在汽車應(yīng)用中，人體與電氣/電子系統(tǒng)之間的交互顯著增加，具體而言是指在管理對安全至關(guān)重要的決策時的交互，這些決策會對駕駛員的健康產(chǎn)生嚴(yán)重影響。隨著這些先進(jìn)的安全系統(tǒng)從被動安全不斷演進(jìn)到更主動的安全系統(tǒng)，包括預(yù)測安全系統(tǒng)，甚至自主車概念等，汽車行業(yè)已經(jīng)并將繼續(xù)出臺嚴(yán)格的要求。

管理這些對安全至關(guān)重要的決策會增加安全系統(tǒng)的復(fù)雜性和額外的軟件內(nèi)容。復(fù)雜性增加會不斷增加系統(tǒng)和/或隨機硬件故障的風(fēng)險。為了幫助確保最高的安全標(biāo)準(zhǔn)并影響安全汽車系統(tǒng)的開發(fā)，汽車行業(yè)已經(jīng)發(fā)布了最新的汽車安全標(biāo)準(zhǔn) ISO 26262。

本文討了對各種安全架構(gòu)的實施，并介紹了一個創(chuàng)新的集成安全解決方案，以簡化系統(tǒng)級功能安全設(shè)計，包括遵從 ISO 26262 標(biāo)準(zhǔn)。

什么是功能安全？

根據(jù)定義，“功能安全”表示不存在由于系統(tǒng)故障造成的危害所引起的不合理的風(fēng)險。為了顯著減少發(fā)生故障的風(fēng)險，了解和評估可能發(fā)生的故障的類型至關(guān)重要。這些故障可分為兩大類。

系統(tǒng)故障是由某種原因造成的，只能通過改變制造工藝設(shè)計、運行程序、文檔或其他相關(guān)因素消除。通過強大的開發(fā)流程可降低發(fā)生系統(tǒng)故障的概率。

隨機故障是指硬件元件使用周期中發(fā)生的不可預(yù)知的故障，符合概率分布。這些故障可能由于永久或瞬間發(fā)生的擾動環(huán)境或整個系統(tǒng)生命周期中固有技術(shù)的性能造成。專用架構(gòu)和IC策略涵蓋降低與隨機故障相關(guān)的風(fēng)險。

汽車行業(yè)于 2011 年 11 月 15 日發(fā)布了 ISO 26262:2011(E) 標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)是專為“道路車輛 – 功能安全”進(jìn)行修訂的，也是對汽車電氣/電子（E/E）系統(tǒng)功能安全標(biāo)準(zhǔn) IEC 61508 的改編。

要讓人們在道路上更安全，這些應(yīng)用必須保持正常運行并且非常可靠。為了保持可靠性，E/E 系統(tǒng)設(shè)計必須實現(xiàn)安全性和可用性之間的最佳平衡。

可用性是可維護(hù)性和可靠性的一個很好的平衡，而安全性主要取決于系統(tǒng)可靠性。這種交互如下圖所示。

圖1： 功能安全的可靠性權(quán)衡關(guān)系

圖字：

Dependability：可靠性 Availability：可用性 Safety：安全性

Maintainability：可維護(hù)性 Reliability：可靠性

飛思卡爾的 SafeAssure（功能安全保障）產(chǎn)品有效地結(jié)合了可用性、安全性和可靠性，因此非?？煽俊?/P>

管理安全開發(fā)： SafeAssure 過程

評估系統(tǒng)的安全功能需要高水平的參與和驗證。簡化這一評估是 2011 年 9 月制定并推出的飛思卡爾 SafeAssure 計劃的一個主要目標(biāo)。該計劃適用于汽車和工業(yè)應(yīng)用。

SafeAssure 產(chǎn)品旨在降低功能安全系統(tǒng)的復(fù)雜性，這也是這些系統(tǒng)制造商的一個主要目標(biāo)。該計劃的制定著重強調(diào)了失效模式與效應(yīng)分析（FMEA）、持續(xù)過程改進(jìn)（CPI）和零缺陷。對新產(chǎn)品開發(fā)（NPD）流程、工具和指標(biāo)也進(jìn)行了修改，以融合并管理功能安全要求。具體來說，產(chǎn)品定義階段現(xiàn)在包括系統(tǒng)級假設(shè)，作為描述系統(tǒng)級背景的一部分。對于半導(dǎo)體器件，這些假設(shè)都視為SeooC（Safety Element out of Context，獨立安全單元）。由于 MCU 和模擬配套芯片作為標(biāo)準(zhǔn)的解決方案，以滿足多個行業(yè)中的多種應(yīng)用，因此 SEooC 是一個安全相關(guān)的元件，而不是為特定系統(tǒng)或特定車輛平臺而制定的。

量化剩余風(fēng)險 – 架構(gòu)指標(biāo)

就安全相關(guān)的故障而言，架構(gòu)指標(biāo)用于評估 IC 性能。它們用于促進(jìn)架構(gòu)選擇（包括檢測和保護(hù)），并允許用戶選擇自我檢測機制。

基于原始設(shè)備制造商 (OEM) 的汽車安全完整性等級(ASIL)，ISO 26262:2011(E) 定義了要實現(xiàn)的安全目標(biāo)。該標(biāo)準(zhǔn)還指導(dǎo)評估由此產(chǎn)生的指標(biāo)。

其中一個評估方法就是逐個檢查剩余的各個單點故障和導(dǎo)致違反特定安全要求的各個雙點故障。

在 IC 設(shè)計過程中必須迭代應(yīng)用這個評估?？蓱?yīng)用具有不同集成度的多個架構(gòu)，以滿足目標(biāo)系統(tǒng)要求水平。

ASIL-D 解決方案和安全架構(gòu)的影響

電動助力轉(zhuǎn)向系統(tǒng)（EPS）是許多汽車應(yīng)用之一，這些應(yīng)用要求高水平的安全，可確保車輛轉(zhuǎn)向系統(tǒng)是可預(yù)測的和確定的。

根據(jù)特定應(yīng)用為滿足 ASIL D 要求而采用的各種軟硬件交互組合，有多種方法或系統(tǒng)架構(gòu)可以采用。