改搭可編程FPGA SoC ADAS系統性故障銳減

基于雷達(RADAR)和攝影機設計的應用正大舉進(jìn)駐汽車(chē)駕駛安全領(lǐng)域。最初，自適應巡航控制和道路偏離警報等先進(jìn)駕駛輔助系統(ADAS)只是一些非常便利的功能，而現在，它們在車(chē)輛控制上扮演更積極主動(dòng)的角色，支持實(shí)現車(chē)道維持輔助(LKA)等功能。以前的高性能中央處理器(CPU)被認為是最適合這些應用的組件，但車(chē)廠(chǎng)須要綜合考慮運算性能和低功率消耗，這促使工程師轉向采用現場(chǎng)可編程門(mén)陣列(FPGA)組件。

ADAS須要滿(mǎn)足特殊的功能安全要求。在2011年，ISO發(fā)布針對載重3.5噸以下客車(chē)的ISO26262標準，以降低系統出現故障后造成危險的風(fēng)險。這個(gè)標準要求采用嚴密的設計過(guò)程，在應用執行過(guò)程中探測隨機硬件故障，以減少系統性故障。

提升ADAS功能安全　FPGA SoC受青睞

應用開(kāi)發(fā)人員定義了專(zhuān)門(mén)的安全目標，針對每個(gè)目標分配相應的汽車(chē)安全完整性等級(ASIL)。對于應用中最高級別的ASIL-D，通常定義了每一個(gè)組件從開(kāi)發(fā)直至運作到壽命終了時(shí)應滿(mǎn)足的要求。圖1顯示了從客戶(hù)需求角度來(lái)看，ADAS應符合的ASIL目前的范圍。

圖1　ADAS所需ASIL規范等級

ASIL-B是市場(chǎng)上的最低級別，而某些應用則要求采用ASIL-D，以支持某些功能。越來(lái)越多的ADAS應用對ASIL有更嚴格的要求。在某些具體實(shí)現中，組件的通用ASIL或者項目(系統)等級都會(huì )帶來(lái)不必要的復雜度，影響開(kāi)發(fā)成本和進(jìn)度。分析系統概念，得出安全概念和要求后，還可以把應用分成幾種不同的步驟，具有不同的ASIL，如此一來(lái)，系統設計則可更容易實(shí)現，而且實(shí)現的效率更高。

例如，前方攝影機應用使用ADAS中常見(jiàn)的一個(gè)影像傳感器，如圖2顯示的高階結構圖。一個(gè)影像傳感器連接至圖像處理器，該處理器可以是Altera Cyclone FPGA系統單芯片(SoC)或其他方案。訊號處理鏈路和數據流被分成四個(gè)部分。首先，透過(guò)把影像變換成更實(shí)用的表現方式，在像素層級上進(jìn)行底層處理。然后，對影像或者區塊圖像進(jìn)行中間層級處理，使用相應的算法，提取出邊緣等特征。下一步，則會(huì )進(jìn)行高階處理，提取出每一個(gè)圖幀的數據，探測目標并進(jìn)行分類(lèi)。然后，系統會(huì )追蹤目標，如果需要采取措施，則與煞車(chē)或者轉向引擎控制單元(ECU)進(jìn)行通訊。

圖2　高階單一前方攝影機ADAS

除了能夠在FPGA上非常高效率的實(shí)現底層和中間層級處理，用戶(hù)也可以在Cyclone V系列FPGA SoC硬式核心處理器系統(HPS)的Cortex-A9等處理核心實(shí)現某些中間層級處理。高階處理主要是句柄，可以映像到HPS中的一個(gè)或者兩個(gè)Cortex-A9上。處理鏈路的最后一步是目標追蹤和判斷，可以在外部微控制器(MCU)上完成這一個(gè)步驟。

在整個(gè)處理過(guò)程中，工程師可將輸入數據進(jìn)行簡(jiǎn)化，以得到更有意義的數據，數據減少意味提高安全臨界值。因此，底層實(shí)現可以分成質(zhì)量管理(QM)或底層ASIL(例如ASIL-A)。會(huì )這樣做的原因是因為單一個(gè)像素期間出現的故障對后續算法的性能影響很小，因此可以忽略。在這個(gè)例子中，假設中間層級處理符合ASIL-A或ASIL-B，識別目標并進(jìn)行分類(lèi)的高階處理功能應符合ASIL-B。對目標進(jìn)行分類(lèi)后，會(huì )產(chǎn)生目標表，并提供給微控制器，進(jìn)行目標追蹤和判斷。這是訊號鏈路最關(guān)鍵的部分，我們認為它應該符合ASIL-D，這對汽車(chē)的行為有直接影響。

實(shí)現分級安全處理　FPGA兼顧設計可靠度/效率

在這類(lèi)應用中，最好對數據流進(jìn)行更全面的分析，每一個(gè)層級的安全臨界定義對整個(gè)系統的性能會(huì )產(chǎn)生直接影響。對前面運算層級有太高的安全要求會(huì )導致難以滿(mǎn)足系統性能目標，而且對系統整體安全的影響很小。不過(guò)，處理鏈路底層也會(huì )出現故障，對系統安全功能產(chǎn)生較大的影響，例如，底層處理功能的永久故障會(huì )導致高層上的數據永久損害，透過(guò)合理性檢查很容易探測到這類(lèi)故障，對系統性能的影響相對較小。

圖3顯示單一前方攝像機系統實(shí)例的高階結構圖。由一個(gè)外部電源管理電路為Cyclone V SoC提供電源，當供電電壓不在額定運作范圍內時(shí)，單獨的電壓監控功能會(huì )產(chǎn)生重置，外部非揮發(fā)性?xún)却孢B接至四路串行周邊接口(Quad SPI)模塊，系統啟動(dòng)過(guò)程中加載應用程序，配置FPGA時(shí)會(huì )使用這些模塊。我們使用雙倍數據率(DDR)內存來(lái)執行應用程序代碼、儲存數據和影像圖幀，透過(guò)SPI連接外部微控制器，進(jìn)行目標探測和最終判斷，并利用控制器局域網(wǎng)絡(luò )(CAN)接口與汽車(chē)底盤(pán)的其他部分進(jìn)行通訊。

圖3　單一前方攝影機系統實(shí)例

此應用所使用的圖像處理器模塊如圖4所示。視訊端口接收來(lái)自影像傳感器的數據，將其傳送至圖像處理模塊，這一個(gè)模塊相當于底層圖像處理層級，在這個(gè)例子中，數據透過(guò)圖像處理模塊后，通過(guò)FPGA至HPS(F2H)橋接被寫(xiě)入到DDR內存中，也可以傳送至下一層級，實(shí)現的效率更高。第二級是中間層級處理，由各種圖像處理模塊來(lái)完成，透過(guò)HPS至FPGA(H2F)橋接讀出以前儲存在DDR內存中的數據，再次將其寫(xiě)入到DDR內存中。在這個(gè)例子中，由HPS完成高階處理層級。

圖4　Cyclone V SoC電路架構圖

發(fā)揮可編程效益　FPGA全方位探測系統故障

接下來(lái)的段落將說(shuō)明用于探測設計中，不同區域是否有故障的診斷功能。一些診斷功能能夠探測到永久故障，而有的只能探測到暫時(shí)性故障，也有的能探測各種故障。暫時(shí)性故障是一種出現后又消失的故障，對于這一類(lèi)情形，設計人員應考慮實(shí)現某些功能時(shí)內存中出現的故障，以及實(shí)現功能時(shí)邏輯中可能出現的故障。

在應用軟件使用影像傳感器之前，工程師應對其進(jìn)行配置，在應用程序執行過(guò)程中不斷修改配置以適應不同的光線(xiàn)條件。影像傳感器對于應用操作非常關(guān)鍵，因此，建議在容錯時(shí)間間隔(FTTI)期間對其配置至少進(jìn)行一次檢查，這并不一定能覆蓋傳感器所有可能的故障，但可以管理好配置緩存器組(表1)。