Schwerpunkte

System-Basis-Chips (SBC)

Auf dem Weg zum »Multifunktionstalent«

10. September 2021, 05:42 Uhr   |  Iris Stroh


Fortsetzung des Artikels von Teil 1 .

Genaue Spannungen werden generiert

FS SCB
© NXP Semiconductors

Grundlegende Architektur der FS SCBs

In einer ECU benötigt der Prozessor für einen optimalen Betrieb eine sehr stabile und genaue Versorgungsspannung. Gleichzeitig erzeugen Prozessoren hohe Lasttransienten, wenn interne Power-Domänen ein- und ausschalten, um die Leistungsaufnahme zu minimieren, oder wenn im Rahmen der Routineprüfungen für die funktionale Sicherheit eingebaute Selbsttests (BIST) durchgeführt werden.

Für FS SBCs (Functional Safety System-Basis-Chips) kein Problem, sie versorgen die Prozessoren und andere Lasten mit genau geregelten Spannungen, trotz der schwankenden Werte aus der Batterie. Deshalb sind in FS SBCs Abwärtswandler und Aufwärtswandler integriert. Bei geringeren Lastströmen werden auch Linearregler eingesetzt, entweder mit internen oder externen Durchlasselementen. »Die richtige Entscheidung zwischen DC/DC-Wandlern und Linearreglern, zwischen integrierten und externen Durchlasselementen hängt von der Verlustleistung im IC ab, wird aber auch von Kosten-, Sicherheits- und Größenüberlegungen für das System beeinflusst«, so Abouda weiter.

Die FS SBCs müssen auch den Anforderungen an niedrige Leistungsaufnahme genügen. Denn beim Parken darf nur so wenig Strom wie möglich aus der Batterie gezogen werden. Typischerweise muss ein Fahrzeug eine zwei- bis dreiwöchige Parkdauer überstehen und den Motor noch starten können. Daher ist die Gesamtstromaufnahme von Steuergeräten auf weniger als 100 µA begrenzt. Abouda: »Der SBC ist auch während des Parkens mit der Batterie verbunden, befindet sich allerdings im Energiesparmodus und ist in der Lage, Weckfunktionen wie das Öffnen der Türen durchzuführen.« Mit der Elektrifizierung der Fahrzeuge wird das Thema noch wichtiger, da jede Energieentnahme aus der Batterie die Reichweite des Fahrzeugs verringert.

Funktionale Sicherheit wird immer wichtiger

Mit der zunehmenden Komplexität wird die funktionale Sicherheit, insbesondere bei autonomen und elektrifizierten Fahrzeugen, immer wichtiger. Daher müssen auch die SBCs ein Höchstmaß an funktionaler Sicherheit (ASIL-D) erfüllen. Dementsprechend hat NXP in seine FS SBCs diverse Sicherheitsmechanismen integriert. Zum Beispiel werden SPFs (Single Point Fault) in Stromversorgungen mit einer zusätzlichen Überwachungseinheit gehandhabt, die ständig überprüft, ob die erwartete Spannung tatsächlich vorhanden ist und innerhalb der erwarteten Bereiche liegt. Wenn dies nicht mehr der Fall ist, wird ein sicherer Zustand ausgelöst. Natürlich kann auch die Überwachungseinheit defekt sein, also ein latenter Fehler auftreten. Diese Fehler wiederum werden mithilfe von BIST überwacht, der immer wieder Fehler einstreut, um zu testen, ob die Überwachungseinheiten im Falle eines SPF ordnungsgemäß reagieren. Die Überwachungseinheit und BIST stützen sich auf unabhängige Referenzwerte wie Spannungen oder Ströme »und in dem Fall ist Unabhängigkeit ein wichtiger Faktor«, erklärt Abouda. Denn würde sich die Hauptfunktionseinheit sowie die Überwachungseinheit auf dieselbe Referenz verlassen, könnte ein SPF nicht erkannt werden, wenn die Referenz defekt ist. Aus diesem Grund enthält die ASIL-D FS SBC-Architektur eine vollständig getrennte Safety-Processing-Einheit, die ihre eigenen Referenzwerte generiert und auch physikalisch vom Rest des Chips getrennt ist.

»Functional Robustness«

Jedes, an das elektrische Netz angeschlossene Power-Management-IC muss gemäß der Norm ISO 7637 [6] immun gegen transiente Impulse nach ISO sowie gegen andere Spannungsimpulse sein, die als Nicht-ISO-Impulse bezeichnet werden, da sie fahrzeugherstellerspezifisch sind. Die Anzahl der Nicht-ISO-Impulse ist unbegrenzt, da sie OEM-spezifisch sind und jeder OEM seinen eigenen, auf Erfahrung basierenden Nicht-ISO-Impulskatalog hat. »Um Fehler bei der Modulvalidierung aufgrund von Nicht-ISO-Impulsen am Ende des Validierungsprozesses zu vermeiden, ist es besser, das IC-Verhalten im Voraus zu erkennen und vorherzusagen«, erklärt Abouda weiter. Deshalb hat NXP eine eigene Validierungsplattform entwickelt, mit der das IC anhand einer Datenbank mit mehreren Tausend Nicht-ISO-Impulsen validiert wird.

Wie sich das System nach einem Ausfall verhält, ist ebenfalls ein kritischer Aspekt der Analyse und des Safety-Verhaltens des ICs. Die FS SBCs von NXP wurden laut Abouda bis zur Zerstörung getestet, um die Redundanz der Architektur zu bewerten. Laut Abouda haben die Tests ein vorhersehbares Verhalten ergeben und das Sicherheitskonzept bestätigt.

Elektrostatische Entladungen (ESD) und elektromagnetische Verträglichkeit (EMV) sind für die Zuverlässigkeit eines sicheren Systems ebenfalls unabdingbar, denn in beiden Fällen dürfen dadurch keine Schäden entstehen. Und auch in diesem Fall werden die Herausforderungen laut Abouda immer größer. Denn sind beispielsweise in einem FS SBC ein DC/-DC-Wandler mit CAN- oder LIN-PHYs integriert, dann werden über diverse Wege Schaltgeräusche eingekoppelt. Hinzu kommt noch, dass es mit steigender Schaltfrequenz immer schwieriger wird, die EMV-Spezifikationen zu erfüllen.

Fahrprofile ändern sich

Die Elektrifizierung und das autonome Fahren erhöhen die Nutzungsdauer der elektronischen Module im Vergleich zu heutigen Verbrennungsfahrzeugen deutlich. Bei einem Fahrzeug mit Verbrennungsmotor ist die Lebensdauer auf insgesamt 12.000 Stunden begrenzt. Bei 15 Jahren Laufzeit sind das durchschnittliche 800 Fahrstunden pro Jahr. Bei Elektrofahrzeugen sieht die Rechnung aber anders aus. Zwar ändert sich nicht die Anzahl der gefahrenen Stunden, aber in dem Fall muss noch die Ladezeit für die Batterie des Elektrofahrzeugs hinzugerechnet werden. Und die kann bei 220 V mehrere Stunden pro Tag betragen. Abouda »Das heißt, dass sich nur durch den Ladevorgang die Betriebsstunden verfünffachen können.« In ähnlicher Weise kann sich auch das autonome Fahren auf das Einsatzprofil auswirken. Ein Robotaxi soll bis zu 20 Stunden pro Tag und 330 Tage pro Jahr eingesetzt werden. Hier sprechen wir also von einer Verdreifachung der Gesamtzahl der Stunden im Vergleich zu Verbrennungsfahrzeugen. »In beiden Fällen sind die Auswirkungen auf die Elektronik enorm und können Probleme hinsichtlich der Elektromigration, der Zuverlässigkeit der Systeme sowie auf die Gehäusetechnik mit sich bringen. Abouda abschließend: »Die Qualifizierungsverfahren für ICs müsse überdacht werden, und es sind neue Ansätze erforderlich, um eine langfristige Zuverlässigkeit zu gewährleisten, ohne die Entwicklungszeiten zu verlängern.« 

Seite 2 von 2

1. Auf dem Weg zum »Multifunktionstalent«
2. Genaue Spannungen werden generiert

Auf Facebook teilen Auf Twitter teilen Auf Linkedin teilen Via Mail teilen

Das könnte Sie auch interessieren

Verwandte Artikel

NXP Semiconductor Netherlands B.V., NXP Semiconductors Germany, NXP Semiconductors Marketing and Sales Unternehmensbereich derPh-GmbH