h1_key

  面對車用半導(dǎo)體市場如此快速的增長，瑞薩電子開發(fā)了更多車用產(chǎn)品，這其中包括微控制器(MCU)，高度集成的片上系統(tǒng)(SoC) 處理器，存儲器以及電源管理系統(tǒng)(PMIC)。

  隨著行業(yè)的發(fā)展，問題仍然存在：“我們?nèi)绾尾拍茉谡麄€行業(yè)中標(biāo)準(zhǔn)化這些元件的開發(fā)和設(shè)計(jì)，以便我們能夠應(yīng)對風(fēng)險(xiǎn)并自信地聲稱該部件在功能上是安全的?”

  在ISO 26262的第一版中，汽車行業(yè)嘗試了開發(fā)的標(biāo)準(zhǔn)化，以便將如下所列出的大型系統(tǒng)元件開發(fā)時(shí)的風(fēng)險(xiǎn)降至最低：

  因某些相關(guān)關(guān)系的遺漏，或不完整的分析所導(dǎo)致的系統(tǒng)性風(fēng)險(xiǎn)

  設(shè)備故障所導(dǎo)致的隨機(jī)硬件失效

  在過去大約十年的時(shí)間里，汽車OEM一直依靠該標(biāo)準(zhǔn)的第5部分(part 5)來幫助他們解決硬件故障，以實(shí)現(xiàn)業(yè)界公認(rèn)的“安全”設(shè)計(jì)。瑞薩電子在產(chǎn)品開發(fā)中也采用了類似的標(biāo)準(zhǔn)，通過使用失效模式影響診斷分析(FMEDA)以及相關(guān)失效分析(DFA)對我們的產(chǎn)品進(jìn)行分析，并提出解決設(shè)計(jì)中隨機(jī)硬件失效的策略。

  在該標(biāo)準(zhǔn)第5部分的基礎(chǔ)上，為了應(yīng)對汽車系統(tǒng)的復(fù)雜性，ISO 26262擴(kuò)大了其覆蓋范圍，包括進(jìn)了專門針對半導(dǎo)體元件的第11部分(part 11)。

  為了滿足提高功能安全的同時(shí)降低成本的這一新需求，除了我們的R-Car片上系統(tǒng)處理器之外，瑞薩還為汽車系統(tǒng)設(shè)計(jì)人員提供多軌、高功率的電源管理系統(tǒng) (PMIC)。這不僅能夠減少元件數(shù)量，還能夠提供系統(tǒng)開發(fā)所需的高性能。

  圖1：具有3個輸出的基本PMIC

  汽車設(shè)計(jì)師了解在購買PMIC時(shí)需要注意哪些事項(xiàng)，將對功能安全設(shè)計(jì)時(shí)所需要的分析進(jìn)行說明。為了解決在元件層面和系統(tǒng)層面上的相關(guān)失效及隨機(jī)硬件失效問題，瑞薩電子的所有電源產(chǎn)品均采用了類似的架構(gòu)。這樣下次當(dāng)您發(fā)現(xiàn)我們的R-Car套件搭載了瑞薩的PMIC時(shí)，您就會對自己的選擇充滿信心。

  1. ISO 26262分析方法

  ISO 26262 Analysis Tools

  在通讀ISO 26262后，我們總結(jié)了該規(guī)格推薦的3種用于開發(fā)符合功能安全的產(chǎn)品的分析方法，具體如下：

  · 框圖

  · 失效模式，影響及其診斷分析(FMEDA:Failure Modes Effects and Diagnostics Analysis)

  · 相關(guān)失效分析(DFA:Dependent Failure Analysis)

  這些方法之所以會被推薦，是因?yàn)樗鼈兡軌蚪档蛷?fù)雜性的同時(shí)完成功能安全的設(shè)計(jì)。瑞薩電子為了解決隨機(jī)硬件失效的問題，在設(shè)計(jì)每一款PMIC產(chǎn)品時(shí)都采用了這些分析方法。

  1.1 框圖(The Block Diagram)

  通讀ISO 26262的規(guī)格，可以明顯感覺到規(guī)格制定者重視的一件事：避免不必要的復(fù)雜性。并且，該規(guī)格給出了一套制作框圖的標(biāo)準(zhǔn)：

  · 對設(shè)計(jì)進(jìn)行抽象化，以確保每個區(qū)塊都有專門的功能，消除不必要的(往往會引起混亂的)混合功能

  使用概念安全分析(conceptual safety analysis)對運(yùn)作流程簡化，并對具體功能的執(zhí)行位置進(jìn)行最優(yōu)化

  圖2顯示了此類框圖的一個簡單示例。

  圖2：系統(tǒng)框圖示例

  1.2 失效分析方法 (Failure Analysis Tools)

  在開始分析之前，我們需要確認(rèn)規(guī)格希望我們在分析中使用的方法。這些方法可幫助我們確認(rèn)安全機(jī)制和其保護(hù)對象的相關(guān)性(Dependent Failure)以及魯棒性設(shè)計(jì)(Robust Design)所允許的故障模式。

  DFA：此分析方法有助于我們對相關(guān)失效進(jìn)行識別。例如，當(dāng)我們想要找出安全機(jī)制和其保護(hù)對象的元件之間相關(guān)失效時(shí)，可以使用此方法

  下面給出幾種利用該分析方法進(jìn)行識別的常見案例：

  · VCC：為安全機(jī)制供電的電路發(fā)生漂移、噪聲或故障時(shí)，可能會對供電設(shè)備產(chǎn)生不利影響

  溫度：溫度的升高或降低可能會影響監(jiān)測精度的同時(shí)，降低其控制某些對象的能力

  DFA通過識別并減輕相關(guān)關(guān)系(Dependencies)的方法，使這些影響得到減輕。

  FMEDA：該分析方法在考慮了例如電阻串損壞和漂移等普遍被接受的故障模式的前提下，對功能所受的影響進(jìn)行分析。同時(shí)還可用作失效性模擬器，對ASIL評級的安全范圍是否合理的進(jìn)行確認(rèn)

  DFA需要識別各個功能之間的相關(guān)性，而FMEDA則是一種更為直接的方法。FMEDA的目標(biāo)是調(diào)查功能的層次結(jié)構(gòu)并將預(yù)想的故障模式應(yīng)用于每個元素。此處涵蓋的故障最初在ISO 26262的第5部分中引入，然后在第二版的第 11 部分中進(jìn)行了擴(kuò)展。其中包括：

  電阻器故障和元漂移

  內(nèi)存中的軟錯誤率，以及數(shù)字邏輯電路中的固定型故障

  數(shù)據(jù)傳輸失敗

  在概念設(shè)計(jì)階段，將這些故障應(yīng)用于設(shè)計(jì)，創(chuàng)建機(jī)制來解決故障模式，然后分配覆蓋范圍。

  2. 瑞薩PMIC架構(gòu)介紹

  Introducing Renesas PMIC Architecture

  瑞薩電子基于這些分析的結(jié)果，定義了產(chǎn)品的主要元素。

  基準(zhǔn)電壓的生成：這通常包括分配帶隙和偏置電壓的電路

  內(nèi)部電源的生成：為設(shè)備的內(nèi)部元件提供電源的內(nèi)部電源域

  開關(guān)：這包括提供輸入電壓切換的預(yù)驅(qū)動器和驅(qū)動器電路

  PWM控制電路：這包括整個控制回路

  調(diào)節(jié)器使能：啟用或禁用調(diào)節(jié)器

  數(shù)字核心：控制上述要素的構(gòu)成使其可用于不同的應(yīng)用

  通常，這些系統(tǒng)就是PMIC(電源管理系統(tǒng))的基本構(gòu)成要素，如圖3所示。

  圖3：基本監(jiān)管架構(gòu)

  結(jié)合DFA和FMEDA，我們可以從概念上分析我們的架構(gòu)，并考慮追加必要的功能和安全機(jī)制，以提高對硬件失效方面的魯棒性。雖然此分析并非詳盡，但它將為我們的數(shù)據(jù)資料提供一些背景信息。

  2.1.1 內(nèi)部軌和偏置生成(Internal Rail and Bias Generation)

  瑞薩電子在設(shè)計(jì)產(chǎn)品時(shí)，首先會明確各個要素間的偏置關(guān)系。例如，為設(shè)備周圍的電路提供抽頭電壓的DAC。

  我們根據(jù)DFA定義了故障模型并總結(jié)為以下內(nèi)容。

  共因失效 (CCF：Common Cause Failure)：單個故障導(dǎo)致兩個獨(dú)立元件各自發(fā)生故障

  圖4：共因失效模型

  級聯(lián)失效(Cascading Failure)：一個元件出現(xiàn)的故障導(dǎo)致另一個元件出現(xiàn)故障

  圖5：級聯(lián)失效模型

  將這兩種失效模型與圖3結(jié)合來看，偏置和VCC使用了同一個生成源，如果出現(xiàn)故障，將會影響電壓調(diào)節(jié)和監(jiān)測機(jī)制。

  為了解決這個問題，原始架構(gòu)被更改的更加獨(dú)立。

  圖6：改進(jìn)的偏置結(jié)構(gòu)，具有單獨(dú)的電力供給

  圖6給出了處理這種相關(guān)關(guān)系時(shí)的一種方法，其中有單獨(dú)的偏置電路(帶隙)和電壓DAC來創(chuàng)建各自獨(dú)立的偏置點(diǎn)。這減少了電路之間的相關(guān)性，這也是為什么您會在我們的許多數(shù)據(jù)表中找到獨(dú)立的帶隙、帶隙監(jiān)測器和VCC監(jiān)測器的原因。安全要求越嚴(yán)格，解決方案就越復(fù)雜。

  2.1.2 PWM控制電路和輸出開關(guān)及驅(qū)動器(PWM Control Circuit & Output Switches and Drivers)

  在設(shè)計(jì)反饋回路時(shí)，不同的架構(gòu)決定了不同的性能以及必要的安全機(jī)構(gòu)，因此反饋回路的設(shè)計(jì)對PMIC尤為重要。具體的失效模式分析示例如下：

    由于被固定在高電平或低電平而導(dǎo)致輸出切換的故障：這將導(dǎo)致由于直通短路或?qū)⑤敵鲋苯舆B接到地或 VIN 而導(dǎo)致切換出現(xiàn)無規(guī)則性的問題

  為防止負(fù)載變化期間相對于設(shè)定值出現(xiàn)的過度變化的控制回路補(bǔ)償：這里的潛在故障是，控制器的帶寬急劇變化可能導(dǎo)致過壓或振蕩現(xiàn)象的發(fā)生

  由于許多故障會導(dǎo)致輸出電壓偏離其設(shè)定值或輸出電流超過設(shè)備或其負(fù)載的安全額定值，因此PMIC需要具有監(jiān)控輸出電流和輸出電壓的安全機(jī)制。這些安全機(jī)制通常由比較器或板載模數(shù) (A/D) 轉(zhuǎn)換器來實(shí)現(xiàn)。

  接下來，我們將用DFA來分析反饋節(jié)點(diǎn)。在反饋路徑中，通常有一個電阻分壓器網(wǎng)絡(luò)將輸出電壓轉(zhuǎn)換為內(nèi)部參考電平。若該電阻器出現(xiàn)故障，目標(biāo)設(shè)定值會變得不正確，并且影響監(jiān)測機(jī)制的監(jiān)測能力。

  因此我們得出了以下標(biāo)準(zhǔn)：

  設(shè)備需要設(shè)置兩個獨(dú)立的反饋源，以解決反饋節(jié)點(diǎn)與板上另一個引腳或另一個電壓短路的相關(guān)故障

  這種獨(dú)立的反饋源需要一個冗余電阻分壓器來解決電阻反饋網(wǎng)絡(luò)任何部分的短路故障模式

  出于這個原因，您經(jīng)常會在我們的產(chǎn)品中看到除了反饋引腳之外還有另一個用于監(jiān)控的引腳。如果是內(nèi)置反饋電阻，則大多情況下會為了冗余性而設(shè)立其他不同的路徑。

  對于最后的兩節(jié)中，我們的焦點(diǎn)將由控制回路轉(zhuǎn)向監(jiān)測機(jī)制。

  2.1.3 監(jiān)視器和控制(Monitors and Controls)

  監(jiān)視器和使能控制可以說是設(shè)備中最重要的電路之一，因?yàn)樗鼈儗τ诖_保系統(tǒng)功能安全的安全機(jī)制的實(shí)施至關(guān)重要。它們由以下一系列比較器電路組成：

  過流監(jiān)測

  上電復(fù)位監(jiān)測

  輸出電壓(過壓和欠壓)監(jiān)測

  內(nèi)部時(shí)鐘監(jiān)測

  在進(jìn)行FMEDA分析時(shí)，我們假設(shè)比較器輸出出現(xiàn)了固定型故障(固定在高位和低位)。在這兩個故障中，固定在低位的影響更大，因?yàn)樵谡２僮髦袝┑舭l(fā)生的故障，成為潛在故障。為了提高設(shè)備檢測出這些低位固定型故障的能力，瑞薩PMIC設(shè)置了自檢功能 (ABIST)。

  數(shù)字控制器將輸入切換至比較器以生成強(qiáng)制觸發(fā)，正常運(yùn)作得到確定后，輸入控制再次變?yōu)檎ＤＪ健?/span>

  2.1.4 數(shù)字內(nèi)核(Digital Core)

  如圖9所示，數(shù)字內(nèi)核位于模擬部分附近，并且通常分為負(fù)責(zé)功能安全相關(guān)控制的部分和負(fù)責(zé)穩(wěn)壓器啟動和控制的部分。

  這種架構(gòu)通常更適合用于減少DFA分析所發(fā)現(xiàn)的相關(guān)關(guān)系。為了更好地理解數(shù)字內(nèi)核的結(jié)構(gòu)，請參見圖9，其中主要功能包括：

  通常由寄存器和一次性可編程 (OTP) 熔絲構(gòu)成

  功能安全相關(guān)控制，通常由狀態(tài)機(jī)實(shí)現(xiàn)

  通信，通常搭載I2C 或 SPI 控制器

  在這里，針對一次性可編程(OTP)熔絲陣列和配置寄存器進(jìn)行數(shù)據(jù)損(Bit Corruption)相關(guān)的FMEDA分析后，能夠預(yù)想到在啟動或者運(yùn)行時(shí)將會出現(xiàn)芯片配置錯誤的故障。為了防止出現(xiàn)此問題，在啟動時(shí)和設(shè)備配置中定期執(zhí)行循環(huán)冗余計(jì)算(CRC)。并且將此方法擴(kuò)展到通信接口。

  實(shí)現(xiàn)數(shù)字部分的安全機(jī)制的方法還有很多，除了CRC之外，還有以下列出的安全機(jī)制：

  必要的冗余邏輯

  時(shí)鐘監(jiān)測

  邏輯BIST(LBIST)，與ABIST一樣，檢查數(shù)字邏輯是否存在固定型故障

  3. 結(jié)論

  新產(chǎn)品的開發(fā)都會由設(shè)計(jì)團(tuán)隊(duì)和安全團(tuán)隊(duì)對功能安全機(jī)制進(jìn)行探討研究，由營銷團(tuán)隊(duì)將這些新產(chǎn)品的特點(diǎn)進(jìn)行推廣和普及。文中介紹的概念性分析旨在為讀者提供一些捷徑，以便于了解瑞薩電子是如何設(shè)計(jì)ASIL級電源管理產(chǎn)品，以及為何我們會在硬件數(shù)據(jù)表中列出各種“安全”相關(guān)功能的原因。