2. ST Stellar硬件架构与车规特性
ST Stellar 系列是意法半导体面向汽车域控制器与区域控制器推出的车规级微控制器家族，其设计目标不是单纯提高主频，而是在同一颗芯片内同时满足高算力、确定性实时响应、功能安全与高可靠性四类约束。理解 Stellar 的硬件架构，是后续把 AUTOSAR BSW 正确映射到多核、内存分区与安全机制上的前提。本节从多核拓扑、锁步核、内存保护单元、硬件安全模块和通信外设五个角度展开，并说明它们如何共同支撑 ISO 26262 与 AEC-Q100 要求。
一、多核架构：异构分工而非简单堆核
Stellar 采用多核异构布局，典型配置包含若干高性能应用核（Cortex-M7 类，运行 AUTOSAR OS 与复杂应用）、实时控制核（Cortex-M4 类，承担电机控制、采样闭环等硬实时任务）以及一颗负责启动、时钟与安全监控的系统核。各核拥有独立的指令/数据缓存与紧耦合内存（TCM），并通过片上互连矩阵访问共享 SRAM 与外设。这种结构的关键在于：核间通信不再依赖单一总线争抢，而是通过硬件信号量、核间中断（IPI）和共享内存队列完成。
在 BSW 集成视角下，多核意味着 OS 需要按核划分 Application Partition，RTE 生成的跨核通信代码必须绑定到具体 IPI 通道，MCAL 的驱动实例也要明确归属哪个核。例如，CAN 驱动通常绑定到实时核以保证报文周期抖动可控，而诊断栈（DCM/DEM）可放在应用核。若把两者放在同一核，诊断大数据块传输会挤占 CAN 中断响应，导致周期报文抖动超标。
二、锁步核与安全监控
功能安全的核心是检测随机硬件故障。Stellar 对安全相关核提供锁步（Lockstep）能力：一个主核与一个影子核执行相同指令流，比较器逐周期比对输出，一旦不一致即触发故障响应。锁步核通常用于安全等级 ASIL D 的监控路径，而性能核可运行在非锁步模式以释放算力。除锁步外，芯片还集成看门狗、时钟监控、电压监控和 ECC 内存保护，形成分层安全网。
对 BSW 的影响体现在：安全相关任务必须运行在锁步核或受监控核上，WdgM（看门狗管理器）需要配置正确的监控实体与超时窗口，E2E 保护要覆盖跨核安全信号。若把 ASIL D 的扭矩监控任务放到非锁步核且无 ECC 保护，即使软件逻辑正确，也无法通过安全论证。
三、内存保护单元与分区隔离
MPU 是 AUTOSAR 内存分区（Memory Partitioning）的硬件基础。Stellar 的 MPU 允许把地址空间划分为多个区域，为每个区域设置读/写/执行权限，并区分特权模式与用户模式。OS 在启动时为每个 Partition 配置独立的 MPU 区域，使一个分区的越界写立即触发 MemMap 异常，而不是静默破坏其他分区数据。
实际配置中，需要为每个 Partition 分配：代码段（只读可执行）、数据段（读写不可执行）、栈区（读写不可执行）以及外设寄存器区（按需读写）。例如，给诊断 Partition 分配 64 KB 数据区并禁止执行权限，可防止数据被当作代码执行。MPU 区域数量有限，因此要合并同类权限区域，避免区域碎片化导致配置失败。
四、硬件安全模块 HSM
HSM 是独立于主核的安全子系统，内含专用安全核、加密加速器（AES、SHA、ECC）、真随机数发生器和独立密钥存储。它承担安全启动、密钥管理、SecOC 报文认证与诊断安全访问等任务。HSM 与主核通过邮箱寄存器或共享内存通信，主核只能请求服务，无法直接读取密钥明文。
在 BSW 集成中，Crypto Stack 的 Crypto Driver 需要对接 HSM 的硬件接口，CSM/CryIf 负责把 SecOC、KeyM 的请求路由到 HSM。安全启动链通常为：Boot ROM 校验 HSM 固件，HSM 校验应用核固件，逐级建立信任根。若跳过 HSM 校验直接启动应用，则无法满足安全启动要求。
五、通信外设与车规可靠性
Stellar 集成多路 CAN FD、LIN、FlexRay 及车载以太网接口，部分型号支持 CAN XL 与 TSN 以太网。外设具备报文过滤、时间戳、DMA 搬运和硬件 CRC 能力，可降低 CPU 负载并提高时间确定性。AEC-Q100 要求芯片在 -40℃ 至 125℃（或更高）环境温度下工作，具备 ESD、闩锁与老化可靠性验证；ECC、CRC、看门狗和冗余监控共同保证数据完整性。
下面这张图把 Stellar 的关键硬件模块、安全机制与 BSW 映射关系放在同一视图中，便于建立整体认知。
六、从硬件特性到 BSW 配置的落地检查
把上述硬件能力落到集成工作中，可以按以下顺序核对。第一，确认每个核的运行模式（锁步/非锁步）与安全等级，据此分配 OS Application 与任务。第二，为每个 Partition 规划 MPU 区域，确保代码、数据、栈、外设四类权限正确，区域数量不超过硬件上限。第三，配置 HSM 与 Crypto Stack 的接口，明确哪些服务走硬件加速、哪些走软件实现。第四，按通信矩阵分配 CAN/LIN/以太网外设到对应核，并设置 DMA 与中断优先级。第五，启用 ECC、看门狗与时钟监控，并在 WdgM 中配置监控实体。
综合来看，Stellar 的多核、锁步、MPU、HSM 与通信外设并非孤立模块，而是围绕“确定性、安全性、可靠性”三条主线协同工作。后续进行 BSW 集成时，每一项配置都应能回溯到具体的硬件机制与安全目标，而不是仅凭默认模板堆叠。理解这些硬件约束，才能在资源分配、分区隔离与安全监控之间做出合理取舍。