ChrisKKC的博客

功能安全（Functional Safety）中的TSC（Technical Safety Concept，技术安全概念）状态转换是指系统在不同安全状态之间转换的过程。• 安全分析：通过状态转换图（State Transition Diagram）或状态转换表（State Transition Table）分析系统行为，确保所有可能的状态和转换都被覆盖。4. 状态转换在功能安全中的应用。• 安全机制的触发：例如，在自动驾驶系统中，当传感器检测到障碍物时，系统从“自动驾驶”状态切换到“紧急制动”状态。

防御 DOS 攻击通常是指被防护的设备（内网 IP） 不被外部某种数据包类型超过预定的阈值被动通信或干扰， 所以我们检测的目标是外部到内部的特定类型（ICMP、 TCP、 UDP） IP数据包在单位时间内计数， 当计数超过设定的阈值时就丢包。网络安全功能处于驱动和网络协议栈之间， 也就是在数据包进入网络协议栈之前由网络安全判别后， 如果是合法的数据包才允许进入协议栈处理， 非法的数据包根据用户的配置是否丢弃还是允许进入协议栈并做日志记录。设计一个统一接口， 解析并配置网络安全功能都有对应的配置功能项。

用户按动车内一键启动开关，触发PEPS控制器驱动LF天线发射低配无线信号寻找车钥匙，车钥匙发射RF信号反馈给PEPS控制器RF接收模块，若车钥匙为本车钥匙，则PEPS控制器驱动电源管理继电器吸合（IGN1、IGN2、ACC、ST四个继电器，继电器数量根据实车有所差异）。UHF receiver 常见品牌较多，如TI、NXP、INFINEON、ATMEL等，以下为NXP品牌列举，其他品牌未有整理，不列出，常见ATMEL ATA5781;非收了NXP广告费，只是懒得整理更多的对比了，以下其他芯片选型参考也是。

1.1汽车产品开发基于需求，需求是产品开发的基础。好的需求一定程度直接决定产品性能和质量，对汽车功能安全开发也不例外。我们所熟知的功能实现的需求多源于用户需求，而功能安全开发的需求源于功能实现部分。功能层面的需求: 相对抽象的逻辑功能需求(就是大爷大妈们也能看得懂)，需细化至技术需求技术层面的需求: 技术可实施的需求，可直接转化为软硬件开发功能安全概念阶段开发本质就是，在相对抽象的逻辑功能层面，通过安全分析提出功能安全开发最初的安全需求。因此，被称为概念阶段。

也是BOSCH体系定义的电子电气架构最终阶段，区域控制器会“返璞归真”，将所有特殊接口的能力打包成真正统一的虚拟服务接口，而这其中的关键条件则在于区域控制器是否具备了完整的原子服务，例如，一旦区域能够提供“视频解析”的原子服务，那么我们无需在区域上接入LVDS信号，直接通过千兆以太网将视频服务“原封不动”地传递到区域上，然后在区域控制器里会有对应的“解码器”，将这些信号解析、解码、重构、并打包成服务，以极低的延时和极高的保真率提供给不同的处理单元和控制模块。下图是相关的工具链情况。

即“运行于IP之上的可伸缩的面向服务的中间件”。后面整个开发流程是输出相关的SSTS文档，服务Owner会基于集合定义的服务规范，基于定义去填写服务接口需求表文档交付到网络开发，作为网络通信矩阵开发的一个输入，网络开发会交付相关的通信矩阵和相关的ARXML数据库，然后提供到软件开发作为文档的输入。整个架构设计流程是，通过功能方案的一个大致落地，对服务进行一个抽取形成整车服务的集合，服务集合会包含服务、服务接口大致的梳理和定义，基于整车服务的集合，每个负责服务的Owner对自己负责的服务进行服务规范的梳理。

从逻辑上和高层抽象来看，目前，实现 SOA 的方法也比较多，其中主流方式有 Web Service、企业服务总线和服务注册表。

一个服务往往会包含多个服务访问入口，而每个访问入口都会使用一个端口元素来描述，端口描述的是一个服务访问入口的部署细节，例如，通过哪个地址来访问，应当使用怎样的消息调用模式来访问等。（Universal DescriptionDiscovery and Integration，统一描述、发现和集成），是服务的信息注册规范，提供了一种服务发布、查找和定位的方法，以便被需要该服务的用户发现和使用它。封装的元素名是 Envelope，在表示消息的 XML 文档中，封装是顶层元素，在 SOAP 消息中必须出现。

车载以太网与传统以太网相比，车载以太网仅需要使用1对双绞线，且车载以太网并未指定特定的连接器，连接方式更为灵活小巧，能够大大减轻线束重量。当下主流的车载以太网协议主要为IEEE 100BASE-T1以及IEEE 1000BASE-T1，常规使用可采用100BASE-T1,如果需要更高带宽，可选择1000BASE-T1。网络层就是IP协议所在的层级，IP协议可以分为IPV4以及IPV6，常用的主要是IPV4，IP协议的主要作用就是基于IP地址转发分包数据。在车载以太网领域，目前主流涉及到的应用协议主要有。

这是从整车表现角度来说大概说明了下为什么需要标定，而从汽车研发角度来说，在工程应用问题上，很多零部件（发动机，电机和电池等）的特性仅通过数学模型形式很难准确表达，需要通过大量的实验测试来摸清规律，再通过工程手段或方法来表示。另外汽车应用环境非常复杂，比如变速箱控制，受温度，气压和坡度等诸多因素影响，为了得到更好的控制效果，也需要大量的试错和调试，才能获取更优的控制方法和参数，因此标定工程师每年都要去三高（高寒，高温，高海拔）环境测试。答案就是XCP协议！图中，ASAM-MCD-1MC，即XCP协议；

截至2023年底，我国在轨运行的北斗导航卫星数量为48颗‌，包括15颗北斗二号卫星和33颗北斗三号卫星‌。现今，GPS 共有 在轨 工作卫星 31 颗，其中 GPS-2A 卫星 10 颗，GPS-2R卫星 12 颗，经现代化改进的带 M 码 信号的 GPS-2R-M 和 GPS-2F 卫星共 9 颗。Galileo 系统总投资达 35 亿欧元的伽利略计划是欧洲自主的、独立的民用全球卫星导航系统，提供高精度，高可靠性的定位服务，实现完全非军方控制、管理，可以进行覆盖全球的导航和定位功能。

在设计汽车SoC芯片时，功能安全岛和信息安全岛应紧密集成，以实现协同工作。FSI和ISI之间通过专用的安全通信通道进行交互，确保安全相关信息的实时传递和处理。

因此从传统的CAN升级到CAN XL，CAN节点的数量可以任意增加或减少，不会对其他的节点有影响。CAN XL还具有可扩展性，可以在成本、速度和网络复杂性之间灵活权衡，同时，CAN XL具有广泛的可用性，可以在绝大多数下一代汽车µC中提供。CANXL通过位仲裁机制解决总线的访问权限问题，遵循严格的优先级判定，让更重要的报文得到更短延迟的传输。其中，FDF表示这帧报文是经典CAN还是CANFD，FDF选择了CANFD后，就可以额外选择XLF段，进一步表示这帧报文是CANXL。

SIC：Signal Improvement Capability，即信号改善功能，CANSIC即改善CAN传输。与CAN FD相比，CAN SIC的优化主要体现在驱动电路上，其增加了一个强驱电路。如上所述振铃往往发生在从显性到隐形状态，因此，可以在该转换过程中增加一个额外的强驱电路，以控制总线电平的切换斜率，从而确保数据不出错。

具体需要采用的安全机制绝大部分取决于需要实现的ASIL等级，ASIL等级越高，需要采用的高诊断覆盖率的安全机制就越多。功能安全岛，本质上就是一颗满足高ASIL级别的MCU芯片，以外接形式或者直接嵌入SoC之中而已，以下图TDA4VM为例，其中直接集成了一颗MCU Island，采取了双核锁步的芯片架构 Arm Cortex R5F，独立的时钟，看门狗模块，内存等。一般情况下，FSI控制单元需要通过冗余设计(如双核心、双通道架构)，确保系统在一个部分发生故障时，另一个部分能够接管并维持系统的正常运行。

挖机手标定装载位并广播装载信息，无人矿车收到挖机发送的装载信息（包含装载位坐标、朝向等信息），无人矿车自动驾驶域结合本车状态、定位、地图等信息做出决策，规划行驶路径至装载位并发出就位信息等待装载，挖机手在收到就位通知后开始装载。其中挖机： 负责C-V2X数据处理，发送和接收装载信息、离场信息、就位信息。1) 挖机手通过人机交互终端标注合适的装载位，将装载位ID、位置、朝向角、长宽高等信息通过C-V2X OBU设备广播给待装的无人矿车，同时可以通过唯一身份ID指定特定的无人矿车进行响应。

1) 数据输入：高精度地图信息、 车辆行车路径规划、本车的摄像头信号（车道信息、交通参与者信息）、雷达信号（车辆和行人的姿态信息）、本车的车辆位置信息、 姿态信息、 车辆异常信息和车灯信息，远车信息（ 车速、位置、载货重量以及行车路径规划）；2) 分析接收到远车BSM Port消息（ 车速、位置、载货重量以及行车路径规划） ， 同时根据本车的行车路径规划信息、行车速度， 计算两车若存在碰撞可能，则进行避让；收到 “减速、停车避让指令” 的车辆根据两车的位置、车速以及行车路径，进行减速或停车避让。

跟随车在紧跟前车队列模式的基础上整合了L4单车智能的完整功能，能合理应对诸如社会车加塞队列、红绿灯打断队列、收费站通行、甚至因领航车不合理驾驶（如不合理换道）造成的跟随车高风险场景，在跟随车丢车过远的情况下还能以L4单车模式追赶前车并完成重新组队。例如，在高速公路上行驶的一组编队车辆，遇到异常障碍物体。例如，在编队解决方案中，车队最多由六辆车组成，前后车最长间距可以达到200 m，通过多车联合可以感知车队前后至少50 m范围内的信息，有效突破单车感知的视域局限，显著提升感知能力。

1) 数据输入： 本车摄像头信号（车道信息、交通参与者信息） ， 雷达信号（车辆和行人的位置和姿态） ， C-V2X有效数据（目标车辆、 行人、地图和红绿灯信息） ，高精度地图信息（可选）， 本车的车辆位置信息、 姿态信息和车辆异常信息等；1) 本车车端C-V2X协同应用系统融合自车的摄像头/雷达的感知信息，以及通过C-V2X直连通信获取到周围目标物信息和道路交通信息，判断与前车的安全距离以及信号灯状态，决策能否通行以及行驶速度；✓ 通过目标车广播的BSM消息，提前获知前车的行驶意图，输出控车。

车端C-V2X协同应用系统中将摄像头、雷达等单车感知数据与C-V2X数据进行融合，当检测到本车与目标物存在碰撞风险时，车端C-V2X协同应用系统通过HMI消息提醒人类驾驶员，并在必要时发出控车信号（刹车或降低车速）从而避免碰撞或减轻碰撞程度。C-AEB在传统AEB单车感知的基础上引入C-V2X技术。1) 数据输入： 本车摄像头信号（车道信息、交通参与者信息）、雷达信号（车辆和行人的位置和姿态）， C-V2X有效数据（目标车辆、行人）， 高精度地图信息（可选），本车的车辆位置信息、 姿态信息和。

假设有一辆车（ HV）沿车道行驶，突然收到前方车辆RV发出的 BSM事件消息-车辆突发紧急状况，车端C-V2X协同应用系统发出“前方车辆突发紧急状况” 提醒消息， 人类驾驶员收到提醒后及时减速或刹车，避免碰撞风险。第一辆车辆异常后，相当于立即在一定范围内放置了虚拟的数字三角牌，在此范围内搭载C-V2X功能的车辆，都可以“看”到数字三角牌，从而及早采取措施，避免事故、拯救生命。2) 判断该异常车辆在行驶道路的前方（相同或相向）道路上，则计算该车辆到达异常车辆位置的TTC或距离CAR， 计算触发预警的时机；

汽车智驾系统，尤其是高级或者自动驾驶系统，安全三座大山，即功能安全(ISO 26262)，预期功能安全(ISO 21448)，信息安全(ISO 21434)，对整个系统的安全提出了很高的要求，因此，除了实现功能本身外，还需要对系统各个模块提供实时监控、故障检测、安全通信，为安全策略的执行提供可能性。本质上就是一颗车规级嵌入式高安全级别要求的MCU(例如，ASIL D)。为了实现较高的安全性，安全岛必须和SoC其余硬件部分隔离开，形成单独的一个区域，这就好像大海中间一个独立的岛屿，所以安全岛的名称由此而来。

在SoC的右侧，首先是PHY（物理层接口），它是一个数模混合模块，负责实现特定通信协议的物理层功能，需要模拟工程师的重点关注。紧邻的是AFE（模拟前端），它对微弱的模拟信号进行放大和处理，然后将其转换为适合ADC或数字电路处理的格式。尽管每个SoC芯片的具体模块配置可能因应用需求而异，但左侧列出的模块，如微处理器、总线、SRAM、NVM和外设接口控制电路，几乎在所有SoC设计中都是标准配置。随着技术的发展，SoC设计将继续向着更高的集成度、更低的功耗和更强的性能方向发展，以满足不断增长的市场需求。

汽车SoC控制器是一个高度集成的芯片，属于相对定制化的解决方案，内含多个关键组件，每个组件都在整体架构中扮演着重要角色，针对不同的应用领域和需求，所集成的组件也不尽相同。

为了应对这些挑战，汽车制造商和半导体公司开始采用SoC(System on Chip)控制器，它将计算、存储、通信和传感器接口集成在一个芯片上，提供更强的处理能力、更高的集成度和更好的能效表现，从而支持汽车的智能化发展，SoC这种多核异构的架构也就成应运而生。随着汽车从传统的机械工具向智能移动终端转型，车载电子系统的复杂性和功能性呈现爆炸性增长。过去分布式电子电气架构下，车辆的控制系统由多个ECU（电子控制单元）组成，每个ECU负责特定的功能。

SoC 设计协调了不同部件，如中央处理单元 (CPU)、内存子系统 (RAM、ROM)、输入/输出接口 (GPIO、UART、USB)、图形处理单元 (GPU)、加速器等整合到一个芯片上。CPU（Central Processing Unit，中央处理器）中央处理单元，基于该CPU运行系统软件/应用软件，配合芯片内部的其他硬件模块，实现产品的各种功能。这种定制也使得不同设备模型之间的灵活性得以实现。SoC 可以结合不同类型的处理单元，如 CPU、GPU、DSP 和专用加速器，以优化各种工作负载的性能。

芯片系统（System-on-Chip，SoC）是一种集成电路，将一个系统所需的所有组件压缩到一块硅片上。通过消除对独立和大型系统组件的需求，SoC 极大地简化了电路板设计，并在不影响系统功能的情况下，显著提高了功率效率和速度。此外，强大的处理器和图形能力的加入，使得智能手机等移动设备成为人们日常生活中不可或缺的一部分，引领了新的生活方式。混合信号集成技术的发展，进一步推动了芯片的功能多元化，使得芯片能够处理模拟和数字信号，从而拓宽了其应用范围。随着时间的推移，技术的发展逐步实现了这一愿景。

同时，所有的决策和控制软件都被整合到了一个中央计算平台上，这样做能让软件的功能更加专一，也更容易重复使用。通信采用千兆以太网技术；天元架构是国内较为的“软件定义汽车”架构，包括1个中央控制器、4个区域控制器和Telematics-BOX车联网终端，旨在实现汽车的高度智能化和网络连接。基于LEAP3.0“四叶草” 中央+区域架构， 实现四域合一，ECU 大量减少，相比LEAP2.0域集中式架构，汽车控制器从 42 个减少至 28 个，整车线束也被缩短到了低于1.5 km 的长度内，重量减轻到 23 kg。

圆锥筒信息推送场景是指在道路施工或交通管制现场，由于圆锥筒尺寸小、外观多样、使用环境复杂等特点，导致智能驾驶系统或人类驾驶员无法及时发现放置在道路上的圆锥筒，存在潜在的安全风险。云平台或智慧圆锥筒系统识别出占道施工事件， C-V2X RSU通过RSI消息广播识别到的施工事件信息，车端C-V2X协同应用系统收到此消息后，判断本车处于影响范围内，输出“ 前方施工区域” 预警消息。圆锥筒信息推送场景的系统间信息交互流程如下图所示，主要描述不同系统间的信息交互内容，以及车端C-V2X协同应用系统的处理流程。

路侧融合感知设备识别到行人，通过路侧MEC发送给C-V2X RSU， RSU通过RSM播发给周围的一定范围内的车辆。当弱势交通参与者（行人或非机动车）被遮挡、位于车辆盲区或超出车辆感知范围时， 路侧感知系统会检测到他们的位置，通过C-V2X RSU发送给特定范围内的车辆。路侧感知系统检测到一定范围内的弱势交通参与者，通过C-V2X RSU发送给周围一定范围内的车辆。若发现与弱势交通参与者存在碰撞风险时，车端C-V2X协同应用系统则触发“ 弱势交通参与者碰撞预警” 消息，提醒人类驾驶员。

如果存在C-V2X信息交互，后方一定范围内的车辆能够提前获知前方异常车辆信息或车辆紧急制动信息，从而提前预判进行减速或换道规避碰撞风险，保障行车安全。这时HV通过接收RV1发出的BSM消息，提前了解到前方有异常车辆，车端C-V2X协同应用系统发出“前方异常车辆”预警消息。前方有异常车辆并存在碰撞风险时，车端C-V2X协同应用系统则触发“ 前方异常车辆” 预警，在HMI显示出来。前方有遮挡异常车辆场景的系统间信息交互流程如下所示，主要描述不同系统间的信息交互内容，以及车端C-V2X协同应用系统的处理流程。

和转向信息，与地图信息进行匹配， 结合导航信息（如果存在的话）， 判断本车所在车道以及过路口后的行驶方向，识别出当前车道的红绿灯信息。1) 车辆行驶至有信控灯的前方路口与停止线距离小于设定阈值（譬如100 m）时，计算车头经过路口停止线时信号灯的状态，如果为红灯，则输出“闯红灯预警” ，直到车辆行驶到停止线；2) 若当前道路的信号灯持续为红灯，并且车头过停止线后并未停车，则输出“ 红灯过线” 告警，直到车辆越过路口中心点（交叉路口地图节点的参考位置）或者车辆停车；✓ 输出系统：即HMI，用黄色模块标识。

车端C-V2X协同应用系统接收后根据本车行驶位置和转向信息，与地图信息进行匹配， 结合导航信息（如果存在的话）， 判断本车当前所在车道和过路口的行驶方向， 识别当前方向的红绿灯信息，在HMI显示提醒人类驾驶员，或者输出控车信号。假设一辆车从节点A驶向十字路口，根据转向灯和行驶道路属性判断出车辆的行驶轨迹为过十字路口后左转到节点B，针对这辆车给出的红绿灯信息提醒是“ 红灯剩余10 s，其他两个转向（直行和右拐）灯是绿灯，剩余10 s”，在进入路口前一定的阈值范围内显示当前红绿灯的信息。3) 场景功能效果图。

作为核心网络的一部分， 该软件定义了R&S®BSCC， 包括广播组播服务中心 (BM SC)、MBMS-GW和集中式多小区/组播协调实体 (MCE)， 这是一种新的解决方案， 支持在LTE/5G网络上以广播模式交付多媒体内容。测试系统的主要要求是支持多种技术， 例如无线连接 (例如WLAN， Bluetooth®或UWB)， 蜂窝 (例如2G至5G)， 视频和音频 (例如FM， DAB， DVB等) 和卫星导航技术。其中包括使用所有现有的仿真和数字电视以及无线电广播标准对汽车无线电模块和显示器进行测试。

最重要的信息是MSD中的位置信息， 因此需要GNSS等基于位置的服务技术， 并且设备需要支持语音通信。由于eCall基于GSM无线技术， 而新车的生命周期在10年以上， 3GPP在此后版本中规定了通过UMTS通信的eCall。为了确保更长久地提供面向未来的技术， 随着3GPP elease 14的发布， eCall演进为下一代eCall (NGeCall)。NGeCall支持LTE中的语音服务 (VoLTE)， 但LTE中的语音服务通过基于IP的信令框架IMS (IP多媒体子系统) 进行控制。

这意味着UE必须监控和更新通过无线小区广播的系统信息， 如果需要面向移动的连接， 则UE会了解随机接入信道，如果要建立面向网络的连接， 则UE会监控寻呼信道。因此， 在空闲模式下， UE的移动性决策由其自行作出， 并由网络间接控制。简而言之， 它们的功能行为可确保例如切换等移动性场景下的正确数据连接， 基于加密和完整性保护的安全通信以及对服务质量 (QoS) 的控制和维护。无法进行网络主叫的连接设置。总之，UE不仅是移动通信系统中的重要组成部分，还通过支持多种通信和服务，为用户提供丰富的体验和功能。

与安全相关的基本直接通信将遵循技术中立原则， 3GPP Release 16允许网络同时控制NR-V2X sidelink和LTE-V2X sidelink。Release 15引入了作为一种新技术的5G NR， 其提供了巨大的灵活性， 通过灵活的网络基础设施支持QoS控制和维护， 以及在空中接口上形成波束等复杂功能。称为LTE-Advanced的LTE技术更新和增强提供了基于车辆的服务更新， 例如语音识别、 音频和视频流以及使用机器类通信技术LTE-M和NB-IoT的传感器网络。

V2X服务通过各种类型的V2X应用实现，例如车辆与车辆 (V2V)、车辆与行人 (V2P)、车辆与基础设施 (V2I) 和车辆与网络 (V2N)。与前几代移动通信技术相比，5G Uu接口具有更高的灵活性、更广泛的频谱支持以及更先进的多址技术等优势。“智能运输系统”实质上就是将先进的信息技术、计算机技术、数据通信技术、传感器技术、电子控制技术、自动控制技术、运筹学、人工智能等学科成果综合运用于交通运输、服务控制和车辆制造，加强了车辆、道路和使用者之间的联系，从而形成一种定时、准确、高效的新型综合运输系统。

关于功能安全软件开发设计，有以下几个指标需要注意，主要来自网络分享的ASIL D软件实践经验。奈何未从各类技术文档中找出佐证。各位参考参考即可。

CMS众多构成优秀的用户体验的要素中，我们认为有一个指标十分关键，那就是这个“系统延迟”。系统延迟是CMS中很关键很重要的指标，国标定义系统延迟应小于200ms，如下截图：CMS产品是否会快速在市场上取得成功，开局很关键，我们认为CMS产品应该是“用户体验”至上的安全类产 品，产品在设计的时候一定要遵循：能够让用户产生信任、可靠、观感舒适的原则。人类对于“延迟”是极其敏感的，基本上几十毫秒的延迟就会让驾驶员感觉不舒服，在有对比的场景下尤其明显。