【摘要】汽車電子的快速發展對芯片的功能安全提出了更高的要求。芯片由于熱應力、腐蝕和磨損等物理因素會產生隨機硬件故障，工程師們需要通過安全的設計和合理的物理布局來規避或者減輕這些隨機性的故障，以達到功能安全ISO 26262標準。
關鍵詞：車規芯片，功能安全，冗余設計，ISO26262
?1.引言
先進集成電路技術的快速發展推動著汽車行業走向智能化的未來，將這些先進技術應用到汽車中的同時，安全要求也在不斷發展并變得更加嚴厲。為了應對這些挑戰，工程師們正在尋求一種高度自動化的集成功能安全解決方案，以幫助產品更快地獲得安全標準認證。
ISO 26262 標準[1]定義了四種不同的汽車安全完整性等級 （ASIL）——A、B、C 和 D——其中 ASIL-D 代表最高安全等級。根據 ASIL 級別，應計算和滿足硬件架構指標，包括單點故障指標 （SPFM）、潛在故障指標 （LFM） 和硬件故障概率指標 （PMHF），如表 1 所示。其中，實時故障 （FIT） 率指的是在十億個設備運行小時內可預期的隨機故障數。
表1. 各個汽車安全完整性等級的目標指標
汽車芯片各個部件的安全等級取決于其所需實現的功能。如圖1所示，安全氣囊、防抱死剎車或動力轉向等系統需要 ASIL-D 等級——適用于安全保證的最高嚴格程度——因為與它們故障相關的風險最高。此外，所有電氣和電子系統都必須經過安全分析，例如尾燈和其他部件歸類為 ASIL-A，前照燈和剎車燈歸類為 ASIL-B，而自適應巡航控制歸類為 ASIL-C或D[2]。
圖1. 汽車各個功能安全完整性等級要求[2]
安全機制是芯片上檢測和減輕故障的一種功能，它能使設計容忍故障并在檢測到故障時反饋故障。為了正常工作，安全機制必須盡可能可靠。從芯片設計角度，工程師既需要在芯片架構上進行安全機制的設計，還需要考慮芯片安全策略在物理實現中的保障。下面本文將從芯片安全機制策略及其在物理實現過程中的保障兩個方便進行簡要概述。
2.芯片安全機制策略
芯片的故障分為隨機硬件故障與系統硬件故障。系統故障是設計中的錯誤或疏忽。系統硬件故障是由人為錯誤引起的。相比之下，隨機硬件故障是在硬件元件的生命周期內不可預測地發生并且遵循概率分布的故障。它以一種不確定的方式產生，并且與任何明顯的問題或錯誤無關。因此，即使在沒有明顯缺陷或疏忽的正確設計中，我們也必須考慮隨機故障發生的可能性。我們可以通過冗余、運行時間監控、驗證測試等來緩解這種故障帶來的危害。
2.1硬件冗余
硬件冗余是緩解隨機硬件故障的有效方式。寄存器硬件冗余首先需要識別那些易受此類故障影響的邏輯路徑。然后必須將這些路徑上的寄存器進行冗余設計或替換成容錯寄存器。實現的方式有 3 種，選擇哪種方式取決于 ASIL 級別。
對于較低ASIL級別的路徑，關鍵路徑可以簡單地使用容錯寄存器來加強，以減少失敗的機會，如圖2A。在這種情況下，既不能糾正也不能檢測到故障，只是簡單地降低了故障的可能性。
第二種選擇是使用雙重模塊冗余（DMR），如圖2B。但是，這種方式僅對錯誤檢測有用，對糾正無效。需要實施其他邏輯來確定發生錯誤時要做什么。
最嚴格的設計依賴于可以糾正故障的三重模塊冗余 （TMR），如圖2C。每個受影響的寄存器由三個相同功能的寄存器和特定邏輯組成的投票器替換。如果其中一個寄存器發生了其他兩個沒有發生的故障，則兩個正確的值將占上風，從而投票器能隱藏故障。重要的是使三個寄存器彼此遠離，并將它們與電路的其他部分電氣隔離，以盡量減少可能損害它們相互獨立性的任何交互。在這三種策略中，這種方案消耗的芯片面積最多。
圖2. 寄存器冗余設計方案示意圖。A. 容錯寄存器，B. 雙模塊冗余，C. 三模塊冗余。
除了對關鍵路徑中的寄存器進行冗余設計以外，另一種硬件冗余設計稱為雙核鎖步（DCLS）。如圖3所示，DCLS是通過復制同一個核，同時并行運行同一組操作時，可以比較鎖步操作的輸出以確定是否發生故障。與DMR類似，DCLS只能判斷是否存在故障而無法糾正故障。
圖3. 雙核鎖步示意圖。
2.2校驗/糾錯碼
在計算機、電信、信息理論和編碼理論中，校驗碼（EDC）/糾錯碼（ECC）是信息傳輸中錯誤檢測/糾正的工具，它們通常用在不可靠或者嘈雜的信道中。實現錯誤檢測和糾正的一般思路是添加一些信息冗余（例如一些額外數據）到消息，從而使接收器可以用它來檢查消息的一致性，并恢復被確定為損壞的數據。它們將消息作為二進制數傳輸的編碼方案，即使某些位被錯誤地翻轉，消息也可以被檢測或者恢復。它們幾乎用于所有消息傳輸情況，尤其是在 ECC 保護數據損壞的數據存儲中。
奇偶校驗位（Parity bit） 或稱校驗比特（check bit） 是最簡單的錯誤檢測碼，通過增加1bit信息冗余表示一個給定位數的二進制數中1的個數是奇數還是偶數。如表2所示，對于7位數據，在偶校驗的情況下，如果該1的個數為奇數，則奇偶校驗位值設置為 1，從而使整個集合（包括奇偶校驗位）中出現 1 的總數為偶數。如果給定一組比特中 1 的計數已經是偶數，則奇偶校驗位的值為 0。在奇校驗的情況下，編碼反轉。如果值為 1 的位計數為偶數，則奇偶校驗位值設置為 1，使整個組（包括奇偶校驗位）中 1 的總計數為奇數。奇偶校驗位只有在包括校驗位在內的奇數個數據位發生改變時，才能檢測出錯誤且不能對錯誤進行校正。
表2. 奇偶校驗位原理示意圖。
重復碼是一種簡單的糾錯碼。（n,1）重復碼將每個數據位發送n次（n≥3），通過對比投票的方式進行解碼得到正確數據位。以（3,1）重復碼為例，經過嘈雜信道，接收器可能收到8個不同版本的輸出，如表3。
表3. （3,1）重復碼解碼糾錯對照表。
2.3共存免于干擾
在同一硬件單元中有時不可避免會出現具有不同ASIL安全級別開發的系統，由于在分配了不同ASIL的系統之間控制潛在故障的程度不同，因此以較高ASIL開發的系統的功能（如汽車制動系統）可能受到以較低ASIL開發的系統（如汽車制動燈系統）的影響。
如圖4所示，為了防止具有較高錯誤率 （ASIL-A） 的系統驅動需要較低錯誤率 （ASIL-C） 的系統，具有不太關鍵 ASIL 級別的（子）系統不能影響具有更關鍵 ASIL 的系統。左側的設計表明 ASIL-A 系統不可能影響 ASIL-C 系統。這意味著 ASIL-C 系統相對于 ASIL-A 系統實現了免于干擾。但是在右側的系統設計中，存在從 ASIL-A 到 ASIL-C 系統的數據/控制流。因此，ASIL-C 系統并沒有實現免于干擾，至少在沒有任何進一步分析的情況下，ASIL-C 系統會受到 ASIL-A 系統的影響。在這種情況下，需要采取進一步的設計或驗證措施以實現不受干擾。例如，ASIL-C 系統可以首先檢查 ASIL-A 系統數據的正確性?？紤]到這一措施，ASIL-C 組件將實現免于干擾[3]。
圖4. 兩個不同安全級別系統之間免受干擾實現策略示意圖。
3.安全機制物理實現保障
安全機制的設計需要通過物理布局布線之后才能移交給芯片代工廠加工。隨著工藝的演進，單位面積內晶體管數量大幅增加，芯片中金屬繞線層阻抗也增加。這些都對于芯片的功能安全具有極大的挑戰，因此工程師們還需要從物理層面保障芯片的功能安全性。
3.1強健的繞線設計
通孔是先進 IC 設計的關鍵結構，它通過垂直連接層來幫助擴展設計空間。盡管通孔在電路設計中很重要，但通常被認為是工藝和可靠性問題的主要來源之一，這些問題可能會降低電路性能，甚至可能使電路失效 [4]。通孔可靠性問題的一個主要來源是電遷移 （EM），即由電子電流引起的金屬原子擴散。隨著 IC 技術的進步，電流密度會因橫截面通孔面積的減少而增加，這會增加故障發生概率。高溫和通孔周圍的機械應力甚至會進一步增加 EM 故障概率。對于 EM，通孔和金屬線的界面是 EM 的最薄弱環節之一。我們可以在圖 5中通過局部通孔和導線的 SEM 圖像看到這種現象 [5]。
圖5. 電遷移導致的通孔損壞SEM圖以及對照示意圖[5]。
通孔按照形狀可分為正方形（square）和長方形（bar）通孔；按照數量可分為單孔（single）和雙孔（double）。如圖6所示，通孔冗余設計即將方孔替換成面積更大的長方形孔，或者將單孔替換成雙孔。通孔冗余設計能減小開路的可能性，減小電阻與電位差，增加抗應力遷移能力，進而改善故障發生概率。
除此以外，我們也可以通過NDR（non-default routing rule，非默認繞線規則）的繞線方式加強布線網絡，增強金屬線抗干擾能力。NDR繞線指的是在繞線的時候給某些net制定的特殊的繞線規則?，F在工具在繞線之前需要制定一個默認規則（default rule），默認所有net都按default rule來繞。而對于指定了NDR的net，EDA工具就會區別對待指定的net。因為NDR的rule和default rule有所區別，繞線的最終結果就會有所不同，相應的也會影響芯片的各項性能。一般來說，使用NDR方式繞線方式（如double width double spacing）能保持更好的信號完整性，但也會占用更多的繞線資源。
圖6. 通孔冗余設計示意圖。
3.2冗余寄存器物理隔離
上文中提到了可以通過寄存器的三重模塊冗余的方式實現功能安全性能的提升，實際上就是將寄存器復制兩份。如果這三個寄存器間距很近，局部的干擾可能會對這三個寄存器中的兩個甚至三個產生同樣的錯誤，經過投票機制后仍會導致錯誤的結果。為了盡可能的降低這種風險，在物理實現中，刻意地將冗余寄存器的位置在橫縱方向上進行分離操作將會有助于改善這種風險，如圖7所示。我們在物理實現過程中還會使用物理單元（tap cell）將各個寄存器保護起來，以免受到周圍其他單元的影響和防止閂鎖效應，如圖中紅色方塊所示。為了避免來自時鐘樹和復位樹中存在的共同干擾，可以采取分開生長各個寄存器的時鐘樹和復位樹，減少寄存器之間共同的路徑。
圖7. TMR寄存器物理隔離示意圖。
3.3雙核鎖步物理隔離與繞線約束
類似地，雙核冗余也需要分隔一定距離。如果不考慮功能安全，后端工具會自動根據線長、時序、擁塞和功耗來確定標準單元的位置，因此會打散雙核中標準單元的擺放。為了降低雙核同時遭遇隨機錯誤的幾率，在物理布局布線時，我們首先要規劃兩個核的“安全區域”使其彼此排斥。如圖8所示，雙核鎖步中的主核（Primary Core）與冗余核（Shadow Core）需要分組實現，并在兩個類似鏡像的“安全區域”之中各自布局和布線。時鐘樹綜合中，主核和冗余核的時鐘樹要彼此分離，避免共用時鐘路徑和時鐘緩沖器。同時，還要設置時鐘樹繞線障礙，防止一個核的時鐘線在另一個核的區域里經過或者穿越，確保主核與冗余核的時鐘線互相保持一定的距離。數據的對比/校驗邏輯是在Comparator中完成的，避免兩個隔離核之間有數據的直接交互，在每一個時鐘周期對雙核的輸出進行比較，在發生故障時輸出錯誤標識信號，以供系統及時采取應對措施。
圖8. DCLS物理布局布線示意圖。
4.結語
隨著汽車電子系統功能安全要求的不斷提升，對車規芯片安全性的需求也在不斷加強，符合功能安全要求已然成為了車規芯片進入市場的必需要求。汽車自動駕駛技術的發展帶來的汽車電子復雜度的提升，先進制造工藝帶來的晶體管密度的提升，都對芯片的功能安全提出了更高的要求。如何設計生產出國產高安全可靠的車規芯片，需要工程師們對技術難關進行不斷攻克并總結經驗。
reference:
1.International Organization for Standardization, “ISO 26262-1:2018 – Road Vehicles – Functional Safety”:https://www.iso.org/standard/68383.html
2.ABLIC Inc. "Introduction – What is Functional Safety?":https://www.ablic.com/en/semicon/products/automotive/asil/
3.HEICON Global Engineering GmbH, "ISO 26262 Freedom from interference – What is that?":https://heicon-ulm.de/en/iso26262-freedom-from-interference-what-is-that/
4.Zhou, Han, Liang Chen, and Sheldon X-D. Tan. "Robust power grid network design considering EM aging effects for multi-segment wires." Integration 77 (2021): 38-47.
5.Pak, Jiwoo, Bei Yu, and David Z. Pan. "Electromigration-aware redundant via insertion." In The 20th Asia and South Pacific Design Automation Conference, pp. 544-549. IEEE, 2015.
關于復睿微
復睿微電子植根于創新驅動的文化，通過技術創新改變人們的生活、工作、學習和娛樂方式。公司成立于2022年1月，目標成為世界領先的智能出行時代的大算力方案提供商，致力于為汽車電子、人工智能、通用計算等領域提供以高性能芯片為基礎的解決方案。目前主要從事汽車智能座艙、ADS/ADAS芯片研發，以領先的芯片設計能力和人工智能算法，通過底層技術賦能，推動汽車產業的創新發展，提升人們的出行體驗。復睿微電子擁有一支業內頂級，能夠全流程覆蓋芯片的研發設計、解決方案、市場銷售、服務支持等完整架構的車規級大算力芯片團隊。團隊集聚全球頂尖數字芯片人才，核心成員擁有在海內外領先的優秀企業的工作經驗。
