ASIL D 整链

功能安全L1别名 AURIX TC3xx FuSa · AURIX TC397 functional safety · AURIX TC375 ASIL D · AURIX TC387 ASIL D · AURIX TC399 ASIL D · TriCore 1.6P lock-step · SMU Safety Management Unit · Infineon ASIL D MCU 工程化 · 更新 2026-07-10

本质与导读

本质 AURIX TC3xx 的工程内核:把 ASIL D 从第一代的"2 核 Lockstep + FCCU"升级为 6 核 TriCore 1.6.2P + 最多 4 Lockstep 对 + 集中 SMU + 全片 ECC + DAM 总线隔离 + Endinit 锁,故障经 SMU FSP(Fault Signaling Protocol)硬线 < 1 μs 直连 OPTIREG SBC 的 ERR pin、SBC 再拉 SS1/SS2 落安全态——安全靠这条片内集中汇聚加硬件反应链,不靠软件。

主线坐标:第 6 站 · 电机 + 控制采样 · ↑ 全景主线

1. TC3xx 家族 4 颗型号差异

AURIX TC3xx 不是单颗芯片,是 4 颗主流型号(TC375 / TC387 / TC397 / TC399)+ 多个 derivative 的家族,按 core 数 / Lockstep 对数 / Flash + RAM / 外设(Ethernet / Radar IF)分级。理解家族结构是 Tier-1 选型的第一步 — 选错型号要么算力浪费(选 TC399 跑 EPS), 要么资源不够(选 TC375 跑 L2+ 域控)。

TC3xx 家族 4 颗型号 + ASIL D 容量 + 选型口诀

1.1 4 颗型号 differentiation

下表横切对比 4 颗(2026 主流 derivative),按 core 数 + Lockstep 对升序,TC397 是主流锚点(中国 EV Tier-1 默认),TC375 是省 BOM 的入门版,TC399 是为 L3+ 中央域控加大 RAM 的极限版:

型号	Core / Checker	Lockstep 对	PFlash / LMU	CAN-FD	典型 BOM (1k)	典型应用
TC375	3 core + 2 Checker	2 (CPU0/1)	4-6 MB / 512 KB	4	8-12 USD	BMS / 入门 ADAS / 单 ECU 制动
TC387	4 core + 2 Checker	2 (CPU0/1)	10 MB / 728 KB	6	14-18 USD	EV 主驱 / 转向 / 域控制器
TC397 ★	6 core + 4 Checker	4 (CPU0/1/2/3)	16 MB / 768 KB+	12	20-28 USD	EV 主驱 / 制动 / 转向 / L2+ 头牌
TC399	6 core + 4 Checker	4 (CPU0/1/2/3)	16 MB / ≤6.9 MB 总	12	28-38 USD	L3+ 中央 / IDB / 多域融合

Ethernet 配置:TC375 / TC387 是 1 × GbE,TC397 / TC399 升 2 × GbE(支持 TSN + 车内 backbone)。

关键认知:TC397 是 2024-2026 中国 EV Tier-1 主驱 / 制动 / 转向的主流首选 ASIL D MCU(业内估占过半),原因是 4 Lockstep 对 + 16 MB Flash + 12 路 CAN-FD 是 ASIL D EV 主驱的"刚好够用"配置 — TC375 跑不动 L2+,TC399 RAM 相对浪费且 BOM 高 ~30 %。(市场份额为行业估计,非 datasheet 事实。)

1.2 ASIL D 容量(可同时跑的主控律任务数)

ASIL D 任务数上限 = Lockstep 对数(每对核可独立跑 1 个 ASIL D task),QM/B 任务由不带 Checker 的 free 核承担(这是工程 rule-of-thumb;实际也可在一个 lockstep 核上时间片跑多个 ASIL D task):

型号	可同时跑 ASIL D 任务	同时跑 QM/B 任务	设计依据
TC375	2	1 (CPU2 不带 Checker)	2 Lockstep 对 + 1 free 核
TC387	2	2	2 Lockstep 对 + 2 free 核
TC397	4	2	4 Lockstep 对 + 2 free 核 ★
TC399	4	2	同 TC397 + 大 RAM 装更多 vehicle function

Tier-1 实操:EV 主驱 + 制动 + 转向都各需 1 ASIL D 主控律 + 1 独立监视任务。TC397(4 对)常用法:2 对跑 ASIL D 主控律、1 对跑 ASIL D/B 2nd-layer monitor(独立通道),余下 1 lockstep 对 + 2 free 核跑 QM(通讯 / 诊断 / bootloader)。若 ASIL B 监视可降到 QM,该 lockstep 对可解锁跑双 QM 线程换算力(详见 §2.3)。

1.3 家族横切共性

4 颗共有的核心结构(选哪颗都有,不必再 verify):

TriCore 1.6.2P(300 MHz, superscalar 3-pipeline)同构核 — TC3xx 全系是同一 performance-class 核,无 TC2xx 世代的 200 MHz TC1.6E efficiency 核;核间差异只在"是否带 lockstep checker"
SMU + 4 stage reaction(Interrupt / NMI / Reset / Safe-Out)
全片内存 ECC(SECDED, DSPR/PSPR/LMU/Cache)+ 启动 MBIST + 运行 Scrubber, DC ≥ 99 %
HSM(Hardware Security Module)+ DMU 总线 + DAM 总线 master 隔离 + Endinit register lock
iLLD(Infineon Low-Level Driver)BSP — SEooC 认证 ASIL D, Tier-1 免费用

2. TriCore 1.6P + Lockstep 物理布局

TC3xx 核心创新是 6 核 TriCore 1.6.2P + 最多 4 Lockstep 对(TC39x)— 每对 1 个主核 + 1 个 Checker Core(对外不可见,只做硬件 cycle-by-cycle 比较,且是 clock-delayed diverse lockstep,见 §9)。理解 Lockstep 的物理 + 配置层是用好 TC3xx 的关键 — Lockstep "可解锁" 这一点是 TC3xx 与 MPC5744P / Hercules 最大的差。

2.1 物理布局 — 6 核 + 4 Checker(TC397/TC399)

TC397/TC399 上 6 个 TriCore CPU 中 CPU0–CPU3 各带 1 个 Checker Core(共 4 个 active Checker、4 个 lockstep 对,无 spare),CPU4/CPU5 不带 Checker(是 free QM 核):

CPU 编号	Checker 配套	默认用途(Tier-1 典型)	ASIL 能力
CPU 0	✓ Checker0	ASIL D 主控律(电机 FOC / Torque Safety)	ASIL D
CPU 1	✓ Checker1	ASIL D 2nd-layer monitor(独立通道)	ASIL D
CPU 2	✓ Checker2	可配:ASIL D 或解锁跑 QM 双线程	ASIL D / QM
CPU 3	✓ Checker3	可配:ASIL D / ASIL B monitor 或解锁 QM	ASIL D / QM
CPU 4	✗	QM / ADAS 算法 / 通讯(CAN-FD / SPI / LIN)	QM / ASIL B
CPU 5	✗	QM / 诊断 / Bootloader	QM

(注:CPU0/CPU1 另配更大的 240 KB DSPR,CPU2–CPU5 为 96 KB — DSPR 大小与 lockstep 是两条独立设计轴,见 §4.1。)

2.2 6 核同构 TC1.6.2P — 差异在 lockstep,不在 P/E

一个高频认知雷:TC2xx(第 2 代 AURIX)确有 TC1.6P(performance)+ TC1.6E(efficiency, 200 MHz)双核型;但 TC3xx 全系 6 个 CPU 都是同一颗 TriCore 1.6.2P、都 300 MHz,不存在 200 MHz efficiency 核。所以 TC3xx 里"核之间的差异"来自是否带 lockstep checker,而不是 P/E:

维度	Lockstep 核(CPU0–3)	Free 核(CPU4–5)
核类型	TriCore 1.6.2P	TriCore 1.6.2P(同一颗)
主频	300 MHz	300 MHz
Checker Core	✓ 硬件 cycle 比较	✗
单核 DMIPS	~400(≈1.3 DMIPS/MHz)	~400
ASIL 能力	ASIL D(带硬件冗余)	QM / ASIL B(须软件冗余)
典型任务	安全主控律 / monitor	ADAS 算法 / 通讯 / 诊断

6 核聚合 ≈ 2400 DMIPS(6 × 300 MHz,Infineon / emmtrix 口径;部分 marketing 按更高 DMIPS/MHz 口径报到 ~4000 的 CoreMark 级数字)。
省功耗不靠 E 核:TC3xx 靠 clock gating、per-core 分频、外设域 power-down 管功耗,而非把某几个核换成低频 E 核。
Tier-1 实操:安全主控律钉在 lockstep 核(CPU0–3),QM / ADAS 大算力任务放 free 核(CPU4–5)或解锁后的 lockstep 核(§2.3);别假设某些核"天生更省电"。

2.3 Lockstep "可解锁" 机制

TC3xx Lockstep 可配置 enable / disable,这是它和 MPC5744P / TMS570 最大的差(后两者 Lockstep 硬件强制不可解锁)。典型 Tier-1 用法:

场景	Lockstep 状态	备注
ASIL D 主控律运行	ON(全开)	Checker 同步比较, SPFM ≥ 99 %
Bootloader / 自检阶段	ON	安全起步
QM 任务 / 算力急用	可 OFF	CPU2 解锁后两线程独立, 算力翻倍
切回 ASIL D 前	必须重锁 ★	重锁需走 Boot Mode Header bit + reset module

关键陷阱:Lockstep 解锁后想切回 ASIL D, 不是简单设个寄存器就行 — 需要 module reset + Boot Mode Header bit 重置 + Checker 同步序列。这个序列要 50-100 μs, 而 ASIL D 切换通常在 task slot 边界做。忘了走这个序列, Checker 没同步, SPFM 跌到 0, FMEDA 整章作废(§7 陷阱 3)。

2.4 与 MPC5744P / 第一代 ASIL D MCU 的本质差

把 TC3xx 放到 ASIL D MCU 演进史看,与 2014 年 first wave 代表 MPC5744P 横向比,差异集中在 Lockstep 数 / 算力 / 是否可解锁 / safety 中枢集成度 4 个维度上:

维度	MPC5744P (2014)	AURIX TC3xx (2018-2026)
Lockstep 对数	1	1-4
Lockstep 可解锁	✗	✓
Cores 总数	2	3-6
Safety 中枢	FCCU + SBC 链路	SMU
Flash	2.5 MB	4-16 MB
RAM	384 KB	512 KB - 7 MB
集成 HSM	✗ (外部)	✓
Ethernet	✗	1-2 × GbE

架构演进:MPC5744P 是 "做对 ASIL D" 的 first wave (2014); TC3xx 是 "ASIL D + 高算力多任务 + 域控融合" 的 second wave (2018)。两代差 4 年, BOM 高 ~3 倍, 但能装的应用复杂度也高 ~10 倍。

3. SMU 集中安全管理 — 心脏模块

AURIX TC3xx 的 safety 心脏是 SMU (Safety Management Unit) —— SMU 本身即中央 fault collection & control 单元(集中 alarm 汇聚 + FSP 输出)。SMU 把全片 30+ alarm 通道汇聚到一个硬件状态机,集中 4-stage reaction,这是 TC3xx 比第一代 ASIL D MCU 的核心进步 — 用一个硬件单元统一管理,而非 software 分散处理。

SMU 集中 alarm 汇聚 + 4 stage reaction + Safe-Out

3.1 30+ Alarm Source 全片汇聚

SMU 接收的典型 alarm 通道(可配置 routing):

#	Alarm 类	来源模块	默认 reaction stage
1	Lockstep mismatch	CPU0/1/2/3 vs Checker 硬件比较器	Stage 4 (Safe-Out)
2	RAM ECC DBE	DSPR/PSPR/LMU/Cache SECDED 双 bit	Stage 3 (Reset)
3	Flash ECC fail	PFlash/DFlash 读出 uncorrected	Stage 4
4	SRI bus parity	高速总线奇偶错	Stage 3
5	Watchdog timeout	CPU WD (CWD) / Safety WD (SWD)	Stage 3
6	Clock / PLL monitor	外晶振失锁 / PLL 频偏 / Loss-of-Clock	Stage 3
7	MPU / DAM violation	CPU 内 / 总线 master 越界	Stage 2 (NMI)
8	Temp warning	片上 T sensor (140 / 150 / 175 ℃)	Stage 1 (Interrupt)
9	OV / UV	内部 + 外部 SBC 电压监视	Stage 3
10	PBIST/LBIST/MBIST result	启动 / 运行自检 fail	Stage 4
11	Endinit violation	关键寄存器非法写	Stage 2
12	Trap (illegal opcode etc)	TriCore CPU trap	Stage 2

注:实际通道 > 30, 部分应用相关(如温度多个 threshold)。

3.2 4-Stage Reaction 详解

每个 alarm 独立配置 4 stage reaction, stage 越高 reaction 越严重:

Stage	反应	硬件路径	典型用途
1	Interrupt (普通 ISR)	software 处理	可恢复故障(ECC single-bit corrected)
2	NMI (Non-Maskable Interrupt)	最高优先级 ISR	暂停主控律 + 写 black-box + 准备 safe state
3	Reset (5 级 escalation)	硬件状态机触发	系统重启(Module/App/Sys/Warm-PO/Cold-PO)
4	Safe-Out / FSP pin (硬件 pin)	不经 software	翻转电平 → SBC ERR pin → SS1/SS2 → 上游 STO

Stage 4 的关键性:Safe-Out 是硬件 pin(SMU.PORT[FSP] 直接驱动),不经 CPU 软件路径,latency < 1 μs 。FTTI 100 ms 的预算里 SMU 用 < 0.01 %, 几乎可忽略 — 这是集中硬件 reaction 的核心优势, 是 TC3xx 选用的硬理由之一。

3.3 Reset 5 级 escalation

Stage 3 Reset 是分 5 级的(scope 递增):

级别	scope	典型触发	恢复时间
Module Reset	单 IP (CAN / DMA / GPIO)	IP 内 ECC error	< 100 μs
Application Reset	OS task + app	RAM ECC DBE 单核	5-10 ms
System Reset	全部 CPU + 外设	Watchdog timeout	50-100 ms
Warm Power-On Reset	全片(保留 standby RAM)	Critical fault	200-500 ms
Cold Power-On Reset (POR)	全片 + 清 standby	Vbat re-apply	1-3 s

Tier-1 配置策略:RAM ECC DBE → Application Reset(只清 app 状态, OS 重 schedule, 单 CPU 半秒恢复),Watchdog timeout → System Reset(全 CPU 复位),3 次 Reset 仍失败 → 自动 escalate 到 Warm-PO,再 fail → 锁住 Cold-PO 等 Vbat power-cycle。这是 ISO 26262 "fail-silent vs fail-operational" 决策的硬件层落地。

3.4 Reaction 配置策略 — 默认严, 仅按需放宽

默认配置原则是 "宁严勿松": 关键 alarm 直接 Stage 4 / 3,只对"误报频繁但低危"的类(温度 derating / PLL 偶发抖动)放宽到 Stage 1 / 2。下表列 Tier-1 SoP 配置参考:

Alarm 类	默认 stage	SoP 前可调到	理由
Lockstep mismatch	Stage 4	不可降	主控律失效, 必走 fail-silent
Flash ECC fail	Stage 4	不可降	代码区损坏, 继续执行风险极高
RAM ECC DBE	Stage 3	App Reset 即可	重启可清空, 不需立即 Safe-Out
PLL / Clock monitor	Stage 3	Stage 2 (NMI) 可	PLL 偶发抖动, NMI 给 SW 1 次软回收机会
Temp warning (140 ℃)	Stage 1	Stage 2/3 也可	温度类做 derating, 主动降算力

评估员 check 点:Tier-1 调试期为方便会把所有 alarm 降到 Stage 1, SoP 前必须改回默认严配置, 否则评估员一查 Safety Manual 引用 vs 实际配置就砍(§7 陷阱 1)。

4. Memory ECC + MPU + DAM 三层防护

TC3xx 的 freedom from interference 由 内存 ECC + MPU + DAM 三层组成。内存 ECC 是 hardware-level 数据完整性,MPU 是 CPU 内访问控制,DAM 是总线 master 访问控制。三层缺一不可 — 评估员最爱挑的就是 "三层全开但 DAM 漏 DMA"。

4.1 全片 ECC 配置(DSPR/PSPR/LMU/Cache)

TC3xx 所有 SRAM 都带 SECDED(Single Error Correction, Double Error Detection):

内存区	大小 (TC397)	ECC 宽度	配套 mechanism	DC 典型
DSPR (Data Scratch-Pad)	240 KB × 2 (CPU0/1) + 96 KB × 4 (CPU2–5)	SECDED	MBIST + Scrubber	≥ 99 %
PSPR (Program Scratch-Pad)	64 KB × 6	SECDED	MBIST + Scrubber	≥ 99 %
LMU (Local Memory Unit)	768 KB	SECDED	MBIST + Scrubber	≥ 99 %
Cache (L1 I + D)	8 KB + 8 KB × 6	parity / ECC	LBIST	≥ 95 %
PFlash	16 MB	ECC + boot-time BIST	Flash ECC monitor	≥ 99 %
DFlash	1 MB	ECC	Flash ECC monitor	≥ 99 %

Scrubber 作用:硬件后台周期遍历 RAM, 检测 + 校正 idle 位置的 ECC single-bit error(防 single-bit 累积成 double-bit;被访问的位置由 SECDED 在 read 时即时纠正,与 Scrubber 是两套机制)。Scrubber 默认是 enable 的, 但周期可配 — idle single-bit 的最坏驻留时间 ≈ 扫描周期,故要在 FTTI 内保证纠正,扫描周期必须 ≤ FTTI:100 ms FTTI 下需把安全相关区配成 ≤ 100 ms 扫完(若配 1 秒遍 4 MB,则该 1 秒不能挂在 100 ms FTTI 预算里)。

4.2 MPU (Memory Protection Unit) — 每核内

每个 TriCore CPU 内置 MPU, 6 region set × 8-16 region 表,task 启动时 OS 加载, 违规 → Trap → 进 SMU alarm。

MPU 覆盖维度:

读 / 写 / 执行权限(每 region 独立)
User-0 / User-1 / Supervisor 三级 privilege
code section / data section 分离
每核独立 region set, 跨核访问需 OS API

Tier-1 典型配置:ASIL D task 的 data region 对 QM task 标记 read-only(QM 可读但不可写),任何 QM 误写都触发 trap。这是 freedom from interference 的"内存"维度落地。

4.3 DAM (Distributed Access Manager) — 总线 master 级

MPU 只覆盖 CPU 访问, 但 DMA / HSM / Ethernet 也是总线 master, 可绕开 CPU 直接写 slave — 没 DAM 这层, 一个 DMA 配置 bug 能污染 ASIL D 区。

DAM 是 SRI 高速总线的 master/slave 矩阵 access control:

每个 master(CPU0-5 / DMA / HSM / Ethernet)× 每个 slave(各内存 / 各外设)一份 ACL
ACL 含 TAG ID + 权限 bit
违规访问 → DAM trap → SMU alarm

ISO 26262-6:2018 Annex D FFI 维度映射(标准 3 类:内存 / 时间执行 / 信息交换;本页将信息交换拆为通信 + 资源两行):

Annex D 维度	TC3xx 机制
① 内存	MPU + DAM 双层 → QM 不能写 ASIL D 区, DMA 不能绕开 CPU 写
② 时间执行	Safety WD + Safety OS 切片调度 → QM 不能占住 CPU
③ 信息交换(通信)	CAN-FD / SPI / UART 各自专用 instance + DAM ACL → 物理隔离
③ 信息交换(资源)	CPU / Peripheral 静态分配, 无动态争抢, Safety OS 强制

4.4 Endinit + Safety Endinit 寄存器保护

TC3xx 关键寄存器(SMU 配置 / WD config / PLL config / MPU config 等)受 Endinit / Safety Endinit 两层保护:

Endinit: 上电后 short window 可写, 之后写需要解锁序列(密码 + 写 enable + 立即写 + 关 enable)
Safety Endinit: 同 Endinit 但用独立 password + 独立 timer, 保护 safety 关键寄存器(SMU alarm config / Safety WD)

意义:防 software 跑飞误写关键寄存器, 防 SEU 翻 bit 致 SMU 失能。Tier-1 代码必须严格只在 init 阶段开 Endinit window, 之后只读不写。

5. OPTIREG TLE9243QK / TLF35584 SBC 配对

TC3xx 通常和 Infineon 自家 OPTIREG PMIC 配对(NXP FS65 也能配但生态散),两家配对的好处是 Safety Manual + FMEDA + reference design 整套出,Tier-1 集成省 30-40 % 工时。常用两颗:

5.1 TLF35584 — 通用 Safe Compute PMIC

TLF35584 是 OPTIREG PMIC 的通用旗舰,定位"给 MCU 旁路供电 + WD 监督",不直驱 actuator,主驱 / 制动 / 转向 / 域控 ECU 都可用:

功能	数值
输出 voltage	多路(Pre-reg buck + Core / Comm / Standby LDO + Tracker + sensor supply)
WD 协议	Window WD + Functional (Q&A) WD(经 SPI 服务)
安全态输出	SS1 / SS2 两脚(fail-safe 时双拉低,可配 ΔtSS2 延时)
MCU 错误监控	ERR pin 收 MCU 侧翻转错误信号(停翻转 = 进 fail-safe);WDI 触发脚
ABIST	内置 ref voltage, 周期 ADC 自检
错误计数器	Window WD / Functional WD Error 双 counter, 超阈锁定
ASIL	D ready
适用	通用 ASIL D ECU(主驱 / 制动 / 转向 / 域控)

5.2 TLE9243QK — 变速器专用 AS-PMIC

TLE9243QK 是 AS-PMIC(应用专用 PMIC for Transmission),除常规 MCU 供电外集成 3 颗 HS-Driver 直驱外部 N-FET 做 secondary switch-off,省一颗独立 driver IC:

功能	数值
输出 voltage	Pre-reg buck-boost + 3× 9V LDO + Tracker
HS Driver	3 颗(直驱外部 N-FET 做 secondary switch-off)
传感器接口	3 路(变速箱转速传感器,每路配 1 个 9V LDO 供电)
WD 协议	WWD (window) + FWD (functional Q&A) 双 WD
Active RPP	内置 charge pump 驱外 N-FET 反向极性保护
安全态输出	Primary + Secondary 双独立路径
封装 / ASIL	Grade 0 LQFP-64 / ASIL-D ready
适用	变速器(DCT / AT) / xEV 主驱

详见 Infineon OPTIREG SBC deep。

5.3 AURIX ↔ OPTIREG 接口 4 条

两颗芯片间的连线分 4 条:1 路 SPI 做双向命令 + Q&A WD,3 路硬线做 fail-safe + reset + NMI 路径,缺 1 路 ASIL D 链路就断:

信号路径	方向	用途
SPI (Q&A WD)	AURIX ↔ OPTIREG	每 WD window 经 SPI 答 Q&A / Window challenge
SMU FSP → OPTIREG ERR (硬线)	AURIX → OPTIREG	SMU 检故障即停 ERR 翻转,< 1 μs 通知 SBC
OPTIREG RSTB → AURIX PORST	OPTIREG → AURIX	SBC 检电源 fault 强制 MCU reset
OPTIREG INTB → AURIX NMI	OPTIREG → AURIX	SBC 检异常 → MCU NMI 软响应

SBC 收到故障后再经 SS1 / SS2 两脚(下游到 gate driver disable / 主继电器 / STO)硬拉安全态,可配 ΔtSS2 延时做分级切除。

关键路径:SMU FSP → OPTIREG ERR 是硬线直连(不经 SPI)—— SMU 一旦检出故障就停止 ERR 脚的周期翻转,SBC 的 error monitor 立刻掉、拉 SS1/SS2。这条硬件路径是 ASIL D 必须:SPI 路径有 latency + 单点故障(SPI 死了 fault 传不过去),硬线 + "停翻转即安全" 的 fail-silent 设计保证 fault 传输不丢。

5.4 SafeAssure 集成 vs Infineon Safety Manual

NXP FS65 + S32K3 走 SafeAssure 整套 case, Infineon AURIX + OPTIREG 不叫 SafeAssure, 但提供等价的 "Safety Manual + Safety Analysis Summary Report (SASR)"。两家文档结构相似,差别在命名 + 是否打包成单一 brand。下表是 Infineon 这套文档清单:

文档类	内容
Safety Manual (TC3xx)	每个 SM 的 DC + 使用条件 + 配置寄存器(> 500 页)
Safety Manual (TLE9243QK / TLF35584)	每个 SM 的 AoU(Tier-1 必逐条接受)
FMEDA workbook (Tier-2 base)	每个内部 SM 的 SPFM/LFM 贡献
SASR	Safety Analysis Summary Report(NHTSA / TÜV 提交用)
Reference design + iLLD config	现成 BSP + SMU 配置脚本

Tier-1 集成工时:AURIX + OPTIREG 套 6-10 月(Safety Plan + iLLD 集成 + Safety OS + FMEDA + safety case),NXP S32K3 + FS6500 类似 6-8 月,从头做单核 MCU ASIL D 通常 18 月 — 用集成方案省 70 %。

6. 与 TI Hercules / Renesas RH850 三家横评

TC3xx 不是 ASIL D MCU 唯一选项。横评 3 家车规主流:

TC397 vs TMS570 vs RH850 三家横评 + 选型决策树

维度	Infineon AURIX TC397 ★	TI Hercules TMS570LC4357	Renesas RH850/P1x-C (P1M-C)
指令集	TriCore 1.6.2P (32-bit)	ARM Cortex-R5F (32-bit FP)	G3KH (Renesas 自有)
主频 / Core	300 MHz × 6	300 MHz × 2 (lockstep)	240 MHz × 2 (dual lockstep)
Lockstep 对	4 (可解锁)	1 (不可解锁)	1 (不可解锁)
DMIPS 总	~2400	~500	~670
PFlash / DFlash	16 MB / 1 MB	4 MB / 128 KB	2 MB / 256 KB
Safety 中枢	SMU	ESM (Error Signaling)	ECM (Error Control)
总线隔离	MPU + DAM (双层)	MPU only	MPU + GTM
Safety PMIC 配套	OPTIREG TLE9243QK / TLF35584	TI TPS65381-Q1 (SafeTI)	Renesas RAA270005 / RAA271084
Compiler	TASKING VX / HighTec GCC	TI CCS / GCC ARM	GreenHills / IAR / CC-RH
AUTOSAR	Vector MICROSAR (主流)	Vector / ETAS / TI HALCoGen	Vector / Renesas eMCOS
典型 BOM (1k)	20-28 USD	15-22 USD	22-30 USD
中国 EV Tier-1 份额(行业估计)	主流首选,估过半(主驱/制动/转向)	~10 % (EPS / Brake)	~25 % (日系 OEM)

6.1 三家定位本质

三家在 ASIL D 都达成,但架构哲学 + 强弱场景完全不同 — AURIX 追算力多任务,Hercules 追简洁单任务 + ARM 生态,RH850 追日系 OEM 生态锁定 + GTM timer 强项:

厂	哲学	强场景	弱场景
AURIX TC3xx	"高算力 + 大内存 + 多任务并发 ASIL D"	EV 主驱 + 制动 + 域控 + L2+ ADAS	简洁单任务(BOM 偏高 5-8 USD)
Hercules TMS570	"简洁 + 成熟 + ARM 生态"	EPS / Brake 单任务 ASIL D	多任务 / L2+ ADAS(算力 1/5)
RH850	"日系 OEM 锁定 + GTM 强 timer"	Toyota/Honda/Denso 燃喷 + EPS	中国 EV 主流 Tier-1 应用

Tier-1 决策口诀:

中国 EV 主驱 / 制动 / 转向 / L2+ → TC397 (90 % 默认)
EPS / Brake 简洁单任务 → Hercules TMS570 (省 BOM + ARM 迁移成本低)
日系 OEM ICE/HEV ECU → RH850 (生态锁定)

3 家是 cohort 关系而非纯竞品 — 通常 OEM 选型偏好 + ecosystem 已绑定决定 MCU 选择,且 MCU 厂决定 PMIC 选择(AURIX → OPTIREG TLF35584 / TLE9243QK,Hercules → TPS65381-Q1,RH850 → RAA270005 / RAA271084;注 RAA271005 是 R-Car SoC 用 PMIC,非 RH850 MCU 配套)。

7. 集成陷阱(7 条)

TC3xx 上手最容易踩的坑都源于 "对 SMU / DAM / MPU / Lockstep / WDT 配置不熟" — 这些都是 hardware-driven safety,默认配置不对就完全失效, 但 functional test 看不出来(系统跑得正常,FMEDA 数据全错)。下面 7 条是 Infineon AE + Tier-1 评估员最常发现的:

#	陷阱	真实后果	规避
1	SMU alarm 全降到 Stage 1	调试期方便, SoP 忘改回 → 评估员一查 Safety Manual 引用 vs 实际配置就砍, 整批 ECU 返修	SoP 前严格走 Safety Manual 配置检查清单, 列每条 alarm 的 stage; CI 加配置 dump diff
2	DAM 配置忘了 DMA / HSM	MPU 配好了 CPU 越界, DAM 默认开放 DMA 访问全部 slave — 一个 DMA bug 一笔写穿 ASIL D 区, freedom from interference 数据作废	SoP 前 DAM ACL 必须按 master × slave 矩阵收紧, 默认 deny + 显式 allow; Tier-1 工程 DAM 配置必须双人 review
3	Lockstep 解锁后忘了重锁	CPU2/CPU3 解锁跑 QM 任务, 切回 ASIL D 前没走 module reset + Boot Mode Header bit 重置 → 该核 SPFM 跌到 0, FMEDA 整章作废	OS task 切换 hook 内强制 Lockstep 状态 verify, 不匹配则触发 Stage 3 reset; 不准纯软件切换
4	STL 库默认不调度	iLLD 提供 STL 库(Software Test Library for permanent fault detection), 但默认不挂 OS task → 客户没挂就只有 Lockstep 99 % DC, 缺 STL 的 aging / latent fault 覆盖	OS 配置文件强制挂 STL task(周期 100 ms - 1 s), CI 验 STL task 在 task list 内; 不挂的话 LFM 凑不到 90 %
5	Safety Manual AoU 引用条件不维持	每个 SM 的 DC 都有 "使用前提"(温度 / 电压 / 寄存器配置值) — 客户照搬 DC 但 PCB 温度高过 AoU 限, 评估员一定砍	Tier-1 Safety Case 必须逐条 trace AoU → 实际 ECU 设计(PCB 温度 / 电源轨 / 配置), 不满足则改 design 或重新做 FMEDA
6	把 STM 当成 watchdog	STM (System Timer Module) 只是自由运行计时外设(OS tick / timestamp),不产生 safety reaction;真正互查主体是 SMU + 每核 CPU WDT + 全局 Safety WDT(经 Endinit / Safety Endinit 保护)。误把 STM 当安全看门狗 = 根本没有超时监督;喂狗 open/closed window 配错 = 误触 System Reset	Safety concept 明确写 STM ≠ WDT;Safety WDT 的 window 与 OS task 周期对齐,CI 校验喂狗时序;超时 alarm 路由到 SMU Stage 3
7	FSP / ERR pin 极性 + toggling 配错	AURIX SMU FSP 可配 static level 或 dynamic (toggling) 错误信号;TLF35584 ERR 默认期望周期翻转。配成 static → SBC 立即认为 MCU 死、误进 fail-safe;反过来关掉 dynamic 而 SBC 不监 static → MCU 真死时 fault 传不出去	FSP 模式与 SBC ERR 监控模式必须成对配;上电做端到端 fault-injection,实测 SS1/SS2 被拉、STO 生效

8. Worked design — TC397 + TLF35584 EV 主驱 ASIL D 度量预算

把前面各节落到一个真实项目:800V SiC 主驱逆变器,安全目标 = "无意外扭矩输出"(unintended torque),分解到 MCU 的硬件安全要求 = ASIL D。用 TC397 + TLF35584 走一遍 ISO 26262-5:2018 §8(SPFM/LFM)+ §9(PMHF)的三条硬件度量,看每个 SM 怎么"挣"够指标。

ASIL D 三条硬性门槛(ISO 26262-5:2018 §8 SPFM/LFM + §9 PMHF + Annex C):

单点故障度量 $SPFM \geq 99%$
潜伏故障度量 $LFM \geq 90%$
随机硬件失效概率 $PMHF \leq 10 FIT = 1 0^{- 8} h^{- 1}$ (整个 safety goal 的预算,MCU 只占其中一份)

度量定义(λ = failure rate, $1 FIT = 1 0^{- 9} h^{- 1}$ ; $λ_{S R}$ = 安全相关总失效率):

SPFM = 1 - \frac{\sum ( λ _{S P F} + λ _{R F} )}{\sum λ _{S R}}, LFM = 1 - \frac{\sum λ _{M P F, l a t}}{\sum λ _{S R} - \sum ( λ _{S P F} + λ _{R F} )}

下表是一个数量级示意的 FMEDA 预算(真实值以 Infineon FMEDA workbook + Tier-1 板级为准),体现"每类故障靠哪个 SM 把残余压到 1% 级":

故障类别	例 λ (FIT)	主 SM(§ 出处)	SM 后残余 λ (FIT)
CPU 逻辑(瞬/永久)	40	Lockstep 比较 + STL(§2, §7-4)	~0.4
DSPR/PSPR/LMU SRAM	30	SECDED ECC + Scrubber(§4.1)	~0.3
PFlash / DFlash	15	Flash ECC + boot BIST(§4.1)	~0.15
总线 / 外设	15	SMU alarm + MPU/DAM + parity(§3, §4)	~0.15

代入: $\sum λ_{S R} \approx 100 FIT$ ,残余单点 $\sum (λ_{S P F} + λ_{R F}) \approx 1 FIT$ ,故 $SPFM \approx 1 - 1/100 = 99%$ 。潜伏侧:剩余 99 FIT 里靠 STL + MBIST/LBIST(启动 + 运行)覆盖 ~90%,残余潜伏 $\approx 99 \times (1 - 0.9) \approx 9.9 FIT$ , $LFM \approx 1 - 9.9/99 = 90%$ ——两条都刚好卡在 ASIL D 门槛,所以 §7-4 的 STL 不挂、§7-3 的 lockstep 不重锁,任何一个都会把这条线打穿。

PMHF 侧:MCU 残余(单点 + 相关潜伏) $\approx 1 - 2 FIT$ ,加 TLF35584 的安全通道残余 $\approx 1 FIT$ ,合计远低于 safety goal 的 $10 FIT$ 预算——余量留给 gate driver / 电流传感器 / PCB。

FTTI 时间预算(容错时间 FTTI 例 = 100 ms):

检测:Lockstep cycle 比较 + SMU 汇聚 $< 1 μ s$
反应:SMU FSP → SBC ERR 掉翻转 $< 1 μ s$
SBC 拉 SS1/SS2 → gate driver disable / STO:例 ~10–50 μs(含可配 ΔtSS2)

合计 fault reaction time $≪$ FTTI,SMU 硬件链占 FTTI 预算 $< 0.1%$ ——但 lockstep 重锁窗口 50–100 μs(§2.3)若与故障重叠,这段"无冗余"时间要显式算进预算,别默认忽略。

9. Corner cases — lockstep / ECC / 时序的边界

前面的度量都建立在"SM 按标称 DC 工作"的假设上。三个边界工况会让标称 DC 打折,是评估员深挖、也是 aging 后真实失效的来源:

Corner 1 — Lockstep 的 common-cause failure (CCF):cycle-by-cycle 比较只在主核和 checker "独立失效"时有效;若同一时钟毛刺 / 电源坍塌 / 局部过温同时命中两核,两核同步出同样的错,比较器看不出(diff = 0)。TC3xx 的对策是 clock-delayed diverse lockstep——checker 相对主核延迟约 1–2 cycle、且物理布局镜像/旋转,使瞬态扰动不落在同相位;但这只降低不消除 CCF,Safety Manual 里 CCF 的 β 因子仍要进 FMEDA。
Corner 2 — ECC 的多位错 aliasing:SECDED 只保证 1-bit 纠、2-bit 检;3-bit 及以上可能被误判成可纠 single-bit,静默写回错误数据。缩短 Scrubber 周期 + 关键区地址交织(不共用同一 ECC word)可降概率;最高 ASIL 的关键变量常再叠软件层 CRC / 双存表决,不单靠硬件 ECC。
Corner 3 — Scrubber / 重锁踩 FTTI 边界:① idle single-bit 的最坏驻留 ≈ Scrubber 扫描周期,若周期 > FTTI,single-bit 会在 FTTI 内累积成 DBE 才被发现——安全相关区必须把周期配 ≤ FTTI(§4.1);② Lockstep 解锁 → 重锁序列 50–100 μs(§2.3),若切换恰落在故障窗口,这段无冗余时间要计入 fault reaction budget。

缩写表

缩写	全称
AoU	Assumption of Use
ASIL	Automotive Safety Integrity Level
AURIX	Automotive Realtime Integrated NeXt generation Architecture(Infineon MCU 家族)
BIST	Built-In Self-Test (LBIST / MBIST / PBIST / MONBIST)
BMH	Boot Mode Header
CAN-FD	Controller Area Network Flexible Data
CCF	Common-Cause Failure
CWD / SWD	CPU Watchdog / Safety Watchdog
DAM	Distributed Access Manager (TC3xx 总线 master 隔离)
DC	Diagnostic Coverage
DBE	Double-Bit Error (ECC uncorrected)
DFlash / PFlash	Data Flash / Program Flash
DMU	Data Management Unit
DSPR / PSPR	Data / Program Scratch-Pad RAM
ECM	Error Control Module (RH850)
ESM	Error Signaling Module (Hercules)
ERR	OPTIREG 错误监控输入脚(收 MCU 侧翻转信号,停翻转 = fail-safe)
FCCU	Fault Collection & Control Unit
FMEDA	Failure Modes, Effects, Diagnostic Analysis
FSP	Fault Signaling Protocol(AURIX SMU 错误输出脚)
FTTI	Fault Tolerant Time Interval
HSM	Hardware Security Module
iLLD	Infineon Low-Level Driver (BSP)
LFM / SPFM	Latent / Single Point Fault Metric
LMU	Local Memory Unit
Lockstep	Cycle-by-cycle 比较的双核冗余
MPU	Memory Protection Unit
NMI	Non-Maskable Interrupt
OPTIREG	Infineon 电源 IC 品牌(Linear / Switcher / PMIC / SBC 4 子族)
PMHF	Probabilistic Metric for random Hardware Failures
POR	Power-On Reset (Cold / Warm)
Q&A WD	Question-and-Answer Watchdog
SASR	Safety Analysis Summary Report
SECDED	Single Error Correction, Double Error Detection (ECC)
SEooC	Safety Element out of Context
SMU	Safety Management Unit (TC3xx 心脏)
SPI	Serial Peripheral Interface
SRI / SPB	System Resource Interconnect / System Peripheral Bus
SS1 / SS2	OPTIREG Safe-State 输出脚(TLF35584,fail-safe 拉低)
STL	Software Test Library
STM	System Timer Module(自由运行计时外设,≠ watchdog)
STO	Safe Torque Off
TriCore	Infineon 自有 32-bit RISC + DSP + MCU 三合一指令集

核心要点

TC3xx 家族 4 颗 — TC375 (2 Lockstep 对, BMS 入门) / TC387 (2 对, 主驱中端) / TC397 (4 对, 主驱主力 ★) / TC399 (4 对 + 大 RAM, 中央域控)
TC397 是 2024-2026 中国 EV Tier-1 主驱 / 制动 / 转向的主流首选 ASIL D MCU(市场份额为行业估计,非 datasheet 事实)
6 核同构 TriCore 1.6.2P @ 300 MHz — TC3xx 全系是同一 performance-class 核,无 TC2xx 的 200 MHz TC1.6E efficiency 核;核间差异只在是否带 lockstep checker;6 核聚合 ≈ 2400 DMIPS
最多 4 Lockstep 对 + 可解锁 — TC39x 是 CPU0–3 带 checker(4 对)、CPU4/5 free;可解锁是 TC3xx 比 MPC5744P / Hercules 最大的差,切回 ASIL D 前必须走 module reset + BMH bit 重锁(50–100 μs)
SMU 集中安全管理 — 30+ alarm 通道汇聚, 每 alarm 独立 4-stage reaction(Interrupt / NMI / Reset / Safe-Out), Safe-Out 走 SMU FSP 硬件 pin latency < 1 μs
Reset 5 级 escalation — Module / Application / System / Warm-PO / Cold-PO, 默认 Tier-1 配 RAM ECC DBE → App Reset, WD timeout → System Reset
全片 ECC + MBIST + Scrubber — DSPR/PSPR/LMU/Cache + PFlash/DFlash 都 SECDED, DC ≥ 99 %(Scrubber 周期须 ≤ FTTI)
MPU + DAM 双层隔离 — MPU 管 CPU, DAM 管 DMA/HSM/Ethernet 等总线 master, ISO 26262-6:2018 Annex D freedom from interference 三类(内存 / 时间执行 / 信息交换)落地
Endinit + Safety Endinit 寄存器锁 — 防 software 跑飞 / SEU 翻 bit 致 SMU 失能;注意 STM(计时外设)≠ watchdog,真正互查是 SMU + CPU WDT + Safety WDT
OPTIREG 配对 — TLE9243QK (变速 AS-PMIC) / TLF35584 (通用 GP-PMIC), SPI Q&A WD + SMU FSP → SBC ERR 硬线直连(不经 SPI),SBC 再拉 SS1/SS2 落安全态
AURIX + OPTIREG 不叫 SafeAssure 但有等价的 Safety Manual + FMEDA + iLLD reference design, Tier-1 集成省 70 % 工时
三家横评 — TC397 (4 对, 高算力多任务, ~2400 DMIPS) / Hercules TMS570 (1 对不可解锁, EPS/Brake 简洁单任务) / RH850/P1M-C (dual lockstep, ~670 DMIPS, 日系 OEM 锁定)
Worked design — TC397 + TLF35584 主驱走 ISO 26262-5 §8(SPFM/LFM)+ §9(PMHF):SPFM ≈ 99% / LFM ≈ 90% / PMHF ≪ 10 FIT,STL 不挂或 lockstep 不重锁任一都打穿
7 集成陷阱 + 3 corner — SMU 全降 Stage 1 / DAM 漏 DMA / Lockstep 不重锁 / STL 不挂 / AoU 不维持 / STM≠WDT / FSP-ERR 极性;corner = lockstep CCF / ECC aliasing / Scrubber-重锁踩 FTTI
Tier-1 集成工时 6-10 月(Safety Plan + iLLD + Safety OS + FMEDA + safety case), 比从头做单核 MCU ASIL D 节 70 %

Engineering Objects

family_aurix_tc3xx_taxonomy(TC375 / TC387 / TC397 / TC399 4 颗家族差异)
arch_tricore_lockstep_4pair(6 TriCore + 最多 4 Lockstep pair + Checker 物理布局)
arch_6core_homogeneous_tc162p(6 核同构 TC1.6.2P @ 300 MHz;差异在 lockstep vs free,非 P/E)
feature_lockstep_unlock(Lockstep 可解锁 — QM 双线程 vs ASIL D 重锁 50–100 μs)
module_smu_central(SMU 集中 alarm 汇聚 + 4 stage reaction)
reaction_4stage(Interrupt / NMI / Reset / Safe-Out + Reset 5 级 escalation)
protection_mpu_dam_2layer(MPU 内核 + DAM 总线 master 双层隔离)
lock_endinit_safety_endinit(关键寄存器 2 层锁防 software 跑飞 + SEU)
pairing_aurix_optireg(AURIX FSP → OPTIREG ERR 硬线 + SS1/SS2 + SPI Q&A WD)
vendor_compare_3mcu(TC397 / Hercules TMS570 / RH850 三家横评)
worked_fmeda_tc397_tlf35584(主驱 ASIL D SPFM/LFM/PMHF + FTTI 预算 worked design)
pitfall_7_integration(SMU 降级 / DAM 漏 DMA / Lockstep 不重锁 / STL 不挂 / AoU / STM≠WDT / FSP-ERR)
corner_lockstep_ecc_ftti(lockstep CCF / SECDED aliasing / Scrubber-重锁踩 FTTI)

Cross-references

← 索引
ISO 26262 V-cycle 全栈 — V-cycle hub(TC3xx 在 Part 5 hardware + Part 11 semiconductor 落地)
Safety Mechanism Catalog — SM 总目录(本页 §3 30+ alarm 是其 MCU 子集)
Safe State Manager — safe state 切换原理(本页 §3 SMU 4-stage reaction 的概念基础)
Confirmation Measures — ASIL D 3 CR review(AURIX + OPTIREG 集成必 I3 audit)
topic-aurix-tc3xx-asil-d — TC3xx vs MPC5744P 浅对照(本页深化版)
NXP FS65 SBC deep — NXP MCU 用户的 SBC 选择(横评对照)
Infineon OPTIREG SBC deep — OPTIREG PMIC 工程化(AURIX 配对的 PMIC 详解)
topic-iso26262-part5-hardware — Part 5 hardware FMEDA
topic-iso26262-part11-semiconductors — SEooC + Safety Manual + AoU 接受
800V SiC 主驱全栈 — EV 主驱中 AURIX + OPTIREG 配对位置

来源:Infineon AURIX TC3xx documentation portal + AN1002 FuSa in a Nutshell + AN1200 Safety software enablement + AN0001 + Safe application development for TC375 lite-kit application note + Safely Powering Automotive Systems with OPTIREG TLFx in combination with AURIX presentation + Infineon Q4/2024 OPTIREG PMIC TLE9243QK product presentation + Infineon AURIX product page + emmtrix.com AURIX TC3xx deep dive (platform table for TC375/387/397/399) + Wikipedia Infineon AURIX + Hercules + linkedin Hercules vs AURIX 对比 (Cook Meng) + aivon.com Dual-Core Lockstep Safety Chip Technologies + Renesas RH850 P1x-C product page + TI TMS570LC4357 product page + ISO 26262-5:2018 §9 + §11 + ISO 26262-11:2018 SEooC + Safety Manual + 行业 Tier-1 量产 ASIL D 集成实操合成。