從飛思卡爾SafeAssure功能安全保障方案看汽車安全設計

    SafeAssure主要目標是化繁為簡，為簡化失效故障分析，飛思卡爾還提供一個重要分析工具——失效模式、效果和診斷分析（FMEDA），這個工具分析客戶整個數據，最后算出的結果是不是達到功能安全所需要的要求。FMEDA工具可以幫助客戶根據其應用來計算最后功能安全結果，從而使SafeAssure方案有效簡化功能安全設計工作。

    從MPC5643L單片機看功能安全機制

    Yolanda指出：“硬件安全的理念主要通過檢測和消除隨機硬件故障，利用內置的安全機制，包括自檢、監測和基于硬件的冗余設計來實現。”廠商可以充分利用在飛思卡爾微控制器、電源管理IC和傳感器中內置的功能安全機制實現有效的故障控制，從而實現目標市場對功能安全設計的要求。

    功能安全設計需要針對可能出現功能失效進行預測，包括單點失效、潛在失效和共因失效。按照ISO 26262的最高等級ASIL D的要求，所設計的系統要能檢測出大于99%的單點失效率，潛在失效檢測要超過90%。例如，如果一個系統的每小時失效率低于10-8，則落到單片機的每小時失效率必須低于10-9�！霸谖覀兊膯纹瑱C設計過程中更嚴格，錯誤概率更小。”Yolanda表示，“MPC5643L就是飛思卡爾針對功能安全推出的一款單片機產品，這款產品的設計體現了功能安全的設計理念。”

    冗余設計是有效提高系統失效安全的有效措施之一，MPC5643L中充分利用了冗余設計確保嚴格的功能安全標準要求。MPC5643L采用了雙e200Core內核鎖步(lockstep)工作模式，一個內核工作的同時另一個內核進行監測。此外，MPC5643L還對主要的模塊如看門狗定時器、內存相關控制單元、總線及外設都進行了冗余。而且，為了防止單點失效，MPC5643L內置的閃存還具有自動糾錯功能。

    通常，很多系統開始都能正常工作，但是過了幾年之后，因為外部一些因素觸發而可能產生一些失效故障，這就是潛在失效的概念，功能安全設計需考慮潛在失效�！斑^去潛在失效的防范都是由軟件實現，軟件每一次在單片機復位以后都會對所有的內存或者是邏輯進行一次校驗。而在MPC5643L中，將校驗功能由硬件實現，即內置自測，這是功能安全對單片機非常重要的要求，這種自測功能可以把內存或者是邏輯以及外設的一些錯誤檢測覆蓋率達到90%以上�！盰olanda指出。

    除此之外還需要考慮共因失效�！肮惨蚴�效是什么呢？比如說時鐘，它會提供給很多模塊，還有電壓也會提供給整個的單片機。此外，溫度也是重要考慮的問題，如果一旦芯片溫度過高，也可能導致芯片失效�！盰olanda解釋了共因失效的定義，“這些共因失效都需要檢測，MPC5643L對時鐘、電壓以及溫度都有檢測。”從成本考慮以及應用環境的原因，通常的應用中單片機并不具有溫度傳感器這些考慮共因失效的功能特性。

    除此之外，MPC5643L內部還集成了一個獨立于CPU的錯誤收集和應對模塊（FCCU），該模塊在時鐘上也跟CPU獨立開，可以完全獨立操作，把這些錯誤收集起來并做相應的應對措施。這個功能模塊也是傳統單片機所不具備的。