CN113395348B - 一种车载芯片、功能故障检查方法及电子设备 - Google Patents

Abstract

本申请涉及功能安全领域，公开了一种车载芯片、功能故障检查方法及电子设备。本申请的车载芯片包括：第一处理器，用于向指令执行电路发送功能指令；模式信息存储器，用于获取并存储与功能指令对应的工作模式信息；功能故障检查电路，用于根据工作模式信息生成检查指令，并将检查指令发送至指令执行电路执行，再根据指令执行电路的针对检查指令的执行结果判断功能指令执行的正确性；指令执行电路，用于在指令执行电路中的部分电路执行检查指令。因此可通过对应工作模式信息的检查指令在硬件逻辑电路的指令执行正确性来推断功能指令执行的正确性，从而能够提高功能故障检查的效率，减少故障容错时间，及时响应指令的功能故障。

Description

一种车载芯片、功能故障检查方法及电子设备

技术领域

本申请涉及功能安全领域，特别涉及一种车载芯片、功能故障检查方法及电子设备。

背景技术

功能安全(Functional Safety，FS)，其概念源于国际电工委员会的一个标准——IEC61508。IEC61508发布后，各个行业也随之推出行业内的功能安全标准。在专门用于提升汽车电子电气产品功能安全的国际标准ISO26262中，将功能安全定义为“不存在由电子电气系统的功能异常表现引起的危害而导致不合理的风险”。该标准针对的不是电子电气系统的标称功能或性能，而是由电子电气安全相关系统的故障行为而引起的可能的危害，包括这些系统相互作用而引起的可能的危害。其目的是如何将风险减小到可接受的水平。

随着电子电气化的程度越来越高，现代汽车的整体安全性很大程度上取决于电子控制系统的功能安全性。当前，汽车电子控制系统的功能安全性得到了较好的保证，能够在芯片/硬件电路受到其它因素如外界干扰发生功能故障时降低风险，使得汽车电子控制系统安全可控。但是，在现有汽车电子控制系统的功能安全解决方案中，仍然有一些方案存在功能故障检查效率低，故障容错时间(Fault Tolerant Time Interval，FTTI)长的问题，因此需要针对这些问题提供检查效率更高、故障容错时间较短的方案。

发明内容

本申请实施例提供了一种车载芯片、功能故障检查方法及电子设备，用于解决现有方案中对应多种业务相关的工作模式的功能指令进行功能故障检查时检查效率低、故障容错时间长的问题。

第一方面，本申请实施例提供了一种车载芯片，用于处理车辆驾驶控制过程中的多种业务，该车载芯片包括：

第一处理器，用于向指令执行电路发送功能指令，其中，功能指令与上述业务相关的工作模式对应；

模式信息存储器，用于获取并存储与功能指令对应的工作模式信息；

功能故障检查电路，用于根据工作模式信息生成检查指令，并将检查指令发送至指令执行电路执行，再根据指令执行电路的针对检查指令的执行结果判断功能指令执行的正确性；

指令执行电路，用于在指令执行电路中的部分电路执行检查指令，并生成检查指令的执行结果，其中，部分电路包括用于执行功能指令的硬件逻辑电路。

在上述第一方面的一种可能的实现中，指令执行电路包括专用硬件逻辑电路和公共硬件逻辑电路，专用硬件逻辑电路用于执行对应特定工作模式的功能指令，公共硬件逻辑电路用于执行对应非特定工作模式的功能指令，部分专用硬件逻辑电路和部分公共硬件逻辑电路用于执行功能指令。

在上述第一方面的一种可能的实现中，模式信息存储器包括先进先出存储器。

在上述第一方面的一种可能的实现中，工作模式信息包括工作模式使用的算法和功能指令标识中的至少一种。

在上述第一方面的一种可能的实现中，功能故障检查电路以中断方式获取所述模式信息存储器中存储的所述工作模式信息。

在上述第一方面的一种可能的实现中，功能故障检查电路包括第二处理器，所述第二处理器用于执行功能故障检查电路中存储的预设测试代码并生成检查指令。

在上述第一方面的一种可能的实现中，指令执行电路包括仲裁器，仲裁器用于根据预设的指令选择规则确定将要被执行的功能指令和/或检查指令。

在上述第一方面的一种可能的实现中，指令选择规则包括检查指令优先和轮流选择中的至少一种。

在上述第一方面的一种可能的实现中，仲裁器还用于根据所述功能指令确定对应的工作模式信息，并将所述工作模式信息存储至所述模式信息存储器。

第二方面，本申请实施里提供了一种功能故障检查方法，用于车载芯片，车载芯片用于处理车辆行驶控制过程中的多种业务，该方法包括：

确定功能指令，功能指令与业务相关的工作模式对应；

根据功能指令确定并存储对应的工作模式信息；

根据工作模式信息生成检查指令；

在第一硬件逻辑电路上执行检查指令，并获得针对检查指令的执行结果，其中，第一硬件逻辑电路用于执行功能指令；以及

根据执行结果判断功能指令执行的正确性。

第三方面，本申请实施例提供了一种电子设备，该电子设备包括上述第一方面以及第一方面的各种可能实现中的任意一种车载芯片。

本申请中的车载芯片通过存储功能指令对应的工作模式相关信息，使得功能故障检查模块能够根据功能指令的工作模式相关信息确定与功能指令对应的检查指令，并且通过检查指令执行时使用的硬件逻辑电路的指令执行正确性来推断功能指令执行的正确性，从而无需对功能模块中全部工作模式下的所有功能指令进行功能故障检查，从而能够提高功能故障检查的效率，减少故障容错时间，及时响应指令的功能故障。

附图说明

图1根据本申请的一些实施例，示出了一种对车辆控制系统中的功能模块进行功能故障检查的场景图；

图2根据本申请的一些实施例，示出了一种车载芯片的硬件结构框图；

图3根据本申请的一些实施例，示出了一种指令执行单元的结构示意图；

图4根据本申请的一些实施例，示出了一种功能故障检查过程中数据流向示意图；

图5根据本申请的一些实施例，示出了一种功能故障检查过程的交互图。

具体实施方式

本申请的说明性实施例包括但不限于车载芯片、功能故障检查方法及电子设备。

可以理解，如本文所使用的，术语“模块”可以指代或者包括专用集成电路(Application Specific Integrated Circuit，ASIC)、电子电路、执行一个或多个软件或固件程序的处理器和/或存储器、组合逻辑电路、和/或提供所描述的功能的其他适当硬件组件，或者可以作为这些硬件组件的一部分。

可以理解，在本申请各实施例中，处理器可以是微处理器、数字信号处理器、微控制器等，和/或其任何组合。根据另一个方面，所述处理器可以是单核处理器，多核处理器等，和/或其任何组合。

可以理解，本申请的功能故障检查方法适用于各种需要实现功能安全的芯片、集成电路等。

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请的实施例作进一步地详细描述。

图1根据本申请的一些实施例，提供了一种车辆控制系统100通过功能故障检查模块对车辆的各个功能模块进行功能故障检查的场景。如图1所示，该场景中的车辆控制系统100包括动力总成子系统101、车辆运动子系统102、安全子系统103、车身电子子系统104、自动驾驶子系统105、信息娱乐子系统106等，各子系统之间通过传输网络107进行数据交换。上述每个子系统中可包括多个功能模块，功能模块用于实现某些特定的功能。例如自动驾驶子系统105的功能模块可包括环境感知模块、环境识别模块、驾驶决策模块和驾驶控制模块等，其中环境感知模块用于实现对车辆环境和交通运行环境的感知；环境识别模块用于处理和分析环境感知信息，对车辆环境和道路交通状况进行检测、判断和识别；驾驶决策模块用于根据驾驶出发地和目的地的要求，结合车辆环境和道路交通状况的分析结构，确定总体的驾驶路径策略、具体的驾驶行为策略；驾驶控制模块用于对车辆进行驾驶，根据工况与实际情况不断改变车辆的运动方向、速度和位置。

另外，为了实现自动驾驶子系统105的功能安全，自动驾驶子系统105中还包括功能故障检查模块，用于对自动驾驶子系统105中的功能模块例如驾驶控制模块进行功能故障检查。由于驾驶控制模块负责对车辆的运动状态进行控制，该模块的执行结果如果出错的话会造成严重后果。例如驾驶控制模块发出的是减速指令，而执行减速指令的芯片或硬件电路的执行结果却是使车辆加速，从而可能导致车辆碰撞。因此，需要通过功能故障检查模块对功能模块的执行结果的正确性进行及时检查，避免功能模块的执行结果不正确导致的安全风险。

功能模块用于实现相应业务，而一种业务可以对应多个工作模式，因此功能模块可以具有多种工作模式，即功能模块可以使用不同的工作模式来实现对应业务。例如，环境感知模块用于实现车辆周围环境感知的业务功能，环境感知业务功能可有多种工作模式如光学感知、红外线感知、超声波感知等，因此环境感知模块可以通过上述不同工作模式来实现环境感知。

功能模块的具体功能通常由多条功能指令的组合来实现，例如AES(AdvancedEncryption Standard，AES)加密模块中的加密功能由一组功能指令来完成，解密功能由另一组功能指令来完成。可以理解，不同功能对应的指令集合中可以有相同的功能指令。

另外，功能模块的执行载体是由半导体器件组成的硬件逻辑电路，例如车载芯片中的硬件电路，功能模块中的功能指令是用于完成特定功能的硬件指令，可以理解，功能模块中的功能指令可以是运行软件所产生的硬件指令，也可以是硬件电路产生的硬件指令。功能模块的不同工作模式中使用的功能指令往往不同，各个功能指令与各个工作模式一一对应。由于不同功能指令的执行通常在不同的硬件逻辑电路上进行，因此功能模块中不同工作模式下的功能指令执行时对应的硬件逻辑电路也不相同。

以下以功能模块为AES引擎为例进行说明，AES引擎是实现了高级加密标准(Advanced Encryption Standard，AES)加解密功能的功能模块。在AES引擎中实现了多种进行加密、解密的工作模式，AES引擎中的工作模式可以包括但不限于电码本模式(Electronic Codebook Book，ECB)、密码分组链接模式(Cipher Block Chaining，CBC)、计算器模式(Counter，CTR)、密码反馈模式(Cipher FeedBack，CFB)、输出反馈模式(OutputFeedBack，OFB)等。

以下对AES引擎中加密功能下各种工作模式进行简单说明，解密方式类似。上述AES引擎中的工作模式中的电码本模式将整个明文分成若干相同的小段，然后对每一小段进行加密。密码分组链接模式中先将明文切分为若干小段，然后每一小段与初始块或上一段的密文段进行异或运算后，再与密钥进行加密。计算器模式中使用一个自增算子，根据该自增算子用密钥加密之后的输出和明文异或的结果得到密文。密码反馈模式和输出反馈模式比较复杂，主要思路都是在初始化向量加密后再加密，与明文异或产生密文，具体实现细节有所差别。

因此，AES引擎中不同工作模式所使用的加密方式各不相同，相应实现中使用的功能指令不同，功能指令执行时使用的硬件逻辑电路也不相同。为了提高AES引擎中不同工作模式的加密效率，在AES引擎中为不同的工作模式设计了对应的专用硬件逻辑电路，专用硬件逻辑电路只能由相应的工作模式中的功能指令执行时使用，不能被其它工作模式中的功能指令所使用。另外，AES引擎中还有公共硬件逻辑电路，公共硬件逻辑电路可以被不同的工作模式中的功能指令所使用。

可以理解，功能指令执行时使用的硬件逻辑电路可以是专用硬件逻辑电路或公共硬件逻辑电路中的一部分电路，也可以由专用硬件逻辑电路中的一部分电路和公共硬件逻辑电路中的一部分电路所组成。

功能故障检查模块用于对功能模块执行过程中的功能故障进行检查，具体来说是对功能模块中的功能指令进行功能故障检查，即检查功能指令的执行结果是否正确。由于功能指令的执行需要使用对应的硬件逻辑电路，因此功能故障检查最终是判断执行功能指令的相应硬件逻辑电路是否存在故障。功能故障检查模块中包含多条检查指令，检查指令用于对功能模块中相应功能指令进行功能故障检查，检查指令执行时使用的硬件逻辑电路能够覆盖功能模块中相应功能指令执行时使用的硬件逻辑电路，即检查指令执行时使用的硬件逻辑电路与相应功能指令执行时使用的硬件逻辑电路相同，或相应功能指令执行时使用的硬件逻辑电路是检查指令执行时使用的硬件逻辑电路的一部分。可以理解，需要尽量保证检查指令执行时使用的硬件逻辑电路与相应功能指令执行时使用的硬件逻辑电路一致，从而避免功能故障检查时功能故障的误报和漏报。

现有方案中，由于功能故障检查模块不了解功能模块中功能指令的工作模式，因此，功能故障检查模块在对功能模块中的功能指令进行功能故障检查时，需要对功能模块的全部工作模式下的所有功能指令都进行功能故障检查，而对全部功能指令进行检查需要很长时间，因此功能故障检查的效率较低，故障容错时间(Fault Tolerant TimeInterval，FTTI)较长，不能及时对功能指令可能存在的功能故障进行响应。

本申请技术方案通过存储功能指令对应的工作模式相关信息，使得功能故障检查模块能够根据功能指令的工作模式相关信息确定与功能指令对应的检查指令，并且通过检查指令执行时使用的硬件逻辑电路的指令执行正确性来推断功能指令执行的正确性，从而无需对功能模块中全部工作模式下的所有功能指令进行功能故障检查，从而能够提高功能故障检查的效率，减少故障容错时间，及时响应指令的功能故障。

为了便于说明，下面以图2所示的一种车载芯片200为例对本申请的技术方案进行说明，该车载芯片200可以用于实现上述功能故障检查。如图2所示，车载芯片200包括：AHB总线单元202，用于车载芯片200中的各个单元(如处理器201、指令执行单元204等)之间的连接，AHB总线单元202被耦合至处理器201，用于控制与车载芯片200连接的硬件设备的访问；只读存储器单元203，用于存储固定不变的数据；指令执行单元204，用于执行处理器201发送的功能指令，例如处理器201发送的AES加密、解密指令等；随机存储器单元205，用于存储能够被随机存取的内容，例如指令执行单元204执行AES加密、解密指令后得到的执行结果；通用I/O端口单元206，用于实现处理器201与硬件设备、存储器的连接和数据交换；安全岛(Safety Island，SI)单元207，用于对指令执行单元204中执行的功能指令进行功能故障检查，安全岛单元207可以包括自己专用的处理器；以及模式信息存储单元208，用于存储指令执行单元204中执行的功能指令的工作模式信息。

车载芯片200还可以包括单计时单元、双计时单元、警报计时单元和通用异步收发传输器单元(未示出)。其中，单计时单元和双计时单元用于为车载芯片200计时。警报计时单元用于在车载芯片200发生软件故障时，将车载芯片200复位。通用异步收发传输器单元(Universal Asynchronous Receiver/Transmitter，UART)用于将在车载芯片200中的单元之间、单元与硬件设备之间传输的资料在串行通信与并行通信之间加以转换。

图3示出了本申请的一些实施例中，指令执行单元204的组成结构框图。如图3所示，指令执行单元204包括指令存储电路301、指令选择电路302和指令执行电路303。指令存储电路301用于存储发送至指令执行单元204的功能指令，指令执行单元204可批量接收多条功能指令，接收的多条功能指令缓存在指令存储电路301中等待执行。指令选择电路302用于选择指令存储电路301中存储的功能指令或用于进行功能故障检查的检查指令，进入指令执行电路303中执行，指令选择电路302在选择功能指令进入指令执行电路303中执行的同时或之后，将功能指令的工作模式信息存入模式信息存储单元208，供生成该功能指令对应的检查指令使用。指令执行电路303包括具体执行功能指令和检查指令的硬件逻辑电路，即专用硬件逻辑电路和公共硬件逻辑电路，用于完成功能指令或检查指令的执行。

在此，指令执行单元204在接收到外部处理器发送的功能指令后，先将功能指令缓存在指令存储电路301中，再由指令选择电路302来选择进入指令执行电路303中执行的是功能指令还是检查指令。指令选择电路302可以根据预设的指令选择规则来进行指令选择。预设的指令选择规则可包括但不限于检查指令优先规则、轮流选择规则等。例如，预设指令选择规则为检查指令优先规则，即“在接收到检查指令后，优先选择检查指令进行执行”，则指令选择电路302在有功能指令和检查指令可供选择时，优先选择检查指令进行执行。可以理解，由于指令选择电路302以硬件逻辑电路方式实现，预设指令选择规则同样可以通过硬件逻辑电路方式实现，例如通过电路选择线的设计使得指令选择电路302优先接收检查指令等。

又例如，预设指令选择规则为轮流选择规则，即“轮流选择功能指令和检查指令进行执行”，则如果指令选择电路302上一次选择功能指令进行执行，那么当前应该选择检查指令进行执行；如果指令选择电路302上一次选择检查指令进行执行，那么当前应该选择功能指令进行执行。可以理解，在指令选择电路302选择功能指令进行执行后，而该功能指令对应的检查指令有多条，指令选择电路302随后应该选择对应的多条检查指令进行执行，在检查指令执行完毕后再选择新的功能指令进行执行。指令选择电路302通过轮流选择功能指令和对应的检查指令，实现了在功能指令执行完成后，立即通过对应的检查指令对该功能指令使用的硬件逻辑电路进行故障检查，从而在最短时间内实现对该功能指令的功能故障检查，能够在第一时间发现硬件逻辑电路的故障，从而降低故障容错时间。

另外，指令选择电路302在选择功能指令并将功能指令发送至指令执行电路303进行执行后，将该功能指令的模式相关信息存入模式信息存储单元208。可以理解，指令选择电路302将功能指令发送至指令执行电路303和将功能指令的工作模式信息进行存储可以同时进行，无需等待功能指令在指令执行电路303中执行完毕。

模式信息存储单元208用于存储功能指令的模式相关信息，在此，模式信息存储单元208可以实现为先进先出存储器(First In First Out，FIFO)，先进先出存储器没有外部读写地址线，通过顺序写入数据和顺序读出数据来完成数据读写，使用方式简单，能够简化车载芯片的设计。另外，功能指令的工作模式信息可以包括但不限于工作模式使用的算法、功能指令标识等信息。

图4示出了一种功能故障检查过程中数据流向示意图。图5示出了一种功能故障检查过程的交互流程图。以下以指令执行单元204为AES引擎，指令存储电路301为FIFO A，指令选择电路302为仲裁器，模式信息存储单元208为FIFO B为例，结合图4和图5说明本申请的一些实施例中进行功能故障检查的技术方案。

步骤S501，处理器201向AES引擎204发送功能指令。

在此，处理器201发送的功能指令是用于完成正常功能的指令，例如AES加解密相关的指令，指令有对应的工作模式，例如为电码本模式(ECB)。

可以理解，处理器201可以是多个物理处理器，也可以是一个物理处理器上运行的多个虚拟机。

AES引擎204接收到处理器201发送的功能指令后，先将功能指令缓存在FIFO A301中。FIFO A 301是一个先进先出存储器，先进先出存储器中最先存储的数据也最先被取出处理。通过使用先进先出存储器，可以保证AES引擎以接收功能指令的顺序对功能指令进行处理，不会导致处理顺序的改变，避免因功能指令处理顺序导致的错误。

在处理器201为多个处理器或多个虚拟机的情况下，FIFO A 301中存储的功能指令是来自不同处理器或虚拟机的功能指令，多个处理器或虚拟机发出的指令在FIFO A301中以交叉方式进行存储。对于不同的处理器或虚拟机来说，其发出的功能指令在FIFO A301中存储的顺序是不可知的，而对于同一个处理器或虚拟机来说，其发出的功能指令在此FIFO A 301中存储的顺序一定是与产生的顺序一致。

在处理器201为一个处理器或虚拟机的情况下，处理器201发出的功能指令按顺序在FIFO A 301中进行存储，仲裁器302同样按顺序从FIFO A 301中取出功能指令。

步骤S502，FIFO A301向仲裁器302提供功能指令。

仲裁器302从先进先出存储器301中获取功能指令并进行处理，先进先出存储器301中排在处理器201发送的功能指令之前的其它功能指令都被仲裁器302获取之后，仲裁器302即可获取步骤S501中处理器201发送的功能指令。

步骤S503，仲裁器302选择从FIFO A 301中获取的功能指令作为执行指令。

仲裁器302具有指令选择功能，可以对从先进先出存储器301中获取的功能指令和接收的来自安全岛处理器207的检查指令中进行选择。可以理解，仲裁器302可以从先进先出存储器301中获取一条功能指令，再从该功能指令和检查指令中选择一条指令作为执行指令。

仲裁器302在选择执行指令时，可以根据预设的选择规则确定执行指令。

本申请的一些实施例中，仲裁器302的预设选择规则可以为轮流选择功能指令和检查指令作为执行指令。亦即，仲裁器302上一次选择功能指令作为执行指令，则下一次需要选择该功能指令对应的检查指令作为执行指令；仲裁器302上一次选择检查指令作为执行指令，则下一次应该选择功能指令作为执行指令。

可以理解，上述选择执行指令的方法仅仅是示例，可以为仲裁器302预设多种不同的指令选择规则，本申请实施例中对指令选择规则不做具体限制。

在此，为方便进行说明，假定仲裁器302还没有接收到检查指令，此时仲裁器302只有功能指令可以选择，因此仲裁器302选择FIFO A 301中存储的功能指令作为执行指令。

步骤S504，仲裁器302将功能指令发送至指令执行电路303执行。

仲裁器302将选择的执行指令发送至指令执行电路303，由指令执行电路303进行执行。指令执行电路303包含用于执行多种工作模式下功能指令的硬件逻辑电路。

可以理解，指令执行电路303为不同的工作模式提供了对应的硬件逻辑。每种工作模式对应有专用硬件逻辑，专用硬件逻辑只能被该工作模式中的功能指令所使用，不能被其它工作模式中的功能指令使用；指令执行电路303还提供了公共硬件逻辑，公共硬件逻辑可被不同工作模式中的功能指令使用。如图4所示，指令执行电路303中可以包含多个专用硬件逻辑，从专用硬件逻辑1到专用硬件逻辑n，还包含多个公共硬件逻辑，从公共硬件逻辑1到公共硬件逻辑n。可以理解，指令执行电路303中专用硬件逻辑和公共硬件逻辑的数量可以相同，也可以不同。

步骤S505，仲裁器302将功能指令对应的工作模式信息存储到FIFO B 208。

在此，由于现有方案中安全岛处理器207无法直接得知处理器201发出的功能指令的相关信息，因此，本申请的一些实施例中将功能指令对应的工作模式信息存储到FIFO B208，使得安全岛处理器207能够以简单、方便的方式获得功能指令对应的工作模式信息。

本申请的一些实施例中，仲裁器302将功能指令发送至指令执行电路303之后或在功能指令发送的同时，将功能指令对应的工作模式信息存储到先进先出存储器B 208中。通过对功能指令对应的工作模式信息的及时存储，可以将功能指令在指令执行电路303中的执行与根据工作模式信息生成检查指令的过程并行化，可以减少AES引擎等待检查指令生成的时间，提高对AES引擎中功能指令进行功能故障检查的效率。

可以理解，功能指令的工作模式信息可以包括但不限于工作模式使用的算法、功能指令标识等。例如，功能指令的工作模式信息为“ECB，指令A”。

在此，步骤S504和步骤S505可以并行执行，步骤S506和S507在步骤S504之后执行，步骤S508、S509和S510在步骤S505之后执行。

步骤S506，指令执行电路303在功能指令对应的硬件逻辑电路上执行功能指令。

在此，指令执行电路303在接收到功能指令后，根据该功能指令确定对应的硬件逻辑，该硬件逻辑包括专用硬件逻辑和公共硬件逻辑中的一部分，然后在对应的硬件逻辑执行该功能指令。如图4所示，指令执行电路303确定功能指令对应的硬件逻辑为专用硬件逻辑1和公共硬件逻辑1，则指令执行电路303在由专用硬件逻辑1和公共硬件逻辑1组成的硬件逻辑电路上执行该功能指令。

步骤S507，指令执行电路303将功能指令的执行结果存储到存储器205。

指令执行电路303在功能指令执行完后，将该功能指令的执行结果进行存储，供后续处理使用。例如，处理器201可以从存储器205中获取指令执行结果并进行处理。

步骤S508，FIFO B 208向安全岛处理器207提供工作模式信息。在此，安全岛是专用于实现功能故障检查的硬件逻辑电路，安全岛包括安全岛处理器207、存储器、控制器及相关的逻辑电路。

本申请的一些实施例中，先进先出存储器B 208以中断方式将存储的功能指令的工作模式信息发送至安全岛处理器207。先进先出存储器B 208检测到有数据写入时触发预先定义的中断，通过中断处理将工作模式信息传递给安全岛处理器207。

步骤S509，安全岛处理器207确定工作模式信息对应的检查指令。

本申请的一些实施例中，安全岛处理器207可以通过执行预先开发的软件测试库(Software Test Library，STL)中相应的测试代码来生成对应的用于进行功能故障检查的检查指令。软件测试库中有对功能指令进行功能故障检查的测试代码，每条功能指令有对应的测试代码，测试代码预先编写并能够对功能指令的功能故障进行检查。类似地，确定功能指令对应的测试代码可以通过预先建立的映射规则进行，该映射规则包括但不限于针对功能指令对应的工作模式信息的映射条件等。

例如，安全岛处理器207根据功能指令的工作模式信息“ECB，指令A”在软件测试库STL中获取工作模式使用的算法为ECB，指令标识为A的对应测试代码，并运行对应测试代码，从而生成功能指令对应的检查指令。

在此，安全岛处理器207生成的检查指令在指令执行电路303中执行时使用的硬件逻辑电路覆盖对应的功能指令在指令执行电路303中执行时使用的硬件逻辑电路，这里的硬件逻辑电路包括专用的硬件逻辑和公共的硬件逻辑。

可以理解，功能指令对应的检查指令可以为一条或多条，在检查指令有多条的情况下，每一条检查指令执行时使用的硬件逻辑电路是对应功能指令执行时使用的硬件逻辑电路的一部分，通过多条检查指令的组合可以实现对功能指令使用硬件逻辑电路的覆盖。

步骤S510，安全岛处理器207向仲裁器302发送检查指令。

在此，安全岛处理器207在生成功能指令对应的检查指令后，将检查指令发送至仲裁器302，由仲裁器302进行选择并发送至指令执行电路303进行执行。

步骤S511，仲裁器302选择检查指令作为执行指令。

本申请的一些实施例中，仲裁器302可以通过提高检查指令的优先级来确保优先选择检查指令进行执行。例如，仲裁器302可以将处理器201发送的功能指令的优先级设置为一般优先级，将安全岛处理器207发送的检查指令的优先级设置为高优先级，从而可以在选择时优先选择检查指令作为执行指令。

步骤S512，仲裁器302将检查指令发送至指令执行电路303执行。

仲裁器302在选择检查指令作为执行指令后，如果指令执行电路303上执行的指令执行完毕，则仲裁器302将检查指令发送至指令执行电路303进行执行。

步骤S513，指令执行电路303在检查指令对应的硬件逻辑电路上执行检查指令。

指令执行电路303在接收到检查指令后，同样会根据检查指令确定对应的硬件逻辑，包括专用硬件逻辑和公共硬件逻辑，然后在对应的硬件逻辑执行该指令。例如，指令执行电路303在由专用硬件逻辑1和公共硬件逻辑1组成的硬件逻辑电路上执行功能指令，在对应的检查指令能够完全覆盖该功能指令的情况下，功能指令对应的检查指令同样在由专用硬件逻辑1和公共硬件逻辑1组成的硬件逻辑电路上执行。

步骤S514，指令执行电路303将检查指令的执行结果返回给安全岛处理器207。

步骤S515，安全岛处理器207根据检查指令的执行结果确定功能指令的功能是否安全。

在此，安全岛处理器207接收到检查指令的执行结果之后，将接收的执行结果与检查指令的预期执行结果进行比对，如果两者一致，则说明检查指令在硬件逻辑电路上的执行没有错误，该硬件逻辑电路不存在硬件故障。例如，检查指令在专用硬件逻辑1和公共硬件逻辑1上的执行没有错误，则说明专用硬件逻辑1和公共硬件逻辑1没有硬件故障，因此可知同样在专用硬件逻辑1和公共硬件逻辑1执行的功能指令的执行结果是正确的，该功能指令的执行结果是正确的，因此该功能指令的执行是功能安全的。如果检查指令的执行结果与预期执行结果不一致，则说明执行检查指令的硬件逻辑电路存在故障，因此可知在同样的硬件逻辑电路上执行的功能指令得到的执行结果是不正确的，因此该功能指令的执行是功能不安全的。在发现硬件逻辑电路存在故障后，可以及时发出相应的功能安全故障警报。

需要说明的是，本申请各设备实施例中提到的各单元/模块都是逻辑单元/模块，在物理上，一个逻辑单元/模块可以是一个物理单元/模块，也可以是一个物理单元/模块的一部分，还可以以多个物理单元/模块的组合实现，这些逻辑单元/模块本身的物理实现方式并不是最重要的，这些逻辑单元/模块所实现的功能的组合才是解决本申请所提出的技术问题的关键。此外，为了突出本申请的创新部分，本申请上述各设备实施例并没有将与解决本申请所提出的技术问题关系不太密切的单元/模块引入，这并不表明上述设备实施例并不存在其它的单元/模块。

需要说明的是，在本专利的示例和说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

虽然通过参照本申请的某些优选实施例，已经对本申请进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本申请的精神和范围。

Claims (11)

1.一种车载芯片，用于处理车辆驾驶控制过程中的多种业务，其特征在于，包括：

第一处理器，用于向指令执行电路发送功能指令，其中，所述功能指令与上述业务相关的工作模式对应；

模式信息存储器，用于获取并存储与所述功能指令对应的工作模式信息；

功能故障检查电路，用于根据所述工作模式信息生成检查指令，并将所述检查指令发送至所述指令执行电路执行，再根据所述指令执行电路的针对所述检查指令的执行结果判断所述功能指令执行的正确性；

指令执行电路，用于在所述指令执行电路中的部分电路执行所述检查指令，并生成所述检查指令的执行结果，其中，所述部分电路包括用于执行所述功能指令的硬件逻辑电路。

2.根据权利要求1所述的车载芯片，其特征在于，所述指令执行电路包括专用硬件逻辑电路和公共硬件逻辑电路，所述专用硬件逻辑电路用于执行对应特定工作模式的功能指令，所述公共硬件逻辑电路用于执行对应非特定工作模式的功能指令，部分所述专用硬件逻辑电路和部分所述公共硬件逻辑电路用于执行所述功能指令。

3.根据权利要求1所述的车载芯片，其特征在于，所述模式信息存储器包括先进先出存储器。

4.根据权利要求1所述的车载芯片，其特征在于，所述工作模式信息包括工作模式使用的算法和功能指令标识中的至少一种。

5.根据权利要求1所述的车载芯片，其特征在于，所述功能故障检查电路以中断方式获取所述模式信息存储器中存储的所述工作模式信息。

6.根据权利要求1所述的车载芯片，其特征在于，所述功能故障检查电路包括第二处理器，所述第二处理器用于执行所述功能故障检查电路中存储的预设测试代码并生成检查指令。

7.根据权利要求1所述的车载芯片，其特征在于，所述指令执行电路包括仲裁器，所述仲裁器用于根据预设的指令选择规则确定将要被执行的功能指令和/或检查指令。

8.根据权利要求7所述的车载芯片，其特征在于，所述指令选择规则包括检查指令优先和轮流选择中的至少一种。

9.根据权利要求7所述的车载芯片，其特征在于，所述仲裁器还用于根据所述功能指令确定对应的工作模式信息，并将所述工作模式信息存储至所述模式信息存储器。

10.一种功能故障检查方法，用于车载芯片，所述车载芯片用于处理车辆行驶控制过程中的多种业务，其特征在于，该方法包括：

确定功能指令，其中，所述功能指令与所述业务相关的工作模式对应；

根据所述功能指令确定并存储对应的工作模式信息；

根据所述工作模式信息生成检查指令；

在第一硬件逻辑电路上执行所述检查指令，并获得针对所述检查指令的执行结果，其中，所述第一硬件逻辑电路用于执行所述功能指令；以及

根据所述执行结果判断所述功能指令执行的正确性。

11.一种电子设备，其特征在于，包括权利要求1-9中任一项所述的车载芯片。

Images