汽车IoV（车联网）应用程式有很多独特的要求。通常，不同的技术会整合到单颗的IC元件中。例如，轮胎压力传感模组不仅仅需要MEMS感测器设备，还需要射频设备将资料传输到安全控制系统。通过各种IoV应用程式的处理经验，我们归纳出一些似乎一致的基本设计要求：

1.微处理器/中央处理器CPU/MCU

2.嵌入式及快闪记忆体

3.无线射频协定支援（RF Connectivity）

4.低功耗电源管理

5.高效率、低成本的感测器介面

图1 : 汽车互联网（IoV）应用包含了许多独立的功能，这些功能既相互关联又遵循严格的安全优先顺序。

换句话说,一般Io模组会整合感测器、执行器、超低功耗处理器、无线闸道和电源管理单元于一身,从而让设备更加智慧化,能够执行感应、捕获和分析,并在必要时采取措施。这种设备可能需要保持「始终开机」(always on)状态。为了省电,也可以先关闭,然后在需要时自动唤醒(Auto wake up circuit)。

除了需要拥有很多功能之外，IoV的另一大关键要求就是安全性和可靠性。 IC可靠性挑战包括静电放电（ESD）保护、电应力超载（EOS）后的恢复能力、温度和电压变化容差，以及防止通过设备入侵系统的增强式安全性。为确保在IC设计期间解决这些问题，国际标准组织（ISO）制定了汽车应用功能安全标准ISO 26262。

ISO 26262 汽车电子设计可靠性标准

ISO 26262从2005年左右开始制定，并已于2011年年底正式发布。该标准基于已有标准的规定，例如电子设备标准IEC 61508。 ISO 26262及AEC-Q100明确规定了汽车特定的安全性和可靠性生命周期。为符合ISO 26262的规定，设计师必须将功能安全特性视为每个汽车子系统开发流程必不可少的一部分，包括功能规格、设计、实施、整合、验证、确认及产品发布，如图2所示。

图2 : ISO 26262的V型开发模型。

该标准中的要求可视为V形的生命周期模型。 V形右侧表示十二个实施步骤。特定技术包括故障模式与影响分析（FMEA）方法，该方法定义了多个安全级别，其中ASIL（汽车安全完整性级别）A为最低安全级别，ASIL D为最高安全级别。

较高的ASIL安全级别意味着极为严苛的故障率要求。例如，ASIL B级要求故障率小于100 FIT（即故障率，是可靠性的测量单位）。 1 FIT表示被测物件在十亿个小时的运行过程中仅能出现一次故障，100 FIT则表示在每十亿个小时的执行时间内出现故障的次数限制为100次。另外，故障率还取决于所采用的晶圆制造工艺、晶片面积和工作温度范围。在汽车应用中，温度可能会发生剧烈变化，引起时序问题和运行故障，例如电路闩锁效应。

尤其，AEC-Q100包含了温度等级标准。例如，位于排气管附近、发动机舱、后备箱或者汽车面板中的设备会暴露在不同的极端温度下，因此需对应不同的温度等级，如表1所示。此外，不同的模组拥有不同的安全优先顺序，例如车对车通讯、防碰撞系统或多媒体娱乐系统。

在设计过程中解决安全性和可靠性问题

IC设计阶段是解决IC安全性和可靠性问题的最佳时机，例如越来越受到关注的电路可靠性验证。由于电路设计不佳导致的潜在故障模式包括：

‧ 介质击穿(Dielectric breakdown)

‧ 热载流子效应（Hot-carrier effects）

‧ 扩散（Diffusion）

‧ 电迁移（Electromigration）

这些问题尤其明显，因为随着故障机制的不断发展，在制造测试过程中通常无法检测出这些问题，从而导致故障延迟到后来才出现。

电路可靠性验证

对于面向IoV市场的IC设计师而言，电路可靠性验证是他们所面临的其中一项设计挑战。下面我们了解一下签核之前能够执行的一些关键IC电路可靠性检查。防止互连中闸极氧化层（gate oxide）时变击穿是设计师们普遍关注的一个问题。一些IoV/IoT应用经过优化实现了低功耗，因此，这些设备可能会采用低电源电压的流程，相应地具有更薄的闸极氧化层。设计师们必须格外谨慎，避免发生设计错误。

例如，如果超过相邻导线之间的电压降最大允许值，将会导致氧化层击穿（oxide breakdown），随着时间推移还会引起设备故障。同样地，PMOS设备容易受到负偏压温度不稳定性（NBTI）的影响，引起PMOS电晶体的临界电压随着时间的推移而升高，最后导致逻辑闸开关时间变慢。

电压感知设计规则就是为了防止出现这些问题。遗憾的是，这些规则难以执行，因为许多低功耗IC设计拥有不同供应电压的多个电源域，这就使得人工执行可靠性检查成为一项几乎不可能完成的任务。遗憾的是，传统的DRC工具很难执行很多所需的可靠性检查。因此，设计师们需要使用特定工具—既能够了解功耗设计意图，又可以实现电晶体级别的可靠性验证检查。

在本文中，我们展示了使用Calibre PERC进行自动化可靠性验证的方法，特别是在电压感知（voltage-aware）DRC流程领域。该工具能够从几何和电气约束两个方面来验证可靠性，以确保网路得到保护、晶片面积得到充分利用。此外，它还能自动跟踪电压在多个电压域中的传递，从而将正确的设计规则应用到每个设计节点中（见图3）。如果用户想要超越标准的晶圆代工平台，以便满足自己的可靠性验证需求，也可以自订电路验证规则。

图3 : Calibre PERC电压感知DRC流程：原理图网表和物理设计用于传播电压值；然后将电压特定设计规则应用到每个物理设计节点中。

功耗和热效应的考虑

设计验证的另一大关键挑战是功耗和热（温度）分析。执行该分析不仅需要热源建模（包括静态和动态电压和电流），还需要了解因操作模式和并行任务载入所引起的切换活动变化(Switching activity & operation mode)。分析所得的“功率模拟分析”可以转换为基于几何形状、材料属性和环境条件等物理因素的热模型。

比如，可以考虑在底层规划期间获取热感知。设计布局规划开始后，设计团队可以制定包括封装设计属性的高层次功率映射。该功率映射可以导入热分析器，例如Mentor Graphics FloTHERM 产品。这个工具可以显示出预期的热点部位以及为提高热性能需要作出设计更改的地方。例如，可能需要确保两个或多个不同的设计模组在非常接近的温度下运行，从而发现时序所造成的影响。图4 是来自FloTHERM 的萤幕截图，显示了在带有非均匀功率分配或电活动的设计中的温度变化。

图4 : 代非均匀功耗的设计中的晶片温度分布图。

此外，该工具还可以通过温度—时间曲线图来支援瞬态分析，这些曲线图可以使用波形检视器显示出来（图5）。这有助于设计师将温度变化与操作模式和来源负载相关联。

图5 : 温度—时间曲线图有助于设计师将温度变化与操作模式和有源负载相关联。

与底层规划工具结合使用时，该流程允许设计师进行反覆运算设计，以实现针对功率分配进行优化的底层规划，从而管理温度并提高晶片可靠性（图6）。此外，该流程也可以扩展到封装设计，包括SiP、2.5D 和3D IC 封装方法。

图6 : 在IC物理设计流程中生成热/功耗感知。

安全性和可靠性测试

如上所述，提高安全性和可靠性的一种方式就是将其融入到设计中。另一种方式是在晶片生产过程中提供高品质测试，此外，还提供在通电期间或定期调用内置自动检测功能，从而在产品出现运行安全问题之前提醒用户系统性能降低。

电晶体级别测试—Cell aware ATPG

过去几十年来，制造业一直使用传统的Stuck-at fault故障模型来检测IC缺陷。该测试旨在验证设计中所有的逻辑节点都可自由地假定为1 或0 状态，从而确保任何与标准储存格互连的导线都不存在开路或短路的情况。但是，实现更低的缺陷率和更高的可靠性需要新的测试方法，尤其是对于采用更小及更复杂的制程，如FinFET 电晶体。

单元感知测试方法可以在组成IC 基本构造块的单元内进行电晶体级别的测试。该测试采用Mentor Graphics Calibre（例如Calibre xACT）进行，测试时会首先提取技术库中以GDSII 格式表示的每个物理单元。每个提取单元会生成一份带寄生电阻和电容的电晶体级别网表(Netlist)。电阻元素表示存在潜在开路缺陷的导电路径，而电容元素识别存在潜在桥接缺陷的位置（图7）。

图7 : Cell Aware故障模型库的生成过程。

单元网表生成之后，可以使用类比模拟器来分析单元，以了解单元内潜在的特定故障行为。例如，执行模拟时，每个寄生电容器将被不同的电阻值替换。类似地，每个寄生电阻器使用不同的电阻值来进行建模。之后根据模拟单元输出偏离正确电路操作的方式对每次模拟结果进行分析并识别缺陷（图8）。此外，延迟效果同样可以进行建模和分类。

这种特征提取可以针对技术库中的所有单元执行，最后产生一个单元感知库(Cell Aware Library)。 Mentor Graphics Tessent 测试平台可以使用这一单元感知库自动生成测试模式，以检测出基于单元级别故障模式的缺陷。只需对指定技术（制程节点）执行一次单元感知库特征提取，之后任何使用该技术制造的设计都能使用这种方法。

图8 : 通过模拟进行的单元特征提取，以确定潜在故障的影响。

该测试可以检测单元内的缺陷，而不仅仅是单元之间连接中的缺陷。这种能力显著地提高了测试品质，从而降低了生产漏检。这一点对于要求品质尽可能接近「零缺陷」的IoV应用而言至关重要。

逻辑内置自测（BIST）为解决IoV方案的最佳应用

正如前面所讨论的，有些缺陷源于随时间推移所发生的退化机制。如果不通过谨慎的设计来预防，生产测试也无法将它们检测出来。这就是为什么IoV 应用需要持续测试的原因，目的就是确保所有系统都安全可靠（图9）。逻辑内置自测(LBIST) 解决方案通过在通电或定期操作间隔期间进行全面测试来满足这个需求。 LBIST 可以内嵌到单个IC 中或者在系统级别上实现，通过中央控制器管理单个元件中测试模式的布线。

除了检测IoV 系统元件存在的故障之外，更为重要的一点是，LBIST 解决方案能够直接从LBIST 模式诊断出故障甚至电源检测(Power-up test)，以便卸掉有缺陷的元件或使用备用系统替换。此外，该诊断还可提高故障隔离能力，从而实现快速可靠的维修。

图9 : 逻辑内置自测可满足持续安全需求。

以下是高品质LBS解决方案的一些主要特点:

包括用于动态创建测试模式的随机信号发生器（Random Pattern Generator）

‧ 片上签名计算器（On-chip signature calculator）将所有响应资料累加为单一的通过/失败签名

‧ 能够使用与制造测试相同的扫描测试架构

‧ 无需在外部测试设备中储存模式

另一个重要特点是能够通过IEEE 1149.1 相容介面启动和控制LBIST，从而可以通过由1149.1介面定义的信号所驱动的非同步介面进行测试控制。

结论

ISO 26262和IEC 61508标准为设计安全可靠的汽车IC提供了良好的指导和参考。而AEC-Q100更是提供安全可靠性规范，虽然AEC并未有审查及认证的机制，但随着更加复杂的技术引入到汽车应用（例如通过射频连接到中央控制系统的车载网路），「为安全而设计」的方法势必会成为IC设计流程不可或缺的一部分。

（本文作者现任职于Mentor Graphics Taiwan技术处长）