美光内存在汽车安全系统中的作用

美光将汽车功能安全领域的优势地位拓展到工业市场

对于汽车、火箭、机器人和飞机的用户，在享受这些产品带来的便利用途的同时，都希望它们是安全的，甚至可能将这种安全视为理所当然。但是，对于这些系统的设计者而言，安全性及随之而来的各项要求，对产品的正常运行至关重要。

三十多年来，美光一直是汽车内存和存储市场值得信赖的领军企业，持续推出创新产品，以满足芯片组 (SoC) 供应商、OEM厂商、一级供应商和终端用户不断变化的需求。美光在品质与安全领域的卓越积淀，使其成为业界标杆。我们深知，汽车应用和关键任务工业应用必须使用搭载前沿技术的内存，才能满足功能安全标准的要求，同时还能帮助集成商显著缩短开发时间，简化安全系统认证流程。

定义功能安全

功能安全的目标是：即使在发生故障时，系统仍然能够对输入作出响应，并能够持续安全、正确地运行。在半导体领域，功能安全的实现涉及对器件的设计与验证，以检测、管理和减轻可能导致危险情况的故障。适用于汽车系统ISO 26262和适用于工业应用的IEC 61508等行业标准定义了相关的结构化流程和安全完整性等级——汽车安全完整性等级 (ASIL) 和安全完整性等级 (SIL)，用于指导这些安全关键型器件的开发。

内存在汽车安全系统中的作用

随着高级驾驶辅助系统 (ADAS) 和自动驾驶技术的快速发展，车载电子系统的复杂性已经堪比现代的数据中心。内存组件在过去被认为是外围设备，如今已经成为核心设备，对于系统的性能和安全性至关重要。

2022年，美光LPDDR5X DRAM在业界率先通过了ISO 26262 ASIL-D认证，为内存功能安全树立了新的标杆。这一里程碑将内存重新定义为复杂半导体器件，与安全关键型应用中的处理器和SoC具有同等重要地位。这不仅是一项技术成就，还标志着美光的战略承诺——为ADAS、信息娱乐和自动驾驶等平台提供安全可靠的性能。

如今，美光仍然是唯一一家可提供产品级ASIL-D认证DRAM的内存供应商，彰显出我们在功能安全方面的优势地位。随着美光深耕工业市场，安全与可靠性积淀使我们成为快速转型行业中值得信赖的供应商。在这些行业中，安全性和性能均是不可或缺的关键因素。

通过IEC 61508 SIL-3认证提升工业安全水平

在智能工厂、机器人和端侧AI推动下，工业市场正在经历一场影响深远的数字化转型。这些技术进步使得应用的复杂度和重要性大幅上升，要求安全标准达到与汽车行业相当的水平。随着工业自动化系统在制造、能源和运输行业中的不断拓展，故障可能造成的影响也日益显著。用于控制机械、基础设施或移动设备的系统必须能够安全地处理故障——其首要前提是采用符合严苛SIL标准的器件。

为应对上述需求，美光正在扩展其ASIL-D认证级别LPDDR5X产品组合，以满足安全完整性等级3 (SIL 3) 要求，从而加强我们对汽车和工业领域功能安全的承诺。美光的LPDDR5X产品系列已通过IEC 61508认证，具备SIL 3所要求的系统能力（由exida评估）。这一里程碑使美光能够在关键任务工业应用中部署旗下的内存解决方案，而这些应用也需要更高等级的安全保证。

如今，美光的LPDDR5X解决方案借助外部安全机制，可在系统层面支持SIL-3合规性，如果仅依靠内部安全特性，则可满足SIL 2合规要求。

2022年，美光获得了ISO 26262产品认证和流程认证双认证。产品认证证明美光具备提供ASIL级别内存解决方案的能力，而流程认证更具战略意义，证明美光的开发流程本身能够始终如一地生产符合ASIL标准的产品。这种双认证的独特优势让美光能够将功能安全扩展到旗下整套汽车产品组合中。

现在，美光正在采用相同的方法进军工业领域。通过让旗下具有代表性的LPDDR5X产品先获得IEC 61508认证（详见下文），同时积极获得流程认证，我们正为该标准在更多产品中的推广奠定基础。这意味着未来使用这些已认证流程开发的美光产品可以更高效地满足IEC 61508标准的要求，从而能够加速上市，并减轻每种新产品都需要重新认证的负担。

与旗下的汽车行业产品类似，美光同样为工业市场客户提供安全文档，包括安全手册和基于FMEDA的安全分析报告（表 1）。这些资源可提升产品的透明度和可追溯性，让客户能够更轻松地将我们的产品集成到其安全关键型设计中。

在工业系统日益智能化、自主化的当下，SIL级别内存不再是一种可选配置：它已经成为构建工业系统的基础要素。

表1:工业安全合规与功能安全合规对比

了解IEC 61508

如上所述，ISO 26262标准适用于汽车系统，而IEC 61508则是全球公认的电气、电子和可编程电子 (E/E/PE) 系统中的功能安全标准（表 2）。IEC 61508提供了一个基于系统的风险驱动框架，适用于广泛的工业领域——工厂自动化、机器人、医疗器械、铁路和能源系统等等。该标准还成为了多个特定行业标准的基础，例如适用于过程工业的IEC 61511、适用于机械领域的IEC 62061，以及适用于电力传动系统的IEC 61800-5-2。

表2：ISO 26262与IEC 61508：快速比较

（来源：ISO 26262和ISO21434）

在IEC 61508中，安全功能的运行模式决定了其可靠性的评估方式，以及其SIL的计算方法。该标准明确了三种运行模式：

低需求模式：启动频率低，通常每年不超过一次（例如，紧急停机系统）。

高需求模式：启动频率高，可能每年超过一次（例如，安全联锁装置）。

连续模式：始终处于活动状态，能够持续保持安全状态（例如，实时控制系统）。

美光LPDDR5X内存专为支持连续模式，这是一种要求最严苛的模式，可在关键任务工业系统中实现实时故障检测和缓解。

通过获得IEC 61508认证，美光让工业客户能够充满自信地实现安全目标，同时有助于提升法规遵从性和供应链效率。

ISO 26262与IEC 61508在功能安全原则方面有着共同的基础。但是，由于各自应用的运行环境不同，两者所采用的模式存在显著差异（表 3）。

表3：汽车行业与工业行业对比：不同的使用模式，同样的安全承诺（与美光器件相关的要求）（来源：ISO 26262和ISO21434）

从这些差异可以看出，工业系统通常需要更广泛的互操作性、更长的生命周期支持，以及更灵活的故障处理能力。通过获得IEC 61508 SIL-3认证，美光证明其内存解决方案不仅具备满足汽车级安全要求的足够可靠性，还能适配关键任务工业自动化、机器人及控制系统的独特需求。

美光的LPDDR5X产品可满足以下范围的目标随机硬件故障 (RHWF) 指标（表 4）：

仅依靠内部安全措施时，时间故障率 (FIT) 为个位数（满足SIL-2级要求）

搭配外部安全机制时，时间故障率 (FIT) 为几十分之一（满足SIL-3级系统要求）

这些指标同样符合ISO 26262标准下ASIL-C级与ASIL-D级的要求。

表4：随机硬件故障指标（来源：ISO 26262和ISO21434）

SIL-3认证解决方案的实际应用场景

美光LPDDR5X内存是E/E/PE安全相关系统的重要助推因素，可为安全关键型代码、参数和实时数据提供可靠的存储空间。虽然它通常与CPU和逻辑控制功能一起使用（如图1中的SoC子系统所示），但在输入/输出模块、智能变送器与传感器，以及执行元件的控制逻辑中，其表现同样出色。美光内存的设计采用SIL-3认证的系统功能，能够通过强大的错误检测与缓解功能，实现高完整性的数据流。所有存储的数据都被视为安全关键型数据，受到全面安全措施的保护，可有效防止故障产生，并具备主动检测和控制故障的能力，同时还支持集中式和分布式架构中的各种安全功能。

图1：内部集成美光内存解决方案的E/E/PE安全相关系统（由exida提供）

美光LPDDR5X产品专为连续运行模式设计，有助于整个系统在其生命周期内随时触发风险降低措施。该设计确保了足够的故障检测与响应时间，从而防止危险事件的发生。连续模式是要求最严苛的工况，因为该模式要求安全措施必须在系统运行期间持续有效，且排除所有依赖定期离线维护或诊断中断的措施。

美光的突破性LPDDR5X优化纠错码 (ECC) 方案有效降低了系统内联ECC性能损耗，将带宽提升15%至25%。7这种全新的LPDDR5X优化ECC方案称为“直接链路ECC协议 (DLEP)”，不仅能够提升性能，还可以降低时间故障率 (FIT)，让LPDDR5X内存系统满足ISO 26262 ASIL-D和IEC 61508 SIL-3规定的硬件指标。此外，在使用pJ/b（皮焦耳/比特）衡量时，这款新产品还能降低约10%的功耗，并提供至少6%的额外可寻址内存空间。

共筑嵌入式安全统一愿景

美光的战略定位清晰明确——成为汽车和工业市场中符合安全要求的内存和存储解决方案标杆供应商。我们的统一框架同时支持ISO 26262和IEC 61508标准，贯穿其中的是“安全优先”理念。

美光将继续加大在基础设施上的投资力度，包括建立专门的功能安全办公室，负责实施安全服务包，并为客户提供一级技术支持及配套培训资料。虽然客户需自行负责达成其系统级安全目标，但美光会为客户提供专家指导，让客户理解内存在实现功能安全中的重要作用。

对汽车行业客户而言，美光向工业市场的拓展进一步加强了我们的承诺：向客户提供更安全的内存解决方案。对工业客户而言，这标志着一个新时代的开启——将美光旗下安全、可靠并经过市场长期检验的产品和创新技术正式引入关键任务工业系统。

无论您是在设计下一代自动驾驶汽车，还是构建高可靠性工业系统，美光都是您值得信赖的安全供应商。

1一种开发模型，通过将系统设计（“V”型的左侧）映射到相应的验证和确认活动（“V”型的右侧），来强调可追溯性和结构化测试。

2由于缺陷、辐射或其他物理因素而导致的无法预测的硬件故障。这类故障可通过冗余和诊断机制来解决。

3由设计或流程问题导致、在特定条件下会持续出现的故障。这类故障可通过严苛的开发流程和验证来缓解。

4将在系统级别进行评估。

5汽车系统通常需要即时响应，而工业系统可能会依赖于冗余配置或渐进式降级机制。对于工业系统，系统层面的冗余配置通常是必需的，为此系统需要支持多通道协同运作，即有可能在一条生产线上进行维护，而另一条生产线则继续提供安全功能。

6PFH：每小时发生危险故障的概率；“1 FIT”表示每10⁹小时发生一次故障。PFH是对于系统整体级别的要求。通常，FIT被分配给系统的所有器件。根据历史数据惯例，我们为内存分配的FIT预算占比通常维持在较低水平——一般仅占总体预算的几个百分点。

7具备增强型ECC功能的车用LPDDR5X能够应对这一挑战。

本文作者

Ignazio Martines

AEBU标准、功能安全（FuSa）及网络安全部门主管