Functional Safety SBCs for Future Transportation Systems Whitepaper

Size: px

Start display at page:

Download "Functional Safety SBCs for Future Transportation Systems Whitepaper"

みりあやすこ
5 years ago
Views:

1 未来の輸送システムに向けた安全で堅牢な機能安全システムベースチップ (SBC) David Lopez, Marketing & Application Manager, Safety & Power Management Maxime Clairet, Application Engineer, Safety & Power Management 2016 年 6 月要約パワーマネジメント回路上で機能堅牢性と機能安全を組み合わせると組み込み E/E 輸送システムを保護し設計を簡素化することができます自動車市場は排出ガスの削減交通渋滞の緩和その他の危険の低減のために自動車の電動化と自動運転に向かって動いていますこのトレンドではドライバーの代わりに判断し行動することのできる電子システムが求められますこうしたシステムはステアリングブレーキトランスミッションなどのセーフティアプリケーションに基づいて判断して行動し操作を誤って乗員を負傷させることはありません運用のリスクを管理するためにこれらのシステムは最高度の ISO 自動車用安全度水準 (ASIL D) に従って開発されており受容できる確率で安全目標が侵害されたときに安全状態へ遷移化することを保証しますすべての安全関連電子システムにはセーフティマイクロコントローラとカーバッテリに接続された信頼性の高い安全な電源が必要ですこれがシステムベースチップ (SBC) ですセーフティマイクロコントローラとセーフティシステムベースチップは組み込みシステムアーキテクチャのバックボーンとして独立したハードウェアモニタリング機能を実現しますこの論文ではパワーマネジメントレベルにおける機能安全の最新イノベーション (SBC) について開発フェーズからシステム設計までを信頼性と安全対応のハードウェアを実現する方法との関連性を明らかにしながら解説しますまた ASIL D 向けに開発されたアーキテクチャを使用し集積回路 (IC) に対して破壊試験を実施して組み込みシステムの機能堅牢性を向上させる方法についても説明します破壊試験では安全アーキテクチャの堅牢性と電気的過負荷 (EOS) によって破壊が発生した場合にどのように安全状態へ移行するかがわかります目次 ISO 機能安全規格について...Page 2 システム要件から IC アーキテクチャの定義へ...Page 3 定量的解析信頼性から機能安全へ...Page 3 パワーマネジメントと機能安全ハードウェアモニタリング機能を組み合わせる理由...Page 4 定性的解析フェイルセーフからフェイルサイレントへ...Page 5 安全な遅延故障後のシステムタイミング条件の管理...Page 6 検証システムソリューションのプルーフポイント...Page 6 結論...Page 9 参考...Page 10

2 ISO 機能安全規格について機能安全とはシステムの機能不全によって引き起こされる危険を原因とする不合理なリスクの発生を抑制することを意味します機能不全によるリスクを大幅に低減するには発生しうる故障のタイプを理解し評価することが重要ですこれらの故障は次の 2 つに分類できます 1. 決定論的原因故障 : 製造プロセスの設計運用手順文書化またはその他の関連する要因の変更によってのみ取り除くことができますこのタイプの故障が発生する確率はロバストな開発プロセスと品質管理によって低くなります 2. ランダム故障 : 確率分布に従ってハードウェア機器のライフタイム中に予期せず発生しますこれらの故障の原因として永続的または一時的な環境の大幅な変化やシステムのライフタイム全体における本質的な技術能力が挙げられますランダム故障に関連するリスクの低減には専用のシステムアーキテクチャや IC 検出ストラテジを利用しますこれは SBC の目的の 1 つです 2011 年 11 月 15 日自動車業界向けに ISO 26262:2011(E) が発行されましたこの規格は特に自動車 -- 機能安全を目的として修正が施され機能安全規格の IEC を車載電気 / 電子 (E/E) システム用に適合させたものですアプリケーションは機能性を維持しディペンダビリティを保持しなければなりませんディペンダビリティを保持するには安全性と可用性の最適なバランスを実現しながら E/E システムを設計する必要があります可用性は保守性と信頼性の微妙なバランスの上に成り立ちますが安全性は主にシステムの信頼性に左右されますこの関係を以下の図に示します Dependability Availability Safety Maintainability Reliability 図 1: 機能安全に関するディペンダビリティのトレードオフ NXP では SafeAssurer というブランドを設け可用性安全性信頼性を効果的に組み合わせることでディペンダビリティを実現する各種の製品を取り揃えています 2

3 システム要件から IC アーキテクチャの定義へ ISO では重大度発生頻度回避可能性によって決まる安全度水準を定義しています以下の表にシステムに関連した自動車用安全度水準 (ASIL) をまとめて示します Severity Extent of hard to individual(s) that can occur in hazardous situations S1 - Light S2 - Severe S3 - Fatal Exposure Probability of exposure regarding operational situations QM: Quality Managed ( 規格によって明示的に適用される要求事項なし ) Controllability Ability to avoid a specific hard through timely reations C1 - Simple C2 - Normal C3 - Difficult E1 (very low) QM QM QM E2 (low) QM QM QM E3 (medium) QM QM A E4 (high) QM A B E1 (very low) QM QM QM E2 (low) QM QM A E3 (medium) QM A B E4 (high) A B C E1 (very low) QM QM A E2 (low) QM A B E3 (medium) A B C E4 (high) B C D 表 1: 自動車用安全度水準この要件を IC レベルの要件に置き換えるには FIT 率から算出される故障確率が必要となります定量的解析信頼性から機能安全まで機能安全の指標は IEC に従ってアプリケーションのライフタイム中の故障リスクを定量的に表す FIT (Failure In Time:10 億時間あたりの平均故障回数 ) に基づいて算出されます FIT 率は技術パッケージおよびアプリケーション条件 ( ミッションプロファイル ) によって異なりますハードウェアの劣化に基づいて FIT 率を算出すると次の ISO 評価指標を決定できますデバイスの FIT 率は代表的なダイサイズに基づいてデバイスの各機能に分散され各機能では発生しうるすべての故障モードに対して均等に分散されます安全関連機能の故障モードがアプリケーションの安全目標に違反した場合安全機構がそれを検出する必要があります 1 FIT は 109 デバイス時間 (114 年 ) に 1 回の故障が発生することを表します = { 1 x N x e-0.35xa + 2}x y i= 1 on ( ) + t i off i x 10-3 x z 0.68 a x ( n) x ( T) i i x 3 + I x EOS x10-9 /h i= 1 overstress package die 図 2 NXP が SafeAssure コンポーネントに使用している FIT 率の算出方法 (IEC TR 規格に準拠この FIT 率は NXP が開発した SafeAssure ツールの入力になります動的 FMEDA により ASIL レベルの判定に必要な 3 つの数値が得られます SPFM(Single Point Fault Metric: 単一故障の評価指標 ) はアプリケーションの安全目標に違反する故障の検出率を表します (ASIL D の場合は 99% 以上 ) 安全機構の診断範囲 ( 低 -60% 中 -90% 高 -99%) に応じて検出されない故障モードの残りの FIT を算出します SPFM = 1 [ (λrf) / λsr ](λsr = 安全関連機能の FIT 率 ) 安全検出機構 ( モニタリング機能 ) の LFM(Latent Fault Metric: 潜在的故障の評価指標 ) 故障は単一故障と同時に発生した場合にアプリケーションの安全目標の違反につながる可能性があります (ASIL D の場合は 90% 以上 ) BIST 等で検出されない潜在的故障モードの残りの FIT を使用して同じ方法を LFM に適用します LFM = 1 (λmpf) / [ λrf) λsr) ] (λmpf = 潜在的故障の残りの FIT) PMHF(Probability Metric of Hardware Failure: ハードウェア故障の確率的評価指標 ) で安全目標の違反の残存確率に関するものです (ASIL D の場合は 10-8 未満 ) 3

4 PMHF はアプリケーションのライフタイム ( 自動車では最低 15 年 ) に対して SPFM と LFM から算出されます ASIL の IC 水準の適合性はこうして得られた 3 つの数値に基づいて判定することができます以下の表に IC レベルで ASIL レベルに適合する数値をまとめて示します ASIL B ASIL C ASIL D PMHF = Random hardware failure <10-7 <10-7 <10-8 SPFM >90% >97% >99% LFM >60% >80% >90% 表 2 SPFM LFM PMHF の各目標と ASIL の目標の対応パワーマネジメントと機能安全ハードウェアモニタリング機能を組み合わせる理由マイクロコントローラにはタイミング ( チャレンジ機能付きの高度なウォッチドッグ ) 電圧レベル ( 過電圧 / 低電圧 ) およびコンピューティング (FCCU モニタリング ) を確認するために外部の安全モニタリング手段が必要ですこの重要なシステム機能を標準化してパワーマネジメント回路に統合し新世代のセーフティシステムベースチップ (SBC) が作り出されましたセーフティ SBC はパワーマネジメントコネクティビティおよびシステムを統合したもので組み込みシステムに対する電力供給と監視を主な目的としています MCU と SBC の組み合わせは組み込みシステムの安全のバックボーンに相当するためフェイルセーフの質的解析も必要ですつまり IC の安全状態をシステムの安全目標に合わせるために故障診断後のコンポーネントの挙動を解析する必要があります機能安全ソリューション向けの NXP の先進的ハードウェアシステムは ISO 規格の安全要求を満たすために設計された MPC5744P セーフティ MCU と最新世代のセーフティ SBC ファミリである FS65 の組み合わせから構成されています MPC5744P は安全アーキテクチャを統合したデュアルコアロックステップ MCU です内蔵自己診断 (BIST) 機構はコアメモリクロスバー通信ブロックおよびペリフェラルに対して提供されます FS65 デバイスファミリには低消費電力モード (30 µa) に切り替え可能な効率的な DC/DC パワーマネジメント機能が組み合わされています FS65 の安全目標はシステムへの電源供給の確保と MCU の監視ですパワーマネジメント機能はシステムを脅かす事象につながるアプリケーションの機能不全を防ぐためさまざまな安全機構と関連付けられており MPC5744P とともに開発されましたシステム内で 2 つのデバイスを併用すると ASIL D システムレベルソリューションを容易に実現することができます MasterBoard with MPC5744P 5 V 3.3 V FAULT from Slave 2.2 V To Forward TPL Target ESMIT-4180 MC33664TL Physical Interface EN (CSB) SPI SPI MPC5744P (ASIL-D) 2xe200z4 200 MHz RESET SPI Functional Safety SBC FS65 12 V Battery To LoopBack TPL Target optomos Main Contactor PreCharge Contactor FAN0 FAN1 MiddleContactor Heater ESMIT-4180 HS0 HS1 HS2 HS3 HS0 HS1 HS2 HS3 MC33664TL Physical Interface MC15XS3400 SPI Eswitch High Side x 4 (Daisy Chain) SO SI MC35XS3400 Eswitch High Side x 4 GPIO EN (CSB) MISO Flash 2.5 MB RAM 384 MB FlexCAN x 3 SPI x 4 FlexCAN FlexCAN FlexCAN Asil D Voltage Monitor Challenger Watchdog CAN FD Fail-safe IO DualCAN TJA1048 CAN for BCM Local CAN Diagnosis CAN Global/Local CANbus 5V 図 3 システム例 BMS ASIL D 安全アーキテクチャの MCU と SBC のバックボーン 4

5 Value Proposition パワーマネジメント機能と安全ハードウェアモニタリング機能を組み合わせるとシステムアーキテクチャを簡素化し組み込みシステムの安全のバックボーンを標準化して適切な量的解析を通じて ASIL に適合させることができますしかしながら定量的解析だけではシステムのディペンダビリティを実現するのに十分ではありません故障検出後のデバイスの挙動を重要かつ補完的な観点として検討すべきだからです定性的解析フェイルセーフからフェイルサイレントへ各種のアプリケーションにはそれぞれ異なる安全状態の条件がありますリセットやフェイルセーフピンのアクティブ化などのハードストップがシステムアーキテクチャにとって望ましいケースもあればソフトストップまたは縮退モードに移行してアプリケーションを継続させた方がよいケースもありますバッテリマネジメント機能は後者の最適な例でありフェイルサイレントアーキテクチャを可能にする中心的な役割を果たします MC33907/8 12V DCDC 0.8A 1.5A Low Power Fail Safe CAN FS V DCDC + LDO 0.5A LDT, FS1 Fail Silent CAN FD2M FS650x 12V DCDC + DCDC 0.8A LDT, FS1 Fail Silent CAN FD2M FS651x 12V DCDC + DCDC 1.5A LDT, FS1 Fail Silent CAN FD2M FS652x 12V DCDC + DCDC 2.2A LDT, FS1 Fail Silent CAN FD2M Generation 1 Generation 2 図 4 2 つの世代のセーフティ SBC 上の図は NXP のセーフティ SBC 製品群における機能安全動作特にシステムに依存する安全状態条件の進化を示しています MC33907 & MC33908 SBC FS0b SBC FS0b SBC FS0b 1,2V SPI W/D FCCU Reset 1,2V SPI W/D FCCU Reset 1,2V SPI W/D FCCU Reset MCU MCU MCU Normal Operation Fail Silent Available Fail Safe Disabled FS65 & FS45 Family 図 5 システムアーキテクチャの進化フェイルサイレントモードはアプリケーションのさまざまな安全目標に適合するフレキシブルな安全動作を実現するためにハードウェアレベルで提供される新たなソフトウェア設定機能ですリセットとフェイルセーフのアクティブ化は設定可能でかつ安全ですつまりシステムレベルにおけるディペンダビリティの最適な水準を選択することができます上の BMS の例のソリューションは故障後もシステムが適切なレベルの可用性を維持したまま縮退モードで動作することを可能にして E/E アーキテクチャ内で車の電源を管理し続けます 5

6 安全な遅延故障後のシステムタイミング条件の管理モーター制御アプリケーションには安全状態の確保などのために故障検出後に電源を順次切断することが必要になりますその場合故障検出からフェイルセーフ状態をアクティブ化するまでの期間を個別に処理する必要がありますこの期間はモーターの誘導性負荷により消磁に起因するシステム故障の防止に役立ちます ISO の実施をサポートしエネルギーを安全に消磁するために設定可能で安全な遅延が定義実装検証されていますこのタイミング管理機能はデジタルおよびアナログの冗長性を備えており同じアプリケーション条件用の FS0 と対照的に設定が可能な遅延信号 (FS1) を生成してシステムを簡素化しモーターのフェイルセーフ状態を確保するのに役立ちます FS65 1,2 V SPI W/D FCCU Reset MCU Bridge Driver Battery FS0b FS1b s1 s2 s3 Failure event FS0b Bridge driver disable FS1b Tdelay Phase switch open 図 6 電気モーターアーキテクチャのシステム安全遅延の管理この例はハードウェア側の機能安全が ASILレベルに達するための定量的解析と SEooC (Safety Element out of Context) ICのさまざまな安全目標をサポートするための定性的解析の組み合わせであることを示していますここまで信頼性と機能安全との関連性について取り上げてきました最後にトランスポーテーション用 ICの性能について触れておきます機能堅牢性とアナログICでISO 26262を満たすことを検証する目的で実施されるテストを中心に説明しますがシステムが故障する極端な条件下の技術についても説明します検証 : システムソリューションのプルーフポイントハードウェア統合テストセーフティ SBC の安全アーキテクチャは ISO のハードウェア統合テスト特に故障注入テストによって安全目標に違反するすべての FMEDA 故障モードに対して安全状態に遷移するかが検証されています FMEDA 解析が完了しシリコンが利用可能になったら安全コンセプトが定義と実装の通りに機能するかどうかが検証されます検証するにはデバイスに物理的に故障を注入して関連する安全機構がそれを検出しフォールトトレラントタイム間隔 (FTTI) 内に安全状態に遷移するかどうかを確認します例として SBC による MCU Fault Collection Control Unit (FCCU) ピンのモニタリング機能の検証を挙げておきます MCU は通常の状態では差動電圧で 2 つの FCCU 信号を SBC の安全入力 IO_2 と IO_3 に送信します故障状態では FCCU 信号の 1 つを変更してどちらも同じ電圧で SBC に送信します SBC は IO_2/3 の電圧が予想された差動電圧と異なることを検出し設定可能な遅延後に安全出力 FS0 と FS1 をアサートすることで応答しますまた SPI レジスタのフラグをセットして診断を実行することにより安全状態に遷移された理由をリセット後に MCU が確認できるようにします ( 図 7) 6

図 7 FCCU 検出による安全状態のアクティブ化と関連する SPI 診断安全コンセプトで定義されている安全目標の違反として FMEDA に含まれるすべての故障モードをデバイスに注入して関連する安全機構を検証します拡張検証 NXP のセーフティ SBC に実装された安全アーキテクチャの技術の限界および堅牢性を評価するため拡張テストが実施されていますこれらのテストは

(Vpre) にバッテリ電圧 (18V) を印加してデバイスが破損しても安全状態に遷移されている (FS0 がアクティブ Low) ことを示しています図 8 デバイス破壊 (Vpre に最大定格以上を印加 ) 後の安全状態のアクティブ化自動システム検証車両ネットワークにつながるすべてのパワーマネジメントコンポーネントは ISO 7637 規格に従って ISO

7 図 7 FCCU 検出による安全状態のアクティブ化と関連する SPI 診断安全コンセプトで定義されている安全目標の違反として FMEDA に含まれるすべての故障モードをデバイスに注入して関連する安全機構を検証します拡張検証 NXP のセーフティ SBC に実装された安全アーキテクチャの技術の限界および堅牢性を評価するため拡張テストが実施されていますこれらのテストはデバイスが完全に破壊されるまで行いましたデバイスが破損した後でも安全状態を維持することを確認するという特殊な目標を設定してデータシートで指定された最大定格を超えましたこのような極端なケースでも安全目標が達成されたことからセーフティクリティカル ECU の応答を制御できないことが原因でドライバーが負傷することはありません図 8 は最大定格を 8V と指定されているプリレギュレータ (Vpre) にバッテリ電圧 (18V) を印加してデバイスが破損しても安全状態に遷移されている (FS0 がアクティブ Low) ことを示しています図 8 デバイス破壊 (Vpre に最大定格以上を印加 ) 後の安全状態のアクティブ化自動システム検証車両ネットワークにつながるすべてのパワーマネジメントコンポーネントは ISO 7637 規格に従って ISO パルスの過渡現象だけではなく自動車 OEM 固有のさまざまな電圧パルス変動 ( 非 ISO パルス ) からの影響も受けないようにする必要があります非 ISO パルスは OEM 固有であり各 OEM は経験に基づいた独自の非 ISO パルスカタログを想定しているので非 ISO パルスは無数に存在します検証プロセスの最後に非 ISO パルスの注入によってモジュール検証が失敗することがないように IC の挙動を事前に予想しておくのが適切です 7

NXP ではそのために社内検証プラットフォームを開発しましたこのプラットフォームでは非 ISO パルスパターンを生成して自動的に注入しパルス期間中の監視を行うだけでなくトレーサビリティレポートを生成しますこのレポートを結果解析後に利用すると ISO 26262 要件に対応することができますこのプラットフォームはわずか数週間で IC を非 ISO

8 NXP ではそのために社内検証プラットフォームを開発しましたこのプラットフォームでは非 ISO パルスパターンを生成して自動的に注入しパルス期間中の監視を行うだけでなくトレーサビリティレポートを生成しますこのレポートを結果解析後に利用すると ISO 要件に対応することができますこのプラットフォームはわずか数週間で IC を非 ISO パルスの数千のデータベースに照らして検証します検証は独自の設定に基づいており数か月後や数年後でも再現性は 100% ですこの独自プラットフォームはアナログハードウェア MCU ハードウェア MCU 組み込みソフトウェアコンピュータの Windows ベースの GUI で構成されていますまた NXP 製 MCU の接続方式の検証や SBC のレギュレータレールに過渡的負荷を印加した場合の SBC の挙動の確認に使用することもできます図 9 自動化された非 ISO パルスプラットフォーム EMC と ESD NXP が開発したセーフティ SBC は車載ネットワークを介した通信用に CAN および LIN 物理レイヤを内蔵しています第 2 世代の FS65 は最新の CAN FD 2 Mbits/s にアップグレードされており電気特性としては ISO に EMC 特性としては IBBE および J に準拠していますしたがって最新自動車に求められる大容量データ通信に対応することができますまた IEC および ISO 規格に準拠して優れた ESD ガン堅牢性 ( 最大 12 KV の接触放電 ) を備えています信頼性の拡張 FS65 は電気自動車のミッションプロファイルにより要求される ON サイクルの長期化および自動運転車用の駆動系アプリケーションにより要求される高温化の予測に基づいて設計検証されました 8

9 結論簡素化された組み込みソリューションを支える主要な柱 : 信頼性堅牢性安全性この論文では ISO の認証を取得した開発プロセスに基づいた SBC のような外部ハードウェアモニタリング用デバイスの定量的および定性的な安全解析という相補的な手法に焦点を当てて解説しましたこれこそフェイルサイレントに対応した第 2 世代セーフティ SBC を通じて NXP が提案していることです品質管理とゼロディフェクト手法は機能安全解析の出発点です FIT 率の算出により機能安全指標の解析をサポートしフェイルセーフのハードウェアモニタリングアーキテクチャとの組み合わせにより数値目標を達成して適切な ASIL レベルを取得できるようにしますこの論文では品質と機能安全との関連性特に FIT 率と車両ソリューション向けのミッションプロファイルとの関係を明らかにしましたところで故障後にシステムがどのようにふるまうのかも IC の解析と安全動作の重要な観点です安全状態の設定可能性が進化したことでアプリケーションのディペンダビリティを E/E システムの安全性と可用性との最適なバランスに決めることができるようになりました車載用半導体の検証も変化しており過酷でノイズの多い環境下や故障後のコンポーネントの動作を保証するためにさらに多くのシステムテストが求められていますこの検証方法は V&V( 検証と妥当性確認 ) を保証するために開発されておりドキュメントにプルーフポイントを提供します最後に付け加えておくとこの新世代デバイスはアーキテクチャの冗長性を評価するために破壊されるまでテストされておりフェイルセーフ信号 ( アクティブ Low) の予想動作が安全コンセプトに一致することを示していますこうした特性の拡張は機能堅牢性の限界を押し広げます結論としてこの先進的な安全アーキテクチャは ECU の設計を容易にしリスクの評価に役立ちシステムの堅牢性を向上させ設定可能なフェイルセーフ動作やフェイルサイレント動作によって設計者が故障後のシステムを予想できるようにします FUNCTIONAL SAFETY SECURITY VEHICLE SAFETY DEVICE RELIABILITY 図 10 自動車の電動化と自動運転を可能にするクリティカル技術セーフティ SBC は認証取得した ISO プロセスに従って定量的および定性的な安全解析に基づいて開発されますリスク解析は機能堅牢性を備えた設計柔軟なフェイルセーフ対応のシステムアーキテクチャ高度なセキュリティアーキテクチャとの組み合わせによりフォールトトレラントでセキュアな輸送システムを用意することで自動運転車のために新たな地平を切り開きます 9

10 References [1] ISO26262: Road vehicles - Functional safety [2] ISO10605: Road vehicles - Test methods for electrical disturbances from electrostatic discharge [3] ISO7637-2: Road vehicles - Electrical disturbances from conduction and coupling [4] ISO : Road vehicles - Controller area network [5] IECTR62380: Reliability data handbook - Universal model for reliability prediction of electronics components, PCBs and equipment [6] IEC Electrostatic Discharge Immunity Test [7] IEC Electrical, electronic and programmable electronic safety related systems [8] SAEJ Communication Transceivers Qualification Requirements CAN [9] IBEE: IEC TS 62228, Hardware requirements for LIN, CAN and FlexRay interfaces in automotive application AUDI, BMW, Daimler, Porsche, Volkswagen Revision 1.3/ 2012 How to Reach Us: Home Page: Web Support: NXP Japan Ltd.: Yebisu Garden Place Tower 24F, , Ebisu, Shibuya-ku, Tokyo , Japan (Domestic Toll Free) NXP and the NXP logo are trademarks of NXP B.V. All other product or service names are the property of their respective owners NXP B.V. Document Number: FUNSAFETYWPA4J REV 0 ( 原文 :FUNSAFETYWPA4 REV 0)

Freescale PowerPoint Template

Freescale PowerPoint Template 機能安全対応マイコン / アナログ製品 CAR-ELE JAPAN @Tokyo Big Sight J a n u a r y 2 0 1 4 External Use Functional Safety. Simplified. 車載対応機能安全向け基準を鑑み設計された製品により車載システムの機能安全認証取得をアシスト ISO 26262/IEC 61508 といった機能安全規格に準拠するシステムを開発する期間