半导体设计中的功能安全实现

汽车半导体设计中的功能安全实现，不只是基本的故障意识。安全意图必须被定义、捕获、实现、验证，并在物理设计流程中得到保持。ISO 26262为汽车电气和电子安全提供框架，而ASIL分类则根据概率、可控性和严重度定义所需的安全严谨程度。USF提供了一种结构化方式来捕获安全意图，使规范定义、确认、实现、验证、建模和分析能够使用一致的安全信息。 安全机制通过检测失效并将设计引向安全状态来提高诊断覆盖率。这些机制有助于防护半导体器件中的失效模式、功能异常、软错误、随机错误和辐射感生电荷影响。Dual Core Lock Step和Triple Modular Redundancy是两种主要的硬件安全机制。DCLS使用主路径、检查路径和比较器来检测不匹配。TMR使用一个父触发器、两个克隆触发器和投票逻辑，在一个冗余单元受到影响时保持正确值。 仅有冗余并不能保证功能安全。冗余逻辑必须在逻辑结构和物理实现中都保持独立。当冗余单元放置得过近、共享脆弱的时钟资源，或使用暴露于同一物理风险的布线路径时，共因失效可能会击穿安全机制。因此，物理实现属性本身就成为安全机制的一部分。布局隔离、时钟隔离和布线隔离帮助保持可靠安全行为所需的独立性。 DCLS实现需要互斥组规则、非重叠组边界、组间规定间距、隔离的时钟树，以及遵守安全岛边界的布线。内部网络必须保留在其安全岛组内部，接口网络必须避开互斥组边界，而当顶层网络没有任何引脚位于安全岛组内部时，可以跨越安全岛布线。这些规则使master路径和checker路径保持足够隔离，以支持有意义的锁步比较。 TMR实现要求对父触发器和两个克隆触发器进行谨慎的布局和时钟控制。三个触发器必须保持隔离，以降低共因失效风险，其方式包括X方向隔离、Y方向隔离、X或Y方向隔离，或径向隔离。每个TMR触发器也应由自己独有的时钟单元直接驱动，并且扇出等于一。这可以防止共享时钟依赖成为共同失效来源。这些方法共同将冗余从逻辑结构转化为物理上可靠的安全机制。 Catalogue: 功能安全意图 安全与功能安全 ISO 26262认证 ASIL风险分类 ASIL判定因素 统一安全格式 安全机制基础 安全机制的作用 双核锁步机制 DCLS互斥组 三模冗余机制 失效模式与冗余 通过冗余实现功能安全 安全机制的物理隔离 物理实现中的安全属性 DCLS实现 DCLS布局隔离 DCLS时钟隔离 DCLS布线隔离 TMR实现 TMR布局隔离 TMR时钟隔离