberen Teil des Bausteins vom Interposer lösen und es zeigt sich der komplexe Aufbau aus mehreren integrierten Schaltkreisen und SMD-Bauteilen. Das ist besonders bemerkenswert, wenn man bedenkt, dass für diesen Aufbau inklusive Verguss weniger als 0,6mm Höhe zur Verfügung steht.
Mit den noch folgenden Bildern kann man rekonstruieren, wo welche Funktionsblöcke verortet sind. Im rechten Bereich befinden sich zwei Tiefpassfilter-Module (gelb). Jedes Modul muss jeweils zwei Tiefpassfilter enthalten. Die Dies werden als Flip-Chip über Lotkugeln mit dem Interposer verbunden.
Trotz der extrem geringen Höhe ist auf dem unteren Tiefpassfilter noch der Antennenumschalter platziert (blau). Der Umschalter ist klassisch mit Bonddrähten kontaktiert, was gut an den umgebenden Bondpads zu erkennen ist.
Im linken Bereich befinden sich die Verstärker (lila) auf einer Metallfläche. Die Vertiefungen lassen vermuten, dass darunter einige Durchkontaktierungen die Verlustleistung abführen. Die massive Kontaktierung von rechts stellt wahrscheinlich die Versorgung dar. Dazu würden die Kondensatoren passen.
Auf dem Verstärker ist ein weiteres Die platziert (rot). Darin scheint sich die Steuerung zu befinden, die das MIPI-Interface darstellt.
Hier ist das untere Tiefpassfilter-Modul zu sehen. Auf dem Die befinden sich vier Induktivitäten. Die obere Metalllage ist mit relativ dickem Kupfer aufgebaut. Der niedrige Widerstand sorgt für eine hohe Güte, was bei einem Filter meist wünschenswert ist.
Die kurzen Elemente erwecken den Eindruck schlichte Verbindungen zu sein. An den meisten Stellen wäre aber kein Lagenwechsel notwendig. Teilweise wären Kontakte direkt miteinander verbunden. Man kann daher davon ausgehen, dass sich zumindest nicht überall Durchkontaktierungen zwischen den Metalllagen befinden und sich dort entsprechend sehr kleine Kapazitäten ausbilden.
Der Antennenumschalter, der sich über dem unteren Tiefpassfilter befindet, ist zweigeteilt aufgebaut. Im unteren Drittel scheint sich die Steuerung zu befinden, während im oberen Bereich die eigentlichen Umschalter platziert sind.
An der oberen Kante in der Mitte des Dies ist die Antenne angebunden. Von dort führen jeweils drei Pfade zu den Seiten, wo sich zweimal drei Ein-/Ausgänge befinden. Die Zwischenräume scheinen mit vielen seriell geschalteten Transistoren aufgefüllt zu sein. Höchstwahrscheinlich soll diese Maßnahme die parasitären Kapazitäten der Schalter reduzieren, über die bei den hohen Frequenzen hohe Leckströmen abfließen würden.
Von den zweimal drei Ein-/Ausgängen führen sechs weitere, kleinere Schalter zu zwei Potentialen links und rechts an den Kanten des Dies. Höchstwahrscheinlich handelt es sich um Massepotentiale und die zusätzlichen Schalter ermöglichen es die inaktiven Ein-/Ausgänge kurz zu schließen.
Das obere Tiefpassfilter-Modul ist dem unteren sehr ähnlich, es weist aber durchaus kleine Unterschiede auf.
Im linken Bereich des Bausteins befinden sich die Verstärker (unten) und die Steuerung mit dem MIPI-Interface (oben). Das Die des Verstärkers ist hier bereits beschädigt.
Die Steuerung scheint einen gewissen Leistungsteil zu enthalten. Wahrscheinlich handelt es sich um die Arbeitspunkteinstellung des Verstärkers, die zur Regelung der Ausgangsleistung herangezogen wird.
Der Verstärker lässt sich nicht sauber herausarbeiten. Die Oberfläche scheint mit einer massiven Kupferschicht überzogen zu sein.
Der kleine Baustein in der rechten oberen Ecke des Moduls trägt die Bezeichnung RH, mit deren Hilfe sich allerdings keine Rückschlüsse auf die Funktion ziehen lassen.
Das im Package enthaltene Die besitzt ein Kantenlänge von 0,38mm. Die Strukturen sprechen dafür, dass es sich um einen Transistor handelt.
Das Potential des linken Kontakts wird lediglich über zwei kleine Durchkontaktierungen in den aktiven Bereich übertragen. Damit scheint es wahrscheinlicher, dass es sich um einen MOSFET handelt, wo zu dem relativ kleinen Gate nur ein geringer Umladestrom fließen muss. Das Muster auf der Metallfläche des rechten Kontakts könnte durch einzelne kleine Source-Bereiche entstanden sein, wie sie auch bei Leistungs-MOSFETs zum Einsatz kommen.
