對于汽車、火箭、機器人和飛機的用戶，在享受這些產(chǎn)品帶來的便利用途的同時，都希望它們是安全的，甚至可能將這種安全視為理所當然。但是，對于這些系統(tǒng)的設(shè)計者而言，安全性及隨之而來的各項要求，對產(chǎn)品的正常運行至關(guān)重要。
三十多年來，美光一直是汽車內(nèi)存和存儲市場值得信賴的領(lǐng)軍企業(yè)，持續(xù)推出創(chuàng)新產(chǎn)品，以滿足芯片組 (SoC) 供應(yīng)商、OEM廠商、一級供應(yīng)商和終端用戶不斷變化的需求。美光在品質(zhì)與安全領(lǐng)域的卓越積淀，使其成為業(yè)界標桿。我們深知，汽車應(yīng)用和關(guān)鍵任務(wù)工業(yè)應(yīng)用必須使用搭載前沿技術(shù)的內(nèi)存，才能滿足功能安全標準的要求，同時還能幫助集成商顯著縮短開發(fā)時間，簡化安全系統(tǒng)認證流程。
定義功能安全
功能安全的目標是：即使在發(fā)生故障時，系統(tǒng)仍然能夠?qū)斎胱鞒鲰憫?yīng)，并能夠持續(xù)安全、正確地運行。在半導體領(lǐng)域，功能安全的實現(xiàn)涉及對器件的設(shè)計與驗證，以檢測、管理和減輕可能導致危險情況的故障。適用于汽車系統(tǒng)ISO 26262和適用于工業(yè)應(yīng)用的IEC 61508等行業(yè)標準定義了相關(guān)的結(jié)構(gòu)化流程和安全完整性等級——汽車安全完整性等級 (ASIL) 和安全完整性等級 (SIL)，用于指導這些安全關(guān)鍵型器件的開發(fā)。
內(nèi)存在汽車安全系統(tǒng)中的作用
隨著高級駕駛輔助系統(tǒng) (ADAS) 和自動駕駛技術(shù)的快速發(fā)展，車載電子系統(tǒng)的復雜性已經(jīng)堪比現(xiàn)代的數(shù)據(jù)中心。內(nèi)存組件在過去被認為是外圍設(shè)備，如今已經(jīng)成為核心設(shè)備，對于系統(tǒng)的性能和安全性至關(guān)重要。
2022年，美光LPDDR5X DRAM在業(yè)界率先通過了ISO 26262 ASIL-D認證，為內(nèi)存功能安全樹立了新的標桿。這一里程碑將內(nèi)存重新定義為復雜半導體器件，與安全關(guān)鍵型應(yīng)用中的處理器和SoC具有同等重要地位。這不僅是一項技術(shù)成就，還標志著美光的戰(zhàn)略承諾——為ADAS、信息娛樂和自動駕駛等平臺提供安全可靠的性能。
如今，美光仍然是唯一一家可提供產(chǎn)品級ASIL-D認證DRAM的內(nèi)存供應(yīng)商，彰顯出我們在功能安全方面的優(yōu)勢地位。隨著美光深耕工業(yè)市場，安全與可靠性積淀使我們成為快速轉(zhuǎn)型行業(yè)中值得信賴的供應(yīng)商。在這些行業(yè)中，安全性和性能均是不可或缺的關(guān)鍵因素。
通過IEC 61508 SIL-3認證提升工業(yè)安全水平
在智能工廠、機器人和端側(cè)AI推動下，工業(yè)市場正在經(jīng)歷一場影響深遠的數(shù)字化轉(zhuǎn)型。這些技術(shù)進步使得應(yīng)用的復雜度和重要性大幅上升，要求安全標準達到與汽車行業(yè)相當?shù)乃?。隨著工業(yè)自動化系統(tǒng)在制造、能源和運輸行業(yè)中的不斷拓展，故障可能造成的影響也日益顯著。用于控制機械、基礎(chǔ)設(shè)施或移動設(shè)備的系統(tǒng)必須能夠安全地處理故障——其首要前提是采用符合嚴苛SIL標準的器件。
為應(yīng)對上述需求，美光正在擴展其ASIL-D認證級別LPDDR5X產(chǎn)品組合，以滿足安全完整性等級3 (SIL 3) 要求，從而加強我們對汽車和工業(yè)領(lǐng)域功能安全的承諾。美光的LPDDR5X產(chǎn)品系列已通過IEC 61508認證，具備SIL 3所要求的系統(tǒng)能力（由exida評估）。這一里程碑使美光能夠在關(guān)鍵任務(wù)工業(yè)應(yīng)用中部署旗下的內(nèi)存解決方案，而這些應(yīng)用也需要更高等級的安全保證。
如今，美光的LPDDR5X解決方案借助外部安全機制，可在系統(tǒng)層面支持SIL-3合規(guī)性，如果僅依靠內(nèi)部安全特性，則可滿足SIL 2合規(guī)要求。
2022年，美光獲得了ISO 26262產(chǎn)品認證和流程認證雙認證。產(chǎn)品認證證明美光具備提供ASIL級別內(nèi)存解決方案的能力，而流程認證更具戰(zhàn)略意義，證明美光的開發(fā)流程本身能夠始終如一地生產(chǎn)符合ASIL標準的產(chǎn)品。這種雙認證的獨特優(yōu)勢讓美光能夠?qū)⒐δ馨踩珨U展到旗下整套汽車產(chǎn)品組合中。
現(xiàn)在，美光正在采用相同的方法進軍工業(yè)領(lǐng)域。通過讓旗下具有代表性的LPDDR5X產(chǎn)品先獲得IEC 61508認證（詳見下文），同時積極獲得流程認證，我們正為該標準在更多產(chǎn)品中的推廣奠定基礎(chǔ)。這意味著未來使用這些已認證流程開發(fā)的美光產(chǎn)品可以更高效地滿足IEC 61508標準的要求，從而能夠加速上市，并減輕每種新產(chǎn)品都需要重新認證的負擔。
與旗下的汽車行業(yè)產(chǎn)品類似，美光同樣為工業(yè)市場客戶提供安全文檔，包括安全手冊和基于FMEDA的安全分析報告（表 1）。這些資源可提升產(chǎn)品的透明度和可追溯性，讓客戶能夠更輕松地將我們的產(chǎn)品集成到其安全關(guān)鍵型設(shè)計中。
在工業(yè)系統(tǒng)日益智能化、自主化的當下，SIL級別內(nèi)存不再是一種可選配置：它已經(jīng)成為構(gòu)建工業(yè)系統(tǒng)的基礎(chǔ)要素。
表1:工業(yè)安全合規(guī)與功能安全合規(guī)對比
了解IEC 61508
如上所述，ISO 26262標準適用于汽車系統(tǒng)，而IEC 61508則是全球公認的電氣、電子和可編程電子 (E/E/PE) 系統(tǒng)中的功能安全標準（表 2）。IEC 61508提供了一個基于系統(tǒng)的風險驅(qū)動框架，適用于廣泛的工業(yè)領(lǐng)域——工廠自動化、機器人、醫(yī)療器械、鐵路和能源系統(tǒng)等等。該標準還成為了多個特定行業(yè)標準的基礎(chǔ)，例如適用于過程工業(yè)的IEC 61511、適用于機械領(lǐng)域的IEC 62061，以及適用于電力傳動系統(tǒng)的IEC 61800-5-2。
表2：ISO 26262與IEC 61508：快速比較
（來源：ISO 26262和ISO21434）
在IEC 61508中，安全功能的運行模式?jīng)Q定了其可靠性的評估方式，以及其SIL的計算方法。該標準明確了三種運行模式：
低需求模式：啟動頻率低，通常每年不超過一次（例如，緊急停機系統(tǒng)）。
高需求模式：啟動頻率高，可能每年超過一次（例如，安全聯(lián)鎖裝置）。
連續(xù)模式：始終處于活動狀態(tài)，能夠持續(xù)保持安全狀態(tài)（例如，實時控制系統(tǒng)）。
美光LPDDR5X內(nèi)存專為支持連續(xù)模式，這是一種要求最嚴苛的模式，可在關(guān)鍵任務(wù)工業(yè)系統(tǒng)中實現(xiàn)實時故障檢測和緩解。
通過獲得IEC 61508認證，美光讓工業(yè)客戶能夠充滿自信地實現(xiàn)安全目標，同時有助于提升法規(guī)遵從性和供應(yīng)鏈效率。
ISO 26262與IEC 61508在功能安全原則方面有著共同的基礎(chǔ)。但是，由于各自應(yīng)用的運行環(huán)境不同，兩者所采用的模式存在顯著差異（表 3）。
表3：汽車行業(yè)與工業(yè)行業(yè)對比：不同的使用模式，同樣的安全承諾（與美光器件相關(guān)的要求）
（來源：ISO 26262和ISO21434）
從這些差異可以看出，工業(yè)系統(tǒng)通常需要更廣泛的互操作性、更長的生命周期支持，以及更靈活的故障處理能力。通過獲得IEC 61508 SIL-3認證，美光證明其內(nèi)存解決方案不僅具備滿足汽車級安全要求的足夠可靠性，還能適配關(guān)鍵任務(wù)工業(yè)自動化、機器人及控制系統(tǒng)的獨特需求。
美光的LPDDR5X產(chǎn)品可滿足以下范圍的目標隨機硬件故障 (RHWF) 指標（表 4）：
僅依靠內(nèi)部安全措施時，時間故障率 (FIT) 為個位數(shù)（滿足SIL-2級要求）
搭配外部安全機制時，時間故障率 (FIT) 為幾十分之一（滿足SIL-3級系統(tǒng)要求）
這些指標同樣符合ISO 26262標準下ASIL-C級與ASIL-D級的要求。
表4：隨機硬件故障指標
（來源：ISO 26262和ISO21434）
SIL-3認證解決方案的實際應(yīng)用場景
美光LPDDR5X內(nèi)存是E/E/PE安全相關(guān)系統(tǒng)的重要助推因素，可為安全關(guān)鍵型代碼、參數(shù)和實時數(shù)據(jù)提供可靠的存儲空間。雖然它通常與CPU和邏輯控制功能一起使用（如圖1中的SoC子系統(tǒng)所示），但在輸入/輸出模塊、智能變送器與傳感器，以及執(zhí)行元件的控制邏輯中，其表現(xiàn)同樣出色。美光內(nèi)存的設(shè)計采用SIL-3認證的系統(tǒng)功能，能夠通過強大的錯誤檢測與緩解功能，實現(xiàn)高完整性的數(shù)據(jù)流。所有存儲的數(shù)據(jù)都被視為安全關(guān)鍵型數(shù)據(jù)，受到全面安全措施的保護，可有效防止故障產(chǎn)生，并具備主動檢測和控制故障的能力，同時還支持集中式和分布式架構(gòu)中的各種安全功能。
圖1：內(nèi)部集成美光內(nèi)存解決方案的E/E/PE安全相關(guān)系統(tǒng)（由exida提供）
美光LPDDR5X產(chǎn)品專為連續(xù)運行模式設(shè)計，有助于整個系統(tǒng)在其生命周期內(nèi)隨時觸發(fā)風險降低措施。該設(shè)計確保了足夠的故障檢測與響應(yīng)時間，從而防止危險事件的發(fā)生。連續(xù)模式是要求最嚴苛的工況，因為該模式要求安全措施必須在系統(tǒng)運行期間持續(xù)有效，且排除所有依賴定期離線維護或診斷中斷的措施。
美光的突破性LPDDR5X優(yōu)化糾錯碼 (ECC) 方案有效降低了系統(tǒng)內(nèi)聯(lián)ECC性能損耗，將帶寬提升15%至25%。7 這種全新的LPDDR5X優(yōu)化ECC方案稱為“直接鏈路ECC協(xié)議 (DLEP)”，不僅能夠提升性能，還可以降低時間故障率 (FIT)，讓LPDDR5X內(nèi)存系統(tǒng)滿足ISO 26262 ASIL-D和IEC 61508 SIL-3規(guī)定的硬件指標。此外，在使用pJ/b（皮焦耳/比特）衡量時，這款新產(chǎn)品還能降低約10%的功耗，并提供至少6%的額外可尋址內(nèi)存空間。
共筑嵌入式安全統(tǒng)一愿景
美光的戰(zhàn)略定位清晰明確——成為汽車和工業(yè)市場中符合安全要求的內(nèi)存和存儲解決方案標桿供應(yīng)商。我們的統(tǒng)一框架同時支持ISO 26262和IEC 61508標準，貫穿其中的是“安全優(yōu)先”理念。
美光將繼續(xù)加大在基礎(chǔ)設(shè)施上的投資力度，包括建立專門的功能安全辦公室，負責實施安全服務(wù)包，并為客戶提供一級技術(shù)支持及配套培訓資料。雖然客戶需自行負責達成其系統(tǒng)級安全目標，但美光會為客戶提供專家指導，讓客戶理解內(nèi)存在實現(xiàn)功能安全中的重要作用。
對汽車行業(yè)客戶而言，美光向工業(yè)市場的拓展進一步加強了我們的承諾：向客戶提供更安全的內(nèi)存解決方案。對工業(yè)客戶而言，這標志著一個新時代的開啟——將美光旗下安全、可靠并經(jīng)過市場長期檢驗的產(chǎn)品和創(chuàng)新技術(shù)正式引入關(guān)鍵任務(wù)工業(yè)系統(tǒng)。
無論您是在設(shè)計下一代自動駕駛汽車，還是構(gòu)建高可靠性工業(yè)系統(tǒng)，美光都是您值得信賴的安全供應(yīng)商。
1 一種開發(fā)模型，通過將系統(tǒng)設(shè)計（“V”型的左側(cè)）映射到相應(yīng)的驗證和確認活動（“V”型的右側(cè)），來強調(diào)可追溯性和結(jié)構(gòu)化測試。
2 由于缺陷、輻射或其他物理因素而導致的無法預測的硬件故障。這類故障可通過冗余和診斷機制來解決。
3 由設(shè)計或流程問題導致、在特定條件下會持續(xù)出現(xiàn)的故障。這類故障可通過嚴苛的開發(fā)流程和驗證來緩解。
4 將在系統(tǒng)級別進行評估。
5 汽車系統(tǒng)通常需要即時響應(yīng)，而工業(yè)系統(tǒng)可能會依賴于冗余配置或漸進式降級機制。對于工業(yè)系統(tǒng)，系統(tǒng)層面的冗余配置通常是必需的，為此系統(tǒng)需要支持多通道協(xié)同運作，即有可能在一條生產(chǎn)線上進行維護，而另一條生產(chǎn)線則繼續(xù)提供安全功能。
6 PFH：每小時發(fā)生危險故障的概率；“1 FIT”表示每10?小時發(fā)生一次故障。PFH是對于系統(tǒng)整體級別的要求。通常，F(xiàn)IT被分配給系統(tǒng)的所有器件。根據(jù)歷史數(shù)據(jù)慣例，我們?yōu)閮?nèi)存分配的FIT預算占比通常維持在較低水平——一般僅占總體預算的幾個百分點。
7 具備增強型ECC功能的車用LPDDR5X能夠應(yīng)對這一挑戰(zhàn)。
