处理中...

首页 > 资料大全 > 技术资料 >

高级驾驶员辅助系统的安全性预测与方案分享

高级驾驶员辅助系统的安全性预测与方案分享
来源:我爱方案网 时间:2012-11-16

【导读】高级驾驶员辅助系统(ADAS)作为安全性预测的标志性应用,目前已经进入很多高端汽车的研发流程。飞思卡尔亚太区汽车及工业解决方案事业部全球产品市场经理郗蕴侠博士带大家从IEC61508到ISO 26262,看汽车功能安全演变,并分析从MPC5643L单片机看功能安全机制……

以飞思卡尔公司为例,对高级驾驶员辅助系统提供了全部整套的解决方案,包括后视的停车辅助、全景辅助、前景安全性预测(车道偏离预警、自动巡航系统,等等)。事实上,目前很多的汽车半导体解决方案提供商都将目标瞄准高级驾驶员辅助系统,基于功能安全的汽车安全性预测的广泛应用指日可待。

从汽车诞生开始,人们就没有停止过对汽车安全驾驶的追求。早的安全带以及后来的安全气囊等被动安全措施挽救了数千万人的生命,后来发展起来的 ABS(防抱死制动系统)、ESP(电子稳定程序)、EBD(电子制动力分配系)等主动安全功能让汽车安全性再次大大提高。但尽管如此,交通事故依然是非自然死伤原因之一。

“随着系统复杂性的提高,以及软件和机电设备的大量应用,因为系统失效和随机硬件失效导致的交通事故风险也日益增加。因此,近年开始出现了新的汽车安全概念——安全性预测。”飞思卡尔亚太区汽车及工业解决方案事业部全球产品市场经理郗蕴侠(Yolanda)博士指出,“安全性预测即汽车里的一些系统能实时检测故障,在故障发生之前就能预警防止故障发生,这就是当前大家倡导的汽车功能安全的概念。”为此,飞思卡尔推出了命名为“SafeAssure”的安全保障方案,旨在帮助系统制造商更加轻松地满足汽车和工业市场中的功能安全标准要求,并大大降低开发难度、缩短开发周期。

从MPC5643L单片机看功能安全机制

Yolanda指出:“硬件安全的理念主要通过检测和消除随机硬件故障,利用内置的安全机制,包括自检、监测和基于硬件的冗余设计来实现。”厂商可以充分 利用在飞思卡尔微控制器、 电源 管理IC和 传感器 中内置的功能安全机制实现有效的故障控制,从而实现目标市场对功能安全设计的要求。

功能安全设计需要针对可能出现功能失效进行预测,包括单点失效、潜在失效和共因失效。按照ISO 26262的等级ASIL D的要求,所设计的系统要能检测出大于99%的单点失效率,潜在失效检测要超过90%。例如,如果一个系统的每小时失效率低于10-8,则落到单片机的每 小时失效率必须低于10-9。“在我们的单片机设计过程中更严格,错误概率更小。”Yolanda表示,“MPC5643L就是飞思卡尔针对功能安全推出 的一款单片机产品,这款产品的设计体现了功能安全的设计理念。”

冗余设计是有效提高系统失效安全的有效措施之一,MPC5643L中充分利用了冗余设计确保严格的功能安全标准要求。MPC5643L采用了双 e200Core内核锁步(lockstep)工作模式,一个内核工作的同时另一个内核进行监测。此外,MPC5643L还对主要的模块如看门狗定时器、 内存相关控制单元、总线及外设都进行了冗余。而且,为了防止单点失效,MPC5643L内置的闪存还具有自动纠错功能。

通常,很多系统开始都能正常工作,但是过了几年之后,因为外部一些因素触发而可能产生一些失效故障,这就是潜在失效的概念,功能安全设计需考虑潜在失效。 “过去潜在失效的防范都是由软件实现,软件每一次在单片机复位以后都会对所有的内存或者是逻辑进行一次校验。而在MPC5643L中,将校验功能由硬件实 现,即内置自测,这是功能安全对单片机非常重要的要求,这种自测功能可以把内存或者是逻辑以及外设的一些错误检测覆盖率达到90%以上。”Yolanda 指出。

除此之外还需要考虑共因失效。“共因失效是什么呢?比如说时钟,它会提供给很多模块,还有电压也会提供给整个的单片机。此外,温度也是重要考虑的问题,如 果一旦芯片温度过高,也可能导致芯片失效。”Yolanda解释了共因失效的定义,“这些共因失效都需要检测,MPC5643L对时钟、电压以及温度都有 检测。”从成本考虑以及应用环境的原因,通常的应用中单片机并不具有温度传感器这些考虑共因失效的功能特性。

除此之外,MPC5643L内部还集成了一个独立于CPU的错误收集和应对模块(FCCU),该模块在时钟上也跟CPU独立开,可以完全独立操作,把这些 错误收集起来并做相应的应对措施。这个功能模块也是传统单片机所不具备的。