2026-11-05
浏览量0
E3650是芯驰科技旗舰智控MCU，22nm车规工艺，4× 600MHz Cortex-R52+ 锁步多核，约 5MB SRAM + 16MB MRAM，16 路 CAN-FD、双千兆 TSN 以太网，ASIL D + 国密 HSM 双安全内建，已完成 AEC-Q100 Grade 1 认证并进入规模化量产，获得多个 ZCU / DCU 定点项目。关于 E3650 的架构与价值的完整介绍，见此前文章：[芯驰 E3650：下一代区域控制器的旗舰选择]
车身域控往下走，真正难的不是算力，是「一颗 MCU 要同时扛住功能安全、信息安全、多网络融合，还要在整车不同电源状态间稳稳切换」。芯驰把这道题拆成了两颗芯片：E3650 负责计算与安全逻辑，SD3601 负责给它一个「安全、可监控、可休眠」的电。两颗芯片从供电轨到看门狗、从上电时序到低功耗握手逐脚对应，配套设计已经做进了官方开发指南。这篇讲清楚这对组合为什么放在一起是「1+1>2」。
区域架构把跨域融合功能收进一个域控制器, MCU 要同时承接功能安全 (ASIL D)、多路异构网络接入 (CAN-FD / LIN / 以太网), 以及在整车「运行 / 休眠 / RTC 保持」之间反复切换——静态功耗要压到极低,但安全域不能断。功能越集成，需要芯片能力越强，对应的电源需求就越复杂，每一路的电压精度、上电顺序、休眠行为都有约束。能对齐这套需求、同时具备 ASIL D 安全监督能力的 PMIC 屈指可数, SD3601 就是专门为此联合定义的配套方案。
一
SD3601：电源轨的精准匹配
SD3601 是针对 E36xx 系列电源需求专门规划设计的配套 PMIC,而非通用方案事后适配。供电轨按 MCU 各电源域实际需求划分,上下电时序由片内状态机托管,与 E3650 的上下电流程对齐。
SD3601 最大输入耐压 42V,输出 MCU 所需轨:
参考设计上为了最佳效率,VDD_LP_0V8 由 SD3601 的 Vpre (5.4V) 配一颗外置 buck 生成,这路也会接回 SD3601 的 VEXTMON 引脚做外部轨监测,所有的电都有监管来保证整体 ASIL D 目标的闭环。
外围收敛结果:一颗 SD3601 PMIC 加一颗外置 buck,覆盖 MCU 全部电源域。
二
安全闭环：双向监督
整机的 ASIL D 不是「MCU 标 ASIL D + PMIC 标 ASIL D」相加得来的。ISO 26262 要求的是一条完整链路闭环：MCU 能检出自身故障，MCU 失效时有独立通道接管，接管后系统进入确定的安全状态。
这个链路闭环在组合里由两侧硬件分工承担。
MCU 侧——自诊断
E3650 作为一颗 ASIL-D 的 MCU, 其片内含有 CPU锁步、全片存储 ECC（含 Cache / TCM / MRAM）、独立 WDT、 SEM(System Error Management） 统一收集总线、外设、时钟、电源等各子系统错误，覆盖从数据传输到指令执行的完整路径来达成全链路全层级诊断。
SEM 收集各子系统错误后分级映射为SEM_FAULT0 引脚的 PWM 信号送出。
跨芯片——心跳与接管
对于系统来讲 MCU 自诊断有个边界：其完全失效时，需要外部独立监督节点 ——SD3601 通过 SEM_FAULT0 引脚接收 MCU 状态信号，通过 GPO0/GPO2 控制复位与故障输出，形成 MCU 之外的独立判定通道：
• SEM_FAULT0 → ERRIN0: E3650系统错误脚输出 5~100kHz PWM 送入 SD3601。选用周期信号而非静态电平，是为覆盖更多失效模式：引脚短路到电源/地或开路时，电平信号可能停留在「正常」侧而无法检出；周期信号一旦丢失即被 ERRIN0 判为超时，使上述失效落入可检出范围。
• GPO0 → RST/PORB: 复位权限由 PMIC 控制，而非 MCU。上电复位与故障复位均由 SD3601 发出。
• GPO2 → FLTB1: 故障输出，触发 LIMP HOME 跛行状态。这是整条链的出口。
• GPO3 → ADC_MUXOUT: PMIC 将内部电压经模拟 MUX 送回 MCU 的 ADC。MCU 也在核对 PMIC 的输出是否正常。
双向监督、互为冗余。
PMIC 侧——双看门狗与自检
SD3601 集成两个独立 WDT, 经 GPI0 (WDEN) / GPI1 (WDIN) 与 MCU 对接，支持 Trigger / SPI / Q&A 三种喂狗模式。Q&A 模式可防止「假活」程序跑飞后仍机械踢狗的情况会被拦截。
双 WDT 支持窗口与超时双重判定，快窗口、慢窗口、故障计数可调，既能快速捕获 MCU 异常，也能过滤偶发抖动。E3650 与 SD3601 的 WDT 参数在开发指南中已给出典型配置，无需客户从零调试匹配。
叠加 A/D/F-BIST 三类内建自检、每路输出的 OV/UV 监控、SafeState 与 Fault/Power-Good 输出，PMIC 在这套系统里的角色不是配角电源，而是独立于 MCU 的监控节点。
选用第三方 PMIC 时，跨芯片监督通路需要客户自行定义：安全文档两套体系各自拼接，跨厂商的故障响应逻辑和 FTTI 对接由客户完成，认证整合需要分别对接两家供应商。SD3601 的监督接口在硬件设计阶段已与 E3650 逐脚对齐，安全手册同源、FMEDA 与认证证书打包交付，这条链路不需要客户自己搭。
三
时序与低功耗：省去最费工时的验证环节
配套选型省下来的时间，主要在这里。
上下电时序
SD3601 内置硬件状态机，管理所有电源轨的上下电顺序与延迟。
时序在多轨系统里是典型的高成本坑：轨序错误可能导致 MCU 启动异常，delay 不足会使外设复位不干净，delay 短了外设复位不干净，而这类问题往往在温度角或电池跌落工况下才复现，定位一次就是几天。
选用第三方 PMIC 时，调优对象涵盖时序、纹波与瞬态，典型调试周期数周至数月，多轮改版迭代，对于客户是实打实的投入。而在这套组合里，时序由 PMIC 硬件状态机托管，E3650 与 SD3601 已在同一块参考设计板上跑通全工况，时序与纹波经过调优、瞬态测试完成预验证，客户拿到的是联调过的结果。
低功耗分层
整车休眠时，域控 MCU 要压低静态功耗，但安全监督不能失效。E3650 定义了四级低功耗模式，SD3601 与之对应，实现电源域的分层关断：
唤醒源随功耗深度递减：浅层休眠支持外设与大量 GPIO 唤醒，深度休眠仅保留 RTC 域 GPIO 与定时器，分层设计让系统在「快速响应」与「极致省电」间按需切换。
监督不随休眠失效：E3650 的 VD_LP（电压检测器）与 WDT9（RTC 域看门狗）位于 RTC Domain，在所有低功耗模式下保持供电与监控——即使 Safety Domain 和 LP Domain 全部关断，电压异常检测与定时监督仍然有效。SD3601 在 PREACTIVE STBY 状态下维持安全域供电轨输出，电压监督通路不断线，确保异常时仍可通过 GPO0 复位 MCU 或经 FLTB1 / LIMP HOME 上报故障。
小结：E3650 × SD3601 的整体价值
E3650 解决算力、外设、双安全的问题，SD3601 解决供电安全、时序管理、低功耗协同的问题。两颗芯片各司其职，但价值不是简单叠加——真正的「1+1>2」体现在以下四个维度：
系统安全完整性。E3650 片内自诊断（DCLS 锁步、SEM、Safety Domain）与 SD3601 独立监督通道（心跳脉冲、双 WDT、ADC 回灌）构成双向闭环。MCU 算，PMIC 监督 MCU，MCU 核对 PMIC，任一环节失效都有下一环节接管。ASIL D 不是两颗芯片各自打标，而是这条链路整体成立。
时序与低功耗开箱即用。上下电轨序、delay、复位归属由 SD3601 硬件状态机托管，与 E3650 启动流程在设计阶段对齐；低功耗分层与 MCU 各休眠状态一一对应，安全域监督不随休眠失效。这两块在第三方 PMIC 方案里是最费验证工时的部分，在这套组合里客户拿到的是已联合验证过的结果。
功能安全交付链完整。安全手册同源，FMEDA 与认证证书打包交付，跨芯片接口在硬件层面互锁，驱动软件随 MCU SDK 一起交付。选型、时序验证、安全论证、驱动适配这四件本来各啃一遍的事，收敛成一条成套路径。
BOM 与供应收敛。一颗 VQFN48 PMIC + 一颗外置 buck 覆盖 E3650 全部电源域与安全监控；MCU 与 PMIC 同一供应商，交货窗口对齐，缺货风险不叠加。
2027北京国际新质汽车及未来智慧出行展览会
2027年3月27日-4月5日
中国国际展览中心（顺义馆）
首都国际会展中心
/ 关于北京国际汽车展览会 /
北京国际汽车展览会(Auto China)自1990年创办以来，历经30多年的发展，成为中外汽车行业的重要展事活动和中国会展业的标志性品牌展会，是在中国举办的国际最高级别的A级车展。2026北京车展在场馆硬件及服务全面升级，成为全球瞩目的车展新标杆。
2027北京国际汽车展览会，于2027年3月27日--4月5日在北京盛大举行。
