支持ASIL D 應用的安全集成硬件解決方案

在汽車應用中，人體與電氣/電子系統之間的交互顯著增加，具體而言是指在管理對安全至關重要的決策時的交互，這些決策會對駕駛員的健康產生嚴重影響。隨著這些先進的安全系統從被動安全不斷演進到更主動的安全系統，包括預測安全系統，甚至自主車概念等，汽車行業已經并將繼續出臺嚴格的要求。

管理這些對安全至關重要的決策會增加安全系統的復雜性和額外的軟件內容。復雜性增加會不斷增加系統和/或隨機硬件故障的風險。為了幫助確保最高的安全標準并影響安全汽車系統的開發，汽車行業已經發布了最新的汽車安全標準 ISO 26262。

本文討了對各種安全架構的實施，并介紹了一個創新的集成安全解決方案，以簡化系統級功能安全設計，包括遵從 ISO 26262 標準。

什么是功能安全？

根據定義，“功能安全”表示不存在由于系統故障造成的危害所引起的不合理的風險。為了顯著減少發生故障的風險，了解和評估可能發生的故障的類型至關重要。這些故障可分為兩大類。

系統故障是由某種原因造成的，只能通過改變制造工藝設計、運行程序、文檔或其他相關因素消除。通過強大的開發流程可降低發生系統故障的概率。

隨機故障是指硬件元件使用周期中發生的不可預知的故障，符合概率分布。這些故障可能由于永久或瞬間發生的擾動環境或整個系統生命周期中固有技術的性能造成。專用架構和IC策略涵蓋降低與隨機故障相關的風險。

汽車行業于 2011 年 11 月 15 日發布了 ISO 26262:2011(E) 標準。該標準是專為“道路車輛 – 功能安全”進行修訂的，也是對汽車電氣/電子（E/E）系統功能安全標準 IEC 61508 的改編。

要讓人們在道路上更安全，這些應用必須保持正常運行并且非常可靠。為了保持可靠性，E/E 系統設計必須實現安全性和可用性之間的最佳平衡。

可用性是可維護性和可靠性的一個很好的平衡，而安全性主要取決于系統可靠性。這種交互如下圖所示。

圖1： 功能安全的可靠性權衡關系

圖字：

Dependability：可靠性 Availability：可用性 Safety：安全性

Maintainability：可維護性 Reliability：可靠性

飛思卡爾的 SafeAssure（功能安全保障）產品有效地結合了可用性、安全性和可靠性，因此非常可靠。

管理安全開發： SafeAssure 過程

評估系統的安全功能需要高水平的參與和驗證。簡化這一評估是 2011 年 9 月制定并推出的飛思卡爾 SafeAssure 計劃的一個主要目標。該計劃適用于汽車和工業應用。

SafeAssure 產品旨在降低功能安全系統的復雜性，這也是這些系統制造商的一個主要目標。該計劃的制定著重強調了失效模式與效應分析（FMEA）、持續過程改進（CPI）和零缺陷。對新產品開發（NPD）流程、工具和指標也進行了修改，以融合并管理功能安全要求。具體來說，產品定義階段現在包括系統級假設，作為描述系統級背景的一部分。對于半導體器件，這些假設都視為SeooC（Safety Element out of Context，獨立安全單元）。由于 MCU 和模擬配套芯片作為標準的解決方案，以滿足多個行業中的多種應用，因此 SEooC 是一個安全相關的元件，而不是為特定系統或特定車輛平臺而制定的。

量化剩余風險 – 架構指標

就安全相關的故障而言，架構指標用于評估 IC 性能。它們用于促進架構選擇（包括檢測和保護），并允許用戶選擇自我檢測機制。

基于原始設備制造商 (OEM) 的汽車安全完整性等級(ASIL)，ISO 26262:2011(E) 定義了要實現的安全目標。該標準還指導評估由此產生的指標。

其中一個評估方法就是逐個檢查剩余的各個單點故障和導致違反特定安全要求的各個雙點故障。

在 IC 設計過程中必須迭代應用這個評估。可應用具有不同集成度的多個架構，以滿足目標系統要求水平。

ASIL-D 解決方案和安全架構的影響

電動助力轉向系統（EPS）是許多汽車應用之一，這些應用要求高水平的安全，可確保車輛轉向系統是可預測的和確定的。

根據特定應用為滿足 ASIL D 要求而采用的各種軟硬件交互組合，有多種方法或系統架構可以采用。