功能安全對于汽車供應(yīng)鏈的挑戰(zhàn)

摘要：本文介紹了ISO 26262的功能安全標(biāo)準(zhǔn)規(guī)定的與安全相關(guān)的汽車系統(tǒng)開發(fā)準(zhǔn)則，以及這一準(zhǔn)則對道路中行駛的車輛與安全相關(guān)的電子系統(tǒng)開發(fā)過程和設(shè)計(jì)中提出的要求，并就Allegro公司用于關(guān)鍵安全應(yīng)用的角度傳感器IC做了相應(yīng)的介紹。

　　在過去幾十年里，隨著眾多高科技企業(yè)和OEM廠商爭相投入開發(fā)完全自動(dòng)駕駛汽車的競賽，汽車中電子產(chǎn)品的含量穩(wěn)步增長，并且這種趨勢沒有減慢的信號。雖然自動(dòng)駕駛的范圍不同，從無控制至全面控制，目前可用的絕大多數(shù)汽車都包含具有某種程度的自動(dòng)駕駛系統(tǒng)，比如電子穩(wěn)定性控制(ESC)或車道居中(lane centering)。這些電子系統(tǒng)旨在協(xié)助駕駛者，并可為駕駛者做出越來越多的決定，甚至還將駕駛者從決策的過程中完全去除。這些系統(tǒng)通常增強(qiáng)了駕駛者和乘客的安全性。但是，如果它們出現(xiàn)故障或者具有設(shè)計(jì)缺陷，則可能引發(fā)事故。因此，這些功能為整個(gè)汽車供應(yīng)鏈帶來了全新的開發(fā)挑戰(zhàn)。

ISO 26262的功能安全標(biāo)準(zhǔn)規(guī)定了安全相關(guān)的汽車系統(tǒng)開發(fā)準(zhǔn)則

　　在2011年，國際標(biāo)準(zhǔn)化組織(ISO)發(fā)布了稱作ISO 26262的功能安全標(biāo)準(zhǔn)，其中規(guī)定了行業(yè)最佳的與安全相關(guān)的汽車系統(tǒng)開發(fā)準(zhǔn)則。雖然標(biāo)準(zhǔn)的采納是自愿的，但世界各地大多數(shù)OEM廠商要求其供應(yīng)商符合這一標(biāo)準(zhǔn)。延遲采納這項(xiàng)標(biāo)準(zhǔn)的供應(yīng)商有可能會在未來損失一些商業(yè)機(jī)會。

　　ISO 26262標(biāo)準(zhǔn)涵蓋了道路中行駛的車輛與安全相關(guān)的電子系統(tǒng)開發(fā)過程和設(shè)計(jì)兩方面的要求，這些要求是基于系統(tǒng)本身的危險(xiǎn)性和風(fēng)險(xiǎn)評估。標(biāo)準(zhǔn)范圍限于出現(xiàn)故障的電氣或電子系統(tǒng)。因此，符合要求的系統(tǒng)必需能夠識別其故障并減緩其影響，從而確保乘客的安全。鑒于這個(gè)原因，目前的安全體系很大程度上依賴于診斷和冗余，以便能夠檢測到出現(xiàn)故障的系統(tǒng)組件，并將系統(tǒng)過渡到安全狀態(tài)。通常，這種要求需要IC元器件供應(yīng)商把更多的內(nèi)容集成到現(xiàn)有解決方案中，包括能夠運(yùn)行診斷和對其所處狀態(tài)的通信能力。

　　現(xiàn)在以一個(gè)傳感器IC系統(tǒng)為例來簡單說明。由于該系統(tǒng)是一項(xiàng)與安全相關(guān)的功能，這個(gè)系統(tǒng)必須能夠診斷傳感器輸出是否在正確的狀態(tài)。根據(jù)系統(tǒng)的要求和風(fēng)險(xiǎn)，可以采用多種方式來完成這項(xiàng)任務(wù)。例如，可以把復(fù)雜的診斷電路和通信協(xié)議組合至傳感器IC本身。作為替代方式，也可以在系統(tǒng)層面增加一個(gè)冗余傳感器，無需在每個(gè)單一IC中提升其功能性或者通信診斷能力。冗余傳感器輸出以及彼此的比較可用作一種診斷標(biāo)準(zhǔn)。在安全工作條件下，兩個(gè)傳感器的輸出應(yīng)當(dāng)始終在預(yù)定義的誤差范圍內(nèi)。診斷和冗余這兩種大不相同的方法都可滿足系統(tǒng)要求，但是，在成本和選用完成任務(wù)的合適硬件(傳感器組件)方面，卻有著截然不同的影響。面向汽車市場的元器件供應(yīng)商正在試圖了解這些安全相關(guān)系統(tǒng)不斷演進(jìn)的要求以及折衷權(quán)衡，并且跟上發(fā)展的步伐，為客戶提供易于集成的解決方案。

　　自從ISO 26262標(biāo)準(zhǔn)推出之后，以前被認(rèn)為是“安全”的概念也在演進(jìn)變化。例如，在較早的架構(gòu)中，助力轉(zhuǎn)向系統(tǒng)等的損失被認(rèn)為是一個(gè)安全的事件。將系統(tǒng)功能的缺失定義為“安全”對于系統(tǒng)架構(gòu)具有直接影響，該架構(gòu)要求識別任何被認(rèn)為是不安全的故障，并且減緩它們的影響。但是，帶來助力轉(zhuǎn)向系統(tǒng)損失的故障并不需要緩減，因而這就需要僅僅識別某些故障，而其它故障則無需識別，因而限制了安全性需要增加的功能，包括IC元器件的片上診斷功能。

　　隨著業(yè)界認(rèn)識到助力轉(zhuǎn)向系統(tǒng)的缺失有可能帶來體型較小成年人、無經(jīng)驗(yàn)的駕駛者或者年長者的事故，之前被認(rèn)為是安全的看法也發(fā)生了變化。汽車制造商現(xiàn)在要求，在安全相關(guān)系統(tǒng)失效時(shí)，它們還應(yīng)該在某種程度上繼續(xù)工作。這種“故障工作”或“故障容忍”要求對其所需的架構(gòu)有著直接影響，系統(tǒng)必需包括各種水平的冗余，這取決于故障過后的性能是否會從標(biāo)稱性能減退?！肮收先萑獭毕到y(tǒng)代表著下一代安全相關(guān)系統(tǒng)。

　　工作系統(tǒng)故障的最直接結(jié)果是使用架構(gòu)中的冗余系統(tǒng)功能，如果初始系統(tǒng)中出現(xiàn)故障，可以過渡到備份系統(tǒng)。為了滿足這種需求，IC元器件供應(yīng)商開始提供單一封裝的雙芯片和三芯片產(chǎn)品來支持冗余需求，但不會占據(jù)過多的物理空間。多芯片解決方案是一些IC供應(yīng)商開發(fā)新技術(shù)來滿足安全相關(guān)系統(tǒng)特定需求的一個(gè)示例。

　　雖然系統(tǒng)集成商和元器件供應(yīng)商之間都在定制地進(jìn)行研發(fā)工作，許多系統(tǒng)集成商也在使用根據(jù)特定系統(tǒng)而開發(fā)的商用(CTOS)元器件。元器件供應(yīng)商對于這些不斷演進(jìn)的系統(tǒng)需求了解得越多，就能夠更好地通過定義靈活產(chǎn)品線來滿足系統(tǒng)需求，并使這些產(chǎn)品線具有合適的功能，可輕松實(shí)現(xiàn)系統(tǒng)集成，并為系統(tǒng)增值。使一款產(chǎn)品具有合適的靈活性很具有挑戰(zhàn)性。太多的靈活性意味著可能具有用不到的功能，并會增大成本;不充足的靈活性則意味著一些所需的功能必須通過附加的元器件來實(shí)現(xiàn)，這也需要成本。一般情況下，功能性安全已經(jīng)消除了元器件和系統(tǒng)之間定義的界限，所有系統(tǒng)組件必須共同工作，以滿足整體系統(tǒng)需求。了解如何最好地在系統(tǒng)組件之間分配所需的功能是一種藝術(shù)，供應(yīng)商正在努力了解和適應(yīng)。一種發(fā)展趨勢是以更小的占位面積實(shí)現(xiàn)更多的功能，這種發(fā)展趨勢正在引領(lǐng)一些IC供應(yīng)商在單一組件中集成兩種完全不同的功能，從而為客戶提供更為全面的解決方案。

　　展望未來，ISO 26262標(biāo)準(zhǔn)第二版的應(yīng)用范圍將會擴(kuò)展到卡車、公共汽車和摩托車等，而且，這些市場的供應(yīng)商將不得不考慮功能性安全領(lǐng)域的問題。隨著業(yè)界接近實(shí)現(xiàn)自動(dòng)駕駛的汽車，與安全性相關(guān)的供應(yīng)商需要開發(fā)至少能夠像人一樣駕駛的汽車系統(tǒng)。這些系統(tǒng)必需依賴解讀周圍環(huán)境的無數(shù)感測元件，它們的開發(fā)不僅要關(guān)注出現(xiàn)故障的電子裝置，還需要設(shè)計(jì)擁有足夠高的敏銳度，以便在所有駕駛情況下都可滿足安全需求。ISO組織中成立了新的委員會以專門處理這個(gè)議題(預(yù)期功能安全性或SOTIF)，這些對于系統(tǒng)和元器件所需的精確度都會有影響。

Allegro用于關(guān)鍵安全應(yīng)用的角度傳感器IC

　　Allegro MicroSystems作為霍爾傳感器IC市場的領(lǐng)導(dǎo)廠商，通過參與ISO 26262技術(shù)委員會，正在積極回應(yīng)這些不斷演進(jìn)標(biāo)準(zhǔn)的挑戰(zhàn)，并且將密切關(guān)注ISO 26262第二版引入的變化。Allegro認(rèn)為，安全性增加了準(zhǔn)確通信以及與客戶密切合作的安全性，以了解和適應(yīng)其不斷變化的需求。Allegro與戰(zhàn)略客戶的合作推動(dòng)了各種汽車系統(tǒng)中有關(guān)未來安全需求的信息分享，通過這種協(xié)作開發(fā)合適的元器件，以滿足安全相關(guān)系統(tǒng)不斷變化的需求。

　　角度傳感器IC經(jīng)專門設(shè)計(jì)可用于關(guān)鍵的安全應(yīng)用。除了在這些器件中設(shè)計(jì)的先進(jìn)診斷功能之外，還有許多附加功能使得這些部件在市場中脫穎而出。

　　Allegro角度傳感器IC采用了垂直霍爾圓形陣列(CVH)技術(shù)，能夠提供與被檢測磁信號相位相關(guān)的單信道輸出，并且不受磁信號幅度變化的影響。這些角度傳感器IC具有下列優(yōu)勢：

　　1)磁鐵和 IC之間距離的變化(由于機(jī)械變化導(dǎo)致)對于角度精度具有極小的影響。如Allegro的A1335等第二代IC還包括片上磁場調(diào)節(jié)功能，進(jìn)一步減小了磁場強(qiáng)度變化的影響。

　　2)可以使用強(qiáng)磁場(高達(dá) 1500 G)降低較小的散亂磁場的影響，這些散亂磁場可能來源于附近的電機(jī)、螺線管或高電流導(dǎo)線。

　　3)采用的垂直霍爾圓形陣列技術(shù)能夠?qū)崿F(xiàn)低遲滯(低至 10 μs)和高刷新率(快至2 μs)，是高速電機(jī)位置檢測的理想方案。

　　通過把垂直霍爾的圓形陣列與片上EEPROM以及在數(shù)字域中計(jì)算和輸出角度的后端數(shù)字信號處理技術(shù)集成在一起，能夠最大限度地降低系統(tǒng)對于ECU的需求(比如無需高精度ADC資源)，并且所有敏感的模擬信號都是通過片上處理，而不需要經(jīng)PCB或布線傳輸，因而能夠降低噪聲的影響。

　　Allegro的第二代IC器件A1335還支持多種數(shù)字輸出協(xié)議，能夠滿足不同系統(tǒng)設(shè)計(jì)人員的需求。對于需要極高數(shù)據(jù)速率的馬達(dá)控制等應(yīng)用，這些器件支持具有高達(dá)10 MHz時(shí)鐘速率的高速串行外設(shè)接口(Serial Peripheral Interface, SPI)協(xié)議。對于較低速度應(yīng)用，這些器件還支持單線PWM 和SENT接口，可以最大限度地降低線束成本和重量。

　　Allegro能夠提供用于軸端(end-of-shaft)和軸側(cè)(side-shaft)磁場配置的角度傳感器IC。對于軸側(cè)磁場配置的支持能力可以極大地簡化系統(tǒng)的機(jī)械設(shè)計(jì)，這是由于軸端并不總是容易實(shí)現(xiàn)的。軸側(cè)應(yīng)用對于大多數(shù)角度傳感器也是一種挑戰(zhàn)，原因在于切向磁場幅度與徑向磁場幅度的不匹配。Allegro的A1335器件同時(shí)支持片上諧波線性化和分段線性化，可以校準(zhǔn)由于失配造成的誤差，實(shí)現(xiàn)高精度(小于 1°)，具體取決于在線性化方案采用的諧波或分段數(shù)目。

　　除了能夠提供邏輯內(nèi)置自檢(Logic Built-In Self-Test, L-BIST)等先進(jìn)診斷功能外，Allegro的角度傳感器IC通常都可提供單晶片和雙晶片配置。雙晶片配置提供的冗余可幫助設(shè)計(jì)人員滿足嚴(yán)苛的功能安全要求，而無需犧牲系統(tǒng)可用性，原因在于使用不同技術(shù)的傳感器可能造成潛在的失配角度測量數(shù)據(jù)。這些器件使用小外形(1 mm厚)表面安裝TSSOP封裝，能夠簡化裝配并提高可靠性。

　　與汽車安全相關(guān)的系統(tǒng)要求將會繼續(xù)演進(jìn)和擴(kuò)展，這些系統(tǒng)的供應(yīng)商必需主動(dòng)了解新的發(fā)展趨勢，并且備有企業(yè)基礎(chǔ)架構(gòu)，以便使其產(chǎn)品線能夠順利地適應(yīng)這些演進(jìn)和擴(kuò)展。他們還必須積極進(jìn)行新技術(shù)或新產(chǎn)品的創(chuàng)新，以期更好地服務(wù)于汽車安全市場。這將是一項(xiàng)戰(zhàn)略性活動(dòng)，對于所有層面供應(yīng)商的市場份額都有著廣泛的影響。請系好安全帶，這將是一個(gè)瘋狂的旅程。

本文來源于中國科技期刊《電子產(chǎn)品世界》2016年第9期第27頁，歡迎您寫論文時(shí)引用，并注明出處。