| 编辑推荐: |
| 本文主要从实战角度介绍汽车软件的功能安全
ISO 26262 与 AUTOSAR CP的技术细节，希望对您的学习有所帮助。
本文来自于汽车软件大本营，由火龙果软件Linda编辑、推荐。 |
|
前言
汽车软件的功能安全是底线，ISO 26262 的 ASIL 等级不是纸上谈兵，得靠
AUTOSAR CP 架构落地。从硬件抽象层的冗余设计到诊断模块的故障存储，每个环节都藏着安全逻辑。尤其动力系统这类关键
ECU，怎么用 CP 配置满足 ASIL B 要求？这篇就从实战角度拆解，全是能落地的技术细节。
01
ASIL 等级在 CP 架构中的落地机制
1. 硬件抽象层的安全机制
硬件抽象层 (HAL) 是实现功能安全的关键层级，在 AUTOSAR CP 中主要通过以下方式落地
ASIL 要求：
冗余设计：针对 ASIL C/D 等级，采用双核锁步 (DCLS) 或多处理器架构，通过比较多个计算单元的输出结果实现故障检测。例如英飞凌
TC3xx 系列 MCU 的 LockStep 核，能在纳秒级检测到计算偏差；
内存保护单元 (MPU)：为不同安全等级的软件组件分配独立内存区域，防止越界访问。如 ASIL B
等级的代码段会被配置为只读，且与 ASIL QM 级代码物理隔离；
时钟与电源监控：集成看门狗定时器和电压监控电路，当检测到时钟抖动超过 ±5% 或供电电压偏离标称值
±10% 时触发安全状态。
2. 诊断模块的故障码存储
诊断 (DCM) 模块在功能安全中承担故障信息存储与上报的核心职责：
故障存储器 (FMR)：采用非易失性存储器 (NVM) 存储故障码 (DTC)，支持至少 10 万次擦写循环。例如采用铁电随机存储器
(FRAM)，写入速度比 EEPROM 快 100 倍；
故障码分类机制：按照 ISO 14229-1 定义 DTC 格式，其中前两位表示故障类型 (如 P
代表动力系统)，后四位包含具体故障位置信息。例如 P0171 表示燃油系统过稀；
冗余存储策略：对 ASIL B 及以上等级的故障码，采用三重模冗余 (TMR) 存储，通过多数表决机制确保数据可靠性。
02
动力系统 ECU 如何通过 CP 配置满足 ASIL B 要求
1. 架构设计阶段
安全需求分解：将 ASIL B 级功能安全需求分解为硬件安全机制 (如看门狗) 和软件安全机制 (如运行时检测)；
分区设计：采用 MCD-3 (Modular Component Design) 方法，将 ECU
软件划分为安全相关 (ASIL B) 和非安全相关 (ASIL QM) 两个分区，通过 MMU 实现内存隔离；
安全机制分配：为关键功能分配专用安全机制，例如为燃油喷射控制分配周期精确监控器，要求执行周期偏差不超过
±200μs。
2. 软件实现阶段
使用符合 ISO 26262 ASIL B 级要求的基础软件模块，如 Vector 的 MICROSAR.RTE；配置
E2E 保护机制，对跨任务通信数据添加 CRC 校验，要求误码率低于 10^-9/h；实现故障注入测试框架，支持在运行时模拟传感器信号异常。
应用层开发采用防御式编程，对所有函数输入参数执行范围检查，例如检查油门踏板位置传感器信号在 0-100%
范围内，实现故障处理状态机，定义至少三个安全状态：正常运行、降级运行、安全停车，关键算法采用双精度计算，例如扭矩计算同时使用
float 和 double 类型，比较结果偏差不超过 0.5%。
3. 验证与确认阶段
静态分析：使用工具如 LDRA Testbed 执行 MISRA C:2012 合规性检查，要求违规率低于
0.1%；
动态测试：通过故障注入测试验证安全机制有效性，例如在通信总线上注入位翻转错误，要求系统在 10ms
内检测并响应；
FMEDA 分析：计算单点故障度量 (SPFM)≥90%，潜伏故障度量 (LFM)≥60%，满足
ASIL B 要求。
03
关键实施难点与解决方案
| 关键实施难点 |
具体挑战描述 |
解决方案 |
| 性能与安全的平衡 |
安全机制（如循环冗余校验）会引入额外计算开销，可能导致任务超周期 |
采用硬件加速单元实现安全算法，例如使用专用 CRC 协处理器，将计算延迟控制在 5μs
以内 |
| 多供应商组件集成 |
不同供应商提供的 ASIL B 级组件可能采用不同安全架构，存在集成风险 |
在架构设计阶段定义明确的安全接口规范（SIS），要求所有组件遵循统一的故障报告机制 |
| 生命周期管理 |
功能安全要求覆盖产品全生命周期，但软件更新可能引入新的安全风险 |
建立变更影响分析流程，对软件更新进行安全影响评估，要求每次更新的 ASIL 等级不低于原版本 |
04
案例---》某新能源汽车 VCU 的 ASIL B 实现
某款新能源汽车的车辆控制单元 (VCU) 采用 AUTOSAR CP 架构满足 ASIL B 要求：
硬件采用 NXP S32K344 MCU，集成双核锁步处理器和硬件安全模块 (HSM)；基础软件层使用
EB tresos，配置看门狗监控周期为 100ms；应用层实现电池管理功能，采用双 ADC 采样机制，对电池电压测量值进行交叉校验；诊断层实现
UDS 服务，支持通过 CAN 总线读取故障码，故障存储容量为 256 个 DTC；
验证结果：通过 ISO 26262 ASIL B 级认证，SPFM 达到 92%，LFM 达到 65%
| 
