NXP FS85/FS84 安全 SBC:相对 FS65 的代差 + fail-safe 状态机 + 集成大坑

FS85xx 是 ASIL D 系列、FS84xx 是 ASIL B 系列(实证型号 FS8500/8510/8520/8530 与 FS8400/8410/8430)。典型应用是高功耗的 ADAS/radar/camera/domain controller,常与外部 PMIC(PF8200/PF5024)配合给 DDR 等供电。相对 FS65 的代差:

• SMPS 拓扑(最硬的代差):FS65 的 VPRE 是内部固定 6.5V buck-boost 中间轨 + 内部三轨;FS85 改为外置 MOSFET 开关 pre-regulator,开关频率可选 455 kHz 或 2.22 MHz,并新增 VBOOST 升压级,低压侧是 BUCK1/2/3 三路同步 buck(BUCK1+BUCK2 可多相)+ LDO1/LDO2。
• 无内置收发器:FS65 内置 CAN FD + LIN PHY;FS85 全篇无 PHY,反而讲"VBOOST 供外部 CAN 收发器(如 TJA1042)"——定位分水岭。
• ASIL 区分方式:FS85/84 用型号位直接区分(FS85xx=D / FS84xx=B);FS65 是同器件按 lockstep MCU 配置升到 D。

AN12333 没有 rail 规格总表(指向 datasheet),但从原理图 + 外围约束可还原架构:

VPRE 用外置 NMOS 开关 buck,栅驱来自内部 VBOS(5V);455 kHz 用 6.8µH 电感、2.22 MHz 用 2.2µH(频率越高电感越小、利于 EMC/radar 频段避让,但要求 MOSFET 单封装防热耦合、Qg<7nC)。VBOOST 升压级供 CAN 收发器等(电感 4.7µH;FS8500 VBOOST 标称 3% DC 精度)。BUCK1/2/3 同步 buck 供 MCU 各核(电感 1µH,BUCK1+BUCK2 可多相并成大电流 VCORE)。LDO1/LDO2 输入可取 VPRE 或 VBOOST。上电顺序由 OTP 配置 power-up slot(1-7);ASIL D 下"高压先、低压后",外部 PMIC 由 FS85 最后一个 VREGx 启动后使能。

FS85 上电进 INIT_FS(fail-safe 初始化态,可用 GOTO_INITFS 重入),此态可写 fail-safe 寄存器。INIT_FS 超时 = 256 ms 是硬死线:所有 fail-safe 配置 + 第一次 good watchdog refresh 必须在 256 ms 内完成,否则进 fault。

RSTB 双向,接 MCU reset 做 functional reset(在 INIT_FS 期间由 SPI/I²C 配置);PGOOD 接 MCU PORB 做 hardware reset。正常态有一个 8s RSTB 监控 timer(debug mode 会禁掉)。LBIST 在上电/WAKE 时执行(自动 debug 入口要求 WAKE 脉冲 >7ms 以便 VBOS started + LBIST 在脉冲结束前跑完)。双振荡器监控:main 域 + fail-safe 域各一振荡器,漂移过大置 FS_OSC_DRIFT。

watchdog:AN12333 不展开类型/窗口(指向 datasheet),但实证:概念是 "good watchdog refresh",refresh 限速由 WD_RFR_LIMIT 控,debug 入口"watchdog window fully opened" → 印证正常态是 window watchdog;WD 与 FLT_ERR_CNT(fault error counter) 联动,计数达 intermediate value 触发 RSTB。量产/车内烧录要在 INIT_FS 态禁 WD refresh + 设 FCCU_CFG=00 禁 FCCU 监控避免误报。

先分清两层(别混):ASIL D 是系统属性,不是器件单独"达成"的。器件级:FS85 是 fit for ASIL D 的 SEooC(内含独立 safety island,按 ISO 26262 以 ASIL D 开发),ASIL D 能力由器件内建安全机制提供——FCCU1/FCCU2 双引脚、FS0B fail-safe 输出、ERRMON、BIST(ABIST/LBIST)、独立 reference 的电压监控 VMONx、外部时钟同步监控、AMUX/ADC 诊断;FS84 是 fit for ASIL B。这一层不依赖外部 PMIC(VMONx 可只监控 FS85 自身轨即满足)。

系统级:当 SoC core 需要外部 PMIC(PF8200/PF5024)供大电流时,把 FS85_VMONx 取在外部 PMIC 调压输出端做冗余监控(OV 设 VCORE 最大、UV 设最小;VMONx 分配给 ABIST1,VCORE 可用后才释放 FS85_PGOOD;FS85 管 RSTB、外部 PMIC 经 ENABLE 由 FS85 VREGx 控)——这是用 FS85 的独立冗余电压监控覆盖外部 PMIC 的架构选择,不是 ISO 26262-9 §5 意义上的 ASIL 分解。它与 FS65"SBC + lockstep MCU 打包"是达成系统 ASIL D 的不同架构路线。

ASIL D 硬件度量硬目标(系统 FMEDA 层):SPFM ≥ 99% / LFM ≥ 90% / PMHF < 10 FIT(ISO 26262-5:2018 Table 4/5/6;详见 FMEDA 深页)。FS85 器件对这些度量的定量贡献(各 SM 的 DC、FIT)在 FS85 Safety Manual,AN12333 与 datasheet 不给。

本设计锚: Automotive radar domain controller，Cortex-R52 安全 MCU + PF8200 外部 PMIC (DDR/SoC 大电流) + FS8500 (FS85 ASIL D 首型)。VSUP = 12V 车载电池，VPRE 目标 6V，Iout_VPRE = 3A。

Step 1 — 外置 MOSFET 选型(VPRE 2.22 MHz 路径)

高频路径要求 Qg < 7nC 是因为 FS85 内部 VBOS 仅 5V 驱动，驱动电流有限；单封装要求是防两管热耦合影响 VPRE 精度。

VPRE 纹波计算：

$\Delta IL=\frac{(Vin-VVPRE)\times D}{fsw\times L}=\frac{(12-6)\times 0.5}{2.22\text{MHz}\times 2.2\mu \text{H}}=\frac{3.0}{4.884}=0.614\text{A}$

纹波比 $k=\Delta IL/Iout=0.614/3.0=20.5\%$ ✓（目标 ≤ 30%）

选型约束（来自 AN12333）：Vds ≥ 25V（12V 输入 × 2× 裕量），NMOS，Qg < 7nC@Vgs=5V，单封装（SOT-523/SC-74）。

栅驱损耗（保守取 Qg = 6nC）：

$Pgd=Qg\times fsw\times Vgs=6\text{nC}\times 2.22\text{MHz}\times 5\text{V}=66.6\text{mW}$

FS85 内部 VBOS 驱动能力可承受 ✓；单封装散热时注意 PCB 热阻 RthJA ≤ 100 K/W（Tj_max = 125°C，Ta = 85°C：Pdmax ≤ 0.4W > Pgd ✓）。

Step 2 — INIT_FS 256ms 启动时序预算

以 WAKE 引脚触发为 t = 0，关键里程碑如下（时间相对于 INIT_FS 开始，即 WAKE 脉冲结束后）：

• WAKE 脉冲 = 10ms（> 7ms 下限 ✓，保证 LBIST 在脉冲内完成）
• INIT_FS 开始：t = 0（WAKE 结束）
• MCU 启动 + 内部 BIST：dt1 = 50ms（Cortex-R52 快速启动路径含 CPU/RAM/Flash BIST）
• SPI 安全配置（FCCU_CFG + VMONx_CFG + WD_CFG + FS0B_CFG，约 30 写@10MHz SPI → 30 × 3.2µs）：dt2 ≈ 0.1ms
• 第一次 good WD refresh 发出：t1 = 50.1ms

INIT_FS 实际占用 = t1 = 50.1ms，剩余裕量 = 256 − 50.1 = 205.9ms，余量因子 5.1× ✓

Step 3 — 挑战窗口 WD 周期与 FTTI 预算

系统 FTTI = 150ms（ADAS 感知链 HARA 分析：E=4/C=3/S=3，ASIL D；时序来自 HARA 报告）。

WD_PERIOD = 40ms（窗口 WD：50% 开窗→开窗期 [20ms, 40ms] 内刷新有效）。MCU 周期任务每 25ms 刷新一次，在开窗期内余量 5ms（宽松侧）和 15ms（严格侧）。

故障响应时序（WD 路径）：MCU 挂死 → 40ms 内未刷新 → WD 错误计数器 +2（答错 +2 per FS84/FS85C DS Rev.6 §32.4）。FLT_ERR_CNT_LIMIT = 6（默认值，max=6，intermediate=3），POR 后 FLT_ERR_CNT = 1；1 次未刷新后计数器 1+2=3 = intermediate → RSTB/FS0B assert（1 次错误即触发，因默认初值 1 + 增量 2 = 3 = intermediate）。

WD 检测延迟 = 1 × WD_PERIOD = 40ms。安全态动作预算 = FTTI − WD 检测延迟 = 150 − 40 = 110ms ✓（MCU 冷重启 + fail-safe 引脚拉低 ≤ 10ms ≪ 110ms）

VMON 快速路径（供电故障）：UV 检测 → 去毛刺 10µs → FS0B assert。FTTI 余量 = 150ms − 0.01ms ≈ 15000× 裕量 ✓，对供电故障实质上无 FTTI 压力。

Step 4 — VMONx 阈值设定（外部 PF8200 VCORE = 1.0V）

FS85 VMONx 比较器参考为固定 0.8V，监控电压通过外部分压到 0.8V 标称：

$\frac{R2}{R1+R2}=\frac{0.8\text{V}}{1.0\text{V}}=0.8\Rightarrow R1=10\text{k}\Omega ,R2=40\text{k}\Omega$

验证：$VMON1=1.0\times \frac{40}{50}=0.8\text{V}$ ✓（对齐 0.8V 固定参考）

UV 检测（设 −4% 偏移）：

$VMONuv=0.8\times 0.96=0.768\text{V}\Rightarrow VCOREuv=0.768\times \frac{50}{40}=0.960\text{V}$

OV 检测（设 +5% 偏移）：

$VMONov=0.8\times 1.05=0.840\text{V}\Rightarrow VCOREov=0.840\times \frac{50}{40}=1.050\text{V}$

监控窗口 [0.960V, 1.050V]，覆盖 VCORE 标称 ±5% 规格 [0.95V, 1.05V] — UV 端稍窄（触发在 −4% 而非规格边界 −5%），给 Tier-1 FMEDA 留出分析空间，不影响 ASIL D 论证有效性 ✓

Step 5 — 系统 PMHF 核验

FS85 Safety Manual 给出器件级 ASIL D 度量（SPFM/LFM/器件 FIT 贡献），本步用 SSOT 系统级数字核验（数字源：MCU+SBC ASIL D 集成页 §8）：

• 系统对：S32K344（lockstep MCU）+ FS26/FS85 族 SBC — CMOS 40nm vs BCD 180nm 异工艺
• λD(MCU) = 100 FIT，DCspf = 99%；λD(SBC) = 40 FIT，DCspf = 90%
• β = 2%（中高分档，由工艺多样性 + 独立振荡器 + 独立带隙基准贡献）
• λCCF = β × min(λD_MCU, λD_SBC) = 2% × 40 = 0.8 FIT（主导项，占 89%）
• λSPFsys = 0.1 FIT；λMPF ≈ 0
• PMHF = λCCF + λSPFsys ≈ 0.9 FIT ≪ 10 FIT，余量 11× ✓

结论：系统 ASIL D 随机硬件故障目标通过，CCF 是主要风险（89%）。提高系统 PMHF 余量的唯一有效杠杆是降低 β（工艺多样性、物理隔离、独立电源基准）。

集成 FS85 最常见的七个失效场景，分轻重依次列出：

G1 — INIT_FS 超时：MCU 启动 BIST 过长。MCU（尤其含 LPDDR4/MBIST 的 SoC）启动时间可达 200ms 甚至 300ms，远超 FS85 的 256ms INIT_FS 超时。结果是 FS85 在 MCU 还没完成 BIST 时就进 fault，系统永远无法正常上电。修法：测量 MCU 实际冷启时间（含 BIST），若超 200ms 须与 FS85 做 "GOTO_INITFS 重入"协议——MCU 先用最短 SPI 序列 refresh 一次 WD（安全寄存器尚未配好），随后再逐步完成完整配置；此模式要特别说明 FMEDA 中 INIT_FS 期间 SBC 尚未完全配置的安全空窗。

G2 — AoU 未逐条核验，直接引用 FS85"ASIL D"声明。FS85 的 SEooC Safety Manual 包含一组 assumptions of use，只有所有 AoU 成立，其 FMEDA 数字才有效。常见漏项：① 外部 ERRM 监 FS0B 的独立性（若 ERRM 与 MCU 共电源则 CCF 增大）；② safe state 定义（AoU 假设 FS0B→ECU 安全关断，若实际系统另有路径则须重论证）；③ VMON 阈值（AoU 要求 UV ≥ 0.77V、OV ≤ 0.84V，实际阈值偏离须更新 FMEDA）。评审发现一条 AoU 不满足，整个器件级 ASIL D 论证失效，须 Tier-1 自证等效。

G3 — VMONx 与被监控 PMIC 共因失效路径。若 FS85 的 VMON1 分压电阻电源来自 PF8200（被监控轨本身），则 PF8200 输出跌落时 VMON 分压网络同时掉电，监控功能与被监控轨共因失效（共同依赖同一 VSUP 子路径）。修法：VMON1 分压器 R1/R2 由 FS85 内部 LDO 基准（VBOS 5V 或独立 VREG）供电，而非取自被监控 PF8200 输出轨。DFA 分析必须明确 VMON 独立性证据。

G4 — WD_PERIOD 设置过短，高负载下 MCU 调度抖动导致误刷新。安全 MCU 在 bootloader、OTA 更新、大批量 CAN FD 帧处理期间，最高优先级任务可能占用 > WD_PERIOD/2，导致 WD refresh 超出窗口边界触发误报。设计原则：WD_PERIOD ≥ 最坏任务延迟 × 3；对 64ms 周期，MCU 调度最坏延迟应 ≤ 21ms。

G5 — BUCK1 不能被 OTP 关闭。不用 VCORE 时必须走 workaround（BUCK1_IN 接 VPRE 保 OV 保护、放 power-up slot 7 不自启、主动屏蔽 VCOREMON_UV/OV_FS_IMPACT=00），否则永久 VCOREMON_UV 会拖住 FS0B 不释放。FS65 三轨固定没这个"用不到却关不掉"的问题。

G6 — FLT_ERR_CNT 默认就会产生 RSTB 脉冲。上电 FLT_ERR_CNT = 1，设 FLT_ERR_CNT_LIMIT = 00 时 intermediate value = 1 立即触发 reset → 器件出 INIT_FS、置 REG_CORRUPT。避免需先递减计数或临时禁 FLT_ERR_IMPACT。这是"非对称寄存器写"语义的经典坑，safety case 必须覆盖。

G7 — 双振荡器慢爬升误报。WAKE 慢于 0.25 V/ms 唤醒会误置 FS_OSC_DRIFT，必须在 INIT_FS 清位回读区分真漂移 vs 慢爬升。点火电压缓升的真实车况下这是常见误报源；INIT_FS 软件流程必须包含 FS_OSC_DRIFT 清位步骤作为标准操作，不能假设不会置位。

以下三个极限工况揭示 FS85 在边界条件下的系统性约束：

C1 — 低温 −40°C 冷启：慢 WAKE 爬升 + 多相 BUCK 电感饱和并发。冬季停车后点火，VSUP 从 0V 爬升速率通常 < 0.1 V/ms（远低于 0.25 V/ms 阈值）→ FS_OSC_DRIFT 误报（G7）。同时 BUCK1/BUCK2 多相在 −40°C 下铁芯 µi 升高约 15%，实际电感量 > 标称，启动时入口电流尖峰超出 PF8200 预期 → VCORE 短时欠压 → VMON_UV 在 INIT_FS 中途触发 RSTB 循环。设计要求：① −40°C LBIST 时序验证（VBOS 爬升是否覆盖 LBIST 执行时间）；② VCOREMON_UV_FS_IMPACT = 00 在 INIT_FS 期间临时禁用直到 VCORE 稳定 > 10ms。

C2 — 外部 PMIC 型号换代导致 AoU 漂移。供应链 OEM 认证后将 PF8200 换为 PF8201（提升 DDR 电流能力），但 PF8201 的 VCORE 上升斜率更快（2ms vs 5ms）→ 触发 FS85 VMON1_OV（OV 去毛刺 100µs 窗口内 VCORE 超调 > 1.05V）→ 系统在 INIT_FS 期间进 fault。换代触发 re-qualification 的核心项就在于此：VMON_OV/UV 阈值和 PF8200x 的轨特性是 AoU 的一部分，PMIC 型号变化 = AoU 变化 = FMEDA 须重算。

C3 — 高功耗 ADAS 域控热运行：VPRE MOSFET 热保护触发级联。满负载（GPU/NPU 运转，SoC 功耗 15W+），PF8200 效率 90% → 热耗约 1.7W → PCB 热阻 RthJA = 80 K/W → Tj_PMIC = 85°C + 1.7W × 80K/W = 221°C 超 Tj_max 125°C（若无热设计）。实际 Tj 由散热器控制，但 PCB 热场也影响 FS85 外置 MOSFET 的 RthJA；若 MOSFET RthJA 偏高（PCB 铜面积不足），Tj_MOSFET 超 125°C → RDS(on) 升高 → VPRE 负载调整率下降 → VMON_UV 误触发 → FLT_ERR_CNT 累积 → RSTB/FS0B。热设计必须联合 FS85 MOSFET、PF8200、SoC 功耗做整板热分析，防止 VMON 因热场间接触发。