智能无人设备从IP核到系统的全流程功能安全问题初探

【导语】随着智能无人设备的广泛应用，功能安全问题日益凸显。为确保这些设备的安全可控，功能安全成为系统设计中的重要考量。本文将从功能安全的定义出发，探讨其在无人机、智能驾驶汽车等新兴领域的应用，以及如何通过标准化的认证流程和先进的开发工具来保障系统的功能安全。

作者：空军工程大学信息与导航学院四大队12队 成明

随着诸如无人机、智能驾驶汽车、无人农机、各种专用和消费机器人等智能无人设备广泛进入我们的工作和生活，这些设备的功能安全问题成为了一个值得关注的重要话题。为了确保这些智能化和无人化设备的安全可控，设计师在进行系统开发的时候，就必须重视从流程的第一步和最底层的技术源头考虑功能安全问题，才能去打造综合安全性更高的系统，对设备和消费者/使用者进行最大限度的保护。

‌功能安全（Functional Safety）是系统、设备或者核心部件通过主动安全机制去发现潜在的安全威胁，在相应安全等级约定的覆盖率上，以及时间内做出正确响应并采取保护措施，以避免因功能失效导致的人员伤害、环境破坏或财产损失风险‌。近年来，除了汽车、工业和医疗等过去“传统上”就重视功能安全的领域，新兴的诸如机器人和无人机等设备也逐步开始强调功能安全，即通过在系统中设计主动的安全机制，确保系统在检测到潜在危险时能正确执行预定安全功能（如关闭危险源、触发保护措施等），从而降低的风险。

系统中主要的控制器或者处理器是功能安全第一个着眼点，智能化带来的是越来越多的高性能处理器，如设备中的MCU、MPU、GPU、NPU和CPU芯片等；同时也带来了核心处理器或者主控SoC设计和开发都变得更加的复杂，因此无论是系统设计师还是最终消费者，都(dōu)要(yào)建(jiàn)立(lì)对(duì)设(shè)备(bèi)和(hé)系(xì)统(tǒng)核(hé)心(xīn)处(chù)理单元或者处理器(qì)进(jìn)行(xíng)功(gōng)能安全认证检查的思维。比如随着汽车的智能化程度快速走向L3和L4，更是要看其关键处理单元是否通过了基于ISO 26262标准定义的、通过ASIL等级量化的功能安全风险测试，才能从最基础的计算器件开始对驾乘人员和汽车本身进行保护。

当然，智能化带来了集成电路行业的快速发展，许多半导体知识产权（IP）提供商、芯片公司和开发工具提供商的产品都在提供高性能的同时，还通过了严格的ASIL认证，从而帮助智能/无人设备芯片和系统开发者去快速实现功能安全。例如，在智能驾驶和自动驾驶主控芯片领域中，图形处理(lǐ)器(qì)（GPU）——因(yīn)为(wèi)其(qí)兼(jiān)顾(gù)高(gāo)算(suàn)力(lì)和(hé)灵(líng)活(huó)性(xìng)，可(kě)以(yǐ)为(wèi)智(zhì)驾(jià)芯(xīn)片(piàn)设(shè)计(jì)公(gōng)司(sī)和(hé)系(xì)统(tǒng)开(kāi)发(fā)者(zhě)提(tí)供(gōng)更(gèng)长(zhǎng)的(de)产(chǎn)品(pǐn)生(shēng)命(mìng)周(zhōu)期(qī)而(ér)得(de)到(dào)广(guǎng)泛(fàn)的(de)欢(huan)迎(yíng)，因(yīn)此(cǐ)无(wú)论(lùn)在(zài)设(shè)计智驾SoC芯片而选择GPU时，还是主机厂及其Tier-1供应商在选择智驾方案时，都要去核实最基础的GPU内核是否通过相应的功能安全认证。

针对汽车智能化市场对高性能计算与功能安全的双重需求，近年来部分GPU IP供应商也在产品设计中引入了面向功能安全的架构机(jī)制(zhì)。例(lì)如(rú)某(mǒu)些(xiē)GPU产(chǎn)品(pǐn)通(tōng)过(guò)增(zēng)加(jiā)硬(yìng)件(jiàn)冗(rǒng)余(yú)设(shè)计(jì)与(yǔ)实(shí)时(shí)监(jiān)测(cè)机(jī)制，实现了与ISO 26262标准中ASIL-B等级相对应的功能安全能力。以Imagination Technologies DXS GPU IP为例，其在保障图形渲染和计算性能的同时，通过分布式安全机制在有限的面积开销下实现了功能安全支持，并通过了相关第三方认证。这类支持功能安全的GPU IP，逐步成为智能驾驶SoC芯片开发者在考虑系统安全性设计时的重要构成元素之一。

除了源自IEC 61508标准的、适用于汽车行业的功能安全标准ISO 26262和相应的ASIL系列认证，近年来随着低空经济和无人飞行器产业的快速的发展，《航空器机载电子设备硬件设计保障指南（DO-254）》，以及相应的航空电(diàn)子(zi)硬(yìng)件(jiàn)开(kāi)发的适航标准框架AMC 20-152A（基本上是DO-254的补充）这两个用于航空设备和飞行器的通用标准，成为开发航空机载电子设备硬件的功能安全标准。

安全性和可管理是低空经济全面发展的两个(gè)前(qián)提(tí)，尽(jǐn)管(guǎn)无(wú)人(rén)飞(fēi)行(xíng)器(qì)的(de)适(shì)航(háng)要(yào)求(qiú)还(hái)并(bìng)未(wèi)完(wán)全清(qīng)晰(xī)，但(dàn)是(shì)航(háng)空(kōng)工(gōng)业(yè)已(yǐ)经(jīng)积(jī)累(lèi)了(le)丰(fēng)富(fù)的(de)功(gōng)能(néng)安(ān)全管(guǎn)控(kòng)经(jīng)验(yàn)。例(lì)如(rú)，AMC 20-152A进(jìn)一(yī)步细化了 DO-254 的验(yàn)证(zhèng)方(fāng)法(fǎ)，例(lì)如(rú)明(míng)确(què) HDL 代(dài)码(mǎ)覆(fù)盖(gài)率(lǜ)需(xū)达(dá)到(dào) 95% 以(yǐ)上(shàng)等(děng)。所(suǒ)以(yǐ)，选(xuǎn)择(zé)使(shǐ)用(yòng)符(fú)合(hé)这(zhè)两(liǎng)个标准的IP和芯片，是设计诸如无人飞行设备等新兴系统的重要功能安全考量，也有不少基础技术提供商一直致力于开发相应的产品。以下为全球领先的IP提供商SmartDV Technology提供的部分通过了相关安全认证的IP和验证IP（VIP）。

最后，功能安全认证已经通过ISO26262等标准形成了一个覆盖全流程的机制，因此获得功能安全认证就要在流程上遵循标准化框架，主要涵盖安全目标定义与架构设计、验证与测试、第三方审核完成认证与文档、以及持续合规管理等关键阶段。‌值得注意的是，工具链认证‌也是功能安全认证的重要组成部分，开发工具需通过第三方独立认证，以确保代码覆盖率达标（HDL代码覆盖率≥95%），例如Imagination的PowerVR SDK工具链已通过ISO 26262兼容性验证。

随着国内集成电路设计企业不断提升自己的开发能力，并开发价值更高的、需要获得相应功能安全认证的芯片产品，采用全球领先(xiān)的(de)、已(yǐ)通过‌第三方审核‌的开发工具已成为行业中的一个趋势。

诸如芯驰科技、紫光同芯、旗芯微半导体、国科环宇、芯科集成和兆易创新等许多国内车用MCU厂商就选择与全球领先的嵌入式开发软件和服务提供商IAR合作，为其开发者引入IAR获得认证的工具链。针对越来越多的功能安全需求，IAR的Embedded Workbench工具提供了经过TÜV SÜD认证的功能安全版本，符合ISO 26262等10项功能安全标准，可以帮助车厂和Tier-1等芯片应用企业高效完成功能安全开发与认证，加速产品上市进程。

总结

功能安全是为许多智能无人设备保驾护航的重要措施，因此需要引起从IP到芯片和系统等各环节的重视，除了获得由权威机构在进行全流程审核，覆盖开发流程、测试报告及安全案例完整性之后获得ASIL等级证书之外，设计文档、测试数据、工具认证和持续合规管理都非常重要。