圖5顯示了一個采用賽靈思 Virtex?-4 FPGA 部署的 ECU 系統(tǒng)的示例，由一個靜態(tài)域和一個部分可重配置域構(gòu)成。靜態(tài)域集成了一個MicroBlaze軟核處理器和一個基于 ICAP 的重配置控制器，部分可重配置域 （PRR） 則發(fā)揮著共享資源的作用，負責在不同時間換入和換出不同的功能任務或應用。

　　最后，如果將前述的構(gòu)想發(fā)揮到極致，可以設計出一種通用汽車 ECU 平臺。這種平臺可以在生產(chǎn)線上進行配置并針對汽車中特定的 ECU 功能進行定制。這種構(gòu)想在技術上借助可重配置硬件具有可行性，能夠簡化制造廠的物流要求，將存貨壓低到最低水平。這是因為從硬件的角度來看，在生產(chǎn)線上組裝的模塊對所有車輛都是一樣的，都采用單一平臺設計或產(chǎn)品架構(gòu)（基于靈活的硬件）。只有可下載的位流會讓 ECU 的功能具有差異。

　　
圖5 在由部分可重配置域和靜態(tài)域構(gòu)成的運行時可重配置 FPGA 中實現(xiàn)的汽車 ECU 應用的空間分區(qū)和臨時分區(qū)

　　高集成度ECU

　　在當今的汽車產(chǎn)業(yè)中，有約 90% 的創(chuàng)新來自汽車電子設備，而且這個勢頭方興未艾。未來汽車將采用非常先進的軟硬件技術，實現(xiàn)大量的新功能，比如自動駕駛、車輛間通信、娛樂以及和更高安全性。但是，對在這個以大批量制勝的產(chǎn)業(yè)而言，控制車載嵌入式系統(tǒng)的成本對汽車制造商極其重要。因此，當前的趨勢是在減少車輛中的 ECU 數(shù)量的同時讓每個 ECU 發(fā)揮強勁的功能。要實現(xiàn)這個目標需要功能更加強大的計算平臺。

　　許多行業(yè)參與方共同采用的方法是開發(fā)用作域控制器的高集成度 ECU。就是將多個單核處理器或微控制器布置在同一開發(fā)板上，共享總線連接和其他資源，旨在從整車的角度降低系統(tǒng)復雜性。這種趨勢讓我們聯(lián)想到可以將可重配置硬件用于 ECU 的設計，從而在有效提高計算并行性，降低 PCB 的復雜性的同時，實現(xiàn)最高性價比解決方案。

　　這種設計方法雖然在我們的工作中尚處于萌芽階段，卻為將 AUTOSAR 和 ISO 26262 標準與運行時可重配置硬件融合用于軟/硬件聯(lián)合設計，實現(xiàn)完整的車載嵌入式 ECU 系統(tǒng)奠定了基礎。實際上，雖然目前 AUTOSAR 還沒有覆蓋到可重配置硬件，但我們不排除將來有這種可能。基于 SRAM 的運行時可重配置 FPGA 已用于航空航天應用，能夠滿足容易導致 SEU 的更為惡劣的環(huán)境條件的要求，況且汽車行業(yè)從歷史上看有借鑒航空航天行業(yè)率先開創(chuàng)的風氣的習慣。另外，在市場上已經(jīng)存在某些合格的用于實現(xiàn)基于 FPGA 的安全相關系統(tǒng)的設計方法和工具，而且行業(yè)中涉及 FPGA 器件的標準也已經(jīng)存在有相當長時間，比如用于規(guī)范航空電子業(yè)組件和系統(tǒng)設計的 DO-254 標準。

　　聯(lián)合設計帶來模式變革

　　因此，我們的工作將掀起汽車產(chǎn)業(yè)計算模式的變革。在特定的 ECU 應用場景中，純軟件的解決方案將被軟/硬件聯(lián)合設計和可重配置計算技術所取代。這是因為采用馮諾依曼型 MCU 的純軟件方法由于性能、復雜性和安全性方面的局限，已不敷使用。可編程邏輯技術的價格的不斷降低，加上汽車電子控制單元性能需求的不斷走高，將在不久的將來把這場變革變?yōu)楝F(xiàn)實。

　　兩大關鍵標準

　　汽車產(chǎn)業(yè)在設計車載電子設備時已將兩項關鍵標準奉為圭皋。其中一項標準是 AUTOSAR，它通過適當?shù)能浻布軜?gòu)解決嵌入式系統(tǒng)復雜性問題。另一項標準是即將推出的 ISO 26262，用于管理功能安全性。AUTOSAR提出的以及 ISO 26262 采用的相關技術課題主要為安全問題的檢測和處理，比如運行時發(fā)生的硬件故障、時序失常和應用執(zhí)行的邏輯順序打亂、數(shù)據(jù)損壞等。

　　AUTOSAR詳解

　　近年來，電子組件已經(jīng)取代了車輛中的機械系統(tǒng)和液壓系統(tǒng)。隨著設計人員開始用軟件實現(xiàn)更多的控制、監(jiān)控和診斷功能，這種趨勢正在持續(xù)。實際上，用電子技術能夠?qū)崿F(xiàn)僅用機械和液壓解決方案無法開發(fā)者開發(fā)成本高的新功能。但這些部件必須滿足嚴格的安全要求，以避免出錯和故障。

　　雖然軟件相關的故障目前來看比較罕見，但隨著軟件在汽車這種工業(yè)制品中用量的不斷增加，系統(tǒng)變得日趨復雜，加上產(chǎn)品開發(fā)周期的縮短，最終可能導致產(chǎn)品故障。為解決這個問題，汽車產(chǎn)業(yè)通過結(jié)盟和實施標準，確保使用和開發(fā)安全可靠的軟件。

　　比如汽車工業(yè)軟件可靠性協(xié)會 （MISRA） 就是由福特和美洲豹路虎這樣的汽車制造商、組件供應商和工程咨詢方組成的團體。通過制定一系列軟件編程規(guī)則，MISRA旨在在道路車輛的車載安全相關電子系統(tǒng)和其他嵌入式系統(tǒng)的開發(fā)工作中推廣最佳實踐。

　　汽車開放系統(tǒng)架構(gòu) （AUTOSAR） 是來自電子、半導體和軟件行業(yè)的汽車制造商、供應商和其他公司組建的聯(lián)合體為解決幾項重大問題而制定的一種事實上的汽車電氣/電子（E/E）架構(gòu)開放行業(yè)標準。這幾項重大問題包括：控制隨功能不斷增加而導致的日益提高的車載電氣/電子系統(tǒng)復雜性；提高靈活性以便產(chǎn)品的修改、升級和更新；在產(chǎn)品線內(nèi)部以及跨產(chǎn)品線提高解決方案的可擴展性；改善電氣/電子系統(tǒng)的質(zhì)量和可靠性；實現(xiàn)設計初期階段的出錯檢測。

　　這個架構(gòu)面臨的挑戰(zhàn)是必須集成廣泛供應商提供的日益豐富的軟件和電子技術。通過簡化軟硬件的交換和更新選項，AUTOSAR 架構(gòu)為可靠地控制汽車車載電氣/電子系統(tǒng)日益提高的復雜性奠定了基礎，同時在保證質(zhì)量的情況下改善了成本效益。

　　AUTOSAR 架構(gòu)制定于 2003 年，是更早期的 OSEK/VDX 聯(lián)合體的自然發(fā)展。OSEK/VDX 聯(lián)合體誕生于十年之前，由部分德國和法國汽車制造商主推。由于有更遠大的目標，AUTOSAR如今已經(jīng)為世界各地大部分汽車制造商采用。

　　AUTOSAR 架構(gòu)的核心成員包括寶馬集團、博世、大陸、戴姆勒、福特、通用汽車、雪鐵龍、豐田和大眾集團。除了這些核心成員公司，另有 160 余家其他成員為聯(lián)合體的成功發(fā)揮著重大作用。由此，在“在標準上合作，在設計上競爭”的口號的指引下，汽車制造商和供應商聯(lián)合一致，共同制定了這個旨在實現(xiàn)車載電氣/電子設計突破的開放標準化系統(tǒng)架構(gòu)。

　　功能安全性

　　與此類似，IEC 61508 是負責管理電氣、電子和可編程電子系統(tǒng)和組件的功能安全性的國際電工委員會的一般性標準，自 2004 年生效以來已經(jīng)得到世界各地的認可，適用于各個領域的安全相關系統(tǒng)。

　　在專門為功能安全性制定的其他標準中，有一項系專門為汽車行業(yè)的功能安全性制定，這就是國際標準化組織的 ISO 26262。這項新標準尚在制定過程中，預計將于 2012 年頒布，旨在支持和推動汽車行業(yè)中安全產(chǎn)品的開發(fā)工作。它覆蓋了從構(gòu)想、產(chǎn)品開發(fā)、生產(chǎn)和經(jīng)營的所有安全工作。

　　事實上，功能安全，即不允許發(fā)生因電氣/電氣系統(tǒng)的功能失常導致的危險性造成不可接受的風險，業(yè)已成為汽車設計中的一項重要要求。該擬在近期頒布的標準專門針對汽車行業(yè)的實際情況，定義了可接受的風險，重在防范惡性故障。為此，“風險”一詞的定義為發(fā)生傷害或者損害的可能性及傷害或者損害的嚴重性。在工程開發(fā)階段，該標準要求提前評估所有潛在的危險和風險，并要求開發(fā)人員采取適當?shù)拇胧┍M最大可能予以消除。ISO 26262 提供了適當?shù)囊蠛土鞒蹋笇绾伪苊膺@些風險。

　　根據(jù)該標準的要求，汽車的功能被分成安全相關功能和非安全相關功能兩大類。安全相關功能指如果功能失常就會給駕駛員帶來風險的功能。對分類為安全相關功能的功能，該標準進一步設定了數(shù)個可能的風險等級。就是說從確保具體的安全目標的角度出發(fā)，某些功能的比另一些功能更加關鍵。

　　根據(jù)可能發(fā)生的事故的嚴重性、出現(xiàn)特定駕駛狀況的概率、采用外部措施降低風險的程度，該標準定義了一系列汽車安全完整性等級 （ASIL））。該系列等級具體分為四個等級，從 D 到 A。D 代表最高安全等級，A 代表最低安全等級。每個 ASIL 等級都列明汽車制造商和供應商必須滿足的要求或建議，以將“不可容許的嚴重風險”降低為可容許殘余風險。

　　例如，如果在車輛行駛中方向盤軸被卡住，駕駛員就可能遭遇事故，因為駕駛員無法轉(zhuǎn)動方向盤。為將該風險降低到可容許的水平，方向盤軸控制功能的設計就必須根據(jù) ISO 26262 標準和為此安全目標設定的 ASIL 等級滿足一定的安全設計標準。

　　軟件開發(fā)人員和硬件開發(fā)人員必須依據(jù)每一項安全目標的 ASIL 等級，在實現(xiàn)涉及的功能的時候思考具體的安全措施。對高安全等級的 ASIL（D 或 C），常用的設計方法是將安全要求分解為冗余安全要求，以便采用充分獨立的元件在較低的 ASIL 等級上滿足 ASIL 容許度要求。換句話說，就是將原始的安全要求用不同的處理器（一般為 MCU）冗余地實現(xiàn)，采用冗余通道最大程度地降低惡性故障發(fā)生的概率。

　　最后，制造商和供應商需要向認證機構(gòu)證明自己的電氣/電子系統(tǒng)能夠根據(jù)行業(yè)專門的規(guī)定安全可靠地提供要求的功能。