中國已經(jīng)連續(xù)十多年成為全球第一大汽車產(chǎn)銷國，智能化也成為了汽車行業(yè)發(fā)展的一個重要方向，同時越來越多的制造商正在考慮進入無人機和飛行汽車等低空設備，而所有的這些系統(tǒng)產(chǎn)品都需要先進芯片的支撐，其中的許多芯片因其功能都是安全關鍵型芯片（safety-critical chip）。

所有類型的安全關鍵型芯片設計都需要深謀遠慮和認真規(guī)劃。本文的目的是闡明在安全關鍵型應用中使用預先打造的電路功能（也就是IP內(nèi)核）的益處，并為您在設計芯片時，在做出相關選擇和IP內(nèi)核集成過程中提供一些指導。

遺憾的是，設計師往往低估了在其項目的早期階段與第三方IP制造商合作的重要性和益處。缺乏與IP供應商之間有計劃的密切合作可能會導致誤解、時間壓力、流片延遲和挫敗感。當然，您肯定希望在您的芯片設計項目中避免所有這些問題——那我們就接著往下看。

什么是安全標準?

在我們深入研究安全關鍵型芯片設計的IP選型之前，讓我們先快速了解一下不同的行業(yè)針對安全性形成的標準。

適用于汽車行業(yè)的標準是ISO 26262，它源自IEC 61508標準。《航空器機載電子設備硬件設計保障指南（DO-254）和AMC 20-152A（基本上是DO-254的補充）是為開發(fā)航空機載電子設備硬件的工程師提出要求的通用標準。其他最終用途和設計應用都可能有其自己的專用標準。ISO 21434網(wǎng)絡安全標準就是一個例子，它在當今的汽車和航空電子設計中扮演著越來越重要的角色。（出于本文的目的，我將把重點放在安全性上，而不是安全防護。）

我們?yōu)槭裁葱枰踩珮藴?以及它們?yōu)槭裁磿羞@么多不同之處?

接下來我們討論一下為什么在開發(fā)電路的時候需要標準化的問題。坦率地說，這個話題并不新鮮，甚至也不令人興奮！安全標準甚至經(jīng)常被視為一種必要的挑戰(zhàn)——但是，如果沒有明確定義的可靠性和操作安全性規(guī)則，電子電路的運行將不再可能。

與航空公司飛行員在起飛前必須通過飛機所有安全相關的標準協(xié)議類似，標準化也必須作為電路開發(fā)的一部分加以推進。即使飛行員已經(jīng)經(jīng)歷了數(shù)百次相同的過程，并且成功完成了相應數(shù)量的飛行，在每次重新起飛之前也必須重新進行該程序；這一措施的唯一目標是避免錯誤。

同理，這正是ISO 26262和IEC 61508等預定義的標準所希望達到的目的：一個明確定義的計劃，有助于發(fā)現(xiàn)可能的錯誤并對問題進行分類，從而使設計能夠?qū)Σ豢深A見的情況做出充分的反應。如果輪胎損壞，必須阻止飛機起飛，因為它將無法安全著陸。然而，如果機上廚房有缺陷，這對于飛行來說可能是可以接受的，因為它不會對飛機的航空機械性能產(chǎn)生不利影響。

從根本上說，輪船船長和飛行員的目標是完全相同的：即將乘客和貨物安全地運送到預定的目的地。由于海上和空中旅行之間的巨大差異，對這些任務就有不同的標準。正是由于這個原因，所以才制定了專門的安全標準。為這些不同運輸工具提供設備的任何供應商必須事先知道，例如，他們的陀螺羅盤將要被安裝在飛機上還是安裝在游船上，以確保其正常工作。這也是IP供應商需要了解將使用其預定義電路功能（IP）的應用環(huán)境的原因。

安全標準定義了哪些方面?

安全標準定義了設計過程安全需求的各個階段：計劃（planning）、實施（implementation）、驗證（verification）和文檔記錄（documentation）。

對于所有標準，該程序都有或多或少的統(tǒng)一性，但應該注意的是，每個標準對這四個階段的適用性要求的定義還是略有不同。必須滿足每個步驟的原則，從而符合相關標準。

最終用途和允許的故障概率

為了定義恰當?shù)腻e誤處理機制，就必須對潛在的硬件故障進行分類。就像前面提到的飛機輪胎和廚房的場景一樣：汽車信息娛樂系統(tǒng)中的一個錯誤可能是可以接受的，而影響安全裝置的錯誤則是不可接受的，例如自動制動系統(tǒng)。

因此，需要依次對不同的要求進行分類。例如，IEC 61508標準就被細分為五個安全完整性等級：SIL 0到SIL 4。ISO 26262標準包括四個等級：ASIL A到ASIL D（其中ASIL代表汽車安全完整性級別）。類別級別越高，安全要求越嚴格，其中SIL 4或ASIL D是最嚴格的。

在確定設計和驗證中必須采用的方法時，產(chǎn)品的最終用途在其中起著至關重要的作用。例如，進入汽車信息娛樂系統(tǒng)的芯片，如果發(fā)生故障就會給駕駛員帶來麻煩，但不會對人的生命構成任何風險。相比之下，安全氣囊或車道管理系統(tǒng)中的芯片故障可能會威脅到駕駛員、乘客、道路上其他車輛甚至行人的安全。

當一種芯片設計的最終用途可能意味著人類的生命會受到威脅時，我們將其稱為安全關鍵型芯片。功能安全在這種設計中是必不可少的：因此，這類設計的完整性級別必須與最終用途相稱。必須對軟件或硬件引起的潛在故障制定計劃并主動解決。

對故障的理解和反應

讓我們進一步了解如何理解和應對潛在的故障。從根本上來說，這都是關于系統(tǒng)如何處理故障情況，并確定：1)如何預防故障本身發(fā)生，或2)如何應對故障。這里必須區(qū)分硬件錯誤和軟件錯誤，它們要么可以被安全地忽略，要么必須通過不同的方法加以預防或應對。即使是純粹的硬件錯誤，也必須了解這些錯誤實際上會導致什么故障，以及適當?shù)膽獙Υ胧撌鞘裁礃幼印?

需要對系統(tǒng)性誤差（例如，由電路開發(fā)或不充分驗證導致的）和隨機發(fā)生的錯誤（由外部影響引起）之間進行區(qū)分。重要的是要明白，在任何情況下都不可能避免系統(tǒng)性錯誤。通過良好的驗證覆蓋、標準化的測試過程、廣泛的測試，其中也可能通過使用專用的驗證IP（VIP）以及使用專門的工具，有可能顯著提升開發(fā)無錯誤產(chǎn)品的可能性。

正如相應的安全標準明確強調(diào)的那樣，100%的覆蓋率在實際中是不可能實現(xiàn)的。對于所謂的極端情況尤其如此，這種情況描述了元器件在異常條件下的操作，并且在電路開發(fā)和相關驗證中都是一種挑戰(zhàn)。

另一方面，也不能完全排除隨機錯誤。在這里，有必要制定對此類錯誤做出適當反應的策略。為了消除由外部影響（如α因子）引起的潛在故障，必須采用錯誤檢測和校正電路。根據(jù)應用領域和無錯誤操作要求的級別，有必要提供容錯實現(xiàn)。容錯在發(fā)生錯誤會危及人類生命的情況下尤其重要，比如飛機上的設備。

原則上來說，這樣的要求需要大大增加實現(xiàn)的工作量，當然也需要增加驗證的工作量。在這個領域，有必要強調(diào)的是，芯片設計人員必須要驗證電路本身的正確性，還要驗證錯誤檢測和糾正電路的正確性。

IP開發(fā)是如何受到影響的?

當為安全關鍵型設計創(chuàng)建或使用IP時，工程師必須要牢記什么?

即使只對最終產(chǎn)品進行認證，但其中每個組件也必須滿足適用于整個系統(tǒng)的要求。因此，所有子組件都必須按照嚴格的規(guī)則來執(zhí)行電路實現(xiàn)要求，以考慮產(chǎn)品在安全性相關應用中的后續(xù)使用，并遵守適用標準的開發(fā)流程。

就ISO 26262標準而言，設計流程要求包括：

·詳細的規(guī)劃——在定義功能安全要求階段中必須仔細完成

·分析——旨在識別危險和可能的錯誤模式

·實施——即對前面兩個步驟進行全面的考量

然后，必須對系統(tǒng)進行驗證和確認。為了獲得認證，所有細分步驟都必須有良好的證明文件，并記錄其結果。同時，這個記錄必須包括所使用的工具和采用的驗證方法等等。

為了獲得DO-254認證，必須在規(guī)范制定階段首先就要強制性地使用明確的定義和術語，以確保從一開始就有完全可追溯性，并指出精確的要求，以確保詳細的證明文件。

要獲得這種類型的認證需要付出很大的努力！還必須承擔額外的任務來創(chuàng)建適當?shù)淖C明文件，如記錄驗證過程、錯誤覆蓋、錯誤報告和工具使用等必需環(huán)節(jié)。還應該注意的是，只有某種產(chǎn)品在獲得認證后保持不變的“凍結”版本才是認證合格的。此外，在創(chuàng)建產(chǎn)品時所使用工具的版本也必須保持不變。

獲得行業(yè)標準機構認證

為了確保符合DO-254或ISO 26262等安全標準，就有必要獲得相應的認證。公司必須與獨立的組織合作，例如德國的TüV SüD等機構，以完成認證過程。全球有許多這樣的認證機構。

那么，你應該追求認證嗎？這需要視情況而定。

不利的一面是，獲得安全標準認證的整個過程非常耗時，而且還需要適當培訓人員。還需要在整個認證期間接受認證組織的審核，以檢查和證明實現(xiàn)功能安全的措施的完整性。

有利的一面是，認證可以增加客戶對其所需的產(chǎn)品質(zhì)量和可靠性的信任。此外，由于投入了額外的時間和精力，在整個設計過程中對細節(jié)的嚴格關注可以開發(fā)出優(yōu)質(zhì)的產(chǎn)品。

在大多數(shù)情況下，認證IP核這樣的單個子組件是沒有意義的，因為它們會被用于更復雜的電路中。但是，所有子組件都必須符合適用標準規(guī)定的嚴格規(guī)則，并考慮到產(chǎn)品在安全相關應用中的后續(xù)使用。

最終考量因素

如前所述，獲得認證并不容易，但值得一試。即使只對最終產(chǎn)品進行認證，但包括第三方IP核在內(nèi)的每個組件都必須滿足適用于整個系統(tǒng)的要求。因此，所有子組件都有必要按照適用標準的嚴格規(guī)則進行電路實現(xiàn)，并在開發(fā)階段就為產(chǎn)品的安全關鍵型最終用途制定規(guī)劃。前面提到的標準定義流程必須從始至終貫徹。

SmartDV已在汽車和航空電子設計方面富有經(jīng)驗和頗有建樹，可以成為芯片廠商在探索相關領域時值得信賴的IP合作伙伴。我們的VIP是由具有數(shù)十年復雜芯片驗證經(jīng)驗的驗證工程師所創(chuàng)建。我們還為各種應用提供基于標準的設計IP。下面顯示的是我們的一些IP核，它們都適用于本文中討論的安全關鍵型設計。

隨著芯片的復雜性不斷增加，驗證也在逐年變得越來越復雜。在當今的芯片設計中，驗證往往會消耗大約60%-80%的項目資源，并且通常是整個過程中的瓶頸。正是因為這樣的復雜性和重要性，與值得信賴的IP伙伴合作是回報最高的途徑，他們將與芯片設計師共同解決其在此過程中遇到的任何問題。

市場差異化帶來的定制化需求也在芯片行業(yè)中不斷凸顯。無論您是為下一代SoC、ASIC或FPGA項目采購設計IP，還是尋求驗證解決方案（VIP）來完成您的芯片設計，SmartDV都可以快速且可靠地對我們多元化的產(chǎn)品組合進行定制，以滿足您獨特的設計需求。我們的SmartCompiler?技術使這種定制化可以很完美地實現(xiàn)，并可使芯片設計公司獲得更高的回報。IP Your Way?——只需定義您的規(guī)格，然后交給我們處理。

我們期待看到您的芯片設計成果應用在道路上或在天空中！

本篇技術文章是Philipp之前發(fā)表的同一主題博客文章的后續(xù)，他最近也用在線研討會的方式詳細解讀了這個話題，大家可以關注“智權半導體”微信公眾號，我們將在近期發(fā)布他的演講視頻記錄。智權半導體科技（廈門）有限公司是SmartDV在中國的全資子公司，其目標是為中國的客戶提供更直接和深入的支持，并與中國的合作伙伴開展更全面的合作。