車載設計の機能安全に関する

Jacinto™ 7

プロセッサ機能の利用
Yashwant DuttEngineering Manager
Jacinto™ Processors
Sam Visalli
Functional Safety Manager
Jacinto Processors
Mahmut Cifti
Systems Architect
Jacinto Processors
Dave Maples
General Manager Automotive Gateway
and Infotainment
Jacinto Processors
Krishna Gopalakrishnan
Quality Manager
Embedded Processing
Texas Instruments

概要
自律的な運転、コネクテッド・カー、電気自動車 / ハイブリッド電気自動車の登場は自動車業界のパラダイムを変えています。これらのテクノロジーの中心となる機能安全はもはや従来のマイコン（MCU）に限定されておらず、アプリケーション・プロセッサでもサポートが必要になっています。エンジン制御ユニット（ECU）の計算要件が増加しているため、アプリケーションのニーズを満たすためにより高性能のプロセッサ、ハードウェア・アクセラレータ、デジタル信号プロセッサ（DSP）が必要になっています。これらのパラメータを考慮すると、既存のコアで安全関連のデータを処理すると共にミックスド・クリティカリティ機能をホストすることはさらに困難になります。ミックスド・クリティカリティ・システムでは、重要度が異なるタスクが1 つの共有プラットフォームで実行されます。ミックスド・ク
リティカリティ・システムでは、安全性の確保が重要となるタスクのタイミングを厳密に保証する必要があります。

車載用 TI Jacinto™ 7システム・オン・チップ（SoC）ファミムを実現するハードウェア支援の絶縁技法が使用されます。

リは、絶縁型 ASIL-D 安全 MCUを内蔵しているだけでな安全性の確保が重要となるタスクとそうでないタスクの両方く、すべてのプロセッシング・コア向けにより高いレベルのを1つのデバイスでシームレスにホストする能力は、システム・ASIL 機能安全も提供します。このホワイト・ペーパーでは、コストを低減するのに役立ちます。

Jacinto 7 SoCファミリに組み込まれた安全性診断について

Jacinto 7プロセッサ・ファミリは、ハードウェアとソフトウェア説明します。これには、TDA4xとDRA8x デバイス、ミックの両方を扱う包括的な安全性ソリューションを提供します。

スド・クリティカリティ・システムをサポートするさまざまな絶ASIL-Dに対応したシステム設計では、TÜV SÜDなどの独縁メカニズム、ソフトウェア・アーキテクチャ、ソフトウェア製立した安全性認証機関が認定したハードウェア開発プロセス品、包括的なソリューションを構築する方法が含まれます。

が使用されています。ランダム障害を検出できる診断回路が備わっています。ランダム障害は次の3 種類の広いカテゴリに分類できます。

機能安全とはメモリ、クロック、電源、コア、相互接続の回路をテストす●	

機能安全とは、システムが損害を最小にする仕方でランダムる基本的な診断。

障害、ハードウェア障害、環境ストレスといった誤動作に対応する能力のことです。ISO 26262では、許容できないリス

電圧 / 電源 /リセット、ファイアウォール、メモリ管理ユ●	

クの不在を意味しています。機能安全の概念は自動車業界ニット（MMU）、マイクロプロセッサ（MPU）の分離などでかなりの期間存在していますが、アプリケーション・プロのハードウェア絶縁機能。ASIL-BとASIL-Dなどの重要セッサでの対応は始まったばかりです。ASIL-Dに準拠した度が異なる操作をサポートするシステムで FFI（Freedom

アプリケーションを念頭に置いて、Jacinto 7プロセッサではFrom Interference）を簡素化します。

これまで MCUクラスのデバイスに限定されていた安全性の●概念がアプリケーション・プロセッサに導入されました。こ凍結フレーム検出などの特定用途向けのハードウェア診断。

れらのプロセッサでは、ミックスド・クリティカリティ・システ

車載設計の機能安全に関する Jacinto™ 7 プロセッサ機能の利用

22020

ソフトウェアの機能安全の概要

Jacinto 7プロセッサ・ファミリは、ターゲットとなる最終機器で必要とされるASILレベルでもSEooC（Safety Element

ソフトウェアは製品の安全目標全体を達成するうえで重要なout of Context）として外部認定されます。ハードウェア開発要素のひとつです。Jacinto 7ソフトウェアの安全性には次のプロセスと同様に、ソフトウェア開発プロセスもTÜV SÜD

2 つの面があります。などの独立した安全性認証機関によって認定されています。

安全パスで使用されるソフトウェア・コンポーネントのシス●	

安全性要件のあるJacinto 7のソフトウェア・コンポーネント

テム性能。

は、ASIL-Dまでの機能安全要件をサポートするように設計されています。ソフトウェア・コンポーネントは外部認定されハードウェア診断用の包括的なソフトウェア・サポートとリ●	ていません。最終ソフトウェア/システムを認定できる認定サファレンス・サンプル・コード。

ポート・パッケージが備わっています。ソフトウェア診断ライ
ブラリにはオンチップ診断用のサンプルが付属しています。

システム性能について、TI は適切に定義された共通のソフト

TI は、適合したハードウェアとソフトウェアに機能安全証ウェア開発プロセスとツールをさまざまなチームで使用してい明書を提供しています。

ます。独立したソフトウェア品質組織がソフトウェア製品のJacinto 7プロセッサの重要な安全性アーキテクチャの特徴承認を行っています。TIの機能安全成果物の全体には次ののひとつは、MCU 機能の内蔵です。これにより、システム設ものが含まれます。

計が簡素化され、基盤の部品点数が減り、基盤面積が小さプロセスの準拠：機能安全ソフトウェア開発プロセスは、●	

くなります。アプリケーション・プロセッサは2つの独立した

TÜV SÜDによって ISO 26262（ASIL-D）とIEC 61508

ドメイン - メイン・ドメインとMCUドメイン - に分離されての認定を受けています。

います。メイン・ドメインは、高性能の計算コア（MPUなど）とGPU（グラフィックス処理ユニット）、マルチメディア、DSP

プロジェクトの準拠：プロジェクトの準拠は内部監査に●	などのビジョン・ハードウェア・アクセラレータのほか、必要よって保証されており、ISO 26262または IEC 61508プロな周辺装置を提供します。MCUドメインは高 FFIの安全機セスに照らして実施されています。違反は改善用の計画能に使用する独立したドメインです。

やアクションによって修正されています。

Jacinto 7プロセッサは安全に準拠したデバイスであり、次の顧客による認証への対応：安全プロセスを使用して開●	ものを含む機能安全関連の資料が付属しています。

発されたすべてのソフトウェアには、CSP（ComplianceSupport Package：コンプライアンス・サポート・パッケー

セーフティー・マニュアル。サポートされているJacinto 7●	ジ）が付属しています。CSPに含まれるものプロセッサ・ファミリを使用してセーフティー・クリティカル・システムを構築する方法が記載されています。この資○TIの内部監査レポート。

○

要件、テスト計画とレポート。

○トレーサビリティ・レポート。

れた目標を達成する能力に関する情報が記載されています。

○動的コード範囲分析レポート。

定量的な機能安全分析（FMEDA［Failure Mode, Effects○

静 的コード分析/MISRA（Motor Industry Software

料には、開発プロセス、機能安全アーキテクチャ、実装された機能安全メカニズムの詳細が含まれています。
安全性分析レポート。デバイスが機能安全に関して明示さ●	●	Reliability Association）Cレポート。

and Diagnostic Analysis：故障モード影響診断解析］とも呼ばれる）。安全性分析レポートの一部ですが、別個の資料になっています。部品のさまざまな部分に関する詳細が記載されています。診断機能安全メカニズムのカスタマイズ使用に基づく計算を行うのに適しており、FIT、○機能安全診断ライブラリと資料。

○

コンパイラ認証キット。

○

ソ フトウェアFMEA（Failure Mode and Effects
Analysis：故障モード影響解析）レポート。

診断範囲、SPFM/LFM、故障モードに関する情報が含まれています。

車載設計の機能安全に関する Jacinto™ 7 プロセッサ機能の利用

32020

安全アプリケーションのマッピング

統合されたJacinto 7 SDK（Software Development Kit：ソフトウェア開発キット）も、安全ソリューションの構築に役立データ・センターやモバイル・アプリケーション用に構築されつソフトウェア・サポートを提供しています。システムで「現た標準的なSoCアーキテクチャには、自動車アプリケーショ状のまま」使用されることが想定されているコンポーネントとンに必要な安全機能がないため、ソフトウェア・ベースの安安全ループの一部であるコンポーネントは、TIの機能安全ソ全診断を追加するために追加の計算性能が必要になります。

フトウェア開発プロセスに従って開発されています。このプ

Jacinto 7プロセッサ・ファミリのさまざまなハードウェア/ソロセスには、すべての主要な安全IPとマイコン抽象化レベル・フトウェア安全機能をエンド・アプリケーションで使用するドライバ、IPC、DMAなどの機能ソフトウェア用のソフトウェと、この計算性能の要件を低減できます。

ア診断ライブラリが含まれています。

次のページの図1に、標準的なビジョン・ベースのシステムを示

TIは、これらの安全機能をアプリケーションで使用する方法

します。入力カメラ・データはCSI（Camere Serial Interface：を理解するのに役立つさまざまなリファレンス・サンプルも提カメラ・シリアル・インターフェース）を通じてキャプチャされ、供しています。安全機能はアプリケーションごとに異なるため、RAWからYUVへの変換用にビジョン処理ハードウェア・エンリファレンス・ソフトウェアは安全プロセスを使用する代わりジンに送信されます。物体の分類や自由空間の検出といったにTIのベースライン・プロセスに従って開発されています。

さまざまな分析/ディープ・ラーニング・アルゴリズムは、プロセッサのオンチップ C7x DSP、MMA、ARM®Cortex®-A72
コアで実行されます。MCUドメインは各ステップのチェッカー

表 1は、SDKに含まれる診断ソフトウェア、機能ソフトウェア、のように機能し、処理中のデータを周期的にモニタして検証しリファレンス・ソフトウェアのさまざまな例を示しています。

ます。MCUドメインは、他のセンサ入力に基づく安全機能の最終決定を受け取り、CAN（Controller Area Network：コントローラ・エリア・ネットワーク）などの通信プロトコルによって他の自動車 ECUに送信します。

ソフトウェア診断

機能ソフトウェア

リファレンス・ソフトウェア

ソフトウェア診断ライブラリ（SDL）− さまざま

安全パス内のコンポーネント − システムを性能を使用して構築された SDK コンポーネント• AUTOSAR MCAL（CAN、DIO、SPI、ETH、• FFI、メイン /MCU アイランド絶縁、その他の安な安全機能用のソフトウェア機能と応答ハンドラ• さまざまなモジュール用の LBIST/PBIST• CAN、SPI を介した周辺装置• 安全 IP：CRC、ECC、RTI、DCC、ESM• エラーを注入する能力• システム性能を持つソフトウェア

全機能のサンプル・コード• 使用状況コンテキストでの安全 IP の使用法を示すリファレンス・ソフトウェア
IPC、ADC、PWM、WDG GPT）
• ECC 、CRC 、DCC 、ESM 、BIST、V TM 、 • セーフティ・マニュアルに記載されている診断を
PGD、POK、ADC などの安全 IP 用の CSL-FL
示すリファレンス・ソフトウェア• SCI クライアント、DMA• SYSFW ファームウェア• TI-RTOS• 安全パス内のすべての IP 用の CSL-FL• MMA、TIDL ライブラリ• CSI2、VHWA、IPC 用の LLD• コンパイラ認証キット

機能安全ソフトウェア開発プロセス ソフトウェア CSP（コンプライアンス・サポート・パッケージ）

標準的なソフトウェア開発プロセス

表 1：ソフトウェア機能安全製品。

車載設計の機能安全に関する Jacinto™ 7 プロセッサ機能の利用

42020

Jacinto プロセッサに対応した
パワー・マネージメント・ソリューション
Jacintoプロセッサ・ファミリと並行して、TI は2つの高精度で柔軟なPMIC（Power Management Integrated Circuit：パワー・マネージメントIC）を開発しました。これらは機能安全が要求される自働車アプリケーションに適しており、機能安全関連の資料が付属しています。これらのPMIC であるTPS6594-Q1とLP8764-Q1 PMIC は、メイン・ドメインとMCUドメインの両方で使用できるスケーラブルなパワー・マ
ネージメント・ソリューションを提供し、ASIL-Dまでの機能安全をサポートします。

図 1：標準的なビジョン処理。

図1の各ブロックはJacinto 7プロセッサのモジュールであり、CPUリソースを使用せずに全体的な安全目標を達成できるようにハードウェア診断が含まれています。表2 は、前述のビジョン・アプリケーションをマッピングし、Jacinto 7プロセッサ・ファミリと標準的なSoCの安全機能の違いを示しています。

安全ドメイン• アーキテクチャ

特長

標準的な車載システム• MCU アイランドの統合• 異種安全コア• 外部 MCU の使用• ハイパーバイザーと外部 MCU の使用。ハイパーバイザー用に追加の CPU 負荷が必要• 基本的な安全• 過渡的な障害と永続的な障• コア、メモリ、ハードウェア・アクセラ• 通常の場合、アプリケーション・プ

レータ用の組み込みセルフテスト

ロセッサでは使用不可• メモリ用のエラー修正コード• ロックステップ DMIPS• CRC、ウォッチドッグ、クロック・Jacinto 7プロセッサ・ファミリの利点• システム・コストの最適化• スケーラブルな安全性能• ハイパーバイザーを使わないフェイルセーフと回復• すべてのハードウェアで使用可能• 追加 CPU 負荷はごくわずか• すべてのコアでソフトウェア診断用の追加負荷が発生

コンパレータ• 相互接続での安全• 絶縁• FFI

• 安全機能• MMU、MPU、ファイアウォール、 • ハイパーバイザ − ソフトウェア・タイムアウト・ガスケット

ベースの方式 − 負荷プロセッシ• ブラック・フレーム• 凍結フレーム• カメラのブロック• ディープ・ラーニング・ネットワー

ドウェア絶縁ング・コア• すべてのコアでソフトウェア診断用の追加負荷が発生• 追加 CPU 負荷はごくわずか• ソフトウェア・ベースの方式 − 負• 凍結フレーム・モニタ：ハードウェ
ア支援の凍結フレーム検出。CPU荷プロセッシング・コア• すべてのコアでソフトウェア診断用の追加負荷が発生

ク・パラメータの安全• 安全タスクと非安全タスクのハー負荷なし• ハードウェア CRC ベースのディー
プ・ラーニング・ネットワークの安全。追加 CPU 負荷なし

表 2：アプリケーションへの安全マッピング。

車載設計の機能安全に関する Jacinto™ 7 プロセッサ機能の利用

52020

適切なアーキテクチャのシステムでは、次のような機能安全

TPS6594-Q1とLP8764-Q1デバイスはスタンドアロンのPMIC要件がサポートされます。

として使用できますが、スケーラビリティのために複数のPMIC●SoC がセンサ・データをチェックする●

MCUが SoCをチェックする●

MCUがアクチュエータを制御するがプロセッサやMCUと共に利用されているシステムでは、CRCプロトコルでカバーされた2線式インターフェースによって PMICが相互に通信します。このインターフェースでは、PMIC 間で電源状態とエラー処理を同期できます。バスの周期的なポーリングにより、通信バスにあるすべてのPMIC の健康状態がコントロールに対してアクチュエータが期待どおりに作用●	

チェックされます。この実装により、システム障害条件に対することをMCUがチェックするする迅速な応答が保証されるため、ソリューションではエン

PMIC が MCUハードウェアとソフトウェアの実行をモニタ●	ド・システムでのより高度な機能安全目標をターゲットにできするます。図2 は、2つのPMICとJacinto 7プロセッサ・システム

PMIC がアプリケーション・プロセッサ・ハードウェアのの接続例を示しています。ほとんどのアプリケーションでは動作をモニタする

TPS6594-Q1だけを使用しますが、LP8764-Q1も使用すると●	

追加のシステム機能がサポートされて性能が向上します。1つまたは複数のPMICを組み合わせた「仮想」PMICを使用

エラー動作を検出すると、PMIC は ENDRV出力ピンを強制して SoC の電源を供給するこの機能により、最高性能のシス的に低にしてシステムを安全状態にします。エラーの例にはテムと同時に消費電力の低減が必要な使用状況でシステム・以下のものがあります。

コストを最適化できます。

MCUまたは SoC への電源電圧の障害●	

PMIC への入力電源電圧●	の障害MCUソフトウェアまたは●	

ハードウェアのエラー
SoCについて ESMから報●	

告されたSoCハードウェア・エラー

図 2：TPS6594-Q1＋ LP8764-Q1＋ LP8764-Q1通信を「仮想」PMIC として使用。

車載設計の機能安全に関する Jacinto™ 7 プロセッサ機能の利用

62020

まとめその他の技術資料

機能安全関連の機能をオンチップに内蔵した TIの新しい●Kumar, VC。
『 The state of functional safety in

Jacinto 7プロセッサ・ファミリは、顧客が安全認証を取得し。Texas Instruments white
Industry 4.0（英語）』てエンド製品の安全目標を達成するのに役立ちます。広範paper SPRY329, 2018。

囲な安全機能はシステムBOMの低減に役立ち、さまざまな●コアで性能オーバーヘッドを節約できます。また、TIのソフ『Foundational Software for Functional Safety

トウェア SDKは、顧客がソフトウェア開発に関する安全目標（英語）』。Texas Instruments white paper SPNY007,を達成するのに役立つ安全関連のドライバと診断ライブラリ

2015。

を提供します。簡素化された安全アーキテクチャとソフトウェ
ア製品は、顧客が設計と開発に使う労力を大幅に節約するのに役立ちます。

Thomas, Jay, and Siddharth Deshpande。

●

機能安全ハードウェア証明書。

●

機能安全ソフトウェア証明書。

●

Chitnis, Kedar, et al。
『Enabling Functional Safety
ASIL Compliance for Autonomous Driving Software
Systems（英語）』。Electronic Imaging, Autonomous
Vehicles and Machines 2017（英語）, Society forImaging Science and Technology（2017年1月29日）、35～ 40ページ。

●Haworth, David, Tobias Jordan and Alexander Much。
『Freedom from Interference from AUTOSAR-BasedECUs：A Partitioned AUTOSAR Stack（英語）』。
Automotive – Safety & Security（英語）, LNI 210（2012年）、85 ～ 98ページ。

©2020日本テキサス・インスツルメンツ合同会社
Printed in Japan 2020.03

JAJY104

重要なお知らせと免責事項
TI は、技術データと信頼性データ（データシートを含みます）、設計リソース（リファレンス・デザインを含みます）、アプリケーションや設計に関する各種アドバイス、Web ツール、安全性情報、その他のリソースを、欠陥が存在する可能性のある「現状のまま」提供しており、商品性および特定目的に対する適合性の黙示保証、第三者の知的財産権の非侵害保証を含むいかなる保証も、明示的または黙示的にかかわらず拒否します。
これらのリソースは、TI 製品を使用する設計の経験を積んだ開発者への提供を意図したものです。(1) お客様のアプリケーションに適した TI 製品の選定、(2) お客様のアプリケーションの設計、検証、試験、(3) お客様のアプリケーションが適用される各種規格や、その他のあらゆる安全性、セキュリティ、またはその他の要件を満たしていることを確実にする責任を、お客様のみが単独で負うものとします。上記の各種リソースは、予告なく変更される可能性があります。これらのリソースは、リソースで説明されている TI 製品を使用するアプリケーションの開発の目的でのみ、TI はその使用をお客様に許諾します。これらのリソースに関して、他の目的で複製することや掲載することは禁止されています。TI や第三者の知的財産権のライセンスが付与されている訳ではありません。お客様は、これらのリソースを自身で使用した結果発生するあらゆる申し立て、損害、費用、損失、責任について、TI およびその代理人を完全に補償するものとし、TI は一切の責任を拒否します。
TI の製品は、TI の販売条件（www.tij.co.jp/ja-jp/legal/termsofsale.html）、または ti.com やかかる TI 製品の関連資料などのいずれかを通じて提供する適用可能な条項の下で提供されています。TI がこれらのリソースを提供することは、適用されるTI の保証または他の保証の放棄の拡大や変更を意味するものではありません。IMPORTANT NOTICE
Copyright © 2020, Texas Instruments Incorporated
日本語版 日本テキサス・インスツルメンツ株式会社