功能安全如何提高汽車安全性

美光 SAFER 內存：F = 故障覆蓋率

美光 LPDDR5 是業界首款通過 ISO 26262 ASIL-D 認證的內存。美光內存產品組合符合 JEDEC 標準并通過了汽車級認證，可滿足汽車行業對 LPDRAM 的要求，支持功能安全需求。

LPDRAM 支持的功能安全不僅適用于高級駕駛輔助系統(ADAS) 應用，還能擴展到車載信息娛樂(IVI) 系統和駕駛員信息系統。這些應用正在不斷融合并影響著汽車的功能安全。

如果您讀過此前發布的 SAFER 系列博客，可能已經了解功能安全的定義，即“避免電氣/電子(E/E) 系統在運行過程中因故障而引發不合理風險”。功能安全旨在通過各種方式來提高安全性、檢測并控制故障——比如盡可能減少不確定性。

接下來我們將深入介紹兩種故障覆蓋類型和硬件要素分類。

系統故障覆蓋

系統故障覆蓋采用 ISO-26262 標準明確規定的流程和方法，盡可能降低產品出現系統故障（即設計錯誤）的風險以達到目標 ASIL 級別的要求。系統故障可發生在定義規格、設計、制造、測試和其他任何步驟中，可能會造成嚴重的后果。不同于隨機硬件故障，系統故障可能會影響整個批次中的全部車輛。

隨機故障覆蓋

隨機故障是指設備生命周期內隨機出現的故障，它可進一步分為瞬態故障（單事件干擾或軟錯誤）和永久故障（硬錯誤，如邏輯電平卡死）。解決此類故障一般可引入安全機制來識別故障，幫助系統采取適當的措施，如糾正故障，或幫助系統在故障期間保持安全狀態。

由于在流程中采用嚴格的預防方法以及實施故障檢測安全機制可能會增加間接成本，ISO 26262 標準定義了 4 個汽車安全完整性等級(ASIL)。這些等級反映了違反安全目標所造成的不同程度的影響。因此，該標準為每個 ASIL 等級（ASIL-D 要求最嚴苛）定義了一個遞增的強制行為列表以消除系統故障，以及一組嚴格的隨機故障檢測能力衡量目標。這種方式能支持系統分級，并在器件成本和故障影響間實現平衡。下圖簡單展示了 ASIL 的等級劃分。

汽車安全完整性等級(ASIL)

針對隨機故障檢測指標，ISO 26262 標準定義 ASIL-D 系統在系統層面的故障率須低于 10 FIT，而 ASIL-B 系統在系統層面的故障率則須低于 100 FIT?！? FIT”即在 10 億小時內發生一次故障。

符合ISO 26262 功能安全標準

的內存需求與案例

第二版 ISO 26262 標準（2018 年發布；初版 ISO 26262 標準于 2011 年引入）對第 8 章第 13 條進行了修訂，增加了與特定硬件系統底層復雜度相關的分類，以及能在系統層面實現特定 ASIL 等級的方法。

系統集成商往往將 DRAM 歸類為 II 類硬件要素，即只需對少量的操作模式和狀態進行安全分析，且無內部安全機制。這種分類無法匹配當前 DRAM 的底層復雜度——它們的復雜程度與一些先進的 SoC 和 GPU 相差無幾。

業界前沿的安全咨詢公司 exida 認為，用于安全應用的 DRAM 應歸類為 III 類硬件要素，以符合 ISO 26262-8 第 13.4.1.1 條制定的標準。同時，在設計時使用了 III 類硬件要素的安全應用，也必須使用符合 ISO 26262 標準的設備（如果此類設備可用）。

LPDDR DRAM 應歸類為III 類硬件要素

根據26262-8 標準第13.4.1.1 條的硬件要素分類

汽車安全領域的知名咨詢公司exida 的硬件要素分類標準1

根據 ISO 規范，“III 類硬件要素應按照 ISO 26262 標準進行開發”，硬件評估僅作為過渡時期的特殊情況：“……‘評估 III 類硬件要素’不是首選方法，因此需要遵循 ISO 26262 標準開發新版本的硬件要素?！?/p>

1exida 是一家專門從事自動化系統安全和其他安全專業領域的產品認證和信息咨詢公司。

美光SAFER車用內存系列博客

本系列博客針對創新的車用內存解決方案輸出洞察并提供指導。美光 SAFER 內存涵蓋五個關鍵概念：（Safest）指當前業界卓越的安全解決方案；（Automotive mindset）指汽車思維；（Fault coverage）指故障覆蓋率；（Engineering leadership）指先進工程；（Risk management）指風險管理。我們將就這五大概念分別發布相應的博客，詳細介紹每個概念。

本文作者

Barbara Kolbl

Barbara Kolbl 擔任美光產品線運營高級經理。她對內存產品推動汽車行業轉型抱有極大熱情。她曾在汽車行業從事市場營銷工作，目前負責 LPDRAM 產品運營，豐富的工作經歷讓她能夠近距離直面汽車行業正在發生的變革。