利用内建自测试满足ISO 26262 安全要求.pdf

目录

序言3

功能安全概述4

保护设计4

随机故障类型5

用于测试和功能安全的逻辑BIST6

计算覆盖率指标8

可测试性设计覆盖率指标8

功能安全诊断覆盖率指标8

逻辑BIST的诊断覆盖率9

示例10

结语11

1.序言

当今车辆中的半导体器件数量在快速增加，电子设备的价值预计快超过汽车总成本的

50%。越来越多的现代汽车电子设备支持新的先进驾驶辅助系统(ADAS)，例如车道偏离辅助、

防撞系统和其他自动驾驶功能。对安全关键型ADAS系统的需求，给半导体设计人员满足

ISO26262标准所规定的功能安全要求带来了新的挑战。

ISO26262标准定义了功能安全级别，即“汽车安全完整性级别”(ASIL)，是汽车系统设

计流程的必要部分。ASIL目标取决于对给定汽车系统的危险分析。ASIL分为A至D四级，

A级适用于安全关键性较低的应用，D级适用于安全关键性较高的应用。

例如，车载信息娱乐系统与自动制动系统对ISO26262认证的ASIL要求是不同的。图

1显示了与车内不同功能相关的典型ASIL要求的一些例子。

为使给定功能达到所需的ASIL级别，需要进行大量仿真来分析设计中可能发生的会影

响其安全功能的潜在随机故障。此故障仿真过程类似于可测试性设计(DFT)领域中已经使

用多年的故障仿真过程。

但是，就功能安全而言，并非所有故障都是等同的，这导致DFT指标与功能安全指标

之间存在差异。一直都没有一种简单的方法来使这两种不同的指标保持一致。本文介绍如何

利用传统DFT技术来满足ISO26262功能安全要求。

2.功能安全概述

功能安全的目标是防止安全关键型系统的故障对人员造成伤害。功能安全机制通过检测

两种不同类型的随机硬件故障来保护设计免受故障影响。一种安全机制——逻辑BIST——

也被用于制造测试和系统内测试。

保护设计

为了满足ISO26262汽车标准的功能安全要求，汽车IC设计人员必须在其设计中增加

称为安全机制的特定电路。这些安全机制的运作是对设计功能运作的补充，纯粹是为了确保

IC安全运行。

安全机制会检测设备使用寿命内可能发生的静态和瞬态故障。一旦检测到缺陷，便可以

让设备做出响应或安全关停，这通常被称为“返回安全状态”。

根据应用的不同，安全机制可以采取几种形式。图2显示了一个采用多种方法来实施

安全机制的示例设计，以及可以在哪里使用这些安全机制来添加对特定功能的安全监控。来

自西门子EDA的AustemperSafetyScope产品可以执行此分析，以提供关于安全合规性的

初始反馈。

特定安全机制的选择在很大程度上取决于需要保持安全的结构的需求。一般来说，要准

确评估哪种安全机制适合哪种情况，需要良好的设计知识。但是，设计人员可以在设计自动

化工具和自动化分析的帮助下来选择理想安全机制。自动化软件的使用越来越广泛地被当作

安全设计过程和功能安全设计流程的一部分。

ISO26262标准提供了关于许多常见安全机制有效性的指南。选择安全机制需要权衡多

个因素，如表1所示：

•

覆盖率–检测缺陷/故障的有效性

•

测试时间–执行测试以检测缺陷/故障所需的时间

•

硅片面积–对实施测试所需的芯片面积的影响

•

扰乱–测试扰乱正常运行的程度

•

纠正–检测和/或检测并纠正故障的能力

基于硬件的安全机制对硅片面积、功耗和成本的影响可能相当大。因此，设计人员经常

期望既能用于功能安全又能用于制造测试的电路，包括逻辑BIST和内存BIST等结构。

这些技术常常已经作为制造测试要求的一部分在芯片上实现，因此任何额外的开销都非

常小。图3显示了一种典型的BIST实现，它通过IEEE1149.1TAP控制器支持自动测试设

备(ATE)的访问，由ATE运行和监控测试。

随机故障类型

ISO26262标准将故障分为两类，对这两类故障都必须进行检测和控制，以证明达到了

功能安全要求。

第一类包括单点故障和残留故障，如图4所示