“芯芯”向榮背后的安全隱患
范圍內(nèi)處于傳統(tǒng)汽車(chē)至智能網(wǎng)聯(lián)汽車(chē)變革期，隨著人工智能、5G、物聯(lián)網(wǎng)、云計(jì)算等新一代信息技術(shù)的飛速發(fā)展，將在智能網(wǎng)聯(lián)汽車(chē)技術(shù)發(fā)展中產(chǎn)生巨大協(xié)同效應(yīng)，重塑汽車(chē)產(chǎn)業(yè)業(yè)態(tài)和商業(yè)模式，為人類(lèi)出行方式帶來(lái)變革。整車(chē)占比60%以上的電子電氣系統(tǒng)中，智能網(wǎng)聯(lián)汽車(chē)芯片能夠gao效地實(shí)現(xiàn)感應(yīng)、控制、執(zhí)行、決策、通信、導(dǎo)航等功能，是智能網(wǎng)聯(lián)汽車(chē)的關(guān)鍵核心部件。
圖1 汽車(chē)半導(dǎo)體的主要趨勢(shì)
車(chē)規(guī)級(jí)IC不同于消費(fèi)電子IC,高度強(qiáng)調(diào)可靠性及功能安全，需要承受極端工作環(huán)境（-40°C to +150°C）的考驗(yàn)，要滿(mǎn)足 ISO-26262 、AEC-Q100等汽車(chē)行業(yè)標(biāo)準(zhǔn)。
對(duì)于半導(dǎo)體的開(kāi)發(fā)過(guò)程，在ISO-26262di一版的要求中主要和ECU的硬件開(kāi)發(fā)合并在Part5,硬件開(kāi)發(fā)階段的內(nèi)容中提出要求。但考慮到半導(dǎo)體開(kāi)發(fā)和硬件開(kāi)發(fā)在具體實(shí)施上差異較大，因此在2018版ISO26262的標(biāo)準(zhǔn)上，又新提出了Part11半導(dǎo)體功能安全開(kāi)發(fā)的指南，作為對(duì)Part5的補(bǔ)充和完善，其安全生命周期模型框架如下：
圖2 ISO26262功能安全生命周期模型框架
以IC中的IP/SoC安全開(kāi)發(fā)及驗(yàn)證為例，IP/SoC的功能安全開(kāi)發(fā)目標(biāo)主要包括兩個(gè)方面：避免系統(tǒng)性失效的發(fā)生和避免隨機(jī)失效的發(fā)生，其開(kāi)發(fā)過(guò)程中的安全活動(dòng)與標(biāo)準(zhǔn)的映射關(guān)系如下：
圖3 IP/SoC與ISO26262映射
符合功能安全標(biāo)準(zhǔn)的IC開(kāi)發(fā)流程
符合功能安全標(biāo)準(zhǔn)半導(dǎo)體的開(kāi)發(fā)模式一般有兩種：
? Design in Context
? Safety Element out of Context(SEooC)
目前芯片廠(chǎng)商基本采用SEooC的開(kāi)發(fā)模式。在SEooC開(kāi)發(fā)過(guò)程中會(huì)對(duì)安全生命周期內(nèi)的功能安全活動(dòng)進(jìn)行剪裁，以滿(mǎn)足實(shí)際的開(kāi)發(fā)需求。
基于SEooC模式進(jìn)行半導(dǎo)體的開(kāi)發(fā)主要分為兩個(gè)過(guò)程：
? SEooC硬件組件開(kāi)發(fā)
? 相關(guān)項(xiàng)開(kāi)發(fā)
核心過(guò)程一，SEooC硬件組件開(kāi)發(fā)。它包含系統(tǒng)級(jí)假設(shè)和SEooC設(shè)計(jì)，芯片廠(chǎng)商依據(jù)市場(chǎng)調(diào)研的結(jié)果及對(duì)產(chǎn)品的定位制訂系統(tǒng)級(jí)假設(shè)，主要內(nèi)容包括技術(shù)安全需求假設(shè)以及外部設(shè)計(jì)假設(shè)，芯片廠(chǎng)商依據(jù)系統(tǒng)級(jí)假設(shè)進(jìn)行后續(xù)的開(kāi)發(fā)設(shè)計(jì)。
SEooC的設(shè)計(jì)主要包含的功能安全活動(dòng)為：硬件安全需求的描述及驗(yàn)證、硬件設(shè)計(jì)的描述及驗(yàn)證、DFA分析、FMEA/FTA分析、硬件量化指標(biāo)評(píng)估及驗(yàn)證、硬件的集成驗(yàn)證等。
?硬件安全需求的描述及驗(yàn)證：硬件安全需求由假設(shè)的技術(shù)安全需求導(dǎo)出，包含了功能性需求（預(yù)期功能以及安全機(jī)制）以及約束性需求（失效率指標(biāo)、FFI等）；根據(jù)硬件安全需求的ASIL等級(jí)采取相應(yīng)的驗(yàn)證方法（走查、審查、半形式化驗(yàn)證、形式化驗(yàn)證）驗(yàn)證硬件安全需求的正確性、完整性、可測(cè)性、一致性、可實(shí)現(xiàn)性等
? 硬件設(shè)計(jì)的描述及驗(yàn)證：主要包含半導(dǎo)體的架構(gòu)設(shè)計(jì)、RTL設(shè)計(jì)、門(mén)級(jí)設(shè)計(jì)以及布局布線(xiàn)等；通過(guò)走查、審查、安全分析（FTA/FMEA）、模擬仿真等方法對(duì)其進(jìn)行驗(yàn)證
?DFA分析：通過(guò)DFA分析確保不同ASIL等級(jí)的模塊之間滿(mǎn)足共存的要求,ASIL等級(jí)分解的模塊之間滿(mǎn)足獨(dú)立性，預(yù)期功能和安全機(jī)制之間滿(mǎn)足獨(dú)立性
? FMEA/FTA分析：主要是針對(duì)各種復(fù)雜系統(tǒng)設(shè)計(jì)和初樣設(shè)計(jì)階段進(jìn)行可靠性、安全性分析。用于系統(tǒng)的故障分析、預(yù)測(cè)和找出系統(tǒng)的薄弱環(huán)節(jié)，以便在設(shè)計(jì)、制造和使用中采取相應(yīng)的改進(jìn)措施
? 硬件量化指標(biāo)評(píng)估及驗(yàn)證：主要包含F(xiàn)MEDA和PMHF計(jì)算，通過(guò)架構(gòu)指標(biāo)（單點(diǎn)故障指標(biāo)、潛在故障指標(biāo)）來(lái)評(píng)估硬件架構(gòu)設(shè)計(jì)水平 ，通過(guò)PMHF值評(píng)估表明隨機(jī)硬件失效導(dǎo)致違背安全目標(biāo)的殘余風(fēng)險(xiǎn)是否足夠低
? 硬件的集成驗(yàn)證：根據(jù)ASIL等級(jí)采取相應(yīng)的驗(yàn)證措施，驗(yàn)證硬件設(shè)計(jì)是否滿(mǎn)足相應(yīng)的硬件安全需求
核心過(guò)程二，相關(guān)項(xiàng)開(kāi)發(fā)。它的主要內(nèi)容是系統(tǒng)級(jí)假設(shè)驗(yàn)證。當(dāng)芯片集成方（OEM/Tier1）進(jìn)行系統(tǒng)級(jí)別的設(shè)計(jì)時(shí)，需要驗(yàn)證芯片的技術(shù)安全需求假設(shè)與外部設(shè)計(jì)假設(shè)和當(dāng)前系統(tǒng)中分配給芯片的技術(shù)安全需求以及當(dāng)前系統(tǒng)設(shè)計(jì)是否一致。若兩者一致，則可以進(jìn)入后續(xù)的功能安全開(kāi)發(fā)階段；若兩者不一致，則視實(shí)際項(xiàng)目情況由芯片開(kāi)發(fā)方或芯片集成方進(jìn)行變更。
安全分析助力SEooC開(kāi)發(fā)
從上述的符合功能安標(biāo)準(zhǔn)的IC流程關(guān)鍵技術(shù)剖析不難看出，如何進(jìn)行半導(dǎo)體的安全分析對(duì)SEooC開(kāi)發(fā)至關(guān)重要，gao效、準(zhǔn)確的完成安全需求管理與追溯、FMEA、FMEDA、安全機(jī)制設(shè)計(jì)、故障注入與仿真、FTA、DFA以及相關(guān)的變更管理與影響分析等是SEooC開(kāi)發(fā)面臨的挑戰(zhàn)，傳統(tǒng)的使用Excel等單點(diǎn)工具已經(jīng)很難滿(mǎn)足安全開(kāi)發(fā)設(shè)計(jì)的要求。
圖6 半導(dǎo)體開(kāi)發(fā)面臨的挑戰(zhàn)
其中在進(jìn)行FMEDA分析時(shí)，芯片的設(shè)計(jì)不但要考慮永jiu故障，還必須考慮由于電路干擾、電磁干擾而導(dǎo)致的瞬態(tài)故障。一般而言，對(duì)于永jiu故障，封裝Package和晶圓Die的失效率分布一般由行業(yè)專(zhuān)來(lái)判定，而晶圓Die內(nèi)部各個(gè)功能模塊具體的失效率，比如數(shù)字電路、模擬電路、CPU等，首先要按照SN29500、IEC62380等標(biāo)準(zhǔn)并根據(jù)晶體管數(shù)量計(jì)算總的失效率，然后再根據(jù)每個(gè)功能模塊的面積來(lái)計(jì)算相應(yīng)的失效率。對(duì)于瞬態(tài)故障，標(biāo)準(zhǔn)建議是總故障率按照門(mén)的數(shù)量乘以基本瞬態(tài)失效率來(lái)計(jì)算，因此芯片內(nèi)部失效率的計(jì)算，需要提取芯片內(nèi)部模塊的面積以及門(mén)的數(shù)量。對(duì)于永jiu故障和瞬時(shí)故障失效率的計(jì)算，如果采取人工的方式進(jìn)行數(shù)據(jù)的提取和分析，非常耗時(shí)耗力，因此需要特定的工具進(jìn)行輔助。
IC功能安全解決方案-Medini Analyze
針對(duì)半導(dǎo)體的功能安全開(kāi)發(fā)及驗(yàn)證，Medini Analyze推出完整的安全分析解決方案，支持把IC設(shè)計(jì)文件導(dǎo)入到工具中，自動(dòng)識(shí)別所需數(shù)據(jù)進(jìn)行一系列的分析和計(jì)算。
對(duì)于半導(dǎo)體FMEDA的開(kāi)發(fā)，基于Medini Analyze平臺(tái)的主要分析流程如下：
? STEP1，IP設(shè)計(jì)數(shù)據(jù)的無(wú)縫導(dǎo)入并與高層架構(gòu)模型映射
? STEP2，支持IPD-XML格式包含die area/gate counts的設(shè)計(jì)數(shù)據(jù)導(dǎo)入，通過(guò)設(shè)計(jì)數(shù)據(jù)與高層架構(gòu)模型映射，高層架構(gòu)模型能夠自動(dòng)匯總失效率的分布
? STEP3，失效率預(yù)計(jì)，根據(jù)映射關(guān)系自動(dòng)將失效率分布至各個(gè)功能模塊
? STEP4，執(zhí)行FMEDA，計(jì)算SPF/LF metrics,safe fault fraction等，從映射后的高層架構(gòu)模型能夠直接生成FMEDA的表格，并基于安全機(jī)制DC值自動(dòng)估算SPFM/LFM指標(biāo)
? STEP5，從FMEDA生成故障列表，以進(jìn)行故障注入模擬，通過(guò)導(dǎo)出的故障列表來(lái)支持EDA工具進(jìn)行故障注入測(cè)試，以便得到更加準(zhǔn)確的DC值
? STEP6，執(zhí)行故障注入以確定安全機(jī)制的診斷覆蓋率
? STEP7，更新安全機(jī)制的診斷覆蓋率和故障注入安全故障比例，基于準(zhǔn)確的DC值Medini將自動(dòng)更新FMEDA表格，并計(jì)算相應(yīng)的硬件指標(biāo)
此外，Medini Analyze還具備安全需求追溯管理、FTA分析、FMEA分析以及DFA分析等功能?！癉C Configurator”功能可以把芯片廠(chǎng)商的安全分析工作以工程文件的形式導(dǎo)出，工具自動(dòng)收集所有相關(guān)的高層架構(gòu)數(shù)據(jù)，里面只包含安全分析相關(guān)的信息，而不包含芯片的具體設(shè)計(jì)，從而實(shí)現(xiàn)安全分析的信息共享并同時(shí)保護(hù)知識(shí)產(chǎn)權(quán)。
經(jīng)緯恒潤(rùn)從2008年開(kāi)始研究及實(shí)施功能安全，并于同年組建了功能安全團(tuán)隊(duì)，從消化ISO-26262標(biāo)準(zhǔn)到參與2017年GB/T 34590功能安全標(biāo)準(zhǔn)的制定；結(jié)合自身汽車(chē)電子產(chǎn)品研發(fā)實(shí)踐，經(jīng)緯恒潤(rùn)的功能安全團(tuán)隊(duì)在智駕域、底盤(pán)域、動(dòng)力域、車(chē)身域?qū)嵤﹪?guó)內(nèi)外100+成功案例，積累了豐富的經(jīng)驗(yàn)。迎合市場(chǎng)所需，結(jié)合量產(chǎn)產(chǎn)品功能安全落地實(shí)施的技術(shù)難點(diǎn)，經(jīng)緯恒潤(rùn)功能安全團(tuán)隊(duì)以智能駕駛功能安全為主題，陸續(xù)發(fā)布解決方案系列文章，歡迎大共同探討！
