中國已經(jīng)連續(xù)十多年成為全球第一大汽車產(chǎn)銷國，智能化也成為了汽車行業(yè)發(fā)展的一個重要方向，同時越來越多的制造商正在考慮進(jìn)入無人機和飛行汽車等低空設(shè)備，而所有的這些系統(tǒng)產(chǎn)品都需要先進(jìn)芯片的支撐，其中的許多芯片因其功能都是安全關(guān)鍵型芯片(safety-critical chip)。
所有類型的安全關(guān)鍵型芯片設(shè)計都需要深謀遠(yuǎn)慮和認(rèn)真規(guī)劃。本文的目的是闡明在安全關(guān)鍵型應(yīng)用中使用預(yù)先打造的電路功能(也就是IP內(nèi)核)的益處，并為您在設(shè)計芯片時，在做出相關(guān)選擇和IP內(nèi)核集成過程中提供一些指導(dǎo)。
遺憾的是，設(shè)計師往往低估了在其項目的早期階段與第三方IP制造商合作的重要性和益處。缺乏與IP供應(yīng)商之間有計劃的密切合作可能會導(dǎo)致誤解、時間壓力、流片延遲和挫敗感。當(dāng)然，您肯定希望在您的芯片設(shè)計項目中避免所有這些問題——那我們就接著往下看。
什么是安全標(biāo)準(zhǔn)?
在我們深入研究安全關(guān)鍵型芯片設(shè)計的IP選型之前，讓我們先快速了解一下不同的行業(yè)針對安全性形成的標(biāo)準(zhǔn)。
適用于汽車行業(yè)的標(biāo)準(zhǔn)是ISO 26262，它源自IEC 61508標(biāo)準(zhǔn)?！逗娇掌鳈C載電子設(shè)備硬件設(shè)計保障指南(DO-254)和AMC 20-152A(基本上是DO-254的補充)是為開發(fā)航空機載電子設(shè)備硬件的工程師提出要求的通用標(biāo)準(zhǔn)。其他最終用途和設(shè)計應(yīng)用都可能有其自己的專用標(biāo)準(zhǔn)。ISO 21434網(wǎng)絡(luò)安全標(biāo)準(zhǔn)就是一個例子，它在當(dāng)今的汽車和航空電子設(shè)計中扮演著越來越重要的角色。(出于本文的目的，我將把重點放在安全性上，而不是安全防護(hù)。)
我們?yōu)槭裁葱枰踩珮?biāo)準(zhǔn)?以及它們?yōu)槭裁磿羞@么多不同之處?
接下來我們討論一下為什么在開發(fā)電路的時候需要標(biāo)準(zhǔn)化的問題。坦率地說，這個話題并不新鮮，甚至也不令人興奮!安全標(biāo)準(zhǔn)甚至經(jīng)常被視為一種必要的挑戰(zhàn)——但是，如果沒有明確定義的可靠性和操作安全性規(guī)則，電子電路的運行將不再可能。
與航空公司飛行員在起飛前必須通過飛機所有安全相關(guān)的標(biāo)準(zhǔn)協(xié)議類似，標(biāo)準(zhǔn)化也必須作為電路開發(fā)的一部分加以推進(jìn)。即使飛行員已經(jīng)經(jīng)歷了數(shù)百次相同的過程，并且成功完成了相應(yīng)數(shù)量的飛行，在每次重新起飛之前也必須重新進(jìn)行該程序;這一措施的唯一目標(biāo)是避免錯誤。
同理，這正是ISO 26262和IEC 61508等預(yù)定義的標(biāo)準(zhǔn)所希望達(dá)到的目的：一個明確定義的計劃，有助于發(fā)現(xiàn)可能的錯誤并對問題進(jìn)行分類，從而使設(shè)計能夠?qū)Σ豢深A(yù)見的情況做出充分的反應(yīng)。如果輪胎損壞，必須阻止飛機起飛，因為它將無法安全著陸。然而，如果機上廚房有缺陷，這對于飛行來說可能是可以接受的，因為它不會對飛機的航空機械性能產(chǎn)生不利影響。
從根本上說，輪船船長和飛行員的目標(biāo)是完全相同的：即將乘客和貨物安全地運送到預(yù)定的目的地。由于海上和空中旅行之間的巨大差異，對這些任務(wù)就有不同的標(biāo)準(zhǔn)。正是由于這個原因，所以才制定了專門的安全標(biāo)準(zhǔn)。為這些不同運輸工具提供設(shè)備的任何供應(yīng)商必須事先知道，例如，他們的陀螺羅盤將要被安裝在飛機上還是安裝在游船上，以確保其正常工作。這也是IP供應(yīng)商需要了解將使用其預(yù)定義電路功能(IP)的應(yīng)用環(huán)境的原因。
安全標(biāo)準(zhǔn)定義了哪些方面?
安全標(biāo)準(zhǔn)定義了設(shè)計過程安全需求的各個階段：計劃(planning)、實施(implementation)、驗證(verification)和文檔記錄(documentation)。
對于所有標(biāo)準(zhǔn)，該程序都有或多或少的統(tǒng)一性，但應(yīng)該注意的是，每個標(biāo)準(zhǔn)對這四個階段的適用性要求的定義還是略有不同。必須滿足每個步驟的原則，從而符合相關(guān)標(biāo)準(zhǔn)。
最終用途和允許的故障概率
為了定義恰當(dāng)?shù)腻e誤處理機制，就必須對潛在的硬件故障進(jìn)行分類。就像前面提到的飛機輪胎和廚房的場景一樣：汽車信息娛樂系統(tǒng)中的一個錯誤可能是可以接受的，而影響安全裝置的錯誤則是不可接受的，例如自動制動系統(tǒng)。
因此，需要依次對不同的要求進(jìn)行分類。例如，IEC 61508標(biāo)準(zhǔn)就被細(xì)分為五個安全完整性等級：SIL 0到SIL 4。ISO 26262標(biāo)準(zhǔn)包括四個等級：ASIL A到ASIL D(其中ASIL代表汽車安全完整性級別)。類別級別越高，安全要求越嚴(yán)格，其中SIL 4或ASIL D是最嚴(yán)格的。
在確定設(shè)計和驗證中必須采用的方法時，產(chǎn)品的最終用途在其中起著至關(guān)重要的作用。例如，進(jìn)入汽車信息娛樂系統(tǒng)的芯片，如果發(fā)生故障就會給駕駛員帶來麻煩，但不會對人的生命構(gòu)成任何風(fēng)險。相比之下，安全氣囊或車道管理系統(tǒng)中的芯片故障可能會威脅到駕駛員、乘客、道路上其他車輛甚至行人的安全。
當(dāng)一種芯片設(shè)計的最終用途可能意味著人類的生命會受到威脅時，我們將其稱為安全關(guān)鍵型芯片。功能安全在這種設(shè)計中是必不可少的：因此，這類設(shè)計的完整性級別必須與最終用途相稱。必須對軟件或硬件引起的潛在故障制定計劃并主動解決。
對故障的理解和反應(yīng)
讓我們進(jìn)一步了解如何理解和應(yīng)對潛在的故障。從根本上來說，這都是關(guān)于系統(tǒng)如何處理故障情況，并確定：1)如何預(yù)防故障本身發(fā)生，或2)如何應(yīng)對故障。這里必須區(qū)分硬件錯誤和軟件錯誤，它們要么可以被安全地忽略，要么必須通過不同的方法加以預(yù)防或應(yīng)對。即使是純粹的硬件錯誤，也必須了解這些錯誤實際上會導(dǎo)致什么故障，以及適當(dāng)?shù)膽?yīng)對措施應(yīng)該是什么樣子。
需要對系統(tǒng)性誤差(例如，由電路開發(fā)或不充分驗證導(dǎo)致的)和隨機發(fā)生的錯誤(由外部影響引起)之間進(jìn)行區(qū)分。重要的是要明白，在任何情況下都不可能避免系統(tǒng)性錯誤。通過良好的驗證覆蓋、標(biāo)準(zhǔn)化的測試過程、廣泛的測試，其中也可能通過使用專用的驗證IP(VIP)以及使用專門的工具，有可能顯著提升開發(fā)無錯誤產(chǎn)品的可能性。
正如相應(yīng)的安全標(biāo)準(zhǔn)明確強調(diào)的那樣，100%的覆蓋率在實際中是不可能實現(xiàn)的。對于所謂的極端情況尤其如此，這種情況描述了元器件在異常條件下的操作，并且在電路開發(fā)和相關(guān)驗證中都是一種挑戰(zhàn)。
另一方面，也不能完全排除隨機錯誤。在這里，有必要制定對此類錯誤做出適當(dāng)反應(yīng)的策略。為了消除由外部影響(如α因子)引起的潛在故障，必須采用錯誤檢測和校正電路。根據(jù)應(yīng)用領(lǐng)域和無錯誤操作要求的級別，有必要提供容錯實現(xiàn)。容錯在發(fā)生錯誤會危及人類生命的情況下尤其重要，比如飛機上的設(shè)備。
原則上來說，這樣的要求需要大大增加實現(xiàn)的工作量，當(dāng)然也需要增加驗證的工作量。在這個領(lǐng)域，有必要強調(diào)的是，芯片設(shè)計人員必須要驗證電路本身的正確性，還要驗證錯誤檢測和糾正電路的正確性。
IP開發(fā)是如何受到影響的?
當(dāng)為安全關(guān)鍵型設(shè)計創(chuàng)建或使用IP時，工程師必須要牢記什么?
即使只對最終產(chǎn)品進(jìn)行認(rèn)證，但其中每個組件也必須滿足適用于整個系統(tǒng)的要求。因此，所有子組件都必須按照嚴(yán)格的規(guī)則來執(zhí)行電路實現(xiàn)要求，以考慮產(chǎn)品在安全性相關(guān)應(yīng)用中的后續(xù)使用，并遵守適用標(biāo)準(zhǔn)的開發(fā)流程。
就ISO 26262標(biāo)準(zhǔn)而言，設(shè)計流程要求包括：
● 詳細(xì)的規(guī)劃——在定義功能安全要求階段中必須仔細(xì)完成
● 分析——旨在識別危險和可能的錯誤模式
● 實施——即對前面兩個步驟進(jìn)行全面的考量
然后，必須對系統(tǒng)進(jìn)行驗證和確認(rèn)。為了獲得認(rèn)證，所有細(xì)分步驟都必須有良好的證明文件，并記錄其結(jié)果。同時，這個記錄必須包括所使用的工具和采用的驗證方法等等。
為了獲得DO-254認(rèn)證，必須在規(guī)范制定階段首先就要強制性地使用明確的定義和術(shù)語，以確保從一開始就有完全可追溯性，并指出精確的要求，以確保詳細(xì)的證明文件。
要獲得這種類型的認(rèn)證需要付出很大的努力!還必須承擔(dān)額外的任務(wù)來創(chuàng)建適當(dāng)?shù)淖C明文件，如記錄驗證過程、錯誤覆蓋、錯誤報告和工具使用等必需環(huán)節(jié)。還應(yīng)該注意的是，只有某種產(chǎn)品在獲得認(rèn)證后保持不變的“凍結(jié)”版本才是認(rèn)證合格的。此外，在創(chuàng)建產(chǎn)品時所使用工具的版本也必須保持不變。
獲得行業(yè)標(biāo)準(zhǔn)機構(gòu)認(rèn)證
為了確保符合DO-254或ISO 26262等安全標(biāo)準(zhǔn)，就有必要獲得相應(yīng)的認(rèn)證。公司必須與獨立的組織合作，例如德國的TÜV SÜD等機構(gòu)，以完成認(rèn)證過程。全球有許多這樣的認(rèn)證機構(gòu)。
那么，你應(yīng)該追求認(rèn)證嗎?這需要視情況而定。
不利的一面是，獲得安全標(biāo)準(zhǔn)認(rèn)證的整個過程非常耗時，而且還需要適當(dāng)培訓(xùn)人員。還需要在整個認(rèn)證期間接受認(rèn)證組織的審核，以檢查和證明實現(xiàn)功能安全的措施的完整性。
有利的一面是，認(rèn)證可以增加客戶對其所需的產(chǎn)品質(zhì)量和可靠性的信任。此外，由于投入了額外的時間和精力，在整個設(shè)計過程中對細(xì)節(jié)的嚴(yán)格關(guān)注可以開發(fā)出優(yōu)質(zhì)的產(chǎn)品。
在大多數(shù)情況下，認(rèn)證IP核這樣的單個子組件是沒有意義的，因為它們會被用于更復(fù)雜的電路中。但是，所有子組件都必須符合適用標(biāo)準(zhǔn)規(guī)定的嚴(yán)格規(guī)則，并考慮到產(chǎn)品在安全相關(guān)應(yīng)用中的后續(xù)使用。
最終考量因素
如前所述，獲得認(rèn)證并不容易，但值得一試。即使只對最終產(chǎn)品進(jìn)行認(rèn)證，但包括第三方IP核在內(nèi)的每個組件都必須滿足適用于整個系統(tǒng)的要求。因此，所有子組件都有必要按照適用標(biāo)準(zhǔn)的嚴(yán)格規(guī)則進(jìn)行電路實現(xiàn)，并在開發(fā)階段就為產(chǎn)品的安全關(guān)鍵型最終用途制定規(guī)劃。前面提到的標(biāo)準(zhǔn)定義流程必須從始至終貫徹。
SmartDV已在汽車和航空電子設(shè)計方面富有經(jīng)驗和頗有建樹，可以成為芯片廠商在探索相關(guān)領(lǐng)域時值得信賴的IP合作伙伴。我們的VIP是由具有數(shù)十年復(fù)雜芯片驗證經(jīng)驗的驗證工程師所創(chuàng)建。我們還為各種應(yīng)用提供基于標(biāo)準(zhǔn)的設(shè)計IP。下面顯示的是我們的一些IP核，它們都適用于本文中討論的安全關(guān)鍵型設(shè)計。
隨著芯片的復(fù)雜性不斷增加，驗證也在逐年變得越來越復(fù)雜。在當(dāng)今的芯片設(shè)計中，驗證往往會消耗大約60%-80%的項目資源，并且通常是整個過程中的瓶頸。正是因為這樣的復(fù)雜性和重要性，與值得信賴的IP伙伴合作是回報最高的途徑，他們將與芯片設(shè)計師共同解決其在此過程中遇到的任何問題。
市場差異化帶來的定制化需求也在芯片行業(yè)中不斷凸顯。無論您是為下一代SoC、ASIC或FPGA項目采購設(shè)計IP，還是尋求驗證解決方案(VIP)來完成您的芯片設(shè)計，SmartDV都可以快速且可靠地對我們多元化的產(chǎn)品組合進(jìn)行定制，以滿足您獨特的設(shè)計需求。我們的SmartCompiler™技術(shù)使這種定制化可以很完美地實現(xiàn)，并可使芯片設(shè)計公司獲得更高的回報。IP Your Way™——只需定義您的規(guī)格，然后交給我們處理。
我們期待看到您的芯片設(shè)計成果應(yīng)用在道路上或在天空中!
作者：Philipp Jacobsohn，SmartDV高級應(yīng)用工程師
（來源：智權(quán)半導(dǎo)體）
