AURIX TC3xx — Infineon ASIL D MCU 案例(对照 MPC5744P)

TC3xx 的核心创新是 6 核 + 3 Lockstep 对:每对 1 个 Performance Core(TC1.6P,300 MHz)或 Efficient Core(TC1.6E,200 MHz)+ 1 个 Checker Core。Checker 不对外可见,只做硬件 cycle-by-cycle 比较。

典型用法:

• CPU 0 + Checker — ASIL D 主控律(电机 FOC 或 Torque Safety),Lockstep 全开
• CPU 1 + Checker — ASIL D 监视任务(2nd layer monitor),Lockstep 全开
• CPU 2 + Checker — QM/ASIL B 通信任务(CAN-FD / SPI / LIN),Lockstep 可选关

注意 TC3xx Lockstep 是可解锁的——这是它和 MPC5744P 最大的差别:CPU 2 在 QM 任务期间可以解锁 Lockstep 跑 2 个独立线程提升性能,切到 ASIL D 任务前重新进入 Lockstep。MPC5744P 的 Lockstep 是硬件强制不可解锁。

memory 层全片 ECC + 启动 MBIST + 运行 Scrubber,SRAM 4 MB / PFlash 16 MB / DFlash 1 MB 都达到 DC ≥ 99 %。SRI 高速总线是 master/slave 矩阵,各 master(CPU / DMA / HSM / Ethernet)通过 DAM 受控访问 slave。

TC3xx 把所有 safety mechanism alarm 汇集到 SMU——一个硬件状态机模块,集中做 reaction 决策。

SMU 收集的典型 alarm:

• Core Lockstep mismatch(硬件比较器)
• RAM DBE / ECC fail(SECDED 双 bit)
• Flash ECC error(读出失败)
• Bus / SRI parity(奇偶错)
• Timer / Watchdog(CWD / TWD timeout)
• Clock / Voltage monitor(PLL / OV / UV)
• MPU / DAM violation(访问越界)
• Temperature alarm(片上温度传感器)

每个 alarm 可配置 4 阶段 reaction:

Reaction 配置策略:

• 默认所有 alarm 直接到 Stage 4(最严)
• SoP 前调:某些"误报易发" alarm(NMI 偶发)降为 Stage 1
• 关键 alarm(Core Lockstep mismatch、Flash ECC fail)必须保持 Stage 3/4 不可降

SMU 反应延迟:Alarm → Safe-Out pin 翻转 < 1 μs(硬件状态机路径)。FTTI 100 ms 的预算里,SMU 用掉 < 0.01 %,几乎可忽略——这是 "集中硬件 reaction" 设计的核心优势。

TC3xx 的 freedom from interference 由两层组成:

• MPU(Memory Protection Unit) — 每核内,8-16 region 表,task 启动时由 OS 加载;违规 → Trap;覆盖 CPU 读 / 写 / 执行越界
• DAM(Distributed Access Manager) — 总线 master 级,覆盖 DMA / HSM / Ethernet 等非 CPU master 的 slave 访问;每 master × 每 slave 一份 ACL

为什么需要两层?MPU 只覆盖 CPU 访问;但 DMA 也是 master,可以越过 CPU 直接写 slave——若没有 DAM,DMA bug 能污染 ASIL D 区域。DAM 把 master 一侧也卡住,实现真正的 freedom from interference。

ISO 26262 Annex E 列了 4 个 Freedom from Interference 维度:

两者同为车规 ASIL D 主流,但架构哲学不同——TC3xx 走"高算力 + 大内存 + 集中安全管理",MPC5744P 走"简洁 + 成熟 + EPS 类应用"。

选型口诀:

• 算力需求 > 1000 DMIPS / 内存 > 1 MB → TC3xx
• 算力需求 < 600 DMIPS / 简洁优先 → MPC5744P
• Infineon ecosystem(EiceDRIVER + 6EDL7141 + TLF35584)→ TC3xx
• NXP ecosystem(GD3160 + MC33907 + S32K344)→ MPC5744P 或新 S32 系列

TC3xx 通常和 Infineon 的 TLF35584 SBC 搭配,共同实现 ASIL D 系统级安全。TLF35584 提供:

TC3xx ↔ TLF35584 接口:

• SPI 周期 Q&A(Watchdog Refresh)— 软件每 5 ms 答题
• SMU Safe-Out → TLF FS1b(硬件直连)— SMU 检故障 < 1 μs 通知 SBC
• TLF reset → TC3xx 复位(双向)
• TLF voltage monitor → TC3xx NMI(SBC 检电源异常)

这套 "TC3xx + TLF35584" 组合在 Infineon iLLD 和 Vector MICROSAR Safety 都有现成 driver,Tier-1 通常 4-6 个月做完集成而非 12 个月。

TC3xx 项目通常用:

• iLLD(Infineon Low-Level Driver) — 免费 BSP,iLLD 已 SEooC 认证 ASIL D
• AURIX Studio(Eclipse + tasking compiler) — 调试 + flash
• Vector MICROSAR Safety — AUTOSAR Classic + Safety OS / Memory Protection
• TASKING TriCore VX 或 HighTec — qualified compiler
• Lauterbach TRACE32 — debugger

Safety 认证物料(Infineon 提供):

• Safety Manual(>500 页)— 列每个 mechanism 的 DC + 使用条件 + 配置寄存器
• FMEDA workbook — 客户基础,客户填补 PCB / 软件部分
• Safety Application Note — 每个常见误用陷阱
• Fault Injection report — 强证据(参见 topic-diagnostic-coverage-categories)

Tier-1 的工程预算:Safety Plan + iLLD 集成 + Safety OS 配置 + FMEDA 完成 ≈ 6 月人(2 工程师),比从头做单核 MCU ASIL D 的 18 月人省 70 %。

本节以 400 V / 100 kW EV 主驱逆变器为例,展示 TC397 在系统 FMEDA 中的定量贡献——这是 TC397 Safety Manual DC 数字真正发挥作用的地方,也是初学者最容易算错的环节。

TC397 最易犯的 7 个高风险配置错,每条均有量化后果——这些在 TÜV/SGS 评估中被重复发现。

G1 — SMU alarm reaction 全降 Stage 1:DC_SPF 从 99% 归零

调试期间工程师将所有 SMU alarm reaction 降到 Stage 1(只 Interrupt,不触发 Reset 或 Safe-Out)以便调试不被 reset 打断。SoP 前忘改回。后果:Lockstep mismatch alarm 原本直接 Safe-Out(Stage 4),降级后变成软件中断处理——而软件本身可能正是 fault 来源。TC397 Lockstep DC_SPF 从 99% → 实质 0%(alarm 被故障的软件忽略或错误处理)。系统 SPFM 可从 99.24% 降至 < 70%。修法:Safety Plan 列出 SoP 前必须恢复的 alarm reaction 配置清单;DVP 测试用例:注入 Lockstep mismatch → 验证 Safe-Out 翻转。

G2 — DAM ACL 遗漏 DMA master:FFI 维度④失效

MPU 配置保护了 CPU 的访问越界,但 DAM 默认 ACL 允许所有 DMA master 访问全部 slave。AUTOSAR QM 任务启动的 DMA 传输可直接覆写 ASIL D 内存变量,无任何硬件阻挡。ISO 26262 FFI 四维度中维度①(内存)和维度④(资源)均受损,B(D)+B(D) ASIL 分解独立性归零——两个分解路径都读同一个可能被污染的变量。修法:DAM ACL 配置在 Safety Plan 的"架构设计"阶段显式规定每个 DMA 通道的 slave 访问权限;DVP 故障注入:QM DMA 尝试写 ASIL D 区 → 确认 DAM alarm 触发并 Stage 4 反应。

G3 — CPU2 Lockstep 解锁跑 QM 任务,切回 ASIL D 前忘重锁:SPFM ≈ 0 for CPU2

CPU2 在解锁期间没有硬件 cycle-by-cycle 比较,DC_SPF 降为 0%。若 ASIL D 安全功能(如 L2 扭矩监控)仍在 CPU2 执行,该核对系统 SPFM 贡献归零,整体 SPFM 可能从 99.24% 降至 < 90%。典型场景:CAN-FD 协议栈跑双线程占住 CPU2,切换回 ASIL D 的 Lockstep 重进序列被遗忘。修法:Safety OS 的 task switch hook 在 ASIL D task 进入前强制调用 Lockstep_Enable();禁止 Runtime 解锁;Safety Manual AoU 条款显式标注。

G4 — STL 库未配置调度:DC_LFM aging 成分从 90% 归零

iLLD STL 库默认不自动调度——需要工程师在 OS 任务中显式调用 STL_RunSample()。若误以为"BIST 已在做了"而不配置,CPU 逻辑老化路径(NBTI/HCI/electromigration 引起的 soft-fault)无法被定期扫描检测。LBIST 只在上电时跑,不覆盖运行期 aging。DC_LFM aging 成分从 90% → 0%,系统 LFM 从 92.1% 可能跌至 < 90%,ASIL D 不满足。修法:Safety Plan 专节规定 STL 调度周期(典型 100 ms)和优先级(ASIL D task);DVP 测试用例:触发 STL 调度 → 验证 log 中 STL_PASS 标记。

G5 — DC_SPF(Lockstep)与 DC_LFM(BIST)混填同值:LFM 虚高

FMEDA 工程师在 TC397 行同时填 DC_SPF = 99% 和 DC_LFM = 99%。Lockstep 对 SPF 即时检测 DC = 99% 成立;但 Latent Fault DC 取决于 BIST 扫描覆盖率,上限只有 90%。错误 LFM ≈ 99%+ 使系统 LFM 虚高;正确 LFM 中 TC397 LFM 残余 = 0.792 FIT(§7.1 表 CPU 0.297 + 外设 0.495 合计,基于 λ_D 合计 8.0 FIT,非只取外设行 5.0×10%=0.50),系统 LFM 约 92.1%——仍高于阈值,但 DC_LFM 不是 99% 而是 90%,两列引用不同来源(SPF → Lockstep 机制分析;LFM → BIST 覆盖率报告)。修法:FMEDA 模板强制 DC_SPF 和 DC_LFM 分列、分引用,审查时拒绝两列同值且同来源。

G6 — LBIST -40°C 延迟超 TLF35584 INIT_OK 握手窗口:冷启动伪 SAFE_STATE

TC397 LBIST 在 -40°C 下硅速度降低,延迟约 ×1.5–2.0 — 设计基准 50 ms 在低温可达 75–100 ms。TLF35584 INIT_OK 握手窗口约 80 ms [VERIFY TLF35584 SM §X]。若 LBIST = 100 ms > INIT_OK = 80 ms,SBC 超时进入 SAFE_STATE 并复位 TC397——表现为寒冷地区(<−30°C)冷启动概率性不能进入 HV_READY。FMEDA 中 TLF35584 WD DC_SPF 成立的前提(软件能及时服务)在冷启动阶段短暂失效,Safety Case 须显式论证此窗口内由 HW 路径单独覆盖 SG。修法:延长 ENDINIT Watchdog 首次服务窗口至 150 ms(含裕量),或将 LBIST 调至首次 WD 服务之后执行;DVP 必须包含 −40°C 冷浸启动连续 10 次验证。

G7 — TC397 + TLF35584 共用 12V 输入轨:CCF β 低估,DFA 漏项

B(D)+B(D) ASIL D 分解要求 Main path(CPU0+CPU1 Lockstep)和 Monitor path(CPU2)独立。但两路都依赖 TLF35584 5V 电源,TLF35584 本身由 12V 输入供电。12V 骤降(整车起动瞬间 < 6.5V)→ TLF35584 UVLO 触发 → 两路同步断电 → 分解独立性归零,SPFM 实质 ≈ 50%。DFA 评分 CCF 因子若不含此共电路径,β 可能被低估从 2% → 需取 5–10%,PMHF 从 4.34 FIT 可增至 10–20 FIT(超 ASIL D 10 FIT 上限)。修法:Monitor path(CPU2 + 相关安全功能)接独立 5V 保持电容 Chold;确保 12V 短暂跌落期 CPU2 续跑 ≥ 10 ms 完成 Safe State 进入;DFA 表显式枚举此 CCF 路径 + 缓解措施 + 验证证据(示波器波形)。

在系统验证和审计中,以下三个 corner 是 TC397 项目最常被遗漏的。

C1 — −40°C 冷启动:LBIST 超 INIT_OK 窗口

TC397 LBIST 在 −40°C 典型延迟 75–100 ms;TLF35584 INIT_OK 窗口约 80 ms。若 LBIST ≥ 80 ms,TLF35584 超时进入 SAFE_STATE,TC397 被强制复位。Safety Plan 必须包含: ① −40°C 冷浸 DVP 测试(连续 10 次上电无复位失败);② INIT_OK 窗口与 LBIST 最坏角匹配验证;③ Safety Case 中明确"冷启动阶段由 HW DESAT 路径单独覆盖 SG-01 直到 SW 路径初始化完成"。

C2 — EOL 老化(15 年/200k km):FIT 倍增超 PMHF 上限

半导体老化机制(NBTI/HCI/TDDB)使 TC397 λ_D 在 EOL 可能增至 ×2–3,从 8.0 FIT 增至 16–24 FIT。若系统 PMHF 基准已在 4.34 FIT(余量 2.3×),EOL 后 TC397 贡献倍增导致系统 PMHF 可能达 8–15 FIT,潜在超过 ASIL D 限额 10 FIT。应对:FMEDA 须包含 EOL 老化计算(引用器件可靠性手册 FIT 老化曲线);若 EOL PMHF 超标,则补充 SM(如增加 BIST 频率)或更换 FIT 更低的器件版本。

C3 — OTA 固件升级触发 TC397 Safety Manual 版本变更

整车 OTA 推送 TC397 固件升级(新 FOC 算法/安全监控逻辑)时,若对应 Safety Manual 版本同步更新,LBIST DC_LFM 或 WD 窗口参数等 AoU 可能变化——已提交的 FMEDA 中 DC_LFM = 90% 的引用来源失效,LFM 需重算;新版 SM 若将 DC_LFM 降至 85%,系统 LFM 从 92.1% 降至可能 < 90% FAIL。Safety Plan 须规定: OTA 触发"delta-AoU 验证清单"+ FMEDA 版本锁定机制(Safety Case 引用 SM 精确版本号 + 修订日期);任何 SM 版本变更触发增量 re-assessment。

• component · component_aurix_tc3xx — Infineon AURIX TC3xx MCU
• diagnostic · diagnostic_clock_monitor — Clock Loss / Frequency Monitor
• diagnostic · diagnostic_lockstep_compare — Lockstep Core Comparison
• diagnostic · diagnostic_memory_bist — RAM / ROM / Flash BIST
• mechanism · mechanism_lockstep_mcu — Lockstep MCU(双核硬件锁步)