直面ADAS技术挑战，MPS提出MPSafe™高可靠性解决方案

当全球新能源汽车市场的表现不断冲击新高，追求更智能、更安全的驾驶体验成为行业发展的核心之一，这也为高级驾驶辅助系统 (ADAS) 带来了技术可靠性与安全性问题的双重挑战。早期的ADAS技术主要以被动式报警为主，当车辆检测到潜在危险时，会发出警报提醒驾驶者注意异常情况，并作出处理。而对于新ADAS技术来说，主动式干预很常见，甚至在发生危险前直接介入车辆操控避险。但是随之增加的大量电子器件，也带来了不少安全隐患。

MPS正在功能安全技术方面寻求突破。为了解决横亘在消费者面前的智能汽车购买意图与决定购买之间的最大难题——ADAS带来的功能安全问题，MPS成立系列品牌MPSafe™，以ASIL-D最高标准研发汽车级解决方案系列产品。在近日举办的MPS北京媒体发布会上，MPS功能安全经理Jing Y. Guo向电源网等媒体分享MPS在汽车功能安全领域的布局、开发流程以及面向系统的安全设计要点，带领大家了解何为MPSafe™, ISO26262认证的产品开发流程，MPS是如何直面系统级设计痛点，聚力解决安全挑战，以及MPS用于不同安全等级系统的可扩展、模块化的解决方案等丰富内容。

MPSafe™ 全力保证智能汽车功能安全的实现

为了帮助确立最高安全性标准，行业发布了最新的符合国际标准化组织（ISO）26262的汽车安全标准。ISO26262对于安全相关的整车层面电子电气系统软硬件，提出了一系列覆盖需求、设计、开发、测试、生产、运维和报废等全生命周期的要求，适用于包括OEM、供应商等所有供应链上的相关方。

功能安全是实现国际ISO26262定义的汽车安全完整性等级 (ASIL) 的基础。Jing Y. Guo提出MPS的系统安全概念，包含失效安全系统和失效可运行系统。在失效安全系统下，当检测到失效时，会触发发动机熄火，空挡，CAN关断，电池断连和放电等的安全状态。失效将影响到引擎控制、挡位控制、BMS，故障的反应方式是芯片触发系统定义的安全状态。而在失效可运行系统下，当检测到失效时，在限定的驾驶循环次数内，维持系统可运行。同时需具备冗余功能。失效将触发警报、功能降级模式（Limp Home Mode）安全状态，影响ADAS (L4&L5）, EPS/电力转向系统 (steer-by-wire)，故障反应方式是触发系统报警。

那么如何实现ASIL等级呢？当系统性失效出现时，应考虑的因素是是否拥有训练有素的技术人才，是否执行良好的研发流程，是否有第三方对研发流程的定期评估，是否具备良好的安全文化；当随机硬件失效出现，应考虑的因素是失效率、诊断覆盖率、硬件评估和验证。MPS利用自主开发的MPSafe™ 开发流程（已被权威认证机构TUV-SUD认证），提出并研发了一套完整的解决方案，以应对自动驾驶平台中的安全挑战。该解决方案为自动驾驶平台提供了符合ISO26262安规标准的供电与监控系统，同时覆盖多种自动驾驶应用场景，可根据需求实现从QM到汽车最高安全等级ASIL-D级的灵活选择。

Jing Y. Guo解释说：“为应对系统性失效出现，MPS拥有一批训练有素的功能安全认证的研发人员，有第三方认证的ASIL_D研发流程，TUV-SUD每年会对研发流程进行定期评估和审核，每年有内外部FuSa培训，MPSafe™ 团队还具有跨行业专业知识；为应对随机硬件失效出现，所有MPSafe™ 产品的PMHF均低于其ASIL目标的 10%。例如，MPSafe™ ASIL-D 产品的PMHF小于1FITs，而ASIL-D等级为10FITs；MPS还会内建自测试（BIST）、参考电压监测、时钟监测、存储监测、通信监测，以提高诊断覆盖率；同时进行FMEDA失效模式、影响及其诊断分析、FTA故障树分析等硬件评估和验证。”

在系统安全风险较低时，车企可选择具备一定FIT (Failure in Time) 分析，符合AEC-Q100标准的MPS芯片。如需保证系统安全等级较高，MPS也可提供高达ASIL-D等级的带有功能安全的系列芯片。MPS同时提供涵盖QM到ASIL等级芯片的相关安全手册和技术支持。

MPSafe™ 明星产品推荐

基于MPSafe™ 开发流程，MPS已发布覆盖全部汽车安全完整性等级的产品，其中不乏多款明星产品，如MPQ2967, MPQ79700FS-AEC1, MPQ79500FS-AEC1。

MPQ2967 – MPSafe™ 数字化双路多相控制器

MPQ2967是一款专用于汽车ADAS和自动驾驶平台核心供电的功能安全数字化双路多相控制器芯片，它可以与MPS的Intelli-Phase™ 产品配合使用，以更少的外部组件实现多相调压器 (VR) 解决方案。MPQ2967支持系统设计达到ASIL-D的功能安全等级，拥有内建自测试 (BIST) / SPFM (99%) / LFM (90%)、时钟监测、寄存器写入监测、寄存器CRC校验、存储器的错误检查和纠正、模数转换器监测、状态机自检、存储器写入监测、通信监测、供电欠压锁定、输出电压监测等丰富的功能安全保护。此外，工程师还可以通过数字化接口灵活设置和监控设备的配置参数和故障参数。

MPQ2967+Intelli-Phase™ DrMOS方案框图

MPQ79700FS-AEC1 – MPSafe™ 12通道电源时序器

MPQ79700FS是一款专为汽车ADAS和自动驾驶平台设计的12通道功能安全电源时序芯片，可为需要多个电源轨道供电的SoC提供必要的上下电时序控制。该设备的可配置性和灵活性支持跨不同的设计应用。MPQ79700FS支持系统设计达到ASIL-D的功能安全等级，拥有内建自测试 (BIST) / SPFM (99%) / LFM (90%)、视窗看门狗、寄存器CRC、I2C通信监测、存储器的错误检查和纠正 (ECC)、热警告/关断、系统重置信号等丰富的功能安全保护。

为了确保系统电源上下电时序，MPQ79700FS电源时序芯片包含一个32kHz晶体振荡器驱动器，以及一个具有报警功能的实时时钟 (RTC)。该芯片还包含可通过I2C接口访问的可配置看门狗，低电平有效的系统复位以及中断输出来保证故障监测和报告。为了保证灵活性和可生存性，MPQ79700FS拥有可编程性-时序，I2C地址，看门狗计时，以及备用电池输入功能。

MPQ79700FS-AEC1原理框图

MPQ79500FS-AEC1 – MPSafe™ 6通道电压监控器

MPQ79500FS六通道电压监控芯片是一款专为监控汽车安全应用系统级芯片 (SoC) 的产品，支持系统设计达到ASIL-D的功能安全等级，拥有内建自测试 (BIST) / SPFM (99%) / LFM (90%)、寄存器CRC、I2C通信监测、存储器的错误检查和纠正、时序记录、热警告/关断、中断输出等丰富的功能安全保护。MPQ79500FS拥有高精度和高分辨率，1V以上，电压阈值精度最高±0.5%；1V以下，电压阈值精度最高±5mV。5mV steps 步进阈值 (0.2V 至 1.475V)，20mV steps 步进阈值 (0.8V 至 5.5V)。其监控SoC电源轨可满足宽泛要求，有双差分输入，用于监测大电流轨；有4 通道单端输入，用于监控小电流轨；有UV（欠压） 和 OV（过压） 监控；有系统电源上下电时序监控。此外还可支持多芯片同步。

MPQ79500FS-AEC1原理框图

智能电压供电与监控应用于自动驾驶平台的顶层架构

ADAS技术面临的挑战是多方面的，有在实际道路场景中不可能完全避免的安全问题，有高昂的研发成本、生产成本和维护成本，有一些国家和地区尚未建立完善的相关法律法规的客观因素等。但是总体趋势向好。未来，MPS将不断破解汽车功能安全难题，为不同安全等级系统提供更多可靠的可扩展和模块化的创新解决方案，助力实现更安全、高效、智能的交通出行，为驾驶者和乘车者的生命和财产安全保驾护航。