摘要:安全是未來汽車發(fā)展的關(guān)鍵問題之一,隨著電子電氣架構(gòu)的安全性要求越來越高,汽車控制器上所使用的安全MCU也需要遵循功能安全標準ISO26262,但僅有MCU的硬件安全設(shè)計同樣存在風(fēng)險,使用相應(yīng)的功能安全軟件以確保設(shè)備硬件和軟件安全運行,或在發(fā)生故障時使系統(tǒng)進入安全模式對控制器來說至關(guān)重要。本文將以市面上常見的一些車規(guī)級MCU芯片為例,幫助讀者認識車規(guī)MCU如何通過軟硬件實現(xiàn)功能安全。

功能安全

為實現(xiàn)功能安全應(yīng)用,在開發(fā)汽車控制器系統(tǒng)時需要考慮全面的功能安全要求,并確保符合ISO26262的相關(guān)要求。MCU作為ISO26262標準定義的電氣電子(E/E)系統(tǒng)的元件,在設(shè)計時除了作為SEooC(上下文無關(guān)安全元素)開發(fā)產(chǎn)品外,同時需要考慮與硬件環(huán)境相關(guān)的使用假設(shè),包括假設(shè)的外部安全機制以及與軟件環(huán)境相關(guān)的使用假設(shè)。

MCU安全架構(gòu)的描述,安全機制的描述以及安全相關(guān)軟硬件的說明(用于檢測到故障后進行處理),這些內(nèi)容會由芯片商提供的安全手冊中描述。

芯片功能安全機制

下面介紹針對汽車安全應(yīng)用MCU提出的安全機制。

例如上圖為英飛凌TC3xx系列芯片的Safety Manual中的一條軟件安全機制。簡單的說,MCU中硬件提供了MONBIST這樣一個二級監(jiān)控器,用于輔助檢測BIST自檢和故障處理單元的上報功能,以達到更高的潛在故障覆蓋率。

該機制為HW,也就是硬件機制,與之相關(guān)的存在兩條SW軟件安全機制需要實現(xiàn)。如下圖所示,其一為需要軟件配置MONBIST的參數(shù)并開啟MONBIST檢測,另一條需要軟件通過讀取一些寄存器來檢查MONBIST的檢測結(jié)果。

功能安全軟件實現(xiàn)

為實現(xiàn)上述安全機制,需要軟件去配置并檢查MONBIST的檢測結(jié)果,軟件需要修改MONBIST寄存器中的配置寄存器,開啟檢測,并在執(zhí)行階段讀取檢測結(jié)果,將檢測結(jié)果上報應(yīng)用層處理。

通過這兩項由軟件完成的內(nèi)容,才把MONBIST的安全機制功能使用起來,以滿足MCU通過安全分析得出的安全目標。完成如上數(shù)十條安全機制的軟件實現(xiàn),以及包括故障處理單元的軟件配置及存儲,需要交由外部芯片(例如電源芯片)來處理的故障要求等功能,統(tǒng)合以上功能并為應(yīng)用層及RTE提供接口的軟件,通常叫做功能安全軟件庫。

功能安全軟件庫

對于當前行業(yè)主流的功能安全軟件庫(也叫SafetyLib)解決方案,少數(shù)集成方(即零部件企業(yè)或整車廠的產(chǎn)品研發(fā)部門)選擇由自己的底層軟件團隊來進行組織開發(fā),如上文介紹,功能安全庫軟件和MCU硬件特性強相關(guān),需要工程師非常熟悉MCU底層特性,以及擁有豐富的功能安全經(jīng)驗。現(xiàn)在行業(yè)現(xiàn)狀中底層軟件開發(fā)人力資源稀少,資深經(jīng)驗的工程師人員成本又非常高,通常對于零部件企業(yè)來說,核心是其產(chǎn)品及應(yīng)用程序,而并非底層通用軟件,因而選擇第三方成熟功能安全庫產(chǎn)品通常才是最好的選擇。

相比來講,第三方軟件企業(yè)提供的功能安全庫產(chǎn)品經(jīng)過多量產(chǎn)項目考驗,成熟穩(wěn)定,功能全面,后續(xù)問題解決可靠,相比自行研發(fā)投入人力的成本可能更低。

知從科技提供的木牛SafetyFrame產(chǎn)品是依據(jù)ISO 26262開發(fā)的一款功能安全庫軟件。基于AUTOSAR架構(gòu)設(shè)計,Safety Frame軟件組件參照SEooC系統(tǒng)開發(fā),作為獨立單元設(shè)計,作為一個復(fù)雜驅(qū)動軟件組件開發(fā),對整車環(huán)境、系統(tǒng)、系統(tǒng)組合、子系統(tǒng)、硬件組件或零部件無依賴關(guān)系。

木牛SafetyFrame軟件架構(gòu)

SAFETY FRAME包括 MCU 內(nèi)部模塊自檢測試(SF.MCU)和SBC硬件安全機制的驅(qū)動(即SF.SBC),SF.Architecture的核心模塊為Test Manager,用于MCU&SBC的Safety Library調(diào)度管理,包括Safety Wdgm、Safety SBC/ASIC驅(qū)動模塊調(diào)度、與應(yīng)用層PFC(Program Flow Check)接口等。

其中SF.MCU中就包含了芯片安全手冊中提出的各項安全機制的實現(xiàn),例如上文提到的MONBIST自檢的配置和檢測,以及PFlash檢測,SRAM檢測,時鐘檢測,中斷檢測,DMA、GTM、ADC等外設(shè)的檢測功能,LBIST自檢等等,幾乎覆蓋了芯片安全手冊中要求的所有機制。通過不少量產(chǎn)項目的積累,支持的安全機制數(shù)只會更多,可以滿足同一系列MCU但是各種不同汽車部件控制器的要求。

配置工具

Safety Frame配套了對應(yīng)的配置工具,用于簡易的修改各模塊的配置內(nèi)容,相比手動修改代碼,具有無需研究源代碼,簡單易懂;工具附帶校驗,準確無誤;圖形化界面配置,高效便捷等優(yōu)點。

木牛SafetyFrame配置工具

特點列表

木牛SafetyFrame產(chǎn)品具有支持芯片種類多,產(chǎn)品流程嚴謹完善,售后響應(yīng)服務(wù)積極外,也在軟件實現(xiàn)的安全機制數(shù)量上具有較大優(yōu)勢。如下圖所示為以英飛凌Aurix 2G TC3xx系列芯片的安全機制整理的特點列表,其中SafetyFrame產(chǎn)品實現(xiàn)非常多的安全機制,可以完美符合在ADAS控制器,電機控制器,BMS控制器,EPS控制器等幾乎全部有功能安全要求的汽車控制器上的安全機制需求。

功能安全認證

另外,對于考慮控制器產(chǎn)品做ISO26262功能安全認證的零部件企業(yè)來說,首先要通過功能安全庫軟件來實現(xiàn)功能安全目標,同時功能安全庫軟件本身也要滿足ISO26262中對于軟件的安全標準。當前第三方產(chǎn)品中僅有知從木牛SafetyFrame已通過了功能安全ISO26262最高等級ASIL D軟件產(chǎn)品認證,對于計劃通過控制器產(chǎn)品認證的企業(yè)來說,通過展示木牛SafetyFrame提供的認證報告及證書,可以更方便可靠的進行認證。

木牛SafetyFrame認證證書

已有眾多零部件企業(yè)通過使用知從木牛SafetyFrame產(chǎn)品實現(xiàn)功能安全認證。一些國內(nèi)電驅(qū)動,電池,ADAS頭部企業(yè),已獲得SGS、萊茵等權(quán)威認證機構(gòu)的ASIL D級別產(chǎn)品認證證書,同時在長安、長城、現(xiàn)代、塔塔、通用等國內(nèi)外整車企業(yè)量產(chǎn)應(yīng)用。

使用木牛SafetyFrame的電機控制系統(tǒng)ASIL D產(chǎn)品認證證書

總結(jié)

在考慮汽車控制器滿足功能安全要求時離不開MCU功能安全的實現(xiàn),除了MCU硬件設(shè)計時已考慮的架構(gòu)設(shè)計及安全模塊外,必須搭配相應(yīng)的功能安全軟件庫才能實現(xiàn)。知從木牛SafetyFrame是為汽車MCU設(shè)計的功能安全軟件庫,根據(jù)符合ISO 26262的開發(fā)流程進行了嚴格開發(fā),可以為零部件企業(yè)或整車廠產(chǎn)品研發(fā)部門提供,更高效、更可靠、低成本的功能安全解決方案。

審核編輯：湯梓紅