中國已經連續十多年成為全球第一大汽車生產國和消費市場，同時越來越多的制造商正在考慮進入無人機和飛行汽車等低空設備，而所有的這些產品都需要先進芯片的支撐，同時這些芯片又都是安全關鍵型芯片（safety-critical chip）。

所有類型的安全關鍵型芯片設計都需要深謀遠慮和認真規劃。本文的目的是闡明在安全關鍵型應用中使用預先打造的電路功能（也就是IP內核）的益處，并為您在設計芯片時，在做出相關選擇和IP內核集成過程中提供一些指導。

遺憾的是，設計師往往低估了在其項目的早期階段與第三方IP制造商合作的重要性和益處。缺乏與IP供應商之間有計劃的密切合作可能會導致誤解、時間壓力、流片延遲和挫敗感。當然，您肯定希望在您的芯片設計項目中避免所有這些問題——那我們就接著往下看。

什么是安全標準？

在我們深入研究安全關鍵型芯片設計的IP選型之前，讓我們先快速了解一下不同的行業針對安全性形成的標準。

適用于汽車行業的標準是ISO 26262，它源自IEC 61508標準。《航空器機載電子設備硬件設計保障指南（DO-254）和AMC 20-152A（基本上是DO-254的補充）是為開發航空機載電子設備硬件的工程師提出要求的通用標準。其他最終用途和設計應用都可能有其自己的專用標準。ISO 21434網絡安全標準就是一個例子，它在當今的汽車和航空電子設計中扮演著越來越重要的角色。（出于本文的目的，我將把重點放在安全性上，而不是安全防護。）

我們為什么需要安全標準?以及它們為什么會有這么多不同之處?

接下來我們討論一下為什么在開發電路的時候需要標準化的問題。坦率地說，這個話題并不新鮮，甚至也不令人興奮！安全標準甚至經常被視為一種必要的挑戰——但是，如果沒有明確定義的可靠性和操作安全性規則，電子電路的運行將不再可能。

與航空公司飛行員在起飛前必須通過飛機所有安全相關的標準協議類似，標準化也必須作為電路開發的一部分加以推進。即使飛行員已經經歷了數百次相同的過程，并且成功完成了相應數量的飛行，在每次重新起飛之前也必須重新進行該程序；這一措施的唯一目標是避免錯誤。

同理，這正是ISO 26262和IEC 61508等預定義的標準所希望達到的目的：一個明確定義的計劃，有助于發現可能的錯誤并對問題進行分類，從而使設計能夠對不可預見的情況做出充分的反應。如果輪胎損壞，必須阻止飛機起飛，因為它將無法安全著陸。然而，如果機上廚房有缺陷，這對于飛行來說可能是可以接受的，因為它不會對飛機的航空機械性能產生不利影響。

從根本上說，輪船船長和飛行員的目標是完全相同的：即將乘客和貨物安全地運送到預定的目的地。由于海上和空中旅行之間的巨大差異，對這些任務就有不同的標準。正是由于這個原因，所以才制定了專門的安全標準。為這些不同運輸工具提供設備的任何供應商必須事先知道，例如，他們的陀螺羅盤將要被安裝在飛機上還是安裝在游船上，以確保其正常工作。這也是IP供應商需要了解將使用其預定義電路功能（IP）的應用環境的原因。

安全標準定義了哪些方面?

安全標準定義了設計過程安全需求的各個階段：計劃（planning）、實施（implementation）、驗證（verification）和文檔記錄（documentation）。

對于所有標準，該程序都有或多或少的統一性，但應該注意的是，每個標準對這四個階段的適用性要求的定義還是略有不同。必須滿足每個步驟的原則，從而符合相關標準。

最終用途和允許的故障概率

為了定義恰當的錯誤處理機制，就必須對潛在的硬件故障進行分類。就像前面提到的飛機輪胎和廚房的場景一樣：汽車信息娛樂系統中的一個錯誤可能是可以接受的，而影響安全裝置的錯誤則是不可接受的，例如自動制動系統。

因此，需要依次對不同的要求進行分類。例如，IEC 61508標準就被細分為五個安全完整性等級：SIL 0到SIL 4。ISO 26262標準包括四個等級：ASIL A到ASIL D（其中ASIL代表汽車安全完整性級別）。類別級別越高，安全要求越嚴格，其中SIL 4或ASIL D是最嚴格的。

在確定設計和驗證中必須采用的方法時，產品的最終用途在其中起著至關重要的作用。例如，進入汽車信息娛樂系統的芯片，如果發生故障就會給駕駛員帶來麻煩，但不會對人的生命構成任何風險。相比之下，安全氣囊或車道管理系統中的芯片故障可能會威脅到駕駛員、乘客、道路上其他車輛甚至行人的安全。

當一種芯片設計的最終用途可能意味著人類的生命會受到威脅時，我們將其稱為安全關鍵型芯片。功能安全在這種設計中是必不可少的：因此，這類設計的完整性級別必須與最終用途相稱。必須對軟件或硬件引起的潛在故障制定計劃并主動解決。

對故障的理解和反應

讓我們進一步了解如何理解和應對潛在的故障。從根本上來說，這都是關于系統如何處理故障情況，并確定：1)如何預防故障本身發生，或2)如何應對故障。這里必須區分硬件錯誤和軟件錯誤，它們要么可以被安全地忽略，要么必須通過不同的方法加以預防或應對。即使是純粹的硬件錯誤，也必須了解這些錯誤實際上會導致什么故障，以及適當的應對措施應該是什么樣子。

需要對系統性誤差（例如，由電路開發或不充分驗證導致的）和隨機發生的錯誤（由外部影響引起）之間進行區分。重要的是要明白，在任何情況下都不可能避免系統性錯誤。通過良好的驗證覆蓋、標準化的測試過程、廣泛的測試，其中也可能通過使用專用的驗證IP（VIP）以及使用專門的工具，有可能顯著提升開發無錯誤產品的可能性。

正如相應的安全標準明確強調的那樣，100%的覆蓋率在實際中是不可能實現的。對于所謂的極端情況尤其如此，這種情況描述了元器件在異常條件下的操作，并且在電路開發和相關驗證中都是一種挑戰。

另一方面，也不能完全排除隨機錯誤。在這里，有必要制定對此類錯誤做出適當反應的策略。為了消除由外部影響（如α因子）引起的潛在故障，必須采用錯誤檢測和校正電路。根據應用領域和無錯誤操作要求的級別，有必要提供容錯實現。容錯在發生錯誤會危及人類生命的情況下尤其重要，比如飛機上的設備。

原則上來說，這樣的要求需要大大增加實現的工作量，當然也需要增加驗證的工作量。在這個領域，有必要強調的是，芯片設計人員必須要驗證電路本身的正確性，還要驗證錯誤檢測和糾正電路的正確性。

IP開發是如何受到影響的?

當為安全關鍵型設計創建或使用IP時，工程師必須要牢記什么?

即使只對最終產品進行認證，但其中每個組件也必須滿足適用于整個系統的要求。因此，所有子組件都必須按照嚴格的規則來執行電路實現要求，以考慮產品在安全性相關應用中的后續使用，并遵守適用標準的開發流程。

就ISO 26262標準而言，設計流程要求包括：

詳細的規劃——在定義功能安全要求階段中必須仔細完成

分析——旨在識別危險和可能的錯誤模式

實施——即對前面兩個步驟進行全面的考量

然后，必須對系統進行驗證和確認。為了獲得認證，所有細分步驟都必須有良好的證明文件，并記錄其結果。同時，這個記錄必須包括所使用的工具和采用的驗證方法等等。

為了獲得DO-254認證，必須在規范制定階段首先就要強制性地使用明確的定義和術語，以確保從一開始就有完全可追溯性，并指出精確的要求，以確保詳細的證明文件。

要獲得這種類型的認證需要付出很大的努力！還必須承擔額外的任務來創建適當的證明文件，如記錄驗證過程、錯誤覆蓋、錯誤報告和工具使用等必需環節。還應該注意的是，只有某種產品在獲得認證后保持不變的“凍結”版本才是認證合格的。此外，在創建產品時所使用工具的版本也必須保持不變。

獲得行業標準機構認證

為了確保符合DO-254或ISO 26262等安全標準，就有必要獲得相應的認證。公司必須與獨立的組織合作，例如德國的TüV SüD等機構，以完成認證過程。全球有許多這樣的認證機構。

那么，你應該追求認證嗎？這需要視情況而定。

不利的一面是，獲得安全標準認證的整個過程非常耗時，而且還需要適當培訓人員。還需要在整個認證期間接受認證組織的審核，以檢查和證明實現功能安全的措施的完整性。

有利的一面是，認證可以增加客戶對其所需的產品質量和可靠性的信任。此外，由于投入了額外的時間和精力，在整個設計過程中對細節的嚴格關注可以開發出優質的產品。

在大多數情況下，認證IP核這樣的單個子組件是沒有意義的，因為它們會被用于更復雜的電路中。但是，所有子組件都必須符合適用標準規定的嚴格規則，并考慮到產品在安全相關應用中的后續使用。

最終考量因素

如前所述，獲得認證并不容易，但值得一試。即使只對最終產品進行認證，但包括第三方IP核在內的每個組件都必須滿足適用于整個系統的要求。因此，所有子組件都有必要按照適用標準的嚴格規則進行電路實現，并在開發階段就為產品的安全關鍵型最終用途制定規劃。前面提到的標準定義流程必須從始至終貫徹。

SmartDV已在汽車和航空電子設計方面富有經驗和頗有建樹，可以成為芯片廠商在探索相關領域時值得信賴的IP合作伙伴。我們的VIP是由具有數十年復雜芯片驗證經驗的驗證工程師所創建。我們還為各種應用提供基于標準的設計IP。下面顯示的是我們的一些IP核，它們都適用于本文中討論的安全關鍵型設計。

隨著芯片的復雜性不斷增加，驗證也在逐年變得越來越復雜。在當今的芯片設計中，驗證往往會消耗大約60%-80%的項目資源，并且通常是整個過程中的瓶頸。正是因為這樣的復雜性和重要性，與值得信賴的IP伙伴合作是回報最高的途徑，他們將與芯片設計師共同解決其在此過程中遇到的任何問題。

市場差異化帶來的定制化需求也在芯片行業中不斷凸顯。無論您是為下一代SoC、ASIC或FPGA項目采購設計IP，還是尋求驗證解決方案（VIP）來完成您的芯片設計，SmartDV都可以快速且可靠地對我們多元化的產品組合進行定制，以滿足您獨特的設計需求。我們的SmartCompiler?技術使這種定制化可以很完美地實現，并可使芯片設計公司獲得更高的回報。IP Your Way?——只需定義您的規格，然后交給我們處理。

我們期待看到您的芯片設計成果應用在道路上或在天空中！

本篇技術文章是Philipp之前發表的同一主題博客文章的后續，他最近也用在線研討會的方式詳細解讀了這個話題，大家可以關注“智權半導體”微信公眾號，我們將在近期發布他的演講視頻記錄。智權半導體科技（廈門）有限公司是SmartDV在中國的全資子公司，其目標是為中國的客戶提供更直接和深入的支持，并與中國的合作伙伴開展更全面的合作。

關于Philipp Jacobsohn

Philipp Jacobsohn是SmartDV的高級應用工程師，他為北美和歐洲地區的客戶提供設計IP和驗證IP方面的支持。除了使SmartDV的客戶實現芯片設計成功這項工作，Philipp還是一個狂熱的技術作家，樂于分享他擁有的在半導體行業近30年積累的豐富知識。在2023年加入SmartDV團隊之前，Philipp在J. Haugg、Synopsys、Synplicity、Epson Europe Electronics、Lattice Semiconductors、EBV Elektronik和SEI-Elbatex等擔任過多個工程和現場應用職位。Philipp在瑞士工作。

關于智權半導體

智權半導體科技（廈門）有限公司是SmartDV Technologies?在華設立的全資子公司，其目標是利用SmartDV全球領先的硅知識產權（IP）技術和產品，以及在地化的支持服務來賦能中國集成電路行業和電子信息產業。目前，SmartDV在全球已有300家客戶，其中包括十大半導體公司中的七家和四大消費電子公司。

SmartDV于2007年由經驗豐富的ASIC設計專業人員迪帕克·庫馬爾·塔拉、杜爾加·拉克什米·塔拉和卡維塔·塔拉·哈里多斯在印度創辦。自成立以來，SmartDV一直專注于IP領域并不斷推出廣受市場歡迎的IP產品，這得益于我們在集成電路IP領域內發展出來的獨具創新的技術與方法。

通過將專有的SmartCompiler?技術與數百位專家工程師的知識相結合，SmartDV可以快速、經濟、可靠地定制IP，以實現您獨特的設計目標。因此，無論您是為下一代SoC、ASIC或FPGA尋找基于標準的設計IP，還是尋求驗證解決方案（VIP）來測試您的芯片設計，您都會發現SmartDV的IP非常容易集成，并在性能上可力助您的芯片設計實現差異化。

審核編輯 黃宇