工程師說(shuō) | 用于為ADAS應(yīng)用開發(fā)的電源系統(tǒng)的功能安全開發(fā)工具和方法

汽車原始設(shè)備制造商(OEM)一直處于移動(dòng)出行(Mobility)和高級(jí)駕駛輔助系統(tǒng)(ADAS)的前沿，在這個(gè)快速發(fā)展的領(lǐng)域爭(zhēng)奪領(lǐng)導(dǎo)地位。隨著這些系統(tǒng)的進(jìn)步，車輛中半導(dǎo)體元件的數(shù)量也隨之增加，以應(yīng)對(duì)不斷增加的新功能。

面對(duì)車用半導(dǎo)體市場(chǎng)如此快速的增長(zhǎng)，瑞薩電子開發(fā)了許多車用產(chǎn)品，這其中包括微控制器(MCU)，高度集成的片上系統(tǒng)(SoC) 處理器，存儲(chǔ)器以及電源管理系統(tǒng)(PMIC)。

然而，隨著行業(yè)的發(fā)展，問(wèn)題仍然存在：“我們?nèi)绾尾拍茉谡麄€(gè)行業(yè)中標(biāo)準(zhǔn)化這些元件的開發(fā)和設(shè)計(jì)，以便我們能夠應(yīng)對(duì)風(fēng)險(xiǎn)并自信地聲稱該部件在功能上是安全的？”

因此，在ISO 26262的第一版中，汽車行業(yè)嘗試了開發(fā)的標(biāo)準(zhǔn)化，以便將如下所列出的大型系統(tǒng)元件開發(fā)時(shí)的風(fēng)險(xiǎn)降至最低：

因某些相關(guān)關(guān)系的遺漏，或不完整的分析所導(dǎo)致的系統(tǒng)性風(fēng)險(xiǎn)

設(shè)備故障所導(dǎo)致的隨機(jī)硬件失效

在過(guò)去大約十年的時(shí)間里，汽車OEM一直依靠該標(biāo)準(zhǔn)的第5部分(part 5)來(lái)幫助他們解決硬件故障，以實(shí)現(xiàn)業(yè)界公認(rèn)的“安全”設(shè)計(jì)。瑞薩電子在產(chǎn)品開發(fā)中也采用了類似的標(biāo)準(zhǔn)，通過(guò)使用失效模式影響診斷分析(FMEDA)以及相關(guān)失效分析(DFA)對(duì)我們的產(chǎn)品進(jìn)行分析，并提出解決設(shè)計(jì)中隨機(jī)硬件失效的策略。

在該標(biāo)準(zhǔn)第5部分的基礎(chǔ)上，為了應(yīng)對(duì)汽車系統(tǒng)的復(fù)雜性，ISO 26262擴(kuò)大了其覆蓋范圍，包括進(jìn)了專門針對(duì)半導(dǎo)體元件的第11部分(part 11)。

為了滿足提高功能安全的同時(shí)降低成本的這一新需求，除了我們的R-Car片上系統(tǒng)處理器之外，瑞薩還為汽車系統(tǒng)設(shè)計(jì)人員提供多軌、高功率的電源管理系統(tǒng) (PMIC)。這不僅能夠減少元件數(shù)量，還能夠提供系統(tǒng)開發(fā)所需的高性能。

圖1：具有3個(gè)輸出的基本PMIC

為幫助汽車設(shè)計(jì)師了解在購(gòu)買PMIC時(shí)需要注意哪些事項(xiàng)，我們將對(duì)功能安全設(shè)計(jì)時(shí)所需要的分析進(jìn)行說(shuō)明。為了解決在元件層面和系統(tǒng)層面上的相關(guān)失效及隨機(jī)硬件失效問(wèn)題，瑞薩電子的所有電源產(chǎn)品均采用了類似的架構(gòu)。這樣下次當(dāng)您發(fā)現(xiàn)我們的R-Car套件搭載了瑞薩的PMIC時(shí)，您就會(huì)對(duì)自己的選擇充滿信心。

1. ISO 26262分析方法

ISO 26262 Analysis Tools

在通讀ISO 26262后，我們總結(jié)了該規(guī)格推薦的3種用于開發(fā)符合功能安全的產(chǎn)品的分析方法，具體如下：

• 框圖失效模式，影響及其診斷分析（FMEDA:Failure Modes Effects and Diagnostics Analysis）相關(guān)失效分析(DFA:Dependent Failure Analysis)

這些方法之所以會(huì)被推薦，是因?yàn)樗鼈兡軌蚪档蛷?fù)雜性的同時(shí)完成功能安全的設(shè)計(jì)。瑞薩電子為了解決隨機(jī)硬件失效的問(wèn)題，在設(shè)計(jì)每一款PMIC產(chǎn)品時(shí)都采用了這些分析方法。

1.1 框圖（The Block Diagram）

通讀ISO 26262的規(guī)格，可以明顯感覺(jué)到規(guī)格制定者重視的一件事：避免不必要的復(fù)雜性。并且，該規(guī)格給出了一套制作框圖的標(biāo)準(zhǔn)：

• 對(duì)設(shè)計(jì)進(jìn)行抽象化，以確保每個(gè)區(qū)塊都有專門的功能，消除不必要的（往往會(huì)引起混亂的）混合功能

使用概念安全分析（conceptual safety analysis）對(duì)運(yùn)作流程簡(jiǎn)化，并對(duì)具體功能的執(zhí)行位置進(jìn)行最優(yōu)化

圖2顯示了此類框圖的一個(gè)簡(jiǎn)單示例。

圖2：系統(tǒng)框圖示例

1.2 失效分析方法 (Failure Analysis Tools)

在開始分析之前，我們需要確認(rèn)規(guī)格希望我們?cè)诜治鲋惺褂玫姆椒?。這些方法可幫助我們確認(rèn)安全機(jī)制和其保護(hù)對(duì)象的相關(guān)性（Dependent Failure）以及魯棒性設(shè)計(jì)（Robust Design）所允許的故障模式。

DFA：此分析方法有助于我們對(duì)相關(guān)失效進(jìn)行識(shí)別。例如，當(dāng)我們想要找出安全機(jī)制和其保護(hù)對(duì)象的元件之間相關(guān)失效時(shí)，可以使用此方法

下面給出幾種利用該分析方法進(jìn)行識(shí)別的常見(jiàn)案例：

• VCC：為安全機(jī)制供電的電路發(fā)生漂移、噪聲或故障時(shí)，可能會(huì)對(duì)供電設(shè)備產(chǎn)生不利影響

溫度：溫度的升高或降低可能會(huì)影響監(jiān)測(cè)精度的同時(shí)，降低其控制某些對(duì)象的能力

DFA通過(guò)識(shí)別并減輕相關(guān)關(guān)系（Dependencies）的方法，使這些影響得到減輕。

FMEDA：該分析方法在考慮了例如電阻串損壞和漂移等普遍被接受的故障模式的前提下，對(duì)功能所受的影響進(jìn)行分析。同時(shí)還可用作失效性模擬器，對(duì)ASIL評(píng)級(jí)的安全范圍是否合理的進(jìn)行確認(rèn)

DFA需要識(shí)別各個(gè)功能之間的相關(guān)性，而FMEDA則是一種更為直接的方法。FMEDA的目標(biāo)是調(diào)查功能的層次結(jié)構(gòu)并將預(yù)想的故障模式應(yīng)用于每個(gè)元素。此處涵蓋的故障最初在ISO 26262的第5部分中引入，然后在第二版的第 11 部分中進(jìn)行了擴(kuò)展。其中包括：

電阻器故障和元漂移

內(nèi)存中的軟錯(cuò)誤率，以及數(shù)字邏輯電路中的固定型故障

• 數(shù)據(jù)傳輸失敗

在概念設(shè)計(jì)階段，將這些故障應(yīng)用于設(shè)計(jì)，創(chuàng)建機(jī)制來(lái)解決故障模式，然后分配覆蓋范圍。

2. 瑞薩PMIC架構(gòu)介紹

Introducing Renesas PMIC Architecture

瑞薩電子基于這些分析的結(jié)果，定義了產(chǎn)品的主要元素。

基準(zhǔn)電壓的生成：這通常包括分配帶隙和偏置電壓的電路

內(nèi)部電源的生成：為設(shè)備的內(nèi)部元件提供電源的內(nèi)部電源域

開關(guān)：這包括提供輸入電壓切換的預(yù)驅(qū)動(dòng)器和驅(qū)動(dòng)器電路

PWM控制電路：這包括整個(gè)控制回路

調(diào)節(jié)器使能：?jiǎn)⒂没蚪谜{(diào)節(jié)器

數(shù)字核心：控制上述要素的構(gòu)成使其可用于不同的應(yīng)用

通常，這些系統(tǒng)就是PMIC(電源管理系統(tǒng))的基本構(gòu)成要素，如圖3所示。

圖3：基本監(jiān)管架構(gòu)

結(jié)合DFA和FMEDA，我們可以從概念上分析我們的架構(gòu)，并考慮追加必要的功能和安全機(jī)制，以提高對(duì)硬件失效方面的魯棒性。雖然此分析并非詳盡，但它將為我們的數(shù)據(jù)資料提供一些背景信息。

2.1.1 內(nèi)部軌和偏置生成（Internal Rail and Bias Generation）

瑞薩電子在設(shè)計(jì)產(chǎn)品時(shí)，首先會(huì)明確各個(gè)要素間的偏置關(guān)系。例如，為設(shè)備周圍的電路提供抽頭電壓的DAC。

我們根據(jù)DFA定義了故障模型并總結(jié)為以下內(nèi)容。

• 共因失效 (CCF：Common Cause Failure)：?jiǎn)蝹€(gè)故障導(dǎo)致兩個(gè)獨(dú)立元件各自發(fā)生故障

圖4：共因失效模型

級(jí)聯(lián)失效（Cascading Failure）：一個(gè)元件出現(xiàn)的故障導(dǎo)致另一個(gè)元件出現(xiàn)故障

圖5：級(jí)聯(lián)失效模型

將這兩種失效模型與圖3結(jié)合來(lái)看，偏置和VCC使用了同一個(gè)生成源，如果出現(xiàn)故障，將會(huì)影響電壓調(diào)節(jié)和監(jiān)測(cè)機(jī)制。

為了解決這個(gè)問(wèn)題，原始架構(gòu)被更改的更加獨(dú)立。

圖6：改進(jìn)的偏置結(jié)構(gòu)，具有單獨(dú)的電力供給

圖6給出了處理這種相關(guān)關(guān)系時(shí)的一種方法，其中有單獨(dú)的偏置電路（帶隙）和電壓DAC來(lái)創(chuàng)建各自獨(dú)立的偏置點(diǎn)。這減少了電路之間的相關(guān)性，這也是為什么您會(huì)在我們的許多數(shù)據(jù)表中找到獨(dú)立的帶隙、帶隙監(jiān)測(cè)器和VCC監(jiān)測(cè)器的原因。安全要求越嚴(yán)格，解決方案就越復(fù)雜。

2.1.2 PWM控制電路和輸出開關(guān)及驅(qū)動(dòng)器（PWM Control Circuit & Output Switches and Drivers）

在設(shè)計(jì)反饋回路時(shí)，不同的架構(gòu)決定了不同的性能以及必要的安全機(jī)構(gòu)，因此反饋回路的設(shè)計(jì)對(duì)PMIC尤為重要。具體的失效模式分析示例如下：

由于被固定在高電平或低電平而導(dǎo)致輸出切換的故障：這將導(dǎo)致由于直通短路或?qū)⑤敵鲋苯舆B接到地或 VIN 而導(dǎo)致切換出現(xiàn)無(wú)規(guī)則性的問(wèn)題為防止負(fù)載變化期間相對(duì)于設(shè)定值出現(xiàn)的過(guò)度變化的控制回路補(bǔ)償：這里的潛在故障是，控制器的帶寬急劇變化可能導(dǎo)致過(guò)壓或振蕩現(xiàn)象的發(fā)生

由于許多故障會(huì)導(dǎo)致輸出電壓偏離其設(shè)定值或輸出電流超過(guò)設(shè)備或其負(fù)載的安全額定值，因此PMIC需要具有監(jiān)控輸出電流和輸出電壓的安全機(jī)制。這些安全機(jī)制通常由比較器或板載模數(shù) (A/D) 轉(zhuǎn)換器來(lái)實(shí)現(xiàn)。

接下來(lái)，我們將用DFA來(lái)分析反饋節(jié)點(diǎn)。在反饋路徑中，通常有一個(gè)電阻分壓器網(wǎng)絡(luò)將輸出電壓轉(zhuǎn)換為內(nèi)部參考電平。若該電阻器出現(xiàn)故障，目標(biāo)設(shè)定值會(huì)變得不正確，并且影響監(jiān)測(cè)機(jī)制的監(jiān)測(cè)能力。

因此我們得出了以下標(biāo)準(zhǔn)：

設(shè)備需要設(shè)置兩個(gè)獨(dú)立的反饋源，以解決反饋節(jié)點(diǎn)與板上另一個(gè)引腳或另一個(gè)電壓短路的相關(guān)故障

這種獨(dú)立的反饋源需要一個(gè)冗余電阻分壓器來(lái)解決電阻反饋網(wǎng)絡(luò)任何部分的短路故障模式

出于這個(gè)原因，您經(jīng)常會(huì)在我們的產(chǎn)品中看到除了反饋引腳之外還有另一個(gè)用于監(jiān)控的引腳。如果是內(nèi)置反饋電阻，則大多情況下會(huì)為了冗余性而設(shè)立其他不同的路徑。

圖7：基本DC/DC調(diào)制器

對(duì)于最后的兩節(jié)中，我們的焦點(diǎn)將由控制回路轉(zhuǎn)向監(jiān)測(cè)機(jī)制。

2.1.3 監(jiān)視器和控制（Monitors and Controls）

監(jiān)視器和使能控制可以說(shuō)是設(shè)備中最重要的電路之一，因?yàn)樗鼈儗?duì)于確保系統(tǒng)功能安全的安全機(jī)制的實(shí)施至關(guān)重要。它們由以下一系列比較器電路組成：

過(guò)流監(jiān)測(cè)

上電復(fù)位監(jiān)測(cè)

輸出電壓（過(guò)壓和欠壓）監(jiān)測(cè)

內(nèi)部時(shí)鐘監(jiān)測(cè)

在進(jìn)行FMEDA分析時(shí)，我們假設(shè)比較器輸出出現(xiàn)了固定型故障（固定在高位和低位）。在這兩個(gè)故障中，固定在低位的影響更大，因?yàn)樵谡２僮髦袝?huì)漏掉發(fā)生的故障，成為潛在故障。為了提高設(shè)備檢測(cè)出這些低位固定型故障的能力，瑞薩PMIC設(shè)置了自檢功能 (ABIST)。

圖8：比較器BIST架構(gòu)示例

數(shù)字控制器將輸入切換至比較器以生成強(qiáng)制觸發(fā)，正常運(yùn)作得到確定后，輸入控制再次變?yōu)檎ＤＪ健?/p>

2.1.4 數(shù)字內(nèi)核（Digital Core）

如圖9所示，數(shù)字內(nèi)核位于模擬部分附近，并且通常分為負(fù)責(zé)功能安全相關(guān)控制的部分和負(fù)責(zé)穩(wěn)壓器啟動(dòng)和控制的部分。

這種架構(gòu)通常更適合用于減少DFA分析所發(fā)現(xiàn)的相關(guān)關(guān)系。為了更好地理解數(shù)字內(nèi)核的結(jié)構(gòu)，請(qǐng)參見(jiàn)圖9，其中主要功能包括：

通常由寄存器和一次性可編程 (OTP) 熔絲構(gòu)成

功能安全相關(guān)控制，通常由狀態(tài)機(jī)實(shí)現(xiàn)

通信，通常搭載I2C 或 SPI 控制器

圖9：模擬和數(shù)字分區(qū)

在這里，針對(duì)一次性可編程(OTP)熔絲陣列和配置寄存器進(jìn)行數(shù)據(jù)損（Bit Corruption）相關(guān)的FMEDA分析后，能夠預(yù)想到在啟動(dòng)或者運(yùn)行時(shí)將會(huì)出現(xiàn)芯片配置錯(cuò)誤的故障。為了防止出現(xiàn)此問(wèn)題，在啟動(dòng)時(shí)和設(shè)備配置中定期執(zhí)行循環(huán)冗余計(jì)算(CRC)。并且將此方法擴(kuò)展到通信接口。

實(shí)現(xiàn)數(shù)字部分的安全機(jī)制的方法還有很多，除了CRC之外，還有以下列出的安全機(jī)制：

必要的冗余邏輯

時(shí)鐘監(jiān)測(cè)

邏輯BIST(LBIST)，與ABIST一樣，檢查數(shù)字邏輯是否存在固定型故障

3. 結(jié)論

Conclusion

每個(gè)新產(chǎn)品的開發(fā)，都會(huì)由設(shè)計(jì)團(tuán)隊(duì)和安全團(tuán)隊(duì)對(duì)功能安全機(jī)制進(jìn)行探討研究，然后由營(yíng)銷團(tuán)隊(duì)將這些新產(chǎn)品的特點(diǎn)進(jìn)行推廣和普及。本文中介紹的概念性分析旨在為讀者提供一些捷徑，以便于了解瑞薩電子是如何設(shè)計(jì)ASIL級(jí)電源管理產(chǎn)品，以及為何我們會(huì)在硬件數(shù)據(jù)表中列出各種“安全”相關(guān)功能的原因。

作者：克里斯托弗·詹姆斯·塞曼森專職應(yīng)用工程師