ISO26262 - Clock 의 Failure Mode 정리

해당 포스팅에서는 차량 기능안전 표준인 ISO 26262 관련하여, 차량 E/E 시스템의 하드웨어 구성 요소 중 Clock 과 관련된 Failure mode 를 정리합니다.

 

Overview - MCU Component

 

 

위의 그림은 MCU 의 일반적인 요소들과 그들의 관계를 나타내며 각각의 요소에 대한 설명은 다음과 같습니다.

• HW Element 1.1
  • MCU 에 연결된 하드웨어 요소로부터 정보를 수신할 수 있도록 하는 인터페이스 처리 요소
• HW Element 1.2
  • 기능적 관점에서 Hardware Element 1.1 과 동일한 기능을 하는 인터페이스 처리 요소
• HW Element 2
  • External Element 2 를 제어하는데 사용되는 요소
• Control
  • HW Element 1.1 및 1.2 의 연결을 제어할 수 있는 선택 신호를 제공하는 요소
• Data SRAM
  • Software Element 의 변수를 저장하는 메모리 (소프트웨어와 DMA 사이 및 소프트웨어 요소 자체 사이의 통신 버퍼를 포함)
• Code ROM
  • Software Element 에 의해 실행되는 코드와 Software Element 에서 사용하는 상수 데이터를 포함하는 읽기 전용 메모리 (Read Only Memory)
• Watchdog Interface
  • External Watchdog 과 통신하는 요소
• DMA (Direct Memory Access) hardware element
  • DMA 는 각 Software Element 에서 사용할 수 있으며 주소 지정 가능한 모든 리소스 (메모리, 구성 레지스터) 에 대한 읽기 및 쓰기 접근 권한이 있는 요소
• EVR ( Embedded Voltage Regulator)
  • "External Power Supply (e.g. ignition, battery)" 에 의해 전원이 공급되는 입력 / 출력 패드를 제외하고 MCU 내부의 각 하드웨어 요소에 전원 공급을 제공하는 요소
• Reset Generation & Distribution
  • Hardware or Software 요소에 의해 제어되는 외부 초기화 소스 또는 내부 초기화 동작에서 발생하는 명령을 기반으로 MCU 의 초기화 상태를 제어 하는 요소
• Clock Generation & Distribution
  • "External Clock Source "를 사용하여 PLL을 기반으로 각 하드웨어 요소에 대해 의도한 클럭을 제공하는 요소
• Test Control & Distribution
  • MCU 생산 테스트에 필요한 테스트 제어 및 신호 분배를 해주는 요소

 

위에서 설명한 MCU 의 전체 요소 중 Clock 의 Failure Mode 와 관련된 요소는 아래와 같습니다.

• Clock Generation & Distribution

 

Clock 의 Failure Mode

특정 하드웨어 요소의 Failure mode 는 시스템에 할당된 기능 및 안전 요구사항에 따라 다릅니다. 이에, 통합하는 시스템을 기반으로 특정 Failure mode 는 안전 요구 사항을 위반할 수도 있고 그렇지 않을 수도 있습니다. 

 

아래에서 설명하는 Clock 의 Failure mode 는 특정 시스템을 대상으로 정리한 Failure mode 가 아닌 일반적으로 고려할 수 있는 Failure mode 를 정리합니다.

 

정리한 Failure mode 및 Component 의 H/W Part 는 일반적으로 참조할 수 있는 내용이며 경우에 따라 내용을 삭제, 추가 할 수 있습니다.

 

Clock 의 Failure mode 는 다음의 형태로 정리합니다.

 

Component 명

• H/W Part : H/W Part 명
  • 기능 : 해당 H/W Part 의 기능
  • Failure Mode
    • Failure Mode 1
    • Failure Mode 2
• 참고사항
  • XX

 

Oscillator and clock generators

• H/W Part : Oscillator
  • 기능 : 주기적으로 진동하는 신호를 생성 (디지털 회로에서 시계로 사용할 수 있음)
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit)
    • Incorrect output signal swing (i.e. outside the expected range)
    • Incorrect frequency of the output signal (i.e. outside the expected range, including harmonics when applicable, for instance EMC emissions)
    • Incorrect duty cycle of the output signal (i.e. outside the expected range)
    • Driftc of the output frequency
    • Jitter too high in the output signal
• H/W Part : Phase locked loop (PLL)
  • 기능 : 입력 또는 기준 신호의 주파수에서 일정한 위상각 (고정) 을 유지하는 구형파 신호를 생성하기 위해 발진기를 제어 (Oscillator 와 동일하게 디지털 회로에서 시계로 사용할 수 있음)
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit)
    • Incorrect frequency of the output signal (i.e. outside the expected range, including harmonics when applicable, e.g. EMC emissions)
    • Incorrect duty cycle of the output signal (i.e. outside the expected range)
    • Driftc of the output frequency
    • Jitter too high in the output signal
    • Loss of lock condition (i.e. phase error, output clock not in sync with input clock not leading to incorrect frequency and incorrect duty cycle)
    • Missing pulse in the output signal
    • Extra pulse in the output signal

 

 

 

Generic

• H/W Part : Opeartional amplifier and buffer
  • 기능 : DC-coupled high gain voltage amplifier 를 차등 입력 및 단일 종단 출력과 통합
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit)
    • Incorrect gain on the output voltage (i.e. outside the expected range)
    • Incorrect offset on the output voltage (i.e. outside the expected range)
    • Incorrect output dynamic range (i.e. outside the expected range)
    • Incorrect input dynamic range (i.e. outside the expected range)
    • Output voltage accuracy too low, including driftc
    • Output voltage affected by spikesb
    • Output voltage oscillationa
    • Settling time of the output voltage too low
• H/W Part : Analogue switch
  • 기능 : 디지털 제어 신호의 레벨에 따라 아날로그 신호를 전환하거나 라우팅
    ※ 일반적으로 "Transmission gate" 를 이용하여 구현
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit or tri-stated)
    • Offset too high affecting the output signal
    • Resistive or capacitive coupling between control signal and
    • output signal including crosstalk
    • Attenuation of the output signal
    • Drift affecting the output signal
    • Spikes affecting the output signal , e.g. during switching
• H/W Part : Voltage / Current comparator
  • 기능 : 입력 아날로그 신호를 미리 정의된 임계값 (전압 또는 전류의 상수 값) 과 비교하고 출력에서 이진 신호를 생성
  • Failure Mode
    • Voltage/Current comparator not triggering when expected
    • Voltage/Current comparator falsely triggering
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open)
    • Oscillationa of the output
• H/W Part : Sample & hold
  • 기능 : 지속적으로 변환하는 아날로그 입력 신호의 전압을 샘플링하고 지정된 최소 시간 동안 일정한 레벨로 값을 유지
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit)
    • Incorrect sampling leading to gain/offset error on output voltage dependent on input signal
    • Incorrect gain on the output voltage (i.e. outside the expected range)
    • Incorrect offset on the output voltage (i.e. outside the expected range)
    • Incorrect output dynamic range (i.e. outside the expected range)
    • Incorrect input dynamic range (i.e. outside the expected range)
    • Output voltage accuracy too low during hold phase, including drift
    • Output voltage during hold phase affected by spikes
    • Output voltage oscillationa during hold phase
    • Output does not settle sufficiently accurate during hold time
• H/W Part : Analogue multiplexer
  • 기능 : 여러 아날로그 입력 신호, 여러 제어 입력 및 하나의 출력 신호로 구성되어 여러 입력 신호 중 하나를 선택하여 선택된 입력을 하나의 출력으로 연결
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit)
    • Incorrect channel selection
    • Offset affecting the output signal too high
    • Resistive or capacitive coupling among input channels and output signal including crosstalk
    • Resistive or capacitive coupling among selectors and output signal including crosstalk
    • Incorrect output dynamic range (i.e. outside the expected range)
    • Attenuation of the output signal
    • Drift affecting the output signal
    • Spikes affecting the output signal (i.e. during switching)
• H/W Part : Voltage references
  • 기능 : 온도, 기압, 습도, 전류 요구 또는 시간 경과와 같은 외부 조건의 변화에 관계없이 일정한 DC (직류) 출력 전압을 생성
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit)
    • Incorrect output voltage value (i.e. outside the expected range)
    • Output voltage accuracy too low, including drift
    • Output voltage affected by spikes
    • Output voltage oscillationa within the expected range
    • Incorrect start-up time (i.e. outside the expected range)
• H/W Part : Passive network
  • 기능 : 특정 저역 통과 기능을 제공하는 수동 장치 (저항 및 커패시터) 네트워크
  • Failure Mode
    • Output is stuck (i.e. high or low)
    • Output is floating (i.e. open circuit)
    • Incorrect output dynamic range (i.e. outside the expected range)
    • Incorrect attenuation of the output signal (i.e. outside the expected range)
    • Incorrect settling time (i.e. outside the expected range)
    • Drift affecting the output signal
    • Oscillation affecting the output signal (i.e. due to crosstalk, coupling or parasitic effects)
    • Spikes affecting the output (i.e. due to crosstalk, coupling or parasitic effects)
• H/W Part : Current source (including bias current generator)
  • 기능 : 양단의 전압과 독립적인 전류 (기준 전류)를 전달하거나 흡수함
    ※ 기준 또는 바이어스 전류를 필요로 하는 다른 회로로 라우팅 되는 여러 분기를 포함
  • Failure Mode
    • One or more outputs are stuck (i.e. high or low)
    • One or more outputs are floating (i.e. open circuit)
    • Incorrect reference current (i.e. outside the expected range)
    • Reference current accuracy too low , including drift
    • Reference current affected by spikes
    • Reference current oscillationa within the expected range
    • One or more branch currents outside the expected range while reference current is correct
    • One or more branch currents accuracy too low , including drift
    • One or more branch currents affected by spikes
    • One or more branch currents oscillationa within the expected range

정리

앞에서도 언급하였지만, 위에서 정리한 Analogue I/O 에 대한 Failure mode 는 일반적으로 고려할 수 있는 Failure mode 입니다.

 

특정 프로젝트를 진행하며 Failure mode 를 도출할 때 참조 할 수 있는 내용으로 실제 시스템의 기능 및 안전 요구 사항에 맞춰 해당 내용을 추가 또는 제거하여 사용할 수 있습니다.

 

앞서 정리한 Failure mode 에 Failure mode 를 추가 하였을 경우에는 문제가 없지만, 만약 위에서 정리한 Failure mode 를 안전과 관련이 없는 것으로 분류 하여 제거하였을 경우에는 뒷받침 할 수 있는 안전 분석에 대한 근거를 제시할 필요가 있을 수도 있습니다. (고객의 요구로 인해)