|
空軍工程大學(xué)信息與導航學(xué)院四大隊12隊 成明 隨著(zhù)諸如無(wú)人機、智能駕駛汽車(chē)、無(wú)人農機、各種專(zhuān)用和消費機器人等智能無(wú)人設備廣泛進(jìn)入我們的工作和生活，這些設備的功能安全問(wèn)題成為了一個(gè)值得關(guān)注的重要話(huà)題。為了確保這些智能化和無(wú)人化設備的安全可控，設計師在進(jìn)行系統開(kāi)發(fā)的時(shí)候，就必須重視從流程的第一步和最底層的技術(shù)源頭考慮功能安全問(wèn)題，才能去打造綜合安全性更高的系統，對設備和消費者/使用者進(jìn)行最大限度的保護。 
功能安全（Functional Safety）是系統、設備或者核心部件通過(guò)主動(dòng)安全機制去發(fā)現潛在的安全威脅，在相應安全等級約定的覆蓋率上，以及時(shí)間內做出正確響應并采取保護措施，以避免因功能失效導致的人員傷害、環(huán)境破壞或財產(chǎn)損失風(fēng)險。近年來(lái)，除了汽車(chē)、工業(yè)和醫療等過(guò)去“傳統上”就重視功能安全的領(lǐng)域，新興的諸如機器人和無(wú)人機等設備也逐步開(kāi)始強調功能安全，即通過(guò)在系統中設計主動(dòng)的安全機制，確保系統在檢測到潛在危險時(shí)能正確執行預定安全功能（如關(guān)閉危險源、觸發(fā)保護措施等），從而降低的風(fēng)險。 系統中主要的控制器或者處理器是功能安全第一個(gè)著(zhù)眼點(diǎn)，智能化帶來(lái)的是越來(lái)越多的高性能處理器，如設備中的MCU、MPU、GPU、NPU和CPU芯片等；同時(shí)也帶來(lái)了核心處理器或者主控SoC設計和開(kāi)發(fā)都變得更加的復雜，因此無(wú)論是系統設計師還是最終消費者，都要建立對設備和系統核心處理單元或者處理器進(jìn)行功能安全認證檢查的思維。比如隨著(zhù)汽車(chē)的智能化程度快速走向L3和L4，更是要看其關(guān)鍵處理單元是否通過(guò)了基于ISO 26262標準定義的、通過(guò)ASIL等級量化的功能安全風(fēng)險測試，才能從最基礎的計算器件開(kāi)始對駕乘人員和汽車(chē)本身進(jìn)行保護。 當然，智能化帶來(lái)了集成電路行業(yè)的快速發(fā)展，許多半導體知識產(chǎn)權（IP）提供商、芯片公司和開(kāi)發(fā)工具提供商的產(chǎn)品都在提供高性能的同時(shí)，還通過(guò)了嚴格的ASIL認證，從而幫助智能/無(wú)人設備芯片和系統開(kāi)發(fā)者去快速實(shí)現功能安全。例如，在智能駕駛和自動(dòng)駕駛主控芯片領(lǐng)域中，圖形處理器（GPU）——因為其兼顧高算力和靈活性，可以為智駕芯片設計公司和系統開(kāi)發(fā)者提供更長(cháng)的產(chǎn)品生命周期而得到廣泛的歡迎，因此無(wú)論在設計智駕SoC芯片而選擇GPU時(shí)，還是主機廠(chǎng)及其Tier-1供應商在選擇智駕方案時(shí)，都要去核實(shí)最基礎的GPU內核是否通過(guò)相應的功能安全認證。 針對汽車(chē)智能化市場(chǎng)對高性能計算與功能安全的雙重需求，近年來(lái)部分GPU IP供應商也在產(chǎn)品設計中引入了面向功能安全的架構機制。例如某些GPU產(chǎn)品通過(guò)增加硬件冗余設計與實(shí)時(shí)監測機制，實(shí)現了與ISO 26262標準中ASIL-B等級相對應的功能安全能力。以Imagination Technologies DXS GPU IP為例，其在保障圖形渲染和計算性能的同時(shí)，通過(guò)分布式安全機制在有限的面積開(kāi)銷(xiāo)下實(shí)現了功能安全支持，并通過(guò)了相關(guān)第三方認證。這類(lèi)支持功能安全的GPU IP，逐步成為智能駕駛SoC芯片開(kāi)發(fā)者在考慮系統安全性設計時(shí)的重要構成元素之一。 除了源自IEC 61508標準的、適用于汽車(chē)行業(yè)的功能安全標準ISO 26262和相應的ASIL系列認證，近年來(lái)隨著(zhù)低空經(jīng)濟和無(wú)人飛行器產(chǎn)業(yè)的快速的發(fā)展，《航空器機載電子設備硬件設計保障指南（DO-254）》，以及相應的航空電子硬件開(kāi)發(fā)的適航標準框架AMC 20-152A（基本上是DO-254的補充）這兩個(gè)用于航空設備和飛行器的通用標準，成為開(kāi)發(fā)航空機載電子設備硬件的功能安全標準。 安全性和可管理是低空經(jīng)濟全面發(fā)展的兩個(gè)前提，盡管無(wú)人飛行器的適航要求還并未完全清晰，但是航空工業(yè)已經(jīng)積累了豐富的功能安全管控經(jīng)驗。例如，AMC 20-152A進(jìn)一步細化了 DO-254 的驗證方法，例如明確 HDL 代碼覆蓋率需達到 95% 以上等。所以，選擇使用符合這兩個(gè)標準的IP和芯片，是設計諸如無(wú)人飛行設備等新興系統的重要功能安全考量，也有不少基礎技術(shù)提供商一直致力于開(kāi)發(fā)相應的產(chǎn)品。以下為全球領(lǐng)先的IP提供商SmartDV Technology提供的部分通過(guò)了相關(guān)安全認證的IP和驗證IP（VIP）。
最后，功能安全認證已經(jīng)通過(guò)ISO26262等標準形成了一個(gè)覆蓋全流程的機制，因此獲得功能安全認證就要在流程上遵循標準化框架，主要涵蓋安全目標定義與架構設計、驗證與測試、第三方審核完成認證與文檔、以及持續合規管理等關(guān)鍵階段。值得注意的是，工具鏈認證也是功能安全認證的重要組成部分，開(kāi)發(fā)工具需通過(guò)第三方獨立認證，以確保代碼覆蓋率達標（HDL代碼覆蓋率≥95%），例如Imagination的PowerVR SDK工具鏈已通過(guò)ISO 26262兼容性驗證。 隨著(zhù)國內集成電路設計企業(yè)不斷提升自己的開(kāi)發(fā)能力，并開(kāi)發(fā)價(jià)值更高的、需要獲得相應功能安全認證的芯片產(chǎn)品，采用全球領(lǐng)先的、已通過(guò)第三方審核的開(kāi)發(fā)工具已成為行業(yè)中的一個(gè)趨勢。 諸如芯馳科技、紫光同芯、旗芯微半導體、國科環(huán)宇、芯科集成和兆易創(chuàng )新等許多國內車(chē)用MCU廠(chǎng)商就選擇與全球領(lǐng)先的嵌入式開(kāi)發(fā)軟件和服務(wù)提供商IAR合作，為其開(kāi)發(fā)者引入IAR獲得認證的工具鏈。針對越來(lái)越多的功能安全需求，IAR的Embedded Workbench工具提供了經(jīng)過(guò)TüV SüD認證的功能安全版本，符合ISO 26262等10項功能安全標準，可以幫助車(chē)廠(chǎng)和Tier-1等芯片應用企業(yè)高效完成功能安全開(kāi)發(fā)與認證，加速產(chǎn)品上市進(jìn)程。 總結 功能安全是為許多智能無(wú)人設備保駕護航的重要措施，因此需要引起從IP到芯片和系統等各環(huán)節的重視，除了獲得由權威機構在進(jìn)行全流程審核，覆蓋開(kāi)發(fā)流程、測試報告及安全案例完整性之后獲得ASIL等級證書(shū)之外，設計文檔、測試數據、工具認證和持續合規管理都非常重要。 |
