3. RH850架构概览
RH850是瑞萨面向汽车电子控制单元（ECU）的高可靠性32位MCU家族，广泛用于车身控制、底盘、动力总成、域控制器与ADAS传感器节点。要理解RH850的功能安全与故障监控机制，必须先建立“内核—总线—存储—外设—安全模块”五位一体的整体架构观。功能安全并非某个独立模块的附加功能，而是贯穿CPU、总线互连、存储器保护、外设自检与时钟/电源监控的系统性能力。
一、总体架构分层
RH850采用多总线分层互连结构，典型可分为CPU本地层、系统总线层和外设总线层。CPU内核通过指令总线与数据总线访问本地存储与缓存；系统总线连接Flash、RAM、DMA与安全监控单元；外设总线则挂载CAN、LIN、FlexRay、以太网、ADC、PWM、GPIO等外设。不同总线域之间通过总线桥与仲裁器连接，并配置访问权限与错误响应机制。
从功能安全视角看，这种分层结构带来两个关键特性：一是错误可被限制在局部总线域，避免故障扩散；二是安全相关模块（如ECM、FCCU、WDTA）通常位于系统总线层，能够以较高优先级监控全局状态。
二、CPU内核与锁步机制
RH850的高端型号（如G4MH）采用多核架构，其中安全核通常以锁步（Lockstep）方式运行：主核与校验核执行相同指令流，通过比较器逐周期比对输出。一旦发现不一致，立即触发故障信号并上报至ECM/FCCU。锁步机制可覆盖CPU内部寄存器、ALU、流水线控制等瞬态与永久故障，是达成ASIL D的关键手段。
此外，CPU内部还集成MPU（内存保护单元），用于划分特权区与用户区，防止任务越权访问导致安全相关数据被篡改。MPU配置错误本身也是一种常见误区，需在启动自检中验证。
三、总线与存储保护
系统总线不仅是数据通路，也是安全监控的“神经中枢”。RH850总线互连支持：传输ECC保护、地址奇偶校验、超时检测与非法访问拦截。当某个主设备访问未授权地址时，总线错误响应会被记录到错误状态寄存器，并可选触发复位或中断。
存储子系统方面，Code Flash与Data Flash均支持ECC，SRAM支持ECC或奇偶校验。ECC可纠正单比特错误、检测双比特错误，是应对软错误（如宇宙射线引起位翻转）的核心机制。Flash保护寄存器则防止意外擦写，需在安全启动流程中校验其完整性。
| 层级 | 典型安全机制 | 可检测故障类型 | 响应方式 |
|---|---|---|---|
| CPU内核 | 锁步比较、MPU、BIST | 瞬态/永久逻辑故障 | 中断/复位 |
| 总线互连 | ECC、超时、权限仲裁 | 传输错误、非法访问 | 错误记录/中断 |
| 存储器 | ECC、奇偶校验、保护寄存器 | 位翻转、擦写异常 | 纠错/报警 |
| 外设 | 回环自检、CRC、冗余采样 | 通信错误、采样偏差 | 降级/安全状态 |
| 安全监控 | ECM、FCCU、WDTA | 全局故障汇聚 | 分级响应 |
四、外设与安全相关模块
RH850外设种类丰富，安全相关外设通常包括：CAN/FlexRay通信控制器（支持CRC与总线错误检测）、ADC（支持冗余采样与自检）、PWM与定时器（支持输出比较与看门狗联动）、GPIO（支持回读校验）。这些外设在安全应用中需配置诊断机制，例如CAN控制器的回环模式可用于验证收发通路完整性。
安全监控模块是架构的“最后一道防线”。ECM负责收集来自各层的错误事件并分类；FCCU对故障进行优先级仲裁并触发相应响应；WDTA看门狗监控程序流与时钟，防止死循环或时钟失效。三者协同，形成从检测到响应的闭环。
五、常见误区与复盘
- 误区一：只关注CPU锁步，忽略总线与存储ECC。实际上，总线传输错误和存储位翻转同样会导致安全目标失效，必须全链路覆盖。
- 误区二：安全监控模块配置后不验证。ECM/FCCU的寄存器配置需通过故障注入测试验证其响应路径，否则可能“形同虚设”。
- 误区三：外设自检仅在启动时执行。对于高安全等级，需在运行周期内周期性执行外设诊断，以覆盖潜伏故障。
/* 典型安全启动自检流程（伪代码） */
1. 上电复位，时钟与电源稳定
2. 执行 CPU BIST，验证内核逻辑
3. 校验 Flash ECC 与保护寄存器
4. 初始化 SRAM ECC，执行内存测试
5. 配置 MPU 与总线权限
6. 初始化 ECM/FCCU/WDTA
7. 执行外设回环自检
8. 进入安全运行状态，周期喂狗
总体而言，RH850的架构设计将功能安全视为系统属性，而非单一模块功能。理解CPU、总线、存储、外设与安全监控模块之间的层次关系与数据流，是后续进行故障监控配置、安全分析（FMEA/FTA）与ASIL分解的基础。