功能安全如何提高汽車安全性

美光 SAFER 內(nèi)存：F = 故障覆蓋率

美光 LPDDR5 是業(yè)界首款通過(guò) ISO 26262 ASIL-D 認(rèn)證的內(nèi)存。美光內(nèi)存產(chǎn)品組合符合 JEDEC 標(biāo)準(zhǔn)并通過(guò)了汽車級(jí)認(rèn)證，可滿足汽車行業(yè)對(duì) LPDRAM 的要求，支持功能安全需求。

LPDRAM 支持的功能安全不僅適用于高級(jí)駕駛輔助系統(tǒng)(ADAS) 應(yīng)用，還能擴(kuò)展到車載信息娛樂(lè)(IVI) 系統(tǒng)和駕駛員信息系統(tǒng)。這些應(yīng)用正在不斷融合并影響著汽車的功能安全。

如果您讀過(guò)此前發(fā)布的 SAFER 系列博客，可能已經(jīng)了解功能安全的定義，即“避免電氣/電子(E/E) 系統(tǒng)在運(yùn)行過(guò)程中因故障而引發(fā)不合理風(fēng)險(xiǎn)”。功能安全旨在通過(guò)各種方式來(lái)提高安全性、檢測(cè)并控制故障——比如盡可能減少不確定性。

接下來(lái)我們將深入介紹兩種故障覆蓋類型和硬件要素分類。

系統(tǒng)故障覆蓋

系統(tǒng)故障覆蓋采用 ISO-26262 標(biāo)準(zhǔn)明確規(guī)定的流程和方法，盡可能降低產(chǎn)品出現(xiàn)系統(tǒng)故障（即設(shè)計(jì)錯(cuò)誤）的風(fēng)險(xiǎn)以達(dá)到目標(biāo) ASIL 級(jí)別的要求。系統(tǒng)故障可發(fā)生在定義規(guī)格、設(shè)計(jì)、制造、測(cè)試和其他任何步驟中，可能會(huì)造成嚴(yán)重的后果。不同于隨機(jī)硬件故障，系統(tǒng)故障可能會(huì)影響整個(gè)批次中的全部車輛。

隨機(jī)故障覆蓋

隨機(jī)故障是指設(shè)備生命周期內(nèi)隨機(jī)出現(xiàn)的故障，它可進(jìn)一步分為瞬態(tài)故障（單事件干擾或軟錯(cuò)誤）和永久故障（硬錯(cuò)誤，如邏輯電平卡死）。解決此類故障一般可引入安全機(jī)制來(lái)識(shí)別故障，幫助系統(tǒng)采取適當(dāng)?shù)拇胧?，如糾正故障，或幫助系統(tǒng)在故障期間保持安全狀態(tài)。

由于在流程中采用嚴(yán)格的預(yù)防方法以及實(shí)施故障檢測(cè)安全機(jī)制可能會(huì)增加間接成本，ISO 26262 標(biāo)準(zhǔn)定義了 4 個(gè)汽車安全完整性等級(jí)(ASIL)。這些等級(jí)反映了違反安全目標(biāo)所造成的不同程度的影響。因此，該標(biāo)準(zhǔn)為每個(gè) ASIL 等級(jí)（ASIL-D 要求最嚴(yán)苛）定義了一個(gè)遞增的強(qiáng)制行為列表以消除系統(tǒng)故障，以及一組嚴(yán)格的隨機(jī)故障檢測(cè)能力衡量目標(biāo)。這種方式能支持系統(tǒng)分級(jí)，并在器件成本和故障影響間實(shí)現(xiàn)平衡。下圖簡(jiǎn)單展示了 ASIL 的等級(jí)劃分。

汽車安全完整性等級(jí)(ASIL)

針對(duì)隨機(jī)故障檢測(cè)指標(biāo)，ISO 26262 標(biāo)準(zhǔn)定義 ASIL-D 系統(tǒng)在系統(tǒng)層面的故障率須低于 10 FIT，而 ASIL-B 系統(tǒng)在系統(tǒng)層面的故障率則須低于 100 FIT。“1 FIT”即在 10 億小時(shí)內(nèi)發(fā)生一次故障。

符合ISO 26262 功能安全標(biāo)準(zhǔn)

的內(nèi)存需求與案例

第二版 ISO 26262 標(biāo)準(zhǔn)（2018 年發(fā)布；初版 ISO 26262 標(biāo)準(zhǔn)于 2011 年引入）對(duì)第 8 章第 13 條進(jìn)行了修訂，增加了與特定硬件系統(tǒng)底層復(fù)雜度相關(guān)的分類，以及能在系統(tǒng)層面實(shí)現(xiàn)特定 ASIL 等級(jí)的方法。

系統(tǒng)集成商往往將 DRAM 歸類為 II 類硬件要素，即只需對(duì)少量的操作模式和狀態(tài)進(jìn)行安全分析，且無(wú)內(nèi)部安全機(jī)制。這種分類無(wú)法匹配當(dāng)前 DRAM 的底層復(fù)雜度——它們的復(fù)雜程度與一些先進(jìn)的 SoC 和 GPU 相差無(wú)幾。

業(yè)界前沿的安全咨詢公司 exida 認(rèn)為，用于安全應(yīng)用的 DRAM 應(yīng)歸類為 III 類硬件要素，以符合 ISO 26262-8 第 13.4.1.1 條制定的標(biāo)準(zhǔn)。同時(shí)，在設(shè)計(jì)時(shí)使用了 III 類硬件要素的安全應(yīng)用，也必須使用符合 ISO 26262 標(biāo)準(zhǔn)的設(shè)備（如果此類設(shè)備可用）。

LPDDR DRAM 應(yīng)歸類為III 類硬件要素

根據(jù)26262-8 標(biāo)準(zhǔn)第13.4.1.1 條的硬件要素分類

汽車安全領(lǐng)域的知名咨詢公司exida 的硬件要素分類標(biāo)準(zhǔn)1

根據(jù) ISO 規(guī)范，“III 類硬件要素應(yīng)按照 ISO 26262 標(biāo)準(zhǔn)進(jìn)行開(kāi)發(fā)”，硬件評(píng)估僅作為過(guò)渡時(shí)期的特殊情況：“……‘評(píng)估 III 類硬件要素’不是首選方法，因此需要遵循 ISO 26262 標(biāo)準(zhǔn)開(kāi)發(fā)新版本的硬件要素。”

1exida 是一家專門從事自動(dòng)化系統(tǒng)安全和其他安全專業(yè)領(lǐng)域的產(chǎn)品認(rèn)證和信息咨詢公司。

美光SAFER車用內(nèi)存系列博客

本系列博客針對(duì)創(chuàng)新的車用內(nèi)存解決方案輸出洞察并提供指導(dǎo)。美光 SAFER 內(nèi)存涵蓋五個(gè)關(guān)鍵概念：（Safest）指當(dāng)前業(yè)界卓越的安全解決方案；（Automotive mindset）指汽車思維；（Fault coverage）指故障覆蓋率；（Engineering leadership）指先進(jìn)工程；（Risk management）指風(fēng)險(xiǎn)管理。我們將就這五大概念分別發(fā)布相應(yīng)的博客，詳細(xì)介紹每個(gè)概念。

本文作者

Barbara Kolbl

Barbara Kolbl 擔(dān)任美光產(chǎn)品線運(yùn)營(yíng)高級(jí)經(jīng)理。她對(duì)內(nèi)存產(chǎn)品推動(dòng)汽車行業(yè)轉(zhuǎn)型抱有極大熱情。她曾在汽車行業(yè)從事市場(chǎng)營(yíng)銷工作，目前負(fù)責(zé) LPDRAM 產(chǎn)品運(yùn)營(yíng)，豐富的工作經(jīng)歷讓她能夠近距離直面汽車行業(yè)正在發(fā)生的變革。