適用于高級駕駛輔助系統(tǒng)的雷達和功能安全技術(shù)

功能安全微控制器

微控制器用來控制射頻雷達發(fā)射器和處理從接收器傳來的數(shù)據(jù)。如果考慮到應(yīng)用的關(guān)鍵安全性質(zhì)，就需要采用功能安全微控制器。系統(tǒng)工程師所面臨的挑戰(zhàn)是所構(gòu)建的系統(tǒng)需要能夠防止危險故障的發(fā)生或至少在出現(xiàn)故障時能夠有效地進行控制。危險故障可能來自隨機硬件故障、系統(tǒng)硬件故障及系統(tǒng)軟件故障。

功能安全標(biāo)準(zhǔn)IEC 61508和汽車適用的 ISO 26262標(biāo)準(zhǔn)適用于確保一般工業(yè)和汽車應(yīng)用中的電子系統(tǒng)是完全安全的。IEC 61508標(biāo)準(zhǔn)定義了四個完全安全完整性等級（SIL），其中SIL 4表示最嚴(yán)格的安全等級。ISO標(biāo)準(zhǔn)定義了四個汽車安全完整性等級（ASIL），其中ASIL D表示最嚴(yán)格的安全等級。每個等級對應(yīng)一個出現(xiàn)安全功能故障的可能性目標(biāo)范圍。

SIL和ASIL等級之間沒有直接的對應(yīng)關(guān)系，但是ISO 26262將安全流程和要求推向更深的層次。在整個設(shè)計過程的一開始，就必須收集憑證，證明該產(chǎn)品是依據(jù)標(biāo)準(zhǔn)進行開發(fā)的。發(fā)現(xiàn)的任何潛在偏差都必須記錄，以確保能夠采取足夠的挽救措施。

它們采用不同的方法來實現(xiàn)安全微控制器。傳統(tǒng)的方法是采用兩個獨立的微控制器復(fù)制完全不同的控制器上的軟件。相同的軟件可以在每個微控制器上運行，然后比較運行結(jié)果。如果結(jié)果相同，則一切正常；如果不相同，那么系統(tǒng)就知道有錯誤，要么解決它和/或使系統(tǒng)進入安全狀態(tài)。另一個選擇是，一個微控制器只能運行安全軟件并監(jiān)控正在運行應(yīng)用軟件的另一個微控制器。

采用獨立的微控制器，所設(shè)計的系統(tǒng)必須從一開始就設(shè)計和實施安全系統(tǒng)。

與之相反，現(xiàn)在可提供預(yù)認(rèn)證的微控制器。這些解決方案主要檢測和減少單點故障、潛在故障和非獨立故障。這通過在微控制器、電源管理IC和傳感器中內(nèi)置的安全功能實現(xiàn)，包括自檢、監(jiān)控和基于硬件的冗余。 對于微控制器來說，提供的片上冗余適用于下列關(guān)鍵部件，如：

- 具有延遲鎖步功能的多個CPU計算內(nèi)核

- I/O處理器內(nèi)核

- 直接存儲器存取控制器

- 中斷控制器

- 雙交叉開關(guān)總線系統(tǒng)

- 存儲器保護單元

- 故障采集單元

- 閃存存儲器和RAM控制器

- 外圍總線橋

- 系統(tǒng)和看門狗定時器

- 以及端到端糾錯碼

數(shù)據(jù)復(fù)制領(lǐng)域的主要優(yōu)勢是MCU的功能，可檢測較頻繁發(fā)生的軟錯誤等單點故障，不僅檢測內(nèi)核中的，也檢測關(guān)鍵的子模塊中的錯誤。

為內(nèi)核、存儲器、交叉開關(guān)、通信模塊和外設(shè)提供內(nèi)置自檢（BIST）機制。此外，該器件進行了優(yōu)化，可防止時鐘或電壓電源問題誘發(fā)的共因失效。MCU提供檢測時鐘偏差的硬件模塊以及主電壓的硬件監(jiān)控，如內(nèi)部核心電壓和閃存電源電壓。

雙核鎖步MCU在軟件級和系統(tǒng)級中不會減少實施安全措施的需求，如非常獨立地監(jiān)控軟件路徑計算的輸出值。然而，在更高集成度的其他方面，這些MCU不會提供關(guān)注點分離來進行驗證。在基于多個單核MCU的解決方案中，檢測和控制隨機硬件故障的能力很大程度上取決于軟件。

雙核鎖步MCU可以在獨立于軟件的硬件級上驗證和確認(rèn)計算基礎(chǔ)架構(gòu)的關(guān)鍵功能安全的有關(guān)屬性，因為計算基礎(chǔ)架構(gòu)以集成形式提供，它也代表一個集成的安全機制。這是軟硬件協(xié)同設(shè)計過程內(nèi)一個顯著好處。此外，關(guān)注點分離有利于快速定位問題。如果觸發(fā)了監(jiān)控雙核鎖步的安全機制，那么原因可能歸結(jié)為硬件級的隨機硬件故障，同時如果觸發(fā)了軟件監(jiān)控，則原因可能歸結(jié)為系統(tǒng)級故障或軟件中的系統(tǒng)性故障。