03、執(zhí)行器的安全機(jī)制

執(zhí)行器的監(jiān)控通常分為兩類。

1) 一種是不介入執(zhí)行器的常規(guī)運(yùn)作，以“旁觀者”的角度進(jìn)行監(jiān)控。該類監(jiān)控可實(shí)現(xiàn)在線監(jiān)控(時(shí)域表現(xiàn))和物理參數(shù)監(jiān)測(cè)(以“旁觀者”的角度進(jìn)行監(jiān)控),比如常見的位置傳感器，用來監(jiān)控電機(jī)(執(zhí)行器)是否將目標(biāo)物推動(dòng)到相應(yīng)的位置。

2) 一種是以測(cè)試模式為主要方式進(jìn)行監(jiān)控。該類監(jiān)控比較適合那些平時(shí)不用運(yùn)動(dòng)的執(zhí)行器，比如在車輛啟動(dòng)的時(shí)候或者非工作區(qū)間周期性地讓執(zhí)行器做特定的動(dòng)作，以判斷其是否正常。

04、線束連接的安全機(jī)制

1. HVIL (高壓互鎖)

對(duì)于高壓線束來說，如果其高壓回路的完整性遭到破壞，容易引發(fā)非預(yù)期的高壓暴露，從而發(fā)生電擊傷害事故。所謂高壓互鎖，是指用低壓信號(hào)來監(jiān)視高壓回路的完整性。典型的 HVIL 連接器結(jié)構(gòu)如圖5-12所示。通過使用一套比高壓先接通、后斷開的低壓信號(hào)來檢查所有與高壓線束相連的各組件的電氣連接完整性，如圖5-13所示。比如，當(dāng)高壓回路完整時(shí)，低壓信號(hào)讀到12V的電壓值；當(dāng)高壓回路不完整時(shí)，低壓回路也不完整，電流傳遞不到被讀取的位置，因此讀到的電壓值為0V。

圖 5-12 典型的HVIL連接器結(jié)構(gòu)

2. 接插件在位檢測(cè)

對(duì)于接插件中包含通信信號(hào)的，可以通過通信信號(hào)適時(shí)與否來判斷接插件是否有問題。但是，對(duì)于某些系統(tǒng)中沒有通信信號(hào)的接插件，可以通過接插件在位檢測(cè)來實(shí)現(xiàn)診斷需求。一種方法是選取接插件公頭或者母頭最靠邊的兩個(gè)引腳，分別讓它們串聯(lián)一個(gè)電阻到地。然后在對(duì)應(yīng)的母頭或者公頭的引腳上也串聯(lián)一個(gè)電阻到參考電壓，如圖5-14所示。采集這些引腳的電壓值，如果接插件松動(dòng)，那么被采集的電壓會(huì)被拉到參考電壓。通過電壓的變化可以判斷接插件是否在位。

圖 5-13 HVIL 連接器的互鎖方案示意圖

圖 5-14 接插件在位檢測(cè)方案

#05

E2E(End-to-End) 保護(hù)是一種端到端的通信保護(hù)機(jī)制。這里的“端到端”既包括控制器與控制器(比如CAN/Ethernet)之間，也包括控制器內(nèi)部模塊與模塊(比如RTE模塊)之間。

注意，E2E 通常被認(rèn)為屬于功能安全的范疇，而非信息安全的范疇，在傳輸中不加密，而是明文傳輸。E2E 主要是保證數(shù)據(jù)不被破壞，系統(tǒng)正常執(zhí)行。

AUTOSAR 提供了一系列E2E配置文件，每種配置文件都有特定的機(jī)制、參數(shù)和數(shù)據(jù)格式。設(shè)計(jì)人員需要根據(jù)信號(hào)數(shù)量的多少和安全要求的高低進(jìn)行配置文件的選擇。舉例來說，對(duì)于ASILD 的長(zhǎng)數(shù)據(jù)，OEM 通常會(huì)選擇配置文件4。但無論如何，大家都是在下面這幾種機(jī)制中進(jìn)行選擇和組合。

RC:   發(fā)送方基于數(shù)據(jù)計(jì)算一組校驗(yàn)碼，隨數(shù)據(jù)發(fā)送給接收方。

計(jì)數(shù)器：在每次傳輸請(qǐng)求時(shí)，發(fā)送方遞增計(jì)數(shù)，接收方檢查計(jì)數(shù)器值是否有遞增。

監(jiān)控：通過接收方計(jì)數(shù)器的值是否增加來最終確定。

據(jù)ID：每個(gè)發(fā)送方及對(duì)應(yīng)的接收方端口都有一個(gè)唯一的數(shù)據(jù)ID，用于CRC 計(jì)算。

有些初學(xué)者可能會(huì)以為CRC就是E2E，這里澄清一下，CRC 是一種方法，只是E2E 保護(hù)機(jī)制中的一種。