一文講透從IP層面如何實(shí)現汽車(chē)功能安全

如今，汽車(chē)行業(yè)變革迅猛，汽車(chē)的設計、使用和銷(xiāo)售模式都在快速演變。駕駛員安全技術(shù)、交通擁堵、環(huán)境問(wèn)題及汽車(chē)作為代步工具的基本前提都影響著(zhù)新一代汽車(chē)的研發(fā)。為解決這些難題，很多汽車(chē)廠(chǎng)商都試圖強化計算能力以?xún)?yōu)化車(chē)輛控制。

歐盟新車(chē)安全評鑒協(xié)會(huì )（EuroNCAP）頒布的新標準規定，車(chē)道變換支持等安全輔助功能是獲得五星安全評級的必要條件。車(chē)載處理器的數量在所有細分市場(chǎng)都穩步上升，目前平均為40-50個(gè)，而一些高端車(chē)型則已經(jīng)搭載近120個(gè)處理器。

據Semicast Research預測，到2022年，僅發(fā)動(dòng)機引擎罩下的電子控制單元（ECU）組件就將達到近860億美元的市場(chǎng)規模，相較2015年的530億年復合增長(cháng)率達到7%。半導體廠(chǎng)商將有機會(huì )在汽車(chē)電子領(lǐng)域挖掘一大桶金。

高科技芯片可以改善動(dòng)力系統排放、增強安全性能、并利用蜂窩網(wǎng)絡(luò )實(shí)現車(chē)輛間及道路基礎設施之間的互聯(lián)。但是，隨著(zhù)系統的復雜化，保證駕駛員安全就變得更為關(guān)鍵，必須打造更加自動(dòng)化，系統化，且能患于未然的解決方案——即我們通常所稱(chēng)的“功能安全”。

什么是功能安全

簡(jiǎn)而言之，功能安全的最終目的是確保產(chǎn)品安全運行，即便出現問(wèn)題也可以繼續保駕護航?；谶@一理念，ARM將保證安全視為頭等大事，而非單純依照市場(chǎng)導向隨波逐流，不斷加強研發(fā)，推出更多功能安全相關(guān)產(chǎn)品。

各行各業(yè)都會(huì )制定標準，指導未來(lái)發(fā)展并限定最低準入門(mén)檻。在汽車(chē)電子行業(yè)，這一標準就是ISO 26262，它將功能安全定義為：“避免因電氣／電子系統故障而導致的不合理風(fēng)險”。

不同領(lǐng)域的標準并不完全一致，例如針對電氣和電子系統的IEC 61508以及飛行器電子硬件的DO-254都有各自的定義方式。更需值得注意的是，它們都擁有專(zhuān)用術(shù)語(yǔ)，并提供了包括目標參數在內的工程研發(fā)指導。因此，開(kāi)始產(chǎn)品研發(fā)前確定目標市場(chǎng)并制定合適的流程至關(guān)重要，因為中途修改研發(fā)流程必然會(huì )導致效率低下。圖1展示了硅片IP的不同應用標準。實(shí)際操作中，如果需要滿(mǎn)足多套標準，則可以求同存異，先列出專(zhuān)屬需求，再執行質(zhì)量管理等通用準則；最一開(kāi)始就要做到安全第一。

　　圖1：硅片IP的功能安全標準

實(shí)際操作中，功能安全系統必須由獨立評估員認證，符合所有安全標準。實(shí)現功能安全需要具備預測能力的故障模式，實(shí)時(shí)判斷系統狀態(tài)是功能完整、部分功能損壞、還是系統必須關(guān)閉進(jìn)行重啟或重置。

并不是所有故障都會(huì )立刻引發(fā)嚴重事故。比如，汽車(chē)動(dòng)力轉向系統故障可能會(huì )導致突發(fā)性的錯誤轉向，但是由于電氣和機械設計天然的時(shí)間延遲，故障并不會(huì )馬上產(chǎn)生后果，這一延遲通常是幾毫秒以上，ISO 26262將之定義為容錯時(shí)間間隔，間隔長(cháng)短取決于潛在的事故類(lèi)型和系統設計。所以，不難理解，對系統安全要求越高，產(chǎn)生不安全事件的故障就越應該避免。

理想情況下，功能安全不會(huì )影響系統性能；但現實(shí)生活中，現行的許多安全措施都會(huì )嚴重影響系統性能、功率和面積（PPA）。如何在保證功能安全的前提下減輕對系統性能的不利影響以及設計制造成本的上升，是設計師們面臨的一大難題。

為什么需要功能安全

芯片IP的功能安全曾是非常小眾的領(lǐng)域，只有少數汽車(chē)、工業(yè)、航空航天和其他類(lèi)似市場(chǎng)的芯片與系統開(kāi)發(fā)商感興趣。然而，隨著(zhù)過(guò)去幾年各類(lèi)汽車(chē)應用的興起，情況已經(jīng)發(fā)生巨大變化。除了汽車(chē)外，還有很多其他行業(yè)也能從電子器件的增加受益，當然保障功能安全是大前提。醫療電子和航空就是兩個(gè)典型例子。

自動(dòng)駕駛過(guò)去幾年吸引了不少人的眼球，但一直是霧里看花；如今，隨著(zhù)高級駕駛輔助系統（ADAS）及富媒體車(chē)載信息娛樂(lè )系統（IVI）的普及，盡管高度自動(dòng)化駕駛的時(shí)代依然遙遠，但自動(dòng)駕駛汽車(chē)的前景已變得愈發(fā)清晰，尺寸形狀各異的無(wú)人機和日益普及的物聯(lián)網(wǎng)也是亟需功能安全的領(lǐng)域，ARM 的技術(shù)將成為一大助力。

ARM功能安全技術(shù)

與其他技術(shù)市場(chǎng)一樣，新興的功能安全應用也需要半導體的驅動(dòng)，這并不是紙上談兵，日新月異的產(chǎn)品創(chuàng )新已經(jīng)引起了ARM合作伙伴的濃厚興趣。多數功能安全嵌入式系統都需要具備安全防護及實(shí)時(shí)處理兩大核心要素，ARM Cortex-R系列處理器為此需求量身定制，為嵌入式系統提供高性能運算解決方案，確保產(chǎn)品的高可靠性、高可用性、容錯、以及強大實(shí)時(shí)自主判斷能力。這些特性為實(shí)現ADAS和IVI系統的高安全完整性打下基礎，不僅可以執行關(guān)鍵行為處理，應對安全相關(guān)的中斷事件，與其他系統通訊，還可以對集成度較低的復雜功能進(jìn)行監管。

什么是故障？

故障可能是系統性的（如規范制定和設計過(guò)程中的人為因素），也有可能與使用的工具有關(guān)。減少故障的一種方法是執行嚴苛的質(zhì)量管控流程，必須包括詳細的規劃、審查和量化評估。合理的規劃使用工具認證非常重要，管理與追蹤需求變更的能力也同樣關(guān)鍵。ARM的Compiler 5編譯器已經(jīng)通過(guò)南德集團（TÜV SÜD）認證，助力安全研發(fā)，客戶(hù)無(wú)需對編譯器進(jìn)行額外認證。

還有一種故障類(lèi)型被稱(chēng)為隨機硬件故障。它們可能是圖2顯示的永久性故障，比如短路；也有可能是由于天然輻射而造成的軟性故障。這類(lèi)故障可以利用集成在軟硬件的方案進(jìn)行處理，因此系統級的技術(shù)也同樣重要。舉例來(lái)說(shuō)，邏輯內建自測試（BIST）可以應用于系統啟動(dòng)和關(guān)閉，區分軟性和永久性故障。

　　圖2：故障類(lèi)型

應對措施

故障檢測和控制措施的選擇和設計是流程設計師最喜歡的環(huán)節，因為他們可以同時(shí)用系統級和微架構級的技術(shù)大展手腳。建立故障模式概念和效果分析（FMEA）是個(gè)不錯的開(kāi)始，列舉出所有可能出現的故障模式及其后果的嚴重程度。有了這些信息，加上設計師對復雜系統的深入理解，即可鑒別出最嚴重的故障模式，并設計出應對措施。

應對潛在故障的方法較多，下面列出了一些最常用的技術(shù)：

1、多樣化檢查器：使用另一條電路檢查主電路是否發(fā)生故障。舉個(gè)例子，檢查器可以為中斷控制器計數，持續記錄人為及系統引起的中斷總數。

2、完整鎖步復制：該技術(shù)主要用于Cortex-R5處理器，對一個(gè)IP元件（如一個(gè)處理器）進(jìn)行多次實(shí)例化，利用循環(huán)產(chǎn)生操作延遲，生成時(shí)間和空間冗余。大容量存儲通常由多個(gè)實(shí)例共享，以降低所需面積。盡管這一技術(shù)非?？煽?，但也極為昂貴。

3、選擇性硬件冗余：這個(gè)方案里，只有硬件的關(guān)鍵部分可以復制，如仲裁器。

4、軟件冗余：硬件冗余通常非常復雜，而且會(huì )產(chǎn)生間接成本，是對資源的不合理使用。硬件運算的替代方法就是，在多個(gè)處理器內核上運行同一次計算，檢查結果是否匹配。

5、錯誤檢測和校正碼是另一種為人熟知的技術(shù)，通常被用于保護存儲器和總線(xiàn)。代碼類(lèi)型多種多樣，但目標只有一個(gè)，既通過(guò)少量附加位獲得更高冗余，無(wú)需復制所有底層數據。汽車(chē)系統中，這一尖端技術(shù)可以利用足夠多的冗余檢測出一個(gè)存儲字的2位錯誤；并支持錯誤修正。

故障日志

檢測出故障后就必須進(jìn)行記錄，以幫助監管軟件判斷系統的健康和安全狀況。安全故障（如存儲器修正）和危險故障（如不能挽回的硬件故障）必須分別記錄。

故障記錄通常從故障計數開(kāi)始，可以由系統級架構記錄有信號事件（類(lèi)似于中斷）的數量；或者由IP計數器記錄。為了解這些事件發(fā)生的原因，最好還能將過(guò)去的事件作為參考，判斷當前時(shí)間的發(fā)生原因。為支持這一需求并進(jìn)行調試糾錯，可以允許一些IP捕捉額外信息，如被偵查的存儲地址。因為該地址通常會(huì )由軟復位保存，所以可以在系統啟動(dòng)和系統自檢過(guò)程中被讀取。

有一點(diǎn)需要牢記，故障也可能發(fā)生在安全架構本身。與硬件故障不同的地方是，后者通?？梢栽谑褂眠^(guò)程中被很快發(fā)現，但安全檢查器中的故障可能是潛伏的，它已經(jīng)無(wú)法偵測危險故障，但故障卻已經(jīng)悄悄地蔓延開(kāi)了。這樣的故障被稱(chēng)為潛伏故障，定期測試檢查器是個(gè)不錯的方法。

安全完整性等級

不同的標準體系反應安全等級的方法也各不相同，但其主要目的是直觀(guān)的反映功能的關(guān)鍵性。比如說(shuō)，控制擋風(fēng)玻璃雨刮、安全氣囊或制動(dòng)器的ECU，完整性必須高于控制車(chē)速表或泊車(chē)傳感器的ECU，因為前方視野至關(guān)重要，突然剎車(chē)或氣囊充氣可能造成致命后果，駕駛員也會(huì )兇多吉少；而車(chē)速表或泊車(chē)傳感器對安全停車(chē)的重要性就低得多了。

換句話(huà)說(shuō)，安全完整性等級是與人避免危險情況的必要性和能力相關(guān)的；而各項標準的作用就是指導人們如何定義安全完整性等級，并提供相關(guān)參數，幫助其對系統完整性進(jìn)行量化。

IEC 61508將安全完整性等級（SIL）分成4級，第4級為最高完整性。與之相似，ISO 26262提出了汽車(chē)安全完整性等級（ASIL），最低為ASIL A，最高為ASIL D。此外，就表二所示，針對ASIL B到ASIL D，ISO 26262分別就單點(diǎn)故障、潛伏故障和硬件故障概率指標（PMHF，業(yè)內也稱(chēng)及時(shí)故障）提出了建議參數?？蓹z測故障的比例被稱(chēng)為診斷覆蓋率。