隨著諸如無人機(jī)、智能駕駛汽車、無人農(nóng)機(jī)、各種專用和消費(fèi)機(jī)器人等智能無人設(shè)備廣泛進(jìn)入我們的工作和生活，這些設(shè)備的功能安全問題成為了一個(gè)值得關(guān)注的重要話題。為了確保這些智能化和無人化設(shè)備的安全可控，設(shè)計(jì)師在進(jìn)行系統(tǒng)開發(fā)的時(shí)候，就必須重視從流程的第一步和最底層的技術(shù)源頭考慮功能安全問題，才能去打造綜合安全性更高的系統(tǒng)，對(duì)設(shè)備和消費(fèi)者/使用者進(jìn)行最大限度的保護(hù)。

?功能安全（Functional Safety）是系統(tǒng)、設(shè)備或者核心部件通過主動(dòng)安全機(jī)制去發(fā)現(xiàn)潛在的安全威脅，在相應(yīng)安全等級(jí)約定的覆蓋率上，以及時(shí)間內(nèi)做出正確響應(yīng)并采取保護(hù)措施，以避免因功能失效導(dǎo)致的人員傷害、環(huán)境破壞或財(cái)產(chǎn)損失風(fēng)險(xiǎn)?。近年來，除了汽車、工業(yè)和醫(yī)療等過去“傳統(tǒng)上”就重視功能安全的領(lǐng)域，新興的諸如機(jī)器人和無人機(jī)等設(shè)備也逐步開始強(qiáng)調(diào)功能安全，即通過在系統(tǒng)中設(shè)計(jì)主動(dòng)的安全機(jī)制，確保系統(tǒng)在檢測(cè)到潛在危險(xiǎn)時(shí)能正確執(zhí)行預(yù)定安全功能（如關(guān)閉危險(xiǎn)源、觸發(fā)保護(hù)措施等），從而降低的風(fēng)險(xiǎn)。

系統(tǒng)中主要的控制器或者處理器是功能安全第一個(gè)著眼點(diǎn)，智能化帶來的是越來越多的高性能處理器，如設(shè)備中的MCU、MPU、GPU、NPU和CPU芯片等；同時(shí)也帶來了核心處理器或者主控SoC設(shè)計(jì)和開發(fā)都變得更加的復(fù)雜，因此無論是系統(tǒng)設(shè)計(jì)師還是最終消費(fèi)者，都要建立對(duì)設(shè)備和系統(tǒng)核心處理單元或者處理器進(jìn)行功能安全認(rèn)證檢查的思維。比如隨著汽車的智能化程度快速走向L3和L4，更是要看其關(guān)鍵處理單元是否通過了基于ISO 26262標(biāo)準(zhǔn)定義的、通過ASIL等級(jí)量化的功能安全風(fēng)險(xiǎn)測(cè)試，才能從最基礎(chǔ)的計(jì)算器件開始對(duì)駕乘人員和汽車本身進(jìn)行保護(hù)。

當(dāng)然，智能化帶來了集成電路行業(yè)的快速發(fā)展，許多半導(dǎo)體知識(shí)產(chǎn)權(quán)（IP）提供商、芯片公司和開發(fā)工具提供商的產(chǎn)品都在提供高性能的同時(shí)，還通過了嚴(yán)格的ASIL認(rèn)證，從而幫助智能/無人設(shè)備芯片和系統(tǒng)開發(fā)者去快速實(shí)現(xiàn)功能安全。例如，在智能駕駛和自動(dòng)駕駛主控芯片領(lǐng)域中，圖形處理器（GPU）——因?yàn)槠浼骖櫢咚懔挽`活性，可以為智駕芯片設(shè)計(jì)公司和系統(tǒng)開發(fā)者提供更長的產(chǎn)品生命周期而得到廣泛的歡迎，因此無論在設(shè)計(jì)智駕SoC芯片而選擇GPU時(shí)，還是主機(jī)廠及其Tier-1供應(yīng)商在選擇智駕方案時(shí)，都要去核實(shí)最基礎(chǔ)的GPU內(nèi)核是否通過相應(yīng)的功能安全認(rèn)證。

針對(duì)汽車智能化市場(chǎng)對(duì)高性能計(jì)算與功能安全的雙重需求，近年來部分GPU IP供應(yīng)商也在產(chǎn)品設(shè)計(jì)中引入了面向功能安全的架構(gòu)機(jī)制。例如某些GPU產(chǎn)品通過增加硬件冗余設(shè)計(jì)與實(shí)時(shí)監(jiān)測(cè)機(jī)制，實(shí)現(xiàn)了與ISO 26262標(biāo)準(zhǔn)中ASIL-B等級(jí)相對(duì)應(yīng)的功能安全能力。以Imagination Technologies DXS GPU IP為例，其在保障圖形渲染和計(jì)算性能的同時(shí)，通過分布式安全機(jī)制在有限的面積開銷下實(shí)現(xiàn)了功能安全支持，并通過了相關(guān)第三方認(rèn)證。這類支持功能安全的GPU IP，逐步成為智能駕駛SoC芯片開發(fā)者在考慮系統(tǒng)安全性設(shè)計(jì)時(shí)的重要構(gòu)成元素之一。

除了源自IEC 61508標(biāo)準(zhǔn)的、適用于汽車行業(yè)的功能安全標(biāo)準(zhǔn)ISO 26262和相應(yīng)的ASIL系列認(rèn)證，近年來隨著低空經(jīng)濟(jì)和無人飛行器產(chǎn)業(yè)的快速的發(fā)展，《航空器機(jī)載電子設(shè)備硬件設(shè)計(jì)保障指南（DO-254）》，以及相應(yīng)的航空電子硬件開發(fā)的適航標(biāo)準(zhǔn)框架AMC 20-152A（基本上是DO-254的補(bǔ)充）這兩個(gè)用于航空設(shè)備和飛行器的通用標(biāo)準(zhǔn)，成為開發(fā)航空機(jī)載電子設(shè)備硬件的功能安全標(biāo)準(zhǔn)。

安全性和可管理是低空經(jīng)濟(jì)全面發(fā)展的兩個(gè)前提，盡管無人飛行器的適航要求還并未完全清晰，但是航空工業(yè)已經(jīng)積累了豐富的功能安全管控經(jīng)驗(yàn)。例如，AMC 20-152A進(jìn)一步細(xì)化了 DO-254 的驗(yàn)證方法，例如明確 HDL 代碼覆蓋率需達(dá)到 95% 以上等。所以，選擇使用符合這兩個(gè)標(biāo)準(zhǔn)的IP和芯片，是設(shè)計(jì)諸如無人飛行設(shè)備等新興系統(tǒng)的重要功能安全考量，也有不少基礎(chǔ)技術(shù)提供商一直致力于開發(fā)相應(yīng)的產(chǎn)品。以下為全球領(lǐng)先的IP提供商SmartDV Technology提供的部分通過了相關(guān)安全認(rèn)證的IP和驗(yàn)證IP（VIP）。

最后，功能安全認(rèn)證已經(jīng)通過ISO26262等標(biāo)準(zhǔn)形成了一個(gè)覆蓋全流程的機(jī)制，因此獲得功能安全認(rèn)證就要在流程上遵循標(biāo)準(zhǔn)化框架，主要涵蓋安全目標(biāo)定義與架構(gòu)設(shè)計(jì)、驗(yàn)證與測(cè)試、第三方審核完成認(rèn)證與文檔、以及持續(xù)合規(guī)管理等關(guān)鍵階段。?值得注意的是，工具鏈認(rèn)證?也是功能安全認(rèn)證的重要組成部分，開發(fā)工具需通過第三方獨(dú)立認(rèn)證，以確保代碼覆蓋率達(dá)標(biāo)（HDL代碼覆蓋率≥95%），例如Imagination的PowerVR SDK工具鏈已通過ISO 26262兼容性驗(yàn)證。

隨著國內(nèi)集成電路設(shè)計(jì)企業(yè)不斷提升自己的開發(fā)能力，并開發(fā)價(jià)值更高的、需要獲得相應(yīng)功能安全認(rèn)證的芯片產(chǎn)品，采用全球領(lǐng)先的、已通過?第三方審核?的開發(fā)工具已成為行業(yè)中的一個(gè)趨勢(shì)。

諸如芯馳科技、紫光同芯、旗芯微半導(dǎo)體、國科環(huán)宇、芯科集成和兆易創(chuàng)新等許多國內(nèi)車用MCU廠商就選擇與全球領(lǐng)先的嵌入式開發(fā)軟件和服務(wù)提供商IAR合作，為其開發(fā)者引入IAR獲得認(rèn)證的工具鏈。針對(duì)越來越多的功能安全需求，IAR的Embedded Workbench工具提供了經(jīng)過TüV SüD認(rèn)證的功能安全版本，符合ISO 26262等10項(xiàng)功能安全標(biāo)準(zhǔn)，可以幫助車廠和Tier-1等芯片應(yīng)用企業(yè)高效完成功能安全開發(fā)與認(rèn)證，加速產(chǎn)品上市進(jìn)程。

總結(jié)

功能安全是為許多智能無人設(shè)備保駕護(hù)航的重要措施，因此需要引起從IP到芯片和系統(tǒng)等各環(huán)節(jié)的重視，除了獲得由權(quán)威機(jī)構(gòu)在進(jìn)行全流程審核，覆蓋開發(fā)流程、測(cè)試報(bào)告及安全案例完整性之后獲得ASIL等級(jí)證書之外，設(shè)計(jì)文檔、測(cè)試數(shù)據(jù)、工具認(rèn)證和持續(xù)合規(guī)管理都非常重要。