MCU實現汽車功能安全合規性

 

　　如圖4所示，如果發生振蕩器時鐘丟失事件或被監控時鐘發生低頻/高頻事件，CMU 會向重置和FCCU模塊提供信號。 只有當一段時間內FCCU未反應的情況下，才激活重置模塊路徑。因此，重置和FCCU的信號路徑在MCU內組成了冗余故障指示路徑，以確保FCCU的故障無法阻止所有的故障報告。FCCU 模塊的配置決定事件是否會造成中斷或重置。

　　電源管理控制器

　　Qorivva MCU 提供的 PMC 采用電壓監控電路和 BIST。有兩種電壓監控器，即低壓檢測 (LVD) 和高壓檢測 (HVD) 監控器。所有與安全相關的電壓都受到內部監控，防止電壓超出這些范圍。

　　PMC 中實施的 BIST 在啟動時或通過軟件檢測 PMC 中關鍵的帶隙電壓/其他功能。

　　由于安全相關電壓故障可能導致MCU故障指示機制(例如 FCCU和錯誤輸出板)在反應前關閉，其電壓錯誤指示將直接導致設備跳變到故障安全狀態(執行重置)，而無需FCCU干預。　　

 

　　飛思卡爾 SafeAssure 計劃

　　飛思卡爾SafeAssure功能安全計劃旨在幫助系統制造商更輕松符合國際標準組織(ISO)26262和國際電工委員會(IEC)61508功能安全標準。 該計劃強調飛思卡爾解決方案(硬件和軟件)，優化了設計，支持功能安全實施，同時集成了豐富的支持。飛思卡爾方案包含四個支持領域，可使客戶大大減少產品上市周期。這四個領域如下所示。

　　1)安全硬件：上述各節所討論的在硬件中部署的各種主要功能安全特性是 SafeAssure 計劃的一大要素。
　　2)安全支持：該部分確保提供完整的文檔支持，包括產品的安全應用說明、安全手冊和 FMEA/FMEDA 分析。除了提供支持以外，飛思卡爾還為系統開發人員提供了一個選項，可與區域安全專家密切合作以加快其開發工作。
　　3)安全軟件：對安全產品的軟件支持包括驅動程序開發、移植操作系統和自檢軟件，確保器件在其整個生命周期內都正常運行。
　　4)安全流程：飛思卡爾內部隨后的流程確保從要求管理到設計實施的安全遵從，以及在驗證/確認/生產階段的功能覆蓋。通過保持全面的可追溯性矩陣來實現，并構成“SafeAssure”計劃的第四個要素。

　　這四個方面對于系統開發人員保證順利進行產品功能安全合規認證來說至關重要。

　　總結

　　設備實施功能安全特性需要 MCU 提供冗余，可能增加功耗和芯片尺寸。但是，如果與強大的硬件系統連接(MCU能夠提供故障安全、故障靜音或故障指示狀態)，帶來的好處非常多，尤其在減少軟件復雜性方面。本文討論了飛思卡爾 Qorivva MCU 所實施的各種安全設計。 在器件中實施這些安全特性是飛思卡爾 SafeAssure 計劃的四大要素之一，使客戶的應用能夠符合 ASIL/SILx 。

　　參考文獻：

　　[1]Chalupa L.新一代汽車電機控制：趨勢與解決方案
　　[2]Freescale.MPC574x 參考手冊
　　[3]飛思卡爾SafeAssure計劃[R/OL].www.freescale.com/safeassure