MCU + SBC 配对实现 ASIL D:S32K344 + FS26(与经典 MPC5744P + MC33907)集成案例

先把"为什么一定要两颗芯片"从功能安全度量推清楚,后面所有机制分区都是这条约束的直接推论。ISO 26262-5:2018(clause 8-9)对整个安全相关硬件件给三条量化目标,ASIL D 一栏是:SPFM ≥ 99%(单点/残余故障里被安全机制覆盖的比例)、LFM ≥ 90%(潜伏故障覆盖率)、PMHF < 1e-8/h = 10 FIT(ASIL B/C 是 100 FIT)。1 FIT = 十亿器件小时 1 次失效。

这三条里,SPFM 是决定要不要第二颗芯片的关键。残余故障(residual fault)= 一个故障发生后,没有任何安全机制在 FTTI(见 §7)内把它抓住并带进安全态,于是它直接违反安全目标。要把 SPFM 抬到 99%,意味着几乎每个能独立引发危害的故障都必须有一个独立于故障源的诊断。三类故障单 die 天然做不到独立诊断:

• 电源失效:MCU 核电源塌了,MCU 连同它片内的电压监控一起失效——"监控者"和"被监控者"同生共死,诊断覆盖率(DC)≈ 0。
• 时钟失效:片内时钟停/漂,基于同一时钟计时的片内看门狗也停,发现不了自己不走了。
• 共因失效(CCF):局部过热、电源反弹、时钟谐振、单粒子事件可同时命中 lockstep 的主核和检查核,让"比较两路"的机制误判为一致。ISO 26262-9 专门要求做相关失效(dependent failure)分析,CCF 是其中最难压的一类。

因果结论:要覆盖上述三类,诊断电路必须坐在另一个 die、另一个电源域、另一个时钟域上——这就是"安全 SBC"。它给 MCU 供电,又反过来监控 MCU 是否活着、供电是否正常,并保留一条不经过 MCU 的关断路径。MCU 与 SBC 互为对方的独立监测通道,合起来消灭单点。这是"MCU+SBC 配对"这一量产模式的第一性原理来源,不是习惯。

有了 §1 的约束,ASIL D 系统就分成两条相互独立、相互监测的通道,分区原则是"谁监控谁必须在不同域"。下表把职责与所在域摊开,后面 §3/§4 分别把两侧的机制讲透。

关键判断点:两条通道的独立性不能只停在"两颗芯片"层面,还要一路下沉到电源、时钟、基准。FS26 的 fail-safe 逻辑块自带独立稳压器、独立带隙基准、独立振荡器,和它自己管电源的 main 逻辑块最大程度隔离——这样即便 SBC 主体电路出问题,监测逻辑仍独立判决。物理布局上专门划隔离区,防芯片局部扰动同时打击"监测"与"被监测"。这一层隔离做不到位,系统级 FMEDA 里 CCF 项会把 SPFM 直接拖下 99%。

MCU 侧的目标只有一个:让"算错了"这件事变成一个可被硬件抓到、可上报的离散事件,而不是悄悄输出错结果。现代 ASIL D MCU 用四层机制叠加做到,下面用 S32K344(delayed lockstep Cortex-M7)与经典 MPC5744P(e200z4 Sphere of Replication)两颗真件对照讲。

SBC 侧要同时干两件事——给整个 ECU 供电,又在独立域上监控 MCU 与供电本身,故障时主动把系统拽进安全态。下面用 NXP FS26(与其同族的 FS84/FS85C 共用同一 fail-safe 安全 IP)把机制逐条讲清,数值锚 FS84/FS85C 数据手册 Rev.6。

answer = NOT( ( (seed × 4) + 6 ) − 4 ) / 4      # 在 16-bit 字段上运算

ASIL D 配对的关键不是单独 MCU 或 SBC 多强,而是两者之间这几条接口全部正确连接——这是新手最容易做错、也最白白浪费方案价值的地方。

把这几条接口放进整体视图:MCU 端做计算冗余、把自检结果经 FCCU error pin 抛出;SBC 端用 challenger 窗口狗反问 MCU、监所有电源轨,并保留一条绕开 MCU 的独立第二关断路径(FS0B)直接拽功率级进安全态。两者互监形成无单点。

常见架构错误:只接 SPI + RSTB、不接 FCCU + FS0B。结果 MCU 的自检失效信息传不给 SBC,SBC 也控制不了系统外部硬件,等于把 ASIL D 的 SBC 降级成"高级 LDO + 看门狗"——花了钱却拿不到系统级安全,SPFM 上不去。另一条:FS0B 只接了亮灯没接主驱关断,同样不成立(灯亮但电机还在转,没进安全态)。

看门狗窗口是整个 FTTI 预算里最慢的一条检测路径(见 §7),所以它的时序值得单独推清楚。参数与取值全锚 FS84/FS85C DS Rev.6 §32.4(FS26 共用同族 IP,窗口/计数策略相同)。

窗口周期与占空:窗口周期 WDW_PERIOD 可配 1.0 ms 到 1024 ms(离散档:1/2/3/4/6/8/12/16/24/32/64/128/256/512/1024 ms,默认 3.0 ms);占空 WDW_DC 可配 CLOSED 段 31.25% 到 68.75%(默认 50/50)。记窗口周期为 Twin、OPEN 段占比为 kopen,则每周期 MCU 必须在 CLOSED 段之后、宽度 kopen·Twin 的 OPEN 段里答对一次。

错误计数器收敛:每次 bad refresh,WD 错误计数器 +2;每次 good refresh −1。到达上限 WD_ERR_LIMIT(可配 8 / 6 / 4 / 2,默认 6)则拉 RSTB/FS0B。这套"+2/−1"设计保证周期性 OK/NOK 交替最终收敛到检出(坏的涨得比好的减得快),同时容忍偶发单次抖动。达上限所需连续 bad refresh 次数 Nbad:

Nbad = ceil( WD_ERR_LIMIT / 2 )

默认 WD_ERR_LIMIT = 6 → Nbad = 3(连续 3 次坏才拉);设为 2 → Nbad = 1(单次坏即拉,最快)。

最坏检测延迟:MCU 在一次 good refresh 后紧接着死机是最坏相位——当前窗口刚重启,要等这一整个 Twin 走完 OPEN 段无 refresh 才记一次 bad。于是覆盖"MCU 死机"这类故障的最坏检测延迟:

FDTImax(WD) ≈ Nbad × Twin + (SPI/逻辑传播,< 0.1 ms)

INIT_FS:上电初始化阶段有个 256 ms 的 INIT_FS 窗口,必须在超时前用第一次 good refresh 关闭它,否则超时会增故障计数并重开——这条约束定了启动期看门狗第一次喂的时限。

把上面所有机制拉进一条时间轴,回答 ASIL D 系统设计的核心问题:从故障发生到系统进入安全态,总时间必须 ≤ FTTI。这一节走一遍真实预算,并给出一个"默认配置撞不进 FTTI"的反例——这正是 datasheet 有没有读进去的分水岭。

FTTI 是什么:Fault Tolerant Time Interval,故障容错时间间隔,是从故障发生到若不干预就会发生危害的时间窗,由整车 HARA(危害分析与风险评估)导出,是系统级输入、不是芯片参数。ISO 26262 把它拆成两段,要求:

FDTI (故障检测时间) + FRTI (故障反应时间) ≤ FTTI

worked 场景(假设,取一个 EPS/电驱类的代表值):三相电机驱动,ASIL D,安全目标"避免非预期扭矩",经 HARA 定 FTTI = 10 ms;安全态 = 关断逆变器栅极驱动使能(coast/freewheel)。MCU = S32K344(delayed lockstep Cortex-M7),SBC = FS26。安全态由 FS0B 直接驱动栅驱的使能(secondary path),不经 MCU。

各故障类的检测→反应路径(把 §3/§4 机制填进预算):

关键洞察:硬件类故障(lockstep/ECC/CMU/VMON)检测都在 µs 级,远快于 FTTI;看门狗路径是 ms 级、独占 FTTI 预算。所以设计动作就是选 Twin 和 WD_ERR_LIMIT 让看门狗路径塞进 FTTI 且留裕度。

预算算例(达标配置):取 Twin = 4 ms、WD_ERR_LIMIT = 2(Nbad = 1,单次坏即拉),FS0B 反应含内部传播 + 外部栅驱关断路径保守取 0.5 ms:

FDTImax(WD) ≈ 1 × 4 ms + 0.1 ms ≈ 4.1 ms
FRTI        ≈ 0.5 ms
合计        ≈ 4.6 ms  <  FTTI = 10 ms   ✓(裕度 ~5.4 ms)

反例(默认配置撞线):若沿用默认 WD_ERR_LIMIT = 6(Nbad = 3)且 Twin = 4 ms:

FDTImax(WD) ≈ 3 × 4 ms = 12 ms
合计        ≈ 12.5 ms  >  FTTI = 10 ms   ✗(超预算 2.5 ms)

即默认看门狗配置直接违反 10 ms FTTI——必须缩短 Twin(如 2 ms → 3×2+0.5 = 6.5 ms ✓)或把 WD_ERR_LIMIT 降到 2。这就是为什么 challenger 狗的 Twin 与错误上限不能拿默认值交差,得从 FTTI 反推。缩 Twin 的代价是 MCU 喂狗更频繁(占 CPU、SPI 带宽),降 WD_ERR_LIMIT 的代价是对瞬态更敏感(误停风险),两者要在"够快"和"别误触"之间折中。

潜伏故障那条独立预算(MPFDTI):上面 FTTI 只管单点故障的检测反应。监测通道自身的潜伏故障走另一条时间约束——多点故障检测时间间隔 MPFDTI,通常要求 ≤ 一个驾驶循环。FS26 靠每次上电跑 LBIST + ABIST把这条填满:key-on 自检覆盖"监控通路本身是否还活着",不达标就不释放 FS0B。这是 LFM ≥ 90% 的主力,和 FTTI 是两套独立的时间预算,别混。

前面机制都对,真实项目翻车往往在这几处"看着连上了、其实没进安全态"的地方——逐条对照。

• FS0B 必须接到真正的关断执行器,不能只接告警灯:FS0B 亮灯但没切栅驱使能 = 灯亮车照跑,没进安全态,ASIL D 不成立。
• FCCU error pin 必须真接进 SBC 的 FCCU 输入并配对极性(bi-stable/时间协议):只接 SPI+RSTB 会让 MCU 自检失效传不下片。
• 看门狗 Twin/WD_ERR_LIMIT 从 FTTI 反推,别用默认:默认 6 档 × 默认窗口很容易超 10 ms 级 FTTI(见 §7 反例)。
• VMON 去毛刺时间要按轨分级:核轨设短(快),噪声轨放宽(抗误触);一刀切要么误停要么反应慢。
• INIT_FS 256 ms 内必须首次 good refresh:启动期 MCU boot + 自举太慢会 INIT 超时,进不了 normal 模式(NXP 社区高频问题)。
• 调试模式会关掉看门狗判决:debug 下 WD 窗口全开、FS0B 不释放,别把"调试能跑"当"安全机制在工作"——量产件 debug 脚必须接 GND。
• 别让 RSTB 复位环把整车拖进复位循环:MCU 反复 boot 失败 → 反复 RSTB → 需配置在故障计数到最终值时进 DEEP-FS,而不是无限重启。
• SBC 供电轨要进自己的 VMON:VCORE/VDDIO 都要被监控,漏掉一条就有未覆盖的单点。

worked design 给的是标称配置;真投产要守住这些边界与折中,它们决定安全论证(safety case)站不站得住。

• 看门狗窗口:快 vs 误触:Twin 越短、WD_ERR_LIMIT 越低,FTTI 裕度越大,但 MCU 喂狗开销和瞬态误停风险越高。甜点是"塞进 FTTI 且留 ~30%–50% 裕度"的最长窗口。
• VMON 去毛刺:抗噪 vs 反应:去毛刺 5 µs 抗噪弱但快,40 µs 稳但吃预算;跟随该轨的实际纹波/瞬态谱定。
• 故障计数滞回:抗瞬态 vs 升级慢:计数上限高滤瞬态好,但真持续故障升级到 FS0B 慢;安全相关轨倾向低上限。
• 独立性的边界:SBC 给 MCU 供电,这本身是一条依赖——VPRE/VCORE 失效会同时影响 MCU 和(若设计不当)监测逻辑。FS26 用 fail-safe 块的独立稳压/基准/振荡器切断这条依赖,但布局/去耦做砸会把独立性打回原形,FMEDA 的 CCF 项即现形。
• ASIL 分解 vs 单件 ASIL D:也可用两个 ASIL B(D) 冗余通道做分解,但 MCU+SBC 这种"一强算力 + 一独立监测"是量产最省的分区;纯双 MCU 冗余成本更高,多用于线控/自动驾驶更高完整性场景。
• AMUX 反向校验:MCU 可经 SBC 内模拟 MUX(SPI 选通)读 SBC 的内部基准/温度反向校验 SBC 健康——这是"被监控者也监控监控者"的补充诊断,别浪费这条通道。

本节把 §1–§5 的机制分区拉进 ISO 26262-5:2018 Annex B 的 PMHF 公式,给出 S32K344(ASIL C(D))+ FS26(ASIL A(D)) C(D)+A(D) 分解架构的量化核算。器件失效率取 NXP S32K3/FS26 器件类的代表性量级——精确值须以订到的 NXP Safety Manual(NDA)版本为准;方法与 ISO 26262-9 DFA worked design §5 一致。

C(D)+A(D) 分解声明(ISO 26262-9 §5.4.9,序数 3+1=4,合法):

器件参数(代表性量级,方法可复核):

CCF β 因子(IEC 61508-6 Annex D 评分法):S32K344(数字 Cortex-M7 CMOS,40 nm 级)与 FS26(模拟 BCD 混合信号,180 nm+)工艺彻底不同、元件类别彻底不同(MCU vs SBC/PMIC)——多样性和元件类别两项拿满,落 IEC 61508-6 Annex D 中高分档,β ≈ 2%(异工艺异元件典型值;与 ISO 26262-9 DFA §5.3 TC397+TLF35584 评分结论对齐)。

PMHF 三项叠加(ISO 26262-5:2018 Annex B,目标 ASIL D < 10 FIT = ISO 26262-5 Table 6):

① 单点故障贡献:S32K344 lockstep 残余 ${\lambda }_{\text{SPF}}$ = 1.0 FIT;FS26 独立监控对此兜底,覆盖率 ≈ 90%(工程近似:取 1 − λSPF,FS26/λD,FS26 = 1 − 4/40;严格做法须逐失效模式核 FS26 实际检测率,与 ISO 26262-9 §5.4 方法对齐):

② 潜伏故障对贡献(周期诊断间隔 TD = 1000 h,对应年检循环):

③ CCF 贡献:${\lambda }_{\text{CCF}}=0.8\text{FIT}$

关键发现:CCF 贡献占 89%,与 TC397+TLF35584 同架构(见 ISO 26262-9 §5.4)计算结论一致。降低 β(异工艺/异元件)比提高单通道 DCspf 的工程回报高一个数量级——ASIL D 配对选型的第一指标是工艺/元件类别多样性。若改为同类 CMOS MCU 做监控通道(β ≈ 5%),PMHF 升至 2.1 FIT(仍 PASS 但裕度从 11× 降至 4.8×)。