下面展示了 TI 功能安全 MCU 架构中的三种常见架构。

双核锁步 (DCLS)：两个完全相同的 CPU 内核并行运行，硬件比较器检测不匹配情况，一旦检测到立即中断。

特性：

• 两个 CPU 内核以同步时序执行完全相同的指令
• 硬件比较器持续比较计算结果
• 任何不匹配情况都会立即触发错误处理和系统停止
• 故障检测延时：一个周期（最小值）

优势：

• 低成本、单芯片实现
• 极快的故障检测
• 架构简单

劣势：

• 无法检测共因失效（例如，共享时钟故障）
• 无故障容错，仅具备检测能力
• 如果一个内核出现故障，整个系统将停止

应用：SIL 2 HFT=0 系统

同构冗余 (HFT=1)：两个完全相同的 MCU 执行独立的任务，通过 SPI/I2C 进行交叉校验，从而消除共因失效 (CCF)。

特性：

• 两个完全相同的 MCU 独立运行并行任务
• 通过 I2C、SPI 或其他隔离式接口进行交叉验证
• 定期比较结果，出现差异会触发安全措施
• 故障检测延时：10-100ms（可配置）

优势：

• 可通过独立设计检测大多数共因失效：
• 硬件故障容错：单个 MCU 失效后，系统仍继续运行
• 两个内核均可独立监测和管理
• 支持复杂的安全逻辑

劣势：

• 需要两个 MCU，成本增加
• 交叉校验通信会增加延时
• 集成更复杂

应用：SIL 3 HFT=1 系统

异构冗余 (HFT=0)：采用不同的 MCU 类型或多样化的软件实现，从而检测系统级失效。

特性：

• 采用 MCU + MPU 组合的处理器架构。
• 根据不同的内核、不同的 SIL 要求实现不同的软件方案。使用高 SIL 内核监测低 SIL 内核任务。
• 内核之间实现硬件隔离，包括外设、电源、存储器。

优势：

• 能够检测某些系统级设计缺陷
• 最大的冗余和故障容错
• 在所有方法中成本较低

劣势：

• 开发复杂度高
• 需要多个平台的深厚专业知识

应用：SIL 2/3 或特殊 ASIL-D 要求