使用FPGA实现ADAS设计的功能安全考虑
ADAS需要满足特殊的功能安全要求。2011年，载重3.5吨以下客车的ISO26262标准发布，其目的是降低系统出现故障后造成危险状态的风险。这一标准要求采用严密的设计过程，在应用执行过程中探测随机硬件故障，以减少系统性故障。
应用开发人员定义了专门的安全目标，针对每一目标分配了相应的汽车安全完整性等级(ASIL)。对于应用中最高级别的ASIL，通常定义了每一组件从开发直至工作到寿命终了时应满足的要求。图1显示了从客户需求角度看，ADAS应符合的ASIL目前的范围。
图1.ADAS ASIL市场需求(注：Range of Market Requirements for ADAS Applicatios:针对ADAS应用的市场要求范围)
ASIL-B是市场上的最低级别，而某些应用则要求采用ASIL-D以支持某些功能。越来越多的ASIL有更严格的要求。在某些具体实现中，组件的通用ASIL或者条目(系统)等级都会带来不必要的复杂度，影响了开发成本和进度。分析系统概念，得出安全概念和要求后，还可以把应用分成几种不同的步骤，这就具有不同的ASIL，更容易实现，而且实现的效率更高。
例如，前端摄像机应用使用了ADAS中常见的一个图像传感器。图2显示了系统的高级结构图。
图2.高级单前端摄像机ADAS
一个图像传感器连接至图像处理器，例如可以是AlteraCyclone VSoC。信号处理链和数据流被分成四个部分。首先，通过把图像变换成更实用的表现形式，在像素级上进行底层处理。然后，对行图像或者块图像进行中间级处理，使用相应的算法，提取出边沿等特征。下一步，进行高级处理，提取出每一帧的数据，探测目标并分类。然后，系统会跟踪目标，如果需要采取措施，则与刹车或者转向电子控制单元(ECU)进行通信。
在FPGA上，底层和中间级处理能被非常高效地实现，但是，用户也可以在Cyclone V SoC硬核处理器系统(HPS)的Cortex-A9处理器等CPU上实现某些中间级处理。高级处理主要是控制代码，可以映射到HPS中的一个或者两个Cortex-A9上。处理链的最后一步是目标跟踪和决策，可以在外部微控制器上完成这一步。
在整个处理过程中，每一步将输入数据进行简化得到更有意义的数据，数据减少意味着提高了安全临界。因此，底层实现可以分成质量管理(QM)或者底层ASIL (例如，ASIL-A)。原因是一个像素期间出现的故障对后续算法性能的影响很小，可以忽略。在这个例子中，假设中间级处理符合ASIL-A或者ASIL-B，识别目标并进行分类的高级处理功能应符合ASIL-B。对目标进行分类后，生成目标表，将之提供给微控制器，进行目标跟踪和决策。这是信号链最关键的部分，Altera认为它应该符合ASIL-D，这对汽车的行为有直接影响。
在这类应用中，最好对数据流进行更全面的分析，每一级的安全临界定义对整个系统的性能会产生直接影响。对前面计算级有太高的安全要求会导致难以满足系统性能目标，而且对系统整体安全的影响很小。但是，处理链底层也会出现故障，对系统安全功能产生较大的影响。例如，底层处理功能的永久故障会导致高层数据永久损害，但是，合理性检查很容易探测到这类故障，对系统性能的影响相对较小。
评论