面向ASIL-D项目的安全架构实践

从MCU Lockstep到双ECU冷冗余的工程化实现

---

一、ASIL-D的本质要求

ISO 26262 对 ASIL-D 系统提出了两类关键指标：

指标	含义	要求
SPFM (Single Point Fault Metric)	单点故障不致命的比例	≥ 99%
LFM (Latent Fault Metric)	潜在多故障可被发现的比例	≥ 90%

换句话说：

ASIL-D 系统要能检测几乎所有可能导致安全目标违背的单点故障，并能在潜在双故障前识别风险。

---

二、ASIL-D系统的四级防线架构

ASIL-D的设计思想可以分为四层防护逻辑：

1️⃣ 硬件层冗余：MCU Lockstep、双电源域、双ADC 2️⃣ 执行层监控：任务监控、看门狗、输出反馈 3️⃣ 系统层降级：Limp Home、功能切换、输出冻结 4️⃣ 通信层安全