飞思卡尔SafeAssure计划 ISO26262与集成安全系统

　　汽车电子应用于汽车之中，一方面是提升使用者的驾乘体验，而更重要的一点则是提升驾驶的安全性。得益于整车与半导体厂商在汽车安全领域不懈的努力与竞争，汽车的安全性能不断得以提升。即便如此，汽车安全依然是汽车厂商与半导体厂商需要持续完善的重要技术趋势。

　　安全在将来的汽车研发中是关键要素之一，新的功能不仅用于辅助驾驶，也应用于车辆的动态控制和涉及到安全工程领域的主动安全系统。将来，这些功能的研发和集成必将加强安全系统研发过程的需求，同时，也为满足所有预期的安全目的提供证据。

　　ISO 26262与集成安全系统

　　先进的车辆控制技术、驾驶员辅助系统、碰撞预警系统和防碰撞系统都是旨在减少驾驶员失误和违规、提高汽车安全的有效主动措施。随着计算性能的不断提高，以及嵌入式系统、传感器、模拟技术、自动控制和通信技术的出现，特别是更廉价、更小型，以及更便携的电子设备、传感器和中央处理器的加入，与作为响应性防碰撞措施的被动安全系统不同，主动系统一般采取感测(利用摄像头、雷达等)和驱动(即控制功能)来主动降低潜在的碰撞可能或风险。这些系统旨在通过感测汽车、驾驶员以及周围环境来预测可能出现的驾驶事故，并主动规避以防止危险事件的发生，或预先启动安全系统以在碰撞的危急关头减少乘客所受的伤害。基于主动概念，汽车设备制造商提供了各种不同的防碰撞和预警策略，为行车提供额外的安全性和舒适性。

　　从整体去看集成安全，传感器的加入是至关重要的一环，传感器可以提供额外的状态监控和态势感知功能。安全算法基于传感器所收集的数据，用各种确定性和随机的方法进行评价、评估、估算、感知和判断。这些算法可以提供最优化、最安全的纠正措施，类似于熟练驾驶员在紧急状况下会做出的判断。这些判断可充当智能副驾驶的角色，最后转换成具体的车辆控制操作(如制动、转向等)。互动/干预/驱动的实际功能是安全系统设计的一部分。

　　硬件部分之外，软件及整个系统的安全同样面临挑战，汽车产业是一个不允许系统失效发生的产业，因为一旦发生失效，车辆厂商将面临巨大风险，为了防止系统失效的发生，必须有一套严谨且可靠的开发流程来让系统开发工程师依循，因此车辆领域的专家即开始着手发展车辆领域之功能安全标准，ISO 26262在这样的环境与需求下应运而生。随着系统复杂性的提高，软件和机电设备的应用，来自系统失效和随机硬件失效的风险也日益增加，制定ISO 26262标准的目的是使得人们对安全相关功能有一个更好的理解，并尽可能明确地对它们进行解释，同时为避免这些风险提供了可行性的要求和流程。ISO 26262大约于2005年开始发展，于 2011年11月14日发行正式版本，该标准主要衍生于IEC 61508而来，并着重于车辆电子/电机系统的功能安全。ISO 26262为目前全球重要的车辆功能安全设计标准，此标准因对安全生命周期与周期内之工作项目及产出物有详细的定义，使得车辆系统功能安全的严谨与可靠度大幅提升。

　　ISO26262主要提供了：

　　●汽车生命周期(管理，研发，生产，运行，服务，拆解)和生命周期中必要的与功能安全有关的事项能否顺利进行

　　●决定风险等级的具体风险评估方法(汽车安全综合等级，ASILs)

　　●使用ASILs方法来确定获得可接受的残余风险的必要安全要求

　　●提供了确保获得足够的和可接受的安全等级的有效性和确定性措施

　　可以预见的是，未来的汽车电子特别是与安全相关的汽车电子系统，将是集MCU、传感器、模拟技术与可靠的软件系统于一体的复杂系统，开发的难度必将随着安全保障的力度而不断增加，需要更好的平台来帮助车厂应对这样的挑战。

　　面向安全SafeAssure计划

　　作为重要的汽车半导体供应商，飞思卡尔半导体推出SafeAssure计划，致力于帮助汽车设计人员降低构建符合国际标准化组织(ISO) 26262标准的功能安全系统的复杂性，并缩短了开发时间。SafeAssure计划包括广泛的MCU、传感器和模拟IC选项，以及多种支持，包括面向功能安全应用设计的培训、安全文档和技术支持。

　　飞思卡尔的功能安全实现途径包括四个主要领域：安全流程、安全硬件、安全软件和安全支持。

　　解决安全流程问题，即公司设计和生产功能安全解决方案的方式。飞思卡尔的产品在定义和设计之初便以符合各项标准要求为目标，在开发流程的每个步骤都执行安全分析，并采取额外的确认措施帮助确保产品完全满足各种安全要求。

　　安全硬件概念关注于检测和减少随机硬件故障。故障控制通过在飞思卡尔微控制器、模拟器件和电源管理IC和传感器中内置的安全特性实现，例如自检、监控和基于硬件的冗余。飞思卡尔汽车模拟解决方案提供了附加功能(检查微控制器(MCU)定时、电压和错误管理)，可帮助提高系统可靠性，并简化电子控制单元设计。

　　为了实现系统级功能安全目标，必须将硬件和软件无缝集成，以便全面符合安全要求。飞思卡尔正在开发一组全面的汽车功能安全软件产品系列，包括AUTOSAR OS、相关的微控制器抽象层(MCAL) 驱动和内核自检功能。为了增强面向汽车和工业市场的安全软件产品系列，飞思卡尔与领先的第三方软件提供商合作推出更多的安全软件解决方案。

　　功能安全途径的第四个领域是强大的安全支持，以简化系统级集成和易于符合功能安全标准要求为目标。飞思卡尔的技术支持范围广泛，从与功能安全架构有关的特定客户培训和系统设计审核，到广泛的安全文档和技术支持。

　　飞思卡尔具备满足SafeAssure解决方案的广泛的MCU、模拟器件和传感器产品线。MCU是汽车安全系统控制的核心，飞思卡尔最新推出的面向汽车功能安全的产品包括Qorivva MPC574xP 32位MCU 和SBC MC33906/7/8 系列，可帮助汽车系统满足包括最严格的ASIL D级在内的所有汽车安全完整性等级(ASIL)。面向的应用包括电动助力转向、电子稳定控制系统、汽车动力和底盘控制、安全域控制、自适应巡航控制和盲点检测。MPC574xP将许多特性集成至一个安全平台，与之前的飞思卡尔产品相比，在存储器、性能和电机控制功能等方面实现了翻倍。SBC器件为MCU和其他系统负载供电，并通过低功率省电模式优化能耗。MC33906/7/8器件专为满足ASIL D要求而开发，包括广泛的集成安全措施，例如关键模拟参数监控、故障安全状态机和高级看门狗等。

　　Qorivva系列的多核MCU MPC5746M基于新型200 MHz四核Power Architecture平台的高性能32位MCU产品，旨在满足全球对提高汽车动力总成系统性能日益增长的需求，同时又能符合最新的安全和应用要求。这种新设计拥有集成式安全校验器和并行I/O处理器，有助于优化多核平台上的软件和安全策略。MPC5746M最适合内燃机、混合动力系统和传输系统;随着车辆联网程度提高，它还有助于识别和预防电子系统故障，保护车辆免受可能的软件攻击。作为满足SafeAssure解决方案的MPC5746M，其结构和设计过程有助于缩短设计时间，降低遵从ISO 26262标准开发汽车安全应用的复杂性。MPC5746M运用飞思卡尔在使用创新内存安全概念的多核安全平台领域的可靠专业经验，采用延迟锁步内核、端到端纠错码及数据校正防止重大故障等功能，使安全应用满足最严格的汽车安全完整性等级ASIL-D的要求。