來源：納芯微電子

近年來，隨著整車電氣化水平的提升，整車系統(tǒng)中針對電源系統(tǒng)的功能安全需求正在持續(xù)增加。在安全相關(guān)系統(tǒng)中，電源的失效不僅僅會造成元器件的損壞，更有可能會直接違背安全目標(biāo)并導(dǎo)致嚴重后果。

納芯微專注于各類型電源芯片設(shè)計，擁有豐富的產(chǎn)品類別。其中，LED 驅(qū)動芯片（LED driver）、系統(tǒng)基礎(chǔ)芯片（SBC）、電源管理集成電路（PMIC）、電源保護芯片（Power protector IC）等電源類產(chǎn)品，覆蓋了從 ASIL B 到 ASIL D 的多種系統(tǒng)應(yīng)用，并進行了完善的功能安全考量。無論是汽車還是工業(yè)應(yīng)用，這些產(chǎn)品都時刻為使用者的安全保駕護航。

本文將介紹電源類芯片功能安全的基本概念，以及納芯微在電源相關(guān)芯片產(chǎn)品研發(fā)中的一些具體實踐。

01電源芯片典型功能安全需求

功能安全芯片常常基于SEooC（獨立于環(huán)境的安全要素）進行開發(fā)，芯片承接來自于更上層的系統(tǒng)級功能安全需求，以處理器PMIC為例，如下圖所示，其首要功能就是為處理器提供正確的電壓。同時，針對處理器軟硬件可能出現(xiàn)的失效，需要配置外部看門狗進行監(jiān)控。目前，滿足功能安全要求的處理器往往還會配置故障收集以及處理單元，其故障輸出也需要外部裝置持續(xù)監(jiān)控。如果檢測到相關(guān)故障，需要提供另外一條冗余路徑，使得系統(tǒng)能夠進入安全狀態(tài)。

上圖中綠色方框所代表的部分就構(gòu)成了針對處理器PMIC的頂層安全需求，總結(jié)如下：

安全需求_1：提供正確的輸出電壓及監(jiān)控功能（過壓監(jiān)控，欠壓監(jiān)控，內(nèi)部電壓監(jiān)控，外部電壓監(jiān)控）

安全需求_2：提供看門狗功能（simple看門狗，challenge看門狗）

安全需求_3：監(jiān)控安全輸入信號（FCCU監(jiān)控，SMU監(jiān)控，Error signal監(jiān)控）

安全需求_4：提供安全輸出信號（內(nèi)部故障或外部故障觸發(fā)，Reset輸出，單路或多路可配置延時的安全輸出）

02如何打造滿足功能安全要求的電源產(chǎn)品

芯片功能安全設(shè)計的重點在于解決系統(tǒng)性失效以及隨機硬件失效問題。

納芯微的功能安全開發(fā)流程已經(jīng)通過TüV萊茵的審核，并結(jié)合芯片設(shè)計實際經(jīng)驗不斷地進行相關(guān)改進。在電源類芯片產(chǎn)品的開發(fā)過程中，納芯微遵循相關(guān)流程，同時根據(jù)芯片行業(yè)實際情況適配標(biāo)準中針對系統(tǒng)能力的相關(guān)要求，盡可能的降低系統(tǒng)性失效帶來的產(chǎn)品安全風(fēng)險。

對于隨機硬件失效帶來的問題，電源類產(chǎn)品需要設(shè)計相應(yīng)的安全架構(gòu)來滿足不同功能安全等級的要求，以下就以簡單的電源監(jiān)控為例，介紹相關(guān)概念：

a、檢測單點故障，提升SPFM指標(biāo)：電源輸出的異常狀態(tài)往往會直接影響系統(tǒng)級安全目標(biāo)，因此被定義為單點故障。通?？赏ㄟ^為電壓輸出增加監(jiān)控等方式，對輸出電壓進行不間斷監(jiān)控，確保其處于正常工作范圍之內(nèi)。

b、檢測潛伏故障，提升 LFM 指標(biāo)：當(dāng)電源監(jiān)控部分出現(xiàn)故障、喪失監(jiān)控功能時，若電源輸出發(fā)生異常，該異常將無法被正確檢測。通常可通過增加 ABIST（內(nèi)置自測試）等方式，在 MPF_DTI（多點故障檢測時間間隔）時間內(nèi)，測試監(jiān)控是否能正確檢測并響應(yīng)故障。

c、解決共因及級聯(lián)影響：需盡可能提高監(jiān)控單元與被監(jiān)控單元之間的獨立性，以確保監(jiān)控的有效性。

d、保證 PMHF 指標(biāo)滿足要求：PMHF（硬件失效概率指標(biāo)）即大家常提及的 FIT 值（失效單位）。

由于電源類芯片往往只是整條安全功能鏈路上很小的一部分，因此其PMHF占比也不能過高。例如，針對 ASIL D 級別的安全功能，若采用 PMIC 這類集成度較高的芯片，其 PMHF 占比 10%（即 1 FIT）較為合適對于更簡單的芯片，其 PMHF 占比應(yīng)進一步降低。這里需要綜合考慮封裝，Die（芯片/晶粒）以及軟失效帶來的影響。如果最終PMHF指標(biāo)過大，則可能需要更新安全架構(gòu)設(shè)計。

03功能安全標(biāo)準中的相關(guān)參考及解讀

ISO 26262-11:2018標(biāo)準為半導(dǎo)體如何滿足功能安全要求打下了堅實的基礎(chǔ)，針對電源相關(guān)功能安全設(shè)計，標(biāo)準中也提供了相關(guān)的參考。納芯微在電源類產(chǎn)品的開發(fā)實踐中，也利用標(biāo)準的輸入更好地指導(dǎo)了功能安全相關(guān)設(shè)計。

a、功能安全芯片設(shè)計需要分析每個IP的失效模式并進行針對性處理，ISO 26262-11:2018標(biāo)準中，針對電源相關(guān)模塊可能出現(xiàn)的失效模式給出了描述。下表展示了電壓調(diào)節(jié)器（Voltage regulator）相關(guān)失效模式內(nèi)容，當(dāng)然標(biāo)準中還針對電荷泵（Charge pump）、電壓基準源（Voltage references）、電壓比較器（Voltage comparator）給出了建議，也可以在設(shè)計中進行參考：

b、ISO 26262-11:2018中還給出了電源常見的安全機制：

c、除了失效模式之外，診斷覆蓋率以及失效模式的分布情況也是我們在分析電源功能安全中需要重點關(guān)注的地方。針對診斷覆蓋率以及失效模式分布，標(biāo)準中也有一些內(nèi)容可以參考：

首先追溯到ISO 26262-5:2011版本標(biāo)準中的相關(guān)信息，表 D.1描述了電源相關(guān)失效模式及診斷覆蓋率。通?？山庾x為：若過壓（OV）及欠壓（UV）可被診斷，可宣稱 60% 的診斷覆蓋率（DC）；若電源的漂移（Drift）可被診斷，可宣稱 90% 的診斷覆蓋率（DC）；若振蕩（Oscillation）及電源尖峰（power spike）可被診斷，則可宣稱 99% 的診斷覆蓋率（DC）。同時，此處也可作為標(biāo)準給出的失效模式分布參考，即過壓（OV）/ 欠壓（UV）占比 60%、漂移（Drift）占比 30%、振蕩（Oscillation）/ 電源尖峰（Power spike）占比 10%。

然而ISO 26262-5-2018版本標(biāo)準中對此進行了更新。表 D.1中不再將失效模式和診斷覆蓋率掛鉤，因此上述的解讀就有可能不再適用，而是需要根據(jù)實際的設(shè)計情況進行相應(yīng)評估。

d、ISO 26262-11:2018標(biāo)準中的附錄D也是一份重要的參考資料。其以低壓差線性穩(wěn)壓器（LDO）及其診斷為例，進行了兩個顆粒度的 FMEDA（故障模式影響及診斷分析）。在 FMEDA_1 中，分析顆粒度如下圖所示，主要分析部分為 LDO 及其電壓監(jiān)控部分。

在FMEDA_2中，則將LDO及其電壓監(jiān)控部分進行了細化，分析顆粒度細化了一個層級，也得到了更加精確的結(jié)果。兩份FMEDA中子模塊的失效模式分布均采用平均分配方式。

e、解讀與實踐：

標(biāo)準中給出的相關(guān)內(nèi)容具有很高的參考價值，但在實際研發(fā)過程中往往不能照搬，需要根據(jù)實際設(shè)計的不同進行適配，否則有可能導(dǎo)致完全依賴標(biāo)準進行紙上談兵，卻無法準確地發(fā)現(xiàn)設(shè)計的弱點及實際存在的安全問題。

在項目研發(fā)過程中，納芯微針對電源產(chǎn)品的重點IP做了細致深入的分析，通過仿真、分析等手段獲取了IC或IP更為準確的失效模式及其分布情況。同時納芯微正結(jié)合標(biāo)準，并根據(jù)公司實際IP實現(xiàn)情況，建立并不斷充實公司級失效模式及其分布數(shù)據(jù)庫，以指導(dǎo)并不斷優(yōu)化功能安全相關(guān)產(chǎn)品設(shè)計。

04高功能安全等級電源芯片設(shè)計的難點

在高功能安全等級電源芯片的研發(fā)過程中，如果希望滿足ASIL D的要求，在實踐中往往需要付出較大的努力。

a、需要盡可能地提升SPFM指標(biāo)：這意味著電壓監(jiān)測模塊在任何情況下[考慮精度（accuracy）以及工藝角（corner）]，都能確保所有電壓區(qū)間（0V到輸入的最大可能電壓）均被監(jiān)測，并在出錯時保持安全狀態(tài)，這在面向高電壓等級（例如48V）系統(tǒng)應(yīng)用的電源芯片設(shè)計中，會面臨諸多困難。同時，若振蕩（oscillation）及電源尖峰（power spike）在應(yīng)用中與安全相關(guān)，也需納入考慮。

b、需要盡可能地提升LFM指標(biāo)：如果ABIST（內(nèi)置自測試）僅僅覆蓋電壓監(jiān)控輸出能否正常翻轉(zhuǎn)，則LFM指標(biāo)表現(xiàn)不佳。若電壓監(jiān)控先出現(xiàn)漂移（drift），之后電源也發(fā)生漂移，就可能由于無法檢測而違背安全目標(biāo)。很顯然如果ABIST無法覆蓋電壓監(jiān)控drift的問題，就很難獲取較高的LFM指標(biāo)，但是增加對drift的覆蓋往往會提升設(shè)計復(fù)雜性，這也需要在實際設(shè)計中進行平衡。

c、需要盡可能提升獨立性：除了share resource問題（例如共用BG），還需要考慮高邊FET Drain_Source短路導(dǎo)致的share supply voltage，以及coupling帶來的問題（例如Heat propagation/Substrate current injection），這些都會給芯片的前后端設(shè)計以及成本帶來難度。

小結(jié)

本文介紹了電源功能安全的一些基本概念，無論是作為單獨的電源類芯片產(chǎn)品，亦或是芯片中集成一些電源相關(guān)模塊，本文描述的相關(guān)內(nèi)容以及基礎(chǔ)設(shè)計思路都可作為參考。

芯片設(shè)計需始終關(guān)注應(yīng)用系統(tǒng)的發(fā)展趨勢。隨著自動駕駛的高速發(fā)展，電源可用性也將逐漸成為安全相關(guān)可用性需求（SaRA，Safety Relevant Availability Requirements），當(dāng)下電源相關(guān)芯片往往設(shè)計為故障安全（fail-safe）模式，而如何從故障診斷轉(zhuǎn)向故障預(yù)防/預(yù)測/容忍并滿足系統(tǒng)級可用性（availability）的要求，將會在未來給電源芯片本身及其功能安全策略帶來新的挑戰(zhàn)。

納芯微電子（簡稱納芯微，科創(chuàng)板股票代碼688052）是高性能高可靠性模擬及混合信號芯片公司。自2013年成立以來，公司聚焦傳感器、信號鏈、電源管理三大方向，為汽車、工業(yè)、信息通訊及消費電子等領(lǐng)域提供豐富的半導(dǎo)體產(chǎn)品及解決方案。

納芯微以『“感知”“驅(qū)動”未來，共建綠色、智能、互聯(lián)互通的“芯”世界』為使命，致力于為數(shù)字世界和現(xiàn)實世界的連接提供芯片級解決方案。