用于失效操作的汽車E/E系統(tǒng)的架構(gòu)研究

1背景介紹及現(xiàn)存挑戰(zhàn)

目前，由于功能和應(yīng)用的不斷發(fā)展，汽車電子電氣系統(tǒng)(E/E systems)的復(fù)雜性不斷增加，對(duì)額外的電子控制單元(ECUs) 的需求也越來越大。安全相關(guān)的駕駛系統(tǒng)必然是確定的標(biāo)準(zhǔn)配置。對(duì)于用戶來說，駕駛系統(tǒng)必須是可理解的，因此它應(yīng)該越簡單越好。與此相比，大量的增加新功能會(huì)導(dǎo)致出現(xiàn)較高系統(tǒng)失效率。因此，需要針對(duì)軟件的復(fù)雜性進(jìn)行相應(yīng)的安全分析。

如制動(dòng)或轉(zhuǎn)向功能，傳統(tǒng)的車輛功能及其的未來應(yīng)用將逐步被沒有機(jī)械后備(Fallback)的電子系統(tǒng)取代。自動(dòng)駕駛和電子線控(X-by-Wire)便是這一趨勢(shì)的產(chǎn)物。在車輛電子系統(tǒng)中，有一些是安全相關(guān)的，特別是動(dòng)力和底盤功能系統(tǒng)，如果這些系統(tǒng)發(fā)生故障，就會(huì)引發(fā)整車層面的失效，從而造成一系列危險(xiǎn)情況，如車輛非預(yù)期的加速。有鑒于此，ISO 26262中規(guī)定應(yīng)通過明確的安全分析來導(dǎo)出相應(yīng)的安全要求，以便實(shí)現(xiàn)基于硬件和軟件的故障探測和控制機(jī)制。

在高度集成的多核系統(tǒng)中，交叉開關(guān)(Crossbar)過度爭用可能是導(dǎo)致內(nèi)核故障的原因。發(fā)生故障的內(nèi)核連續(xù)阻塞整個(gè)系統(tǒng)請(qǐng)求接口(SRI)的交叉開關(guān)(Crossbar)的部分調(diào)度，受阻塞的調(diào)度繼而影響其他內(nèi)核的輸入/輸出(I/O)以及內(nèi)存訪問，這將潛在地導(dǎo)致執(zhí)行速度大幅下降。另外，由于各個(gè)內(nèi)核之間存在功能上的依賴關(guān)系，一個(gè)內(nèi)核的故障也可能影響系統(tǒng)行為。如果AUTOSAR標(biāo)準(zhǔn)中規(guī)定的基礎(chǔ)軟件(Basic Software)在故障的內(nèi)核上運(yùn)行，則其他內(nèi)核將無法訪問外設(shè)。更有甚者，倘若與其他內(nèi)核存在功能依賴關(guān)系的內(nèi)核發(fā)生故障，這可能會(huì)造成系統(tǒng)部分或完全破壞。

本文的主要貢獻(xiàn)在于提出了用于失效操作(fail-operational)的汽車E/E系統(tǒng)的架構(gòu)。為此，許多整車制造商(OME)、半導(dǎo)體供應(yīng)商、工具供應(yīng)商以及大學(xué)致力于從概念層面改進(jìn)軟件實(shí)現(xiàn)和硬件架構(gòu)。在這篇文章中，提出了重要的概念設(shè)計(jì)和想法。

2先前研究回顧

編碼處理(Coded processing)方案可以通過在軟件中增加冗余來減少硬件冗余。對(duì)于實(shí)現(xiàn)編碼處理的失效安全(fail-safe)系統(tǒng)和fail-operational系統(tǒng)，可以估算平均故障時(shí)間(MTTF)的改進(jìn)。這種方法可顯著延長fail-safe系統(tǒng)的MTTF，但對(duì)fail-operational系統(tǒng)的MTTF影響不大，因此我們難以充分論證這種方法所需的算力損耗。

文章提出了一種新穎靈活的微控制器架構(gòu)，可用于fail-safe與fail-operational系統(tǒng)。該微控制器架構(gòu)符合IEC 61508和ISO 26262的相關(guān)規(guī)定，并通過預(yù)先認(rèn)證的硬件故障監(jiān)控器以降低成本。該方法要求半導(dǎo)體廠商優(yōu)化硬件結(jié)構(gòu)，使其符合功能安全要求。文章重點(diǎn)關(guān)注ECU的硬件架構(gòu)，而我們的文章重點(diǎn)在軟件概念，同時(shí)綜合考慮了車輛的網(wǎng)絡(luò)以及通信架構(gòu)。

文章提出了另一種方法，即系統(tǒng)層面簡單架構(gòu)。通過硬件/軟件協(xié)同設(shè)計(jì)，該架構(gòu)能對(duì)邏輯應(yīng)用層故障，以及如實(shí)時(shí)操作系統(tǒng)(RTOS)和微處理器等相關(guān)層的故障提供fail-operational保證。

文章回顧了應(yīng)用于工業(yè)領(lǐng)域的故障容錯(cuò)(fault-tolerant)架構(gòu)的相關(guān)研究，此外還提出了低成本的雙鎖步(lockstep)平臺(tái)，可應(yīng)用在要求單點(diǎn)fail-operational的單元或雙點(diǎn)失效靜默(fail-silent)通道。

文章同時(shí)概述了電子駕駛輔助系統(tǒng)以及具備或不具備機(jī)械后備(Fallback)的電子線控系統(tǒng)，作者充分考慮到不同冗余方式的fault-tolerance原則，從而產(chǎn)生了fail-operational、fail-silent和fail-safe系統(tǒng)。

3嵌入式系統(tǒng)的安全機(jī)制

在安全相關(guān)的嵌入式系統(tǒng)中，特別是車輛實(shí)時(shí)系統(tǒng)，制動(dòng)和轉(zhuǎn)向功能即使在系統(tǒng)發(fā)生局部故障失效時(shí)也必須得到保證。為避免系統(tǒng)失效或?qū)⑾到y(tǒng)失效降至最低，常規(guī)做法是風(fēng)險(xiǎn)最小化。一般來說，可以通過縮短操作時(shí)間或降低失效率來降低失效情況的發(fā)生概率。風(fēng)險(xiǎn)最小化的另一種方法是實(shí)現(xiàn)改進(jìn)的控制策略，如安全關(guān)機(jī)，或者實(shí)現(xiàn)更高的容錯(cuò)性。安全關(guān)機(jī)應(yīng)用于fail-silent或fail-safe系統(tǒng)，而高容錯(cuò)性系統(tǒng)主要應(yīng)用于fail-operational系統(tǒng)。Fail-operational本身可以通過多樣性或冗余來實(shí)現(xiàn)。

圖1呈現(xiàn)了這些方法：

圖1.最小化風(fēng)險(xiǎn)實(shí)現(xiàn)

A Fail-Safe

在Fail-Safe場景中，當(dāng)檢測到不可容忍故障時(shí)，E/E系統(tǒng)切換到系統(tǒng)安全狀態(tài)。該系統(tǒng)存在兩種不同的狀態(tài)，即不受影響繼續(xù)運(yùn)行，或者是停止運(yùn)行。此外，如果發(fā)生瞬態(tài)故障，系統(tǒng)停止運(yùn)行后重啟。在考慮失效系統(tǒng)時(shí)，需要采取額外措施使其具有容錯(cuò)性

在常見的多核處理器中，同時(shí)并行的運(yùn)行同一組操作的鎖步核有助于實(shí)現(xiàn)冗余系統(tǒng)。典型的車輛故障安全系統(tǒng)包括防抱死制動(dòng)系統(tǒng)(ABS)，牽引力控制系統(tǒng)(ASR)，電子穩(wěn)定控制系統(tǒng)(ESC)及制動(dòng)輔助系統(tǒng)(BA)。

Fail-safe架構(gòu)概述如圖2所示：

圖2.Fail-Safe架構(gòu)

B Fail-Operational

與fail-safe系統(tǒng)對(duì)比，如果在發(fā)生故障時(shí)關(guān)閉Fail-Operational系統(tǒng)，由于關(guān)鍵的安全目標(biāo)無法得到滿足，會(huì)導(dǎo)致危險(xiǎn)的系統(tǒng)行為。這種情況下，為了實(shí)現(xiàn)替代和安全執(zhí)行，額外的fault-tolerance措施必不可少。

Fail-operational的行為可以通過設(shè)計(jì)多樣性或冗余來實(shí)現(xiàn)(圖1)。多樣性意味著兩種或更多不同的實(shí)現(xiàn)以完成同樣的任務(wù)，功能等價(jià)，但算法、架構(gòu)或?qū)崿F(xiàn)不同。在冗余系統(tǒng)中，計(jì)算是由兩個(gè)或多個(gè)等價(jià)的實(shí)例完成的。在下文中，我們將簡要介紹fail-operational系統(tǒng)的可能實(shí)現(xiàn)方法。

2oo3架構(gòu)

冗余故障操作架構(gòu)的典型代表是2oo3決策，這也被稱為具有表決功能的三模冗余(Triple Modular Redundancy, TMR)，是航空電子領(lǐng)域和多安全相關(guān)系統(tǒng)的代表性參考架構(gòu)。在這種架構(gòu)中，三個(gè)子系統(tǒng)獨(dú)立計(jì)算各自的結(jié)果，然后，對(duì)三個(gè)子系統(tǒng)輸出的結(jié)果進(jìn)行比較，如果至少有兩個(gè)結(jié)果相同，則輸出為真(圖3)。建議每個(gè)單元和表決單元使用獨(dú)立的電源。如果考慮通信總線，這種方法是否適用于車輛系統(tǒng)嚴(yán)重依賴于通信速率。對(duì)于較慢的數(shù)據(jù)輸出速率，實(shí)現(xiàn)的復(fù)雜性是可接受的。相比之下，對(duì)于高速以太網(wǎng)來說，它要復(fù)雜得多。

2oo3架構(gòu)如圖3所示：

圖3.2oo3架構(gòu)

2oo2DFS架構(gòu)

2oo2 DFS架構(gòu)將主系統(tǒng)分成兩個(gè)子系統(tǒng)，它們可以是等價(jià)的，也可以是不同的。每個(gè)子系統(tǒng)被設(shè)計(jì)成fail-safe系統(tǒng)，并使用自己的監(jiān)控概念檢測其自身的錯(cuò)誤(Fail-Safe (FS))。此外，該系統(tǒng)可以監(jiān)測另外一個(gè)子系統(tǒng)，以便在失效情況發(fā)生時(shí)采取適當(dāng)?shù)拇胧?Diagnosis (D))。如圖4所示，該架構(gòu)意味著每個(gè)子系統(tǒng)具備獨(dú)立的電源，展現(xiàn)了一種車輛系統(tǒng)fail-operational的方法。該系統(tǒng)既可以設(shè)計(jì)為全冗余系統(tǒng)，也可以設(shè)計(jì)為所謂的由主控制系統(tǒng)和備用系統(tǒng)組成的跛行系統(tǒng)(Limp-Home system)。具體架構(gòu)方案可由每個(gè)通道中的軟件設(shè)計(jì)，或由實(shí)現(xiàn)部分或完全冗余的輸入拓?fù)溥_(dá)成。此外，如果架構(gòu)方案不需要在同一個(gè)ECU上實(shí)現(xiàn)，可以使用兩個(gè)獨(dú)立控制器或主/從方法。

2oo2DFS系統(tǒng)架構(gòu)如圖4所示：

圖4.2oo2DFS系統(tǒng)架構(gòu)

4常用多核架構(gòu)的安全特性

當(dāng)代汽車ECU的功能高度集成化可以通過高性能多核處理器實(shí)現(xiàn)。然而，將它們整合到新的架構(gòu)中是一項(xiàng)更加困難和富有挑戰(zhàn)性的任務(wù)。

Fail-operational系統(tǒng)需要對(duì)應(yīng)的ECU硬件設(shè)計(jì)，用于處理失效和系統(tǒng)的非預(yù)期行為。為實(shí)現(xiàn)這一點(diǎn)，半導(dǎo)體供應(yīng)商提供了多種安全特性和全面的錯(cuò)誤管理設(shè)計(jì)。鎖步核可以檢測CPU(中央處理器)的隨機(jī)硬件故障，而內(nèi)存和總線的瞬態(tài)故障可以通過糾錯(cuò)碼(ECC, Error Correcting Codes)進(jìn)行保護(hù)。

多核處理器的另一個(gè)優(yōu)點(diǎn)是提供了架構(gòu)上的隔離，因此，由于采用了獨(dú)立的內(nèi)核，它們具有額外的獨(dú)立性。該架構(gòu)允許兩個(gè)軟件實(shí)例在不同的內(nèi)核上同時(shí)運(yùn)行。同時(shí)，性能提高也使集成額外的安全特性成為可能。

雖然現(xiàn)代微控制器應(yīng)用了許多硬件安全特性，如鎖步核、糾錯(cuò)碼等，但多核處理器也存在缺點(diǎn)。首先，與單核CPU相比，多核處理器更易出錯(cuò)。CMOS內(nèi)比特翻轉(zhuǎn)的概率會(huì)影響計(jì)算邏輯，并可能在長期運(yùn)行中導(dǎo)致瞬時(shí)或永久故障。此外，時(shí)序行為的可預(yù)測性和混合關(guān)鍵性應(yīng)用程序的隔離受到共享資源的共同使用的影響。大多數(shù)的MCU非常復(fù)雜，幾乎不可能預(yù)測關(guān)鍵軟件的時(shí)序。能夠運(yùn)行并行算法的多核CPU也會(huì)面臨更高的同步工作量的影響，尤其是當(dāng)運(yùn)行在不同內(nèi)核上的進(jìn)程并發(fā)地訪問同一資源時(shí)，就可能出現(xiàn)競爭情況。運(yùn)行在所有ECU上的整個(gè)軟件代碼庫的復(fù)雜性治理變得難以管理。這是除了(同構(gòu))冗余之外，多樣性是必要的另一個(gè)原因。當(dāng)2oo2架構(gòu)由不同的MCU(代碼和/或硬件基礎(chǔ))組成時(shí)，由于軟件bug或同步問題導(dǎo)致兩個(gè)ECU同時(shí)失效的概率遠(yuǎn)低于同構(gòu)架構(gòu)。此外，我們的目標(biāo)是確保在一個(gè)內(nèi)核持有另一個(gè)內(nèi)核正在等待的資源時(shí)不會(huì)出現(xiàn)死鎖。但結(jié)果卻是兩個(gè)內(nèi)核都被阻塞，無法繼續(xù)運(yùn)行。

5未來硬件軟件架構(gòu)的概念

在過去，就單個(gè)ECU而言，fail-safe行為足以應(yīng)對(duì)安全問題。對(duì)于fail-operational系統(tǒng)，焦點(diǎn)轉(zhuǎn)移到系統(tǒng)層面。由于ECU的獨(dú)立性只能在系統(tǒng)層面得到保證，沒有明確系統(tǒng)邊界的情況下，無法實(shí)現(xiàn)冗余或n取m決策(m-out-of-n)。如果我們覺得無法證實(shí)新ECU的存在價(jià)值，可以預(yù)見，冗余將通過把不同的功能集成到多個(gè)域控制單元(DCU)來實(shí)現(xiàn)，這一方面凸顯了系統(tǒng)視角的重要性，另一方面將給汽車制造商帶來新的挑戰(zhàn)。

A 新軟件層

失效操作(Fail-Operational)系統(tǒng)利用冗余計(jì)算資源實(shí)現(xiàn)其功能。整個(gè)系統(tǒng)必須知道不同子系統(tǒng)的狀態(tài)才能采取相應(yīng)的行動(dòng)，這就需要一個(gè)安全的通信層，它不僅能夠交換數(shù)據(jù)，還能夠控制消息流。例如，如果一個(gè)子系統(tǒng)生成了錯(cuò)誤的數(shù)據(jù)，為保持系統(tǒng)穩(wěn)定性，就必須停止傳播這一錯(cuò)誤數(shù)據(jù)。最后，必須實(shí)現(xiàn)分布式邏輯來處理不同類型的故障。

通過使用更多域控制器來減少單個(gè)ECU數(shù)量的方法需要新的fail-operational概念，以便在一個(gè)控制器中實(shí)現(xiàn)冗余系統(tǒng)。下面的小節(jié)將我們將對(duì)硬件和軟件架構(gòu)設(shè)計(jì)的一些相關(guān)概念進(jìn)行概述。

B 多核架構(gòu)相關(guān)概念

未來的fail-operational系統(tǒng)需要改進(jìn)的軟件設(shè)計(jì)，下面的討論中介紹了一些不同的方法。

用于自動(dòng)駕駛汽車EPS的 2oo2 DFS架構(gòu)

在這種方法中，所謂的自動(dòng)駕駛ECU將兩個(gè)獨(dú)立的鎖步MCU作為2oo2DFS架構(gòu)的基礎(chǔ)。兩個(gè)輸出信號(hào)代表EPS ECU的冗余輸入信號(hào)，同時(shí)EPS ECU也被設(shè)計(jì)為2oo2DFS系統(tǒng)。每個(gè)ECU也可設(shè)計(jì)為僅支持跛行系統(tǒng)(Limp-Home)，例如一個(gè)僅提供基本功能的8位小CPU被用作備份系統(tǒng)。但是，MCU使用同一電路板上的兩個(gè)物理隔離的CPU(圖 5)。通常情況下，衡量系統(tǒng)可靠性的指標(biāo)稱為平均故障間隔時(shí)間(Mean Time Between Failures，MTBF)，它表示平均故障前時(shí)間(Mean Time To Failure，MTTF)和平均故障修復(fù)時(shí)間(Mean Time To Repair，MTTR)的總和。對(duì)于Fail-safe系統(tǒng)，針對(duì)瞬時(shí)故障采取系統(tǒng)重啟等修復(fù)措施。2oo2DFS方法通過縮短MTBF提高了整個(gè)系統(tǒng)的可靠性。第二個(gè)子系統(tǒng)可以直接替換失效子系統(tǒng)的功能，從而縮短整個(gè)系統(tǒng)的MTTR。由于采用了fail-operational方案，延長了MTTF。同時(shí)，與fail-safe系統(tǒng)相比，該系統(tǒng)的容錯(cuò)能力更高。

自動(dòng)駕駛汽車中的2oo2DFS架構(gòu)如圖5所示：

圖5.自動(dòng)駕駛汽車中的2oo2DFS架構(gòu)

高度集成的多核ECU中的2oo2DFS架構(gòu)

此架構(gòu)類似于1)中提出的 2oo2DFS。相比之下，ECU利用單個(gè)多核芯片設(shè)計(jì)成冗余系統(tǒng)。該架構(gòu)需要為多核CPU提供多個(gè)電源，例如，每個(gè)內(nèi)核一個(gè)電源。此外，硬件架構(gòu)必須能夠支持每個(gè)內(nèi)核的復(fù)位機(jī)制，以便在出現(xiàn)失效時(shí)重啟(圖6)。從軟件層面看，應(yīng)該盡可能只復(fù)位最小受影響部分，即故障數(shù)據(jù)或控制流處理器指令序列(control flow processor instruction sequence)，盡可能保持較高的整體可用性。如果ECU的其中一個(gè)內(nèi)核發(fā)生故障，則必須由另一個(gè)內(nèi)核檢測到這一故障，剩余的內(nèi)核才可以發(fā)揮備用系統(tǒng)的作用。因此，兩個(gè)內(nèi)核必須持續(xù)地相互監(jiān)控。兩個(gè)內(nèi)核都通過芯內(nèi)互連連接到總線接口。冗余總線連接能夠確保傳輸數(shù)據(jù)到其他的ECU，為防止失效傳播，失效的內(nèi)核必須與系統(tǒng)隔離并斷開連接，這就意味著要將失效的內(nèi)核與芯片內(nèi)部的互連斷開，并關(guān)閉失效內(nèi)核的電源?？偠灾?，這種方法大有可為，因?yàn)樗粌H降低了現(xiàn)代車輛的成本和重量，同時(shí)提高了可靠性和可用性。圖7呈現(xiàn)了一種更面向軟件的方法。具有不同安全要求的應(yīng)用程序封裝在虛擬機(jī)(Virtual Machine, VM)中。(圖7)顯示了一個(gè)具有三個(gè)內(nèi)核的示例，每個(gè)內(nèi)核執(zhí)行一個(gè)客戶操作系統(tǒng)。客戶操作系統(tǒng)使用不同的傳感器信號(hào)，這些信號(hào)直接路由到對(duì)應(yīng)的VM。為實(shí)現(xiàn)與外設(shè)及虛擬機(jī)間的通信，每個(gè)內(nèi)核都配備虛擬機(jī)監(jiān)視器(hypervisor)。兩級(jí)2oo3表決器被用于VM輸出(L1)的安全機(jī)制以及作為安全機(jī)制的監(jiān)控(L2)。后者控制執(zhí)行器。其優(yōu)點(diǎn)之一便是，瞬時(shí)故障發(fā)生時(shí)，可以復(fù)位VM。此外，VM可以托管不同的、獨(dú)立的且彼此完全隔離的操作系統(tǒng)。因此，當(dāng)主系統(tǒng)在另一VM中執(zhí)行時(shí)，Limp-Home功能能夠在VM中運(yùn)行。

高度集成電子控制裝置中的2oo2DFS如圖6所示：

圖6.高度集成電子控制裝置中的2oo2DFS

高度集成電子控制裝置中的流程虛擬化如圖7所示：

圖7.高度集成電子控制裝置中的流程虛擬化

6結(jié)語

對(duì)汽車工程師來說，從fail-safe到fail-operational的轉(zhuǎn)變是一個(gè)長期存在且無法避免的巨大挑戰(zhàn)。汽車多核處理器的通用硬件架構(gòu)提供了大量的安全特性，這些特性是fail-operational實(shí)現(xiàn)的先決條件。在我們的合作工作中，我們開發(fā)了新概念來實(shí)現(xiàn)此類系統(tǒng)新功能，如自動(dòng)駕駛和電子線控等。本文展示了一些有關(guān)如何設(shè)計(jì)未來的fail-operational架構(gòu)的概念及想法。特別是，我們認(rèn)為2oo2DFS架構(gòu)應(yīng)用靈活，具有廣闊前景。

審核編輯：湯梓紅