基于模型设计，提高车规级芯片功能安全设计效率

在汽车电气化、智能化、网联化快速发展的今天，汽车所用的芯片数量与种类也日益增多。电气化引领了汽车电子电气架构的革新，催生出域控制器等集中式大算力芯片和IGBT等功率芯片；智能化则引入多种类的传感器和AI应用，带动了雷达、激光雷达、摄像头、智能座舱、5G车联网等模组、处理器、存储芯片，以及AI计算芯片的发展。

与消费电子芯片相比，车规级芯片需要满足更严苛工作环境，更长久质量保证和更严格功能安全的要求。

车规级芯片的功能安全是设计出来的

功能安全要求一个安全系统在发生随机的、系统的、常见的故障时，不会导致安全系统故障，也不会导致人的伤害或死亡、环境污染、设备或生产损失。

ISO 26262是汽车行业广泛接受的电子功能安全标准，提供了规范及设计指导原则，贯穿产品从概念开发、系统、硬件及软件开发、生产到报废的整个开发过程。由于芯片在汽车系统中扮演着越来越重要的角色，ISO 26262 2018版本新增加了11章节的半导体指南，规范了覆盖故障模式、相关性失效分析DFA、故障注入等通用技术，以及对数字、模拟、存储、可编程器件等半导体部件的具体要求。

完整的仿真、充分的验证、自动化的过程再现等，是ISO 26262标准推荐的芯片功能安全设计方法的一般准则。

建立芯片应用级功能模型

功能正确是功能安全的基础，智能电动汽车芯片的功能专业、新颖、复杂，例如激光雷达信号处理、ADAS视频图像处理、电池监测传感器测量与控制、高压电机驱动器等，需要在芯片设计研发阶段进行大量的功能建模仿真与分析。

基于模型设计方法学的一个核心价值即是建模，建模工作不仅包含芯片内部的功能算法模型，也包括测试这些功能所需的外部组件和环境的构建（例如ADAS NCAP测试场景、被控电机模型、锂电池组模型），还包括SoC芯片的架构分析模型（例如软硬件划分、内存访问、总线竞争等）。

应用级系统模型能够帮助芯片工程师确保用来评估设计的验证签核（signoff）标准与芯片最终客户最关心的标准一致。

“我们的客户中有相当一部分是Tier 1汽车供应商，他们最关心的就是规格书中的各项性能指标，比如信噪比（SNR）和总谐波失真（THD）。他们反倒不太关心大多数IC验证团队会关心的一些主要指标，比如单个组件测试结果、代码覆盖率结果，以及其他硬件实现级别的指标。另外，我们的客户利用现场试验和真实驾驶场景来评估完整的雷达系统，而IC验证团队则使用与真实信号相去甚远的测试图形来评估单个射频、模拟和数字组件。我和所在团队定义并实现了流程前置方法学，使得我们验证IC设计的流程与客户评估IC设计的标准保持一致。我们开发用于虚拟现场试验的路试驾驶场景基于许多客户所遵循的Euro NCAP标准。我们生成的功能和性能指标（如SNR）与客户评估自己产品中的IC组件所用的指标相同。”——NXP雷达芯片工程师。[1]

可仿真的模型不仅有助于提升公司内部芯片的设计开发验证、下一代产品的迭代优化效率，也可以虚拟处理器（vCPU）的方式服务早期客户，抢占市场先机。

自动化功能安全的验证

这是一个机器人与AI技术开始盛行的年代，基于模型设计的研发流程和嵌入在流程中的各种自动化工具，正在越来越多的被汽车工程师和芯片工程师所采用。

ISO 26262功能安全标准要求对芯片进行功能和结构覆盖率驱动的验证，而根据业内的调研结果，芯片开发过程中验证占用了50%的时间。由此，使用自动化工具提高验证效率将变得非常有意义。

芯片验证工作通常由芯片验证工程师完成，他们日常地挣扎于算法专家和RTL实现工程师的沟通洪流中。基于模型设计可以显著提高芯片验证效率，通过将验证前移，提高芯片算法的质量，从而减少算法、实现和验证的迭代次数；同时在算法、实现和验证传递可仿真的模型，也比传递文档能够减少许多沟通误差。

在芯片模型上，工程师可以使用Simulink Coverage^TM测量芯片模型和生成代码中的测试覆盖率，识别缺失的测试或意外的功能，并在图表上查看覆盖率结果；或者借助Simulink Design VerifierTM使用形式化方法识别芯片设计错误，找到难以发现的死逻辑和设计缺陷，自动生成测试向量以分析缺失的覆盖率，形式化地证明设计符合需求。

为加快汽车显示芯片图像处理IP核的设计和实施，瑞萨工程师采用了MATLAB®和Simulink®的基于模型的设计：“与传统的设计流程相比，采用基于模型的设计，我们能更早地验证我们的算法和系统功能，更快地适应需求指标变更，评估更多的设计替代方案。基于模型的设计在算法专家和RTL工程师之间架起桥梁。”[2]

为了应对日益增加的竞争压力，芯片制造商正在缩短交货时间表；另一方面，即使设计变得越来越复杂，客户对质量和性能的期望也在提高。许多公司发现，传统的设计方法——即团队对规范进行基于文档的验证，并在最终生产版本之前生产多个原型已经无法跟上行业当前的步伐。

在模型充分验证之后，HDL CoderTM可以从模型自动生成可综合的符合行业编码标准的VHDL或Verilog代码，自动实现FPGA-in-the-loop原型验证，也可以通过自动生成SystemVerilog或UVM测试环境以复用模型中的测试激励和框架，从而大大提高芯片RTL开发效率。

参考文献
[1]https://ww2.mathworks.cn/company/newsletters/articles/environment-in-the-loop-verification-of-automotive-radar-ic-designs.html?s_tid=srchtitle_%25E6%2581%25A9%25E6%2599%25BA%25E6%25B5%25A6_2
[2]https://ww2.mathworks.cn/company/user_stories/renesas-designs-and-implements-image-processing-ip-core-for-asics-with-model-based-design.html

作者：MathWorks中国 陈晓挺博士

来源：荣格-《智能制造纵横》

原创声明：
本站所有原创内容未经允许，禁止任何网站、微信公众号等平台等机构转载、摘抄，否则荣格工业传媒保留追责权利。任何此前未经允许，已经转载本站原创文章的平台，请立即删除相关文章。