從(cong)汽(qi)車(che)誕(dan)生(sheng)開(kai)始(shi)，人(ren)們(men)就(jiu)沒(mei)有(you)停(ting)止(zhi)過(guo)對(dui)汽(qi)車(che)安(an)全(quan)駕(jia)駛(shi)的(de)追(zhui)求(qiu)。最(zui)早(zao)的(de)安(an)全(quan)帶(dai)以(yi)及(ji)後(hou)來(lai)的(de)安(an)全(quan)氣(qi)囊(nang)等(deng)被(bei)動(dong)安(an)全(quan)措(cuo)施(shi)挽(wan)救(jiu)了(le)數(shu)千(qian)萬(wan)人(ren)的(de)生(sheng)命(ming)，後(hou)來(lai)發(fa)展(zhan)起(qi)來(lai)的(de)ABS（防抱死製動係統）、ESP（電子穩定程序）、EBD（電子製動力分配係）等主動安全功能讓汽車安全性再次大大提高。但盡管如此，交通事故依然是最大非自然死傷原因之一。

圖1：世界衛生組織統計：全球每年因交通事故死亡130萬人，並有5000萬人受傷。

　　“隨sui著zhe係xi統tong複fu雜za性xing的de提ti高gao
，以yi及ji軟ruan件jian和he機ji電dian設she備bei的de大da量liang應ying用yong，因yin為wei係xi統tong失shi效xiao和he隨sui機ji硬ying件jian失shi效xiao導dao致zhi的de交jiao通tong事shi故gu風feng險xian也ye日ri益yi增zeng加jia。因yin此ci
，近jin年nian開kai始shi出chu現xian了le新xin的de汽qi車che安an全quan概gai念nian——安全性預測。”在近日召開的“2012產業和技術展望媒體研討會”上，飛思卡爾亞太區汽車及工業解決方案事業部全球產品市場經理郗蘊俠（Yolanda）博士指出，“安an全quan性xing預yu測ce即ji汽qi車che裏li的de一yi些xie係xi統tong能neng實shi時shi檢jian測ce故gu障zhang，在zai故gu障zhang發fa生sheng之zhi前qian就jiu能neng預yu警jing防fang止zhi故gu障zhang發fa生sheng，這zhe就jiu是shi當dang前qian大da家jia倡chang導dao的de汽qi車che功gong能neng安an全quan的de概gai念nian。”為此
，飛思卡爾推出了命名為“SafeAssure”的安全保障方案
，旨在幫助係統製造商更加輕鬆地滿足汽車和工業市場中的功能安全標準要求，並大大降低開發難度
、縮短開發周期。

圖2：汽車安全係統的演變——基於安全性預測的功能安全出現。

　　從IEC61508到ISO 26262，看汽車功能安全演變

　　2011年11月推出ISO 26262之前
，汽車行業遵照的功能安全標準是電子、電氣及可編程器件功能安全基本標準IEC 61508。然ran而er，作zuo為wei一yi種zhong通tong用yong基ji礎chu安an全quan標biao準zhun，對dui於yu汽qi車che行xing業ye的de特te殊shu性xing而er言yan，該gai標biao準zhun有you很hen多duo的de不bu足zu，特te別bie是shi近jin年nian來lai汽qi車che係xi統tong的de複fu雜za性xing日ri益yi增zeng長chang的de條tiao件jian下xia。從congIEC 61508派生出來的ISO 26262為當前汽車行業量身定製
，特別是ISO 26262對於硬件研發、軟件研發的要求適合於當前先進的汽車工業的實際現狀。

　　ISO 26262標準根據安全風險程度對係統或係統某組成部分確定劃分由A到D的安全需求等級（汽車安全完整性等級——ASIL），其中ASIL D級為最高等級，具有最苛刻的安全要求。對係統供應商而言，必須滿足這些因為安全等級提高而提出的更高的設計要求。

　　安全事件總是和通常的功能、質量相關的研發活動以及產品生產伴隨在一起。ISO26262強調了研發活動和產品生產的安全相關各個方麵，並為汽車安全提供了一個生命周期理念，在這些生命周期階段中提供必要的支持。ISO26262涵蓋了功能安全方麵的整體開發過程，包括規劃
、設計
、實施、集成
、驗證、確認和配置。

　　SafeAssure安全保障方案

　　在ISO26262推出前兩個月，飛思卡爾SafeAssure安全保障方案就在業內率先推出。“SafeAssure是針對汽車和工業市場功能安全標準設計的解決方案，幫助企業簡化達標的流程，縮短開發時間和降低複雜性。”Yolanda指出，“基於SafeAssure功能安全保障方案
，廠商可以輕鬆實現從ASIL-A至D以及SIL-1至4等級的係統安全標準。”　 

　　

圖3：Freescale郗蘊俠：基於SafeAssure功能安全保障方案，廠商可以輕鬆實現從ASIL-A至D等級的係統安全標準。

　　SafeAssure保障方案涵蓋飛思卡爾係列的技術，包括微控製器、模擬和電源管理IC以及傳感器。SafeAssure安全保障方案對廠商提供了四個方麵的支持
，包括：

　　安全流程：挑選那些定義和設計之初就以符合各項標準要求為目標的產品，使功能安全成為產品開發流程的一個完整組成部分。

　　安全硬件：故障控製通過在飛思卡爾微控製器、電源管理IC和傳感器中內置的安全功能實現，例如自測

、監控和基於硬件的冗餘。飛思卡爾汽車模擬器件解決方案提供了額外的係統級安全功能
，包括檢查微控製器時序

、電壓和故障管理。

　　安全軟件：全麵的汽車功能安全軟件產品，包括AUTOSAR OS
、MCAL、驅動和內核自測功能

，並與領先的第三方軟件提供商合作推出更多的安全軟件解決方案。

　　安全支持：飛思卡爾利用自身覆蓋廣泛的技術能力

，提供功能安全架構有關的客戶培訓和係統設計審核，以及廣泛的安全文檔和技術支持。

　　SafeAssure主要目標是化繁為簡，為簡化失效故障分析，飛思卡爾還提供一個重要分析工具——失效模式、效果和診斷分析（FMEDA），這個工具分析客戶整個數據，最後算出的結果是不是達到功能安全所需要的要求。FMEDA工具可以幫助客戶根據其應用來計算最後功能安全結果，從而使SafeAssure方案有效簡化功能安全設計工作。

　　從MPC5643L單片機看功能安全機製

　　Yolanda指出：“硬件安全的理念主要通過檢測和消除隨機硬件故障，利用內置的安全機製，包括自檢、監測和基於硬件的冗餘設計來實現。”廠商可以充分利用在飛思卡爾微控製器、電源管理IC和傳感器中內置的功能安全機製實現有效的故障控製，從而實現目標市場對功能安全設計的要求。

　　功能安全設計需要針對可能出現功能失效進行預測
，包括單點失效

、潛在失效和共因失效。按照ISO 26262的最高等級ASIL D的要求
，所設計的係統要能檢測出大於99%的單點失效率，潛在失效檢測要超過90%。例如，如果一個係統的每小時失效率低於10-8

，則落到單片機的每小時失效率必須低於10-9。“在我們的單片機設計過程中更嚴格，錯誤概率更小。”Yolanda表示，“MPC5643L就是飛思卡爾針對功能安全推出的一款單片機產品

，這款產品的設計體現了功能安全的設計理念。”

　　冗餘設計是有效提高係統失效安全的有效措施之一，MPC5643L中充分利用了冗餘設計確保嚴格的功能安全標準要求。MPC5643L采用了雙e200Core內核鎖步(lockstep)工作模式
，一個內核工作的同時另一個內核進行監測。此外，MPC5643L還對主要的模塊如看門狗定時器

、內存相關控製單元、總線及外設都進行了冗餘。而且，為了防止單點失效，MPC5643L內置的閃存還具有自動糾錯功能。

　　通(tong)常(chang)，很(hen)多(duo)係(xi)統(tong)開(kai)始(shi)都(dou)能(neng)正(zheng)常(chang)工(gong)作(zuo)，但(dan)是(shi)過(guo)了(le)幾(ji)年(nian)之(zhi)後(hou)
，因(yin)為(wei)外(wai)部(bu)一(yi)些(xie)因(yin)素(su)觸(chu)發(fa)而(er)可(ke)能(neng)產(chan)生(sheng)一(yi)些(xie)失(shi)效(xiao)故(gu)障(zhang)，這(zhe)就(jiu)是(shi)潛(qian)在(zai)失(shi)效(xiao)的(de)概(gai)念(nian)

，功(gong)能(neng)安(an)全(quan)設(she)計(ji)需(xu)考(kao)慮(lv)潛(qian)在(zai)失(shi)效(xiao)。“過去潛在失效的防範都是由軟件實現，軟件每一次在單片機複位以後都會對所有的內存或者是邏輯進行一次校驗。而在MPC5643Lzhong，jiangxiaoyangongnengyouyingjianshixian，jineizhizice，zheshigongnenganquanduidanpianjifeichangzhongyaodeyaoqiu
，zhezhongzicegongnengkeyibaneicunhuozheshiluojiyijiwaishedeyixiecuowujiancefugailvdadao90%以上。”Yolanda指出。

　　除此之外還需要考慮共因失效。“共(gong)因(yin)失(shi)效(xiao)是(shi)什(shen)麼(me)呢(ne)？比(bi)如(ru)說(shuo)時(shi)鍾(zhong)，它(ta)會(hui)提(ti)供(gong)給(gei)很(hen)多(duo)模(mo)塊(kuai)
，還(hai)有(you)電(dian)壓(ya)也(ye)會(hui)提(ti)供(gong)給(gei)整(zheng)個(ge)的(de)單(dan)片(pian)機(ji)。此(ci)外(wai)，溫(wen)度(du)也(ye)是(shi)重(zhong)要(yao)考(kao)慮(lv)的(de)問(wen)題(ti)，如(ru)果(guo)一(yi)旦(dan)芯(xin)片(pian)溫(wen)度(du)過(guo)高(gao)，也(ye)可(ke)能(neng)導(dao)致(zhi)芯(xin)片(pian)失(shi)效(xiao)。”Yolanda解釋了共因失效的定義
，“這些共因失效都需要檢測，MPC5643L對時鍾、電壓以及溫度都有檢測。”從成本考慮以及應用環境的原因
，通常的應用中單片機並不具有溫度傳感器這些考慮共因失效的功能特性。

　　除此之外，MPC5643L內部還集成了一個獨立於CPU的錯誤收集和應對模塊（FCCU），該模塊在時鍾上也跟CPU獨立開，可以完全獨立操作，把這些錯誤收集起來並做相應的應對措施。這個功能模塊也是傳統單片機所不具備的。

圖4：功能安全處理器MPC5643L充分利用了硬件冗餘設計等多種失效保障機製。

　　據Yolanda指(zhi)出(chu)，目(mu)前(qian)基(ji)於(yu)功(gong)能(neng)安(an)全(quan)的(de)安(an)全(quan)性(xing)預(yu)測(ce)在(zai)歐(ou)美(mei)和(he)日(ri)本(ben)等(deng)發(fa)達(da)市(shi)場(chang)已(yi)經(jing)發(fa)展(zhan)得(de)非(fei)常(chang)成(cheng)熟(shu)
，很(hen)多(duo)相(xiang)關(guan)的(de)產(chan)品(pin)即(ji)將(jiang)推(tui)入(ru)市(shi)場(chang)
，而(er)在(zai)中(zhong)國(guo)國(guo)內(nei)才(cai)剛(gang)剛(gang)開(kai)始(shi)起(qi)步(bu)。高(gao)級(ji)駕(jia)駛(shi)員(yuan)輔(fu)助(zhu)係(xi)統(tong)作(zuo)為(wei)安(an)全(quan)性(xing)預(yu)測(ce)的(de)標(biao)誌(zhi)性(xing)應(ying)用(yong)，目(mu)前(qian)已(yi)經(jing)進(jin)入(ru)很(hen)多(duo)高(gao)端(duan)汽(qi)車(che)的(de)研(yan)發(fa)流(liu)程(cheng)。以(yi)飛(fei)思(si)卡(ka)爾(er)公(gong)司(si)為(wei)例(li)
，對(dui)高(gao)級(ji)駕(jia)駛(shi)員(yuan)輔(fu)助(zhu)係(xi)統(tong)提(ti)供(gong)了(le)全(quan)部(bu)整(zheng)套(tao)的(de)解(jie)決(jue)方(fang)案(an)，包(bao)括(kuo)後(hou)視(shi)的(de)停(ting)車(che)輔(fu)助(zhu)、全景輔助、前景安全性預測(車道偏離預警
、自動巡航係統，等等)。shishishang，muqianhenduoquanqiulingxiandeqichebandaotijiejuefangantigongshangdoujiangmubiaomiaozhungaojijiashiyuanfuzhuxitong
，jiyugongnenganquandeqicheanquanxingyucedeguangfanyingyongzhirikedai。