NXP FS23 车身安全 SBC:三件套低端锚点 + scalability + token watchdog

FS23 datasheet 原文定位:"scalable from the linear voltage regulator version to the DC-DC version, as well as from QM to ASIL B… high level of integration in order to optimize the BOM cost for the body and comfort market"。把它放进三件套:

关键认知:不能假设"越新越集成"。 FS85 删掉 PHY(VBOOST 喂外部收发器),FS23 集成 CAN FD+LIN PHY——是两个相反取舍点。FS23 是 ASIL B 上限(无 ASIL D 路径),FS65/FS85 才到 ASIL D。FS23 无 VPRE 中间轨(V1 直供 MCU,省外围省成本),代价是没有 6.5V 预稳压 headroom:LDO 版要 VSUP ≥ 5.5V 才能出 5V,cranking 跌破时 AMUX/CAN/IO 不保证——这是车身段省钱换来的鲁棒性折让。

V1 主轨是二选一拓扑(pin-to-pin):HVBUCK(同步 buck,集成 FET,3.3/5.5V,Normal 600mA/LPON 100mA,开关频率 450kHz 或 2.25MHz,带 spread spectrum 改善 EMC)或 HVLDO1(3.3/5.5V,内部 PMOS 100mA / 外接 PNP 250mA)。其余:HVLDO2(V2,100mA)、HVLDO3(V3,150mA,常供 CAN block)。

scalability 是 FS23 真正的产品论点,且三件套独有:部件号 MFS23 X Y BM Z 三轴——X=电源方案(0=3×HVLDO / 2=1 HVBUCK+2 HVLDO,即 LDO↔DC-DC 轴)、Y=通信组合(CAN / CAN+LIN / +LDT…)、Z=安全等级(M=QM / B=ASIL B)。Tier-1 铺一版 pin-to-pin footprint,贴 FS230x(3 LDO/QM)做便宜门控、贴 FS232xB(HVBUCK/ASIL B)做安全 BCM,原理图不动——这是 FS65/FS85 不打的平台/BOM 牌。上电:V1 在 Slot 0 自动先启,V2/V3 按 OTP 配 SLOT(各 500µs)。

主状态:Normal / LPON(low-power ON,仅 V1 保留供 MCU)/ LPOFF / Fail-safe;安全引脚 RSTB/FS0B/LIMP0 各自并行管理。

INIT 256ms 死线:POR 后自动进 INIT(fail-safe 寄存器可写),退出 = 写 1 清 LOCK_INIT + 一次 good WD refresh → 寄存器锁、CRC 每 5ms 校验;首次 good WD refresh 必须 < 256ms(=默认 WD 周期)。

watchdog 是双键 token,不是 FS65 的 Q&A polynomial:用两个固定 key 0x5AB2(POR 默认)与 0xD564,每次 good refresh 交替(MCU 读 WD_TOKEN、写 WD_ANSWER)——这不是随机 challenge,DC 明显低于 challenger WD,与 ASIL B(非 D)目标自洽。错误计数器非对称 +2/−1(单次 glitch 不跳、持续 NOK 才收敛触发)。MCU fault recovery strategy(WDW_REC_EN):FCCU 报错时拉 FS0B/LIMP0 但不复位 MCU、WD 窗自动转全开,给 MCU 自恢复机会——拿确定性换可用性,很车身。

FS23 fit ASIL B(ISO 26262:2018)。机制:内部监控带独立 reference、电压监控 V0/V1/V2/V3MON + VMON_EXT、window/timeout WD、**FCCU1(专用)+ FCCU2(可配)**硬件监 MCU、ABIST on demand(覆盖 latent fault,ASIL B 应用推荐运行)、clock monitoring、INIT CRC(5ms)、fault error counter→Fail-safe、RSTB 8s timer。

关键:QM vs ASIL B 是物理器件差异——M 后缀件根本不 enable FS0B/VMON_EXT/FCCU/ABIST/RSTB-8s,B 后缀件才有。即"scalable QM→ASIL B"靠选部件号,QM 件不能现场升级到 ASIL B——safety case 里必须钉死,拿 QM 件跑 ASIL B argument 是错的。

LIMP home 输出是车身专属安全语义:LIMP0 + LIMP1/2(1.25Hz 或 100Hz PWM 能力)让 BCM 降级运行(如保留某灯/雨刮的 limp 模式)而非只会硬 fail-silent——体现车身/comfort 的安全目标偏可用性,而动力偏 fail-silent(STO)。通信:集成 CAN FD(≤5Mbps,ISO 11898-2:2016)+ LIN(2.2/SAE J2602-2),LPON/LPOFF 下均 wake-up capable;32-bit SPI 或 I²C(带 CRC)。另有 LDT(长时定时器)194 天 / 1s 分辨率做系统关断-唤醒控制。4×HSD(150mA,cyclic-sense 驱 LED/INH)+ 16-ch AMUX。LPON Iq typ 20µA@25°C。

锚: 12V 车身控制器 BCM，NXP S32K144(ASIL B) + FS232B(HVBUCK + CAN FD + ASIL B，型号 MFS2322B)。VSUP = 12V(6–40V 范围)，V1 = 5.5V/600mA → MCU VDD，V2 = 3.3V/100mA → 传感器 IO，V3 = 3.3V/150mA → CAN FD block 常供。

G1 QM 件伪装 ASIL B — FS23 的"scalable QM→ASIL B"通过选料号(Z=M 或 Z=B)实现：M 后缀件 FS0B/FCCU1/ABIST 引脚在硅片上根本不连接，不可通过软件激活。若将 MFS2322M(QM)用于 ASIL B safety case，所有 ASIL B 测试用例（FCCU assert / ABIST 触发 / FS0B 拉低）都不会触发——PPAP 阶段测试"通过"即是伪通过。控制点：DVT BOM 锁定 MFS2322B；EOL 首件验证 FCCU1 硬线响应。

G2 LDO 版 cranking 盲区 — HVLDO1 版(X=0)在 VSUP < 5.5V 时 V1 不稳（datasheet §4.2 明确：cranking 期 V1 不保证），CAN_TX 报文无效。若 BCM 要求 cold crank 期(VSUP down to 6V, −40°C)仍响应 CAN 唤醒帧，必须选 HVBUCK 版(X=2)——Step 2 的 D_crank=0.846 证明 HVBUCK 在此点有调节余量。把"scalability"当 BOM 优化工具，用 X=0 件跑 cranking 网络管理是常见量产 bug。

G3 Token WD 交替顺序错误 — 每次 good WD refresh 协议：① MCU 读 WD_TOKEN（取当前有效 token，初值 0x5AB2）→ ② MCU 写 WD_ANSWER = WD_TOKEN（回写）→ ③ FS23 验证后翻转下一次期待 token（0x5AB2 → 0xD564 → 0x5AB2 …）。若 MCU 直接写固定值（连续两次写 0x5AB2），第二次即 NOK（FS23 期待 0xD564）→ FLT_ERR_CNT + 2。调试表现：每隔一次 WD refresh 就报 NOK，计数 3 次 NOK（+6）触发 RSTB。根因是 MCU 软件把 WD 答案硬编码，未读 WD_TOKEN 寄存器。

G4 禁 WD 模式误用于量产软件 — INIT_FS 态允许临时禁 WD（用于 OTP 烧录 / 延长下线诊断），该配置通过 FS_WD_WINDOW_REG 特定位实现。若调试版 MCU 软件的"禁 WD"配置未在量产时回退，进 Normal 后 WD 仍被禁止但 FCCU 已激活：首次 MCU Error 上报即触发 Fail-safe（无 WD 喂狗缓冲），整车偶发无故重启。ASIL B 过程要求：量产软件 WD 配置须通过安全 reviewer 审计，禁 WD 位不得出现在量产 binary。

G5 ABIST ON DEMAND 遗漏 — FS23 ASIL B 器件的 latent fault 覆盖要求 ABIST 定期运行（ISO 26262-5 Annex D：ASIL B latent DC 目标 ≥ 60%）。若 MCU 软件层从未调用 ABIST_REQ 寄存器触发 ABIST，该覆盖归零，FMEDA 论证的 DC 值无效。ABIST 约 100µs，每 IGN 周期触发一次，不影响 V1 供电稳定性。ASIL B 系统 FMEDA 必须包含"ABIST 每次上电触发"作为 SM 存在条件，否则 DC 目标不可信。

G6 LPON Iq 核算遗漏 — LPON 态 Iq typ 20µA 仅指 FS23 静态电流；CAN PHY 是否进 standby 取决于 MCU 通过 INH 引脚控制，若 INH 未正确拉高（BCM 低功耗状态机遗漏 INH 控制步骤），CAN PHY active 电流 15–30mA 进入 LPON 路径，Park 模式电流超出整车 quiescent current 预算。正确做法：LPON 前 MCU 拉高 CAN_INH → PHY 进 standby → LPON Iq 整机典型 < 100µA。

G7 V3 常开与 LPON 矛盾 — HVLDO3(V3, 150mA)标注"常供 CAN block"，其 LPON 状态行为由 OTP 的 LPON_V3_EN 位控制。若 LPON_V3_EN=1（V3 在 LPON 开启），CAN PHY 也未 standby → CAN PHY active 电流全进 V3 → LPON 静态电流爆到 30mA+，破坏低功耗设计。正确配置：LPON_V3_EN=0（V3 在 LPON 关断）+ CAN_INH 拉高；FS23 集成 CAN PHY 的 wake 路径不依赖 V3 常供——CAN wake 直接通过内部 CAN PHY 检测，无需保持 V3 在 LPON 期间运行。

C1 高温全负载角(Ta = 85°C) — HVBUCK 在 2.25MHz 高频时，铁心损耗随温度升高进一步叠加。L = 10µH 磁芯在 85°C 时有效导磁率 µ_r 因饱和点下降约 15%；RDSon(NMOS 内部开关管)在 125°C 约为 25°C 的 2×。综合效率从 25°C 典型 93% 降至 85°C 约 90%，额外功耗 = (1/0.90 − 1/0.93) × Pout(3.3W @ 600mA/5.5V) ≈ 0.11W。FS23 封装热阻 RthJA = 34°C/W(HVQFN32)：Tj ≈ Ta + Pchip × 34 = 85 + 0.11 × 34 = 88.7°C，远低于 Tj_TSD = 175°C ✓；但若 PCB 散热不足（强制对流失效），Tj 可逼近 120°C，需预算 15K 边际空间。

C2 冷启动角(−40°C, HVLDO1 版临界) — 若客户坚持用 HVLDO1 版(X=0)省成本，−40°C 时 PMOS dropout Vdo 典型从 25°C 的 0.4V 上升至 0.6–0.8V。ISO 16750-2 Profile III 规定 −40°C cold start VSUP 最低可至 5.5V：5.5V − Vdo(0.7V) = 4.8V < 5V（V1 目标）→ V1 欠压，CAN PHY 供电不足，网络管理首帧丢失。解法只有两个：① 用 HVBUCK 版（此角 D=5.5/5.5=1.0→直通模式，V1≈VSUP 5.5V，仍有小裕量）；② 接受 cold crank 期 BCM 不参与 CAN 通信（"cold crank safe state"需在 system safety concept 中明确）。

C3 OTP 固化的一次性 — FS23 所有关键安全配置（ASIL B 选项 Z=B/M、WD_PERIOD、VMON 阈值、LPON 槽序、LPON_V3_EN）全部 OTP 固化，不可现场修改。工程样件阶段若用 FS2322M(QM 件)做 prototype，ASIL B 验证数据全部无效；若用 FS2322B(ASIL B)但 OTP 配错 WD_PERIOD（=256ms 而非量产 20ms），量产切换时 WD 行为突变，需重新 DVT。控制纪律：OTP 配置写入需双人 review 方案 + BOM 锁定，进入 PVT 前冻结，不允许工程版 OTP 混入量产批次。