设计人员需要了解有关在车辆中实施的ADAS的电子控制单元的体系结构是如何变化的。

用于在车辆中实现高级驾驶员辅助系统（ADAS）的电子控制单元（ECU）的体系结构正在发生变化。

ADAS应用程序使用多种类型的传感器，包括摄像机，中远程雷达，超声波和LIDAR。来自这些传感器的数据用于启用ADAS功能，例如停车辅助，自动紧急停车，行人检测，周围环境，甚至睡意和凝视检测。

当前的ADAS架构将传感器及其相关处理器分布在整个车辆中。例如，前向避免碰撞ECU模块位于挡风玻璃中，但是盲点超声波传感器和相关的ADAS处理器可以位于后视镜中或其他分布位置。

图1 ADAS的域控制器（来源：Ian Riches，Strategy Analytics）

随着汽车系统架构师将多个应用程序集成到提供多种功能的ADAS ECU中，这种情况正在发生变化。这种方法对这些ECU的实施有许多好处和影响。

图2 用于ADAS的集成控制器（来源：Ian Riches，Strategy Analytics）

例如，德尔福（Delphi）提供了一个多域控制器，它使用前雷达、摄像头、激光雷达、后雷达和侧雷达执行多个ADAS功能。

奥迪推出了zFAS集中式ADAS模块，该模块集成了Infineon Aurix集成电路，Altera的用于传感器融合的FPGA，用于停车场图像处理的NVIDIA GPU以及用于行人检测和自动紧急制动的MobileEye图像处理器。

向集中式ADAS架构的转变要求更高的设备集成度和更高的性能。例如，在今年1月的CES上，NVIDIA宣布了其Xavier处理器，该处理器基于12纳米finFET工艺构建，旨在成对使用，以实现5级车辆自动驾驶。

一种通用的集中式ADAS控制器体系结构

这是通用ADAS处理器的框图。

图3 ：通用的集中式ADAS域控制器体系结构（来源：Synopsys）

它有一个32位或64位主机处理器，个处理视觉处理的单独加速器，以及许多接口，包括以太网音频/视频桥接（AVB）或以太网时间敏感网络（TSN）。外部存储器通常使用运行速度为3200Mbit / s或更高的LPDDR4或LPDDR4x DRAM来实现，而即将到来的控制器架构则针对更密集的存储器，例如新兴的LPDDR5规格。

高性能PCI Express 3.0或4.0在这些SoC中变得越来越流行，以支持处理器到处理器的通信。

MIPI连接成像和其他形式的传感器。集中式ADAS控制器还实现了自定义数据路径，以处理雷达信号处理和传感器融合的繁重计算要求。

安全性对于ADAS控制器很重要，通常在硬件和软件中都实现。集中控制器也被用于管理传感器融合，集成传感器子系统处理的多种形式的传感器数据的计算密集型工作。

从NVIDIA的公告中可以看出，使用单个SoC组合多个ADAS应用程序可以推动更大的集成度，并因此可以迁移到更高级的制造过程节点。

安全关键应用（如ADA）要求遵守ISO 26262功能安全标准，这增加了设计和实施过程的复杂性。

ISO 26262功能安全

ISO 26262功能安全标准的目的是最大程度地减少暂时性或永久性随机硬件故障的影响。

该标准定义了开发组织在开发用于安全关键系统的产品时必须遵循的流程。实施ISO 26262要求团队创建和应用安全文化。这可能包括定义新的政策和开发流程，以及聘请对安全流程负有特定责任的安全经理以及可能的汽车功能安全高级培训。

ISO 26262还需要大量文档，以显示团队如何计划安全功能的开发和验证。本文档包括提供给所有利益相关者的安全手册。它描述了产品的安全特性，以及这些产品将如何对某些类型的故障做出反应。该文档还包括故障模式，影响和诊断分析（FMEDA），其中概述了产品将如何对随机故障做出反应。

ISO 26262符合性过程的一部分是定义各种类型的故障下产品的功能安全要求，然后实施安全功能以最大程度地减少这些故障的影响。反过来，必须评估这些安全功能在减轻此类故障方面的有效性。

经过认证的检验公司已经出现，以审核产品和开发流程，并证明符合ISO 26262标准。其中一家检验公司是SGS-TUV Saar。

ISO 26262对开发团队的影响

有效实施ISO 26262意味着在标准产品设计流程中添加并行的安全开发流程。

图4 将ISO26262标准集成到开发流程中（来源：Synopsys）

图4的左侧显示了符合ISO 26262的方式如何增加开发流程的步骤，包括安全计划的定义，安全要求和安全目标。下一步包括及时故障分析，最后是硬件安全功能的定义和实施。在验证过程中，符合ISO 26262的要求进行故障注入和覆盖分析，以模拟注入的故障的影响，从而评估系统如何对此类故障做出反应，从而评估系统提供的安全级别。该过程还要求创建FMEDA报告和安全手册，在Synopsys的情况下，还需要获得SGS-TUV Saar等检查和审计公司的认证。

ISO 26262硬件构建

开发人员可以使用各种技术使他们的设计更安全。ISO 26262概述了其中的一些内容，包括硬件冗余，内存，自检和超时监视器上的错误检查和纠正（ECC）代码。Synopsys对需要安全关键系统的功能安全的汽车应用的各种硬件安全功能的有效性进行了自己的分析，并建议了一些策略，并提出了诸如在数据路径上使用字节奇偶校验，在存储器读取和写入ECC，复制然后比较关键模块的输出，并创建专用中断信令错误。

Synopsys正在使用ISO 26262策略来开发其一些关键IP解决方案，例如以太网，LPDDR，USB，PCI Express，MIPI，处理器，嵌入式存储器，测试和NVM。

例如，Synopsys的LPDDR控制器的ISO 26262功能旨在确保可以可靠地读取和写入数据。这意味着要增加诸如内联ECC和数据路径保护之类的功能。命令和地址路径上的关键寄存器保护；以及对配置状态寄存器的类似保护。

Synopsys的支持AVB和TSN标准的以太网服务质量（QoS）控制器IP已在其所有紧密耦合的RAM中获得了ECC支持。保护外部接口，配置寄存器和内部数据路径；并在其有限状态机上进行超时监控。将上述保护添加到以太网QoS控制器对于确保ADAS处理器中的以太网网关和端口具有确保符合ISO 26262的安全功能至关重要。

例如，Synopsys的ARC EM处理器可以构成“safety island”的核心，其中两个EM内核在系统总线上并排工作，并带有一个安全监控器模块，比较它们的输出并发出信号，告知两者之间的差异。这样的safety island可能在其存储器接口和缓冲区，可编程看门狗定时器和可选的内存保护单元上有ECC和奇偶校验。

反过来，这个块可以在符合ISO 26262的子系统中使用。参见图5中的示例。

图5：向内存控制器添加ISO 26262特性的示例(来源:Synopsys)

图5:由符合ISO26262的构建块组成的子系统((来源:Synopsys)

该子系统包括前面描述的“safety island”处理器内核，ECC和存储器，DSP和处理器IP块，接口和存储器的奇偶性支持。safety island可以通过专用安全总线管理所有这些块的交互。

Synopsys的星型存储器系统和星型分层系统可用于实现存储器，测试和维修以及IP集成，以便safety island能够到达，监视和保护ADAS处理器上的所有功能。

结论

在构建安全关键系统（如ADAS控制器）时，满足ISO 26262标准的要求非常重要。但是，随着车辆系统的体系结构发展为使用更多集成的ECU，ISO 26262的标准变得更加复杂。使用具有符合标准要求且符合ISO 26262要求的功能和严格流程的IP模块，可以使创建这些复杂的集成ADAS控制器变得更简单。