Lockstep Core 深度 — dual-CPU + comparator (ASIL D 必备)

下图把 dual-CPU + comparator 一次说清:

3 件结构:

• Master CPU — 主核,运行 ASIL D 任务,输出对外
• Slave / Checker CPU (mirror) — 完全相同结构,执行同一指令,但输出不对外
• CPU Comparator (CCC) — 硬件对比器,每 cycle 比 PC / GPR / ALU / Bus 输出;不一致不直接是 CPU trap,而是报芯片的集中安全裁决单元(AURIX 的 SMU / NXP 的 FCCU / Renesas 的 ECM)
• delay 1.5-2 cycle — checker 核错开再比较,避免共瞬态(共因/共模瞬态 CCF)—— 时间分集,per ISO 26262-9:2018 Clause 7 DFA

不一致 → 安全裁决 → SafeState 切换(STO)。

ASIL D 的三条硬约束都指向"单核物理上不够"。ISO 26262-5:2018 把随机硬件失效拆成三个定量门槛,分属两个 Clause —— 这一点常被记错:

• SPFM ≥ 99%(单点失效度量,Clause 8 Table 4)
• LFM ≥ 90%(潜伏失效度量,Clause 8 Table 5)
• PMHF < 10 FIT(= $10^{-8}{h}^{-1}$,Clause 9 Table 6)

SPFM / LFM 是 Clause 8 的架构度量,PMHF 是 Clause 9 的失效率量化 —— 不要把三者都归到 §9。

一颗 28 nm 车规 CPU 核的危险失效率(SEU 主导:alpha 粒子 + 中子)量级约 $\lambda \approx 200$ FIT。核心矛盾在诊断覆盖率 DC:

• 纯软件冗余(CRC + 算法复算)对 SEU 的 DC 只有 ~50-70% → 残余 $200\times (1-0.5)=100$ FIT,超标 10 倍。
• lockstep 硬件冗余:ISO 26262-5 Annex D 把冗余硬件(cycle-by-cycle 比较)的 DC 归为 "high" ≈ 99% → 残余 $200\times (1-0.99)=2$ FIT ✓。

同一个 DC = 99% 直接把 SPFM 拉到 $1-0.01=99\%$,正好压线 ASIL D。这就是"无 lockstep 单核过不了 ASIL D"的量化根因 —— 不是工艺问题,是软件侦测 SEU 的能力上限只有 ~60%,而 lockstep 把 DC 提到 99%。

(PMHF 完整式还含潜伏 / 双点项与暴露时间,但 CPU 计算路径以 SPF 残余为主导;§12 给端到端 FMEDA 预算。)

CCC 每 cycle 对比 5 类信号 —— 任何一类失配都意味着两核状态已经分叉:

lockstep 最怕共因失效(CCF):一个扰动同时以相同方式打中两个核,两核输出同一个错值 → 比较器看不出不一致。ISO 26262-9:2018 Clause 7(相关失效分析 DFA)要求证明两核独立性。主流实现用两类分集:

• 时间分集(最关键) — checker 核延迟 1.5-2 cycle 再比较(AURIX 官方实测 = 2 clock cycle):同一 EMI / 电压瞬态打进来,两核采样时刻错开,不会产生相同错误,反而暴露为 mismatch 被抓住
• 空间 / 布局分集 — checker 核在 die 上与主核分离布局、常用镜像(mirrored / rotated)版图,降低同一 alpha 粒子或局部工艺缺陷同时命中两核的概率
• 独立 clock / power 树 — Master / Slave 各自 clock buffer + 供电分区,防共时钟毛刺 / 共电源跌落

这几条正是 ISO 26262-9 DFA 里"独立性论证"要举的硬件证据 —— 各家 die 上的物理间距不公开统一值,别把某个具体微米数写死,重点是"这三类分集是否都做到"。

Infineon 官方术语是 Lockstep / diverse lockstep(不是 "DCC" —— DCC / DCLS 是通用行业叫法,AURIX 文档只叫 Lockstep)。TC397 是主流 EV ASIL D MCU:

S32K3(车身 / 域控 / 国产 EV 常用)的 lockstep 与 AURIX 术语不同,别混:

• 架构:Arm Cortex-M7,120-240 MHz + FPU;家族从单核 → 双核 → lockstep 缩放
• 模式:delayed lockstep(硬件时间 + 空间冗余),不是 split-lock —— split-lock 是 Cortex-R52 的特性,S32K3 的 M7 lockstep 对是固定的、不可在 boot 时拆开
• 不一致 → FCCU(Fault Collection and Control Unit):NXP 的集中安全裁决模块,达 chip safe state 后再 recovery
• 认证:TÜV-SÜD,ISO 26262 ASIL D / IEC 61508 SIL 3

MCU + SBC 联合设计见 MCU SBC ASIL D Integration。

Renesas RH850/U2A(跨域 MCU,日系 EV)的 lockstep:

• 架构:G4MH 核,400 MHz,最多 4 个 dual-core lock-step 对(4 + 4 核),28 nm —— 注意是 G4MH,不是更老的 G3KH(G3KH 用在 P1x / F1x 代)
• 不一致 → ECM(Error Control Module):lockstep 架构里集中的错误检测 / 处理模块
• 分集:delayed lockstep(时间分集)
• 主用日系(丰田 / 本田)+ 部分中国(吉利);同代 U2B 带 RISC-V 并行协处理器,U2C 面向 vehicle-motion / BMS

Cortex-R52 是新一代 ASIL D 实时核,冗余机制与前面几家不同:

• split-lock:复位时按 pin 静态配置 —— 可选若干 lockstep 对,或让全部核独立跑(boot 时定,运行中不可改)。这与 DCLS(两核固定并行比较)是不同技术:split-lock 是"可在 boot 时选择是否成对锁步"
• 真实用家:NXP S32Z / S32E(8× Cortex-R52,split-lock 可配,1 GHz,ASIL D,domain / zonal + EV 控制);ST Stellar SR6x 系列亦采 R52
• 趋势:逐步进入 TriCore / PowerPC 的传统地盘,国产高端实时 MCU 也跟随 ARM 路线

(原稿曾写 "NXP S32R5 / TI TDA4":S32R5 是 A53 + M7 雷达处理器、TDA4 用 Cortex-R5F,都不是 R52 的代表 —— R52 的量产代表是 S32Z / S32E。)

lockstep 机制自身也会失效,5 类要各有应对 —— 这些属于安全机制的 LFM 范畴:

lockstep 是纯冗余,不带来任何算力回报,取舍很直接:

• die size +50-80% — checker 核占面积(注:AURIX 的隐藏 checker 比全功能核小,面积代价低于翻倍)
• 功耗 +60-80% — 两套逻辑同步翻转,满 dynamic power
• 价格 +30-50% — MCU 单价上升
• 性能:单线程性能不变(同步执行,不是并行)
• 冗余资源:无(checker 核不能拿去做并行计算)

总评:为 ASIL D 必付的代价,没 lockstep ASIL D MCU 物理上做不到 —— 唯一"省"法是解锁跑 QM(牺牲安全等级换算力,见 §5.2)。

国产 ASIL D lockstep MCU 已有真机,梯队分明:

• 芯驰 E3(SemiDrive) — Arm Cortex-R5F,最多 6 核(其中 4 核可配 dual-core lockstep 或独立运行),800 MHz,TSMC 22 nm,ISO 26262 ASIL D + AEC-Q100 Grade 1 双认证(建厂即做 ASIL D)—— 目前国产最接近 AURIX / S32K3 的高端 ASIL D lockstep MCU,用于线控底盘 / 制动 / BMS / 运动控制
• 杰发 AC7840x(AutoChips,四维图新旗下) — Arm Cortex-M4F,ISO 26262 ASIL-B 产品认证 + AEC-Q100 Grade 1(注:ASIL-B 靠 SW 机制 + STL 达标,并非硬件 lockstep 对),量产用于车身 / 电机 / 热管理
• landscape — 云途、旗芯微、国芯等亦在车规 MCU 赛道布局,ASIL-B / D 认证仍在爬坡

国产差距:lockstep 硬件实现已不是瓶颈(芯驰 E3 证明可到 ASIL D),真正差的是量产 track record + Tier-1 信任 + 完整 Safety 工具链 / 文档。

§2 用"单核 200 FIT → 2 FIT"讲原理;这里用 AURIX TC397 的真实 FMEDA 数字,算 lockstep 对在系统度量里到底贡献多少(整片 FMEDA 见 AURIX TC3xx ASIL D §7,本节只聚焦 lockstep 那一行,数字与之一致)。

设 400 V / 100 kW EV 主驱,安全目标 SG-01(扭矩失控),ASIL D。TC397 的 CPU 计算路径(CPU0 / CPU1 lockstep 对)FMEDA 行:

代入 Clause 8 / 9:

• SPF 残余 0.03 FIT → 单看 CPU 路径 SPFM $=1-0.03/3.0=99\%$,压线 ASIL D(Clause 8 Table 4:≥ 99%)。
• PMHF 贡献 0.03 FIT → 占 ASIL D 预算(< 10 FIT,Clause 9 Table 6)的 0.3%,几乎不吃预算。
• 对照反例:若这颗核只有 SW 冗余(DC ≈ 60%),残余 $=3.0\times 0.4=1.2$ FIT,CPU 路径 SPFM 跌到 $1-1.2/3.0=60\%$ —— 远低于 99% 的 ASIL D 门槛。这就是为什么 ASIL D 主控律必须钉在 lockstep 核上,不能放解锁的 free 核。

潜伏侧:comparator / CPU 逻辑的 latent fault 靠 LBIST(DC_LFM = 90%)扫,残余 $3.0\times (1-0.9)=0.3$ FIT 进 LFM;若 LBIST / STL 未按周期调度,DC_LFM 贡献归零,系统 LFM 可能跌破 90%(Clause 8 Table 5)—— 见 §13.5。

一句话:lockstep 对用 DC = 99% 换来 0.03 FIT 残余,单靠这一个机制就把 CPU 路径顶到 ASIL D SPFM 线上;去掉它,再好的工艺也补不回 60% → 99% 这 39 个点。

lockstep 不是"打开就安全",7 个设计 / 集成层最常翻车的点:

评审和实车真会踩到的三个边界工况:

Lockstep core = ASIL D MCU 的物理必要条件 —— 单核对 SEU 的诊断覆盖只有 ~60%、残余 ~100 FIT,无 lockstep 凑不齐 ASIL D 的 SPFM ≥ 99% / PMHF < 10 FIT。Master + Checker + 比较器 + 1.5-2 cycle delay(AURIX = 2)+ 时间/空间分集 + ECC + LBIST 是标配,不一致报芯片安全裁决单元(SMU / FCCU / ECM)。主流:AURIX Lockstep(diverse,EV 主驱)/ S32K3 delayed lockstep / RH850/U2A G4MH / Cortex-R52 split-lock(新);国产 芯驰 E3 已到 ASIL D。选 MCU 必看 lockstep cert + Safety Manual DC 数字 + Tier-1 经验,并记住 lockstep 抓不到共模软件故障与共享资源 CCF。