功能安全成為汽車行業(yè)關(guān)注焦點(diǎn)

近年來汽車行業(yè)在追求自動(dòng)化、互聯(lián)化、電氣化和服務(wù)化方面取得了快速進(jìn)步，而支撐這些領(lǐng)域各種創(chuàng)新的重中之重，則是對(duì)功能安全的關(guān)注。在最高等級(jí)的安全性變得越來越重要的同時(shí)，安全標(biāo)準(zhǔn)也越來越嚴(yán)格、具體和新穎。對(duì)于此類“安全關(guān)鍵型(Functional Safety)”汽車應(yīng)用，MPS推出了MPSafeTM 汽車級(jí)解決方案系列產(chǎn)品，為未來的汽車保駕護(hù)航。MPS開發(fā)的智能解決方案，可以提供 ASIL-D 監(jiān)控器以防止意外情況，并能提供自動(dòng)駕駛計(jì)算行業(yè)至關(guān)重要的安全檢測(cè)以及整套高效、快捷的解決方案。
 

MPSafe? 應(yīng)運(yùn)而生

圖1：MPSafe?為未來汽車保駕護(hù)航

ISO26262認(rèn)證的產(chǎn)品開發(fā)流程

在汽車自動(dòng)駕駛應(yīng)用中，駕駛員或乘客與電氣電子設(shè)備之間的相互作用正在顯著增加，其中自動(dòng)駕駛汽車的安全關(guān)鍵決策變得尤其重要，它對(duì)駕駛員或乘客的安全可能造成的潛在影響不容忽視。隨著這些先進(jìn)安全技術(shù)的操作系統(tǒng)從被動(dòng)轉(zhuǎn)向更加主動(dòng)，汽車的安全駕駛儼然成為人們關(guān)注的焦點(diǎn)和必須解決的問題。同時(shí)，自動(dòng)駕駛平臺(tái)變得越來越復(fù)雜，出現(xiàn)了越來越多的系統(tǒng)性或隨機(jī)硬件故障的風(fēng)險(xiǎn)。為了幫助確立最高安全性標(biāo)準(zhǔn)，行業(yè)發(fā)布了最新的符合國(guó)際標(biāo)準(zhǔn)化組織（ISO） 26262的汽車安全標(biāo)準(zhǔn)。

圖2：行業(yè)發(fā)布最新符合ISO26262 汽車安全標(biāo)準(zhǔn)

1. 芯片定義：包括芯片功能定義以及芯片安全功能定義。MPS架構(gòu)團(tuán)隊(duì)為該芯片打造所需的功能，同時(shí)與MPS安全團(tuán)隊(duì)緊密合作，了解芯片功能安全對(duì)芯片功能的影響。安全團(tuán)隊(duì)負(fù)責(zé)制定、審查并通過該芯片的安全計(jì)劃，發(fā)布屬于該芯片的應(yīng)用假設(shè)，建立芯片開發(fā)安全檔案。

2. 芯片設(shè)計(jì)：根據(jù)芯片需要滿足的系統(tǒng)安全要求，落實(shí)該芯片的規(guī)格和功能要求。安全團(tuán)隊(duì)對(duì)該芯片進(jìn)行定量安全分析（Quantitative Safety Analysis, FMEDA）以評(píng)估風(fēng)險(xiǎn)和確保滿足系統(tǒng)安全要求等級(jí)。芯片設(shè)計(jì)團(tuán)隊(duì)需提供相關(guān)性失效分析(Dependent Failure Analysis)，進(jìn)行芯片在IC功能以及安全機(jī)制的失效分析。通過仿真、封裝失效分析和質(zhì)量分析，推演和驗(yàn)證不同失效模式機(jī)制，分析芯片的安全機(jī)制是否符合要求。芯片設(shè)計(jì)團(tuán)隊(duì)還需與芯片驗(yàn)證團(tuán)隊(duì)建立完整的芯片驗(yàn)證方案等等。

3. 芯片樣品：負(fù)責(zé)為MPSafeTM 提供封裝的廠商應(yīng)嚴(yán)格遵循MPSafeTM流程及要求生產(chǎn)樣品，以滿足汽車安規(guī)等級(jí)。整個(gè)芯片樣品生產(chǎn)的流程受到安全團(tuán)隊(duì)的監(jiān)管，以保證要求與實(shí)際生產(chǎn)不存在偏差。

4. 芯片測(cè)試：芯片測(cè)試包括芯片電氣特性測(cè)試 (Electrical Characterization)、可靠性測(cè)試 (Reliability Test)，IC表征測(cè)試 (IC Characterization)，實(shí)驗(yàn)臺(tái)功能和電氣測(cè)試 (Road Test Functional and Electrical Verification)，以及使用自動(dòng)測(cè)試設(shè)備進(jìn)行的大規(guī)模測(cè)試 (ATE Test)等等。一旦這些測(cè)試中出現(xiàn)任何失效或問題，團(tuán)隊(duì)立刻對(duì)失效和問題進(jìn)行分析并提出解決方案，重新生產(chǎn)新的芯片樣本以確保徹底解決問題和規(guī)避風(fēng)險(xiǎn)。

5. 成品出貨：在以上所有四個(gè)步驟都正常進(jìn)行的過程中，MPS安全團(tuán)隊(duì)始終與第三方權(quán)威認(rèn)證機(jī)構(gòu)緊密合作，以確保MPSafeTM 開發(fā)流程和生產(chǎn)流程所有設(shè)計(jì)、測(cè)試、生產(chǎn)環(huán)節(jié)均滿足安全要求。所有的環(huán)節(jié)都會(huì)通過權(quán)威第三方認(rèn)證，并發(fā)行符合認(rèn)證的安全證書、手冊(cè)。完成所有安全應(yīng)用分析以及認(rèn)證之后，該芯片將在嚴(yán)格的MPS標(biāo)準(zhǔn)要求下完成所有出貨前測(cè)試并出貨。

廣闊的應(yīng)用場(chǎng)景 — 從QM到ASIL-D

隨著電動(dòng)汽車市場(chǎng)的不斷擴(kuò)張，自動(dòng)駕駛技術(shù)的飛速發(fā)展，現(xiàn)階段，基于MPSafeTM開發(fā)流程研發(fā)的芯片已經(jīng)覆蓋多種自動(dòng)駕駛應(yīng)用場(chǎng)景。例如自動(dòng)駕駛平臺(tái)的汽車核心計(jì)算系統(tǒng)，雷達(dá)系統(tǒng)，攝像系統(tǒng)等等?；贛PSafeTM開發(fā)流程提出的智能供電與監(jiān)控解決方案和相關(guān)芯片，力求幫助客戶規(guī)避潛在風(fēng)險(xiǎn)，并通過高可靠性和安全性，控制風(fēng)險(xiǎn)及故障，實(shí)現(xiàn)了從QM到汽車最高安全等級(jí)ASIL-D級(jí)的規(guī)定，為自動(dòng)駕駛平臺(tái)高效安全供電及監(jiān)控保駕護(hù)航。

MPSafe?— 面向系統(tǒng)的安全設(shè)計(jì)

直面系統(tǒng)級(jí)設(shè)計(jì)痛點(diǎn)，聚力解決安全挑戰(zhàn)

隨著人們?cè)絹碓揭蕾?ADAS 等自動(dòng)駕駛技術(shù)，安全成為整個(gè)系統(tǒng)設(shè)計(jì)和開發(fā)過程中面臨的最大挑戰(zhàn)和高度關(guān)注的問題之一。 對(duì)于自動(dòng)駕駛系統(tǒng)中的計(jì)算平臺(tái)， 為應(yīng)對(duì)安全挑戰(zhàn)，規(guī)避潛在風(fēng)險(xiǎn)，自動(dòng)駕駛計(jì)算平臺(tái)應(yīng)始終受到監(jiān)管。穩(wěn)定的供電電壓對(duì)于安全正常運(yùn)行至關(guān)重要。 電壓的任何動(dòng)態(tài)變化或瞬態(tài)故障都可能導(dǎo)致計(jì)算處理器故障。這意味著對(duì)于自動(dòng)駕駛供電系統(tǒng)來說，需要具備提供穩(wěn)定的電壓的能力，同時(shí)也應(yīng)具備自身與系統(tǒng)故障監(jiān)測(cè)、報(bào)告的能力，以保證系統(tǒng)的正常運(yùn)行。目前，MPSafeTM開發(fā)的系列產(chǎn)品具備的內(nèi)建自測(cè)試 (BIST) 、通過冗余的參考電壓和時(shí)鐘進(jìn)行自我監(jiān)控等等，力求保證芯片本身的安全狀態(tài)。

1.內(nèi)建自測(cè)試 (BIST)

BIST 等集成安全機(jī)制，可提供高診斷覆蓋率，以確保每個(gè)駕駛周期的可靠性。電壓監(jiān)視器中有兩種形式的 BIST：

1. 模擬電路自檢 (ABIST)： ABIST 通過向診斷電路注入電流或電壓來執(zhí)行診斷電路故障。該功能驗(yàn)證診斷電路是否可以在故障和非故障條件之間切換，這表明模擬安全機(jī)制運(yùn)行正常。在此過程中，將檢查所有與安全相關(guān)的比較器和受監(jiān)控的參考電壓。

2. 邏輯電路自檢（LBIST）：LBIST允許硬件自行測(cè)試。LBIST 具有檢測(cè)內(nèi)部邏輯電路錯(cuò)誤的能力。

2.參考電壓監(jiān)測(cè)

系統(tǒng)的參考電壓（Reference Voltage）對(duì)于芯片的重要性不言而喻，它是芯片中多個(gè)電路和模塊正常工作的基礎(chǔ)。在芯片中，多個(gè)模塊需要使用參考電壓作為精確電壓控制的基準(zhǔn)，例如模擬數(shù)字轉(zhuǎn)換器（ADC）等。若參考電壓不穩(wěn)定，會(huì)導(dǎo)致芯片工作不穩(wěn)定、誤差增加及性能降低。因此，參考電壓的好壞對(duì)于芯片能否正常運(yùn)行至關(guān)重要。MPS為保證芯片的參考電壓的精度和穩(wěn)定性，配有參考電壓檢測(cè)機(jī)制，通過引入冗余參考電壓，對(duì)系統(tǒng)參考電壓進(jìn)行監(jiān)督。一旦發(fā)現(xiàn)系統(tǒng)電壓漂移超過預(yù)設(shè)范圍，將拉低并中斷該錯(cuò)誤。

3.系統(tǒng)時(shí)鐘監(jiān)測(cè)

系統(tǒng)的時(shí)鐘信號(hào)是IC中各個(gè)電路和模塊的同步信號(hào)，以保證各個(gè)電路和模塊在正確的時(shí)間按照正確的順序執(zhí)行相應(yīng)的操作，例如時(shí)鐘信號(hào)可以同步計(jì)數(shù)器、狀態(tài)機(jī)、數(shù)據(jù)采樣及數(shù)據(jù)通信等等。如果時(shí)鐘信號(hào)出現(xiàn)故障，會(huì)導(dǎo)致IC中的電路和模塊無法同步，甚至數(shù)據(jù)丟失、錯(cuò)誤計(jì)數(shù)、狀態(tài)機(jī)無法成功跳轉(zhuǎn)、甚至系統(tǒng)崩潰等等問題。因此在IC設(shè)計(jì)過程中，時(shí)鐘信號(hào)的監(jiān)控尤為重要。MPS通過引入一個(gè)參考時(shí)鐘，與系統(tǒng)時(shí)鐘互相監(jiān)測(cè)，可以在系統(tǒng)時(shí)鐘漂移超過預(yù)設(shè)范圍時(shí)，拉低中斷芯片并報(bào)告該錯(cuò)誤。

用于不同安全等級(jí)系統(tǒng)的可擴(kuò)展、模塊化解決方案

MPSafeTM不僅考慮了設(shè)備本身如何處理各種安全案例，安全目標(biāo)，還可以通過芯片引腳的兼容性以及配套的安全文件，實(shí)現(xiàn)解決方案的可擴(kuò)展和模塊化功能，以達(dá)到可靠高效快捷的目標(biāo)。解決方案的可擴(kuò)展性包括滿足不同ASIL安全等級(jí)、功能需求和應(yīng)用場(chǎng)景。模塊化包括針對(duì)系統(tǒng)不同應(yīng)用模塊設(shè)計(jì)要求具有針對(duì)性且靈活性功能的產(chǎn)品。可擴(kuò)展性和模塊化解決方案使得用戶能夠根據(jù)自身的需求，借助不同規(guī)格的芯片，實(shí)現(xiàn)多樣化的安全架構(gòu)。
現(xiàn)階段，基于MPSafeTM 開發(fā)流程已發(fā)行了多種涵蓋不同功能的明星產(chǎn)品。通過集成內(nèi)建自測(cè)試 (BIST) 以及診斷和寫保護(hù)等復(fù)雜的功能安全特性，這些產(chǎn)品已經(jīng)通過獨(dú)立認(rèn)證機(jī)構(gòu)的認(rèn)證，支持具有高達(dá) ASIL-D 的最高汽車安全完整性級(jí)別的應(yīng)用，符合ISO26262標(biāo)準(zhǔn)。為實(shí)現(xiàn)不同安全等級(jí)系統(tǒng)的可擴(kuò)展和模塊化的解決方案，目前一些基于MPSafeTM開發(fā)的適用于自動(dòng)駕駛平臺(tái)智能供電與監(jiān)控的產(chǎn)品有：

1.自動(dòng)駕駛SoC核心供電：MPQ2967+Intelli-PhaseTM DrMOS

隨著自動(dòng)駕駛功能的不斷豐富和完善，系統(tǒng)對(duì)于主芯片的算力和信息處理能力的要求不斷提高，以滿足更豐富的自動(dòng)駕駛場(chǎng)景的計(jì)算需求。主芯片算力的提高也意味著更高的功耗，系統(tǒng)對(duì)于核心供電的要求也更高。MPQ2967 是一款用于汽車高級(jí)駕駛輔助系統(tǒng) (ADAS) 和自動(dòng)駕駛平臺(tái)核心供電的功能安全數(shù)字化雙路多相控制器芯片，它可以與 MPS 的 Intelli-PhaseTM 產(chǎn)品配合使用，以更少的外部組件實(shí)現(xiàn)多相調(diào)壓器 (VR) 解決方案。MPQ2967 基于MPS獨(dú)特的數(shù)字多相非線性控制，能以最少的輸出電容為負(fù)載階躍提供快速瞬態(tài)響應(yīng)。其集成的多次可編程 (MTP) 存儲(chǔ)器能夠存儲(chǔ)為不同設(shè)計(jì)和平臺(tái)定制的個(gè)性化配置。
MPQ2967支持系統(tǒng)設(shè)計(jì)達(dá)到ASIL-D的功能安全等級(jí)，其集成了內(nèi)建自測(cè)試、時(shí)鐘監(jiān)測(cè)、寄存器監(jiān)測(cè)、存儲(chǔ)器監(jiān)測(cè)和糾正、ADC監(jiān)測(cè)、狀態(tài)機(jī)自檢、I2C通信監(jiān)測(cè)和內(nèi)部電壓監(jiān)測(cè)等豐富的功能安全保護(hù)，保證芯片的可靠高效運(yùn)行。它還為多相調(diào)壓器提供了輸入電壓、輸出電壓、輸出電流和溫度的實(shí)時(shí)監(jiān)控和報(bào)告功能。用戶可通過數(shù)字化接口靈活設(shè)置和監(jiān)控設(shè)備的配置參數(shù)和故障參數(shù)。

2.電源時(shí)序芯片：MPQ79700FS-AEC1

一些高性能 ADAS 上的SoC往往需要電源軌道為內(nèi)部電路供電，如內(nèi)核、內(nèi)存和 I/O等等。這些電源軌道常常需要特定的上下電時(shí)序來實(shí)現(xiàn)安全的通電和斷電，如上下電順序發(fā)生錯(cuò)亂，可能會(huì)導(dǎo)致意外電壓尖峰、系統(tǒng)無法正常開啟和關(guān)斷甚至燒毀等危險(xiǎn)。因此，電源軌道正確有序的上下電對(duì)于保證系統(tǒng)的可靠開啟、運(yùn)行和關(guān)斷有著極為重要的作用。
MPQ79700FS 是一款專為汽車高級(jí)駕駛輔助系統(tǒng) (ADAS) 和自動(dòng)駕駛平臺(tái)設(shè)計(jì)的 12 通道功能安全電源時(shí)序芯片，可為需要多個(gè)電源軌道供電的SoC提供必要的上下電時(shí)序控制。該設(shè)備的可配置性和靈活性支持跨不同的設(shè)計(jì)應(yīng)用。用戶可通過I2C對(duì)12個(gè)通道進(jìn)行獨(dú)立配置每個(gè)通道的拉高拉低時(shí)序序列。 同時(shí)，12個(gè)通道中的四個(gè)還可以被設(shè)置為GPIO，以滿足用戶的額外需求。MPQ79700FS電源時(shí)序芯片包含一個(gè)振蕩器，通過驅(qū)動(dòng)芯片外部晶體震蕩以發(fā)出32.768 kHz的時(shí)鐘信號(hào)，以及一個(gè)具有報(bào)警功能的實(shí)時(shí)時(shí)鐘 (RTC)。該芯片還包含可通過 I2C 接口訪問的可配置看門狗，低電平有效的系統(tǒng)復(fù)位以及中斷輸出來保證故障監(jiān)測(cè)和報(bào)告。

3.電壓監(jiān)控芯片MPQ79500FS-AEC1

MPQ79500FS-AEC1六通道電壓監(jiān)控芯片是一款專為監(jiān)控汽車安全應(yīng)用系統(tǒng)級(jí)芯片 (SoC) 的產(chǎn)品。對(duì)于SoC來說，超出范圍的電源電壓可能會(huì)導(dǎo)致系統(tǒng)運(yùn)行性能不佳甚至系統(tǒng)故障，因此電壓監(jiān)控芯片在確保受監(jiān)控的電源電壓方面發(fā)揮著關(guān)鍵作用。
MPQ79500FS-AEC1電壓監(jiān)控芯片會(huì)在被監(jiān)控電壓超過閾值時(shí)檢測(cè)過壓 (OV) ，或在電壓降至閾值以下時(shí)檢測(cè)欠壓 (UV) 。一旦發(fā)生過壓或者欠壓，電壓監(jiān)控芯片會(huì)向安全微控制器單元 (Safety MCU) 報(bào)告故障，使MCU在故障發(fā)生后能夠及時(shí)做出判斷，保證系統(tǒng)的正常運(yùn)行。MPS79500FS電壓監(jiān)控芯片可以更智能高精度地監(jiān)控六個(gè)通道的低頻 (LF) 電壓漂移和高頻 (HF) 電壓噪聲。

1. 低頻電壓漂移：由高精度模數(shù)轉(zhuǎn)換器 (ADC) 轉(zhuǎn)換為數(shù)字信號(hào)。

2. 高頻電壓噪聲：通過高精度比較器，監(jiān)測(cè)電壓噪聲或尖峰。

高效、快捷、成本可控的安全解決方案

高級(jí)駕駛輔助系統(tǒng)（ADAS）以其良好的駕駛體驗(yàn)和安全保障贏得了大量消費(fèi)者的青睞，除了基本的駕駛需求，消費(fèi)者對(duì)更安全更智能的駕駛有了更高的期待。在新型電動(dòng)汽車廠商大力推進(jìn)、傳統(tǒng)汽車廠商積極轉(zhuǎn)型的過程中，整個(gè)ADAS市場(chǎng)增長(zhǎng)迅猛。原有的為高端市場(chǎng)服務(wù)的ADAS技術(shù)的廠商，為更好的迎合市場(chǎng)需求，都在積極尋求向中端甚至低端市場(chǎng)布局。對(duì)于汽車廠商而言，只有盡快實(shí)現(xiàn)量產(chǎn)跟進(jìn)旺盛的需求才有可能在激烈市場(chǎng)競(jìng)爭(zhēng)中贏得一席之地。同時(shí)，市場(chǎng)需求也大大加速了ADAS技術(shù)的系統(tǒng)迭代。如何利用每一次技術(shù)迭代，高效、快捷、成本可控地跟進(jìn)市場(chǎng)需求，是每一個(gè)汽車廠商在這硝煙彌漫的市場(chǎng)競(jìng)爭(zhēng)中取得成功的重中之重。
針對(duì)現(xiàn)如今電動(dòng)汽車及自動(dòng)駕駛激烈的飛速發(fā)展和激烈競(jìng)爭(zhēng)， MPS力求為客戶提供一整套完整的系統(tǒng)供電及監(jiān)控解決方案的同時(shí)，從客戶角度出發(fā)，與客戶一同高瞻遠(yuǎn)矚，幫助客戶加速開發(fā)進(jìn)程，快速反應(yīng)市場(chǎng)，更好適應(yīng)現(xiàn)階段乃至未來若干代自動(dòng)駕駛技術(shù)的革新。
圖 7展示了一個(gè)位自動(dòng)駕駛平臺(tái)計(jì)算中心供電的頂層架構(gòu)。該架構(gòu)為符合 ASIL-D 標(biāo)準(zhǔn)的智能自動(dòng)駕駛平臺(tái)供電與監(jiān)控平臺(tái)。 整個(gè)架構(gòu)大體分為SoC供電模塊，攝像供電模塊兩部分。MPS提出的解決方案通過采用MPSafeTM開發(fā)流程，在保證功能安全的基礎(chǔ)上，同時(shí)能幫助用戶實(shí)現(xiàn)高效、快捷和成本可控。
圖8展示了由MPS開發(fā)的具有智能電壓監(jiān)控功能的 MPSafeTM 電源子系統(tǒng)參考設(shè)計(jì)板。
 

總結(jié)

隨著自動(dòng)駕駛技術(shù)的不斷發(fā)展，安全是重中之重，絕不能妥協(xié)。為了自動(dòng)駕駛的安全和正常運(yùn)行， MPS提出的智能電源供電系統(tǒng)集成了功能安全、電壓監(jiān)控和安全供電等功能，可以實(shí)現(xiàn)高精度、高可靠性和可配置性持續(xù)安全供電與系統(tǒng)監(jiān)測(cè)。
 
參考資料
[1] For more details on MPSafe? Solutions:
MPSafe?解決方案 - 汽車（車規(guī)級(jí)） - 產(chǎn)品 (monolithicpower.cn)
[2] A Brief Primer on MPSafeTM, MPS’s Process to Functional Safety Automotive Development. A Brief Primer on MPSafeTM, MPS’s