機能安全と ISO 26262

影響力のあるテクノロジーはいずれも、一連のリスクを生み出します。これは、車載用の安全関連システムで特に深刻な問題となることがあります。国際標準化機構 (ISO) 26262 シリーズ規格である「自動車 – 機能安全」の目的は、車載用電気 / 電子システムの機能安全に関するガイドラインと要件を提示することにより、道路車両のリスクを低減することです。12 部で構成される ISO 26262 は、進化を続ける車載テクノロジーを考慮して 2018 年に更新され、現在では半導体に関する具体的な要件も規定しています。ISO 26262 は、自動車安全性要求レベル (ASIL) と呼ばれる車載固有のリスク ベースのアプローチを詳細に規定しており、重大度、曝露確率、運転者による制御可能性の 3 つの変数に基づいて、潜在的な危険のリスク分析を行うことにより確立されます。

自動車メーカーは機能安全に準拠したプラットフォームを開発する際、ASIL システム レベル定格のさまざまな分類を必要とします。例として、先進運転支援システム (ADAS) 向けのサラウンド ビュー、ドライバー監視、レーダー、LiDAR は、システム レベル定格である ASIL D を必要としますが、デジタル コックピットやインフォテインメント システムなどの最終機器は ASIL B 定格のみを必要とします。このような安全性の確保が重要となるシステムで共通の課題は、車載バッテリから大電流の SoC (システム オン チップ) とマルチコア プロセッサの負荷に電力を信頼性の高い方法で供給する必要があることです。

外部電圧監視機能を搭載した機能安全準拠の設計

同期整流降圧コントローラ IC は、車載設計において 12V、24V、48V のバッテリ入力を DC/DC 変換できるようにし、電流仕様が多くの場合 100A を上回る大電流プロセッサ負荷の需要に対応します。図 1 に、デュアル出力構成を示します。この構成では、システムの各出力に電圧監視 IC を組み込むことで、ASIL D 機能安全準拠を実現しています。

図 1 の Q₃ と Q₆ は、出力フォルト条件時にオープンになる出力切断スイッチを示します。図 1 に示す従来型のデュアル出力降圧コントローラは、パワーグッド (PG1/2) ピンを使用してシステム マイクロコントローラ (MCU) に基本的な診断情報を返すことができます。

同期整流降圧コントローラを使用した機能安全準拠の設計

80V LM5137F-Q1 デュアル チャネル DC/DC 降圧コントローラには、大電力 SoC コアおよび I/O レール用の高効率同期整流降圧レギュレータを実装するために必要なすべての機能が搭載されています。このデバイスはコントローラ ファミリとして供給され、3 つの機能安全カテゴリがあります。これらのカテゴリはテキサス・インスツルメンツの機能安全対応、ASIL B、ASIL D で、最後の 2 つにはデバイスの部品番号に接尾辞「F」が付いています。

また、このファミリは電圧のスケーラビリティも実現しており、100kHz〜2.2MHz のスイッチング周波数範囲で 12V、24V、48V のバッテリ入力に対応できます。内蔵チャージ ポンプ ゲート ドライバは、100% のデューティ サイクル能力と真のパススルー モード動作を提供します。LM5137F-Q1 は、非常に低い静止電流によりバッテリ寿命の延長と軽負荷時の効率を実現し、デュアル ランダム スペクトラム拡散 (DRSS) により、広い周波数範囲にわたって電磁気干渉 (EMI) に対処できます。

図 2 に、LM5137F-Q1 降圧コントローラを使用した ASIL D システムのプリレギュレータ設計の全回路図を示します。この設計は、基本的には図 1 の動作仕様および電力段部品と同じですが、外部電圧監視 IC は必要ありません。柔軟性を向上させるために、2 つのインターリーブ位相を持つ単一出力実装 (または、特に要求の厳しい大電流負荷では 4 相にスタック) として構成することができます。

LM5137F-Q1 には、ISO 26262 の ASIL D までの決定論的能力とハードウェア インテグリティ機能安全要件を達成するのに役立つ安全メカニズムが内蔵されています。このような安全メカニズムには、出力を起動する前に LM5137F-Q1 コントローラと周辺部品の健全性ステータスを検証するためのアナログ内蔵セルフ テスト (ABIST) が含まれます。また、このデバイスは冗長出力電圧監視機能を備えているため、外付け回路が不要になり、ハードウェアのコスト、サイズ、複雑さを低減できます。追加の安全メカニズムには、高度なフォルト通知、過電流の監視と通知、出力低電圧および過電圧保護、冗長サーマル シャットダウンが含まれます。

図 2 に示すように、機能安全降圧コントローラには、次のようなシステム レベルと回路レベルの利点があります。

• 起動前の ABIST や通常動作時のチャネルごとの電流監視など、診断機能を内蔵。
• FIT ベースの故障率を低減する、高度なフォルト識別と故障耐性を含む内蔵冗長性機能。
• 補助的な電圧監視 IC や電流監視 IC の必要性を除去することにより、部品点数の低減とスペースの節減を実現。

同期整流降圧コンバータを使用した機能安全準拠の設計

スイッチ内蔵の降圧コンバータは、電圧と電流のスケーラビリティを実現できるため、プリレギュレーション段の別のオプションとして使用できます。たとえば、65V、8A の LM68680-Q1 および 65V、4.5A のLM68645-Q1 降圧コンバータ ファミリは、70V までの入力過渡電圧に耐えられるのと同時に、ASIL C 以上を必要とするシステムの要件を満たします。これらのコンバータは 12V、24V、48V 入力に拡張可能であり、前述の LM5137F-Q1 コントローラと同様の機能安全機能を実現できます。

図 3 に、LM68680-Q1 と LM68645-Q1 をプリレギュレータとして使用し、30A の TPS62883-Q1 と 20A の TPS62881-Q1 スタッカブル 2 相ポイント オブ ロード (POL) 降圧コンバータに電力を供給するシステム ブロック図を示します。これらの PoL は、出力電圧の差動リモート センシングと超高速負荷過渡応答を実現し、ADAS ドメイン コントローラ アプリケーションで使用される Jacinto™ TDA4VH-Q1 車載 SoC 向けに厳格な電圧レギュレーションを実施します。

さまざまな SoC 電圧レールに電力を供給するアーキテクチャとしてコントローラまたはコンバータ オプションのいずれを選択するかにかかわらず、テキサス・インスツルメンツでは、機能安全のシステム レベルの認証を効率化するのに役立つ業界標準のレポートと追加リソース (機能安全 FIT 率や故障モード効果、診断分析 (FMEDA) などの IC レベルの資料など) を提供しています。

まとめ

車載パワー エレクトロニクスが、高密度化、パッケージ小型化、性能向上、コスト削減を実現する機能安全準拠の設計へと移行する中で、降圧プリレギュレータ電力段用のコントローラとコンバータの選択について再考することが必須となっています。このような状況では、高密度の降圧プリレギュレータを必要とするシステムを設計する際に、ASIL D までの機能安全準拠を実現することが主要な課題の 1 つです。

LM5137F-Q1 のような降圧コントローラは、機能安全に準拠するために補助的な管理や監視のための部品が必要となる従来型のコントローラ設計とベンチマーク比較を行った場合、固有の利点がいくつかあります。また、テキサス・インスツルメンツの機能安全準拠 65V 定格降圧コンバータは、低消費電力設計で代替品として使用できます。

その他の資料

• テキサス・インスツルメンツの機能安全ランディング ページをご覧ください。
• LM5137F-Q1 降圧コントローラと LM68645-Q1 および TPS62883-Q1 の各降圧コンバータに関するデータシートをダウンロードしてください。
• LM25137F-Q1-EVM5D3 評価基板ユーザー ガイドを参照してください。
• 技術記事『テキサス・インスツルメンツの機能安全準拠降圧レギュレータを活用した次世代 ADAS プロセッサへの電力供給』をお読みください。
• ホワイト ペーパー『車載および産業機器における 機能安全認定の合理化』をご覧ください。

商標

すべての商標はそれぞれの所有者に帰属します。