高級(jí)自動(dòng)駕駛中央域控制器的設(shè)計(jì)過程需要充分掌握其中的安全設(shè)計(jì)原則，因?yàn)榍捌谠O(shè)計(jì)中，無(wú)論是架構(gòu)、軟件、硬件還是通信都是需要充分掌握其設(shè)計(jì)規(guī)則才能充分發(fā)揮出相應(yīng)的優(yōu)勢(shì)，同時(shí)規(guī)避掉一定的設(shè)計(jì)問題的。

這里我們講的高階域控制器功能安全設(shè)計(jì)主要是指包含前端研發(fā)中預(yù)期功能安全所涉及的場(chǎng)景分析和后端功能安全所涉及的所有子項(xiàng)。首先以硬件基礎(chǔ)層面為連接基點(diǎn)，通過數(shù)據(jù)通信端實(shí)現(xiàn)整個(gè)系統(tǒng)架構(gòu)通信、數(shù)據(jù)流傳輸，軟件則是燒錄到硬件上，以硬件為載體，通信單元負(fù)責(zé)相互之間的模塊調(diào)用。

因此對(duì)于域控制器的安全設(shè)計(jì)端來(lái)說(shuō)。從整車安全能力分析上看，主要的分析過程也包括如下三個(gè)方面：系統(tǒng)理論分析 STPA(Systems Theoretic Process Analysis)、失效模式與影響分析FMEA、故障樹分析(Fault Tree Analysis, FTA)?。

? ?

對(duì)于架構(gòu)核心中的域控制器來(lái)講，其中涉及到非常強(qiáng)大的功能安全等級(jí)。我們可以總體分為三個(gè)層面：數(shù)據(jù)通信安全、硬件基礎(chǔ)安全、軟件基礎(chǔ)安全三個(gè)層面。而具體到相應(yīng)的分析過程卻需要充分考慮到包含硬件基礎(chǔ)層面功能安全、軟件基礎(chǔ)層面功能安全以及數(shù)據(jù)通信能力等幾個(gè)方面，且每個(gè)方面的分析都需要面面俱到。 ?

1、數(shù)據(jù)通信安全 ?

通信端作為連接和數(shù)據(jù)流入流出端，對(duì)整個(gè)系統(tǒng)架構(gòu)通信起著舉足輕重的作用，對(duì)于數(shù)據(jù)通信層面來(lái)說(shuō)，其功能安全要求主要指通用數(shù)據(jù)完整性機(jī)制、在線計(jì)數(shù)機(jī)制（Rolling Counter）、系統(tǒng)診斷數(shù)據(jù)刷新、時(shí)間戳信息（Time Stamp）、時(shí)間溢出（CheckSum）、管理授權(quán)代碼、數(shù)據(jù)冗余、網(wǎng)關(guān)等幾大方面。

其中，對(duì)于數(shù)據(jù)通信來(lái)講，諸如在線計(jì)數(shù)、診斷、時(shí)間溢出校驗(yàn)等都和傳統(tǒng)的點(diǎn)對(duì)點(diǎn)Canbus信號(hào)是一致的，而對(duì)于下一代自動(dòng)駕駛來(lái)說(shuō)，數(shù)據(jù)冗余、中央網(wǎng)關(guān)管理優(yōu)化、數(shù)據(jù)授權(quán)訪問等則是需要重點(diǎn)關(guān)注的方面。 ? 他們?cè)诠δ馨踩恼w要求如下：


? ?

2、硬件基礎(chǔ)層面 ?

硬件基礎(chǔ)層面的功能安全要求主要是指微控制器模塊、存儲(chǔ)模塊、電源支持、串行數(shù)據(jù)通信等幾大模塊。

?2.1? 微控制器模塊安全 ?

這里的微控制器也就是我們常說(shuō)的AI芯片（SOC）、浮點(diǎn)運(yùn)算芯片（GPU）以及邏輯運(yùn)算芯片（MCU）幾個(gè)運(yùn)行于車端域控制器的主要運(yùn)算單元。從功能安全設(shè)計(jì)的角度上講，各類不同的微控制器模塊包含通用設(shè)計(jì)模塊、鎖步核校驗(yàn)（包含鎖步核比較、鎖步核自檢）、時(shí)鐘校驗(yàn)（包含時(shí)鐘比較、時(shí)鐘自檢）、程序流監(jiān)控、心跳監(jiān)控、硬件看門狗功能、中斷保護(hù)、內(nèi)存/閃存/寄存器監(jiān)控/自檢、電源監(jiān)控和自檢、通信保護(hù)等幾大方面。

?

需要說(shuō)明的是微控制器應(yīng)通過硬線向監(jiān)控單元提供“活動(dòng)心跳”周期性切換信號(hào)。切換信號(hào)應(yīng)由安全看門狗管理，該看門狗還提供程序流監(jiān)控功能。僅允許安全看門狗在看門狗服務(wù)期間切換“活動(dòng)心跳”。微控制器安全軟件則應(yīng)在每次為內(nèi)部安全看門狗服務(wù)期間切換“活動(dòng)心跳”，這向監(jiān)控單元指示微控制器正在運(yùn)行并且安全看門狗定時(shí)器正在運(yùn)行。系統(tǒng)后臺(tái)應(yīng)通過檢查信號(hào)切換和高低狀態(tài)的時(shí)間都在有效范圍內(nèi)來(lái)監(jiān)控“活動(dòng)心跳”切換信號(hào)。一旦檢測(cè)到“活動(dòng)心跳”故障，SMU 將激活安全降級(jí)。 ?

對(duì)于看門狗程序來(lái)說(shuō)，應(yīng)在系統(tǒng)初始化期間進(jìn)行測(cè)試，以避免潛在的故障。過程中應(yīng)測(cè)試以下故障類型： ? - 不正確的看門狗觸發(fā)時(shí)間（在關(guān)閉窗口中觸發(fā)）； - 沒有看門狗觸發(fā)； ?

2.2 存儲(chǔ)模塊安全 ?

存儲(chǔ)模塊是整個(gè)域控不可或缺的一部分，在整個(gè)芯片運(yùn)算過程中，主要用于進(jìn)行臨時(shí)性、常用的文件存儲(chǔ)，以及運(yùn)算過程中的數(shù)據(jù)交換，比如我們的操作系統(tǒng)啟動(dòng)程序就是存放在一個(gè)SOC/MCU外掛的存儲(chǔ)單元中，又如我們下一代自動(dòng)駕駛產(chǎn)品中必須用到行車/泊車高精地圖，通常也是外掛于芯片的存儲(chǔ)單元進(jìn)行存儲(chǔ)的，還有一些底層軟件中的診斷、日志類的文件也是放到我們外掛的芯片中進(jìn)行存儲(chǔ)的。

那么對(duì)于整個(gè)存儲(chǔ)單元而言，需要滿足什么樣的條件才能確保達(dá)到合適的功能安全條件呢？如下圖做具體說(shuō)明。 ?

整個(gè)存儲(chǔ)單元的安全主要包括寄存器監(jiān)控、通用存儲(chǔ)單元、RAM/內(nèi)存 ECC、ECC自檢、閃存冗余、寄存器寫保護(hù)、范圍保護(hù)、寄存器自檢等多個(gè)方面。

? ?

2.3 電源供給完整性 ?

電源供給的完整性安全方法測(cè)試主要是通過對(duì)整個(gè)電源運(yùn)行狀態(tài)的。通過故障注入，并實(shí)時(shí)監(jiān)測(cè)來(lái)進(jìn)行的。

一種測(cè)試方法示例是配置較高或較低的監(jiān)控閾值，以強(qiáng)制監(jiān)控器檢測(cè)欠壓或過壓故障并驗(yàn)證是否正確檢測(cè)到故障。注入故障時(shí)，電源監(jiān)視器應(yīng)激活輔助關(guān)閉路徑。微控制器應(yīng)監(jiān)控輔助關(guān)斷路徑，如果輔助關(guān)斷路徑的行為與預(yù)期的測(cè)試程序一致，則僅考慮測(cè)試“通過”，否則視為“失敗”。一旦檢測(cè)到失敗，微控制器將激活安全降級(jí)。該測(cè)試可由專用 BIST 功能支持，并且必須由微控制器軟件根據(jù)詳細(xì)程序進(jìn)行配置。

?

3、軟件基礎(chǔ)安全 ?

關(guān)于軟件基礎(chǔ)安全層面的設(shè)計(jì)考慮，主要是對(duì)車載智能駕駛軟件開發(fā)過程中可能出現(xiàn)的軟件故障進(jìn)行的綜合考慮。其中包括軟件文檔設(shè)計(jì)、軟件語(yǔ)言和風(fēng)格、安全關(guān)鍵變量、故障探測(cè)和糾錯(cuò)、軟件架構(gòu)、安全關(guān)鍵代碼、程序流程監(jiān)控、變更管理等幾個(gè)大方面。所有層面的軟件設(shè)計(jì)描述均應(yīng)使用自然語(yǔ)言，以定義模型或代碼目的。

比如，當(dāng)多個(gè)變量間的獨(dú)立性對(duì)系統(tǒng)的安全至關(guān)重要時(shí)，不應(yīng)將這些變量組合為一個(gè)使用變量公共地址的數(shù)據(jù)要素。這可能導(dǎo)致涉及結(jié)構(gòu)中所有要素的共模系統(tǒng)性失效。如果變量已經(jīng)分組，則應(yīng)針對(duì)安全關(guān)鍵函數(shù)進(jìn)行恰當(dāng)論證。 ?

?

總結(jié)

本文從功能安全的角度出發(fā)，從各個(gè)不同的方面詳細(xì)分析了整個(gè)自動(dòng)駕駛域控制器設(shè)計(jì)綜合要素及流程。其中，包含硬件基礎(chǔ)、軟件方法、數(shù)據(jù)通信等各個(gè)方面。這些功能安全設(shè)計(jì)能力都是在關(guān)注整個(gè)架構(gòu)層面的同時(shí)，充分關(guān)注其內(nèi)部各個(gè)部件之間的聯(lián)系，確保設(shè)計(jì)過程的合規(guī)性和完整性，避免在設(shè)計(jì)后期出現(xiàn)不可預(yù)估的后果。因此，作為詳細(xì)的安全設(shè)計(jì)細(xì)則，可以為開發(fā)工程師提供必要的參考。

審核編輯：劉清