分布式功能安全的创新与突破 2024

WhitePaper能在考虑潜在危险与运行情境下的所需安全风险降低程度。了一个风险模型，该模型考虑了多个因素，包括在特定运行情况下遭遇危险的不同级别的安全风险。大致而言，ASIL-B如CPU或GPU核。此外，还有一系列目标≥90%≥99%≥60%≥90%身并不能确保安全，但所有系统©ImaginationTechnologies2以至于在很多情况下，两次执行并对比输出结果的方法仍然常见。在其他情况下，工程退而求其次，认为足够多的故障会自然变得可观察，并且是可控的，从而使故障覆盖率并行运行，并进行周期对周期的输出比较。这种方法的面积增加通常是：在缓存和CPU核之间的互连上，为了奇偶校验或ECC，除了用于比较两个核心输出结果的名义上©ImaginationTechnologies3Figure1:Figure1:GPUMicrostruct>><Interconnect<InterconnectProcessingclusterProcessingclusterChecksumChecksumChecksumChecksumProcessingclusterProcessingclusterL1缓存受到ECC（错误检查和纠正）的保安全关键的工作负载在两个独立的集群上运行，这两个集群共享L1缓存。处理逻辑从L1缓存读取的数据累积的校验和，以及处理逻辑将数据写回L1缓存后的校验和，用于验证两个工作负载的结果是），负载部分的运行时间翻倍。由于L2和L1缓存内存以及互连在两次运行之间共享（数据不会被两次提取到L2/L1缓存中），因此总体上的功耗和面积影响不会翻倍，但影响仍然显©ImaginationTechnologies4正如术语所指代的，为了达到预期的效果，安全机制分布在核的各个部分中某一基本单元的功能层和行为层上的重要表现。因此，与执行两次方法相比，除了。险故障模式：总线：），处理：久性硬件故障，也要应对瞬态错误导致的存储位翻转，比如由偶发辐射或电源噪声引期以来，ECC（错误检查和纠正）和奇偶校验机制已被用于保护数据，它们对此类任务依然非常适对于总线（2），仅仅需要检测在总线上传输过程中被翻转的位。对于这种情况，同样可以实施ECC一个设计可能通过结合使用ECC、奇偶校验和CRC，保护其约50%的晶体管，因为典型的处理核心真正的挑战在于处理逻辑（3）。由于处理逻辑与总线不同，它会改变数据，因此静态的ECC和奇偶©ImaginationTechnologiess着手解决的问题：是忽略逻辑部分，寄希望于通过将内存和总线覆盖到一个能检测到99%所有故障的水平，然后通过论证那些未被覆盖的故障可能会导致可检测的错误这是一种无法令人满意的处理方式，因为通常整个赖于执行两次的实现来解决；即便无需这样做，客户也必须相信有多少逻辑错误©ImaginationTechnologies6因此，面对处理逻辑中错误高效检测的挑战，我们的解决方案如下：在任何通过多个相同电路实例实现的并行处理中，理论上，通过配对相同的电像GPU和CPU向量单元这样的并行算术处理阵列的作负载的性质，它们很少在一个超过几微秒的时间窗口内被完全利用。如果能够检测到这种安全对方法的一个相关属性是，具有空闲周期检测的安全对中的处理逻辑可以被为了保证检测出安全对中的大多数故障，有必要运行多个测试向量，并使用基于©ImaginationTechnologies7最终，设备安全概念规定必须在硬件故障检测的一半时间之内完成所需覆盖率于ASIL-B应用场景，这个限制设定在大约100毫秒左右。因此们所有的安全对向量集，我们就能保证不会发生任何故障，只要该故障被向量集中的至只需几千个向量即可获得80%-90%的单点故执行完整集合只需占用50毫秒时间预算的一小部分。当与ICS结合时，这意味着在这些特性成立的情况下，对任务模式工作负载吞吐量的影响为零，功耗仅略微增加。此外，向量生成、为了确保所有针对特定安全对的测试向量都能在所需时间窗口（本例中为50毫秒）内供必要的硬性保障，如果空闲周期不足，我们会引入额外机制来强制产生所需的空闲周所有向量都在窗口内完成。这一逻辑同样开销很小（主要是控制路径上的开销），并且ASIL-Bhardwarefaultdetectionwindow:100ms>Safety<>Safety0ms50ms100ms150ms200ms250ms每50毫秒发出测试向量量组内的AS被检测到秒时间窗口中最后，我们制定了一条规则，即每当一个或两个处于空闲状态的安全对中的电式周期时，整个向量集必须在检测时间窗口的一半时间内运行完毕，这个检述。然而，一旦因为触发这条规则而开始执行向量，我们直到向量完成窗口结束前都这条规则。这意味着大部分时间处于空闲状态的电©ImaginationTechnologies8当存在多个可以形成安全对的并行单元，但它们很少处即便存在足够的实例和足够的空闲周期，但由于某些特定电路对于面积和功耗相对较小的功能，通常最好的做法就是简单地复制这些功能，并在每它们的结果。当测试电路中的故障可能真正危及安全案例时（例如，在运行主处理核键固件的处理器中），这尤其适用。由于每周期都会进行复件间的比较，因此不需要电路都可以与另一个执行相似逻辑功能的电路配对，后者在较低的功耗和面积成是无法检测一小类故障。这些方法大致可以分为两类，一类永远不会给出假阳性根据近似类别的不同，可以提供的保证类型也会有所变化，因此任何此类近似技术的适特定安全概念和安全要求的背景下进行评估。这里与在安全关键任务中使用神经网络行关系。神经网络的固有随机性，加上围绕神经网络控制器做出的决策可解释性的挑©ImaginationTechnologies9混合分布式安全机制来达成ASIL-BT下图展示了Imagination在针对符合ASIL图3：对比不同方法对CPU达到ASIL-B资格认证在BaselineCPUCPUwithDCLSCPUwithDSMsCache/TCMCache/TCMInterconnectCache/TCMCache/TCMInterconnectInterconnect(Logic)WithsafetypairsCoveredwithotherDSMtechniquesUnprotectedSafetypairoverheadCache/TCMInterconnect(Logic)Core1(Logic)LockStepLogicAreasaving需求。因此，GPU的主要节省不是面积，©ImaginationTechnologies10混合分布式安全机制来达成ASIL-B对于CPU而言，这不仅代表了显著的面积节省（通常大于50%，具体取决于关联的具体配置中C），下表给出了一种代表性情景，对比了一个未©ImaginationTechnologies11混合分布式安全机制来达成ASIL-BDCLS1.75倍的ECC开销用于1.15倍的ECC开销用于安全配对之外的DSM(），©ImaginationTechnologies12混合分布式安全机制来达成ASIL-BDCLS1111111111111©ImaginationTechnologies13Conclusion采用分布式安全机制是一种更为智能的方法，通过