登陆

基于 H3 + RH850 的智能座舱功能安全设计

来源：公众号“燃云汽车”

2021-09-18

2974

需求

针对基于H3和RH850的智能座舱功能安全概览如下：

RH850检测功能安全相关的CAN FD信号，这些信号同时被RH850发送到A53和R7。A53上面的主HMI根据信号描绘报警灯并输出，R7会同时监控主HMI描绘的报警灯。当R7检测到主HMI描绘错误时，R7会接管显示输出功能安全相关报警灯信号。

RH850检测功能安全档位显示相关的CAN FD信号，这些信号同时被RH850发送到A53和R7。A53上面的主HMI根据信号描绘档位显示输出，R7会同时监控主HMI描绘的档位显示。当R7检测到主HMI描绘错误时，R7会接管显示，输出熄灭档位。

功能安全保护的报警灯和挡位信息如下表所示：

上表中，ASIL（汽车安全完整性）等级划分为：A、B、 C、D四个等级。

其中，A为安全等级最低，D为安全等级最高。

硬件支持 (DOC)

在做功能安全实现时，软硬件都要求是功能安全的，瑞萨提供的R7 Core具备Duplicated Hardware、 ECC、EDC、CRC、MPU、DOC等安全机制。其中关于报警灯的输出检测主要是DOC（Display Output Checker）模块完成的。如下图所示。

软件架构

在软件架构设计方面，我们将 LSR是跑在在R7 Core上，最终R7 Core上跑的是Safety RTOS。

LSR主要是接受VIP的消息，然后控制DOC检测报警灯和挡位的输出是否正确，如果不正确，则进入安全状态，通过VSP进入纠正。如下图所示。

LSR结构

LSR 结构如下：

•Safe Core：各种消息处理，HMI元素的Visible/Invisible属性设置

•HMI：以C数组的形式存放二进制的素材

•LSR(Luxoft Safe Renderer)：Render和Verify相关的Framework

•GIL(Graphical Interface Layer)：提供了Render和Verify底层寄存器操作相关的接口

Safe Core

Message处理

在Message处理方面，设定以下机制：

每一个消息都有一个对应的消息处理类

重要的消息会周期性发送

周期性消息会有Timeout检测，连续3帧Timeout之后，R7进入安全状态，连续5帧消息正常，则退出安全状态

周期性消息都有CRC检测，连续3帧Error之后，R7进入安全状态，连续5帧消息正常，则退出安全状态

周期性消息都有Rolling Counter检测，连续3帧Error之后，R7进入安全状态，，连续5帧消息正常，则退出安全状态

周期性消息的每一位数据都要有Check Sum，高四位和低四位取反，然后和要是0x0F，例如：0xE1:高位取反0x01，低位取反：0x0E，和是0x0F为正常的数据；0xE2: 高位取反0x01，低位取反：0x0D，和是0x0E为错误的数据。连续3次Error之后，该位数据对应的功能进入安全状态，连续5帧消息正常，则退出安全状态

HMI Control

HMIControl通过引用的关系，修改各个元素的可见性状态（ Panel, ReferenceBitmapField, BitmapField ）

每个元素只有可见和不可见两种属性

HMI总共有23个Gear状态（ P，R，N， D，Blank和M1~M9，D1~D9 ）和14个TT状态需要设置。

LSR

LSR实现了Engine部分，这个组件是Framework层，与项目需求没有太大关联。功能是把HMI状态转换成底层GIL命令。

lsr :: Engine包含了lsr的完整功能。它被分解为3个主要组成部分：

lsr :: Database提供对静态HMI配置的访问（例如bitmap的大小位置等）
lsr :: DisplayManager为GIL硬件接口提供C ++抽象
lsr :: FrameHandler实现HMI的动态行为IHMI接口提供对HMI运行时对象（ Panels，Fields）的访问。这些运行时对象是静态创建的，但由lsr :: Framehandler控制。