功能安全成為汽車(chē)行業(yè)關(guān)注焦點(diǎn)

近年來(lái)汽車(chē)行業(yè)在追求自動(dòng)化、互聯(lián)化、電氣化和服務(wù)化方面取得了快速進(jìn)步，而支撐這些領(lǐng)域各種創(chuàng )新的重中之重，則是對功能安全的關(guān)注。在最高等級的安全性變得越來(lái)越重要的同時(shí)，安全標準也越來(lái)越嚴格、具體和新穎。對于此類(lèi)“安全關(guān)鍵型(Functional Safety)”汽車(chē)應用，MPS推出了MPSafeTM 汽車(chē)級解決方案系列產(chǎn)品，為未來(lái)的汽車(chē)保駕護航。MPS開(kāi)發(fā)的智能解決方案，可以提供 ASIL-D 監控器以防止意外情況，并能提供自動(dòng)駕駛計算行業(yè)至關(guān)重要的安全檢測以及整套高效、快捷的解決方案。
 

MPSafe? 應運而生

圖1：MPSafe?為未來(lái)汽車(chē)保駕護航

ISO26262認證的產(chǎn)品開(kāi)發(fā)流程

在汽車(chē)自動(dòng)駕駛應用中，駕駛員或乘客與電氣電子設備之間的相互作用正在顯著(zhù)增加，其中自動(dòng)駕駛汽車(chē)的安全關(guān)鍵決策變得尤其重要，它對駕駛員或乘客的安全可能造成的潛在影響不容忽視。隨著(zhù)這些先進(jìn)安全技術(shù)的操作系統從被動(dòng)轉向更加主動(dòng)，汽車(chē)的安全駕駛儼然成為人們關(guān)注的焦點(diǎn)和必須解決的問(wèn)題。同時(shí)，自動(dòng)駕駛平臺變得越來(lái)越復雜，出現了越來(lái)越多的系統性或隨機硬件故障的風(fēng)險。為了幫助確立最高安全性標準，行業(yè)發(fā)布了最新的符合國際標準化組織（ISO） 26262的汽車(chē)安全標準。

圖2：行業(yè)發(fā)布最新符合ISO26262 汽車(chē)安全標準

1. 芯片定義：包括芯片功能定義以及芯片安全功能定義。MPS架構團隊為該芯片打造所需的功能，同時(shí)與MPS安全團隊緊密合作，了解芯片功能安全對芯片功能的影響。安全團隊負責制定、審查并通過(guò)該芯片的安全計劃，發(fā)布屬于該芯片的應用假設，建立芯片開(kāi)發(fā)安全檔案。

2. 芯片設計：根據芯片需要滿(mǎn)足的系統安全要求，落實(shí)該芯片的規格和功能要求。安全團隊對該芯片進(jìn)行定量安全分析（Quantitative Safety Analysis, FMEDA）以評估風(fēng)險和確保滿(mǎn)足系統安全要求等級。芯片設計團隊需提供相關(guān)性失效分析(Dependent Failure Analysis)，進(jìn)行芯片在IC功能以及安全機制的失效分析。通過(guò)仿真、封裝失效分析和質(zhì)量分析，推演和驗證不同失效模式機制，分析芯片的安全機制是否符合要求。芯片設計團隊還需與芯片驗證團隊建立完整的芯片驗證方案等等。

3. 芯片樣品：負責為MPSafeTM 提供封裝的廠(chǎng)商應嚴格遵循MPSafeTM流程及要求生產(chǎn)樣品，以滿(mǎn)足汽車(chē)安規等級。整個(gè)芯片樣品生產(chǎn)的流程受到安全團隊的監管，以保證要求與實(shí)際生產(chǎn)不存在偏差。

4. 芯片測試：芯片測試包括芯片電氣特性測試 (Electrical Characterization)、可靠性測試 (Reliability Test)，IC表征測試 (IC Characterization)，實(shí)驗臺功能和電氣測試 (Road Test Functional and Electrical Verification)，以及使用自動(dòng)測試設備進(jìn)行的大規模測試 (ATE Test)等等。一旦這些測試中出現任何失效或問(wèn)題，團隊立刻對失效和問(wèn)題進(jìn)行分析并提出解決方案，重新生產(chǎn)新的芯片樣本以確保徹底解決問(wèn)題和規避風(fēng)險。

5. 成品出貨：在以上所有四個(gè)步驟都正常進(jìn)行的過(guò)程中，MPS安全團隊始終與第三方權威認證機構緊密合作，以確保MPSafeTM 開(kāi)發(fā)流程和生產(chǎn)流程所有設計、測試、生產(chǎn)環(huán)節均滿(mǎn)足安全要求。所有的環(huán)節都會(huì )通過(guò)權威第三方認證，并發(fā)行符合認證的安全證書(shū)、手冊。完成所有安全應用分析以及認證之后，該芯片將在嚴格的MPS標準要求下完成所有出貨前測試并出貨。

廣闊的應用場(chǎng)景 — 從QM到ASIL-D

隨著(zhù)電動(dòng)汽車(chē)市場(chǎng)的不斷擴張，自動(dòng)駕駛技術(shù)的飛速發(fā)展，現階段，基于MPSafeTM開(kāi)發(fā)流程研發(fā)的芯片已經(jīng)覆蓋多種自動(dòng)駕駛應用場(chǎng)景。例如自動(dòng)駕駛平臺的汽車(chē)核心計算系統，雷達系統，攝像系統等等?；贛PSafeTM開(kāi)發(fā)流程提出的智能供電與監控解決方案和相關(guān)芯片，力求幫助客戶(hù)規避潛在風(fēng)險，并通過(guò)高可靠性和安全性，控制風(fēng)險及故障，實(shí)現了從QM到汽車(chē)最高安全等級ASIL-D級的規定，為自動(dòng)駕駛平臺高效安全供電及監控保駕護航。

MPSafe?— 面向系統的安全設計

直面系統級設計痛點(diǎn)，聚力解決安全挑戰

隨著(zhù)人們越來(lái)越依賴(lài) ADAS 等自動(dòng)駕駛技術(shù)，安全成為整個(gè)系統設計和開(kāi)發(fā)過(guò)程中面臨的最大挑戰和高度關(guān)注的問(wèn)題之一。 對于自動(dòng)駕駛系統中的計算平臺， 為應對安全挑戰，規避潛在風(fēng)險，自動(dòng)駕駛計算平臺應始終受到監管。穩定的供電電壓對于安全正常運行至關(guān)重要。 電壓的任何動(dòng)態(tài)變化或瞬態(tài)故障都可能導致計算處理器故障。這意味著(zhù)對于自動(dòng)駕駛供電系統來(lái)說(shuō)，需要具備提供穩定的電壓的能力，同時(shí)也應具備自身與系統故障監測、報告的能力，以保證系統的正常運行。目前，MPSafeTM開(kāi)發(fā)的系列產(chǎn)品具備的內建自測試 (BIST) 、通過(guò)冗余的參考電壓和時(shí)鐘進(jìn)行自我監控等等，力求保證芯片本身的安全狀態(tài)。

1.內建自測試 (BIST)

BIST 等集成安全機制，可提供高診斷覆蓋率，以確保每個(gè)駕駛周期的可靠性。電壓監視器中有兩種形式的 BIST：

1. 模擬電路自檢 (ABIST)： ABIST 通過(guò)向診斷電路注入電流或電壓來(lái)執行診斷電路故障。該功能驗證診斷電路是否可以在故障和非故障條件之間切換，這表明模擬安全機制運行正常。在此過(guò)程中，將檢查所有與安全相關(guān)的比較器和受監控的參考電壓。

2. 邏輯電路自檢（LBIST）：LBIST允許硬件自行測試。LBIST 具有檢測內部邏輯電路錯誤的能力。

2.參考電壓監測

系統的參考電壓（Reference Voltage）對于芯片的重要性不言而喻，它是芯片中多個(gè)電路和模塊正常工作的基礎。在芯片中，多個(gè)模塊需要使用參考電壓作為精確電壓控制的基準，例如模擬數字轉換器（ADC）等。若參考電壓不穩定，會(huì )導致芯片工作不穩定、誤差增加及性能降低。因此，參考電壓的好壞對于芯片能否正常運行至關(guān)重要。MPS為保證芯片的參考電壓的精度和穩定性，配有參考電壓檢測機制，通過(guò)引入冗余參考電壓，對系統參考電壓進(jìn)行監督。一旦發(fā)現系統電壓漂移超過(guò)預設范圍，將拉低并中斷該錯誤。

3.系統時(shí)鐘監測

系統的時(shí)鐘信號是IC中各個(gè)電路和模塊的同步信號，以保證各個(gè)電路和模塊在正確的時(shí)間按照正確的順序執行相應的操作，例如時(shí)鐘信號可以同步計數器、狀態(tài)機、數據采樣及數據通信等等。如果時(shí)鐘信號出現故障，會(huì )導致IC中的電路和模塊無(wú)法同步，甚至數據丟失、錯誤計數、狀態(tài)機無(wú)法成功跳轉、甚至系統崩潰等等問(wèn)題。因此在IC設計過(guò)程中，時(shí)鐘信號的監控尤為重要。MPS通過(guò)引入一個(gè)參考時(shí)鐘，與系統時(shí)鐘互相監測，可以在系統時(shí)鐘漂移超過(guò)預設范圍時(shí)，拉低中斷芯片并報告該錯誤。

用于不同安全等級系統的可擴展、模塊化解決方案

MPSafeTM不僅考慮了設備本身如何處理各種安全案例，安全目標，還可以通過(guò)芯片引腳的兼容性以及配套的安全文件，實(shí)現解決方案的可擴展和模塊化功能，以達到可靠高效快捷的目標。解決方案的可擴展性包括滿(mǎn)足不同ASIL安全等級、功能需求和應用場(chǎng)景。模塊化包括針對系統不同應用模塊設計要求具有針對性且靈活性功能的產(chǎn)品?？蓴U展性和模塊化解決方案使得用戶(hù)能夠根據自身的需求，借助不同規格的芯片，實(shí)現多樣化的安全架構。
現階段，基于MPSafeTM 開(kāi)發(fā)流程已發(fā)行了多種涵蓋不同功能的明星產(chǎn)品。通過(guò)集成內建自測試 (BIST) 以及診斷和寫(xiě)保護等復雜的功能安全特性，這些產(chǎn)品已經(jīng)通過(guò)獨立認證機構的認證，支持具有高達 ASIL-D 的最高汽車(chē)安全完整性級別的應用，符合ISO26262標準。為實(shí)現不同安全等級系統的可擴展和模塊化的解決方案，目前一些基于MPSafeTM開(kāi)發(fā)的適用于自動(dòng)駕駛平臺智能供電與監控的產(chǎn)品有：

1.自動(dòng)駕駛SoC核心供電：MPQ2967+Intelli-PhaseTM DrMOS

隨著(zhù)自動(dòng)駕駛功能的不斷豐富和完善，系統對于主芯片的算力和信息處理能力的要求不斷提高，以滿(mǎn)足更豐富的自動(dòng)駕駛場(chǎng)景的計算需求。主芯片算力的提高也意味著(zhù)更高的功耗，系統對于核心供電的要求也更高。MPQ2967 是一款用于汽車(chē)高級駕駛輔助系統 (ADAS) 和自動(dòng)駕駛平臺核心供電的功能安全數字化雙路多相控制器芯片，它可以與 MPS 的 Intelli-PhaseTM 產(chǎn)品配合使用，以更少的外部組件實(shí)現多相調壓器 (VR) 解決方案。MPQ2967 基于MPS獨特的數字多相非線(xiàn)性控制，能以最少的輸出電容為負載階躍提供快速瞬態(tài)響應。其集成的多次可編程 (MTP) 存儲器能夠存儲為不同設計和平臺定制的個(gè)性化配置。
MPQ2967支持系統設計達到ASIL-D的功能安全等級，其集成了內建自測試、時(shí)鐘監測、寄存器監測、存儲器監測和糾正、ADC監測、狀態(tài)機自檢、I2C通信監測和內部電壓監測等豐富的功能安全保護，保證芯片的可靠高效運行。它還為多相調壓器提供了輸入電壓、輸出電壓、輸出電流和溫度的實(shí)時(shí)監控和報告功能。用戶(hù)可通過(guò)數字化接口靈活設置和監控設備的配置參數和故障參數。

2.電源時(shí)序芯片：MPQ79700FS-AEC1

一些高性能 ADAS 上的SoC往往需要電源軌道為內部電路供電，如內核、內存和 I/O等等。這些電源軌道常常需要特定的上下電時(shí)序來(lái)實(shí)現安全的通電和斷電，如上下電順序發(fā)生錯亂，可能會(huì )導致意外電壓尖峰、系統無(wú)法正常開(kāi)啟和關(guān)斷甚至燒毀等危險。因此，電源軌道正確有序的上下電對于保證系統的可靠開(kāi)啟、運行和關(guān)斷有著(zhù)極為重要的作用。
MPQ79700FS 是一款專(zhuān)為汽車(chē)高級駕駛輔助系統 (ADAS) 和自動(dòng)駕駛平臺設計的 12 通道功能安全電源時(shí)序芯片，可為需要多個(gè)電源軌道供電的SoC提供必要的上下電時(shí)序控制。該設備的可配置性和靈活性支持跨不同的設計應用。用戶(hù)可通過(guò)I2C對12個(gè)通道進(jìn)行獨立配置每個(gè)通道的拉高拉低時(shí)序序列。 同時(shí)，12個(gè)通道中的四個(gè)還可以被設置為GPIO，以滿(mǎn)足用戶(hù)的額外需求。MPQ79700FS電源時(shí)序芯片包含一個(gè)振蕩器，通過(guò)驅動(dòng)芯片外部晶體震蕩以發(fā)出32.768 kHz的時(shí)鐘信號，以及一個(gè)具有報警功能的實(shí)時(shí)時(shí)鐘 (RTC)。該芯片還包含可通過(guò) I2C 接口訪(fǎng)問(wèn)的可配置看門(mén)狗，低電平有效的系統復位以及中斷輸出來(lái)保證故障監測和報告。

3.電壓監控芯片MPQ79500FS-AEC1

MPQ79500FS-AEC1六通道電壓監控芯片是一款專(zhuān)為監控汽車(chē)安全應用系統級芯片 (SoC) 的產(chǎn)品。對于SoC來(lái)說(shuō)，超出范圍的電源電壓可能會(huì )導致系統運行性能不佳甚至系統故障，因此電壓監控芯片在確保受監控的電源電壓方面發(fā)揮著(zhù)關(guān)鍵作用。
MPQ79500FS-AEC1電壓監控芯片會(huì )在被監控電壓超過(guò)閾值時(shí)檢測過(guò)壓 (OV) ，或在電壓降至閾值以下時(shí)檢測欠壓 (UV) 。一旦發(fā)生過(guò)壓或者欠壓，電壓監控芯片會(huì )向安全微控制器單元 (Safety MCU) 報告故障，使MCU在故障發(fā)生后能夠及時(shí)做出判斷，保證系統的正常運行。MPS79500FS電壓監控芯片可以更智能高精度地監控六個(gè)通道的低頻 (LF) 電壓漂移和高頻 (HF) 電壓噪聲。

1. 低頻電壓漂移：由高精度模數轉換器 (ADC) 轉換為數字信號。

2. 高頻電壓噪聲：通過(guò)高精度比較器，監測電壓噪聲或尖峰。

高效、快捷、成本可控的安全解決方案

高級駕駛輔助系統（ADAS）以其良好的駕駛體驗和安全保障贏(yíng)得了大量消費者的青睞，除了基本的駕駛需求，消費者對更安全更智能的駕駛有了更高的期待。在新型電動(dòng)汽車(chē)廠(chǎng)商大力推進(jìn)、傳統汽車(chē)廠(chǎng)商積極轉型的過(guò)程中，整個(gè)ADAS市場(chǎng)增長(cháng)迅猛。原有的為高端市場(chǎng)服務(wù)的ADAS技術(shù)的廠(chǎng)商，為更好的迎合市場(chǎng)需求，都在積極尋求向中端甚至低端市場(chǎng)布局。對于汽車(chē)廠(chǎng)商而言，只有盡快實(shí)現量產(chǎn)跟進(jìn)旺盛的需求才有可能在激烈市場(chǎng)競爭中贏(yíng)得一席之地。同時(shí)，市場(chǎng)需求也大大加速了ADAS技術(shù)的系統迭代。如何利用每一次技術(shù)迭代，高效、快捷、成本可控地跟進(jìn)市場(chǎng)需求，是每一個(gè)汽車(chē)廠(chǎng)商在這硝煙彌漫的市場(chǎng)競爭中取得成功的重中之重。
針對現如今電動(dòng)汽車(chē)及自動(dòng)駕駛激烈的飛速發(fā)展和激烈競爭， MPS力求為客戶(hù)提供一整套完整的系統供電及監控解決方案的同時(shí)，從客戶(hù)角度出發(fā)，與客戶(hù)一同高瞻遠矚，幫助客戶(hù)加速開(kāi)發(fā)進(jìn)程，快速反應市場(chǎng)，更好適應現階段乃至未來(lái)若干代自動(dòng)駕駛技術(shù)的革新。
圖 7展示了一個(gè)位自動(dòng)駕駛平臺計算中心供電的頂層架構。該架構為符合 ASIL-D 標準的智能自動(dòng)駕駛平臺供電與監控平臺。 整個(gè)架構大體分為SoC供電模塊，攝像供電模塊兩部分。MPS提出的解決方案通過(guò)采用MPSafeTM開(kāi)發(fā)流程，在保證功能安全的基礎上，同時(shí)能幫助用戶(hù)實(shí)現高效、快捷和成本可控。
圖8展示了由MPS開(kāi)發(fā)的具有智能電壓監控功能的 MPSafeTM 電源子系統參考設計板。
 

總結

隨著(zhù)自動(dòng)駕駛技術(shù)的不斷發(fā)展，安全是重中之重，絕不能妥協(xié)。為了自動(dòng)駕駛的安全和正常運行， MPS提出的智能電源供電系統集成了功能安全、電壓監控和安全供電等功能，可以實(shí)現高精度、高可靠性和可配置性持續安全供電與系統監測。
 
參考資料
[1] For more details on MPSafe? Solutions:
MPSafe?解決方案 - 汽車(chē)（車(chē)規級） - 產(chǎn)品 (monolithicpower.cn)
[2] A Brief Primer on MPSafeTM, MPS’s Process to Functional Safety Automotive Development. A Brief Primer on MPSafeTM, MPS’s