wjIesmc
功能安全要达到ASIL D等级
根据ISO26262规范的定义，功能安全性是指即便电气和电子系统因为故障导致损坏，但也不会给车辆带来无法预测的安全风险。ISO26262对汽车安全完整性级别(ASIL)从低到高划分为四个等级，即ASIL A、B、C、D，这些安全等级跟特定系统监测出的故障次数有直接关系。wjIesmc
据统计，超过90%的车辆事故都是人为失误造成的，如果自动驾驶车辆能够达到所期望的安全等级，严重交通事故将有望大幅度减少。然而，自动驾驶系统需要极高的计算性能和最高等级的安全性以确保车辆高速行驶的安全。在功能安全性方面有哪些技术可供选择呢？wjIesmc
锁步和拆分-锁定
从芯片和硬件的角度，实现功能性安全所涉及的技术包括内置自检、奇偶校验、锁步(Lock-step)、错误监测/纠正，以及看门狗等。其中锁步(Lock-step)和拆分-锁定(Split-lock)是两个可以同时满足自动驾驶性能和安全性要求的安全技术。wjIesmc
在“锁步”中配置两个CPU内核是实现高水平诊断的传统方法，即能够检测到错误情况的发生。其原理非常直截了当，每个内核馈入比较器逻辑块，并且每个内核执行完全相同的代码。比较器逻辑逐个周期比较输出，只要结果相等，一切就OK。如果结果之间存在差异，则表明有安全隐患，应该进一步监测或采取措施解决故障状况。这种”锁步“机制是通过设计固定在芯片里的，因此灵活性不够。因为运行应用程序要使用两个内核，只能获得单核的性能。这种方法已被“证明”可行有效，并已在微控制器和不太复杂的确定性微处理器上使用多年。wjIesmc
据Robert Day称，Arm在汽车级微处理器内核Cortex-A76AE和Cortex-A65AE中引入了“拆分-锁定(Split-lock)”安全机制。拆分-锁定允许在启动时将系统配置为“分离模式”（两个独立的CPU，可用于处理不同的任务和应用），或“锁定模式”（针对高安全完整性应用，CPU处于锁步模式）。这种“拆分-锁定”功能对于自动驾驶系统是至关重要的，可以实现出色的计算性能和高度的安全完整性支持。wjIesmc
本文为《国际电子商情》姐妹网站《电子工程专辑》11月刊杂志文章wjIesmc
扫码分享到好友
