來(lái)源 |十一號(hào)組織

知圈 | 進(jìn)“滑板底盤群”請(qǐng)加微yanzhi-6,備注底盤

在智駕域控制器內(nèi)，AI芯片是當(dāng)之無(wú)愧的霸道總裁，直接決定了智駕域控制器的武功高低，間接反映了主機(jī)廠的地位尊卑。而可以培養(yǎng)霸道總裁的英偉達(dá)、地平線、高通、Mobileye等技校也是開(kāi)足了馬力，不斷刷新霸道總裁的技能包，時(shí)刻準(zhǔn)備為分久必合的混戰(zhàn)局面畫上一個(gè)句號(hào)。

但在已量產(chǎn)或即將量產(chǎn)的智駕域控制器中，不管是量產(chǎn)夭折（帶L3功能的配置）Audi A8上搭載的zFAS，還是已量產(chǎn)小鵬P7上搭載的IPU03，在智駕域控制器PCB版上的遠(yuǎn)郊之處，我們總能發(fā)現(xiàn)AI芯片身邊還有一顆其貌不揚(yáng)但舉止非凡的MCU，像極了霸道總裁身邊那個(gè)平凡的灰姑娘，并直接決定了智駕域控制器的文化水平高低。

細(xì)究之下，這顆MCU承擔(dān)的職責(zé)全是功能安全等級(jí)要求高的重任，有用它來(lái)承擔(dān)自動(dòng)駕駛功能激活期間的車輛控制功能，有用它來(lái)承擔(dān)自動(dòng)駕駛系統(tǒng)故障時(shí)的降級(jí)策略，有用它來(lái)檢測(cè)智駕域內(nèi)系統(tǒng)的運(yùn)行狀態(tài)，有用它來(lái)承擔(dān)與車內(nèi)通訊的網(wǎng)關(guān)功能……

這類MCU民間喜歡稱之為安全核，具有常人所不具有一些安全特性，使其默默充當(dāng)自動(dòng)駕駛安全的守門員。自動(dòng)駕駛黑話圈第十九期，筆者就帶領(lǐng)大家一起欣賞這顆MCU具有了什么樣的特性，才讓其可以承擔(dān)如此重要的安全使命。

安全機(jī)制

在功能安全的圣經(jīng)ISO26262中，違背硬件安全初心的故障類型包括：?jiǎn)吸c(diǎn)故障、殘余故障、兩點(diǎn)故障、潛伏故障和多點(diǎn)故障等。

單點(diǎn)故障：無(wú)法被安全機(jī)制探測(cè)到的硬件故障，一旦發(fā)生，將直接違背硬件安全初心；

殘余故障：硬件部分設(shè)計(jì)有安全機(jī)制，但安全機(jī)制無(wú)法做到100%診斷覆蓋，殘余故障便是未被診斷覆蓋的那部分漏網(wǎng)之魚，一旦發(fā)生，也將直接違背硬件安全初心；

兩點(diǎn)故障：某個(gè)故障，平時(shí)人畜無(wú)害，但當(dāng)鐘意的姑娘出現(xiàn)在球場(chǎng)邊，才會(huì)變成大殺四方的詹姆斯。由于沒(méi)有安全機(jī)制，也將直接違背硬件安全初心；

多點(diǎn)故障：一家子（>2）團(tuán)聚時(shí)才生產(chǎn)生共鳴，引起硬件的故障，具有違背安全初心的風(fēng)險(xiǎn)；

潛伏故障：多點(diǎn)故障中未被安全機(jī)制診斷覆蓋到的故障，具有違背安全初心的風(fēng)險(xiǎn)。

要想減少故障，提高硬件的功能安全等級(jí)，增加安全機(jī)制是一種行之有效的方案。安全機(jī)制用于探測(cè)故障，控制/避免失效，來(lái)維持預(yù)期功能，保持安全狀態(tài)。但是針對(duì)硬件某一部分增加了安全機(jī)制，并不代表一定安全，安全機(jī)制也有一個(gè)診斷覆蓋率的問(wèn)題。

診斷覆蓋率是指在硬件要素失效率中，元器件失效率可以被安全機(jī)制診斷出來(lái) 的百分比，典型值有60%、 90%和 99%。診斷覆蓋率可通過(guò)硬件可能發(fā)生的殘余故障或者是潛伏故障進(jìn)行評(píng)估。

在《ISO26262-5 2018 產(chǎn)品開(kāi)發(fā)：硬件層面》的附錄D中，列舉了處理器采用不同安全機(jī)制對(duì)應(yīng)的診斷覆蓋率。而在硬件冗余可采用的安全機(jī)制里，雙核鎖步、非對(duì)稱冗余、編碼計(jì)算作為三種典型的高診斷覆蓋率技術(shù)被推薦使用，也是安全核在硬件層面主要采用的技術(shù)。