ISSCC 2019 Renesas zeigt Automotive-Chip mit Virtualisierungs-Unterstützung

Einen in 28 nm gefertigten 600-MHz-Automotive-Flash-Mikrocontroller mit einem Prozessor, der hardwareseitig Virtualisierung unterstützt, stellte Renesas auf der ISSCC vor. Er soll in Architekturen der nächsten Generation zum Einsatz kommen und ISO26262 ASIL-D erfüllen.

Die Automobilarchitektur hat sich in Richtung Integration und Zentralisierung entwickelt. Die Integration mehrerer elektronischer Steuergeräte (ECUs) reduziert das Fahrzeuggewicht, indem der Kabelbaum zwischen den ECUs entfernt wird, was zu Energieeinsparungen führt. Die Leistungsaufnahme von Automobil-MCUs muss unter schwierigen thermischen Bedingungen einstellig sein, und viele Funktionen müssen in einer MCU zusammengefasst werden. Die Einführung eines 28-nm-Prozesses ist für Rechenleistung, Leistungsaufnahme und Integrationsdichte notwendig, da ein herkömmlicher 40-nm-Embedded-Flash-Prozess hierfür unzureichend ist. Darüber hinaus mischt die Integration von Steuergeräten auch Softwarekomponenten mit unterschiedlichen Sicherheitsintegritätsstufen in einer MCU. Die Ressourcenisolierung ist für die funktionale Sicherheit unvermeidlich, um latente Fehler zu vermeiden. Im autonomen Fahrzeitalter werden die Anforderungen an die Datenmenge und Verarbeitungsleistung aufgrund der Anzahl und Komplexität der Sensoren, die eine Fusion in Echtzeit erfordern, steigen. Schnelle Netzwerke in Fahrzeugen sind unerlässlich. Mit der Entwicklung der Sensorfusion, der Informationszentralisierung und der Dezentralisierung der Steuerung haben sich die Automotive-Architekturen in Richtung einer zunehmenden Integration und Zentralisierung entwickelt.

Renesas präsentierte auf der ISSCC eine 28-nm-automotive-MCU mit 16 MB Flash-Speicher und vier 600-MHz-CPUs mit Lock-Step-Mechanismus entwickelt, die auf eine 5W-Obergrenze ausgerichtet ist (Bild 1). Die MCU realisiert auch folgende Integrationsanforderungen: den höchsten Automotive Safety Integrity Level (ASIL-D) und Verbesserungen der Netzwerkleistung. Drei Hauptmerkmale der MCU sind ein virtualisierungsunterstützter Prozessor für die funktionale Sicherheit, ein in die Logik eingebauter Selbsttest im Feld (Field-BIST) bei Rückkehr vom Standby in den aktiven Modus für die funktionale Sicherheit und ein SGMII (Serial Gigabit Media Independent Interface) für ein Fahrzeugnetzwerk.

Bild 1 zeigt die Gesamtarchitektur des Automotive-Steuerungssystems. Das System wird durch eine Firewall in zwei Subsysteme unterteilt, das sichere System und das Anwendungssystem (nicht sicher). Im ungesicherten System werden mehrere integrierte Anwendungen ausgeführt. Beim Einsatz von Multicore in Automobilanwendungen ist die Virtualisierung, die ursprünglich in Serversystemen eingesetzt wurde, entscheidend für die Bewältigung der zunehmenden Komplexität und der erforderlichen Rechenleistung. Die Hypervisor-Software realisiert die Virtualisierung, indem sie virtuelle Hardware auf physischer Hardware emuliert, um mehrere verschiedene virtuelle Maschinen (VMs) auszuführen. Die Virtualisierung in Automotive-Steuerungsanwendungen wurde jedoch durch den Overhead von Hypervisoren eingeschränkt. Um den Overhead zu minimieren, hat Renesas einen virtualisierungsunterstützten Prozessor entwickelt.

Der Virtualisierungs-Overhead besteht aus der Umschaltzeit des VM-Kontextes und der Verarbeitungszeit von Interrupts im VM-Kontext durch die Hypervisor-Software. Bild 2 zeigt virtualisierungsunterstützte Hardware im Prozessor, der eine Registerbank und eine hohe Bandbreite zwischen CPU und RAM aufweist, mit Speicher-/Wiederherstellungsanweisungen zur Reduzierung des Overheads beim Umschalten von VM-Kontexten. Die Hardware verfügt auch über eine Interrupt Request (IRQ) Affinitätssteuerungsschnittstelle, die die VM-Dienste für einen bestimmten Interrupt spezifiziert. Daher wird bei Auftreten eines IRQs zur aktiven VM der Interrupthandler auf der aktiven VM direkt aktiviert. In diesem Fall wird der Overhead der Hypervisor-Software vollständig eliminiert. Darüber hinaus kann die Interrupt-suspendierende Funktion das VM-Switching sowohl nach Interrupt- als auch nach VM-Priorität steuern. Wenn ein Interrupt mit geringerer Priorität für eine Hintergrund-VM auftritt, wird der IRQ ausgesetzt, bis die Hintergrund-VM aktiviert wird. In diesem Fall stören die VMs die aktive VM nicht. Dadurch verkürzt sich die Ausführungszeit des VM-Kontextwechsels um 72 % (von 1.56 μs auf 0.44 μs) und erfüllt die Anforderungen von 1 μs oder weniger. Der Overhead der Verarbeitungszeit der Interruptverteilung durch den Hypervisor beträgt in diesen beiden Fällen 0,0 μs. Störungen zwischen VMs sind aus Sicht der funktionalen Sicherheit in der Regel verboten. Sobald ein Fehler erkannt wird, muss das System sofort in einen sicheren Zustand übergehen. Daher hat eine Interruptanforderung, die einen Fehler meldet, eine hohe Priorität, auch wenn dies gegen das Verbot von Interferenzen zwischen VMs verstößt. Der Flächen-Overhead der Hardware beträgt weniger als 1 % des gesamten Chips.

Die zufälligen Hardwareausfälle pro Stunde in ASIL-D müssen kleiner als 10-8 sein. Um diese Ausfallrate zu erreichen, ist der Feld-BIST notwendig. Field-BIST wird während der Standby-Wiederaufnahmezeit ausgeführt, um eine CPU-Verarbeitungszeit nicht zu stören (Bild 3). Aufgrund der aktuellen Schwankungsbegrenzungsanforderung (di/dt) in Automobilanwendungen ist jedoch der große di/dt des Field-BIST in der Standby-Fortsetzungsphase ein Problem, das durch die Verschiebungen von Scan-Ketten entsteht. Um dieses Problem zu lösen, hat Renesas SR-BIST (standby-resume BIST) mit einem di/dt-Suppressor entwickelt. Das Konzept von SR-BIST ist in Bild 3 dargestellt. Jedes Mal, wenn die CPU aus dem Standby-Modus wieder in Betrieb geht, wird SR-BIST vor der CPU-Verarbeitung ausgeführt. Ein On-Chip-Oszillatortakt wird aufgrund seines schnellen Starts als Prüftakt verwendet. Der di/dt zu Beginn eines jeden SR-BIST wird reduziert, indem die Frequenz des Scan-Taktes mit Hilfe eines N/M-Teilers schrittweise erhöht wird. Experimentelle Ergebnisse zeigen, dass di/dt von 6 mA/μs auf 1 mA/μs reduziert wird, was den Anforderungen entspricht.

Gigabit-Datendurchsatz und geringe Latenzzeiten sind erforderlich, um Advanced Driving Assisted Systems (ADAS) mit mehreren Sensoren und Kameras zu unterstützen. SGMII ist im Vergleich zu parallelem Gigabit-Ethernet (GbE), wie GMII/RGMII, aufgrund seiner hervorragenden elektromagnetischen Verträglichkeit wünschenswert. Renesas hat daher eine SGMII-Schnittstelle mit einem PHY von 1,25 Gbaud (=1Gb/s) LVDS in die MCU integriert. Die MCU besteht aus Core- und 5V-Transistoren, da 5V I/O für Automotive-Anwendungen zwingend erforderlich ist. Aus Gründen der Zuverlässigkeit, die mit Spannungsspitzen verbunden sind, verwendet Renesas 5V-Transistoren für die direkt mit externen Pins verbundenen Schaltungen. 5V-Transistoren haben jedoch eine geringere Bandbreite als Core-Transistoren. Um dieses Problem zu mildern, hat Renesas den in Bild 4 ersichtlichen TX-Treiber und RX-Empfänger entwickelt. Der Kondensator CR in RX verringert die Quellimpedanz des Eingangspaares bei hoher Frequenz und erhöht die AC-Verstärkung bei etwa 600 MHz. Der Kondensator CT im TX leitet hochfrequenten Strom und kompensiert die durch den 5V-Ausgangstreiber bei hoher Frequenz verursachte Dämpfung. Simulierte Wellenformen der TX-Treiber mit und ohne CT zeigen, dass diese einfache Technik die Anstiegs- und Abfallzeit um 50 % reduziert und die Amplitude um 22 % erhöht. Das gemessene TX-Augenmuster ist in Bild 4 dargestellt.

Die CPU ist ein in zwei Clustern mit jeweils 2 Cores organisierter 32-bit-RISC-Prozessor mit einer 8-stufigen Pipeline und ist eng mit dem integrierten Flash-Speicher und dem SRAM gekoppelt. In der Automobil-Anwendungssoftware tritt die Tabellensuche häufig auf. Aufgrund der geringen Latenzzeiten der Speicher und der Out-of-Order-CPU liefert die MCU bei einem Benchmark für die Fahrzeugsteuerung die 5,6-fache Rechenleistung eines Renesas RH850/P1H-C. Ein neuronales Netzwerk (NN) wird zur digitalen Signalverarbeitung von Sensordaten eingesetzt. Die CPU verwendet einen Gleitkomma-SIMD-Koprozessor mit vier parallelen arithmetischen Operationen und Speicherzugriffsanweisungen. Die SIMD manipuliert Daten effektiv, indem sie Verschieben und Mischen von Daten in den Vektorregistern von 128 bit (4 Worte) × 32 Einträgen verwendet. Die Benchmark-Ergebnisse für die NN-Aktivierungsfunktionen sind in Bild 5 dargestellt. Die CPU mit Gleitkomma-SIMD liefert die 6,4 bis 9,1× Leistung eines Renesas RH850/P1H-C.

Die Messergebnisse für die MCU sind in Bild 6 dargestellt. Die Shmoo-Plots zeigen einen 667 MHz-Betrieb bei 25°C. Die 28-nm-MCU nimmt 0,56 W bei 125°C auf, was 45 % weniger ist als bei der 40-nm-MCU.

Der Testchip wurde in einem 28nm SG-MONOS e-Flash, High-κ Metallgate CMOS, verpackt in einem BGA mit 516 Pins, hergestellt. Bild 7 zeigt die Spezifikationen des Testchips. Die von Renesas auf der ISSCC präsentierte Automotive-MCU kann die Anforderungen an die ECU-Integration mit ASIL-D mit geringer Leistungsaufnahme von 0,52 W, Echtzeit-Virtualisierung über den virtualisierungsunterstützten Prozessor, zufällige Hardwareausfälle pro Stunde von 10-8 durch SR-BIST und ein GbE-Interface unter Verwendung des SGMII-Standards erfüllen.