長(zhǎng)期以來，汽車功能安全主要由一級(jí)供應(yīng)商和汽車主機(jī)廠商（OEM） 負(fù)責(zé)。如今，隨著車輛系統(tǒng)復(fù)雜性的提升和車內(nèi)電子元件的不斷增加，功能安全正逐漸成為半導(dǎo)體廠商關(guān)注的焦點(diǎn)。憑借專門打造的符合 JEDEC 標(biāo)準(zhǔn)的車規(guī)級(jí)產(chǎn)品組合，美光推出了 SAFER 汽車功能安全解決方案，致力于滿足汽車行業(yè)對(duì)功能安全的需求。美光 LPDDR5 內(nèi)存基于 SAFER 框架打造，現(xiàn)已正式發(fā)布并已量產(chǎn)，旨在為行業(yè)最復(fù)雜的汽車高級(jí)駕駛輔助系統(tǒng)(ADAS) 提供解決方案。

芯片和系統(tǒng)風(fēng)險(xiǎn)管理

如今，ADAS 系統(tǒng)在汽車中的加速部署突出了功能安全的重要性。隨著一級(jí)供應(yīng)商和汽車主機(jī)廠商在安全關(guān)鍵型 ECU 中應(yīng)用了更多半導(dǎo)體元件，汽車對(duì) ADAS 性能的要求大幅提高，進(jìn)而強(qiáng)調(diào)了半導(dǎo)體功能安全。而由于車載信息娛樂系統(tǒng)與 ADAS 的交互程度逐漸加深，系統(tǒng)級(jí)功能安全也受到影響，更加凸顯了功能安全的重要性。在系統(tǒng)層面，半導(dǎo)體內(nèi)存和存儲(chǔ)設(shè)備需要滿足嚴(yán)苛的安全要求，比如符合 ISO 26262 標(biāo)準(zhǔn)。

ISO 26262 標(biāo)準(zhǔn)將功能安全定義為“避免電氣/電子系統(tǒng)在運(yùn)行過程中因故障而引發(fā)不合理風(fēng)險(xiǎn)”，并將故障分為兩種類型：系統(tǒng)故障和隨機(jī)故障。因此，功能安全包括兩個(gè)關(guān)鍵組成部分——系統(tǒng)故障覆蓋和隨機(jī)故障覆蓋，以支持設(shè)備按設(shè)計(jì)和預(yù)期正常運(yùn)行，并在隨機(jī)故障間歇發(fā)生時(shí)進(jìn)行標(biāo)記。通過這些標(biāo)記，系統(tǒng)能對(duì)故障進(jìn)行分析并做出適當(dāng)?shù)捻憫?yīng)。

在半導(dǎo)體研發(fā)過程中，可通過以下措施降低系統(tǒng)故障風(fēng)險(xiǎn)：

●教育培訓(xùn)（例如對(duì)員工開展 ISO 26262 標(biāo)準(zhǔn)培訓(xùn)）

●組織管理（例如設(shè)立專門的安全辦公室、進(jìn)行內(nèi) /外部安全認(rèn)證）

● 信息擴(kuò)充（例如提供額外的文件和審查要求）

汽車安全完整性等級(jí)（ASIL）每提升一級(jí)，相應(yīng)的產(chǎn)品開發(fā)工序就會(huì)隨之增加。ASIL D 是目前最嚴(yán)格的功能安全認(rèn)證等級(jí)，產(chǎn)品開發(fā)所需執(zhí)行的工序也最多。

ISO 26262 認(rèn)證有助于降低風(fēng)險(xiǎn)

盡管全面通過 ISO 26262ASIL-D 認(rèn)證的器件能為系統(tǒng)集成商提供最高的安全等級(jí)，但 ISO 26262 標(biāo)準(zhǔn)還提供了三種行業(yè)認(rèn)可的替代方法，用于處理系統(tǒng)故障并降低風(fēng)險(xiǎn)：

●質(zhì)量管理硬件 (QM HW)要素評(píng)估（硬件評(píng)估）

●在使用中驗(yàn)證質(zhì)量管理硬件要素

●ASIL 分解

根據(jù) ISO 26262 標(biāo)準(zhǔn)規(guī)定，對(duì)于 III 類硬件要素，硬件評(píng)估只能在 ISO 26262-8:2018 第 13.4.4.1 條規(guī)定的過渡期內(nèi)使用，新一代硬件要素應(yīng)按照 ISO 26262 標(biāo)準(zhǔn)進(jìn)行開發(fā)。未來，對(duì)于需要使用III 類硬件要素的設(shè)計(jì)，就要通過正規(guī)的標(biāo)準(zhǔn)認(rèn)證流程。而如果現(xiàn)有市場(chǎng)存在符合 ISO 26262 標(biāo)準(zhǔn)認(rèn)證的器件，那么設(shè)計(jì)時(shí)就不能采用硬件評(píng)估方法，以更好地管理風(fēng)險(xiǎn)和降低集成復(fù)雜性，并進(jìn)而降低總體成本。

根據(jù) ISO 26262-8 標(biāo)準(zhǔn)第 13.4.1.1 條，LPDDR DRAM 應(yīng)歸類為 III 類硬件要素。

汽車安全領(lǐng)域知名咨詢公司 exida 的硬件要素分類標(biāo)準(zhǔn)。

“在使用中驗(yàn)證質(zhì)量管理(QM)硬件要素”的方法需在退貨商品授權(quán)(RMA)少量的基礎(chǔ)上對(duì)退貨產(chǎn)品進(jìn)行評(píng)估。這種方法要求市場(chǎng)上實(shí)際使用的器件數(shù)量達(dá)到約 500萬個(gè)，才能證明該器件可用于安全應(yīng)用。

該方法可能需要 4 到 6 年時(shí)間才能獲得 ASIL-D 認(rèn)證?？紤]到供應(yīng)鏈可能出現(xiàn)延誤，出貨量和運(yùn)營(yíng)時(shí)間也難以保證，“在使用中驗(yàn)證”的方法僅能提供較低水平的安全要求且內(nèi)在風(fēng)險(xiǎn)較高，因此不建議作為一種可持續(xù)的方法。

根據(jù) ISO26262-9:2018 第 5 條對(duì) ASIL 分解的描述，簡(jiǎn)言之，ASIL 分解是一種結(jié)構(gòu)化方法，通過在系統(tǒng)內(nèi)添加冗余來降低系統(tǒng)各部分所需的 ASIL 級(jí)別。與硬件評(píng)估相比，ASIL 分解可連續(xù)用于多代產(chǎn)品，但系統(tǒng)冗余也會(huì)導(dǎo)致系統(tǒng)總成本和器件數(shù)量的顯著增加。此外，由于 ASIL 分解側(cè)重于故障檢測(cè)而非避免故障，因此可能會(huì)對(duì)整體系統(tǒng)可用性產(chǎn)生重大影響。

結(jié)論

盡管上述三種替代方法也能實(shí)現(xiàn) ASIL KPI目標(biāo)，但采用經(jīng)過 ASIL-D 認(rèn)證/兼容的器件能將風(fēng)險(xiǎn)降至最低并加速產(chǎn)品上市，如美光 LPDDR5 ASIL-D 認(rèn)證內(nèi)存。

美光率先推出業(yè)界首款獲得 JEDEC 和 ISO 26262 ASIL-D 認(rèn)證的內(nèi)存，現(xiàn)已開始量產(chǎn)。如需了解更多信息，請(qǐng)閱讀往期內(nèi)容，深入了解美光應(yīng)用于汽車安全關(guān)鍵型系統(tǒng)中的DRAM、汽車行業(yè)主要發(fā)展趨勢(shì)及其對(duì)內(nèi)存與存儲(chǔ)的影響等內(nèi)容。

審核編輯：劉清