通过IP设计实现汽车功能安全

ARM战略信息技术专家Andrew Hopkins

如今，汽车行业变革迅猛，汽车的设计、使用和销售模式都在快速演变。驾驶员安全技术、交通拥堵、环境问题及汽车作为代步工具的基本前提都影响着新一代汽车的研发。为解决这些难题，很多汽车厂商都试图强化计算能力以优化车辆控制。欧盟新车安全评鉴协会（EuroNCAP）颁布的新标准规定，车道变换支持等安全辅助功能是获得五星安全评级的必要条件。车载处理器的数量在所有细分市场都稳步上升，目前平均为40-50个，而一些高端车型则已经搭载近120个处理器。据Semicast

Research预测，到2022年，仅发动机引擎罩下的电子控制单元（ECU）组件就将达到近860亿美元的市场规模，相较2015年的530亿年复合增长率达到7%。半导体厂商将有机会在汽车电子领域挖掘一大桶金。

高科技芯片可以改善动力系统排放、增强安全性能、并利用蜂窝网络实现车辆间及道路基础设施之间的互联。但是，随着系统的复杂化，保证驾驶员安全就变得更为关键，必须打造更加自动化，系统化，且能患于未然的解决方案--即我们通常所称的"功能安全"。

什么是功能安全？

简而言之，功能安全的最终目的是确保产品安全运行，即便出现问题也可以继续保驾护航。基于这一理念，ARM将保证安全视为头等大事，而非单纯依照市场导向随波逐流，不断加强研发，推出更多功能安全相关产品。

各行各业都会制定标准，指导未来发展并限定最低准入门槛。在汽车电子行业，这一标准就是ISO 26262，它将功能安全定义为：

"避免因电气／电子系统故障而导致的不合理风险"。

不同领域的标准并不完全一致，例如针对电气和电子系统的IEC 61508以及飞行器电子硬件的DO-254都有各自的定义方式。更需值得注意的是，它们都拥有专用术语，并提供了包括目标参数在内的工程研发指导。因此，开始产品研发前确定目标市场并制定合适的流程至关重要，因为中途修改研发流程必然会导致效率低下。图1展示了硅片IP的不同应用标准。实际操作中，如果需要满足多套标准，则可以求同存异，先列出专属需求，再执行质量管理等通用准则；最一开始就要做到安全第一。

图1：硅片IP的功能安全标准

实际操作中，功能安全系统必须由独立评估员认证，符合所有安全标准。实现功能安全需要具备预测能力的故障模式，实时判断系统状态是功能完整，部分功能损坏，还是系统必须关闭进行重启或重置。

并不是所有故障都会立刻引发严重事故。比如，汽车动力转向系统故障可能会导致突发性的错误转向，但是由于电气和机械设计天然的时间延迟，故障并不会马上产生后果，这一延迟通常是几毫秒以上，ISO 26262将之定义为容错时间间隔，间隔长短取决于潜在的事故类型和系统设计。所以，不难理解，对系统安全要求越高，产生不安全事件的故障就越应该避免。

理想情况下，功能安全不会影响系统性能；但现实生活中，现行的许多安全措施都会严重影响系统性能、功率和面积（PPA）。如何在保证功能安全的前提下减轻对系统性能的不利影响以及设计制造成本的上升，是设计师们面临的一大难题。
为什么需要功能安全？

芯片IP的功能安全曾是非常小众的领域，只有少数汽车、工业、航空航天和其他类似市场的芯片与系统开发商感兴趣。然而，随着过去几年各类汽车应用的兴起，情况已经发生巨大变化。除了汽车外，还有很多其他行业也能从电子器件的增加受益，当然保障功能安全是大前提。医疗电子和航空就是两个典型例子。

自动驾驶过去几年吸引了不少人的眼球，但一直是雾里看花；如今，随着高级驾驶辅助系统（ADAS）及富媒体车载信息娱乐系统（IVI）的普及，尽管高度自动化驾驶的时代依然遥远，但自动驾驶汽车的前景已变得愈发清晰。尺寸形状各异的无人机和日益普及的物联网也是亟需功能安全的领域，ARM 的技术将成为一大助力。

ARM功能安全技术

与其他技术市场一样，新兴的功能安全应用也需要半导体的驱动；这并不是纸上谈兵，日新月异的产品创新已经引起了ARM合作伙伴的浓厚兴趣。多数功能安全嵌入式系统都需要具备安全防护及实时处理两大核心要素，ARM Cortex-R系列处理器为此需求量身定制，为嵌入式系统提供高性能运算解决方案，确保产品的高可靠性、高可用性、容错、以及／或强大实时自主判断能力。这些特性为实现ADAS和IVI系统的高安全完整性打下基础，不仅可以执行关键行为处理，应对安全相关的中断事件，与其他系统通讯，还可以对集成度较低的复杂功能进行监管。

什么是故障？

故障可能是系统性的（如规范制定和设