飞思卡尔双核控制器系列

前言

电子稳固性控制、动力转向与自适应巡航控制有什么共同之处？关于系统设计师来说，设计出此类系统、同时知足一流的功能性安全要求是一项极具挑战性的任务。应用功能的数目和复杂性都在上涨，开发成本压力很高，走向市场的时间在缩短。

针对采纳复杂的控制算法、且安全要求严格的应用的设计工程师，看似有宽泛的系统架构进行选择。但是，此刻现有的大部分微控制器解决方案或许缺少灵巧性，不可以支持各样功能性安全观点，或许要求在安全软

件方面投入很大。另一方面，额外的软件增添了复杂度并更简单致使系统故障。

因此，我们为MPC564xL系列双核控制器的开发提出了以下的口号：

高效—供给最高性能水平（以更少的投入，实现更多产出），更低的时钟频次，并实现智能外头协调

灵巧—建立一种支持多重安全架构的双核观点并让用户在性能和安全水平之间获得均衡

安全—形成一个切合SIL3/ASILD标准的安全观点并经过在硬件中加入要点安全组件和自测功能降低软件复杂度

功能性安全观点

2.1业界趋向

跟着价值更高的车载功能的推出和连续的汽车电气化趋向，可编程电子系统（而非机械零件）愈来愈多地担当着安全要求严格的功能。这些系统的复杂度决定了完好确立全部潜伏的故障模式或检测全部可能的行为是不行能的。

因此，系统工程师面对的挑战是，要设计出能够防备危险故障发生或起码在故障发生的时候供给足够控制的控制单元。危险故障可能由以下原由惹起：

随机硬件故障体制

系统性硬件故障体制

软件错误

共因故障

这些故障模式关于电子控制单元设计来说是一大挑战，并且关于微控制器等复杂零件来说，它们是有关系的。

所以，IEC61508和马上奏效的ISO26262等业界标正确立了四个安全真切性等级，每个对应某一安全功能出现故障的概率范围。

2.2飞思卡尔安全观点原理

在安全要求严格应用的双核控制器设计方面，飞思卡尔已经拥有十多年的经验。为了让最新双核办理器系

列采纳整体安全观点，第三方功能性安全专家正在着手对观点的实行以及设计流程进行监控和评估。

在此基础上，飞思卡尔开发了一种面向MPC564xL系列的切合IEC61508SIL3标准的功能性安全观点。

要点放在以下几方面：

供给预防单点故障的举措

单点故障可能直接与系统安全功能密切有关，并且往常需要进行迅速检测。此类故障的典型例子是由外面要素（如辐射或电磁扰乱）致使的内核或内存的大转变。最低要求是在系统安全时间内对这些故障进行检

测。在汽车电子应用中，系统安全时间往常在1ms和30ms之间。

作为防备单点故障的要点举措，域)，它同意用户以双核锁步

MPC564xL办理器引入了一种所谓的

(lockstep)模式运转微办理器的要点组件。

“SoR”(sphereofreplication

，复制区

供给预防潜伏故障的举措

潜伏故障往常是“隐蔽的”。只管已经发生，但这些故障仍未对系统安全功能造成伤害。一个例子就是履行内存故障检测/纠正的EEC逻辑出现故障。只有当发生内存出现大转变（比方在闪存模块中）并因此没法进前进一步检测/纠正的时候，故障才是严重的。

MPC564xL控制器架构供给硬件自检(BIST)体制，用于对这类种类的故障进行检测。这些测试利用微控制器逻辑单元，覆盖率达到90%或更高。所以，即便当实质应用并未触发全部硬件模块的时候也能够识

别出潜伏故障。

供给预防共因故障

(CCF)

的举措

共因故障可能由MPC564xL架构的冗余组件仍旧共享一个芯片致使。典型例子是系统时钟或供电问题，

它们可能以近似的方式影响到芯片内部的时钟并可能造成相同的故障。所以，在锁步模式下，“冗余地区”的两个通道都运转相同的软件，此类故障不会被检测出。

MPC564xL系列供给用于时钟偏离的硬件模块以及用于主要电压（如内部核心电压、闪存供电电压等）的硬件监测器。

2.3复制地区

“复制地区”是MPC564xL器件架构的逻辑零件。该零件能够设置为以“锁步模式”运转。“锁步模式”表示控制器的这个零件同时并行运转同一组操作。锁步操作的输出能够经过所谓的“冗余校验单元”进行比较。这

些单元测定能否已出现故障。假如出现故障，一个故障信号会转发到一个独自的硬件时钟，即故障收集和控制单元。

过去，复制原则和锁步模式绝大部分用于内核。这能够实现对内核故障做出极快的反响，特别是在几个时钟周期范围内。

MPC564xL系列将更进一步，在“复制地区”上增添其余要点硬件模块。主要的组件包含：

包含内存保护单元在内的交错开关矩阵(Crossbar)

中止控制器

DMA单元

软件看门狗准时器

图4：MPC564xL扩展冗余地区

2.4内存ECC

为MC564xL系列实行的ECC方案能够收集全部的单比特错误，检测全部的双比特错误并检测几种影响两个以上比特的故障。ECC计算不影响器件的性能。

特别关于SRAM来说，地点信息包含在ECC的计算和估测以内。这实现了对

RAM

阵列内潜伏的编址

错误的检测。双比特或多比特错误被转发到故障收集和控制单元。

图5：SRAM地点监控的MPC564xLECC方案

2.5电压实时钟监控

关于安全要点性系统的设计和实行，电压监控能力是一个重要的方面。为了简化

电源排序有关的额外故障源，MPC564xL系列采纳了3.3V单调电源电压观点。

ECU

供电设计并防止与

电源管理单元(PMU)为器件上的全部模块管理电源电压并为低压和高压检测供给片上监测器。这些监测

器的的故障指示灯被前移到故障收集单元(FaultCollectionUnit)和重置发生单元(ResetGeneration

Unit)。

能够对

MPC564xL

电压监测器进行测试。用于内部生成的核心电压的过压

/欠压检测器供给硬件辅助下的

自检测。测试需要在启动过程中由软件触发。运转时的电压监控在后台进行，不必进一步软件配合。

关于依据SIL3/ASILD经过IEC61508或ISO26262认证的系统，对时钟信号的监控是强迫性的。MPC564xL系列使用专用的时钟监控单元(CMU)监察时钟源完好性。微办理器的要点组件，如“复制地区”、马达控制的外设以及Flexray等通讯模块采纳专用时钟监控器。时钟故障以信令的形式通知故障收集单元。为了在其余时钟源出现错误的时候保证故障收集单元的独立性，该模块能够在一个16MHz的内部RC时钟上独立运转。2.6内置自检测功能为了实现硬件解决方案自检测而不是软件自检测体制，MPC564xL器件架构供给各样内置自检测(BIST)功能。比如，对每个启动序列都履行自动的器件内置自检测。当微办理器仍在重置(RESET)阶段的时候，检测已经达成了。所以，应用启动进度和开机启动软件不受影响。只有在初始的自检测达成且没有检测就任何故障的时候，应用软件才启动。

2.7故障收集和管理

故障收集单元(FCU)是MPC564xL功能性安全架构的一个核心组件。这一硬件模块旨在简化控制器水平的故障报告和安全要求严格应用的管理。它供给一个冗余硬件通道。当存在重要故障的时候，该通道能

够实此刻安全的状态下对器件进行有管理的迁徙。这一操作不必CPU干涉。

故障收集单元能够办理控制器的内部信号并让用户选择不一样的故障信号办理方式。

依据默认配置，在启动的时候，一旦故障收集单元进入激活状态，自检测流程对该单元的逻辑电路进行校验。

关于外面故障信令，FCU供给两个双向信号。

为了保证在其余控制器模块或主内核出现故障的时候FCU的独立性，该模块运转在一个独立的16MHz

内部RC时钟上。所以保证了对输出信号和时间的最后计算。

总结

这是当前的发展趋向。特别是汽车底座和安全领域的应用功能的数目和复杂性都在上涨，开发成本压力在增添，走向市场的时间在缩短的状况下。能够帮助设计师把精力投入在实质的应用程序上，减少在安全概

念开发和认证方面的困难和挑战的微控制器特征，关于ECU设计师来说，是一个不言而喻的附涨价值。

飞思卡尔发展了MPC564xL系列特征，旨在知足这些市场要求。打破性的双核观点赐予了设计师在系统安全架构选择上的灵巧性，并以单调控制器系列实现了性能和安全需求的均衡。

出师表

两汉：诸葛亮

先帝创业未半而中道崩殂，今日下三分，益州疲弊，此诚紧急生死之秋也。然侍卫之臣不懈于内，忠志之士忘身于外者，盖追先帝之殊遇，欲报之于陛下也。诚宜开张圣听，以光先帝遗德，恢弘志士之气，不宜自轻自贱，引喻失义，以塞忠谏之路也。

宫中府中，俱为一体；陟罚臧否，不宜异同。如有作奸不法及为忠善者，宜付有司论其刑赏，以昭陛下平明之理；不宜偏私，使内外异法也。

侍中、侍郎郭攸之、费祎、董允等，此皆良实，志虑忠纯，是以先帝简拔以遗陛下：愚认为宫中之事，事无大小，悉以咨之，而后实行，必能裨补阙漏，有所广益。

将军向宠，性行淑均，晓畅军事，试用于往日，先帝称之曰愚认为营中之事，悉以咨之，必能使行阵友善，好坏得所。

“能”，是以众议举宠为督：

亲贤臣，远小人，此先汉所以兴旺也；亲小人，远贤臣，今后汉所以倾颓也。先帝在时，每与臣论此事，何尝不惋惜怨恨于桓、灵也。侍中、尚书、长史、从军，此悉贞良死节之臣，

愿陛下亲之、信之，则汉室之隆，可计日而待也。

臣本布衣，躬耕于南阳，苟全性命于乱世，不求闻达于诸侯。先帝不以臣鄙俗，猥自枉屈，三顾臣于草庐之中，咨臣以当世之事，由是感谢，遂许先帝以驱驰。后值颠覆，受任于败军之际，授命于危难之间，尔来二十有一年矣。

先帝知臣慎重，故临崩寄臣以大事也。授命以来，夙夜忧叹，恐交