功能安全在提高汽車安全性方面的作用

故=障覆蓋 — 美光 SAFER 記憶體

美光 LPDDR5 是業界首款通過 ISO 26262 ASIL-D 認證的記憶體。美光的記憶體產品組合符合 JEDEC 及車用標準，可滿足汽車產業對支援功能安全的 LPDRAM 的要求。

LPDRAM 對功能安全的要求遠遠超出先進駕駛輔助系統（ADAS）的應用範圍，並擴展至車用資訊娛樂（IVI）和駕駛員資訊系統，因為這些應用不斷融合並相應地影響車輛的功能安全。

如果您讀過一些早期的 SAFER 部落格，您可能知道功能安全的定義是，在運行期間不存在因電氣和電子（E/E）系統故障引起的危險而導致的不合理風險。功能安全著重於協助改善安全性、偵測故障與控制失敗的層面，即盡量降低不確定性。

讓我們深入瞭解兩種類型的故障覆蓋和硬體要素分類。

系統性故障覆蓋

系統性故障覆蓋透過使用 ISO-26262 標準指定的明確流程和方法，確保產品出現系統性問題的風險足夠低，進而達到目標 ASIL 等級。系統性故障可能發生在規格、設計、製造、測試或任何其他步驟中。與隨機性硬體故障不同，系統性故障可能影響車隊中的每輛車，因此可能產生非常大的影響。

隨機性故障覆蓋

隨機性故障是在裝置使用壽命期間隨機出現的故障。隨機性故障可進一步分為兩類：瞬態故障（單次事件中斷或軟錯誤）或永久故障（硬錯誤，例如停留在邏輯電平）。解決這些類型故障的方法通常是引入安全機制，幫助識別故障，使系統能夠採取適當措施，包括糾正故障或使系統在發生故障時仍能保持安全狀態。

由於採用嚴格的流程相關預防方法以及實施故障偵測安全機制可能會產生間接成本，因此 ISO 26262 認證界定了多達四種不同的汽車安全完整性等級（ASIL）。它們反映了違反安全目標的嚴重程度和影響，因此，為每個 ASIL 定義了用於避免系統性問題的強制性規範的增量關聯清單，以及一組隨機性故障偵測能力的嚴格指標目標（其中 ASIL-D 是要求最高的等級）。這樣可以根據故障的影響來調整系統或元件的成本。ASIL 計算的簡化視圖如下圖所示。

汽車安全完整性等級（ASIL）要點

關於隨機性故障偵測指標，ISO 26262 規定 ASIL-D 系統在系統層級衡量的故障率需低於 10 次的 FIT。ASIL-B 系統需要在系統層級實現低於 100 次的 FIT。一次 FIT 定義為 109 小時內發生一次故障。

符合 ISO 26262 功能安全標準的記憶體需求和案例

在第二版 ISO 26262 標準（於 2018 年發佈，距 2011 年推出原始 ISO 26262 標準幾年後）對第 8 部分第 13 條進行了修訂，新增與特定硬體系統的底層複雜性相關的分類，以及可用於在系統層級實現特定 ASIL 合規性的相應方法。

系統整合商最初錯誤地將 DRAM 裝置歸類為第二類硬體要素，即需要進行安全分析的操作模式和狀態很少，沒有內部安全機制。這種分類不符合當今 DRAM 裝置的底層複雜性，這些裝置的複雜性與某些最先進的 SoC 和 GPU 相當。

業界領先的安全顧問公司 exida 認為，用於安全應用的 DRAM 應歸類為第三類硬體要素，這樣才能符合 ISO 26262-8 第 13.4.1.1 條中列出的標準。此外，還要求在設計中採用第三類硬體要素的任何安全應用程式必須使用符合 ISO 26262 的裝置（一旦此類裝置可用）。

LPDDR DRAM 應歸類為第三類硬體要素

根據 ISO 26262-8 標準第 13.4.1.1 條的硬體要素分類。

來自功能安全顧問公司 exida¹ 的硬體要素分類標準。

根據 ISO 規範，「第三類硬體要素的開發應符合 ISO 26262」，並且只允許作為過渡期的例外情況：「……『第三類硬體要素的評估』不是首選方法，因此計劃按照 ISO 26262 開發下一版本的硬體要素。