ISO 26262 in der IC-Entwicklung – Bürokratismus oder echte Hilfe?

Ein IC mit einem Magnetfeldsensor zur Messung der Position eines Ringmagneten am Bremspedalmechanismus ist für die Wegmessung geeignet. Moderne Positionssensoren verwenden ein 3D-Hallsensor-Array, das die Magnetfelder in der Ebene des ICs und senkrecht dazu messen kann (Bild 1).

Ist der Magnet in der Mitte über dem IC ist das Magnetfeld in der Ebene des ICs am stärksten, während das Feld senkrecht zum IC fast null ist. In der ausgelenkten Position kehrt sich die Situation um: Das Feld in derselben Ebene des ICs ist nahe null, wohingegen das Feld senkrecht dazu sein Maximum erreicht. Das Bewegen des Bremspedals und des Magneten von links nach rechts ergibt einen Kosinus für das Feld in der IC-Ebene und einen Sinus für das Feld senkrecht dazu. Diese Signale lassen sich zur Berechnung der Position mithilfe einer ARCTAN-Funktion verwenden.

Da alle Felder in für sehr große Auslenkungen auf null zurückgehen, ist für eine genaue Messung auf den äußeren Positionen eine Linearisierung erforderlich. Die Linearisierungsdaten können in einem On-Chip-EEPROM (Bild 2) gespeichert werden.

Fehlerarten und Fehlerwirkung jedes IC-Blocks

Sobald die Architektur eines solchen ICs, die Prozesstechnologie und die Funktionsblöcke definiert sind, kann mit der Arbeit an der FMEDA begonnen werden. Jeder IC-Block wird nun nacheinander in Hinblick auf seine Fehlerarten und Fehlerwirkung analysiert. Zur Veranschaulichung soll z.B. ein Verstärker dienen, der häufig als Funktionsblock in analogen und Mischsignal-ICs vorkommt. Der Entwickler muss dabei Parameter wie Verstärkung, Offset und Stabilität, die die Eigenschaften des Verstärkers bestimmen, berücksichtigen.

Die Verstärkung könnte beispielsweise unter ihren vorgegebenen Wert fallen und evtl. zu einem vollständigen Ausfall des Verstärkers führen, oder sie könnte über ihren vorgegebenen Wert steigen und Messfehler hervorrufen. Eine vergleichbare Analyse der Möglichkeiten, wie Stabilität, Offset und andere Parameter beeinträchtigt werden könnten, muss ebenfalls ausgeführt werden. Schließlich muss die Wahrscheinlichkeit des Eintretens verschiedener Fehler abgeschätzt werden. Es könnte sein das ein Verstärkungsfehler deutlich wahrscheinlicher ist als ein Stabilitätsproblem.

Auswirkung der Fehlerarten auf das angegebene Sicherheitsziel

Alle Fehlerarten werden dann nach ihrer Auswirkung auf das angegebene Sicherheitsziel bewertet (Abweichung der Messung). Zusätzlich wird für alle Fehlerarten eine Prüfung durchgeführt, ob eine oder mehrere der vorhandenen Diagnosefunktionen den Fehler entdecken und das System in einen sicheren Zustand bringen können, indem man z.B. den Ausgang in einen Bereich für „Signalfehler“ schaltet. Die Standarddiagnose bei einem magnetischen Positionssensor bietet folgende Funktionen:

• Messung der externen und intern erzeugten Versorgungsspannungen mit Ausgabe einer Warnmeldung und ggf. ein Reset bei Unterschreiten von voreingestellten Schwellenwerten,

• Speichertest bei Inbetriebnahme,

• Sichere Kommunikation durch zyklische Redundanzprüfung (CRC) oder Paritätsbit.

Je größer ein Block, desto wahrscheinlicher sind Fehler

Die Analyse wird mit dem Flächenanteil bzw FIT-Anteil des untersuchten Blocks gewichtet. Man geht davon aus dass Fehler mit gleicher Wahrscheinlichkeit irgendwo auf dem IC auftreten können. Größeren Blöcken muss dann zwangsläufig wesentlich mehr Aufmerksamkeit gewidmet werden. Es hat sich bewährt so vorzugehen: Jeder Block hat einen Chipflächenanteil A und eine assoziierte FIT rate FIT_A die dem Verhältnis der Blockfläche zur Gesamtfläche entspricht.

FIT_A steht für alle Fehler, sicher oder nicht sicher. Dann schätzt man ab welcher Anteil der Fehler des Blockes sicherheitsrelevant sind, z.B. 50%. D.h. 50% von FIT_A stecken in diesen Fehlern. Dann prüft man ob mit Hilfe von Diagnosefunktionen die sicherheitsrelevanten Fehler entdeckt werden können. Falls das möglich ist, z.B. mit 90%-iger Wahrscheinlichkeit, bleiben noch (1 - 0,9) * 50% = 5% von FIT_A übrig, die die gefährliche und nicht entdeckte Fehlerrate des Blockes repräsentieren. 95% von FIT_A repräsentieren dann die sicheren Fehler.

Die Tabelle zeigt ein Beispiel für das Verfahren.

Anteil der sicheren Fehler an allen Fehlern

Das Analyseergebnis eines beliebigen Blocks ist ein Verhältnis aus der FIT-Rate für diesen Block und eine verbleibende FIT-Rate für die gefährlichen und nicht entdeckten Fehler. Als Zusammenfassung dieser Analyse über alle Blöcke hinweg verwendet man aber umgekehrt den Anteil der sicheren Fehler an allen Fehlern („safe failure fraction“, SFF). (ISO26262 verwendet den Begriff „single-point fault metric“, SPFM – Primärfehlermetrik).

Das Verfahren scheint sehr formal, was eine Erklärung dafür sein könnte, weshalb viele Ingenieure diesem Ansatz nur sehr widerwillig folgen! Dafür richtet aber das Verfahren die Aufmerksamkeit auf große Blöcke mit einer hohen Fehlerrate. Daraus ergibt sich eine Rangliste, mit der sich die Analysequalität deutlich erhöht, verglichen mit einer unpriorisierten Einschätzung.

(ID:44913142)