基于FPGA的汽車ECU設計

汽車開放系統(tǒng)架構（AUTOSAR）是來自電子、半導體和軟件行業(yè)的汽車制造商、供應商和其他公司組建的聯(lián)合體為解決幾項重大問題而制定的一種事實上的汽車電氣/電子（E/E）架構開放行業(yè)標準。這幾項重大問題包括：控制隨功能不斷增加而導致的日益提高的車載電氣/電子系統(tǒng)復雜性；提高靈活性以便產(chǎn)品的修改、升級和更新；在產(chǎn)品線內(nèi)部以及跨產(chǎn)品線提高解決方案的可擴展性；改善電氣/電子系統(tǒng)的質(zhì)量和可靠性；實現(xiàn)設計初期階段的出錯檢測。

這個架構面臨的挑戰(zhàn)是必須集成廣泛供應商提供的日益豐富的軟件和電子技術。通過簡化軟硬件的交換和更新選項，AUTOSAR架構為可靠地控制汽車車載電氣/電子系統(tǒng)日益提高的復雜性奠定了基礎，同時在保證質(zhì)量的情況下改善了成本效益。

AUTOSAR架構制定于2003年，是更早期的OSEK/VDX聯(lián)合體的自然發(fā)展。OSEK/VDX聯(lián)合體誕生于十年之前，由部分德國和法國汽車制造商主推。由于有更遠大的目標，AUTOSAR如今已經(jīng)為世界各地大部分汽車制造商采用。

AUTOSAR架構的核心成員包括寶馬集團、博世、大陸、戴姆勒、福特、通用汽車、雪鐵龍、豐田和大眾集團。除了這些核心成員公司，另有160余家其他成員為聯(lián)合體的成功發(fā)揮著重大作用。由此，在“在標準上合作，在設計上競爭”的口號的指引下，汽車制造商和供應商聯(lián)合一致，共同制定了這個旨在實現(xiàn)車載電氣/電子設計突破的開放標準化系統(tǒng)架構。

功能安全性

與此類似，IEC 61508是負責管理電氣、電子和可編程電子系統(tǒng)和組件的功能安全性的國際電工委員會的一般性標準，自2004年生效以來已經(jīng)得到世界各地的認可，適用于各個領域的安全相關系統(tǒng)。

在專門為功能安全性制定的其他標準中，有一項系專門為汽車行業(yè)的功能安全性制定，這就是國際標準化組織的ISO 26262。這項新標準尚在制定過程中，預計將于2012年頒布，旨在支持和推動汽車行業(yè)中安全產(chǎn)品的開發(fā)工作。它覆蓋了從構想、產(chǎn)品開發(fā)、生產(chǎn)和經(jīng)營的所有安全工作。

事實上，功能安全，即不允許發(fā)生因電氣/電氣系統(tǒng)的功能失常導致的危險性造成不可接受的風險，業(yè)已成為汽車設計中的一項重要要求。該擬在近期頒布的標準專門針對汽車行業(yè)的實際情況，定義了可接受的風險，重在防范惡性故障。為此，“風險”一詞的定義為發(fā)生傷害或者損害的可能性及傷害或者損害的嚴重性。在工程開發(fā)階段，該標準要求提前評估所有潛在的危險和風險，并要求開發(fā)人員采取適當?shù)拇胧┍M最大可能予以消除。ISO 26262提供了適當?shù)囊蠛土鞒?，指導如何避免這些風險。

根據(jù)該標準的要求，汽車的功能被分成安全相關功能和非安全相關功能兩大類。安全相關功能指如果功能失常就會給駕駛員帶來風險的功能。對分類為安全相關功能的功能，該標準進一步設定了數(shù)個可能的風險等級。就是說從確保具體的安全目標的角度出發(fā)，某些功能的比另一些功能更加關鍵。

根據(jù)可能發(fā)生的事故的嚴重性、出現(xiàn)特定駕駛狀況的概率、采用外部措施降低風險的程度，該標準定義了一系列汽車安全完整性等級（ASIL））。該系列等級具體分為四個等級，從D到A。D代表最高安全等級，A代表最低安全等級。每個ASIL等級都列明汽車制造商和供應商必須滿足的要求或建議，以將“不可容許的嚴重風險”降低為可容許殘余風險。

例如，如果在車輛行駛中方向盤軸被卡住，駕駛員就可能遭遇事故，因為駕駛員無法轉(zhuǎn)動方向盤。為將該風險降低到可容許的水平，方向盤軸控制功能的設計就必須根據(jù)ISO 26262標準和為此安全目標設定的ASIL等級滿足一定的安全設計標準。

軟件開發(fā)人員和硬件開發(fā)人員必須依據(jù)每一項安全目標的ASIL等級，在實現(xiàn)涉及的功能的時候思考具體的安全措施。對高安全等級的ASIL（D或C），常用的設計方法是將安全要求分解為冗余安全要求，以便采用充分獨立的元件在較低的ASIL等級上滿足ASIL容許度要求。換句話說，就是將原始的安全要求用不同的處理器（一般為MCU）冗余地實現(xiàn)，采用冗余通道最大程度地降低惡性故障發(fā)生的概率。

最后，制造商和供應商需要向認證機構證明自己的電氣/電子系統(tǒng)能夠根據(jù)行業(yè)專門的規(guī)定安全可靠地提供要求的功能。