智能驾驶域控制器的车规级大脑是怎样炼成的?| 行家说

车规级自动驾驶感知芯片设计的实践与思考。

编者按:8 月 13 日,「汽车之心·行家说」第 34 期邀请了黑芝麻智能科技 SOC 设计总监何铁军,分享车规级自动驾驶感知芯片设计的实践与思考。

「汽车之心·行家说」由汽车之心主办,辰韬资本联合主办。汽车之心致力于推动汽车与科技的融合。

辰韬智驾基金专注智能驾驶创业投资,为智能驾驶创业者赋能。

本文来自何铁军分享的部分内容节选。欢迎扫描下方二维码观看完整视频分享。

本文要点:

  • 黑芝麻华山系列车规级芯片介绍及路线图
  • ISO26262 以及 AECQ100 究竟解决什么问题?
  • 车规芯片设计中如何满足 ISO26262 功能安全以及 AECQ100 可靠性设计?
  • 车规级芯片制造的产线选择
  • 自动驾驶芯片未来的发展趋势

1、2020 年是全球汽车行业量产自动驾驶的分水岭

在 2020 年以前,基本上所有主流车厂都处在 L2 阶段。只有奥迪率先进入 L3 量产的状态,在 2020 年其他车厂也陆续展开了L3 和 L4 量产研发的工作,目前各车厂都在全力推进。

比如奔驰、丰田、本田以及国内一些车厂,都在 2020 年正式开始 L3 平台的研发,特斯拉直接从 L2 到 L4,跳过了 L3,是比较激进的方案。

(P.S. 关注汽车之心微信公众号,后台回复关键词“黑芝麻”,即可获取本期 PDF 资料。)

我们认为车规级的感知芯片,就像自动驾驶域控制器的大脑,作为智能驾驶中的核心的器件,它要具有以下几个特点:

首先,是高算力,不管做融合感知还是决策控制规划,都需要大算力的支持。

其次,低功耗也非常重要。不同于其他工业类或消费类的产品,汽车上的应用环境是非常恶劣的。比如在太阳照射下,车内温度会达到 60 – 70度,散热是非常大的挑战。所以芯片的功耗越低,发热量越小,也更容易实现量产。

作为自动驾驶感知芯片,必须支持多传感器接入

最后,车规级也是必要的条件。

作为汽车的自动驾驶芯片,必须要满足 ISO26262 汽车功能安全等级的要求;还要满足 AECQ100 汽车可靠性的要求。

2、黑芝麻华山系列感知芯片的路线图

黑芝麻智能科技创立于 2016 年,CEO 单记章先生在硅谷从业了 20 多年,也是世界知名的图像芯片公司 OV(Omni Vision)的创始团队成员。他本人拥有视觉感知领域 100 多项专利。

今天在欧洲和美国的很多车厂的视觉方面的技术,很早都是来源于 OV 最初的一些技术。

COO 刘卫红在汽车制造和零部件研发行业多年担任著名车企和零部件厂商的高管。

黑芝麻的核心团队,大多数来自于国内外知名的汽车和IC设计公司,平均拥有超过 15 年以上的经验。

我们的 IC 团队有超过 10 颗中大规模芯片的量产经验,这也是为什么我们能够在两年之内连续研发出华山一号和华山二号,并且都一次流片成功。

IP 层面上,公司研发了两个非常重要的 IP:

  • 一个是高性能图像处理 IP
  • 另一个是低功耗神经网络 IP

这两个 IP 可以保证自动驾驶系统在复杂的光线条件下,能非常清楚准确地感知外部的环境信息,然后让芯片的神经网络算力能够充分发挥作用。

华山二号芯片,整个性能功耗比达到了6 TOPS/W。

黑芝麻华山系列感知芯片的路线图,分为三个阶段:

1.去年发布的 A500 的芯片,是 28 纳米的工艺,能够提供 5 到 10 TOPS 的算力,功耗小于 3 瓦。

目前这款芯片已经有客户在使用。

2.今年我们又陆续发布了华山二号 A1000  A1000L

这两款芯片瞄准 L3 和 L4 自动驾驶。

A1000 是 16 纳米工艺,能提供 40 到 70TOPS 的算力。

它也是满足 ASIL-B 的汽车功能安全等级要求,在运行主流的神经网络时,整个芯片的功耗不到 8 瓦。

A1000L 是针对 L2.5 级自动驾驶场景的,相对于 A1000 而言,算力和接口类型要稍微弱一点。它的算力水平也达到了 16 TOPS,整个功耗大概只有 5 瓦。

3.明年我们将会发布下一代华山三号 A2000 的芯片,A2000 是一个非常高端的面向 L4 和 L5 自动驾驶的芯片,我们预计会采用 7nm 的工艺,算力水平会达到单颗芯片 200TOPS。

同时它也会支持 128b lpDDR5,带宽会达到几百个兆每秒,功能安全等级预计会达到 ASIL C。

黑芝麻 A1000,是一个扩展性很强的芯片,它的架构支持 L2 到 L4 的应用场景。

作为一个独立的 SoC,它也提供了非常丰富的的接口,可以实现芯片之间的级联,包括以太网接口、PCIE 接口等。

同时 A1000 也支持非常多的传感器接入,包括相机、激光雷达和毫米波等等,最多可以支持 12 路相机 1.2Gpps 的高动态图像处理。

3、ISO26262 汽车功能安全与 AECQ100 汽车可靠性设计

ISO26262 汽车功能安全等级越高,整个系统出错的风险就越小。所以我们开发芯片的时候,都希望把功能安全等级做高一点。

常常有人问我,汽车功能安全跟其他的安全,比如数据安全有什么不一样呢?

汽车功能安全主要是针对两种错误:

  • 一种叫 Random fault;
  • 一种叫 Systematic fault。

前者主要讲的是这个东西永久地损坏,后者是设计过程中引入了错误。

数据安全通常是指数据的完整性被破坏了,或者是数据传输过程中被窃取了。

虽然中文都叫安全,其实它是 Security,汽车功能安全叫 Safety,是不一样的。

黑芝麻从建立之初,我们从一开始就完全依照 ISO26262 的标准去建立安全团队,我们的安全团队成员都有相应的证书,我们的整个开发流程也符合 ISO26262 的要求。

除此之外,我们还设计了完整的安全架构,实现了非常多的安全机制,包括针对 memory 的保护,针对关键路径的 Redundency(冗余),这些都是非常有效的手段。

还有我们针对一些关键模块做的一些周期性的 LBIST 和 MBIST 检测,都能及时发现后面的 fault。

另外还实现了错误检测和终端错误上报的一些机制。

A1000 芯片的安全等级其实已经是非常高了,虽然我们是按照 ASIL B 设计的,实际上整个真正评估的话,是已经达到了 ASIL C 的级别。

说到汽车安全等级的话,就不能不说 ISO 26262 Certification 的 Flow,它分三个部分:

  • 一个是开发流程的管理,考察开发流程是不是符合 ISO26262 的要求;
  • 另一个是产品的安全机制,是不是满足 ISO26262 的评分标准;
  • 还有产品是否符合,是不是 ISO26262 Complaint 标准。

只有三个认证做完了,才是完全符合 ISO 26262 的产品。

A1000 目前是国内唯一完成 ISO26262 ASIL B-ready 认证的 AD 和 ADAS 芯片。

ISO26262 解决的是什么问题?——Random fault 和 Systematic fault 导致的功能安全的问题。

它提出了一系列的方法来解决 random fault,是通过设计一些 safety machinism 等。

如何解决 Systematic fault,是通过开发流程管理 Process Management 解决。

在车规级的设计里,AECQ 100 就是核心的设计标准。在 AECQ100 中有非常多的 Test group,包括压力测试,还有针对封装的测试等。

做芯片的同仁都会发现,做 Consumer 或者是工业类的芯片也会做这些测试,这有什么不一样呢?

AECQ100 作为车规级的质量标准,它的测试项,是贯穿芯片从一开始设计到完成,从头到尾都需要满足特定标准的 Qualification。

而其他的芯片,不管你前面是怎么设计的,采用何种工艺,只要最后通过了测试,就认为一款芯片是满足要求。这是车规芯片与其他芯片在测试上很大的差别。

从测试样品的数量来看,AECQ 100 测试的数量非常多,一般至少有三个 Lot,然后每个 Lot 可能要 77 颗,测试样品的数量要多很多。

AECQ100 的每一个测试项的设计,包括测试条件和测试时长都不是随便定义的,都是从产品的需求而来。不同的产品有不同的应用需求,它决定了不同的测试条件和测试方式。

4、车规级芯片的测试与制造

产品是否满足 AECQ100,主要是依靠设计和制造,而不是测试出来的。

为什么这么说?

在车规芯片的设计过程中,首先要有一个 Mission Profile 的概念,它会定义一些常见的内容目标:

包括这个产品设计使用多少年,每天准备用多少小时,每天开关多少次,工作的环境温度是怎么样的,这些都有详细的参数。

基于 Mission Profile,再考虑选择什么样的工艺,才能够满足 Mission Profile 的要求,以及选择什么样的 IP 才能满足要求。

在选择芯片产线时,也必须要选择符合车规的产线。

最后还要强调 Test Coverage 的问题。

Test Coverage 一般是在 CP 和在 FT 测试的时候才会考虑,但是这个问题不能等到 CP 和在 FT 测试时候才考虑,一定要在设计阶段就要去考虑。

因为做 FT 或者 CP 测试,实际上大部分情况是为了筛选生产的圆晶或者筛选封装好的芯片,一旦这个筛选的结果是不可信的,相当于会把有问题的芯片拿去量产,这是非常危险的。

为什么会造成把有问题的芯片拿去量产?

如果测试覆盖率不够高,就会存在逻辑有问题的芯片。例如损坏了,或者有问题的器件没有被测试出来,导致有问题的芯片被拿去量产之后商用,这是非常危险的。

做车规芯片必须要选择车规的产线,它需要通过各种的认证。车规产线不像工业类或者是消费类芯片的产线,整个生产的测试标准非常严格,会有更多的项目和测试点。

操作车规产线的工人,都是专人。同时,产线的文件记录也会保存非常长时间,并且是可追溯的。这样的措施,都是用来保证产线的生产良率,减少出错。

Foundry 晶圆厂之外,封装厂的车规产线和非车规产线也有很大的差别。

车规生产需要的材料可靠性远远高于非车规的产品,产线的生产记录会保留 20年,产线设备也是通过 AECQ100 认证。

总结一下 AECQ100,它主要是解决在设计生产、制造、测试环节,如何保证 DPPM 的问题。

这要求芯片采用车规的工艺进行设计,选择车规产线进行生产制造,设计中必须要满足必要的 ESD 等设计要求,包括在封装的设计过程中,也要考虑到车规要求。

测试环节应该选择合适的实验条件,必须要保证高标准。

4、当下自动驾驶量产对芯片的要求有哪些?

下面我们来说一下华山 A1000 系列 EVB 平台的情况,目前我们已经开始提供这个板子给客户使用了。

另外一块板子是FAD 硬件平台,目前是非常接近最终形态的车规级平台。

FAD 的板子大概 9 月份可以提供给客户试用。它采用了两颗 A1000,可以支持 L3 自动驾驶的等级。

每个 A1000 支持高达 12 路摄像头输入,也支持包括以太网接口、PCIe 等接口来与外部的 MCU 做连接。

随着自动驾驶等级不断提高,车厂和 Tier 1 对自动驾驶感知计算平台提出了非常高的要求:

第一个是算力

现在主要的问题是算力不太够。实际上真正能够提供大算力的芯片目前不多。目前看到可能NVIDIA和特斯拉的芯片算力会比较高一点,其他的芯片都还处于L2级别。

第二个是功耗

车上的应用环境比较恶劣,功耗越低,整个设备散热成本都会降很多。

第三个是对第三方算法开放

众多的车厂和Tier 1都在不断强调,这是一个非常大的发展趋势。

同时芯片必须要满足 ISO26262 和AECQ100,如果做不到符合 ISO26262 汽车功能安全设计的话,是不能用于量产车上的感知应用的。

要提供完整的工具链,以及从算法到芯片、硬件的全方位支持。

6、自动驾驶芯片未来的发展趋势

自动驾驶芯片现在的整个趋势是怎么样的?

2019 年 12 月,友商 N 公司正式发布了新一代用于自动驾驶和机器人的 SOC,并且宣布将于 2022 年在汽车上量产。

它是采用三星的 8 纳米的工艺(实际上是 10 纳米的工艺),有内置了 12 个 Arm 的高性能 CPU,提供 200 TOPS 的算力。目前它应该是算力最强的一个芯片了。整个芯片也是达到了 ASIL B 的等级。

我们看一下它的功耗:

如果是 L2 方案,单颗芯片即可实现。单相机和4相机的功耗分别是 15 瓦和 45 瓦,提供的算力是 30T 和 100 T,L3 方案是两个芯片组合,400T 130 瓦;L4 方案是 2000T,功耗是 750 瓦。

黑芝麻对于下一代车规级自动驾驶芯片的规划:

用于L4、L5 的自动驾驶的芯片 A2000 现在已经在进行预研,计划采用台积电 7nm 的工艺

相比友商,我们预计芯片将会带来更高的算力以及更低的功耗,和丰富的传感器接入,能够同时满足 L2 到 L4 的自动驾驶。

芯片计划于 2021 年底投片,到 2022 的 Q1 可能就开始可以供货给客户了,时间上基本上是与国外公司同步的。

P.S. 关注汽车之心微信公众号,后台回复关键词“黑芝麻”,即可获取本期 PDF 资料。

本文为汽车之心原创文章,作者:汽车之心,如需转载,请联系授权。违规转载法律必究。

发表评论

电子邮件地址不会被公开。 必填项已用*标注