|
作者：商瑞 陳嬌 隨著(zhù)汽車(chē)智能化程度的快速提高，大量新的處理器和系統級芯片（SoC）被廣泛引入到車(chē)輛中，無(wú)論是在駕駛還是座艙等場(chǎng)景，無(wú)論采用域控制器模式還是新興的中央控制單元模式，都無(wú)一例外地在考慮加入更加智能化的新功能。但是隨之而來(lái)的是這些控制單元中的相關(guān)芯片的系統級故障或意外行為可能引起的危險，因此需要發(fā)現這些故障或可能的意外并提供相應的保護措施，這個(gè)過(guò)程就是為汽車(chē)芯片建立和提供功能安全（Functional Safety，亦簡(jiǎn)稱(chēng)FuSa）解決方案。 具體到一款微控制器（MCU）、中央處理器（CPU）或者圖形處理器（GPU）或以它們?yōu)楹诵牡腟oC或者專(zhuān)用集成電路（ASIC）上，功能安全就是要確保芯片功能按照設計的要求去運行，因為如果一輛汽車(chē)不能按照你設計的功能去執行，那汽車(chē)的諸如目標和指示牌識別、剎車(chē)或者其他自動(dòng)加速功能可能就會(huì )失效，這個(gè)時(shí)候就很危險并為駕駛員、乘客、路人、車(chē)輛和其他財物等帶來(lái)了威脅。所以功能安全很重要，但也需要付出一定的成本，比如額外的芯片面積，招聘有經(jīng)驗的設計人員，執行嚴格的功能安全研發(fā)流程，進(jìn)行安全認證等。 
圖一、Imagination DXS汽車(chē)GPU在提供領(lǐng)先的圖形處理能力和AI算力的同時(shí)，還打造了創(chuàng )新的分布式功能安全機制，為相關(guān)領(lǐng)域內的創(chuàng )新提供了一種全新的模式和思路 在實(shí)際工作中，汽車(chē)芯片功能安全覆蓋了一顆芯片的規格制定、策略與方法選擇、芯片研發(fā)、機制驗證、芯片生產(chǎn)、下游系統設計和運行等產(chǎn)品定義及實(shí)現，以及生命周期內的所有活動(dòng)及管理過(guò)程，同時(shí)還需要通過(guò)ISO26262等功能安全測試。這一切給汽車(chē)芯片設計制造企業(yè)及車(chē)廠(chǎng)和一級供應商等環(huán)節帶來(lái)了更高的成本和更多的工作量，使許多車(chē)廠(chǎng)最終選擇了忽略或者降低功能安全要求的行為，這在先進(jìn)駕駛員輔助（ADAS）和自動(dòng)駕駛（AD）越來(lái)越普及的今天帶來(lái)了更多不安全因素，因此汽車(chē)芯片在功能安全領(lǐng)域內迫切需要能夠降低成本和工作量的創(chuàng )新。 現有的汽車(chē)功能安全策略和實(shí)施方法 目前市場(chǎng)上主要的功能安全解決方案有兩種：應用最廣泛的一種被稱(chēng)為“鎖步（lockstep）”解決方案，這是一種比較簡(jiǎn)單粗暴的方法，在汽車(chē)CPU中被廣泛使用。該方法就是用兩個(gè)處理器內核等同樣的邏輯來(lái)執行一個(gè)程序以實(shí)現同樣的一個(gè)功能，由它們同時(shí)執行并在執行完之后來(lái)比較這個(gè)結果，看看這兩個(gè)結果是否一致。在受到高溫或者高濕影響時(shí)，如果這兩個(gè)內核得到的兩個(gè)結果是一致的話(huà)，那證明這兩塊邏輯是運行正確的，有關(guān)計算和控制還能正確地執行。
圖二、鎖步架構原理圖（圖片來(lái)源：《車(chē)規芯片——雙核鎖步介紹》） 但這種方案帶來(lái)的代價(jià)是什么？代價(jià)就是兩套相同的計算和處理單元要消耗多一倍的芯片面積，或者就是面向同樣處理功能的汽車(chē)芯片的面積要比傳統的手機芯片的面積要大一倍。這種成本大幅提升對于大部分的客戶(hù)是沒(méi)法接受的，因為對于芯片開(kāi)發(fā)商來(lái)說(shuō)，一款芯片最重要的成本來(lái)自于其片芯的面積（die size）。如果為實(shí)現一個(gè)新的功能，最終需要增加一倍的片芯面積就意味著(zhù)在一張8英寸或者12英寸上能夠切出來(lái)的芯片數量減少了超過(guò)一半。 第二種實(shí)現功能安全的辦法就是去把同一項工作執行兩次，如GPU渲染兩次或者CPU計算兩次，再看一下這兩次數據處理運算的結果是否一致。如果兩次運算的結果不同就會(huì )發(fā)現錯誤，因為汽車(chē)的使用環(huán)境非常復雜，芯片里面有些錯誤是隨機錯誤，有些錯誤是長(cháng)期錯誤。對于隨機錯誤，通過(guò)重復執行兩次比較一下結果，如果是不一樣就上報情況以確認這個(gè)功能有問(wèn)題。這種重復執行的方法就可以避免一些隨機錯誤。這樣的方法帶來(lái)的結果是什么？因為重復工作所得到的性能就會(huì )減到原來(lái)的一半，所以這也可能是用戶(hù)沒(méi)法接受的方案。
圖三、主從式處理器驗證方式（圖片來(lái)源：《車(chē)規級處理器中的LockStep技術(shù)》）
圖四、內部驗證方式（圖片來(lái)源：《車(chē)規級處理器中的LockStep技術(shù)》） 因此，無(wú)論是鎖步方案還是重復執行方案給汽車(chē)廠(chǎng)商和芯片廠(chǎng)商都帶來(lái)了甚至是沒(méi)法接受的挑戰，這也導致了功能安全在許多實(shí)際汽車(chē)應用中很難得到全面的接收。最主要的原因為性?xún)r(jià)比，因為芯片面積增加一倍或者是性能降低為二分之一，對于廠(chǎng)商來(lái)說(shuō)它的成本也就增加了一倍。這個(gè)增加一倍的成本，最后都要轉嫁到消費者頭上，在過(guò)去汽車(chē)智能化程度比較低的情況下，沒(méi)有太多客戶(hù)愿意為這個(gè)功能安全買(mǎi)單，所以沒(méi)有急迫性一直沒(méi)有得到全面的應用。但汽車(chē)智能化這一趨勢正在迫使行業(yè)做出改變。 創(chuàng )新的分布式功能安全機制帶來(lái)全新的模式 不久前，全球領(lǐng)先的圖形處理器及相關(guān)硅知識產(chǎn)權（IP）提供商Imagination Technologies發(fā)布的一款新型汽車(chē)GPU就為功能安全領(lǐng)域內的創(chuàng )新帶來(lái)了全新的思路。搭載該公司的GPU IP產(chǎn)品的設備的出貨量已經(jīng)超過(guò)了130億臺，同時(shí)在車(chē)載GPU行業(yè)已經(jīng)耕耘了超過(guò)20年，因此無(wú)論是該公司在GPU領(lǐng)域內的成就，還是新一代汽車(chē)GPU產(chǎn)品的功能安全性能都值得關(guān)注。我們來(lái)研究分析其新發(fā)布的全新一代GPU產(chǎn)品Imagination DXS GPU在功能安全方面的創(chuàng )新。
圖五、Imagination DXS GPU的三大創(chuàng )新 DXS GPU是目前汽車(chē)應用領(lǐng)域內性能最高，同時(shí)具有完善功能安全的GPU，完美地匹配了今天汽車(chē)對于中央計算的要求。它首先是一個(gè)強大的圖形處理器，可以支持車(chē)內所有的屏幕娛樂(lè )和交互能力。無(wú)論是位于駕駛艙前部的圖顯儀表盤(pán)和大屏幕，還是后面后座的娛樂(lè )顯示，DXS的硬件性能比前一代提升了50%。由于軟硬件上協(xié)同的投入，對于A(yíng)I的這一塊的性能提升遠遠超過(guò)50%，它提供了遠高于CPU的計算性能，同時(shí)提供了遠遠高于NPU以及這類(lèi)加速器SoC的編程靈活性。 除了性能之外，DXS GPU的最重要創(chuàng )新就是全新的功能安全解決方案：分布式功能安全機制（Distributed Functional Safety）。DXS GPU中創(chuàng )新的分布式安全機制幾乎完全消除了以前的其他功能安全方案實(shí)現安全機制帶來(lái)的性能以及片芯面積損失，大大降低了實(shí)現功能安全的代價(jià)，它僅僅額外消耗了大概10%的片芯面積，用10%的片芯面積帶來(lái)了100%性能。這是廣受芯片開(kāi)發(fā)廠(chǎng)商所歡迎的創(chuàng )新，因為用非常小的代價(jià)實(shí)現了功能安全，解決了汽車(chē)芯片的一個(gè)非常重要的問(wèn)題。
圖六、分布式功能安全機制與雙核鎖步和重復執行兩種方案的對比 DXS GPU是怎么成功地解決這個(gè)問(wèn)題的呢？Imagination作為一個(gè)傳統的GPU玩家，對GPU怎么運行非常清楚，所以利用了GPU的一些特性來(lái)非常靈活地實(shí)現了功能安全機制。首先一個(gè)特性是：作為一種并行處理器，GPU里面有一套并行計算的機制，GPU為了掩飾和隱藏延遲，在計算時(shí)采用了并行的很多線(xiàn)程或者重復單元。第二個(gè)特性就是當一個(gè)線(xiàn)程拿不到它要執行的資源時(shí)，它就會(huì )自動(dòng)地被切換出去或者把它移出執行，等到它有資源來(lái)到的時(shí)候再去執行。 根據這兩個(gè)特性，在GPU的一個(gè)線(xiàn)程停工等待的時(shí)候，就在其中插入一些測試模板或者測試集；利用同樣的測試集，在另一個(gè)線(xiàn)程處于等待的時(shí)候，也插入同一個(gè)測試模板或樣例，然后執行這兩個(gè)測試。在執行完這兩個(gè)線(xiàn)程之后，對比結果就會(huì )知道這兩個(gè)線(xiàn)程執行的結果是否一致，如果有不同就會(huì )上報結果提醒系統和用戶(hù)審核該功能是否安全；該機制也知道了一項功能具體在哪一個(gè)硬件上去執行，就保證了這些執行的硬件的功能安全。DXS GPU可以在相關(guān)等級上一直保證這些硬件的功能正確，沒(méi)有受到環(huán)境、濕度、溫度的影響。當然，Imagination還為DXS GPU提供了其他的機制來(lái)保證邏輯模塊以及存儲模塊的功能正確。 目前，行業(yè)在汽車(chē)功能安全方面已經(jīng)建立了完善的標準、測試方法和分級標定。在ISO26262標準中，根據嚴重度S、暴露概率E和可控性C三個(gè)因素，制定了汽車(chē)安全完整性等級（Automotive Safety Integration Level，ASIL）體系，分為A、B、C、D四個(gè)等級。作為常用的安全等級衡量標準，ASIL A最低，ASIL D最高，等級越高意味著(zhù)該產(chǎn)品失效后可能引起的安全風(fēng)險越大。Imagination DXS GPU可實(shí)現ASIL B等級的功能安全性。
圖七、Imagination DXS GPU實(shí)現ASIL B等級功能安全性 總結 隨著(zhù)汽車(chē)新四化的不斷推進(jìn)，汽車(chē)中的芯片數量將快速增加。除了關(guān)注這些芯片的算力和連接帶寬等性能之外，同樣重要的是打造和推出全新的功能安全解決方案。Imagination結合GPU這種處理器的架構特點(diǎn)，利用GPU的計算模式來(lái)打造了創(chuàng )新的分布式功能安全機制，消除了以前的其他功能安全方案實(shí)現機制帶來(lái)的性能以及片芯面積損失，為電子行業(yè)在相關(guān)領(lǐng)域內的創(chuàng )新提供了一種全新的模式和思路。 |
