汽车人机交互系统（HMI）的功能安全浅析...
注：本文摘录自《电子工程专辑》，2019年11月，原文来自赛普拉斯三位专家Kishore Kumar Sukumar、Martin Oberkönig博士、Sivaguru Noopuran发布在EETimes的论文《Functional Safety for Automotive HMI Systems》。版权和所有权归原作者及发布单位所有，仅供学习参考！
The number of processors and components in today's automotive applications will ultimately make transportation less dangerous, but only if they operate reliably and predictably.
eetimes.com, May. 29, 2019 –
The automotive industry is changing rapidly, and vehicles are becoming more advanced, autonomous, and comfortable. The number of processors, sensors, memories, and other electronic components in today's automotive applications is increasing, which will ultimately make transportation less dangerous. These automotive subsystems utilize connectivity and self-driving technology to increase driver safety, but can only achieve this if they operate reliably and predictably.
Inside the automotive cabin, human machine interfaces (HMI) are advancing in concert with new capabilities and infotainment systems. Capacitive sensing buttons and touchscreens are common, for example, to play/pause a song or to select an AM/FM channel. They are also increasingly used in safety-critical functions such as engine start/stop buttons and cruise control.
Beyond the automotive industry, there are many application sectors where failure is not an option because it can lead to physical injury and/or property damage. Critical systems in nuclear power plants, some types of industrial machinery, and airplanes are obvious examples. Even everyday appliances such as microwave ovens or washing machines can harm people in case of a malfunction. Systems that have the potential to harm people need mitigation measures, and the goal of any functional safety program is to minimize the risk of physical harm, property damage, and liability.
当今汽车应用中的大量处理器及部件终将能够降低驾乘危险系数，但前提是它们必须可靠运行且可预测。
功能安全
检测：第二类故障是随机硬件故障。这类故障发生于系统运行期间，且只有在生产及质检之后才能被察觉到。例如，随机硬件故障的源头可能是温度、压力、振动、辐射、污染或老化等环境因素。这类故障可能是永久性的，只能通过维修或更换设备来解决；也可能是暂时性的，像“存储器位反转”（bit flip）这类故障，过一段时间后就会消失。任何系统都可能在某一时刻发生故障，我们需要采取措施来检测或控制此类故障，以防止系统危及人身安全。
标准
图1: ASIL和残余风险
汽车HMI系统与安全
• 方向盘触摸按钮——一些用于巡航控制的按钮或小触摸板：需达到ASIL B/C级别
o 故障模式：检测到意外的提高巡航控制速度的触摸
• 方向盘握力检测——自动驾驶功能，须可靠地检测手的存在/不存在：通常需达到ASIL B级别
o 故障模式：禁用驾驶辅助功能时未检测到触摸
• 天窗控制/车窗控制模块按钮/滑块
o 故障模式：检测到意外的关闭车窗的触摸
• 发动机启动/停止按钮：通常需要达到ASIL B级别
o 故障模式：检测到意外的启动发动机的触摸
• 变速器挡位盖板按钮
o 故障模式：检测到意外的换档触摸
2.确保检测系统能够识别触摸事件
• 电磁干扰噪声
• 温度骤变
• 传感器/电容器/电线/焊接损坏
• 高能粒子导致存储单元发生位反转
根据FMEA来设计可满足
功能安全需求的汽车HMI系统
• 为实现安全目标，则需要确定并归档系统与芯片的所有安全关键型组件（SCE）。图5为电容式传感应用（赛普拉斯PSoC 4）的芯片架构示意图，所有安全关键型组件均已标记为蓝色。
o 就电容式感应触摸控制器而言，安全关键型元件包括：
• 电容式感应硬件核心、IDAC、Analog Mux 总线路由和GPIO
• 存储器：闪存（代码存储）和SRAM（配置寄存器、数据结构、变量）
• 系统资源：电源控制、睡眠控制、时钟发生器、参考电压发生器
• CPU
o 以下是控制器的外部组件，对系统安全至关重要：
• 将传感器及其他外部电容器路由至控制器的布线
• 控制器的电源和接地
• 确定并归档每个安全关键型模块的潜在故障模式及其原因与影响：可归类为系统级故障模式或芯片级或硬件/固件级故障。在这项操作中，我们需要为每个潜在故障模式分配一个严重性、发生率和检测级别（遵循典型的FMEA指南）。以下为故障模式示例：
o 负责驱动外部传感器及运行计数器（对应于传感器+寄生电容）的电容式感应硬件模块可能会发生故障。
o 传感器电容充、放电所需的IDAC可能会产生错误的电流输出。
o Analog Mux 总线路由可能存在短路或开路，从而将外部电容器及传感器与内部硬件模块相连接。
o 外部电容器和传感器可能对Vdd、接地及其他GPIO短路，也可能开路。
o 带隙基准电压可能会卡在Vdd、接地或其他一些意外电压上。
o 内部时钟可能偏离其配置频率。负责保存配置设置及临时扫描状态的数据结构和变量可能会损坏。存储于闪存中的API可能会损坏。
o CPU可能卡在某个未知的闪存位置。
o 温度、湿度等外部环境可能发生剧烈变化，从而导致寄生电容发生巨大变化。
o BIST（内置自检）
• 检测传感器和其他外部组件是否对Vdd或接地短路。
• 检测通过Analog Mux 总线或GPIO的模拟路由是否对Vdd/Gnd短路或开路。
• 检测闪存中存储的配置寄存器是否损坏。其中有些位错误可以通过使用CRC（循环冗余校验）计算轻松地检测并纠正。
• 检测保存配置设置及运行时按钮触摸状态的数据结构与变量是否损坏。
o 自动校准
• 检测环境与原始校准环境之间是否存在显著差异。自动校准有助于根据特定寄生电容及特定环境来调整系统，从而校正变化。
o 多项检测
• 可以将按钮构造成两个不同的传感器，并由两个不同的固件进行扫描，采取“双管齐下”的确认方式，进而成功地抑制噪声脉冲。
o 冗余
• 与多项检测类似，在同一芯片上安装第二套传感硬件也有助于确认触摸状态。
小知识：
HMI是Human Machine Interface 的缩写，“人机接口”，也叫人机界面。是系统和用户之间进行交互和信息交换的媒介， 它实现信息的内部形式与人类可以接受形式之间的转换。汽车HMI设计主要是研究人与汽车的人机交互界面，注意这个界面只是一个形容词，界面包含开关、按钮、大屏、语音等等。内饰设计和HMI强相关，但也所区分，内饰设计强调的是主观整体感受，HMI是承担人与车之间有效信息交互的载体，侧重的是人与界面、人与车各系统的体验感受。
目前各个主流主机厂的HMI开发流程都不尽相同，但整体思路应该是一致的。在整车设计过程中，HMI设计是一个多学科、跨部门、合作交叉的形式存在的，通常会有一到两个部门牵头组建HMI设计团队，通过项目的形式进行开发设计。涉及到的部门包含市场销售部、电子电气部、软件工程部、设计部、整车集成部、质保售后部等，各职能部门根据分工不同提供相应的输出给到HMI设计团队，HMI团队通过收集需求来设计整体人机界面交互方案，注意这里说到的需求包含内部需要和外部需求。
-知乎@痞子蔡
- 用户评论