Lockstep Core 深度 — dual-CPU + comparator (ASIL D 必备)

下图把 dual-CPU + comparator 一次说清:

3 件结构:

• Master CPU — 主核,运行 ASIL D 任务,输出对外
• Slave CPU (mirror) — 完全相同结构,执行同一指令,但输出不对外
• CPU Comparator (CCC) — 硬件对比器,每 cycle 比 PC / GPR / ALU / Bus 输出
• delay 1-2 cycle — 错开,避免共瞬态 (共因/共模瞬态 CCF — 时间分集, per ISO 26262-9 DFA)

不一致 → Trap (NMI / FIQ) → SafeState 切换。

ASIL D 物理约束推导:

• 目标:PMHF ≤ 10 FIT (Probabilistic Metric for HW Failures)
• 单核 SEU FIT:典型 28nm CMOS ≈ 200-500 FIT (alpha + cosmic ray)
• 单核 SW 检测能力:仅 50-70% (用 CRC + redundancy 算法)
• 单核 PMHF:200 × (1-0.5) = 100 FIT (远超 10 FIT)
• lockstep 检测能力:≥ 99%
• lockstep PMHF:200 × (1-0.99) = 2 FIT ✓

结论:无 lockstep ASIL D 单核 PMHF 物理上做不到。

CCC 每 cycle 对比 5 类信号:

Lockstep 防共因失效(CCF):

• Master / Slave 物理布局隔离 — die 上分开 200μm+(防同 alpha 粒子打中两核)
• 不同 metal layer routing — 防共线短路
• 独立 clock tree — Master / Slave 独立 buffer
• 独立 power gating — Vdd_cpu 分两路
• 不同 standard cell library 变种 — 部分 MCU 用 mirrored cell (mirror layout)

ISO 26262 Part 9 DFA 6 项独立性的硬件实现。

Aurix TC397 (主流 EV ASIL D MCU) lockstep:

// 启 lockstep
SCU_DCCEN.B.EN = 1;

// 配 trap handler
SCU_DCCTRAP_PRIO = 0x1F;  // 最高优先级
trap_install(TRAP_DCC, dcc_trap_handler);

// 在 CPU0 上使能 lockstep(engage 其专用隐藏 checker 核,非占用 CPU1)
SCU_CPU0_CTL.B.MODE = LOCKSTEP_EN;

S32K3 (国产 EV 主流) lockstep:

• 架构:Cortex-M7 dual-core,split-lock 切换
• mode:Split mode (双 ASIL B 独立) vs Lock mode (ASIL D lockstep)
• 切换时机:reset 时设定,运行中不可改
• CCC:ARM internal Fault Management Module (FMM)

NXP S32K3 详见 topic-mcu-sbc-asil-d-integration。

Renesas RH850/U2A (日系 EV) lockstep:

• 架构:G3KH dual-core,完全相同
• CCC:Renesas Safety Monitoring Module (SMM)
• delay = 2 cycle
• 主用日系 (丰田 / 本田) + 部分中国 (吉利)

ARM Cortex-R52 (新兴 ASIL D core):

• 架构:dual / quad-core,各 split-lock
• CCC:ARM Safety Extensions
• vendor:NXP S32R5 / TI TDA4 / 部分 Renesas

ARM 趋势:逐步取代 TriCore / PowerPC,国产化也跟随 ARM 路线。

lockstep 故障 5 类:

lockstep 的工程取舍:

• die size +50-80% — 双 CPU 占面积
• 功耗 +60-80% — 双 CPU 满 dynamic power
• 价格 +30-50% — MCU 单价上升
• 性能:单线程性能不变(同步执行)
• 冗余资源:无(不能做并行计算)

总评:为 ASIL D 必付的代价,没 lockstep ASIL D MCU 物理上做不到。

国产 ASIL D MCU lockstep 现状:

• 杰发 AC7840 — Cortex-M4 lockstep,ASIL B+ cert
• 国民技术 N32G45x — Cortex-M4 lockstep,ASIL B cert
• 核芯互联 — Cortex-M7 lockstep,ASIL D 在路上
• 芯擎 ELXi — 自研 multi-core,ASIL D cert

国产差距:lockstep 实现技术已有,但cert 跟不上 + Tier 1 信任度低。

Lockstep core = ASIL D MCU 的物理必要条件 — 单核 PMHF 物理上 ≥ 10 FIT,无 lockstep 凑不齐 ASIL D。Master + Slave + CPU Comparator (CCC) + 2 cycle delay + 物理隔离 + ECC + BIST 6 件套是标配。主流:Aurix DCC (60%+) / S32K3 split-lock (国产 EV) / RH850 G3KH (日系) / Cortex-R52 (新)。新项目 ASIL D 选 MCU 必看 lockstep cert + DCC SW 支持 + Tier 1 经验,国产 ASIL D MCU 仍稀缺。