丹尼爾·伯納爾

共同作者：CoreAVI首席銷售和市場官Dan Joncas
Mark Armamy ，Arm汽車媒體軟件架構(gòu)師

每年的新車型都會為數(shù)字儀表板帶來新的設(shè)計。數(shù)字集群包括安全內(nèi)容以及確保驅(qū)動顯示器的電子設(shè)備符合ISO 26262 ASIL B安全標(biāo)準(zhǔn)的機制。這些設(shè)計達到了與模擬儀表組相同的安全要求，很好地達到了目的，這主要是由較小的安全微控制器提供的信號和檔位。當(dāng)前儀表盤設(shè)計所采用的安全機制位于顯示屏一側(cè)，足以滿足此安全要求。下一代車輛顯示器將開始基于傳感器數(shù)據(jù)納入更復(fù)雜的安全內(nèi)容，這些數(shù)據(jù)主要由高級駕駛員輔助系統(tǒng)（ADAS）驅(qū)動，該系統(tǒng)為操作員提供實時感知系統(tǒng)反饋。這樣的一個例子可能是以圍繞檢測到的物體或障礙物的邊界框的形式。這種類型的顯示為駕駛員提供了增強的態(tài)勢感知能力。

為了滿足對更復(fù)雜的安全內(nèi)容的必然需求，Arm推出了其新的高性能圖形處理單元（Mali-G78AE），具有新的靈活分區(qū)功能，并增加了安全軟件堆棧VkCore Functional Safety Suite的支持。在Arm，CoreAVI的 支持下開發(fā)將適用于Arm最新Mali-G78AE GPU IP的全面圖形和計算驅(qū)動程序和庫套件推向市場，這些套件將經(jīng)過認證可用于ISO 26262 ASIL D應(yīng)用程序。通過具備安全功能的應(yīng)用處理器，Mali-G78AE和VkCore功能安全套件為汽車一級和OEM提供了基礎(chǔ)，使他們能夠設(shè)計具有安全功能的GPU硬件加速的安全駕駛艙HMI。下一代汽車HMI建立在具有安全功能的硬件和軟件的基礎(chǔ)上，汽車設(shè)計人員將使用它們來建立消費者對ADAS和自動系統(tǒng)的信心。

從安全發(fā)展中吸取的教訓(xùn)

航空電子行業(yè)和航空電子駕駛艙也經(jīng)歷了類似的發(fā)展。多功能觸摸屏顯示器已經(jīng)取代了過去的儀表和指示器。高性能SoC不僅用于向駕駛員傳達基本信息，而且還可以在人機界面（HMI）中獲得增強的視野和增強的態(tài)勢感知能力，從而使飛行員能夠直觀地解釋大量不同的信息。與航空電子行業(yè)的發(fā)展類似，隨著時間的推移，這些高可靠性和安全性至關(guān)重要的汽車系統(tǒng)中使用的GPU和相關(guān)軟件驅(qū)動程序?qū)⒉捎酶嗑哂邪踩缘碾娮赢a(chǎn)品。這些新系統(tǒng)滿足特定目的，旨在滿足功能安全標(biāo)準(zhǔn)，可進行確定性計算(也就是說,序列的狀態(tài)持續(xù)提供相同的輸出給定相同的輸入)和?軟件將符合MISRA-C指南編寫的安全關(guān)鍵軟件按照ISO 26262等安全標(biāo)準(zhǔn)。

應(yīng)用用例

當(dāng)前汽車領(lǐng)域的一個趨勢是將多個駕駛艙功能合并到一個駕駛艙域控制器(CDC)中。CDC是一個平臺，在這個平臺上，多個傳統(tǒng)車輛ECU可以合并為一個單一ECU上的軟件工作負載。在單個系統(tǒng)上同時運行安全和非安全工作負載(混合臨界性)是CDC的另一個價值主張。在CDC上配置具有適當(dāng)資源以滿足性能和安全需求的工作負載，對系統(tǒng)架構(gòu)師來說一直是一項挑戰(zhàn)。為共享資源(如內(nèi)存控制器和設(shè)備)提供適當(dāng)?shù)南到y(tǒng)服務(wù)質(zhì)量(QoS)特性是很重要的。通常，具有確定性計算截止日期的工作負載可能無法與其他工作負載共享資源——對于確定性安全HMI工作負載來說是這樣的。Arm Mali-G78AE靈活分區(qū)特性是一個創(chuàng)新的特性，它允許在啟動時將GPU分割為1、2或4個適當(dāng)大小的GPU。這些gpu可以分配給不同的工作負載。在下面的例子中，在引導(dǎo)時Mali-G78AE GPU可以配置為4個GPU?？梢苑峙浣o一個GPU安全儀表組的渲染,第二個GPU可以分配給安全呈現(xiàn)一個增強現(xiàn)實的抬頭顯示器(HUD),第三個GPU可以分配給安全計算支持司機監(jiān)控系統(tǒng)(DMS),第四個GPU可以分配給IVI OS，例如Automotive Grade Linux（AGL）或Android Automotive。

安全HMI架構(gòu)

ISO 26262 ASIL B認證圖形的用例并不是新的，在現(xiàn)有的設(shè)計中得到了支持。在儀器集群中集成安全內(nèi)容和非安全內(nèi)容是很常見的。在當(dāng)前的系統(tǒng)中，渲染可以由質(zhì)量管理(QM)硬件和軟件來執(zhí)行。安全裝置是一個ASIL B安全監(jiān)視器，用于確認安全內(nèi)容的正確呈現(xiàn)和顯示。最常見的方法是在顯示控制器中使用專用硬件，為屏幕的一個小區(qū)域生成CRC。此CRC與應(yīng)用程序提供的參考CRC值進行比較。如果它們匹配，您就知道QM圖形系統(tǒng)工作正常，與安全相關(guān)的內(nèi)容也會正確顯示。
這種方法適用于簡單的內(nèi)容像風(fēng)標(biāo)和動力傳動系統(tǒng)齒輪位置。在這些情況下，安全內(nèi)容在輸出、位置和呈現(xiàn)在專用屏幕區(qū)域中是可預(yù)測的。不幸的是，如果不滿足這個標(biāo)準(zhǔn)，這種方法就不能很好地擴展。不符合這些標(biāo)準(zhǔn)的例子有:動態(tài)的泄密、自定義背景上的泄密，以及安全內(nèi)容是動態(tài)的HMIs上的新用例。這將在未來的ADAS和自動感知系統(tǒng)中很常見，這些系統(tǒng)與操作員進行通信，將檢測和識別的物體包圍起來。
為了支持未來的可擴展方法，設(shè)計過渡到支持安全應(yīng)用程序運行在安全合格的應(yīng)用程序核心上的系統(tǒng)架構(gòu)。這包括符合ASIL B標(biāo)準(zhǔn)的圖形子系統(tǒng)，即符合安全標(biāo)準(zhǔn)的GPU硬件和軟件驅(qū)動程序。這為滿足ASIL要求的HMIs的無限創(chuàng)新提供了基礎(chǔ)。用戶界面可以安全渲染與GPU加速在其適當(dāng)?shù)念I(lǐng)域(ASIL B或ASIL QM)，然后最終的HMI可以安全合成安全顯示。

安全HMI應(yīng)用程序開發(fā)

航空電子領(lǐng)域的安全應(yīng)用利用了OpenGL安全關(guān)鍵(SC) API啟用的GPU加速。用于Mali-G78AE的VkCore功能安全套件將支持OpenGL?SC 1.0.1、2.0和Khronos小組正在開發(fā)的Vulkan SC 1.0 API。目前，最先進的載體HMIs利用了OpenGL ES和Vulkan api。過渡到安全渲染將嚴(yán)格為安全內(nèi)容。HMI設(shè)計者將利用HMI工具，這些工具支持一個工作流，允許為安全和非安全呈現(xiàn)域標(biāo)記某些數(shù)據(jù)和/或表面。HMI工具合作伙伴的生態(tài)系統(tǒng)將支持從ASIL QM HMIs到由安全HMIs組成的安全HMIs的簡單過渡的工作流程。Arm的HMI合作伙伴生態(tài)系統(tǒng)非常幸運，包括但不限于以下內(nèi)容:

Altia公司的嵌入式軟件工程師Jason Lewis說:

“軟件安全標(biāo)準(zhǔn)為軟件開發(fā)增加了巨大的價值，但也增加了成本。?Altia將利用Arm的安全呈現(xiàn)創(chuàng)新減少部署安全人機界面解決方案的成本和復(fù)雜性?！?/p>

ANSYS的產(chǎn)品營銷經(jīng)理Xavier Fornari說:

“與行業(yè)領(lǐng)袖CoreAVI和Arm密切合作，Ansys能夠提供基于模型的合格代碼生成技術(shù)在一個完整的解決方案堆棧安全和認證嵌入式顯示器，這需要更多的安全關(guān)鍵和任務(wù)關(guān)鍵軟件的ADAS和自動駕駛車輛。”

DiSTI公司UX/UI技術(shù)副總裁Christopher Giordano說:

“我們對Arm的新Mali-G78AE和VkCore功能安全套件將對汽車行業(yè)產(chǎn)生的影響感到興奮。憑借20多年的功能安全專業(yè)知識，DiSTI憑借我們的GL Studio UI工具被授予Arm汽車開發(fā)者社區(qū)的注冊會員，該工具在5年前率先成為市場上通過ISO 26262 ASIL D認證的市場。結(jié)合我們最近更新的ASIL D認證，我們希望繼續(xù)與Arm和CoreAVI在其行業(yè)領(lǐng)先的GPU和驅(qū)動程序版本上進行長期成功的合作，以期將具有成本效益的對安全性至關(guān)重要的UX / UI開發(fā)引入汽車OEM及其供應(yīng)商”

Jussi Lehtinen，右邊的CTO說

“汽車系統(tǒng)正變得越來越復(fù)雜，與此同時，客戶對豐富的圖形和直觀的用戶體驗的期望也在增長?！迸c僅依賴于驗證的系統(tǒng)相比，標(biāo)準(zhǔn)的、可認證的api(如Open GL SC)簡化了向新系統(tǒng)的遷移，并使更高級的用例能夠可視化。安全渲染允許ASIL和非ASIL UI內(nèi)容的無縫集成，并通過更豐富的圖形和更流暢的動態(tài)內(nèi)容動畫改善用戶體驗，最終推動HMI的創(chuàng)新。

強大的伙伴關(guān)系

航空航天界的伙伴關(guān)系對于滿足每年安全飛行全球數(shù)百萬人的雄心勃勃的要求至關(guān)重要。技術(shù)已經(jīng)變得如此復(fù)雜，以至沒有任何一家公司或?qū)嶓w可以“了解全部”或“全部完成”。在航空航天世界中，政府，原始設(shè)備制造商（OEM）和眾多供應(yīng)商密切合作以實現(xiàn)共同的目標(biāo)。另一方面，汽車行業(yè)的合作伙伴關(guān)系更側(cè)重于供應(yīng)鏈的協(xié)調(diào)，而不是技術(shù)領(lǐng)域的和諧。隨著汽車系統(tǒng)變得更加自治，以及人工智能和機器學(xué)習(xí)變得越來越普遍，汽車界的技術(shù)合作伙伴關(guān)系將變得越來越普遍。舉個例子，CoreAVI（作為安全關(guān)鍵應(yīng)用平臺IP的供應(yīng)商）已經(jīng)在整個航空電子供應(yīng)鏈中建立了合作伙伴關(guān)系。CoreAVI與Arm的合作在汽車市場也遵循同樣的傳統(tǒng)。

總結(jié)

飛機座艙和汽車座艙的共同歷史以及技術(shù)采用的發(fā)展都基于人機交互的基礎(chǔ)。隨著飛行員和駕駛員的任務(wù)變得越來越復(fù)雜，安全性變得越來越重要，人們需要使用技術(shù)來幫助實現(xiàn)這些目標(biāo)。隨著技術(shù)變得越來越復(fù)雜，與這些系統(tǒng)的開發(fā)相關(guān)的認證過程也變得越來越嚴(yán)格。這兩個市場（汽車和航空航天）一直相互學(xué)習(xí)。當(dāng)今的技術(shù)已經(jīng)變得如此復(fù)雜，操作員對這些系統(tǒng)的“依賴”變得如此普遍，以至于汽車和航空航天之間知識和經(jīng)驗的共享比以往任何時候都更加重要。

支持安全渲染，安全計算，安全合成和安全顯示的汽車平臺將使過渡到HMI和其他用例的更安全應(yīng)用程序處理成為可能。對于具有負責(zé)向車輛操作員傳達與安全相關(guān)的態(tài)勢感知信息的汽車UI設(shè)計人員而言，擁有可擴展的，可安全認證的硬件和軟件架構(gòu)以及基于標(biāo)準(zhǔn)的應(yīng)用程序API將變得越來越重要。使用支持ASIL B的硬件和軟件的技術(shù)和系統(tǒng)設(shè)計模式將有助于提供更安全的系統(tǒng)設(shè)計，而不會限制創(chuàng)新的步伐。Arm致力于通過開放標(biāo)準(zhǔn)以及必要的硬件和軟件支持來構(gòu)建生態(tài)系統(tǒng)，以實現(xiàn)低成本，可擴展且安全的汽車駕駛艙和車輛電子設(shè)備。

審核編輯 黃昊宇