1背景介紹及現(xiàn)存挑戰(zhàn)

目前，由于功能和應(yīng)用的不斷發(fā)展，汽車(chē)電子電氣系統(tǒng)(E/E systems)的復(fù)雜性不斷增加，對(duì)額外的電子控制單元(ECUs) 的需求也越來(lái)越大。安全相關(guān)的駕駛系統(tǒng)必然是確定的標(biāo)準(zhǔn)配置。對(duì)于用戶(hù)來(lái)說(shuō)，駕駛系統(tǒng)必須是可理解的，因此它應(yīng)該越簡(jiǎn)單越好。與此相比，大量的增加新功能會(huì)導(dǎo)致出現(xiàn)較高系統(tǒng)失效率。因此，需要針對(duì)軟件的復(fù)雜性進(jìn)行相應(yīng)的安全分析。

如制動(dòng)或轉(zhuǎn)向功能，傳統(tǒng)的車(chē)輛功能及其的未來(lái)應(yīng)用將逐步被沒(méi)有機(jī)械后備(Fallback)的電子系統(tǒng)取代。自動(dòng)駕駛和電子線控(X-by-Wire)便是這一趨勢(shì)的產(chǎn)物。在車(chē)輛電子系統(tǒng)中，有一些是安全相關(guān)的，特別是動(dòng)力和底盤(pán)功能系統(tǒng)，如果這些系統(tǒng)發(fā)生故障，就會(huì)引發(fā)整車(chē)層面的失效，從而造成一系列危險(xiǎn)情況，如車(chē)輛非預(yù)期的加速。有鑒于此，ISO 26262中規(guī)定應(yīng)通過(guò)明確的安全分析來(lái)導(dǎo)出相應(yīng)的安全要求，以便實(shí)現(xiàn)基于硬件和軟件的故障探測(cè)和控制機(jī)制。

在高度集成的多核系統(tǒng)中，交叉開(kāi)關(guān)(Crossbar)過(guò)度爭(zhēng)用可能是導(dǎo)致內(nèi)核故障的原因。發(fā)生故障的內(nèi)核連續(xù)阻塞整個(gè)系統(tǒng)請(qǐng)求接口(SRI)的交叉開(kāi)關(guān)(Crossbar)的部分調(diào)度，受阻塞的調(diào)度繼而影響其他內(nèi)核的輸入/輸出(I/O)以及內(nèi)存訪問(wèn)，這將潛在地導(dǎo)致執(zhí)行速度大幅下降。另外，由于各個(gè)內(nèi)核之間存在功能上的依賴(lài)關(guān)系，一個(gè)內(nèi)核的故障也可能影響系統(tǒng)行為。如果AUTOSAR標(biāo)準(zhǔn)中規(guī)定的基礎(chǔ)軟件(Basic Software)在故障的內(nèi)核上運(yùn)行，則其他內(nèi)核將無(wú)法訪問(wèn)外設(shè)。更有甚者，倘若與其他內(nèi)核存在功能依賴(lài)關(guān)系的內(nèi)核發(fā)生故障，這可能會(huì)造成系統(tǒng)部分或完全破壞。

本文的主要貢獻(xiàn)在于提出了用于失效操作(fail-operational)的汽車(chē)E/E系統(tǒng)的架構(gòu)。為此，許多整車(chē)制造商(OME)、半導(dǎo)體供應(yīng)商、工具供應(yīng)商以及大學(xué)致力于從概念層面改進(jìn)軟件實(shí)現(xiàn)和硬件架構(gòu)。在這篇文章中，提出了重要的概念設(shè)計(jì)和想法。

2先前研究回顧

編碼處理(Coded processing)方案可以通過(guò)在軟件中增加冗余來(lái)減少硬件冗余。對(duì)于實(shí)現(xiàn)編碼處理的失效安全(fail-safe)系統(tǒng)和fail-operational系統(tǒng)，可以估算平均故障時(shí)間(MTTF)的改進(jìn)。這種方法可顯著延長(zhǎng)fail-safe系統(tǒng)的MTTF，但對(duì)fail-operational系統(tǒng)的MTTF影響不大，因此我們難以充分論證這種方法所需的算力損耗。

文章提出了一種新穎靈活的微控制器架構(gòu)，可用于fail-safe與fail-operational系統(tǒng)。該微控制器架構(gòu)符合IEC 61508和ISO 26262的相關(guān)規(guī)定，并通過(guò)預(yù)先認(rèn)證的硬件故障監(jiān)控器以降低成本。該方法要求半導(dǎo)體廠商優(yōu)化硬件結(jié)構(gòu)，使其符合功能安全要求。文章重點(diǎn)關(guān)注ECU的硬件架構(gòu)，而我們的文章重點(diǎn)在軟件概念，同時(shí)綜合考慮了車(chē)輛的網(wǎng)絡(luò)以及通信架構(gòu)。

文章提出了另一種方法，即系統(tǒng)層面簡(jiǎn)單架構(gòu)。通過(guò)硬件/軟件協(xié)同設(shè)計(jì)，該架構(gòu)能對(duì)邏輯應(yīng)用層故障，以及如實(shí)時(shí)操作系統(tǒng)(RTOS)和微處理器等相關(guān)層的故障提供fail-operational保證。

文章回顧了應(yīng)用于工業(yè)領(lǐng)域的故障容錯(cuò)(fault-tolerant)架構(gòu)的相關(guān)研究，此外還提出了低成本的雙鎖步(lockstep)平臺(tái)，可應(yīng)用在要求單點(diǎn)fail-operational的單元或雙點(diǎn)失效靜默(fail-silent)通道。

文章同時(shí)概述了電子駕駛輔助系統(tǒng)以及具備或不具備機(jī)械后備(Fallback)的電子線控系統(tǒng)，作者充分考慮到不同冗余方式的fault-tolerance原則，從而產(chǎn)生了fail-operational、fail-silent和fail-safe系統(tǒng)。

3嵌入式系統(tǒng)的安全機(jī)制

在安全相關(guān)的嵌入式系統(tǒng)中，特別是車(chē)輛實(shí)時(shí)系統(tǒng)，制動(dòng)和轉(zhuǎn)向功能即使在系統(tǒng)發(fā)生局部故障失效時(shí)也必須得到保證。為避免系統(tǒng)失效或?qū)⑾到y(tǒng)失效降至最低，常規(guī)做法是風(fēng)險(xiǎn)最小化。一般來(lái)說(shuō)，可以通過(guò)縮短操作時(shí)間或降低失效率來(lái)降低失效情況的發(fā)生概率。風(fēng)險(xiǎn)最小化的另一種方法是實(shí)現(xiàn)改進(jìn)的控制策略，如安全關(guān)機(jī)，或者實(shí)現(xiàn)更高的容錯(cuò)性。安全關(guān)機(jī)應(yīng)用于fail-silent或fail-safe系統(tǒng)，而高容錯(cuò)性系統(tǒng)主要應(yīng)用于fail-operational系統(tǒng)。Fail-operational本身可以通過(guò)多樣性或冗余來(lái)實(shí)現(xiàn)。

圖1呈現(xiàn)了這些方法：

圖1.最小化風(fēng)險(xiǎn)實(shí)現(xiàn)

A Fail-Safe

在Fail-Safe場(chǎng)景中，當(dāng)檢測(cè)到不可容忍故障時(shí)，E/E系統(tǒng)切換到系統(tǒng)安全狀態(tài)。該系統(tǒng)存在兩種不同的狀態(tài)，即不受影響繼續(xù)運(yùn)行，或者是停止運(yùn)行。此外，如果發(fā)生瞬態(tài)故障，系統(tǒng)停止運(yùn)行后重啟。在考慮失效系統(tǒng)時(shí)，需要采取額外措施使其具有容錯(cuò)性

在常見(jiàn)的多核處理器中，同時(shí)并行的運(yùn)行同一組操作的鎖步核有助于實(shí)現(xiàn)冗余系統(tǒng)。典型的車(chē)輛故障安全系統(tǒng)包括防抱死制動(dòng)系統(tǒng)(ABS)，牽引力控制系統(tǒng)(ASR)，電子穩(wěn)定控制系統(tǒng)(ESC)及制動(dòng)輔助系統(tǒng)(BA)。

Fail-safe架構(gòu)概述如圖2所示：

圖2.Fail-Safe架構(gòu)

B Fail-Operational

與fail-safe系統(tǒng)對(duì)比，如果在發(fā)生故障時(shí)關(guān)閉Fail-Operational系統(tǒng)，由于關(guān)鍵的安全目標(biāo)無(wú)法得到滿足，會(huì)導(dǎo)致危險(xiǎn)的系統(tǒng)行為。這種情況下，為了實(shí)現(xiàn)替代和安全執(zhí)行，額外的fault-tolerance措施必不可少。

Fail-operational的行為可以通過(guò)設(shè)計(jì)多樣性或冗余來(lái)實(shí)現(xiàn)(圖1)。多樣性意味著兩種或更多不同的實(shí)現(xiàn)以完成同樣的任務(wù)，功能等價(jià)，但算法、架構(gòu)或?qū)崿F(xiàn)不同。在冗余系統(tǒng)中，計(jì)算是由兩個(gè)或多個(gè)等價(jià)的實(shí)例完成的。在下文中，我們將簡(jiǎn)要介紹fail-operational系統(tǒng)的可能實(shí)現(xiàn)方法。

2oo3架構(gòu)

冗余故障操作架構(gòu)的典型代表是2oo3決策，這也被稱(chēng)為具有表決功能的三模冗余(Triple Modular Redundancy, TMR)，是航空電子領(lǐng)域和多安全相關(guān)系統(tǒng)的代表性參考架構(gòu)。在這種架構(gòu)中，三個(gè)子系統(tǒng)獨(dú)立計(jì)算各自的結(jié)果，然后，對(duì)三個(gè)子系統(tǒng)輸出的結(jié)果進(jìn)行比較，如果至少有兩個(gè)結(jié)果相同，則輸出為真(圖3)。建議每個(gè)單元和表決單元使用獨(dú)立的電源。如果考慮通信總線，這種方法是否適用于車(chē)輛系統(tǒng)嚴(yán)重依賴(lài)于通信速率。對(duì)于較慢的數(shù)據(jù)輸出速率，實(shí)現(xiàn)的復(fù)雜性是可接受的。相比之下，對(duì)于高速以太網(wǎng)來(lái)說(shuō)，它要復(fù)雜得多。

2oo3架構(gòu)如圖3所示：

圖3.2oo3架構(gòu)

2oo2DFS架構(gòu)

2oo2 DFS架構(gòu)將主系統(tǒng)分成兩個(gè)子系統(tǒng)，它們可以是等價(jià)的，也可以是不同的。每個(gè)子系統(tǒng)被設(shè)計(jì)成fail-safe系統(tǒng)，并使用自己的監(jiān)控概念檢測(cè)其自身的錯(cuò)誤(Fail-Safe (FS))。此外，該系統(tǒng)可以監(jiān)測(cè)另外一個(gè)子系統(tǒng)，以便在失效情況發(fā)生時(shí)采取適當(dāng)?shù)拇胧?Diagnosis (D))。如圖4所示，該架構(gòu)意味著每個(gè)子系統(tǒng)具備獨(dú)立的電源，展現(xiàn)了一種車(chē)輛系統(tǒng)fail-operational的方法。該系統(tǒng)既可以設(shè)計(jì)為全冗余系統(tǒng)，也可以設(shè)計(jì)為所謂的由主控制系統(tǒng)和備用系統(tǒng)組成的跛行系統(tǒng)(Limp-Home system)。具體架構(gòu)方案可由每個(gè)通道中的軟件設(shè)計(jì)，或由實(shí)現(xiàn)部分或完全冗余的輸入拓?fù)溥_(dá)成。此外，如果架構(gòu)方案不需要在同一個(gè)ECU上實(shí)現(xiàn)，可以使用兩個(gè)獨(dú)立控制器或主/從方法。

2oo2DFS系統(tǒng)架構(gòu)如圖4所示：

圖4.2oo2DFS系統(tǒng)架構(gòu)

4常用多核架構(gòu)的安全特性

當(dāng)代汽車(chē)ECU的功能高度集成化可以通過(guò)高性能多核處理器實(shí)現(xiàn)。然而，將它們整合到新的架構(gòu)中是一項(xiàng)更加困難和富有挑戰(zhàn)性的任務(wù)。

Fail-operational系統(tǒng)需要對(duì)應(yīng)的ECU硬件設(shè)計(jì)，用于處理失效和系統(tǒng)的非預(yù)期行為。為實(shí)現(xiàn)這一點(diǎn)，半導(dǎo)體供應(yīng)商提供了多種安全特性和全面的錯(cuò)誤管理設(shè)計(jì)。鎖步核可以檢測(cè)CPU(中央處理器)的隨機(jī)硬件故障，而內(nèi)存和總線的瞬態(tài)故障可以通過(guò)糾錯(cuò)碼(ECC, Error Correcting Codes)進(jìn)行保護(hù)。

多核處理器的另一個(gè)優(yōu)點(diǎn)是提供了架構(gòu)上的隔離，因此，由于采用了獨(dú)立的內(nèi)核，它們具有額外的獨(dú)立性。該架構(gòu)允許兩個(gè)軟件實(shí)例在不同的內(nèi)核上同時(shí)運(yùn)行。同時(shí)，性能提高也使集成額外的安全特性成為可能。

雖然現(xiàn)代微控制器應(yīng)用了許多硬件安全特性，如鎖步核、糾錯(cuò)碼等，但多核處理器也存在缺點(diǎn)。首先，與單核CPU相比，多核處理器更易出錯(cuò)。CMOS內(nèi)比特翻轉(zhuǎn)的概率會(huì)影響計(jì)算邏輯，并可能在長(zhǎng)期運(yùn)行中導(dǎo)致瞬時(shí)或永久故障。此外，時(shí)序行為的可預(yù)測(cè)性和混合關(guān)鍵性應(yīng)用程序的隔離受到共享資源的共同使用的影響。大多數(shù)的MCU非常復(fù)雜，幾乎不可能預(yù)測(cè)關(guān)鍵軟件的時(shí)序。能夠運(yùn)行并行算法的多核CPU也會(huì)面臨更高的同步工作量的影響，尤其是當(dāng)運(yùn)行在不同內(nèi)核上的進(jìn)程并發(fā)地訪問(wèn)同一資源時(shí)，就可能出現(xiàn)競(jìng)爭(zhēng)情況。運(yùn)行在所有ECU上的整個(gè)軟件代碼庫(kù)的復(fù)雜性治理變得難以管理。這是除了(同構(gòu))冗余之外，多樣性是必要的另一個(gè)原因。當(dāng)2oo2架構(gòu)由不同的MCU(代碼和/或硬件基礎(chǔ))組成時(shí)，由于軟件bug或同步問(wèn)題導(dǎo)致兩個(gè)ECU同時(shí)失效的概率遠(yuǎn)低于同構(gòu)架構(gòu)。此外，我們的目標(biāo)是確保在一個(gè)內(nèi)核持有另一個(gè)內(nèi)核正在等待的資源時(shí)不會(huì)出現(xiàn)死鎖。但結(jié)果卻是兩個(gè)內(nèi)核都被阻塞，無(wú)法繼續(xù)運(yùn)行。

5未來(lái)硬件軟件架構(gòu)的概念

在過(guò)去，就單個(gè)ECU而言，fail-safe行為足以應(yīng)對(duì)安全問(wèn)題。對(duì)于fail-operational系統(tǒng)，焦點(diǎn)轉(zhuǎn)移到系統(tǒng)層面。由于ECU的獨(dú)立性只能在系統(tǒng)層面得到保證，沒(méi)有明確系統(tǒng)邊界的情況下，無(wú)法實(shí)現(xiàn)冗余或n取m決策(m-out-of-n)。如果我們覺(jué)得無(wú)法證實(shí)新ECU的存在價(jià)值，可以預(yù)見(jiàn)，冗余將通過(guò)把不同的功能集成到多個(gè)域控制單元(DCU)來(lái)實(shí)現(xiàn)，這一方面凸顯了系統(tǒng)視角的重要性，另一方面將給汽車(chē)制造商帶來(lái)新的挑戰(zhàn)。

A 新軟件層

失效操作(Fail-Operational)系統(tǒng)利用冗余計(jì)算資源實(shí)現(xiàn)其功能。整個(gè)系統(tǒng)必須知道不同子系統(tǒng)的狀態(tài)才能采取相應(yīng)的行動(dòng)，這就需要一個(gè)安全的通信層，它不僅能夠交換數(shù)據(jù)，還能夠控制消息流。例如，如果一個(gè)子系統(tǒng)生成了錯(cuò)誤的數(shù)據(jù)，為保持系統(tǒng)穩(wěn)定性，就必須停止傳播這一錯(cuò)誤數(shù)據(jù)。最后，必須實(shí)現(xiàn)分布式邏輯來(lái)處理不同類(lèi)型的故障。

通過(guò)使用更多域控制器來(lái)減少單個(gè)ECU數(shù)量的方法需要新的fail-operational概念，以便在一個(gè)控制器中實(shí)現(xiàn)冗余系統(tǒng)。下面的小節(jié)將我們將對(duì)硬件和軟件架構(gòu)設(shè)計(jì)的一些相關(guān)概念進(jìn)行概述。

B 多核架構(gòu)相關(guān)概念

未來(lái)的fail-operational系統(tǒng)需要改進(jìn)的軟件設(shè)計(jì)，下面的討論中介紹了一些不同的方法。

用于自動(dòng)駕駛汽車(chē)EPS的 2oo2 DFS架構(gòu)

在這種方法中，所謂的自動(dòng)駕駛ECU將兩個(gè)獨(dú)立的鎖步MCU作為2oo2DFS架構(gòu)的基礎(chǔ)。兩個(gè)輸出信號(hào)代表EPS ECU的冗余輸入信號(hào)，同時(shí)EPS ECU也被設(shè)計(jì)為2oo2DFS系統(tǒng)。每個(gè)ECU也可設(shè)計(jì)為僅支持跛行系統(tǒng)(Limp-Home)，例如一個(gè)僅提供基本功能的8位小CPU被用作備份系統(tǒng)。但是，MCU使用同一電路板上的兩個(gè)物理隔離的CPU(圖 5)。通常情況下，衡量系統(tǒng)可靠性的指標(biāo)稱(chēng)為平均故障間隔時(shí)間(Mean Time Between Failures，MTBF)，它表示平均故障前時(shí)間(Mean Time To Failure，MTTF)和平均故障修復(fù)時(shí)間(Mean Time To Repair，MTTR)的總和。對(duì)于Fail-safe系統(tǒng)，針對(duì)瞬時(shí)故障采取系統(tǒng)重啟等修復(fù)措施。2oo2DFS方法通過(guò)縮短MTBF提高了整個(gè)系統(tǒng)的可靠性。第二個(gè)子系統(tǒng)可以直接替換失效子系統(tǒng)的功能，從而縮短整個(gè)系統(tǒng)的MTTR。由于采用了fail-operational方案，延長(zhǎng)了MTTF。同時(shí)，與fail-safe系統(tǒng)相比，該系統(tǒng)的容錯(cuò)能力更高。

自動(dòng)駕駛汽車(chē)中的2oo2DFS架構(gòu)如圖5所示：

圖5.自動(dòng)駕駛汽車(chē)中的2oo2DFS架構(gòu)

高度集成的多核ECU中的2oo2DFS架構(gòu)

此架構(gòu)類(lèi)似于1)中提出的 2oo2DFS。相比之下，ECU利用單個(gè)多核芯片設(shè)計(jì)成冗余系統(tǒng)。該架構(gòu)需要為多核CPU提供多個(gè)電源，例如，每個(gè)內(nèi)核一個(gè)電源。此外，硬件架構(gòu)必須能夠支持每個(gè)內(nèi)核的復(fù)位機(jī)制，以便在出現(xiàn)失效時(shí)重啟(圖6)。從軟件層面看，應(yīng)該盡可能只復(fù)位最小受影響部分，即故障數(shù)據(jù)或控制流處理器指令序列(control flow processor instruction sequence)，盡可能保持較高的整體可用性。如果ECU的其中一個(gè)內(nèi)核發(fā)生故障，則必須由另一個(gè)內(nèi)核檢測(cè)到這一故障，剩余的內(nèi)核才可以發(fā)揮備用系統(tǒng)的作用。因此，兩個(gè)內(nèi)核必須持續(xù)地相互監(jiān)控。兩個(gè)內(nèi)核都通過(guò)芯內(nèi)互連連接到總線接口。冗余總線連接能夠確保傳輸數(shù)據(jù)到其他的ECU，為防止失效傳播，失效的內(nèi)核必須與系統(tǒng)隔離并斷開(kāi)連接，這就意味著要將失效的內(nèi)核與芯片內(nèi)部的互連斷開(kāi)，并關(guān)閉失效內(nèi)核的電源?？偠灾?，這種方法大有可為，因?yàn)樗粌H降低了現(xiàn)代車(chē)輛的成本和重量，同時(shí)提高了可靠性和可用性。圖7呈現(xiàn)了一種更面向軟件的方法。具有不同安全要求的應(yīng)用程序封裝在虛擬機(jī)(Virtual Machine, VM)中。(圖7)顯示了一個(gè)具有三個(gè)內(nèi)核的示例，每個(gè)內(nèi)核執(zhí)行一個(gè)客戶(hù)操作系統(tǒng)?？蛻?hù)操作系統(tǒng)使用不同的傳感器信號(hào)，這些信號(hào)直接路由到對(duì)應(yīng)的VM。為實(shí)現(xiàn)與外設(shè)及虛擬機(jī)間的通信，每個(gè)內(nèi)核都配備虛擬機(jī)監(jiān)視器(hypervisor)。兩級(jí)2oo3表決器被用于VM輸出(L1)的安全機(jī)制以及作為安全機(jī)制的監(jiān)控(L2)。后者控制執(zhí)行器。其優(yōu)點(diǎn)之一便是，瞬時(shí)故障發(fā)生時(shí)，可以復(fù)位VM。此外，VM可以托管不同的、獨(dú)立的且彼此完全隔離的操作系統(tǒng)。因此，當(dāng)主系統(tǒng)在另一VM中執(zhí)行時(shí)，Limp-Home功能能夠在VM中運(yùn)行。

高度集成電子控制裝置中的2oo2DFS如圖6所示：

圖6.高度集成電子控制裝置中的2oo2DFS

高度集成電子控制裝置中的流程虛擬化如圖7所示：

圖7.高度集成電子控制裝置中的流程虛擬化

6結(jié)語(yǔ)

對(duì)汽車(chē)工程師來(lái)說(shuō)，從fail-safe到fail-operational的轉(zhuǎn)變是一個(gè)長(zhǎng)期存在且無(wú)法避免的巨大挑戰(zhàn)。汽車(chē)多核處理器的通用硬件架構(gòu)提供了大量的安全特性，這些特性是fail-operational實(shí)現(xiàn)的先決條件。在我們的合作工作中，我們開(kāi)發(fā)了新概念來(lái)實(shí)現(xiàn)此類(lèi)系統(tǒng)新功能，如自動(dòng)駕駛和電子線控等。本文展示了一些有關(guān)如何設(shè)計(jì)未來(lái)的fail-operational架構(gòu)的概念及想法。特別是，我們認(rèn)為2oo2DFS架構(gòu)應(yīng)用靈活，具有廣闊前景。

審核編輯：湯梓紅