用戶可以將在 MCU 和 BSW 層中綜合的外設(shè)和硬件協(xié)處理器設(shè)置成高智能化水平，以釋放 CPU 時間，從而簡化車載 ECU 的軟件。

　　隨著 ECU 平臺日趨復(fù)雜化，系統(tǒng)所需的 I/O 線路數(shù)也在不斷增加。在這方面 FPGA 較微控制器有明顯的優(yōu)勢，因為 FPGA一般能夠提供多得多的用戶引腳數(shù)。這一點一般與基于 MCU 的 ECU 有關(guān)，因為這種 ECU 需要采用執(zhí)行并-串?dāng)?shù)據(jù)轉(zhuǎn)換的外部芯片（比如數(shù)字移位寄存器或模擬多路復(fù)用器）來擴(kuò)展 ECU 的輸入和輸出。采用 FPGA 可以繞開這些外部組件，進(jìn)而縮減材料清單成本以及電子開發(fā)板的 PCB尺寸。

　　先進(jìn)的 FPGA 器件已經(jīng)集成有模數(shù)轉(zhuǎn)換器。這個特性對汽車設(shè)計意義重大，因為許多 ECU使用模擬信號（比如電池電壓）來實現(xiàn)所需的部分功能。在可編程邏輯器件中集成模數(shù)轉(zhuǎn)換器為 FPGA 開辟了新的應(yīng)用領(lǐng)域。

　　與 MCU 類似，F(xiàn)PGA 也提供遠(yuǎn)程更新功能。但在這里需要提醒的是，下載到 FPGA 中的位流不僅涉及到軟件代碼，而且與硬件電路也息息相關(guān)。這意味著就算產(chǎn)品已經(jīng)進(jìn)入量產(chǎn)階段，仍然可以通過系統(tǒng)更新或升級來修改硬件設(shè)計。汽車產(chǎn)業(yè)非常欣賞這種靈活性，因為它能夠在產(chǎn)品發(fā)布后修改缺陷（軟/硬件均可）。

　　在任何嵌入有符合 ISO 26262安全相關(guān)要求的功能的 ECU 中，涉及該實現(xiàn)方案的軟硬件必須根據(jù)其分類滿足一定程度的保護(hù)要求。從軟件的角度講，它必須體現(xiàn)出抗干擾能力，即運(yùn)行在 ECU 中的非安全相關(guān)代碼一定不能危及同一 ECU 中安全相關(guān)類的代碼的運(yùn)行。這種隔離是保證安全相關(guān)功能與非安全相關(guān)功能在同一處理器上正確并行運(yùn)行所必須的。一般來說，在可編程邏輯中管理這些指標(biāo)比在 MCU 中具有更大的靈活性。

　　對于面向功能安全的存儲器保護(hù)策略，有必要確保只能授權(quán)的安全軟件組件有權(quán)對特定安全相關(guān)信號進(jìn)行寫入存取。在 MCU 器件環(huán)境中，存儲器分區(qū)提供了一種故障約束機(jī)制，能夠?qū)④浖?yīng)用彼此分離，避免其間發(fā)生數(shù)據(jù)錯誤。可編程邏輯很有可能實現(xiàn)一種更有效的自我保護(hù)機(jī)制。可編程邏輯可以通過專用的單個雙端口存儲器來管理與安全信號相關(guān)的 RTE 緩存，這樣數(shù)據(jù)從寫端口寫入，從讀端口讀取。采用這種方法，可以采用專用的硬件控制器給寫入或讀取這些來自軟件側(cè)的信號設(shè)置不同的約束條件。這種方法也可以采用寄存器來實現(xiàn)。

　　能夠在 ECU 系統(tǒng)中導(dǎo)入定制硬件解決方案是 FPGA 的一大優(yōu)勢，特別是對安全相關(guān)的功能而言。具體而言，對 I/O 引腳和 GPIO 控制器，在安全功能中涉及的引腳布局可以組合成定制的 I/O 端口，僅供 ECU 中的安全組件訪問，與器件的其余引腳分離。這是將系統(tǒng)的安全相關(guān)引腳與非安全相關(guān)引腳分開的理想辦法，從設(shè)計上避免了干擾的發(fā)生。任何對非安全引腳的訪問都不會破壞安全引腳的狀態(tài)，因為安全引腳只受安全相關(guān)代碼的管理。這種構(gòu)思的具體描述見圖 4。

　　
圖4 軟/硬件聯(lián)合設(shè)計的安全架構(gòu)，可將安全相關(guān)端口和非安全相關(guān)端口隔離開來，以保證無干擾

　　另外，還能夠根據(jù)應(yīng)用或處理該應(yīng)用的軟件組件的需求定制每個 GPIO 端口的大小，從而避免將 GPIO 端口轉(zhuǎn)換為不同應(yīng)用共享的物理資源，如MCU端口的情況。用這種方法，F(xiàn)PGA中每一個由不同軟件組件（比如車窗升降器、雨刷、外后視鏡等）管理的應(yīng)用都能夠?qū)⒆约禾囟ǖ亩丝谟成涞较到y(tǒng)存儲映射中特定的寄存器。這在 MCU 平臺上無法做到，因為 MCU的端口有固定尺寸（一般為8、16 或 32 位寬）且按字長尋址，而非按位尋址。因此在采用 MCU 的情況下，這種控制寄存器在程序執(zhí)行的時候變成了有多個 SWC 訪問的共享資源。

　　我們可以把用于 GPIO 控制器的策略擴(kuò)展用于其它標(biāo)準(zhǔn)外設(shè)。這樣 AUTOSAR 借助 SWC 概念在頂層提倡的功能分區(qū)和隔離思路也可以在可編程硬件的幫助下推廣運(yùn)用到較低層的資源上。這種技術(shù)如果采用基于標(biāo)準(zhǔn) MCU 器件的靜態(tài)硬件解決方案是無法實現(xiàn)的。

　　我們上文介紹的用于 MCU 標(biāo)準(zhǔn)外設(shè)的隔離策略也可以用于安全功能的各個通道或數(shù)據(jù)路徑。這一特性尤其適用于按 ISO 26262 標(biāo)準(zhǔn)的 ASIL 分級組織的精細(xì)分類安全目標(biāo)（見側(cè)邊欄）。此項功能可用于將各個通道或者數(shù)據(jù)路徑分解成較低 ASIL 級別的冗余分區(qū)，這樣每一個通道或路徑都以冗余方式運(yùn)行，后續(xù)根據(jù)各自的新級別予以實現(xiàn)。這種基于冗余的安全策略是選擇可編程邏輯的又一理由，因為可編程邏輯能夠在同一器件中多次例化多個相同、獨(dú)立的處理引擎。另外，滿足某個 ASIL 級別的要求用架構(gòu)方法（硬件）往往比用抽象軟件能夠更輕松明晰地證明，特別是像抗干擾這樣的功能。C 編程語言中的棧溢出或是數(shù)據(jù)指針處理不當(dāng)可能會給系統(tǒng)帶來出乎意料的安全性問題。

　　這種基于冗余的安全策略是選擇可編程邏輯的又一理由，因為可編程邏輯能夠在同一器件中多次例化多個相同、獨(dú)立的處理引擎。

　　可編程邏輯的靈活性及其對功能安全的適用性還帶來另一項設(shè)計優(yōu)勢，就是可以采用三模冗

　　余 （TMR） 策略。這是航空航天應(yīng)用中用于緩解單粒子翻轉(zhuǎn) （SEU） 風(fēng)險的常見方法。這種緩解方案由三個相同邏輯電路構(gòu)成，并行執(zhí)行相同的任務(wù)，對應(yīng)的輸出由一個多數(shù)表決電路進(jìn)行比較。采用硬件實現(xiàn)這種策略效率很高。

　　另外，在這個高度關(guān)注成本和功耗的市場上，賽靈思 Zynq-7000 EPP等一些可編程邏輯器件能夠支持多項降低系統(tǒng)總體功耗的功能，其中的部分功能是從 MCU 繼承而來。像處理系統(tǒng)的僅加電模式、休眠模式和外設(shè)獨(dú)立時鐘域這樣的功能能夠大幅降低器件待機(jī)期間的動態(tài)功耗。

　　某些可編程邏輯器件在結(jié)構(gòu)中配備有硬核處理器，便于設(shè)計人員第一步先用軟件開發(fā)整個系統(tǒng)功能，就像他們尋常在 MCU 平臺上所做的一樣，隨后逐步地在設(shè)計中增加硬件，將部分設(shè)計移植到可編程邏輯資源。這種方法能夠讓設(shè)計人員為解決方案開發(fā)出不同的版本，而且與純軟件方法相比，能夠?qū)崿F(xiàn)在定制硬件中綜合部分功能的優(yōu)勢。

　　在運(yùn)行時可重配置硬件上進(jìn)行 ECU 設(shè)計

　　在探討完畢借助可編程邏輯在靜態(tài)硬件和軟件上實現(xiàn) ECU 的優(yōu)勢后，我們接下來探討采用基于 SRAM 并具備運(yùn)行時部分可重配置功能的 FPGA 設(shè)計 ECU。部分可重配置技術(shù)能夠為汽車設(shè)計人員提供更多優(yōu)勢。

　　事實上，其中的一大優(yōu)勢是如果 FPGA 包含有不必在啟動時（如在 ECU 喚醒或加電）配置的部分可重配置區(qū)域，可以縮短系統(tǒng)啟動時間。不支持動態(tài)部分可重配置的 FPGA在加電時需要配置所有的 FPGA 資源，但運(yùn)行時可重配置 FPGA 只需下載部分位流進(jìn)行部分重配置。

　　由于當(dāng)今先進(jìn)的 FPGA 器件具有巨大的容量，故在加電時下載完整的位流會引起可觀的配置時間開銷。運(yùn)行時部分可重配置技術(shù)能夠顯著地縮短這種配置時延。在那種情況下，有可能在加電時只配置一個最起碼的子系統(tǒng)（即引導(dǎo)載入程序和立即需要的部分系統(tǒng)應(yīng)用），讓系統(tǒng)其余部分保持待機(jī)狀態(tài)，直到有必要初始化為止。如果系統(tǒng)在加電或喚醒時需要快速響應(yīng)，可將這種啟動工作劃分為兩個階段，以加快初始化過程。為此，可將系統(tǒng)架構(gòu)分解為一個靜態(tài)域和一個或者多個部分可重配置域 （PRR）。靜態(tài)域涵蓋負(fù)責(zé)執(zhí)行啟動過程的系統(tǒng)（一般來說是主機(jī) CPU），以及可重配置引擎和通往位流庫的數(shù)據(jù)鏈路。由特定部分位流描述的其他域可按應(yīng)用需求，隨后下載。

　　另外，如果禁用 PRR 域，則可以讓器件的功耗與禁用區(qū)域部分成比例降低。在使用汽車電池供電的 ECU 中，節(jié)能模式尤為重要。為此，在車輛未使用時（即處于休眠模式時），車載 ECU 可使用低功耗模式，以讓 ECU 功耗保持最低。同樣，可以在不需要的時候使用空白位流禁用 FPGA 的部分區(qū)域，減少邏輯活動，從而降低動態(tài)功耗。

　　在采用運(yùn)行時可重配置邏輯的系統(tǒng)中，汽車設(shè)計人員還可使用一種從航空航天應(yīng)用中借鑒來的重配置技術(shù)。重配置（configuration scrubbing） 可以將系統(tǒng)從因單粒子翻轉(zhuǎn) （SEU）和電磁干擾造成的 SRAM 故障中恢復(fù)過來。定期重新配置硬件外設(shè)可保證系統(tǒng)在出現(xiàn)故障時自我修復(fù)。另外，這樣也可以將故障的最大時長限制在重配置時間間隔內(nèi)。這種技術(shù)也通常運(yùn)用在軟件中，作為一種常見的抗干擾保護(hù)措施，例如 MCU 外設(shè)的定期重配置。

　　另一項運(yùn)行時部分重配置技術(shù)的靈活性帶來的有前景的功能是在 FPGA 資源的某個特定二維位置出現(xiàn)永久性或不可修復(fù)的電路故障，比如影響到特定邏輯單元或 RAM 模塊時，可通過功能重定位實現(xiàn)故障修復(fù)。一旦發(fā)現(xiàn)有硬件或軟件故障出現(xiàn)，可以在運(yùn)行中將所需的功能自動重定位到同一 ECU 中的可編程邏輯器件的其他部分。雖然這個構(gòu)思是可行的，但這項功能還沒有得到當(dāng)今的自動化工具的完全支持。

　　適用于汽車產(chǎn)業(yè)的運(yùn)行時可重配置計算技術(shù)最強(qiáng)大的特性無疑是共享的硬件資源上功能的實時時分復(fù)用。可以對由 ECU 中的相同計算資源處理的功能性應(yīng)用進(jìn)行時間共享，如果應(yīng)用間相互獨(dú)立（例如，當(dāng)車輛向前直行駛時使用行車道偏離預(yù)警功能，倒車時，則切換到后視攝像頭視圖或停車輔助應(yīng)用）。這種設(shè)計思路可以幫助降低此類嵌入式系統(tǒng)的成本和復(fù)雜性，釋放空間，減輕車身重量。

　　這種設(shè)計思路還可用于實現(xiàn)特定算法在不斷變化的環(huán)境條件或者外部條件中的自適應(yīng)性。例如，給定的引擎控制算法可通過部分可重配置自主調(diào)整部分硬件模塊，以在任何運(yùn)行溫度下或電池電壓下實現(xiàn)理想的運(yùn)行。同樣的理念對通信系統(tǒng)也適用，比如可以設(shè)計某種加密控制器，能夠在運(yùn)行中運(yùn)用特定的參數(shù)函數(shù)制定專門的安全等級。另如，可以設(shè)計某種 ECC 加密器/解密器 IP，用于在高噪聲通信信道中檢測和修改數(shù)據(jù)傳輸錯誤，能夠根據(jù)感應(yīng)到的信噪比動態(tài)適應(yīng)其硬件架構(gòu)。