徽州骆驼 · 2023年11月07日

域架构下的功能安全思考

随着整车电子电气架构的发展,功能域控架构向整车集中式区域控制演进。新的区域控制架构下,车身控制模块(BCM),整车控制单元(VCU),热管理系统(TMS)和动力底盘等功能等原本独立的功能域整合到新的区域控制器。同时,区域控制器也集成了二级智能配电功能,真正形成了Power HUB, IO HUB, Data HUB。

image.png
整车区域架构

新EEA架构下,功能安全也随之有了新的变化。原来多个不同的控制器来实现整车功能,功能安全目标也是以独立的控制器为主体,结合控制器间的信号交互来共同实现。整车区域架构下,同一个区域控制器中集成车身,动力,底盘控制等功能,有ASIL A/B/C/D四种安全等级安全目标同时出现的情况。这些不同安全目标的实现模块共享控制器的内部软硬件资源,如电源模块,MCU模块和安全关断路径等。

不同功能域对于故障时的响应各有差异。车身类功能安全考虑到系统的鲁棒性,控制器故障后一般进入limphome(跛行)模式;而EPB功能安全等级高,当外部独立看门狗检测到MCU故障,或MCU内部安全监控模块检测到故障,即进入安全状态。

以近光灯和EPB功能为例浅谈区域控制器功能安全设计的一些思考。

从整车安全目标来看,近光灯应避免在行车过程中非预期熄灭,当控制器内部失效后,需要在故障容忍时间间隔(FTTI)内点亮近光灯;EPB最高等级的安全目标应避免在行车过程中非预期的锁死制动卡钳,当控制器内部失效后,需要在FTTI内释放制动卡钳。

系统层面

一方面为了整车的安全性,兼顾系统的鲁棒性,需要收集整车端不同功能和ASIL等级的安全目标,需要考虑不同ASIL等级对于故障的响应,以及对于故障后进入安全状态的可接受度;另一方面从系统架构上进行安全分析,确认安全目标是否可进行ASIL等级分解。

通过合理的功能分配,将左右近光灯布置在两个相互独立的区域控制器中。当某一个控制器内部MCU故障,进入limp home模式点亮近光灯;且当某一个控制器完全失效,另外一个控制器还可以保证其近光灯可以正常点亮,这样近光灯的安全等级分解为ASIL A(B)。

EPB比较特殊,一般分配在两个相互独立的区域控制器中,由于任意一个控制模块锁死了制动卡钳都会违反安全目标,故其最高ASIL D的安全等级不可分解。当控制器出现故障时,通过安全关断路径来释放卡钳驱动电机,进入安全状态。

image.png
近光灯和EPB功能安全等级

硬件层面

为了保证区域控制器可以实现最高等级的安全目标,内部共用的硬件模块需要按最高安全等级去开发,如MCU模块,逻辑电源供电模块等。控制器内部低安全等级的功能模块不能影响高安全等级的硬件模块,需要进行相关失效分析,分析不同安全目标共用的电路模块,是否存在共因和级联失效。

当MCU失效后,近光灯和EPB功能不受控。此时,需要安全机制limphome模块点亮近光灯,安全关断路径来关断EPB制动卡钳驱动电路,进入安全状态。且limphome电路不能干扰关断EPB制动卡钳的驱动电路。因此,需要设计独立的limphome电路和安全关断路径电路,这两个硬件电路失效亦不能引起近光灯和EPB功能失效。

软件层面

需要从软件架构层面考虑不同ASIL等级的软件共存问题。近光灯软件模块是ASIL A(B),EPB软件模块是ASIL D。

为了实现ASIL共存,可将近光灯和EPB软件放在两个独立的锁步核运行,从时序和执行 (Timing and execution),内存 (Memory)和信息交换 (Exchange of information)三个方面做到免于干扰。

同时,程序的时间和逻辑监控是必要的,用于探测有缺陷的程序,监控程序的表现和合理性。一般通过外部独立的看门狗进行程序流监控,监控软件是否正确执行,如程序未在指定的时间内执行,或者时钟发生故障。

综上,在区域架构下,功能安全面临更加复杂的架构和多功能融合的挑战,区域控制器需要相互协同,共同实现整车的功能安全目标,提高功能安全开发效率,从而降低功能安全开发的成本。

作者:联合电子
文章来源:汽车电子与软件

推荐阅读

更多汽车电子干货请关注汽车电子与软件专栏。欢迎添加极术小姐姐微信(id:aijishu20)加入技术交流群,请备注研究方向。
推荐阅读
关注数
5637
内容数
346
汽车电子与软件行业的相关技术报道及解读。
目录
极术微信服务号
关注极术微信号
实时接收点赞提醒和评论通知
安谋科技学堂公众号
关注安谋科技学堂
实时获取安谋科技及 Arm 教学资源
安谋科技招聘公众号
关注安谋科技招聘
实时获取安谋科技中国职位信息