制造5级汽车芯片的挑战

在汽车领域，这是一个令人兴奋的时代，尤其是在围绕自动驾驶的所有活动以及实现完全5级自动驾驶的道路上。技术是复杂的，生态系统似乎一天比一天复杂，从工程角度来看，安全地模拟自主系统使这成为一个非常迷人的领域。实现第5级自动驾驶的核心是充当指挥硬件和软件乐队的电子组件。这个机会有多大?

随着电子功能的不断整合，Semico Research估计，到2023年，汽车芯片的整体市场将达到730亿美元，其中9180万个专用于ADAS的AI芯片。

半导体工程最近讨论了这些问题在会议小组会议在驱动器世界大会德拉科汽车公司首席执行官迪恩·德拉科;David Fritz，高级自动驾驶汽车SoC负责人Mentor是西门子旗下的企业；Rahul Gulati，首席工程师Qualcomm；Burkhard Huhnke，公司汽车业务副总裁Synopsys对此；以及戴尔全球首席技术官Bala Rajendran。以下是那次讨论的节选。

(从左至右):巴拉·拉金德兰，迪恩·德拉科，安·斯蒂福拉·穆茨勒，伯克哈德·胡恩克，大卫·弗里茨，拉胡尔·古拉蒂。来源:半导体工程

SE: 5级自动驾驶是一项非常复杂的工程挑战，涉及硬件、软件、系统，以及如何验证所有元素。随着汽车生态系统朝着这个方向发展，你认为最重要的问题是什么?

Drako:我们都知道，第5级自治真的很难——真的、真的、真的很难。我们可能要过一段时间才能到那里。这可能是我们在这十年，甚至可能是下一个十年面临的最大的工程问题之一。我把它分成三个部分。达到第5级自主的第一个部分是阅读感官输入。有很多视频，很多激光雷达，很多输入，你必须了解环境。你必须导航，并做出决定，关于汽车应该去哪里，如何驾驶汽车，以及诸如此类的决定。一旦汽车掌握了一些基本的驾驶技能——这真的很难——第二部分就更难了，那就是处理人们做的奇怪而疯狂的事情。例如，以球在汽车前方弹跳、孩子摔倒、汽车闯红灯等意外行为为例。所有这些不符合正常模式的事情都非常危险，非常意外，而且可能很快发生。 You’ve got to handle all of these corner cases, in the code, in software. In fact, what gets very interesting is that the autonomous cars that are being driven around today are very slow and very cautious because that makes the problem a little easier. But in some situations, the decision is going to be actually to do the opposite of that, where you’re going to have to quickly do something in order to avoid an accident or avoid hurting somebody. It’s going to be a long time before we get to that level of software. The third element is that you have to have the mechanical and software components that the first two components give the commands to, and can then faithfully execute them. Here, you need a mechanical system, and a software system that given the decision made by the previous two components, can accurately move the car, adjust the car, drive the car, stop the car in all kinds of adverse conditions — snow, ice, weather, rain, low visibility, high visibility, even potentially when some components of the car are not working.

弗里兹:当我开始研究自动集成电路，以及它将需要什么时，很明显有一些主要的部分是缺失的。首先，你必须有一种处理感知和感知的方法，所以西门子出去收购了一家公司。然后，你需要决策，人工智能，所以西门子收购了Mentor Graphics。还有一家公司用一维物理做驱动建模，他们收购了(LMS)。在过去的十年里，他们已经花费了104亿美元，所以这不是简单的事情。这不是任何公司都能做到的。首先，如果我们是SoC工程师，我们正在考虑这个问题SoC，我们忘记了这一点，因为自动驾驶的输入是如此复杂，必须做出的决定也是如此复杂。你必须考虑到环境和驱动。只有这样，你才能知道在整个车辆的环境下，你的操作和决策是否正确。我们不能再拿着芯片说，‘我用过UVM，我输入了一些输入，我计算出正确的输出。“它已经不管用了。我们不需要再这样做了，尤其是在AV领域。约束随机测试，蒙特卡罗模拟，这就是我们正在做的。这就是Waymo正在做的。他们最近模拟行驶了20亿英里。我的问题是，这些里程中有多少是重复的你可以做一些不同的事情?最后一点，功能整合是不可避免的。我们在每个行业都看到了这一点。如果你有一个大型的计算平台，当竞争开始时，我们就开始往里面扔东西，我们开始往里面加东西;这是一个经济功能，它正在发生。当你开始考虑这三件事对AV IC设计的影响时，它应该改变你使用的方法，不仅是测试，构建，硬件和软件之间的交互，AI在这个过程中实际上适合什么?我们如何有效地进行推理呢? All of those are things that we have to consider at the top level? And then once you have all that, how do you verify correct operation? And you want to do it before you put the thing on the road not after you put the thing on the road and there’s methodologies for doing that.

Gulati:我想谈谈影响可用于实现自动学习系统的SoC架构的前三个因素。这在很大程度上是整个系统架构的一个因素。我是否有一个性能SoC加上一个典型的虚拟运动控制单元，这是最高安全完整性ASIL-D。我们是否在性能SoC上分配了一些安全要求?如果我们要看看前三个股权要求，就这些而言，对于AV中任何给定的SoC都是绝对的、不可谈判的要求，那就是网络安全，功能安全，以及每瓦性能。如果您开始分解这些需求，它们将引出几个子需求。如果我们说我们需要成为ASIL-B，这就要求组织进行安全关键型SoC开发。你有正确的流程吗?你有能力做SoC架构吗?这也伴随着组织中安全文化的需要。组织是否有能力执行安全关键型开发所需的所有生命周期活动?对于那些没有进入汽车安全数字世界的人来说，这是一个根本性的变化，对于那些现在想要交付或打算交付的人来说。从功能安全的角度来看，有一些分支必须满足要求。在网络安全方面，如果恶意攻击者能够控制设备，所有的安全都将被排除在外。 In fact, all of that functional safety will actually work against you. It will do the wrong thing very correctly. That’s what functional safety will allow all of these malicious actors to perform. As far as performance per watt, we need all the hardware accelerators, but how many TOPS (tera operations per second) per watt? There are levels of expectations from OEM 1 to OEM 2, then a third OEM 3 says whatever you provide is insufficient because they don’t know what their requirements are, so we are learning as we go along.

最后一点是需要标准．标准通常反映了当前的技术水平，但在这些领域并不存在。随着技术的引入，标准也在制定。所有这些大家都在谈论的神经网络，最终可能投入生产的东西，是现在还没有的。这将是明天的网。这将是更有效的在功率和性能方面，所以让我们使用它。此外，从硬件架构的角度来看，我们必须足够灵活，不要把自己束缚在网络的一个特定实现上。在标准、准则和独立评估方面，功能安全标准指出了评估和独立评估的必要性，但我们仍然需要一个总括性的文件。

哈恩科:我就是一个证明，从一个尘封的老行业到EDA行业。我们以前从来没说过话，也许这就是问题所在。我们应该这么做。也许我们应该谈谈集成电路设计的可能性，以及汽车对集成电路和速度的要求是什么。如果你看看这个设施之外，你会看到所有这些原型都在这个地区行驶，世界上没有人真正准备好运行4级和5级。为什么?因为这仍然是一种把计算机放在主干上的方法。有一家制造商已经进入了下一个阶段，在更多的空间里建造并行内核。这是内部功能安全观察的主从原则。真正重要的是将一切都更贴近芯片设计，这是可能的，并建立安全项目-任何可用的，以确保汽车的要求首先在芯片设计中，以降低成本，减少组件，并实现全面的安全和安全设计。 Coming from this old traditional world, the development plan of a car has five domain controllers. That takes 3 to 4.5 years from concept to start of production. The tape out time of a car is 4.5 years. Tape out time of a silicon chip is maybe 1.5 years. If you’re able to synchronize that perfectly, then you have a chance actually to reach, finally, the product on the road. In mass production, we’re talking about multi-thousands per vehicle. What’s required? We have to talk with our OEMs in the early phase of the concept. This is when the chips are being designed. And this is when you can design all the requirements into the chip, which includes security and safety. It’s important to note that we already have models to verify and debug everything. Let’s use those models to co design hardware and software as early as possible. Shift left tools — let’s use our virtual models. We have great relationships with every semiconductor company to build these centers of excellence to provide this model so that you can learn software testing even before hardware is ready, and so you can increase coverage, you can prepare the test cases, and you can launch very well designed software before even hardware is available. This will be going successfully and then you can roll it out. This is the robustness of a process that is required in the most complex ecosystem in the world.

Rajendran:我的立场很简单。用于自动驾驶的人工智能芯片仍处于起步阶段。这意味着这实际上是一个令人兴奋的时刻，我们实际上可以做非常不同的事情。我们过去做事的方式是愚蠢的，因为我已经在这个行业工作了将近25年，每次我看到EDA工具的问题时，我都想知道他们为什么这样做。肯定有更好的办法。由于我们的创新速度非常快，似乎每个部分都在变化，包括设计工具。甚至连标准都不到位。所以一切都在进化。为了实现这一点，我们完全处于一个狂野的西部世界。这就是为什么我们要稍微改变一下，我们需要打破一些关于什么行得通，什么行不通的旧思维方式。 We need to move a little bit faster. For any chip design project, the cheapest spot is basically the tools and infrastructure. They are the cheapest spot, but the most expensive part of what we’re actually working on. Yet companies think that they shouldn’t spend more than 2% to 5% of their total R&D budget on tools.

SE:为了推进这一目标，半导体行业和汽车生态系统中有很多不同的活动。我们今天应该关注什么?

巴拉我们在推理上花了很多时间。对于老年人人工智能这完全是受到了全球设计团队在学习方面所做的大量工作的影响。在加州产生的模式在中国或世界其他地方是行不通的。但他们都必须在一个非常全球分布的设计基础设施中工作，他们在巨大的基础设施中传输的数据，这些规模的东西，是以前没有做过的。这必须与当前的推理芯片，也就是你所说的人工智能芯片联系起来。硬件和软件都需要更多地接受协同设计的概念。协同设计已经存在很长时间了，但它主要是一种理论体验。

哈恩科:从整体角度来看，它可以归结为功能安全、安全性和可靠性。这是整个行业的三个高价值问题。你怎么把它设计到集成电路中?这需要构建块之间的协作，并导致应该使用哪些标准块的问题?可以添加到其中的特定于客户的块是什么?AI方面是一个宽泛的关键词，但它的含义是什么?实际上，它只是一个加速器，用于使用视觉、图片和进行嵌入式视觉处理。但是质量，准确性和要求是什么呢?最后但并非最不重要的是，我们需要非常准确地定义在半导体设计领域中实际允许的时间故障率。

Gulati:可追溯性是另一个需要考虑的因素，这对于自主芯片来说是非常独特的，因为至少在我们为手机设计芯片的时候，并没有真正令人信服的理由去追踪任何芯片直到产品，因为大多数芯片的寿命都是2到4年。当涉及到实现一辆汽车时，至少需要15到20年的时间，所以一直跟踪该产品直到回归，即bug被引入的地方，这是一个巨大的挑战。

Drako:我读过的每一份半导体数据表上都有一个小小的免责声明，说这种设备不适合用于救生设备。每个人都可能在半导体行业创造的每一张数据表上读到过这一点。现在我们不能有这样的免责声明，因为基本上我们将使用的芯片和软件不是一个救生设备，而是一个潜在的危及生命的设备。所以我们基本上要回顾所有的设计方法和所有的东西，把它提升到医院级别的设备，这是一项艰巨的任务。

观众:如果你从功能安全的角度来看这个问题，这些标准会导致安全元素脱离环境的发展，也就是说，它不是在特定模型的环境中开发的。它不是为奔驰、宝马、奥迪或通用汽车设计的。所以半导体供应商已经在系统层面上做出了假设，半导体供应商有责任为系统集成商记录这些假设的使用情况。作为一个系统集成商，我有责任通读所有这些使用假设，并确保我已经建立了这些假设的有效性。如果其中任何一个失效，这意味着系统级别的更改和对最终系统的广泛影响。这就是每个半导体供应商必须非常明确地说明这些使用假设的地方。这一切都在过去十年里发生了变化。半导体供应商现在接受了他们正在被用于安全关键应用，他们明确地把这作为安全手册的一部分。随着我们的发展，我们会看到越来越多的，更好的使用假设被记录在这些安全手册中。

弗里兹:你们说的都是对的，但我认为这些问题正在得到解决。更大的挑战，也是我们真正需要思考的是，为什么我们现在的自动驾驶汽车原型会有这么多伤亡?为什么会发生这种情况，我们要做些什么来阻止这种情况的发生?如果你真的看看我们在炒作曲线的过程中所处的位置，正如研究表明的那样，我们正处于“幻想破灭的低谷”，这很好，因为这意味着我们已经到了可以真正开始实现预期的地步，然后从那里开始，所有相关的人都能产生收入。这是美妙的。但在手机市场上，你必须通过认证程序才能将手机销售到运营商的网络上。对于汽车来说，我们甚至没有类似的东西。我们需要一个可以被接受的过程。

Drako:碰撞测试呢?

弗里兹:碰撞测试与5级自动驾驶有很大不同。

SE:还有一些其他行业已经在模拟和验证方面做了很多工作，即航空航天和国防。我们是否从这些行业中借鉴了足够多的东西来验证、验证、模拟等等，这样我们就不会白费力气了?

Drako:可能不会。

哈恩科:事实上，航空航天和国防多年来一直是驱动因素。是的，军事期望和要求如此之高，以至于成本也极高。现在我们来自一个低成本的行业。汽车行业已经训练了几十年，以提供低成本的结果。现在我们必须接近对方，达成妥协。我们将航空航天、国防和SAE结合在一起，在标准上进行重叠，因为这正是我们所需要的。让我们向双方学习。这正在发生，但我们可以做得更多。

Gulati:我们现在确实有asil级的部件，它们被用于所有这些安全关键系统中，如果没有asil级的部件，它就会与asil级的部件结合在一起。

Drako:你应该比较一下福特卡车和波音卡车的价格。

观众:让我向你表达完全相反的观点，因为我在谷歌专车项目Waymo工作过一段时间。我不是在为他们说话，但谷歌的理念——在Waymo中也有一点——是买你能买到的最不可靠的零件，这真的意味着买最便宜的零件。谷歌在构建自己的服务器群时，他们没有购买企业级的，而是购买了绝对最便宜的部分，预计每个部分都会定期出现故障，设计为运行设计防御功能齐全，而不仅仅是操作。这是那些和你来自不同世界的人的哲学。有很多争论，如果这是正确的哲学，不要试图获得军事级别或救生级别的组件，不要从SoC的基础上考虑，而是要考虑整个系统的可靠性，包括所有的冗余。冗余并不意味着两个并行核步调一致。冗余意味着如果其中任何一个失败了，其他的将会恢复。

弗里兹:这真的是两个截然不同的世界的碰撞。

Drako:这很有趣。直到大约10到12年前，软件开发过程都是制作软件，然后进行测试。我可以假设计算机将正常运行，磁盘驱动器将在那里，当我存储一些东西时，它将被存储，当我要求取回它时，它将返回。您在编写软件时假设了这一点。在当今的软件开发世界中，您不再这样假设。你假设网络是一团乱麻，任何东西都可能无法工作。所以每个小组件都是防御性的，假设任何网络连接和连接之间可能会消失。

Gulati:从本质上讲，这是一个系统工程问题，从单个元素的单个功能来看，突现属性可能并不明显。这时我们把它们聚集在一起，观察它们的出现。从系统工程的角度来看，我们如何处理这些突发事件。

弗里兹:让我们来看看汽车工业的发展历程。首先，这是一个非常复杂的生态系统。有各种各样的合作关系。我花了很多时间在oem和Tier 1上。多年来，这个过程一直是这样的，‘这是主要的需求，我们分解它们，分解再分解，直到我们得到一些原子的东西。我们试图建立模型。在这一点上，MATLAB主要是机械的。我们按下一个按钮，我们生成C代码，然后把它放在PCB上的16位微控制器上，然后称之为完成。希望你做的都是正确的所以当你把它重新组合到系统中进行积分时。生活是美好的。’ But it turns out that it’s never good. You still have half the project ahead, trying to solve the integration problems in a hurry. You miss a model year, you’re out of business, so the pressure is intense. What we’re saying is if they treated that process, and used some of the things that we’ve learned in semiconductor over the last 20 years, some of those problems are now more manageable. The solutions are more practical. That’s why we’re seeing a lot of discussions between OEMs, and the Tier 2s — the Intels, the Qualcomms, the Nvidias.

哈恩科:好的方面是正在构建接口。实际上，我们在说不同的语言。你需要6个月的时间才能理解EDA，反之亦然，但之后就会有进展。它一直是一个专注于机械工程的行业，现在它正在将核心竞争力转移到硬件和软件堆栈上。我们将看到，10年后，大众集团和其他任何公司都将继续生存下去。这并不是说他们会退出这个行业。现在的情况是，这种能力的转变需要专家，这个扰动模型从最小的SoC到车辆集成。

弗里兹:这是需要应用的坚实工程。

有关的故事
自动驾驶汽车正在重塑科技世界
甚至在全自动驾驶汽车上路之前，汽车行业的各个层面就已经发生了重大变化。
一辆车测试多少英里才安全?
模拟和测试可以提高安全性，但这需要一个标准的框架和定义。
如何实现功能安全自动化
与会专家:既有老牌公司，也有新玩家，都渴望在汽车领域发挥作用，那么汽车行业是如何走向自动化的呢?(第一部分)
在汽车中构建高效的推理引擎
如何快速建模芯片，包括极端情况。
汽车知识中心
头条新闻，博客，视频，白皮书