软错误失效对CANFD Transceiver芯片的影响分析

某乎博主曾在《车规级芯片为什么需要功能安全？车辆在使用中哪些情况会导致数字芯片部分或全部失效？》这篇文章提到了一些目前车载芯片所面临的失效问题。

芯片失效问题如果从芯片可能出错的部分来分，分为Die（裸片）和Package（封装，包含键合）。从Die的分类来看， 分为两大类：

永久性故障，包括：卡滞故障（不管激励如何，输出始终卡在高或低）、开路故障（一个节点坏为两个或多个节点）、桥接故障（两个不应该相连的信号连到一起了）、单粒子硬错误（单次辐射事件导致运行的不可逆的永久性损坏，栅极氧化物破裂）。高温高湿ESD震动都可能导致永久性故障的发生。

另外一类是瞬态故障，也称“软错误”，包括：
（1）单、多比特位翻转（单个存储单元翻转，比如0变成了1）
（2）单粒子瞬态（高能粒子穿过，造成集成电路某节点瞬时电压漂移）
（3）内部或外部α、 β、中子或 γ 辐射源的冲击或者EMI串扰会引起软错误。

这里分别提到了单粒子硬错误和软错误。本期就围绕CANFD Transceiver芯片的软错误失效进行讨论。

根据著名车规芯片TI公司的官网信息（关于软错误率的常见问题解答 | 德州仪器 (TI)），软错误发生概率又称之为软错误率，在车规认证测试指标中，称之为SER（Soft Error Rate），TI官网指出：“虽然 SER 有许多潜在原因，如短时脉冲波干扰、噪声、电磁干扰，但在一个合格制造过程中的设计良好的电路中，SER 的主要原因是粒子辐射。在陆地环境中，主要键辐射问题来自芯片材料本身的微量杂质发射的 α 粒子（α 粒子无法远距离游走，因此到达器件的任何 α 粒子通常都是芯片本身内的材料所发射的），此外还有无时不在的宇宙背景中子通量：我们在海平面的接触密度大约为 13n/hr-cm2，并在飞行高度的密度可高达 26,000n/hr-cm2。”

这也就意味着陆地运行的电子器件不得不受到粒子辐射的影响，高海拔的区域这个问题将更为严重。

那为什么要着重提CAN Transceiver芯片呢？因为这个芯片在汽车内的使用量最大。几乎所有的应用场景都需要这颗芯片的参与，如下图所示。据统计，单车CANFD芯片的使用量在300—500颗之间。

CANFD Transceiver芯片在车内的使用场

一般地，CAN通信（CANFD为CAN通信的一种）由通用的数字CAN Controller与CAN Transceiver芯片实现某个节点的CAN通信。CAN网络作为汽车最主要的通信网络，采用总线式的互联方式，某CAN通信点的错误，甚至很可能会带动其他节点的工作异常。

汽车内部CAN通信网络图示

正是由于该芯片的使用量之大，影响范围之广，CANFD Transceiver芯片的重要性对于汽车的安全要求要更高。因此，即便是小概率的软错误现象，在大量使用该芯片以后，也成了需要重点考虑与研究的问题。

一个CANFD Transceiver芯片的内部设计如下所示：

TI某CANFD Transceiver内部设计图

从设计框图可以看出，施密特触发器在输入输出具有重要的作用，对于芯片内部，触发器的输入与模式选择、时钟采样有关，对于外部，芯片的输出波形对于MCU的数据正确性起到了关键作用。软错误中的单粒子瞬态效应形成的单粒子脉冲会影响到施密特触发器的逻辑状态，而在组合逻辑电路中这种状态的变化又会传播到下级电路，从而影响到整个电路的工作性能，严重威胁到集成电路的工作稳定性和可靠性。因此，施密特触发器的软错误防护是CANFD Transceiver芯片的关键。

当然，CANFD Transceiver芯片内部还有一部分时序电路，在通信过程中受到软错误的影响，也会出现数据通信的异常。指令传输的异常一旦发生在动力与控制等与安全控制相关的场景，则会带来巨大的危害，例如刹车指令发送失败，将会对驾驶人员的生命安全造成严重的危害。