全新ARM安全套件集助力汽车行业

概述

ARM 最近针对ARM Cortex-R5 处理器发布了内含全套安全文件集的全新套件，主要面向汽车、医疗和工业行业的安全关键设计。随着嵌入式系统中安全功能变得越来越重要，尤其是在动力系统、底盘和 ADAS（先进驾驶辅助系统）等汽车电子控制应用，这项安全套件的开发宗旨在于为选用基于 Cortex-R5 解决方案的客户减轻功能安全认证流程负担，进而提高 ARM 的竞争地位。

分析

ISO 26262 汽车功能安全标准

ARM 自 2000 年率先为芯片合作伙伴供货生产 ABS（汽车防抱死制动系统）以来，一直致力于在处理器设计中开发故障检测和控制方面的功能安全要求。但是，随着汽车行业推出了 ISO 26262 标准，人们对于该标准的实施给 IC（集成电路）和控制系统供应商带来的全新挑战倍感担忧。自 2011 年 11 月首次官方发布以来，该标准愈趋成熟，越来越多企业对于进军 ADAS 应用市场领域感到兴趣，这让 ARM 意识到必须针对 Cortex-R5 处理器开发全新的安全套件，以帮助芯片合作伙伴及其客户满足 ISO 26262 标准的要求。

•    尽管 ISO 26262 提供了有关如何在系统、硬件和软件层面，针对功能安全管理和规范产品开发的指南，但是它并未阐述设计中所需要的控制和检测功能。
•    现有芯片合作伙伴已针对应该如何构建此安全功能提出了要求，并且在安全套件的早期开发过程中发挥了重要作用。ARM 拥有大量用于开发安全套件的设计库和调试功能。
•    对于刚刚涉足不断增长的ADAS 领域、但却缺乏在设备中实施功能安全经验的芯片合作伙伴，透明化的知识产权 （IP）是相当必要的组件。包括最近从富士通半导体公司收购了汽车微控制器业务的Spansion飞索半导体也已经从ARM的安全套件获益。
•    此外，尽管之前的 Cortex-R4 具备一些故障保护和控制功能，但要开发出基于Cortex-R5的安全套件，仍需要其他的安全相关功能，比如保持最终系统的数据完整性。

安全套件中用于增强 Cortex-R5 功能安全认证的新功能包括：

•    文件集——针对安全管理、要求管理、勘误管理和培训。如果芯片合作伙伴没有通过安全套件的处理审计跟踪，他们就算完成设备开发，也几乎无法达到 ISO 26262 标准。
•    故障检测和纠正——例如，错误纠正、内存纠正、双核锁步、中止模式和系统错误故障遏制。
•    安全手册——失效模式与效应分析中包含了处理器逻辑中失效模式的定性分析、对处理器行为的失效效应以及定量硬件指标的示例；“开发接口报告”清晰地阐述了芯片合作伙伴的工程师应当如何管理 ARM 交付内容以及对他们的期望。
•    借助安全套件，芯片合作伙伴可以将此整合信息用于支持设计概念和决策，并支持设备的功能安全评估（请参阅图示 1）。
•    同时，预计在未来 ARM 处理器产品中，将开发出更多全新的功能安全特性。

灵活的策略利于扩大实施范围

除了符合汽车标准的要求，安全套件的另一个目的是实现汽车系统开发的灵活性和模块化。ARM功能安全方法的基本核心开发考虑到了可应用于所有行业部门，并非仅限汽车领域。

•    这一策略并不针对特定行业标准，因此基本核心功能可以轻松用于开发其他的安全套件，包括符合医疗行业的 IEC 62304 标准、航空行业的 DO 178 和 DO 254 标准或者铁路行业的 EN 5012x 标准等等。  
•    芯片合作伙伴参与开发和销售面向各个工业行业的 IC 和 SoC（系统级芯片），并非仅面向汽车行业。
•    德州仪器安全微控制器部门总经理 Norbert Asche 指出，“功能安全技术逐渐开始应用在底层的抽象设计中。利用ARM的功能安全设计方法并搭配Cortex-R5核心，就能在汽车、医疗保健与工业市场，为我们的客户减轻安全认证的负担。德州仪器的 Hercules TMS570LC4x 和 RM57x Safety MCU 均采用 ARM Cortex-R5 核心。”
•    随着 ADAS 的竞争愈趋激烈，新的竞争者进入该领域将开发全新的应用，如车后横越交通警示系统。在全新 ADAS 功能开发完成后，它们预计能基于安全套件核心，符合 ISO 26262 标准要求，无需重复 ARM 已执行的功能安全开发工作。
•    安全套件还可以涵盖所有级别的 ASIL（汽车安全完整性等级），囊括要求低等级功能安全 ASIL-A 的应用到要求高等级功能安全 ASIL-D 的应用。ASIL-D 并不局限于 ADAS 应用，包括其他安全关键型系统，例如 EPS（电动助力转向系统）均被视为需要 ASIL-D 等级的功能安全。

图示 1    ARM 安全套件设计集成


资料来源：ARM