1. 课程导入与安全工程全景
在汽车电子电气架构中，AURIX 系列微控制器长期承担着动力总成、底盘域、域控制器以及安全相关执行控制的核心角色。它之所以被大量用于这些位置，并不是因为算力或外设数量，而是因为它把“功能安全”当作芯片架构的一部分来设计：从双核锁步、内存保护、时钟与电压监控，到故障收集与安全状态切换，都围绕 ISO 26262 的要求构建。本课程的目标，是让读者理解 AURIX 的故障监控机制如何工作，以及如何把芯片提供的安全机制组织成可验证的安全状态管理逻辑。
一、AURIX 在汽车电子中的定位
从整车视角看，AURIX 通常位于“感知—决策—执行”链条中靠近执行的一端。以典型的电动助力转向（EPS）或电机控制器为例，上层控制器通过 CAN 或 CAN FD 下发目标转矩或目标电流，AURIX 负责采样位置、电流、电压等信号，运行控制算法，输出 PWM 驱动功率级，同时持续监控自身是否处于可信状态。一旦检测到不可恢复的故障，它必须在规定时间内把系统带入安全状态，例如关闭功率输出、断开执行器使能或进入降级运行。
这种定位决定了 AURIX 的安全设计有两个特点。第一，安全机制必须覆盖“计算、存储、通信、时钟、供电”等所有可能失效的路径，而不是只保护 CPU。第二，安全机制必须可被软件读取和响应，否则硬件检测到故障却无法触发系统动作，安全目标仍然无法达成。AURIX 的 Safety Manual 正是围绕这两点，给出了安全机制清单、假设条件、使用约束和诊断覆盖率参考。
二、故障监控与安全状态管理的目标
故障监控（Fault Monitoring）解决的是“发现异常”。它通过锁步核比较、ECC、看门狗、时钟监控、电压监控、总线错误检测等手段，把硬件层面的异常转化为软件可读的报警标志或中断。安全状态管理（Safe State Management）解决的是“发现异常之后做什么”。它需要判断故障的严重程度、是否可恢复、是否影响安全目标，然后决定是继续运行、降级运行还是进入安全状态。
两者之间的关系可以用一条信号链来理解：硬件安全机制产生原始故障信号，故障收集单元汇总并分类，软件安全逻辑根据故障等级和系统状态做出决策，最终驱动执行器进入安全状态。下面这张图展示了这一信号链在 AURIX 中的典型组织方式，以及它与 ISO 26262 安全生命周期各阶段的对应关系。
三、ISO 26262 与 AURIX Safety Manual 的关系
ISO 26262 是方法论标准，它规定了从相关项定义、危害分析与风险评估（HARA）、安全目标、功能安全需求（FSR）到技术安全需求（TSR）的完整流程，并给出 ASIL 等级、FTTI（故障容忍时间间隔）等关键概念。它不规定具体芯片怎么实现，而是要求系统在发生故障时仍能满足安全目标。
AURIX Safety Manual 则是芯片层面的实现说明。它列出了 AURIX 提供的安全机制、每个机制的假设条件、使用限制、推荐的诊断覆盖率，以及哪些机制需要软件配合才能生效。例如，锁步核比较可以检测 CPU 的瞬态和永久故障，但前提是锁步延迟配置正确、比较错误被正确路由到 SMU；ECC 可以纠正单比特错误并报告双比特错误，但需要软件在启动时使能并定期读取错误状态寄存器。
因此，两者的关系可以概括为：ISO 26262 提出“必须达到什么”，Safety Manual 说明“芯片能提供什么、需要软件做什么”。工程实践中，安全工程师需要把 TSR 逐条映射到 Safety Manual 中的安全机制，并确认假设条件成立。如果某个 TSR 找不到对应的芯片机制，就需要在系统层面补充外部监控或冗余设计。
四、课程项目载体介绍
为了让故障监控与安全状态管理不停留在概念层面，本课程以一个简化的 EPS 电机控制器作为项目载体。该控制器基于 AURIX TC3xx，主要功能是根据整车控制器下发的目标转矩，驱动三相逆变器控制助力电机。安全目标可以设定为：避免非预期的助力转矩输出，避免助力丢失导致驾驶员转向力突然增大。
项目中的关键对象包括：三相电流采样、转子位置传感器、PWM 驱动级、使能电路、CAN 通信接口，以及 AURIX 内部的锁步核、SMU、看门狗、时钟监控和电压监控。课程会围绕这些对象，逐步展开故障监控配置、故障收集与分类、安全状态决策、执行器关断路径以及验证方法。
一个典型的安全状态切换过程可以这样描述：当 SMU 汇总到锁步比较错误且该错误被判定为不可恢复时，软件安全逻辑在确认故障等级后，先关闭 PWM 输出，再拉低功率级使能引脚，最后通过 CAN 发送故障码并进入降级状态。整个过程需要在 FTTI 内完成，FTTI 的具体数值由 HARA 分配，示例中可假设为 20 ms，但实际项目必须依据安全需求重新计算。
五、学习路径与关键问题
本课程将按照“芯片安全机制—故障收集—安全状态决策—执行与验证”的顺序展开。在学习过程中，建议始终带着三个问题：第一，这个机制检测的是什么故障？第二，它的假设条件是什么，软件需要做什么才能让它生效？第三，检测到故障后，系统如何在 FTTI 内进入安全状态，并留下可诊断的证据？
当这三个问题能够在每个机制上得到明确回答时，读者就具备了把 AURIX Safety Manual 转化为实际安全监控设计的能力。这也是本课程希望达到的核心目标。