來源：納芯微電子

近年來，隨著整車電氣化水平的提升，整車系統(tǒng)中針對(duì)電源系統(tǒng)的功能安全需求正在持續(xù)增加。在安全相關(guān)系統(tǒng)中，電源的失效不僅僅會(huì)造成元器件的損壞，更有可能會(huì)直接違背安全目標(biāo)并導(dǎo)致嚴(yán)重后果。

納芯微專注于各類型電源芯片設(shè)計(jì)，擁有豐富的產(chǎn)品類別。其中，LED 驅(qū)動(dòng)芯片（LED driver）、系統(tǒng)基礎(chǔ)芯片（SBC）、電源管理集成電路（PMIC）、電源保護(hù)芯片（Power protector IC）等電源類產(chǎn)品，覆蓋了從 ASIL B 到 ASIL D 的多種系統(tǒng)應(yīng)用，并進(jìn)行了完善的功能安全考量。無論是汽車還是工業(yè)應(yīng)用，這些產(chǎn)品都時(shí)刻為使用者的安全保駕護(hù)航。

本文將介紹電源類芯片功能安全的基本概念，以及納芯微在電源相關(guān)芯片產(chǎn)品研發(fā)中的一些具體實(shí)踐。

01電源芯片典型功能安全需求

功能安全芯片常?；赟EooC（獨(dú)立于環(huán)境的安全要素）進(jìn)行開發(fā)，芯片承接來自于更上層的系統(tǒng)級(jí)功能安全需求，以處理器PMIC為例，如下圖所示，其首要功能就是為處理器提供正確的電壓。同時(shí)，針對(duì)處理器軟硬件可能出現(xiàn)的失效，需要配置外部看門狗進(jìn)行監(jiān)控。目前，滿足功能安全要求的處理器往往還會(huì)配置故障收集以及處理單元，其故障輸出也需要外部裝置持續(xù)監(jiān)控。如果檢測(cè)到相關(guān)故障，需要提供另外一條冗余路徑，使得系統(tǒng)能夠進(jìn)入安全狀態(tài)。

上圖中綠色方框所代表的部分就構(gòu)成了針對(duì)處理器PMIC的頂層安全需求，總結(jié)如下：

安全需求_1：提供正確的輸出電壓及監(jiān)控功能（過壓監(jiān)控，欠壓監(jiān)控，內(nèi)部電壓監(jiān)控，外部電壓監(jiān)控）

安全需求_2：提供看門狗功能（simple看門狗，challenge看門狗）

安全需求_3：監(jiān)控安全輸入信號(hào)（FCCU監(jiān)控，SMU監(jiān)控，Error signal監(jiān)控）

安全需求_4：提供安全輸出信號(hào)（內(nèi)部故障或外部故障觸發(fā)，Reset輸出，單路或多路可配置延時(shí)的安全輸出）

02如何打造滿足功能安全要求的電源產(chǎn)品

芯片功能安全設(shè)計(jì)的重點(diǎn)在于解決系統(tǒng)性失效以及隨機(jī)硬件失效問題。

納芯微的功能安全開發(fā)流程已經(jīng)通過TüV萊茵的審核，并結(jié)合芯片設(shè)計(jì)實(shí)際經(jīng)驗(yàn)不斷地進(jìn)行相關(guān)改進(jìn)。在電源類芯片產(chǎn)品的開發(fā)過程中，納芯微遵循相關(guān)流程，同時(shí)根據(jù)芯片行業(yè)實(shí)際情況適配標(biāo)準(zhǔn)中針對(duì)系統(tǒng)能力的相關(guān)要求，盡可能的降低系統(tǒng)性失效帶來的產(chǎn)品安全風(fēng)險(xiǎn)。

對(duì)于隨機(jī)硬件失效帶來的問題，電源類產(chǎn)品需要設(shè)計(jì)相應(yīng)的安全架構(gòu)來滿足不同功能安全等級(jí)的要求，以下就以簡(jiǎn)單的電源監(jiān)控為例，介紹相關(guān)概念：

a、檢測(cè)單點(diǎn)故障，提升SPFM指標(biāo)：電源輸出的異常狀態(tài)往往會(huì)直接影響系統(tǒng)級(jí)安全目標(biāo)，因此被定義為單點(diǎn)故障。通?？赏ㄟ^為電壓輸出增加監(jiān)控等方式，對(duì)輸出電壓進(jìn)行不間斷監(jiān)控，確保其處于正常工作范圍之內(nèi)。

b、檢測(cè)潛伏故障，提升 LFM 指標(biāo)：當(dāng)電源監(jiān)控部分出現(xiàn)故障、喪失監(jiān)控功能時(shí)，若電源輸出發(fā)生異常，該異常將無法被正確檢測(cè)。通常可通過增加 ABIST（內(nèi)置自測(cè)試）等方式，在 MPF_DTI（多點(diǎn)故障檢測(cè)時(shí)間間隔）時(shí)間內(nèi)，測(cè)試監(jiān)控是否能正確檢測(cè)并響應(yīng)故障。

c、解決共因及級(jí)聯(lián)影響：需盡可能提高監(jiān)控單元與被監(jiān)控單元之間的獨(dú)立性，以確保監(jiān)控的有效性。

d、保證 PMHF 指標(biāo)滿足要求：PMHF（硬件失效概率指標(biāo)）即大家常提及的 FIT 值（失效單位）。

由于電源類芯片往往只是整條安全功能鏈路上很小的一部分，因此其PMHF占比也不能過高。例如，針對(duì) ASIL D 級(jí)別的安全功能，若采用 PMIC 這類集成度較高的芯片，其 PMHF 占比 10%（即 1 FIT）較為合適對(duì)于更簡(jiǎn)單的芯片，其 PMHF 占比應(yīng)進(jìn)一步降低。這里需要綜合考慮封裝，Die（芯片/晶粒）以及軟失效帶來的影響。如果最終PMHF指標(biāo)過大，則可能需要更新安全架構(gòu)設(shè)計(jì)。

03功能安全標(biāo)準(zhǔn)中的相關(guān)參考及解讀

ISO 26262-11:2018標(biāo)準(zhǔn)為半導(dǎo)體如何滿足功能安全要求打下了堅(jiān)實(shí)的基礎(chǔ)，針對(duì)電源相關(guān)功能安全設(shè)計(jì)，標(biāo)準(zhǔn)中也提供了相關(guān)的參考。納芯微在電源類產(chǎn)品的開發(fā)實(shí)踐中，也利用標(biāo)準(zhǔn)的輸入更好地指導(dǎo)了功能安全相關(guān)設(shè)計(jì)。

a、功能安全芯片設(shè)計(jì)需要分析每個(gè)IP的失效模式并進(jìn)行針對(duì)性處理，ISO 26262-11:2018標(biāo)準(zhǔn)中，針對(duì)電源相關(guān)模塊可能出現(xiàn)的失效模式給出了描述。下表展示了電壓調(diào)節(jié)器（Voltage regulator）相關(guān)失效模式內(nèi)容，當(dāng)然標(biāo)準(zhǔn)中還針對(duì)電荷泵（Charge pump）、電壓基準(zhǔn)源（Voltage references）、電壓比較器（Voltage comparator）給出了建議，也可以在設(shè)計(jì)中進(jìn)行參考：

b、ISO 26262-11:2018中還給出了電源常見的安全機(jī)制：

c、除了失效模式之外，診斷覆蓋率以及失效模式的分布情況也是我們?cè)诜治鲭娫垂δ馨踩行枰攸c(diǎn)關(guān)注的地方。針對(duì)診斷覆蓋率以及失效模式分布，標(biāo)準(zhǔn)中也有一些內(nèi)容可以參考：

首先追溯到ISO 26262-5:2011版本標(biāo)準(zhǔn)中的相關(guān)信息，表 D.1描述了電源相關(guān)失效模式及診斷覆蓋率。通?？山庾x為：若過壓（OV）及欠壓（UV）可被診斷，可宣稱 60% 的診斷覆蓋率（DC）；若電源的漂移（Drift）可被診斷，可宣稱 90% 的診斷覆蓋率（DC）；若振蕩（Oscillation）及電源尖峰（power spike）可被診斷，則可宣稱 99% 的診斷覆蓋率（DC）。同時(shí)，此處也可作為標(biāo)準(zhǔn)給出的失效模式分布參考，即過壓（OV）/ 欠壓（UV）占比 60%、漂移（Drift）占比 30%、振蕩（Oscillation）/ 電源尖峰（Power spike）占比 10%。

然而ISO 26262-5-2018版本標(biāo)準(zhǔn)中對(duì)此進(jìn)行了更新。表 D.1中不再將失效模式和診斷覆蓋率掛鉤，因此上述的解讀就有可能不再適用，而是需要根據(jù)實(shí)際的設(shè)計(jì)情況進(jìn)行相應(yīng)評(píng)估。

d、ISO 26262-11:2018標(biāo)準(zhǔn)中的附錄D也是一份重要的參考資料。其以低壓差線性穩(wěn)壓器（LDO）及其診斷為例，進(jìn)行了兩個(gè)顆粒度的 FMEDA（故障模式影響及診斷分析）。在 FMEDA_1 中，分析顆粒度如下圖所示，主要分析部分為 LDO 及其電壓監(jiān)控部分。

在FMEDA_2中，則將LDO及其電壓監(jiān)控部分進(jìn)行了細(xì)化，分析顆粒度細(xì)化了一個(gè)層級(jí)，也得到了更加精確的結(jié)果。兩份FMEDA中子模塊的失效模式分布均采用平均分配方式。

e、解讀與實(shí)踐：

標(biāo)準(zhǔn)中給出的相關(guān)內(nèi)容具有很高的參考價(jià)值，但在實(shí)際研發(fā)過程中往往不能照搬，需要根據(jù)實(shí)際設(shè)計(jì)的不同進(jìn)行適配，否則有可能導(dǎo)致完全依賴標(biāo)準(zhǔn)進(jìn)行紙上談兵，卻無法準(zhǔn)確地發(fā)現(xiàn)設(shè)計(jì)的弱點(diǎn)及實(shí)際存在的安全問題。

在項(xiàng)目研發(fā)過程中，納芯微針對(duì)電源產(chǎn)品的重點(diǎn)IP做了細(xì)致深入的分析，通過仿真、分析等手段獲取了IC或IP更為準(zhǔn)確的失效模式及其分布情況。同時(shí)納芯微正結(jié)合標(biāo)準(zhǔn)，并根據(jù)公司實(shí)際IP實(shí)現(xiàn)情況，建立并不斷充實(shí)公司級(jí)失效模式及其分布數(shù)據(jù)庫，以指導(dǎo)并不斷優(yōu)化功能安全相關(guān)產(chǎn)品設(shè)計(jì)。

04高功能安全等級(jí)電源芯片設(shè)計(jì)的難點(diǎn)

在高功能安全等級(jí)電源芯片的研發(fā)過程中，如果希望滿足ASIL D的要求，在實(shí)踐中往往需要付出較大的努力。

a、需要盡可能地提升SPFM指標(biāo)：這意味著電壓監(jiān)測(cè)模塊在任何情況下[考慮精度（accuracy）以及工藝角（corner）]，都能確保所有電壓區(qū)間（0V到輸入的最大可能電壓）均被監(jiān)測(cè)，并在出錯(cuò)時(shí)保持安全狀態(tài)，這在面向高電壓等級(jí)（例如48V）系統(tǒng)應(yīng)用的電源芯片設(shè)計(jì)中，會(huì)面臨諸多困難。同時(shí)，若振蕩（oscillation）及電源尖峰（power spike）在應(yīng)用中與安全相關(guān)，也需納入考慮。

b、需要盡可能地提升LFM指標(biāo)：如果ABIST（內(nèi)置自測(cè)試）僅僅覆蓋電壓監(jiān)控輸出能否正常翻轉(zhuǎn)，則LFM指標(biāo)表現(xiàn)不佳。若電壓監(jiān)控先出現(xiàn)漂移（drift），之后電源也發(fā)生漂移，就可能由于無法檢測(cè)而違背安全目標(biāo)。很顯然如果ABIST無法覆蓋電壓監(jiān)控drift的問題，就很難獲取較高的LFM指標(biāo)，但是增加對(duì)drift的覆蓋往往會(huì)提升設(shè)計(jì)復(fù)雜性，這也需要在實(shí)際設(shè)計(jì)中進(jìn)行平衡。

c、需要盡可能提升獨(dú)立性：除了share resource問題（例如共用BG），還需要考慮高邊FET Drain_Source短路導(dǎo)致的share supply voltage，以及coupling帶來的問題（例如Heat propagation/Substrate current injection），這些都會(huì)給芯片的前后端設(shè)計(jì)以及成本帶來難度。

小結(jié)

本文介紹了電源功能安全的一些基本概念，無論是作為單獨(dú)的電源類芯片產(chǎn)品，亦或是芯片中集成一些電源相關(guān)模塊，本文描述的相關(guān)內(nèi)容以及基礎(chǔ)設(shè)計(jì)思路都可作為參考。

芯片設(shè)計(jì)需始終關(guān)注應(yīng)用系統(tǒng)的發(fā)展趨勢(shì)。隨著自動(dòng)駕駛的高速發(fā)展，電源可用性也將逐漸成為安全相關(guān)可用性需求（SaRA，Safety Relevant Availability Requirements），當(dāng)下電源相關(guān)芯片往往設(shè)計(jì)為故障安全（fail-safe）模式，而如何從故障診斷轉(zhuǎn)向故障預(yù)防/預(yù)測(cè)/容忍并滿足系統(tǒng)級(jí)可用性（availability）的要求，將會(huì)在未來給電源芯片本身及其功能安全策略帶來新的挑戰(zhàn)。

納芯微電子（簡(jiǎn)稱納芯微，科創(chuàng)板股票代碼688052）是高性能高可靠性模擬及混合信號(hào)芯片公司。自2013年成立以來，公司聚焦傳感器、信號(hào)鏈、電源管理三大方向，為汽車、工業(yè)、信息通訊及消費(fèi)電子等領(lǐng)域提供豐富的半導(dǎo)體產(chǎn)品及解決方案。

納芯微以『“感知”“驅(qū)動(dòng)”未來，共建綠色、智能、互聯(lián)互通的“芯”世界』為使命，致力于為數(shù)字世界和現(xiàn)實(shí)世界的連接提供芯片級(jí)解決方案。