前言

以下是本期內(nèi)容的思維導(dǎo)圖：

1.什么是硬件設(shè)計(jì)

硬件安全設(shè)計(jì)包括以下兩個(gè)部分：

1.硬件架構(gòu)設(shè)計(jì)：所有硬件組件以及他們彼此的相互關(guān)系

2.硬件詳細(xì)設(shè)計(jì)：在電氣原理圖級(jí)別上，表示構(gòu)成硬件組建的元器件間的相互連接

為開(kāi)發(fā)同時(shí)符合硬件安全要求及所有的非安全要求的單一的硬件設(shè)計(jì)，一般來(lái)說(shuō)，安全和非安全性要求應(yīng)在同一開(kāi)發(fā)過(guò)程中處理。

2.什么階段完成硬件設(shè)計(jì)

3.為什么要做硬件安全設(shè)計(jì)

1.按照系統(tǒng)設(shè)計(jì)規(guī)范和硬件安全要求設(shè)計(jì)硬件

2.驗(yàn)證硬件設(shè)計(jì)是否違背系統(tǒng)設(shè)計(jì)規(guī)范和硬件安全需求

功能安全對(duì)硬件的可靠性提出了三個(gè)指標(biāo)，分別是單點(diǎn)故障度量，潛伏故障度量，以及隨機(jī)硬件失效目標(biāo)，硬件安全設(shè)計(jì)首先就需要滿(mǎn)足這些要求，只有這樣給產(chǎn)品提供一個(gè)安全性高、可靠性高的硬件設(shè)計(jì)。

4.硬件安全設(shè)計(jì)要求

1.基本通用要求

• 符合硬件安全需求

• 每個(gè)硬件組件應(yīng)集成其所執(zhí)行的硬件安全需求中的最高的ASIL等級(jí)

• 如果一個(gè)硬件要素沒(méi)有指定ASIL等級(jí)或指定了不同的ASIL等級(jí)，除非滿(mǎn)足要素共存準(zhǔn)則，否則每個(gè)子要素應(yīng)該按照最高ASIL等級(jí)處理

• 硬件設(shè)計(jì)保持上下的追溯性

2.硬件架構(gòu)設(shè)計(jì)要求

在硬件架構(gòu)設(shè)計(jì)時(shí)，應(yīng)考慮安全相關(guān)硬件組件失效的非功能性原因，如果適用，可包括以下的影響因素：溫度、振動(dòng)、水、灰塵、電磁干擾、來(lái)自硬件架構(gòu)的其它硬件組件或其所在環(huán)境的串?dāng)_。

（PS這些要求的定義本身還是很容易理解的，我就不一一解釋了）

3.硬件詳細(xì)設(shè)計(jì)要求

• 為避免常見(jiàn)的設(shè)計(jì)缺陷，應(yīng)該運(yùn)用相關(guān)經(jīng)驗(yàn)總結(jié)。

• 在硬件詳細(xì)設(shè)計(jì)時(shí)，應(yīng)考慮安全相關(guān)硬件零部件失效的非功能性原因，如果適用，可包括以下的影響因素：溫度、振動(dòng)、水、灰塵、電磁干擾、噪聲因素、來(lái)自硬件組件的其它硬件元器件或其所在環(huán)境的串?dāng)_。

• 硬件詳細(xì)設(shè)計(jì)中，硬件元器件的運(yùn)行條件應(yīng)符合它們的環(huán)境和運(yùn)行限制規(guī)范。

• 應(yīng)考慮魯棒性設(shè)計(jì)原則?？衫觅|(zhì)量管理方法的核對(duì)表進(jìn)行展示。

4.安全分析

1.需要進(jìn)行硬件設(shè)計(jì)的安全分析，用來(lái)識(shí)別失效的原因和故障的影響

演繹分析方法包括故障樹(shù)分析（FTA）、魚(yú)骨圖、可靠性分析；（其中選取一種即可，ASILC、ASILD強(qiáng)制要求）

歸納分析方法包括失效模式與影響分析（FMEA）、事件樹(shù)分析（ETA）、馬爾科夫（Markov）模型；（其中選 取一種即可，ASILA、ASILB、ASILC、ASILD均強(qiáng)制要求）

安全分析的目的是支持硬件設(shè)計(jì)定義，也可以用于硬件設(shè)計(jì)驗(yàn)證，我們后面會(huì)提到，就支持硬件設(shè)計(jì)定義的目的來(lái)說(shuō)，定性分析是足夠的。

2.對(duì)于每個(gè)安全相關(guān)的硬件組件或元器件，安全分析應(yīng)識(shí)別以下內(nèi)容：

1.安全故障

2.單點(diǎn)故障或殘余故障

3.多點(diǎn)故障（在大多數(shù)情況下，分析可以限制到雙點(diǎn)故障，但有時(shí)階次高于2的多點(diǎn)故障可能顯示與技術(shù)安全概念有關(guān)（例如，當(dāng)執(zhí)行冗余安全機(jī)制時(shí)）而識(shí)別雙點(diǎn)故障的目的，并不是要求對(duì)每一種可能的兩個(gè)硬件故障的組合進(jìn)行系統(tǒng)的分析，但是至少要考慮從技術(shù)安全概念得出的組合（例如兩個(gè)故障的組合：一個(gè)故障影響了安全相關(guān)的要素，另一個(gè)故障影響了相應(yīng)的為達(dá)到或維持安全狀態(tài)所需的安全機(jī)制）)

3.應(yīng)具備安全機(jī)制避免單點(diǎn)故障有效性的證據(jù)

• 應(yīng)具備證據(jù)以證明安全機(jī)制具有保持安全狀態(tài)或安全的切換到安全狀態(tài)的能力（特別是在容錯(cuò)時(shí)間間隔內(nèi)適當(dāng)?shù)氖p輕能力）

• 應(yīng)評(píng)估殘余故障的診斷覆蓋率。

4.應(yīng)具備安全機(jī)制避免潛伏故障的有效性的證據(jù)。

• 應(yīng)具備證據(jù)以證明在可接受的多點(diǎn)故障探測(cè)時(shí)間間隔內(nèi)完成潛伏故障的失效探測(cè)及警示駕駛員的能力，以確定哪些故障保持潛伏，哪些故障不再保持潛伏；

• 應(yīng)評(píng)估潛伏故障的診斷覆蓋率。

5.提供證明硬件設(shè)計(jì)與其獨(dú)立性的要求

6.如果硬件設(shè)計(jì)引入了新危害，且這個(gè)危害沒(méi)有被現(xiàn)有的安全目標(biāo)覆蓋，則應(yīng)按照變更管理流程對(duì)它們進(jìn)行危害分析和風(fēng)險(xiǎn)評(píng)估。

5.硬件設(shè)計(jì)驗(yàn)證

驗(yàn)證硬件設(shè)計(jì)與硬件安全需求的一致性和完整性

6.生產(chǎn)、運(yùn)行、維護(hù)和報(bào)廢

• 如果安全分析表明生產(chǎn)、運(yùn)行、維護(hù)和報(bào)廢與安全相關(guān)，則應(yīng)定義其安全相關(guān)的特殊特性，這些特殊特性應(yīng)包括 生產(chǎn)和運(yùn)行的驗(yàn)證措以及 這些措施的接受準(zhǔn)則。（例如一種依賴(lài)于新的傳感器技術(shù)的硬件設(shè)計(jì)的安全性分析，影像或雷達(dá)傳感器，可以揭示與這些傳感器要求的特殊安裝流程的關(guān)系。在這種情況下，這些組件的額外驗(yàn)證措施有必要在生產(chǎn)階段進(jìn)行）

• 如果對(duì)安全相關(guān)硬件要素的組裝、拆卸和報(bào)廢可能影響技術(shù)安全概念，則應(yīng)定義這些操作的指導(dǎo)說(shuō)明。

• 確保安全相關(guān)硬件要素的可追溯性。

• 如果維護(hù)可能影響技術(shù)安全概念，應(yīng)定義安全相關(guān)硬件要素的維護(hù)說(shuō)明。

5.怎樣做硬件安全架構(gòu)設(shè)計(jì)

我們這里直接給出一些實(shí)際的用例

具體的硬件架構(gòu)設(shè)計(jì)是需要根據(jù)產(chǎn)品需求和產(chǎn)品特性去確定的，很難去統(tǒng)一化，所以我簡(jiǎn)單畫(huà)一個(gè)示意圖，這部分架構(gòu)的基本元素一般是通用的。

1.首先是低壓電，KL30的輸入濾波和保護(hù)，在不考慮低壓備份的情況下，KL30是ECU唯一的供電輸入源。

2.CAN收發(fā)器，需要CAN收發(fā)器進(jìn)行與其他ECU的通信，因?yàn)槟壳罢?chē)網(wǎng)絡(luò)還是以CAN和CANFD為主，有些CAN Transceiver芯片，尤其是使用CANFD時(shí)，需要使用通過(guò)SPI來(lái)進(jìn)行配置。

3.TLF3558x芯片作為電源管理芯片并提供外部看門(mén)狗功能，電壓輸出包括1.3V的芯片內(nèi)核電壓，3.3V的IO電壓，5V的供電電壓和ADC等外設(shè)工作輸入電壓，最高功能安全等級(jí)為ASIL D，所以在汽車(chē)電子產(chǎn)品中應(yīng)用廣泛。

4.英飛凌的Aurix Tricore系列Tc39x是六核芯片架構(gòu)，支持4核的Lockstep，最高功能安全等級(jí)ASIL D可以滿(mǎn)足大部分傳統(tǒng)產(chǎn)品的應(yīng)用。

5.其他的電路包括驅(qū)動(dòng)電路，采樣電路，傳感器等就需要針對(duì)不同的產(chǎn)品進(jìn)行定制化匹配和調(diào)試，沒(méi)有辦法去統(tǒng)一的去展示了。

關(guān)于定性和定量的安全分析，也就是FTA和FMEA，這兩個(gè)topic比較復(fù)雜也比較大，我會(huì)在后面的章節(jié)分開(kāi)詳細(xì)講解。關(guān)于SBC和芯片純技術(shù)相關(guān)的內(nèi)容也會(huì)在另一個(gè)專(zhuān)欄慢慢分享（主打的就是一個(gè)細(xì)水長(zhǎng)流 ）

6.結(jié)語(yǔ)

今天關(guān)于硬件設(shè)計(jì)的分享就到這里了，硬件安全設(shè)計(jì)本身還是非常吃功力的，尤其是硬件架構(gòu)設(shè)計(jì)和詳細(xì)設(shè)計(jì)，所以只從功能安全角度去理解硬件設(shè)計(jì)還是非常片面的，還是需要去靜下心來(lái)，了解和深入學(xué)習(xí)每個(gè)元器件的特性和特征，這樣才有可能將硬件設(shè)計(jì)與功能安全融會(huì)貫通。