MPS 功能安全汽車開發(fā)流程MPSAFETM 簡介

概述

MP 安全TM是 MPS 專為汽車元器件開發(fā)的一套全新、先進的安全開發(fā)流程。該流程已通過獨立認證，且符合 ISO26262標準。ISO26262是針對汽車功能安全產(chǎn)品的設計、開發(fā)和生產(chǎn)而定義的一套標準。

汽車行業(yè)在追求自動化、互聯(lián)化和電氣化的交通運輸未來道路上快速發(fā)展，而駕駛?cè)蝿找步桓督o了智能、富感應的計算機系統(tǒng)。為達成這個目標，汽車行業(yè)不斷進步，安全標準也愈發(fā)嚴苛、具體和新穎。對于駕駛這樣安全攸關的汽車應用來說，MP 安全TM流程能夠控制 MPS 所有相關集成電路的開發(fā)，從而確保生產(chǎn)出合適的產(chǎn)品以適應安全標準。

汽車標準：AEC-Q100

汽車公司每年都會銷售出數(shù)百萬輛的汽車，車隊中使用的任何一個元件或子系統(tǒng)出現(xiàn)故障，都可能導致危險，產(chǎn)生法律問題，甚至對消費者造成嚴重傷害。盡管并非所有車輛功能都具有相同的安全功能（例如，視頻播放器不需要與制動系統(tǒng)具有同等級別的安全功能），但關鍵系統(tǒng)仍依賴于各種既定的可靠性與安全認證。

AEC-Q100就是汽車 IC 必須滿足的一套基本標準，該標準通過規(guī)定的一系列壓力測試，確保 IC 能夠應對車輛環(huán)境中固有的嚴苛條件。 測試的目的是考察設備在面臨極端電氣和環(huán)境壓力時的表現(xiàn)，最終驗證設備不僅在車輛售出的那一天能夠正常運行，而且在車輛的整個合理壽命期間都能正常運行。通過 AEC-Q100 認證是所有 MPS 汽車產(chǎn)品必經(jīng)的門檻，而所有MP 安全TM產(chǎn)品也以通過這一基本要求為起點。

汽車安全完整性等級 (ASIL)

汽車安全完整性等級 (ASIL) 是 ISO26262 中定義的一組安全等級，它通過嚴重度、暴露率和可控性三個因素確定了從 A 到 D的等級：

例如，汽車在高速公路上行駛的暴露率被認定為 E4，因為這是車輛的常見環(huán)境。

嚴重度：如果發(fā)生故障，后果是什么？它會影響駕駛員、乘客和/或車外人員嗎？級別如下：

S1（輕傷或中等傷害）

S2（重傷但可能存活）

S3（重傷和致命傷）

暴露率：系統(tǒng)會暴露于這種特定環(huán)境或情況的可能性如何？級別如下：

E1（非常低）

E2（低）

E3（中）

E4（高）

可控性：如果發(fā)生故障，車輛周圍或操作車輛的人員能夠避免傷害和/或損壞的難易程度如何？ 級別如下：

C1（可控）

C2（一般可控）

C3（幾乎不可控）

結(jié)合這三個因素，很容易確定出ASIL 等級（見圖 1）。

圖 1：ASIL 需求

質(zhì)量管理(QM)屬于沒有安全要求的等級。

A類A類A類A類A類A類A類A類A類A類A類A類A類是最易滿足的安全等級。例如在交通擁堵中出現(xiàn)意外的啟/停故障，其暴露率為 E3（平均運行時間的 1% 至 10%），嚴重度為 S1（低速下的輕傷至中度傷害），可控性為 C3（難以避免這類意外，因為車距太近）。

B類B類ASIL B類ASIL B類ASIL B類ASIL B類ASIL B類ASIL B類ASIL B類ASILB涵蓋了輕度至中度條件，例如當車輛在高速公路上不由自主地加速。 在這種情況下，暴露率為 E4（超過平均運行時間的 10%，因為汽車幾乎在每個駕駛周期中都會加速），嚴重度為 S3（高速路事故），可控性為 C1（駕駛員可以通過制動減速或停車）。

C國聯(lián)C涵蓋中度至重度條件，例如方向盤在轉(zhuǎn)彎時失控。在這種情況下，暴露率為E4（因為隨時會使用方向盤），嚴重度為S2（重傷但可能存活），可控性為C3（駕駛員較難控制車輛以避免發(fā)生事故 ）。

D類ASIL D是最難滿足的要求，是S3（重傷和致命傷）、E4（高暴露可能性）和 C3（基本不可控）的唯一重合點，例如車輛在高速行駛時剎車失靈。在這種情況下，暴露率為 E4（駕駛員幾乎在每個駕駛周期中都會使用制動系統(tǒng)），嚴重度為 S3（重傷且有死亡可能），可控性為 C3（駕駛員很難減速以避免事故）。

MP 安全TM能夠支持產(chǎn)品應用于全部 ASIL 等級范圍內(nèi)的系統(tǒng)。

MP 安全TM流程

MP 安全TM從概念階段開始就匯聚了眾多經(jīng)驗豐富的安全專家和 IC 專家，而一個恰當和充分的啟動概念無疑有助于安全審核的成功、準時的交付計劃以及良好的成本管理。

最初定義元件時，必須先解決一些基本問題。 首先是頂層需求，例如車輛和系統(tǒng)需求。如前所述，安全論證始終從車輛/系統(tǒng)級別開始。因此，有必要定義明確的車輛/系統(tǒng)安全需求，然后再定義適當?shù)?IC 需求。頂層需求明確了，才能確定 IC 級別的需求，即才能決定如何定義您的 IC 以滿足頂層需求。換句話說，前兩個問題通常用于解決“車輛需要什么？” 接下來才是，“滿足這些需求將需要什么？”

IC的設計從一開始就必須滿足這些IC需求。為確保不出錯，額外的審查將貫穿整個定義和設計階段，因為即使是一個簡單的復制/粘貼錯誤，都可能導致后面的實施階段產(chǎn)生問題。

而且，在整個流程中都應考慮這些 IC 需求，因為設計人員最終都要將需求移交給應用工程師 (AE)。而開放的溝通渠道可確保應用工程師避免設計人員可能忽略的錯誤。IC 設計人員可能知道如何根據(jù)詳細需求構(gòu)建元件，但他們無法縱觀全局。因此，IC 設計人員可能無法完全理解 ，取決于環(huán)境的不同，IC的實現(xiàn)會如何影響整個系統(tǒng)甚或?qū)е略O備故障。此外，想要使用該元件的客戶可能也不知道其設計的確切需求。因此，所有相關者都應了解每個元件的最終需求，這一點至關重要。

圖 2 所示為MP 安全TM流程，其中包括五個功能安全管理 (FSM)關口，從 FSM_0到 FSM_4 。

圖2: MP 安全TM流程

MP 安全TM遵循5個階段的細致流程，如下所詳述。

FSM_0: 概念

概念階段要求最高，因為這是最易出現(xiàn)人為錯誤的階段。具體包括以下內(nèi)容：

定義每個參與者的角色

發(fā)布并通過安全計劃

發(fā)布系統(tǒng)安全概念的設想

對每個安全案例均通過合理組織的流程管理所有文檔

采用第三方來確認安全與開發(fā)措施

審查整個流程和安全計劃，以確認元件已準備好進行設計

FSM_1：設計/實施

設計階段用于驗證所有功能報告，具體內(nèi)容涵蓋在如下的步驟中：

定義滿足設想系統(tǒng)安全概念的 IC 安全需求

執(zhí)行相關故障分析 (DFA) 以減少 IC 功能和安全機制之間的常見故障

執(zhí)行定量安全分析 (FMEDA) 以確保 IC 設計滿足系統(tǒng)分配的安全目標（PMHF、SPFM 和 LFM）

確認所有開發(fā)工具均根據(jù)ISO26262 標準進行分類且合規(guī)

如果項目有任何可重復使用的 IP，則執(zhí)行影響分析和風險評估

通過仿真來驗證定量安全分析中定義的診斷有效性

對單點故障和常見故障進行仿真結(jié)果分析、封裝故障分析和定性分析，同時驗證安全需求

充分定義道路測試用例，以及用于創(chuàng)建產(chǎn)品的工具

第三方確認審核

FSM_2: 取樣

取樣階段過程也就是對元件的取樣過程。裝配制造商可遵循MP 安全TM和其他的汽車級需求指導。該信息由功能安全經(jīng)理確認，有任何偏差都需要立即審核。

FSM_3: 驗證與確認

設計驗證和確認階段完成元件測試、驗證及其結(jié)果的捕獲與測量。這些測試涵蓋了電氣認證和可靠性認證、IC 表征、RT 功能和電氣驗證，以及 ATE 測試。所有的安全機制及其相關診斷范圍都必須在此階段驗證。如果出現(xiàn)任何故障或問題，都將進行影響分析以做出必要的更改，然后再創(chuàng)建一個新樣本來解決問題。

FSM_4：投入生產(chǎn)

在根據(jù) MPS 標準執(zhí)行完所有監(jiān)測和評估測試，并評估了測試覆蓋率之后，產(chǎn)品即可投入生產(chǎn)。功能安全經(jīng)理和指定的第三方可一同確認所有安全相關審查，以及所有需要的審查或測試。所有安全論證都必須記錄在安全案例中，并存檔至少 15 年。直到安全用例完成并發(fā)布，產(chǎn)品才能投入生產(chǎn)。

年度審核

MP 安全TM流程每年都會經(jīng)過第三方評估者的年度審核，以證明該流程并驗證在整個設計/生產(chǎn)過程中沒有產(chǎn)生偏差。MPS 放棄采用內(nèi)部審核以實現(xiàn)對安全的承諾，以前所未有的透明度，確保了元件始終滿足安全需求。

降低人為失誤

元件設計可能有兩種失效途徑：隨機失效和人為失誤。隨機失效意即每個電氣元件都有可能失效，即使經(jīng)過嚴格的測試和認證也是如此。設計人員會通過設計失效保護和額外的安全功能來確保隨機失效不會帶來安全隱患。人為失誤則指在整個設計過程中出現(xiàn)的拼寫錯誤、理解錯誤或其他錯誤。而MP 安全TM的目的就是創(chuàng)建一個擬定協(xié)議，在設計人員設計前瞻性設備時，減少人為失誤的可能性。因為人不可避免地會犯錯誤，所以定義一個充分的開發(fā)流程來規(guī)避這類錯誤十分重要。

人為失誤涵蓋了范圍廣泛的意外事件，其后果從輕微到嚴重不等。例如，每項設計都需要仿真以確保設計符合其預期規(guī)格，如果元件設計人員同時也執(zhí)行仿真，那么設計人員在設計過程中不太可能發(fā)現(xiàn)任何問題或差池。在這種情況下，應由另一位工程師檢查仿真，以在解決方案分享出去之前確保IC 的設計是符合要求的。這種額外的審查提供了獨立思考，從而可以發(fā)現(xiàn)設計人員在設計過程中可能出現(xiàn)的任何錯誤。而且，為了在高質(zhì)量的解決方案基礎之上錦上添花，MPS 還采用第三方來確認所有產(chǎn)品都符合相關的安全要求。

當元件被用于超出其測試范圍的系統(tǒng)時，則可能出現(xiàn)更深層次的人為失誤示例。 例如一個在電壓降至 4V 以下即觸發(fā)欠壓保護 (UVP)的元件。將該元件用于一個并非專用的系統(tǒng)中，該系統(tǒng)的欠壓保護閾值可能需要降至 2V，而這可能導致元件失效，因為在不觸發(fā)安全保護的情況下，該元件無法降至 4V 以下。

不明確的安全系統(tǒng)目標也可能導致錯誤，因為以“最高安全性”為目標只會增加成本、上市時間和復雜性，而生產(chǎn)出的元件也不能滿足系統(tǒng)特定的需求。一個項目在特定的階段可能有不同的審查需求，安全經(jīng)理可以遵循MP 安全TM來確定在流程的任一時刻，項目的確切審查需求。例如，測試樣本和數(shù)據(jù)可能需要多名專家評審員來評審，而原理圖則可能只需要一名工程師提供技術評審即可。這樣，設計過程中的每個步驟都有其特定的規(guī)范，從而最終實現(xiàn)上市時間的最小化。

結(jié)論

憑借以安全為導向的思維方式，MPS構(gòu)建的系統(tǒng)架構(gòu)不僅安全，而且可定制且可快速推向市場。MP 安全TM流程的推出有助于避免人為失誤，確保MPS 器件輕松滿足安全需求。通過該流程生產(chǎn)出的汽車產(chǎn)品能夠滿足日益嚴苛的汽車安全認證，未來還將涵蓋更多的產(chǎn)品，包括精密傳感器、數(shù)字可編程電源變換器、電機驅(qū)動器、電壓監(jiān)視器和用于大電流解決方案的定序器、LED 驅(qū)動器等。

審核編輯：湯梓紅