532
作者：商瑞 陳嬌
隨著汽車智能化程度的快速提高，大量新的處理器和系統(tǒng)級芯片（SoC）被廣泛引入到車輛中，無論是在駕駛還是座艙等場景，無論采用域控制器模式還是新興的中央控制單元模式，都無一例外地在考慮加入更加智能化的新功能。但是隨之而來的是這些控制單元中的相關芯片的系統(tǒng)級故障或意外行為可能引起的危險，因此需要發(fā)現(xiàn)這些故障或可能的意外并提供相應的保護措施，這個過程就是為汽車芯片建立和提供功能安全（Functional Safety，亦簡稱FuSa）解決方案。
具體到一款微控制器（MCU）、中央處理器（CPU）或者圖形處理器（GPU）或以它們?yōu)楹诵牡腟oC或者專用集成電路（ASIC）上，功能安全就是要確保芯片功能按照設計的要求去運行，因為如果一輛汽車不能按照你設計的功能去執(zhí)行，那汽車的諸如目標和指示牌識別、剎車或者其他自動加速功能可能就會失效，這個時候就很危險并為駕駛員、乘客、路人、車輛和其他財物等帶來了威脅。所以功能安全很重要，但也需要付出一定的成本，比如額外的芯片面積，招聘有經驗的設計人員，執(zhí)行嚴格的功能安全研發(fā)流程，進行安全認證等。
圖一、Imagination DXS汽車GPU在提供領先的圖形處理能力和AI算力的同時，還打造了創(chuàng)新的分布式功能安全機制，為相關領域內的創(chuàng)新提供了一種全新的模式和思路
在實際工作中，汽車芯片功能安全覆蓋了一顆芯片的規(guī)格制定、策略與方法選擇、芯片研發(fā)、機制驗證、芯片生產、下游系統(tǒng)設計和運行等產品定義及實現(xiàn)，以及生命周期內的所有活動及管理過程，同時還需要通過ISO26262等功能安全測試。這一切給汽車芯片設計制造企業(yè)及車廠和一級供應商等環(huán)節(jié)帶來了更高的成本和更多的工作量，使許多車廠最終選擇了忽略或者降低功能安全要求的行為，這在先進駕駛員輔助（ADAS）和自動駕駛（AD）越來越普及的今天帶來了更多不安全因素，因此汽車芯片在功能安全領域內迫切需要能夠降低成本和工作量的創(chuàng)新。
現(xiàn)有的汽車功能安全策略和實施方法
目前市場上主要的功能安全解決方案有兩種：應用最廣泛的一種被稱為“鎖步（lockstep）”解決方案，這是一種比較簡單粗暴的方法，在汽車CPU中被廣泛使用。該方法就是用兩個處理器內核等同樣的邏輯來執(zhí)行一個程序以實現(xiàn)同樣的一個功能，由它們同時執(zhí)行并在執(zhí)行完之后來比較這個結果，看看這兩個結果是否一致。在受到高溫或者高濕影響時，如果這兩個內核得到的兩個結果是一致的話，那證明這兩塊邏輯是運行正確的，有關計算和控制還能正確地執(zhí)行。
圖二、鎖步架構原理圖（圖片來源：《車規(guī)芯片——雙核鎖步介紹》）
但這種方案帶來的代價是什么？代價就是兩套相同的計算和處理單元要消耗多一倍的芯片面積，或者就是面向同樣處理功能的汽車芯片的面積要比傳統(tǒng)的手機芯片的面積要大一倍。這種成本大幅提升對于大部分的客戶是沒法接受的，因為對于芯片開發(fā)商來說，一款芯片最重要的成本來自于其片芯的面積（die size）。如果為實現(xiàn)一個新的功能，最終需要增加一倍的片芯面積就意味著在一張8英寸或者12英寸上能夠切出來的芯片數(shù)量減少了超過一半。
第二種實現(xiàn)功能安全的辦法就是去把同一項工作執(zhí)行兩次，如GPU渲染兩次或者CPU計算兩次，再看一下這兩次數(shù)據(jù)處理運算的結果是否一致。如果兩次運算的結果不同就會發(fā)現(xiàn)錯誤，因為汽車的使用環(huán)境非常復雜，芯片里面有些錯誤是隨機錯誤，有些錯誤是長期錯誤。對于隨機錯誤，通過重復執(zhí)行兩次比較一下結果，如果是不一樣就上報情況以確認這個功能有問題。這種重復執(zhí)行的方法就可以避免一些隨機錯誤。這樣的方法帶來的結果是什么？因為重復工作所得到的性能就會減到原來的一半，所以這也可能是用戶沒法接受的方案。
圖三、主從式處理器驗證方式（圖片來源：《車規(guī)級處理器中的LockStep技術》）
圖四、內部驗證方式（圖片來源：《車規(guī)級處理器中的LockStep技術》）
因此，無論是鎖步方案還是重復執(zhí)行方案給汽車廠商和芯片廠商都帶來了甚至是沒法接受的挑戰(zhàn)，這也導致了功能安全在許多實際汽車應用中很難得到全面的接收。最主要的原因為性價比，因為芯片面積增加一倍或者是性能降低為二分之一，對于廠商來說它的成本也就增加了一倍。這個增加一倍的成本，最后都要轉嫁到消費者頭上，在過去汽車智能化程度比較低的情況下，沒有太多客戶愿意為這個功能安全買單，所以沒有急迫性一直沒有得到全面的應用。但汽車智能化這一趨勢正在迫使行業(yè)做出改變。
創(chuàng)新的分布式功能安全機制帶來全新的模式
不久前，全球領先的圖形處理器及相關硅知識產權（IP）提供商Imagination Technologies發(fā)布的一款新型汽車GPU就為功能安全領域內的創(chuàng)新帶來了全新的思路。搭載該公司的GPU IP產品的設備的出貨量已經超過了130億臺，同時在車載GPU行業(yè)已經耕耘了超過20年，因此無論是該公司在GPU領域內的成就，還是新一代汽車GPU產品的功能安全性能都值得關注。我們來研究分析其新發(fā)布的全新一代GPU產品Imagination DXS GPU在功能安全方面的創(chuàng)新。
圖五、Imagination DXS GPU的三大創(chuàng)新
DXS GPU是目前汽車應用領域內性能最高，同時具有完善功能安全的GPU，完美地匹配了今天汽車對于中央計算的要求。它首先是一個強大的圖形處理器，可以支持車內所有的屏幕娛樂和交互能力。無論是位于駕駛艙前部的圖顯儀表盤和大屏幕，還是后面后座的娛樂顯示，DXS的硬件性能比前一代提升了50%。由于軟硬件上協(xié)同的投入，對于AI的這一塊的性能提升遠遠超過50%，它提供了遠高于CPU的計算性能，同時提供了遠遠高于NPU以及這類加速器SoC的編程靈活性。
除了性能之外，DXS GPU的最重要創(chuàng)新就是全新的功能安全解決方案：分布式功能安全機制（Distributed Functional Safety）。DXS GPU中創(chuàng)新的分布式安全機制幾乎完全消除了以前的其他功能安全方案實現(xiàn)安全機制帶來的性能以及片芯面積損失，大大降低了實現(xiàn)功能安全的代價，它僅僅額外消耗了大概10%的片芯面積，用10%的片芯面積帶來了100%性能。這是廣受芯片開發(fā)廠商所歡迎的創(chuàng)新，因為用非常小的代價實現(xiàn)了功能安全，解決了汽車芯片的一個非常重要的問題。
圖六、分布式功能安全機制與雙核鎖步和重復執(zhí)行兩種方案的對比
DXS GPU是怎么成功地解決這個問題的呢？Imagination作為一個傳統(tǒng)的GPU玩家，對GPU怎么運行非常清楚，所以利用了GPU的一些特性來非常靈活地實現(xiàn)了功能安全機制。首先一個特性是：作為一種并行處理器，GPU里面有一套并行計算的機制，GPU為了掩飾和隱藏延遲，在計算時采用了并行的很多線程或者重復單元。第二個特性就是當一個線程拿不到它要執(zhí)行的資源時，它就會自動地被切換出去或者把它移出執(zhí)行，等到它有資源來到的時候再去執(zhí)行。
根據(jù)這兩個特性，在GPU的一個線程停工等待的時候，就在其中插入一些測試模板或者測試集；利用同樣的測試集，在另一個線程處于等待的時候，也插入同一個測試模板或樣例，然后執(zhí)行這兩個測試。在執(zhí)行完這兩個線程之后，對比結果就會知道這兩個線程執(zhí)行的結果是否一致，如果有不同就會上報結果提醒系統(tǒng)和用戶審核該功能是否安全；該機制也知道了一項功能具體在哪一個硬件上去執(zhí)行，就保證了這些執(zhí)行的硬件的功能安全。DXS GPU可以在相關等級上一直保證這些硬件的功能正確，沒有受到環(huán)境、濕度、溫度的影響。當然，Imagination還為DXS GPU提供了其他的機制來保證邏輯模塊以及存儲模塊的功能正確。
目前，行業(yè)在汽車功能安全方面已經建立了完善的標準、測試方法和分級標定。在ISO26262標準中，根據(jù)嚴重度S、暴露概率E和可控性C三個因素，制定了汽車安全完整性等級（Automotive Safety Integration Level，ASIL）體系，分為A、B、C、D四個等級。作為常用的安全等級衡量標準，ASIL A最低，ASIL D最高，等級越高意味著該產品失效后可能引起的安全風險越大。Imagination DXS GPU可實現(xiàn)ASIL B等級的功能安全性。
圖七、Imagination DXS GPU實現(xiàn)ASIL B等級功能安全性
總結
隨著汽車新四化的不斷推進，汽車中的芯片數(shù)量將快速增加。除了關注這些芯片的算力和連接帶寬等性能之外，同樣重要的是打造和推出全新的功能安全解決方案。Imagination結合GPU這種處理器的架構特點，利用GPU的計算模式來打造了創(chuàng)新的分布式功能安全機制，消除了以前的其他功能安全方案實現(xiàn)機制帶來的性能以及片芯面積損失，為電子行業(yè)在相關領域內的創(chuàng)新提供了一種全新的模式和思路。
