提高汽车以太网应用的安全性

汽车电子

2371人已加入

描述

本文介绍了一种新的方法,通过将FMEDA等分析方法与基于仿真的方法相结合,从而显著减少安全验证工作,并实现更快的产品认证。自动化故障注入是一种成熟的测试方法,用于验证安全机制的正确实施,并对FIT率进行更真实的估计。

汽车行业正在全力开发自动驾驶汽车,并牢记两个主要目标:

·实现全自动驾驶(完全无人驾驶)

·减少交通事故,让汽车更安全

高级驾驶辅助系统(ADAS)利用摄像头、激光雷达、毫米波雷达和超声波等各种传感器,来全面感知汽车周围的环境。这些传感器生成大量实时数据。基于高速通信的汽车以太网提供了进一步在车内分发数据的带宽。

除了传感器之外,还需要高清数字地图、高精度定位、基于云的服务,以及车对车和车对基础设施(V2X)通信,以确保自动驾驶汽车的鲁棒性、可靠性和安全性。因此,汽车的电子的技术范围迅速增加,比如依靠新型高性能SoC处理所有传感器数据,以实时控制车辆。

这些对安全至关重要的SoC需要专门的功能安全验证流程,然后才能用于汽车。ISO 26262是公认的标准,用于确保汽车系统的功能安全。ISO 26262标准第2版(2018年发布)的扩展部分专门对半导体相关的失效分析提出了要求。

提高汽车以太网应用的安全性

汽车行业的发展趋势正趋向基于开放IEEE标准的车载(IVN)以太网。在开放联盟SIG的推动下,这些标准有利于开发更简单,但更强大的汽车电气/电子架构。音频/视频桥接(AVB)和时间敏感网络(TSN)是实现汽车以太网的关键标准。

AVB通过IEEE 802网络启用时间同步的流媒体服务。然而,为了满足关键任务控制功能(例如基于摄像头的驾驶辅助系统和紧急制动)的安全要求,业界正在开发一套新的开放标准(统称为TSN)。TSN能够实时实现稳健、低延迟、确定性和同步的数据包传输,是AVB标准的一个超级集合。它支持安全相关机制,包括:

·帧抢占(IEEE 802.3br)以优先考虑不同的数据类别

·帧复制和消除,以支持可靠通信的冗余路径(IEEE 802.1CB)

·发送/接收数据包验证/确认,以确认成功接收数据

·监管和过滤(IEEE 802.1Qci),以检测和缓解网络中其他系统的破坏性传输(例如,防止“胡说八道”故障),从而提高网络的稳健性

·主时钟冗余和故障检测,支持实时时钟(IEEE 802.1AS-Rev)

在以下示例中,我们将重点关注车内的高速通信,并分析以太网MAC(媒体访问控制器)的安全相关功能对FIT的影响,从而对以太网通信可实现的总体ASIL(汽车安全完整性等级)的影响。

ADAS系统

图1:安全机制有助于提高以太网MAC的稳健性

结合安全分析和安全验证

由于所有安全关键子系统都影响汽车的整体安全,因此全面的安全架构是实现所需安全目标的关键。SoC的安全功能是整个安全系统的关键部分。因此,很重要的一点是,可以在SoC级别利用IP模块的安全特性减少整体工作量。在设计IP的安全特性时,应牢记这种重复使用。

安全机制的主要目标是检测故障并启动适当的措施,例如使系统处于安全模式(失效安全),甚至纠正故障以继续正常运行(失效运行)。

有多种方法可用于评估系统的整体安全水平。失效模式影响分析(FMEA)的主要目标是,确定组件失效对系统可靠性或安全性的影响。此外,FMEDA分析根据IEC 61508和ISO 26262标准的要求,确定系统的安全失效占比(SFF)和诊断覆盖率(DC)。

需要输入组件的已知失效模式和相关失效率(FIT)数据来分析,并在必要时优化系统的整体安全等级。由于FMEA是一种自下而上的方法,因此分析的准确性在很大程度上取决于最低级别的FIT率的准确性。然而,由于这种方法依赖于标准器件普遍可用的FIT率,不适用于特定应用的SoC,因为FIT率通常不适用于设计IP。

因此,仅通过查看设计的结构,FIT率计算往往是估计值,并且本质上是静态的。因此,这些FIT率估计往往非常悲观,这可能导致设计的安全组件的过度设计。更好的方法是只考虑实际的失效模式,即查看与每个应用程序关联的相关安全机制。

从FMEA计划开始,安全工程师通常会估算芯片所有组件(IP)的FIT率。有针对性的故障注入,使他们能够模拟对系统行为的影响并对故障进行分类。与静态方法(例如基于目录的方法)相比,使用故障注入的故障分类提供了更真实的FIT率估计。

故障可分为三类:

·不会传播到系统中且对系统的正确运行没有负面影响的故障

·检测到的导致系统危险失效的故障

·未检测到的导致系统危险失效的故障

观察点的故障分类可以计算系统的安全故障占比(SFF)和诊断覆盖率(DC)。92%的SFF值等价于10E-4到10E-3之间的失效概率(PFD)。对应于安全完整性等级(SIL)为3,换算成每小时失效率(PFH)为10E-8至10E-7之间,FIT率<100,至少对应于ASIL-C。如计算所示(图2),通过更好地识别未检测到的危险故障,可以显著提高系统的安全等级。

ADAS系统

图2:使用故障注入验证SoC安全架构

确保以太网IP中的功能安全

通常以太网MAC IP中添加了多种安全机制,以使其对汽车SoC(例如ADAS应用)具有功能安全性(图1)。此外,需要一种定义明确的方法,比如基于高度集成的验证工具实现对复杂SoC的所有安全机制的自动化安全验证。

安全验证和功能验证需要齐头并进。功能验证期间生成的仿真结果也可以重新用于安全验证:

·FMEDA和故障树分析(FTA)等标准技术用于创建结构化的安全计划,记录设计的所有安全机制——无论是作为上下文中的安全元素,还是作为上下文之外的安全元素。

·失效模式应与设计元素相关联,以计算准确的FIT率分布。对于具有动态行为的安全元素,基于目录的FIT率不够准确。而将失效模式与设计联系起来,使其更加准确。

·故障注入活动应与FMEDA报告相关联。与进行盲目的故障分析活动相比,这使得故障分析活动更加现实。

·中央故障数据库是必不可少的——由于解决方案将使用多个引擎,所有引擎必须能够相互通信并共享数据,这意味着要有一个可扩展、可搜索的中央数据库。

故障注入是一个计算密集型的过程。有许多不同类型的执行引擎可用于故障注入:

·基于软件的仿真引擎(如Cadence Incisive功能安全模拟器)

·硬件辅助引擎(Cadence Palladium平台)

·形式化方法论(Cadence JasperGold平台)

我们需要使用所有可用的引擎来获得故障注入的最佳吞吐量。基于仿真的引擎可用于短期测试、完全回归以及需要详细调试的场景。硬件辅助引擎可用于完整SoC的长延迟测试和基于软件的测试。通过进行形式化的逻辑和等价性分析,可以使用形式化引擎形式化地减少故障注入空间。

上述所有技术的巧妙组合,对于有效的功能安全验证非常重要。因此,对于以太网MAC,功能验证首先在安全功能关闭的情况下完成,这为功能提供了基线指标。然后,打开安全功能以评估设计在功能安全模式下的行为。这也使我们能够衡量单点失效率和诊断覆盖率等指标,并确保它们符合我们的资格要求。

测量上述指标的最有效方法,是在定义的故障注入点使用故障注入——无论是永久性故障还是瞬态故障(图3)。FMEDA结果可用于识别要注入的最佳故障集。故障观察点在安全机制之前和之后设置,可连接回FMEDA中的失效模式。通过比较有故障注入和无故障注入的仿真结果来检测故障。值的任何不匹配(包括这些值出现的时间)都会检测到故障。只有通过系统传播到观察点的注入故障才能被后续的安全机制识别,并通过纠错码(ECC)进行修复。

ADAS系统

图3:结合安全分析和安全验证

上述功能安全解决方案和方法是一种结构化和可扩展的方法,这意味着创建的FMEDA和测量的指标可以反馈到使用此IP的更大SoC中。这个过程允许用户在SoC级别重复使用已经在IP级别完成的工作,并在SoC级别实现更高的质量。

对于以太网MAC IP,我们的安全目标是ASIL-B。这一目标是通过添加适当的安全机制来实现的,如图1所示。IP的未来版本将针对更高级别的ASIL认证。

总结

对于采用以太网的安全通信的复杂汽车SoC,需要适当的IP,包括安全机制和协议支持。此外,安全验证需要可扩展的方法。将分析方法与基于仿真的方法相结合的综合方法,有助于显著减少安全验证工作,并实现更快的ISO26262产品认证。

自动化故障注入是一种适用的测试方法,用于验证安全机制的实施,并为FMEDA分析提供准确的FIT率估计。这清楚地说明了为什么支持TSN等协议标准,以及用于故障识别的综合安全机制对于汽车设计很重要。





审核编辑:刘清

打开APP阅读更多精彩内容
声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉

全部0条评论

快来发表一下你的评论吧 !

×
20
完善资料,
赚取积分