【IF-SAFE-02】功能安全入门:基础设施安全 - 电源/时钟/SCU的守护

IF-SAFE-02_基础设施安全

【IF-SAFE-02】基础设施安全 - 电源/时钟/SCU的守护

本文深入解析AURIX™ TC3xx芯片的基础设施安全机制，涵盖PMS电源监控、时钟冗余备份、SCU看门狗及温度传感器的安全设计原理，揭示芯片如何通过多层防护机制应对共因失效（CCF）风险。

系列导航

一、安全概念：为什么基础设施安全如此重要？

1.1 共因失效（CCF）的本质威胁

在功能安全系统中，冗余设计是提高可靠性的经典手段。但冗余通道如果共享某些公共资源，单点故障可能导致所有通道同时失效——这便是共因失效（Common-Cause Failure, CCF）。

基础设施模块正是CCF的起点：

• 电源系统（PMS）：所有外设和内核共享供电网络，一旦电源异常，整个芯片陷入不可预测状态
• 时钟系统：时钟是数字电路的心脏，时钟异常会导致所有逻辑运算紊乱
• 复位/控制单元（SCU）：负责管理芯片状态转换，复位异常可能导致芯片无法进入安全状态

ISO 26262对CCF有严格要求：冗余通道之间的CCF必须通过特殊设计（如物理隔离、多样化实现）来降低其发生概率。

MCU基础设施安全全景

图1：TC3xx基础设施安全模块全景（来源：AN1002 Ch2）。图中标注了电源监控系统（EVR/ADC）、时钟系统（PLL/OSC）和系统控制单元（SCU）三大核心模块

1.2 TC3xx基础设施安全架构

TC3xx将基础设施安全机制分为三个层次：

本篇文章将逐一解析这三个层次的安全机制设计。

二、电源管理安全：PMS与ADC双通道监控

2.1 电源系统架构

AURIX™ TC3xx的电源系统（PMS）包含多个电源域，每个电源域都配备独立的安全监控：

电源轨分类：

2.2 主ADC与副ADC双通道监控

TC3xx对每个关键电源轨实施主/副双通道监控，这是应对共因失效的核心设计：

电源监控架构

图2：电源轨主/副ADC监控架构（来源：AN1002 Ch2 Figure 3）。Primary ADC负责常规过压/欠压检测，Secondary ADC提供独立备份监控，两路结果同时上报SMU

主ADC监控通道：

• 内置电压调节器（EVR）集成了过载和短路检测
• 主ADC对VDD、VDDP3、VEXT等电源轨进行连续采样
• 通过比较器实现过压/欠压阈值判定
• 检测结果直接上报SMU_core

副ADC监控通道：

• 独立于主ADC的完整测量链路
• 使用独立的参考电压源（VREF）
• 物理上与主ADC隔离，避免单点失效
• 同时上报SMU_core和SMU_stdby

双通道协同机制：

主ADC检测结果 ──┬──> SMU_core │ └──> 比较器 ───> 不一致告警 │ (主副通道交叉验证) 副ADC检测结果 ──┴──> SMU_stdby

当主副通道检测结果不一致时，触发更高优先级的SMU告警，确保即使单通道失效也不影响整体安全检测能力。

2.3 Power BIST与SHPBG

Power BIST（Built-In Self-Test）是TC3xx上电阶段的安全自检机制：

1. 启动时BIST：芯片上电后自动执行电源自检，验证内部电压基准和监控逻辑
2. 运行时SHPBG检查：待机期间，Secondary Monitor定期检查主电源基准（PLPBG），确保基准漂移不导致误判

这种设计实现了： - 上电阶段故障检测（不依赖软件） - 运行阶段基准自检（防止漂移累积） - 待机阶段备份验证（覆盖全生命周期）

2.4 Flash电源监控

Flash存储器对电源稳定性要求极高，TC3xx对Flash供电实施专项监控：

三、时钟系统安全：冗余与合理性校验

3.1 时钟系统架构

TC3xx的时钟系统包含多个层级，从时钟源到最终分频输出：

时钟监控框图

图3：时钟源与时钟分频内置安全机制（来源：AN1002 Ch2 Figure 4）。PLL输出通过fBACK参考时钟进行合理性校验，时钟分频器通过Safety Flip-Flop防单比特翻转

时钟源层级：

3.2 时钟冗余备份机制

备份时钟（fBACK）是TC3xx的最后一道时钟防线。即使所有PLL失锁，备份时钟仍能维持芯片基本运转：

备份时钟特性： - 基于内部RC振荡器，无需外部晶振 - 精度较低（±10%），但足以维持安全监控 - 当检测到PLL失锁时，自动切换至备份时钟

PLL失锁检测： - PLL内置Lock Detection电路，持续监测输出频率稳定性 - 失锁原因：晶振断裂、陶瓷谐振器失效、外部时钟线断路 - 检测到失锁后，立即触发SMU告警

3.3 时钟合理性校验（Clock Alive Monitor）

TC3xx的CCU（Clock Control Unit）实现了严格的时钟合理性校验机制：

时钟分配网络

图4：时钟分配网络受合理性检查保护（来源：AN1002 Ch2 Figure 5）。CCU对每个时钟域实施Toggle Detect和Plausibility Check

Toggle Detect（翻转检测）：

每个时钟域输出端部署计数器，检测时钟信号是否正常翻转：

Plausibility Check（合理性校验）：

将各时钟域输出与参考时钟对比，检测分频比是否被篡改：

fPLL0 / fBACK ──┬──> 比值合理性判断 └──> 异常→告警+切换备份时钟

3.4 Safety Flip-Flop（SFF）保护

时钟配置寄存器（与安全相关的SFR）通过Safety Flip-Flop机制保护：

SFF工作原理： 1. 每个受保护寄存器的每个比特位都配对一个镜像比特 2. 触发器周期性比对原比特与镜像比特的值 3. 任何单比特翻转都会被立即检测 4. 检测到翻转时，生成SMU告警

覆盖范围： - 时钟分频比配置寄存器 - PLL参数配置寄存器 - 时钟源选择寄存器

这确保了即使发生瞬态故障（如宇宙射线导致的单粒子翻转），时钟配置也不会被意外修改。

四、SCU系统控制单元：看门狗与安全控制

4.1 SCU架构概述

系统控制单元（SCU）是TC3xx的基础设施控制核心，集成了多个安全相关子模块：

SCU内部实现了多重保护机制（SFF、信号冗余等），以检测可能引发严重故障的瞬态或永久性故障。

4.2 多层级看门狗体系

TC3xx提供完整的看门狗体系，从单核到系统级逐层防护：

看门狗分类：

CPU看门狗： - 每个CPU核心独立配备看门狗 - 监控该核的软件执行是否超时 - 超时后触发该CPU的SMU告警

Safety看门狗： - 系统级看门狗，监控多核协同执行 - 防止单个核“失控”导致系统级故障 - 超时后触发系统级响应（可配置为复位）

Window看门狗： - 要求喂狗操作必须在指定时间窗口内完成 - 窗口太早（过早喂狗）或窗口太晚（超时）都是异常 - 有效防止虚假喂狗行为

4.3 紧急停止（Emergency Stop）功能

紧急停止是SCU提供的快速故障响应机制：

工作原理： 1. 当检测到严重故障（如Lockstep比较器报异常） 2. Emergency Stop立即置位安全输出引脚 3. 该信号直接通知外部PMIC执行安全关断 4. 不依赖软件干预，确保最快响应

典型应用场景： - 自动紧急制动（AEB）失效时，立即切断动力 - 安全气囊展开后，触发下电保护 - 电池管理系统异常时，执行快速放电保护

4.4 Endinit保护机制

SCU实现了严格的寄存器写保护机制——Endinit和Safety Endinit：

Endinit： - 普通保护级别，防止意外修改 - 解锁后有时间窗口限制，超时自动锁定

Safety Endinit： - 最高保护级别，用于安全关键寄存器 - 解锁需要特定密码序列 - 配置完成后立即锁定

安全相关寄存器（受Endinit保护）： - 看门狗配置寄存器 - SMU告警配置寄存器 - 时钟分频配置寄存器 - 复位控制寄存器

五、温度监控：热失控防护

5.1 双温度传感器布局

温度是影响芯片可靠性的关键因素。TC3xx配备两个温度传感器，布局在芯片最热区域：

5.2 温度告警机制

每个温度传感器提供两级告警：

温度传感器直接上报SMU_stdby，确保即使主系统失效也能检测到热异常。

六、故障响应：SMU的汇聚与分发

6.1 基础设施告警汇总

TC3xx的基础设施模块产生的告警统一汇聚到SMU：

6.2 SMU_core与SMU_stdby协同

SMU的两个子系统（SMU_core和SMU_stdby）相互监督：

SMU_core ──> smu_core_alive ──> SMU_stdby监控 │ SMU_stdby ──> smu_stdby_alive ──> SMU_core监控

任一方失效都会触发对方的告警，避免单点故障导致整个安全监控体系失效。

6.3 故障响应动作配置

根据告警类型，SMU可配置不同的响应动作：

七、与硬件模块的联动

7.1 FSP外部故障协议

FSP（Fail Silent Protocol）是TC3xx与外部PMIC通信的安全协议：

工作流程： 1. MCU检测到内部故障 2. MCU通过FSP引脚向PMIC发送错误信号 3. PMIC独立执行预定义的安全动作 4. 不依赖MCU软件，确保外部安全路径

典型配置：

MCU故障 → FSP0/FSP1 → PMIC ERR引脚 → 电源关断/安全状态

7.2 PMIC协同方案

TC3xx常配合英飞凌TLF35584/TLF38584等PMIC使用，实现完整的安全系统：

本篇总结

核心要点

1. 基础设施模块是共因失效（CCF）的潜在起点，电源、时钟、复位等公共资源需要特殊设计来降低CCF风险
2. PMS采用主/副双ADC监控机制，主通道负责常规检测，副通道提供物理隔离的备份监控
3. 时钟系统实现三级冗余：主PLL + 备份时钟fBACK + CCU合理性校验，任一层失效都能切换到安全状态
4. SCU集成多层级看门狗，CPU WDT监控单核执行，Safety WDT监控系统级协同
5. 温度传感器覆盖PMS和CPU两个最热区域，提供热失控的早期预警
6. SMU_core与SMU_stdby相互监督，避免单点失效导致安全监控失效

下篇预告

IF-SAFE-03将深入解析TC3xx的处理单元安全机制：

• Lockstep双核冗余的硬件实现原理
• ECC/EDC在SRAM和PFlash中的具体实现
• LBIST/MBIST自检机制与故障注入测试
• 端口安全与外设保护机制

参考资料

1. Infineon,AN1002 - FuSa in a nutshell: Introduction to AURIX™ TC3xx functional safety, V1.1 2025-07-14
2. Infineon,TC3xx User Manual Part1- System Control Unit (SCU) Chapter
3. Infineon,TC3xx User Manual Part1- Clock Control Unit (CCU) Chapter
4. Infineon,TLF35584 Datasheet- OPTIREG™ PMIC for Automotive Safety Systems
5. ISO 26262:2018, Part 5 - Hardware-level product development (CCF analysis guidance)

英飞凌TC3XX/硬件功能安全专栏：https://blog.csdn.net/weixin_43391096/category_13168776.html

🔍 搜“叶修”找到我 | CSDN：叶修_A | 知乎/小红书/抖音：叶修