HSI — Hardware-Software Interface 文档

HSI 受控文档的头字段是追溯与责任的源头——审计员直接对照版本号、基线日期和签字人进行交叉核查:

每条 HSI 覆盖:ID、类别、需求描述、关键约束值(Part A)和 ASIL、验证、Owner、状态(Part B)。

Part A — 需求与约束

Part B — 验证状态

从 HSI 条目出发,FTTI 预算必须端到端量化——否则 HSI 只是"数字列表",不是安全约束文件:

FTTI = 50 ms(EPS ASIL D 扭矩路径)

SW 路径:

• FDTI_SW = 30 ms:200 Hz 扭矩环每 5 ms 检测一次,6 个周期 × 5 ms = 30 ms 检测窗
• FRTI_SW = 5 ms:下一个 5 ms 任务周期内完成 SafeState 指令
• 余量 = 50 − 35 = 15 ms(30%)

HW 路径(DESAT → FS0B → PWM 关断):

• 源自 topic-desat-protection worked design:tblank + tdetect ≈ 1.2 µs;HSI-010 全链 < 10 ms 为 HW 路径 FRTI 上限

ADC 采样窗口合规性(HSI-002):

关键在于区分采样点与开关边沿。中心对齐 PWM 的开关边沿发生在占空比翻转处,而载波峰/谷(即"PWM 中点")恰好落在导通(或关断)区间的正中——这正是选它做 ADC 触发点的原因:它离最近的开关边沿最远,而非落在开关瞬态里。以 $fsw=10\text{kHz}$($T=100\mu \text{s}$)、占空比 50% 为例,采样点到最近开关边沿约 $D\cdot T/2=25\mu \text{s}$:

故采样窗与开关瞬态区不重叠 ✓,HSI-002 合规成立(对应 Part B 标 Verified)。注:切勿把开关瞬态区误摆到周期中点(采样点所在处)——那样会算出虚假重叠。实际 EV 逆变器用三角载波峰/谷触发 ADC,精确触发点与死区裕量仍需在具体 GTM 配置中核验;HSI 条目应注明"ADC trigger locked to GTM carrier peak,不允许软件改变触发源"。

HSI-007、HSI-008、HSI-009 三条安全机制直接贡献到 FMEDA 的诊断覆盖率(DC)分子——任何一条 HSI 条目 status=Open,对应 SM 的 DC 不能计入:

HSI 条目未 Verified 时,审计员会要求将对应 SM 的 DC 回退到 0%,导致 SPFM 不达标。

审计员第一优先查类别⑤。只列了 HW resources 和 config,没有 Lockstep 状态读取约束、SMU SafeState 进入路径、WDT 服务序列——Confirmation Reviewer 直接退回,导致 HSI 版本冻结推迟 2-4 周。根因:安全机制通常在系统层设计时已决定,但"写进 HSI"这一动作被遗漏。

HSI 签字人离职或换岗后,文件变成"无主文件"——审计员判定"未签 = 未交付"。规模 200 人以上的 Tier-1 项目,3 年开发周期内签字人变动概率接近 100%。纪律:每次 CCB 后若签字人已变动,必须新签字人重审并签字,不能沿用前任。

最危险的场景:HW lead 把 Fault IRQ 优先级从 0 改为 5(认为是"小改"),SW 团队不知道 → ISR latency 假设失效 → 集成测试时 FTTI 超标才发现。即使是"只改一个 bit"的 HSI 修改,都必须走 CCB → SIA → 三方 Review,否则追溯链断裂。

HSI-008 的 ECC 告警寄存器地址从 SMU_AG3.SF3 变成了 SMU_AG2.SF5(MCU 版本升级),但 FMEDA 里的 DC 计算还引用旧地址的覆盖描述。FMEDA 重算时找不到这条 HSI 与测试用例的链接 → 审计员判定 DC 不可信 → SPFM 重新核算可能不达标。

常见于初创公司或学术衍生项目:SW 把寄存器宏用注释标注为"HSI",但代码注释没有版本控制基线、没有签字、没有 CCB 历史。OEM 审计员看到"HSI 文档"指向 GitHub README → 立刻判定"no controlled HSI"→ 整批 ASIL D work product 被挂起。

TC397 Safety Manual v2.3 规定 WDT 服务窗口为 30-70%;如果厂商发布 v2.4 将窗口收紧为 40-60%,而系统 HSI 未更新,则 SW 仍按 30-70% 服务 → 实际上不满足 AoU → ASIL D 声明失效。芯片厂商 Safety Manual 更新通知必须强制触发 HSI Change Review,不能等到下个 milestone 才对齐。

当 ASIL D 分解为 B(D)+B(D) 时,两条路径必须独立。如果 HSI-008 Lockstep 标志被两条路径同时引用且只有一个 SM,则两路径共享同一硬件机制 → independence argument 崩溃 → Part 5 Annex E 的 SPFM 计算不成立。正确做法:B(D) 路径 A 有独立 WDT-A 和 ECC-A,路径 B 有独立 WDT-B 和 ECC-B,各自在 HSI 中单独成行。

EPS ECU 进入系统集成阶段(距 SOP T-3 个月),SW 发现 ADC 触发时序假设与实际 GTM 实现不符 → 提出 HSI-002 变更 → CCB → SIA → ASIL D 三方 Review = 5-7 个工作日。若同期还有 3 条待审 CR,串行走完需 15-21 天,集成冻结直接推迟 3 周。缓解:HSI 草稿在 Part 6 设计启动前完成并通过三方 Review;独立无依赖的 CR 可并行进 CCB;紧急 CR 设立 24 小时快速通道(但签字不可省)。

TC397 Safety Manual 规定的 AoU(Assumptions of Use)是芯片级 HSI(第一层);系统 HSI 是第二层。第一层发生变化时,第二层必须联动更新。典型场景:Safety Manual v2.4 新增 AoU"SW 激活 ASCE 命令后 100 ms 内禁止清除 SMU_CMD"(HSI-006 中已有此约束),但初版系统 HSI(基于 v2.3)未包含此项。集成测试时 SW 复位 SMU_CMD 触发安全机制误清 → FI 测试失败 → 追溯发现 AoU 未进系统 HSI。纪律:系统 HSI 头字段显式记录 Safety Manual 版本号;厂商更新通知 → 30 天内必须 HSI Review 对齐。

EPS ECU 采用双 MCU 冗余架构(MCU-A ASIL D 监控 + MCU-B ASIL C 控制),两者通过内部 SPI 总线交换心跳和 CRC 校验。MCU-A 的 HSI 文档只描述 MCU-A 自身寄存器;MCU-B 的 HSI 只描述 MCU-B 自身。两份 HSI 都没有 inter-MCU 接口条目:SPI 帧格式、心跳超时(Thb)、CRC 多项式、共享 RAM 的地址分区。集成时双方对 SPI 帧大小、超时阈值各有假设 → 集成测试第一天就崩。缓解:创建"Inter-Processor HSI"专节(或独立文档)覆盖:共享内存布局、SPI 协议帧格式、心跳/挑战-应答时序、FTTI 贡献分配;三方签字覆盖到这份 inter-HSI。