2. Stellar硬件平台与软件映射

Stellar是ST面向汽车域控制器与安全实时控制场景推出的多核MCU/SoC系列。理解它的关键，不是记住某个型号的主频或Flash容量，而是建立一张“硬件资源—软件分区—驱动与中间件约束”的映射表。因为域控制器软件架构的很多设计决策，实际上在选型阶段就被硬件拓扑决定了：哪些核跑AUTOSAR CP、哪些核跑安全监控、哪些外设必须由特定核访问、共享内存如何划分、加速器由谁调度、中断如何路由，都会直接影响分区划分与中间件接口。

一、Stellar的硬件资源构成

以Stellar P系列（如P3/P4）为例，其典型资源可归纳为五类：

• CPU簇：通常包含多个Cortex-M7或Cortex-R52实时核，部分型号还集成Cortex-A核用于应用层。实时核负责控制、通信与安全任务，A核负责高吞吐数据处理或网关应用。
• 加速器：包括硬件安全模块（HSM）、以太网加速、CRC/加密引擎、DMA控制器等。它们不执行通用代码，但承担确定性卸载任务。
• 内存：片上SRAM、Flash、以及带ECC的TCM（紧耦合内存）。TCM用于存放实时性要求最高的代码与数据，SRAM用于共享缓冲与核间通信。
• 外设：CAN-FD、LIN、FlexRay、以太网MAC、SPI、ADC、PWM、GTM等。不同外设挂载在不同总线域，访问权限与延迟不同。
• 互连与中断：NoC/Crossbar总线矩阵、NVIC/GIC中断控制器、核间中断（IPI）与信号量单元。

这些资源并非平铺并列，而是存在明确的“归属关系”：某些外设只能由特定核访问，某些内存区域被硬件防火墙保护，某些中断只能路由到指定核。软件分区设计必须尊重这些硬约束，否则会出现访问异常、实时性抖动或安全隔离失效。

二、从硬件资源到软件分区的映射

域控制器软件通常划分为若干分区（Partition）：安全分区、实时控制分区、通信分区、诊断分区、应用分区。映射的基本原则是：按实时性、安全等级与数据耦合度分配核与外设。

例如，一个典型映射方案是：Cortex-R52核0运行安全监控与看门狗管理，核1运行电机控制或底盘控制，Cortex-M7核运行CAN/以太网通信栈，A核运行OTA与日志服务。HSM独立运行密钥管理与安全启动校验，不占用主核周期。TCM分配给实时核存放中断服务程序与关键控制环，SRAM划分为核间通信环形缓冲区，由信号量单元保护。

这种映射不是一次性完成的，而是需要结合总线带宽、中断延迟与内存访问冲突反复调整。比如两个实时核同时高频访问同一SRAM区域时，Crossbar仲裁会引入额外延迟，此时应把各自的数据缓冲放到本地TCM，仅把低频同步数据放入共享SRAM。

三、驱动与中间件的设计约束

硬件映射确定后，驱动与中间件必须遵守几条硬约束：

1. 外设访问权限约束：每个外设实例在硬件上绑定到特定核或总线域。例如CAN-FD控制器可能只允许M7核访问，R52核若需发送报文，必须通过核间通信请求M7代理。这决定了驱动不能随意跨核调用，中间件需要提供代理接口。
2. 中断路由约束：中断控制器支持将外设中断定向到指定核。实时控制环的中断应路由到R52核，通信中断路由到M7核。若路由错误，会导致中断延迟增加或核间竞争。中间件在初始化阶段必须显式配置中断亲和性。
3. 内存访问延迟约束：TCM访问延迟最低且确定，SRAM次之，Flash最高。实时任务的关键代码与数据应放入TCM；共享缓冲区放入SRAM；常量表可放Flash。中间件的内存分配器需要支持按区域分配，而不是统一堆管理。
4. 加速器调度约束：HSM与DMA是共享资源，多个分区同时请求时会产生排队。中间件应为加速器设计请求队列与优先级机制，避免安全任务被低优先级DMA传输阻塞。
5. 安全启动与隔离约束：HSM负责校验各核镜像签名，内存防火墙限制核间非法访问。软件分区必须与硬件隔离区域对齐，否则安全启动链无法覆盖全部代码。

四、一个可参考的映射检查表

在实际项目中，可以用下表逐项确认硬件资源是否已正确映射到软件分区。表中参数为示例值，需根据具体型号与项目需求调整。

总结来说，Stellar硬件平台与软件映射的核心逻辑是：先识别硬件资源的归属与约束，再划分软件分区，最后让驱动与中间件适配这些约束。分区不是软件层面的自由设计，而是硬件拓扑在软件架构中的投影。只有把CPU簇、加速器、内存、外设和互连的硬约束吃透，才能设计出既满足实时性与安全性、又便于量产维护的域控制器软件架构。