使用FPGA實(shí)現(xiàn)ADAS設(shè)計(jì)的功能安全考慮
加入技術(shù)交流群
ADAS需要滿足特殊的功能安全要求。2011年，載重3.5噸以下客車的ISO26262標(biāo)準(zhǔn)發(fā)布，其目的是降低系統(tǒng)出現(xiàn)故障后造成危險(xiǎn)狀態(tài)的風(fēng)險(xiǎn)。這一標(biāo)準(zhǔn)要求采用嚴(yán)密的設(shè)計(jì)過程，在應(yīng)用執(zhí)行過程中探測隨機(jī)硬件故障，以減少系統(tǒng)性故障。
應(yīng)用開發(fā)人員定義了專門的安全目標(biāo)，針對每一目標(biāo)分配了相應(yīng)的汽車安全完整性等級(jí)(ASIL)。對于應(yīng)用中最高級(jí)別的ASIL，通常定義了每一組件從開發(fā)直至工作到壽命終了時(shí)應(yīng)滿足的要求。圖1顯示了從客戶需求角度看，ADAS應(yīng)符合的ASIL目前的范圍。
圖1.ADAS ASIL市場需求(注：Range of Market Requirements for ADAS Applicatios:針對ADAS應(yīng)用的市場要求范圍)
ASIL-B是市場上的最低級(jí)別，而某些應(yīng)用則要求采用ASIL-D以支持某些功能。越來越多的ASIL有更嚴(yán)格的要求。在某些具體實(shí)現(xiàn)中，組件的通用ASIL或者條目(系統(tǒng))等級(jí)都會(huì)帶來不必要的復(fù)雜度，影響了開發(fā)成本和進(jìn)度。分析系統(tǒng)概念，得出安全概念和要求后，還可以把應(yīng)用分成幾種不同的步驟，這就具有不同的ASIL，更容易實(shí)現(xiàn)，而且實(shí)現(xiàn)的效率更高。
例如，前端攝像機(jī)應(yīng)用使用了ADAS中常見的一個(gè)圖像傳感器。圖2顯示了系統(tǒng)的高級(jí)結(jié)構(gòu)圖。
圖2.高級(jí)單前端攝像機(jī)ADAS
一個(gè)圖像傳感器連接至圖像處理器，例如可以是AlteraCyclone VSoC。信號(hào)處理鏈和數(shù)據(jù)流被分成四個(gè)部分。首先，通過把圖像變換成更實(shí)用的表現(xiàn)形式，在像素級(jí)上進(jìn)行底層處理。然后，對行圖像或者塊圖像進(jìn)行中間級(jí)處理，使用相應(yīng)的算法，提取出邊沿等特征。下一步，進(jìn)行高級(jí)處理，提取出每一幀的數(shù)據(jù)，探測目標(biāo)并分類。然后，系統(tǒng)會(huì)跟蹤目標(biāo)，如果需要采取措施，則與剎車或者轉(zhuǎn)向電子控制單元(ECU)進(jìn)行通信。
在FPGA上，底層和中間級(jí)處理能被非常高效地實(shí)現(xiàn)，但是，用戶也可以在Cyclone V SoC硬核處理器系統(tǒng)(HPS)的Cortex-A9處理器等CPU上實(shí)現(xiàn)某些中間級(jí)處理。高級(jí)處理主要是控制代碼，可以映射到HPS中的一個(gè)或者兩個(gè)Cortex-A9上。處理鏈的最后一步是目標(biāo)跟蹤和決策，可以在外部微控制器上完成這一步。
在整個(gè)處理過程中，每一步將輸入數(shù)據(jù)進(jìn)行簡化得到更有意義的數(shù)據(jù)，數(shù)據(jù)減少意味著提高了安全臨界。因此，底層實(shí)現(xiàn)可以分成質(zhì)量管理(QM)或者底層ASIL (例如，ASIL-A)。原因是一個(gè)像素期間出現(xiàn)的故障對后續(xù)算法性能的影響很小，可以忽略。在這個(gè)例子中，假設(shè)中間級(jí)處理符合ASIL-A或者ASIL-B，識(shí)別目標(biāo)并進(jìn)行分類的高級(jí)處理功能應(yīng)符合ASIL-B。對目標(biāo)進(jìn)行分類后，生成目標(biāo)表，將之提供給微控制器，進(jìn)行目標(biāo)跟蹤和決策。這是信號(hào)鏈最關(guān)鍵的部分，Altera認(rèn)為它應(yīng)該符合ASIL-D，這對汽車的行為有直接影響。
在這類應(yīng)用中，最好對數(shù)據(jù)流進(jìn)行更全面的分析，每一級(jí)的安全臨界定義對整個(gè)系統(tǒng)的性能會(huì)產(chǎn)生直接影響。對前面計(jì)算級(jí)有太高的安全要求會(huì)導(dǎo)致難以滿足系統(tǒng)性能目標(biāo)，而且對系統(tǒng)整體安全的影響很小。但是，處理鏈底層也會(huì)出現(xiàn)故障，對系統(tǒng)安全功能產(chǎn)生較大的影響。例如，底層處理功能的永久故障會(huì)導(dǎo)致高層數(shù)據(jù)永久損害，但是，合理性檢查很容易探測到這類故障，對系統(tǒng)性能的影響相對較小。
評(píng)論