产品聚焦： Chorus 车载时钟发生器采用 FailSafe 技术实现高度安全

      SiTime 今日推出Chorus™汽车时钟发生器--业界首款为整个时钟发生信号路径内置故障监测机制的全集成时钟片上系统（ClkSoC）。Chorus 汽车时钟发生器中的 FailSafe™ 技术将 MEMS 谐振器、振荡器和先进的安全机制集成到单个封装中，为业界提供了一种新方法。这种集成简化了系统时序架构，并将功能安全开发时间最多缩短六周。与独立振荡器相比，硬件设计人员可获得高达 10 倍的性能提升，而体积仅为独立振荡器的一半。

      自动驾驶和半自动驾驶正在成为现实，汽车行业正在快速向软件定义汽车（SDV）的终极目标靠拢。无论是实现自动驾驶（AD）还是高级驾驶辅助系统（ADAS），采用 FailSafe 技术的 Chorus 都能满足安全关键型系统的计时需求。

新一代汽车设计面临的时间挑战

      汽车工程师在实施 SDV 时面临着独特的挑战。汽车买家希望获得与智能手机一样无缝的用户体验，但同时又不影响安全性。随着汽车的自主化程度越来越高，硬件故障不仅令人烦恼，还可能对生命和财产造成严重后果。

      最终的 SDV 就是车载数据中心。SDV 可实时传输来自摄像头、激光雷达、雷达等传感器的信息。汽车需要即时处理数据并做出决策，优先保证车内和路上人员的安全。这种高性能计算（HPC）基础设施支持每秒 1000 太赫兹的运算（TOPS）。它需要一个同步精密授时网络，在冲击、振动和极端天气条件下保证性能可靠，使用寿命长达数十年。

      SiTime 将其在 MEMS 授时技术和数据中心同步高精度授时网络领域的领先地位带入汽车领域。Chorus automotive 具有业界首创的 -40°C 至 125°C 宽工作温度范围，在消除安全关键模块设计中的热瓶颈方面具有独一无二的优势。

注重安全的精密同步汽车时钟发生器

      按照常规，如果关键部件的时钟发生故障，就会出现灾难性故障--处理单元可能停止运行，高速链路可能丢弃数据包。系统中的安全微控制器会监控此类大规模故障，并禁用故障功能，以达到安全状态。例如，当汽车提醒你车道辅助功能已失效时，它就会确保安全状态，让你不再依赖失灵的功能。在这些救生功能中，时间至关重要。工程师的目标是缩短容错时间间隔（FTTI，即故障发生与系统通知之间的时间）。Chorus automotive 可以提前报告时钟故障，从而缩短关键的毫秒时间。

      FTTI 要求是汽车安全完整性等级（ASIL）的通用要求，也是ISO 26262标准的一部分，该标准是对汽车系统故障造成的危害进行分类的框架。ADAS 传感器和中央计算 ECU 必须满足高 ASIL 等级的要求，才能通过认证，在发生故障时仍能管理最关键的危险。每个模块都需要对故障情况进行详细分析，为每个组件分配故障概率和诊断覆盖指标。

      为了简化认证过程，工程师必须从正确的构件开始--失效概率较低且具有有效诊断功能以实现早期故障检测的部件。Chorus automotive 采用 FailSafe 技术，解决了传统石英时钟发生器在应对这些挑战方面的局限性，将故障率降低了 10 倍，并提供了先进的诊断功能。

Chorus 降低汽车系统时钟树的复杂性

      过去，定时网络由独立的振荡器组成。这些振荡器无法同步，也不具备诊断功能。有时会使用多输出时钟发生器，通常与外部石英谐振器搭配使用，但存在阻抗匹配和噪声问题。Chorus automotive 最多可取代 4 个差分或 8 个单端独立振荡器，将电路板上的时序占用空间缩小 50%，并消除了任何噪声或阻抗失配问题。

      此外，每个 Chorus 时钟输出都可单独编程和控制。可以根据特定的系统需求调整其行为，控制电磁干扰（EMI）或调整相移和延迟，以管理较长的电路板线路。现在，多个时钟可轻松集成到一个紧凑型设备中，例如，用于合并 ADAS ECU 或分区网关的复杂时钟树。

该示例展示了采用 FailSafe™ 技术的 Chorus automotive 如何简化 ADAS ECU 时钟树。单个 Chorus 可处理 ADAS 计算 SOC 和多个高速接口的精密计时。它是唯一一款具有端到端信号监控和警报功能的精密计时器件，可提高安全性，同时降低功耗、总拥有成本和电路板空间。

降低故障率，以 1000 倍的速度检测和报告潜在故障

      同类时钟发生器即使具有监测功能，也主要集中在检测外部石英谐振器故障上，而这是众所周知的常见故障。这就留下了一个危险的故障覆盖盲点，无法看到时钟信号链的其他部分（振荡器、锁相环、输出驱动器等）。

      解决了石英故障问题后，Chorus automotive 可提供从 MEMS 谐振器到输出引脚，以及电源轨、内部存储器和芯片温度的端到端连续实时故障监测。根据系统的功能安全目标，每个时钟输出的安全可见性都可单独定制。

      由于能够在微秒（而不是毫秒）内就时钟相关故障向安全微控制器发出警报，远远早于任何下游故障的发生，因此汽车恢复到安全状态的速度比以前快 1000 倍。故障率大幅降低、诊断范围扩大、报告速度加快，这一切为工程师的总体 “安全预算 ”留出了更多空间。它可以节省数周的工程设计工作，降低外部监控机制的解决方案成本。

      值得注意的是，安全微控制器本身应由单独的振荡器进行时钟控制，以避免任何潜在的依赖性故障。SiTime 拥有所需的专业知识，可就时钟树的智能分区提供建议，以实现集成和安全的双重目标。

采用故障安全技术的 Chorus Automotive

      Chorus automotive 通过提供多达四个可配置的差分或多达八个单端低偏移输出，为汽车计算和传感器系统协调复杂的时序。其 FailSafe 技术可提供可编程端到端安全监控，从而简化功能安全设计。它符合 PCI Express（PCIe）第 1 - 6 代标准，具有扩频选项、用于极佳电源噪声抑制的片上稳压器以及相位可配置和可编程偏斜输出。

      Chorus 可通过可配置的通用 I/O (GPIO) 引脚向外部安全管理 MCU 发出时钟故障警报。串行接口（I2C 或 SPI）可用于读取内部寄存器，包括内部监控功能的状态。此外，这些器件还具有高度灵活性，可使用系统内配置 (ISC) 模式通过串行接口修改器件配置和每个输出行为。

Chorus汽车时钟发生器框图

主要特点包括

l  更高性能： 集成 MEMS 谐振器，复原能力最高可提高 10 倍。

l  功能安全特性： 内置可编程故障监控器。

l  设计简单： 集成 MEMS 技术加快了设计流程，消除了噪声和阻抗匹配等常见问题。

l  更小的占地面积：4 mm x 4 mm QFN 尺寸仅为原来的一半。

l  频率灵活： 可编程频率从 1 MHz 到 700 MHz。

l  低有效值相位抖动： 70 fs 典型值（12 kHz 至 20 MHz）。

l  卓越的频率稳定性：±20 ppm（-40°C 至 105°C）或 ±50 ppm（-40°C 至 125°C）。

l  灵活的输出类型： 多达四个差分（LVPECL、FlexSwing™、LVDS、HCSL、LPHCSL）或八个 LVCMOS 输出。

l  降低功耗，简化电路： FlexSwing 输出可降低功耗并省去终端电阻器。

l  灵活的电源电压： 可编程 1.8V、2.5V 或 3.3V。

l  减少 EMI： 可配置扩频、可编程上升/下降时间。

l  符合最新 PCIe 标准： 第 1 至第 6 代。

Chorus Automotive 目前正在提供样品。