美光將汽車功能安全領(lǐng)域的優(yōu)勢地位拓展到工業(yè)市場

對于汽車、火箭、機(jī)器人和飛機(jī)的用戶，在享受這些產(chǎn)品帶來的便利用途的同時(shí)，都希望它們是安全的，甚至可能將這種安全視為理所當(dāng)然。但是，對于這些系統(tǒng)的設(shè)計(jì)者而言，安全性及隨之而來的各項(xiàng)要求，對產(chǎn)品的正常運(yùn)行至關(guān)重要。

三十多年來，美光一直是汽車內(nèi)存和存儲(chǔ)市場值得信賴的領(lǐng)軍企業(yè)，持續(xù)推出創(chuàng)新產(chǎn)品，以滿足芯片組 (SoC) 供應(yīng)商、OEM廠商、一級供應(yīng)商和終端用戶不斷變化的需求。美光在品質(zhì)與安全領(lǐng)域的卓越積淀，使其成為業(yè)界標(biāo)桿。我們深知，汽車應(yīng)用和關(guān)鍵任務(wù)工業(yè)應(yīng)用必須使用搭載前沿技術(shù)的內(nèi)存，才能滿足功能安全標(biāo)準(zhǔn)的要求，同時(shí)還能幫助集成商顯著縮短開發(fā)時(shí)間，簡化安全系統(tǒng)認(rèn)證流程。

定義功能安全

功能安全的目標(biāo)是：即使在發(fā)生故障時(shí)，系統(tǒng)仍然能夠?qū)斎胱鞒鲰憫?yīng)，并能夠持續(xù)安全、正確地運(yùn)行。在半導(dǎo)體領(lǐng)域，功能安全的實(shí)現(xiàn)涉及對器件的設(shè)計(jì)與驗(yàn)證，以檢測、管理和減輕可能導(dǎo)致危險(xiǎn)情況的故障。適用于汽車系統(tǒng)ISO 26262和適用于工業(yè)應(yīng)用的IEC 61508等行業(yè)標(biāo)準(zhǔn)定義了相關(guān)的結(jié)構(gòu)化流程和安全完整性等級——汽車安全完整性等級 (ASIL) 和安全完整性等級 (SIL)，用于指導(dǎo)這些安全關(guān)鍵型器件的開發(fā)。

內(nèi)存在汽車安全系統(tǒng)中的作用

隨著高級駕駛輔助系統(tǒng) (ADAS) 和自動(dòng)駕駛技術(shù)的快速發(fā)展，車載電子系統(tǒng)的復(fù)雜性已經(jīng)堪比現(xiàn)代的數(shù)據(jù)中心。內(nèi)存組件在過去被認(rèn)為是外圍設(shè)備，如今已經(jīng)成為核心設(shè)備，對于系統(tǒng)的性能和安全性至關(guān)重要。

2022年，美光LPDDR5X DRAM在業(yè)界率先通過了ISO 26262 ASIL-D認(rèn)證，為內(nèi)存功能安全樹立了新的標(biāo)桿。這一里程碑將內(nèi)存重新定義為復(fù)雜半導(dǎo)體器件，與安全關(guān)鍵型應(yīng)用中的處理器和SoC具有同等重要地位。這不僅是一項(xiàng)技術(shù)成就，還標(biāo)志著美光的戰(zhàn)略承諾——為ADAS、信息娛樂和自動(dòng)駕駛等平臺(tái)提供安全可靠的性能。

如今，美光仍然是唯一一家可提供產(chǎn)品級ASIL-D認(rèn)證DRAM的內(nèi)存供應(yīng)商，彰顯出我們在功能安全方面的優(yōu)勢地位。隨著美光深耕工業(yè)市場，安全與可靠性積淀使我們成為快速轉(zhuǎn)型行業(yè)中值得信賴的供應(yīng)商。在這些行業(yè)中，安全性和性能均是不可或缺的關(guān)鍵因素。

通過IEC 61508 SIL-3認(rèn)證提升工業(yè)安全水平

在智能工廠、機(jī)器人和端側(cè)AI推動(dòng)下，工業(yè)市場正在經(jīng)歷一場影響深遠(yuǎn)的數(shù)字化轉(zhuǎn)型。這些技術(shù)進(jìn)步使得應(yīng)用的復(fù)雜度和重要性大幅上升，要求安全標(biāo)準(zhǔn)達(dá)到與汽車行業(yè)相當(dāng)?shù)乃?。隨著工業(yè)自動(dòng)化系統(tǒng)在制造、能源和運(yùn)輸行業(yè)中的不斷拓展，故障可能造成的影響也日益顯著。用于控制機(jī)械、基礎(chǔ)設(shè)施或移動(dòng)設(shè)備的系統(tǒng)必須能夠安全地處理故障——其首要前提是采用符合嚴(yán)苛SIL標(biāo)準(zhǔn)的器件。

為應(yīng)對上述需求，美光正在擴(kuò)展其ASIL-D認(rèn)證級別LPDDR5X產(chǎn)品組合，以滿足安全完整性等級3 (SIL 3) 要求，從而加強(qiáng)我們對汽車和工業(yè)領(lǐng)域功能安全的承諾。美光的LPDDR5X產(chǎn)品系列已通過IEC 61508認(rèn)證，具備SIL 3所要求的系統(tǒng)能力（由exida評估）。這一里程碑使美光能夠在關(guān)鍵任務(wù)工業(yè)應(yīng)用中部署旗下的內(nèi)存解決方案，而這些應(yīng)用也需要更高等級的安全保證。

如今，美光的LPDDR5X解決方案借助外部安全機(jī)制，可在系統(tǒng)層面支持SIL-3合規(guī)性，如果僅依靠內(nèi)部安全特性，則可滿足SIL 2合規(guī)要求。

2022年，美光獲得了ISO 26262產(chǎn)品認(rèn)證和流程認(rèn)證雙認(rèn)證。產(chǎn)品認(rèn)證證明美光具備提供ASIL級別內(nèi)存解決方案的能力，而流程認(rèn)證更具戰(zhàn)略意義，證明美光的開發(fā)流程本身能夠始終如一地生產(chǎn)符合ASIL標(biāo)準(zhǔn)的產(chǎn)品。這種雙認(rèn)證的獨(dú)特優(yōu)勢讓美光能夠?qū)⒐δ馨踩珨U(kuò)展到旗下整套汽車產(chǎn)品組合中。

現(xiàn)在，美光正在采用相同的方法進(jìn)軍工業(yè)領(lǐng)域。通過讓旗下具有代表性的LPDDR5X產(chǎn)品先獲得IEC 61508認(rèn)證（詳見下文），同時(shí)積極獲得流程認(rèn)證，我們正為該標(biāo)準(zhǔn)在更多產(chǎn)品中的推廣奠定基礎(chǔ)。這意味著未來使用這些已認(rèn)證流程開發(fā)的美光產(chǎn)品可以更高效地滿足IEC 61508標(biāo)準(zhǔn)的要求，從而能夠加速上市，并減輕每種新產(chǎn)品都需要重新認(rèn)證的負(fù)擔(dān)。

與旗下的汽車行業(yè)產(chǎn)品類似，美光同樣為工業(yè)市場客戶提供安全文檔，包括安全手冊和基于FMEDA的安全分析報(bào)告（表 1）。這些資源可提升產(chǎn)品的透明度和可追溯性，讓客戶能夠更輕松地將我們的產(chǎn)品集成到其安全關(guān)鍵型設(shè)計(jì)中。

在工業(yè)系統(tǒng)日益智能化、自主化的當(dāng)下，SIL級別內(nèi)存不再是一種可選配置：它已經(jīng)成為構(gòu)建工業(yè)系統(tǒng)的基礎(chǔ)要素。

表1:工業(yè)安全合規(guī)與功能安全合規(guī)對比

了解IEC 61508

如上所述，ISO 26262標(biāo)準(zhǔn)適用于汽車系統(tǒng)，而IEC 61508則是全球公認(rèn)的電氣、電子和可編程電子 (E/E/PE) 系統(tǒng)中的功能安全標(biāo)準(zhǔn)（表 2）。IEC 61508提供了一個(gè)基于系統(tǒng)的風(fēng)險(xiǎn)驅(qū)動(dòng)框架，適用于廣泛的工業(yè)領(lǐng)域——工廠自動(dòng)化、機(jī)器人、醫(yī)療器械、鐵路和能源系統(tǒng)等等。該標(biāo)準(zhǔn)還成為了多個(gè)特定行業(yè)標(biāo)準(zhǔn)的基礎(chǔ)，例如適用于過程工業(yè)的IEC 61511、適用于機(jī)械領(lǐng)域的IEC 62061，以及適用于電力傳動(dòng)系統(tǒng)的IEC 61800-5-2。

表2：ISO 26262與IEC 61508：快速比較

（來源：ISO 26262和ISO21434）

在IEC 61508中，安全功能的運(yùn)行模式?jīng)Q定了其可靠性的評估方式，以及其SIL的計(jì)算方法。該標(biāo)準(zhǔn)明確了三種運(yùn)行模式：

低需求模式：啟動(dòng)頻率低，通常每年不超過一次（例如，緊急停機(jī)系統(tǒng)）。

高需求模式：啟動(dòng)頻率高，可能每年超過一次（例如，安全聯(lián)鎖裝置）。

連續(xù)模式：始終處于活動(dòng)狀態(tài)，能夠持續(xù)保持安全狀態(tài)（例如，實(shí)時(shí)控制系統(tǒng)）。

美光LPDDR5X內(nèi)存專為支持連續(xù)模式，這是一種要求最嚴(yán)苛的模式，可在關(guān)鍵任務(wù)工業(yè)系統(tǒng)中實(shí)現(xiàn)實(shí)時(shí)故障檢測和緩解。

通過獲得IEC 61508認(rèn)證，美光讓工業(yè)客戶能夠充滿自信地實(shí)現(xiàn)安全目標(biāo)，同時(shí)有助于提升法規(guī)遵從性和供應(yīng)鏈效率。

ISO 26262與IEC 61508在功能安全原則方面有著共同的基礎(chǔ)。但是，由于各自應(yīng)用的運(yùn)行環(huán)境不同，兩者所采用的模式存在顯著差異（表 3）。

表3：汽車行業(yè)與工業(yè)行業(yè)對比：不同的使用模式，同樣的安全承諾（與美光器件相關(guān)的要求）（來源：ISO 26262和ISO21434）

從這些差異可以看出，工業(yè)系統(tǒng)通常需要更廣泛的互操作性、更長的生命周期支持，以及更靈活的故障處理能力。通過獲得IEC 61508 SIL-3認(rèn)證，美光證明其內(nèi)存解決方案不僅具備滿足汽車級安全要求的足夠可靠性，還能適配關(guān)鍵任務(wù)工業(yè)自動(dòng)化、機(jī)器人及控制系統(tǒng)的獨(dú)特需求。

美光的LPDDR5X產(chǎn)品可滿足以下范圍的目標(biāo)隨機(jī)硬件故障 (RHWF) 指標(biāo)（表 4）：

僅依靠內(nèi)部安全措施時(shí)，時(shí)間故障率 (FIT) 為個(gè)位數(shù)（滿足SIL-2級要求）

搭配外部安全機(jī)制時(shí)，時(shí)間故障率 (FIT) 為幾十分之一（滿足SIL-3級系統(tǒng)要求）

這些指標(biāo)同樣符合ISO 26262標(biāo)準(zhǔn)下ASIL-C級與ASIL-D級的要求。

表4：隨機(jī)硬件故障指標(biāo)（來源：ISO 26262和ISO21434）

SIL-3認(rèn)證解決方案的實(shí)際應(yīng)用場景

美光LPDDR5X內(nèi)存是E/E/PE安全相關(guān)系統(tǒng)的重要助推因素，可為安全關(guān)鍵型代碼、參數(shù)和實(shí)時(shí)數(shù)據(jù)提供可靠的存儲(chǔ)空間。雖然它通常與CPU和邏輯控制功能一起使用（如圖1中的SoC子系統(tǒng)所示），但在輸入/輸出模塊、智能變送器與傳感器，以及執(zhí)行元件的控制邏輯中，其表現(xiàn)同樣出色。美光內(nèi)存的設(shè)計(jì)采用SIL-3認(rèn)證的系統(tǒng)功能，能夠通過強(qiáng)大的錯(cuò)誤檢測與緩解功能，實(shí)現(xiàn)高完整性的數(shù)據(jù)流。所有存儲(chǔ)的數(shù)據(jù)都被視為安全關(guān)鍵型數(shù)據(jù)，受到全面安全措施的保護(hù)，可有效防止故障產(chǎn)生，并具備主動(dòng)檢測和控制故障的能力，同時(shí)還支持集中式和分布式架構(gòu)中的各種安全功能。

圖1：內(nèi)部集成美光內(nèi)存解決方案的E/E/PE安全相關(guān)系統(tǒng)（由exida提供）

美光LPDDR5X產(chǎn)品專為連續(xù)運(yùn)行模式設(shè)計(jì)，有助于整個(gè)系統(tǒng)在其生命周期內(nèi)隨時(shí)觸發(fā)風(fēng)險(xiǎn)降低措施。該設(shè)計(jì)確保了足夠的故障檢測與響應(yīng)時(shí)間，從而防止危險(xiǎn)事件的發(fā)生。連續(xù)模式是要求最嚴(yán)苛的工況，因?yàn)樵撃Ｊ揭蟀踩胧┍仨氃谙到y(tǒng)運(yùn)行期間持續(xù)有效，且排除所有依賴定期離線維護(hù)或診斷中斷的措施。

美光的突破性LPDDR5X優(yōu)化糾錯(cuò)碼 (ECC) 方案有效降低了系統(tǒng)內(nèi)聯(lián)ECC性能損耗，將帶寬提升15%至25%。7這種全新的LPDDR5X優(yōu)化ECC方案稱為“直接鏈路ECC協(xié)議 (DLEP)”，不僅能夠提升性能，還可以降低時(shí)間故障率 (FIT)，讓LPDDR5X內(nèi)存系統(tǒng)滿足ISO 26262 ASIL-D和IEC 61508 SIL-3規(guī)定的硬件指標(biāo)。此外，在使用pJ/b（皮焦耳/比特）衡量時(shí)，這款新產(chǎn)品還能降低約10%的功耗，并提供至少6%的額外可尋址內(nèi)存空間。

共筑嵌入式安全統(tǒng)一愿景

美光的戰(zhàn)略定位清晰明確——成為汽車和工業(yè)市場中符合安全要求的內(nèi)存和存儲(chǔ)解決方案標(biāo)桿供應(yīng)商。我們的統(tǒng)一框架同時(shí)支持ISO 26262和IEC 61508標(biāo)準(zhǔn)，貫穿其中的是“安全優(yōu)先”理念。

美光將繼續(xù)加大在基礎(chǔ)設(shè)施上的投資力度，包括建立專門的功能安全辦公室，負(fù)責(zé)實(shí)施安全服務(wù)包，并為客戶提供一級技術(shù)支持及配套培訓(xùn)資料。雖然客戶需自行負(fù)責(zé)達(dá)成其系統(tǒng)級安全目標(biāo)，但美光會(huì)為客戶提供專家指導(dǎo)，讓客戶理解內(nèi)存在實(shí)現(xiàn)功能安全中的重要作用。

對汽車行業(yè)客戶而言，美光向工業(yè)市場的拓展進(jìn)一步加強(qiáng)了我們的承諾：向客戶提供更安全的內(nèi)存解決方案。對工業(yè)客戶而言，這標(biāo)志著一個(gè)新時(shí)代的開啟——將美光旗下安全、可靠并經(jīng)過市場長期檢驗(yàn)的產(chǎn)品和創(chuàng)新技術(shù)正式引入關(guān)鍵任務(wù)工業(yè)系統(tǒng)。

無論您是在設(shè)計(jì)下一代自動(dòng)駕駛汽車，還是構(gòu)建高可靠性工業(yè)系統(tǒng)，美光都是您值得信賴的安全供應(yīng)商。

1一種開發(fā)模型，通過將系統(tǒng)設(shè)計(jì)（“V”型的左側(cè)）映射到相應(yīng)的驗(yàn)證和確認(rèn)活動(dòng)（“V”型的右側(cè)），來強(qiáng)調(diào)可追溯性和結(jié)構(gòu)化測試。

2由于缺陷、輻射或其他物理因素而導(dǎo)致的無法預(yù)測的硬件故障。這類故障可通過冗余和診斷機(jī)制來解決。

3由設(shè)計(jì)或流程問題導(dǎo)致、在特定條件下會(huì)持續(xù)出現(xiàn)的故障。這類故障可通過嚴(yán)苛的開發(fā)流程和驗(yàn)證來緩解。

4將在系統(tǒng)級別進(jìn)行評估。

5汽車系統(tǒng)通常需要即時(shí)響應(yīng)，而工業(yè)系統(tǒng)可能會(huì)依賴于冗余配置或漸進(jìn)式降級機(jī)制。對于工業(yè)系統(tǒng)，系統(tǒng)層面的冗余配置通常是必需的，為此系統(tǒng)需要支持多通道協(xié)同運(yùn)作，即有可能在一條生產(chǎn)線上進(jìn)行維護(hù)，而另一條生產(chǎn)線則繼續(xù)提供安全功能。

6PFH：每小時(shí)發(fā)生危險(xiǎn)故障的概率；“1 FIT”表示每10?小時(shí)發(fā)生一次故障。PFH是對于系統(tǒng)整體級別的要求。通常，F(xiàn)IT被分配給系統(tǒng)的所有器件。根據(jù)歷史數(shù)據(jù)慣例，我們?yōu)閮?nèi)存分配的FIT預(yù)算占比通常維持在較低水平——一般僅占總體預(yù)算的幾個(gè)百分點(diǎn)。

7具備增強(qiáng)型ECC功能的車用LPDDR5X能夠應(yīng)對這一挑戰(zhàn)。

本文作者

Ignazio Martines

AEBU標(biāo)準(zhǔn)、功能安全（FuSa）及網(wǎng)絡(luò)安全部門主管