根據(jù) IEC 61508 標(biāo)準(zhǔn)，危險(xiǎn)故障的成因包括以下因素：

　　—— 軟件或硬件系統(tǒng)規(guī)范不正確

　　—— 安全要求規(guī)范缺失

　　—— 硬件隨機(jī)故障

　　—— 系統(tǒng)原因故障

　　—— 人為錯(cuò)誤

　　—— 環(huán)境影響(EMI、溫度以及機(jī)械等)

　　從完整系統(tǒng)的角度來(lái)說(shuō)，危險(xiǎn)評(píng)估和安全完整性要求包括以下因素：

　　在電壓下降、假信號(hào)等情況下確保穩(wěn)定的電源供給和時(shí)鐘信號(hào)完整性;

　　用于處理與通信的冗余性或真實(shí)性檢查，其中包括往返于傳感器和執(zhí)行器的信號(hào);

　　提供故障檢驗(yàn)功能;

　　提供故障管理策略，其中包括在故障容錯(cuò)架構(gòu)、緊急操作模式及可控系統(tǒng)關(guān)斷等情況下定義安全狀態(tài)和故障防護(hù);

　　增強(qiáng)型軟件開發(fā)進(jìn)程包括使用正式規(guī)范、編程語(yǔ)言子集以及代碼驗(yàn)證工具等。

　　硅芯片的強(qiáng)大支持

　　開發(fā)人員可充分利用市場(chǎng)上的微處理器，為 ECU 制動(dòng)控制功能達(dá)到 SIL3 認(rèn)證標(biāo)準(zhǔn)提供所需技術(shù)。TI 與羅伯特•博世有限公司 (Robert Bosch GmbH) 聯(lián)合開發(fā)的TMS570 就是一款這樣的微處理器。

　　在硅芯片設(shè)計(jì)中，芯片布局本身就是一項(xiàng)很大的挑戰(zhàn)，應(yīng)包括專用知識(shí)產(chǎn)權(quán) (IP) 以減少并檢測(cè)隨機(jī)硬件和系統(tǒng)原因故障。此外，我們還可用運(yùn)行于鎖步 (lock-step)模式的雙核處理器架構(gòu)來(lái)比較處理結(jié)果，從而避免為開發(fā)獨(dú)立的檢驗(yàn)器微處理器軟件耗費(fèi)大量的時(shí)間。為了保護(hù)存儲(chǔ)器子系統(tǒng)免受外部事件引發(fā)的故障影響，我們應(yīng)在主存儲(chǔ)器和本地存儲(chǔ)器以及總線流量上實(shí)施錯(cuò)誤校正代碼 (ECC) 和奇偶位保護(hù)機(jī)制。為簡(jiǎn)化開發(fā)工作，開發(fā)人員還應(yīng)使用 MCU 上業(yè)已實(shí)施FlexRay™ 網(wǎng)絡(luò)協(xié)議的器件。這種由領(lǐng)先汽車制造商和供應(yīng)商開發(fā)的確定性通信標(biāo)準(zhǔn)能為高級(jí)汽車系統(tǒng)提供全面確定性的冗余通信。

　　例如，TI 的 TMS570 MCU 是一款基于兩個(gè)相同的新一代 ARM® R4 CortexTM 內(nèi)核之上的對(duì)稱型雙核MCU。每個(gè) Cortex-R4 內(nèi)核的性能均可達(dá)到 300 MIPS，而且 TMS570 還集成了 2MB 的片上閃存、FlexRayTM 網(wǎng)絡(luò)、BIST、CAN 及多種外設(shè)。雙核與正在申請(qǐng)專利的架構(gòu)緊密耦合，可實(shí)現(xiàn)最高可靠性。

　　Cortex-R4 的優(yōu)勢(shì)

　　Cortex-R4 的 64 位 AMBA 3 AXI 存儲(chǔ)器接口能夠提供幾項(xiàng)可加強(qiáng)可靠性的重要性能優(yōu)勢(shì)，其中包括發(fā)出多個(gè)待定地址，并支持亂序數(shù)據(jù)返回。

　　或許最顯著的優(yōu)勢(shì)在于，即便存儲(chǔ)器或外設(shè)速度較慢，也不會(huì)阻塞總線，進(jìn)而影響存取速度。這種功能使得內(nèi)核不必等待速度較慢的存取完成，從而可以執(zhí)行更多存取。此外，64 位寬總線還提高了可用帶寬，從而僅需四次存取就能完成高速緩存行填充，而不像ARM946E-S一樣需要八次。

　　與 946E-S 相比，Cortex-R4 還大幅改進(jìn)了中斷延遲，而且最壞情況中斷延遲和平均中斷延遲均得到了改善。例如，946E-S 必須等著指令或中斷進(jìn)程完成，而不能中途放棄。在最壞情況下，意味著即便使用零等待狀態(tài)存儲(chǔ)器，中斷延遲有可能長(zhǎng)達(dá) 118 個(gè)周期。盡管上述情況不太可能頻繁發(fā)生，但實(shí)時(shí)系統(tǒng)必須做這種最壞的打算。

　　另一方面，如果在執(zhí)行過(guò)程中收到中斷請(qǐng)求，Cortex-R4 處理器將放棄正常存儲(chǔ)器的多負(fù)載指令。經(jīng)過(guò)精心設(shè)計(jì)，TMS570 MCU可將最長(zhǎng)中斷延遲控制在 20 個(gè)周期左右，很少甚至可完全不受 AMBA AXI 存儲(chǔ)器和外設(shè)的存取時(shí)間的影響。

　　此外，Cortex-R4 處理器還可提供非屏蔽中斷選項(xiàng)，從而避免軟件禁用快速中斷請(qǐng)求 (FIQ)，這對(duì)于安全關(guān)鍵型應(yīng)用尤其重要。

　　結(jié)論

　　對(duì)汽車制造商及 OEM 廠商而言，隨著車輛變得日益復(fù)雜，集成的功能越來(lái)越多，安全標(biāo)準(zhǔn)化也日趨重要。集成 Cortex R4 內(nèi)核的創(chuàng)新型設(shè)計(jì)，如 TMS570 器件，可實(shí)現(xiàn) IEC 61508 標(biāo)準(zhǔn)所要求的故障檢測(cè)與響應(yīng)時(shí)間。

　　將基于微處理器的系統(tǒng)的可靠性納入 SIL3 認(rèn)證范疇，標(biāo)志著汽車 OEM 廠商與汽車制造商在全面實(shí)施車輛線控驅(qū)動(dòng)功能的進(jìn)程中向前邁進(jìn)了一大步。

　　TMS570 MCU 是經(jīng) SIL3 認(rèn)證并符合制動(dòng)要求的 32 位微處理器系列，將在2008 型式年份的車輛中實(shí)施。TMS570 MCU的技術(shù)發(fā)展策略涵蓋電子穩(wěn)定性控制、底盤控制及轉(zhuǎn)向系統(tǒng)等。