双芯片架构下功能安全失效FTTI计算

1. 双芯片架构下的角色分工

在MCU+SOC架构中，通常的功能划分是：

· MCU（通常是ASIL-B等级或更高）：

· 实时性要求高的任务

· 车辆网络通信（CAN/CAN FD/Ethernet）

· 电源管理、唤醒控制

· 安全相关功能的代理/网关

· 监控SOC健康具体交互步骤细化：

1. 故障检测与发送（AVAS ECU）：t0

2. CAN传输：t1

3. MCU接收与处理：

· MCU通过CAN控制器接收故障报文

· MCU固件解析、验证报文

· MCU执行安全逻辑（如是否需要立即报警）

· MCU准备转发给SOC

4. MCU-SOC通信：

· 通过SPI/UART/共享内存/Ethernet等方式

· 需要考虑通信协议开销

5. SOC侧接收与处理：

· SOC侧驱动/服务层接收数据

· 通过IPC机制传递到应用层

· QNX应用处理报警逻辑

6. HMI渲染与显示：QNX图形系统渲染报警界面

7. 驾驶员反应

状态

· SOC（通常是QM或ASIL-A）：

· 高性能计算（导航、娱乐、语音）

· 复杂图形渲染

· Android/Linux/QNX应用生态

· HMI显示和交互

计算公式更新：

T_FTTI = T_AVAS_Detect + T_CAN +T_MCU_Process + T_M2S_Comm + T_SOC_Driver + T_SOC_App + T_HMI_Render + T_Driver

对于MCU+SOC架构的IVI系统，实现AVAS失效报警功能：

1. 采用分层安全设计：MCU负责快速基础报警，SOC负责详细信息

2. 明确时间预算：为每个通信环节分配精确的时间预算

3. 利用QNX实时性：通过优先级设置、CPU绑定确保时间确定性

4. 设计监控机制：MCU监控SOC响应，SOC自监控处理时间

5. 建立验证体系：从单元到系统级的全面时间特性验证

这种架构下，最关键的是MCU与SOC之间的接口定义和时间保证。建议在系统需求中明确规定：

· MCU-SOC通信协议和最大延迟

· SOC应用的最大响应时间

· 超时后的降级处理机制