CN116089158A - 功能安全显示控制器及功能安全显示控制系统 - Google Patents

Abstract

本申请提供一种功能安全显示控制器及功能安全显示控制系统。所述功能安全显示控制器通过通信线路与中央控制器、存储器和显示器相连，其中，所述功能安全显示控制器的至少一个内部模块设置有对应的功能安全检测单元，所述功能安全检测单元用于检测对应模块的随机错误。所述功能安全显示控制器能够与中央控制器、存储器和显示器组成功能安全显示控制系统，该系统可以兼顾研发成本、风险控制和系统面积开销等问题。

Description

功能安全显示控制器及功能安全显示控制系统

技术领域

本申请属于功能安全技术领域，涉及功能安全显示控制，特别是涉及功能安全显示控制器及功能安全显示控制系统。

背景技术

功能安全(Functional Safety，Fusa)是指通过降低系统风险，以便在发生电气或者电子故障时能够安全运行。随着越来越多的产品在设计中融入复杂的微电子和软件，在系统层面评估和实施功能安全变得越来越具有挑战性。针对汽车安全领域，ISO26262规定了提升汽车电子产品功能安全的国际标准。显示控制系统是车载系统必不可缺的一部分，随着智能驾驶的快速发展，车载显示控制系统变得更加复杂，电子电气化程度越来越高，实时检测和上报电路异常成为车载显示控制系统迫切需求。

由于ISO26262标准不断更新完善，汽车功能安全技术仍在不断发展阶段。传统功能安全显示控制系统需要软件和硬件共同参与以达到功能安全标准，例如通过软件产生软件测试库(Software Test Library，STL)，硬件响应STL并执行，硬件内部比较电路将STL执行结果与期望结果比较，实现检测电路中的永久性错误。软件测试序列需要软件研发人员管理功能安全测试序列和常规显示配置命令之间的切换，以达到在正常显示期间检测的目的。这种方式对系统性能要求较高且实时性检测效果不理想，同时也极大地增加了系统复杂度。此外，STL自身需要通过ISO26262标准认证。相对于普通显示控制系统，这种功能安全显示控制器系统需要投入6～8倍以上的产品研发周期，软硬件同时大量改动也大大增加了系统风险。

另一种功能安全显示控制系统实现不需要软件参与认证，只需要硬件参与认证。此种方式能够降低研发投入和研发周期，相对于普通显示控制系统，这种功能安全显示控制器系统需要投入3～4倍以上的产品研发周期，但是该方法通过内部较大粒度模块级别简单复制加上比较电路实现检测内部硬件电路发生的由电子电气故障产生的随机错误。这种方法与不带功能安全电路相比，需要2～2.5倍的面积开销。

综上，如何在保证研发风险可控、降低研发周期、减少研发人员投入的情况下，设计一种能够通过ISO26262标准认证的功能安全显示控制系统成为本领域技术人员亟需解决的难题之一。

发明内容

本申请的目的在于提供一种功能安全显示控制器及功能安全显示控制系统，用于解决现有技术中符合ISO26262标准的显示控制系统难以兼顾研发成本、风险控制和系统面积开销的问题。

第一方面，本申请实施例提供一种功能安全显示控制器，所述功能安全显示控制器通过通信线路与中央控制器、存储器和显示器相连，其中，所述功能安全显示控制器的至少一个内部模块设置有对应的功能安全检测单元，所述功能安全检测单元用于检测对应模块的随机错误。

在所述第一方面的一种实现方式中，所述功能安全显示控制器包括寄存器解析模块，所述寄存器解析模块设置有第一功能安全检测单元和第二功能安全检测单元，其中：所述第一功能安全检测单元用于检测所述中央控制器与所述功能安全显示控制器接口以及所述功能安全显示控制器与内部使用终端的配置数据的随机错误；所述第二功能安全检测单元用于检测所述中央控制器与所述功能安全显示控制器之间控制电路发生的随机错误。

在所述第一方面的一种实现方式中，所述第一功能安全检测单元通过对配置总线内容进行奇偶校验来检测所述中央控制器与所述功能安全显示控制器接口以及所述功能安全显示控制器与内部使用终端的配置数据的随机错误；和/或所述第二功能安全检测单元通过对配置总线进行超时监视来检测所述中央控制器与所述功能安全显示控制器之间控制电路发生的随机错误。

在所述第一方面的一种实现方式中，所述功能安全显示控制器包括图像处理模块，所述图像处理模块设置有第三功能安全检测单元、第四功能安全检测单元和第五功能安全检测单元，其中：所述第三功能安全检测单元用于检测所述功能安全显示控制器内部流水线数据信息发生的随机错误；所述第四功能安全检测单元用于检测所述功能安全显示控制器内部流水线之间组合电路发生的随机错误；所述第五功能安全检测单元用于检测所述功能安全显示控制器发生的永久性电路错误。

在所述第一方面的一种实现方式中，所述第三功能安全检测单元通过对时序电路进行奇偶校验来检测所述功能安全显示控制器内部流水线数据信息发生的随机错误；和/或所述第四功能安全检测单元以每级流水线为最小单位来检测所述功能安全显示控制器内部流水线之间组合电路发生的随机错误；和/或所述第五功能安全检测单元通过硬件测试库来检测所述功能安全显示控制器发生的永久性电路错误。

在所述第一方面的一种实现方式中，所述功能安全显示控制器包括显示接口控制模块，所述显示接口控制模块设置有第六功能安全检测单元、第七功能安全检测单元和第八功能安全检测单元，其中：所述第六功能安全检测单元用于检测所述功能安全显示控制器发生的永久性电路错误；所述第七功能安全检测单元用于检测所述功能安全显示控制器内部像素流水线控制电路发生的随机错误；所述第八功能安全检测单元用于检测所述功能安全显示控制器与所述显示器之间的显示数据发生的随机错误。

在所述第一方面的一种实现方式中，所述第六功能安全检测单元通过硬件测试库来检测所述功能安全显示控制器发生的永久性电路错误；和/或所述第七功能安全检测单元通过像素数量监视来检测所述功能安全显示控制器内部像素流水线控制电路发生的随机错误；和/或所述第八功能安全检测单元通过像素内容循环冗余发送端编码的方式来检测所述功能安全显示控制器与所述显示器之间的显示数据发生的随机错误。

在所述第一方面的一种实现方式中，所述功能安全显示控制器包括访存控制模块，所述访存控制模块设置有第九功能安全检测单元、第十功能安全检测单元、第十一功能安全检测单元和第十二功能安全检测单元，其中：所述第九功能安全检测单元用于检测所述功能安全显示控制器发生的永久性电路错误；所述第十功能安全检测单元用于检测所述功能安全显示控制器与所述存储器之间的像素传递数据通路发生的随机错误；所述第十一功能安全检测单元和所述第十二功能安全检测单元用于检测所述功能安全显示控制器与所述存储器之间的控制通路发生的随机错误。

在所述第一方面的一种实现方式中，所述第九功能安全检测单元通过硬件测试库来检测所述功能安全显示控制器发生的永久性电路错误；和/或所述第十功能安全检测单元通过数据总线数据内容循环冗余接收端解码检测的方式检测所述功能安全显示控制器与所述存储器之间的像素传递数据通路发生的随机错误；和/或所述第十一功能安全检测单元通过对数据总线进行超时监视来检测所述功能安全显示控制器与所述存储器之间的控制通路发生的随机错误；和/或所述第十二功能安全检测单元通过对数据总线协议进行监视来检测所述功能安全显示控制器与所述存储器之间的控制通路发生的随机错误。

在所述第一方面的一种实现方式中，所述功能安全显示控制器包括内部存储模块，所述内部存储模块设置有第十三功能安全检测单元，其中：所述第十三功能安全检测单元用于检测所述内部存储模块发生的电路随机错误。

在所述第一方面的一种实现方式中，所述第十三功能安全检测单元通过误差校正码来检测所述内部存储模块发生的电路随机错误。

在所述第一方面的一种实现方式中，所述功能安全显示控制器还包括中断控制模块，所述功能安全检测单元检测到的永久性错误和/暂时性错误通过所述中断控制模块以中断的形式上报至所述中央控制器。

在所述第一方面的一种实现方式中，所述中断控制模块包括第十四功能安全检测单元，其中：所述第十四功能安全检测单元用于检测并纠正功能安全中断通路发生的电路随机错误。

在所述第一方面的一种实现方式中，所述第十四功能安全检测单元通过三模冗余方式来检测并纠正所述功能安全中断通路发生的电路随机错误。

在所述第一方面的一种实现方式中，所述功能安全检测单元还用于检测所述功能安全显示控制器与所述中央控制器之间的配置总线发生的随机错误、所述功能安全显示控制器与所述存储器之间的图像数据总线发生的随机错误和/或所述功能安全显示控制器与所述显示器之间的显示数据总线发生的随机错误。

第二方面，本申请实施例提供一种功能安全显示控制系统，所述功能安全显示控制系统包括中央控制器、存储器、显示器以及本申请实施例第一方面任一项所述的功能安全显示控制器。

如上所述，本申请实施例中提供的功能安全显示控制器与中央控制器、存储器和显示器通信相连，共同组成功能安全显示控制系统。该系统是一种符合ISO26262标准的硬件功能安全显示控制系统，能够兼顾研发成本、风险控制和系统面积开销等问题。

此外，本申请一些实施例中提供的功能安全显示控制器能够根据电路功能和类型细分对应的功能安全检测机制，其面积开销可控，为一种可继承、可扩展的方案。

再者，本申请一些实施例中提供的功能安全显示控制器与中央控制器、存储器和显示器组成的功能安全显示控制系统，不需要软件参与认证，且能够实时检测并上报电路发生的电子电气造成的随机错误，在具有更高实时性、安全性和可靠性的同时，能够极大降低产品研发成本，加快产品研发进度，降低开发风险。相较于普通显示控制系统，该功能安全显示控制系统只需要1.2～1.4倍的面积开销即可检测90％以上的电路随机错误。

附图说明

图1显示为本申请一实施例所述的功能安全显示控制系统的结构示意图。

图2显示为本申请一实施例所述的功能安全显示控制系统的结构示意图。

图3显示为本申请一实施例所述的功能安全显示控制系统的结构示意图。

元件标号说明

1 功能安全显示控制系统

11 中央控制器

12 功能安全显示控制器

121 寄存器解析模块

1211 寄存器解析单元

122 图像处理模块

1221 图像处理单元

123 显示接口控制模块

1231 显示接口控制单元

124 访存控制模块

1241 访存控制单元

125 内部存储模块

1251 内部存储单元

126 中断控制模块

1261 中断控制单元

13 存储器

14 显示器

Fusa01 第一功能安全检测单元

Fusa02 第二功能安全检测单元

Fusa03 第三功能安全检测单元

Fusa04 第四功能安全检测单元

Fusa05 第五功能安全检测单元

Fusa06 第六功能安全检测单元

Fusa07 第七功能安全检测单元

Fusa08 第八功能安全检测单元

Fusa09 第九功能安全检测单元

Fusa10 第十功能安全检测单元

Fusa11 第十一功能安全检测单元

Fusa12 第十二功能安全检测单元

Fusa13 第十三功能安全检测单元

Fusa14 第十四功能安全检测单元

具体实施方式

以下通过特定的具体实例说明本申请的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本申请的其他优点与功效。本申请还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本申请的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

需要说明的是，以下实施例中所提供的图示仅以示意方式说明本申请的基本构想，遂图式中仅显示与本申请中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

本申请以下实施例提供了一种功能安全显示控制系统。图1显示为本申请实施例提供的功能安全显示控制系统1的一种硬件架构示意图。如图1所示，本申请实施例提供的功能安全显示控制系统1包括中央控制器11、功能安全显示控制器12、存储器13和显示器14。功能安全显示控制器12通过通信线路与中央控制器11、存储器13和显示器14通信相连。

中央控制器11用于向功能安全显示控制器12发送来自显示控制器驱动的显示配置命令，接收并处理来自功能安全显示控制器12的中断信息。

功能安全显示控制器12用于接收来自中央控制器11的配置命令，并通过向存储器13读取图像数据进行图像处理以产生标准显示接口信号，且将标准显示接口信号发送至显示器14，其中，该标准显示接口信号包括图像信息和控制信息。

存储器13用于存储图像数据以供功能安全显示控制器12读取。本申请实施例中，存储器13例如可以为随机存取存储器，只读存储器，快闪存储器，硬盘，固态硬盘，磁带(magnetic tape)，软盘(floppy disk)，光盘(optical disc)及其任意组合。

显示器14用于接收来自功能安全显示控制器12的图像信息和控制信息，并显示到显示屏幕。

本申请实施例中，功能安全显示控制器12包含至少一个内部模块，其中的至少一个内部模块设置有对应的功能安全检测单元，该功能安全检测单元用于实时检测对应模块的随机错误并上报至功能安全中断。该内部模块例如寄存器解析模块、图像处理模块、显示接口控制模块、访存控制模块等。

可选地，部分或全部的功能安全检测单元还用于检测功能安全显示控制器12与中央控制器11之间的配置总线发生的随机错误、功能安全显示控制器12与存储器13之间的图像数据总线发生的随机错误和/或功能安全显示控制器12与显示器14之间的显示数据总线发生的随机错误。具体而言，功能安全显示控制器12与中央控制器11之间的配置总线可以通过功能安全检测单元实时检测电路发生的随机错误。功能安全显示控制器12与存储器13之间的图像数据总线可以通过功能安全检测单元实时检测电路发生的随机错误。功能安全显示控制器12与显示器14之间的显示数据总线可以通过功能安全检测单元实时检测电路发生的随机错误。

图2显示为本申请一实施例中功能安全显示控制系统1的详细结构示意图。图3显示为本申请实施例中功能安全显示控制系统1的内部结构示意图。如图所示，本申请实施例中功能安全显示控制器12包括寄存器解析模块121，该寄存器解析模块121包括寄存器解析单元1211、第一功能安全检测单元Fusa01和第二功能安全检测单元Fusa02。

第一功能安全检测单元Fusa01用于检测中央控制器11与功能安全显示控制器12接口以及功能安全显示器12与内部使用终端的随机错误。

在一些实现方式中，第一功能安全检测单元Fusa01通过配置总线内容奇偶校验来检测中央控制器11与功能安全显示器12之间的配置总线、功能安全显示器12与内部使用终端的随机错误。需要说明的是，图3中各个模块对应的Fusa安全检测单元的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。例如，在具体应用Fusa01的一实施例中，对于配置总线的奇偶校验检测，硬件内部可以采用分段检测的方式，将内部配置总线路径分成N段，以便与内部其他单元或模块相关的配置路径均会被检测到，N为大于或等于1的正整数。每一段子路径单独检测发送端到接收端的奇偶校验比特，任意子路径发生的功能安全奇偶校验错误均会发送到功能安全显示控制器12的功能安全显示中断上。

第二功能安全检测单元Fusa02用于检测中央控制器11与功能安全显示控制器12之间控制电路发生的随机错误。

在一些实现方式中，第二功能安全检测单元Fusa02通过配置总线超时监视来检测中央控制器11与功能安全显示控制器12之间控制电路发生的随机错误。具体地，在成功接收到一个来自中央控制器11的读写请求时，第二功能安全检测单元Fusa02内部用于监视总线访问的计数器开始计时，在成功收到来自于请求目的端的反馈(ack)时计数器清零。如果计数器超过设定的阈值，则第二功能安全检测单元Fusa02的监测电路会将访问超时错误中断发送到功能安全显示控制器12的功能安全中断上。

根据以上描述可知，本申请实施例中，寄存器解析模块121可以通过功能安全检测单元Fusa01和Fusa02检测电路的随机错误。此外，中央控制器11与功能安全显示控制器12之间的配置通路也可以通过功能安全检测单元Fusa01和Fusa02检测电路的随机错误。

需要说明的是，寄存器解析模块121同时包含第一功能安全检测单元Fusa01和第二功能安全检测单元Fusa02仅为本申请实施例的一种可行方式，但本申请并不以此为限。在一些其他实施例中，寄存器解析模块可以只包含第一功能安全检测单元，也可以只包含第二功能安全检测单元。

于本申请的一实施例中，功能安全显示控制器12还包括图像处理模块122。图像处理模块122通过访存控制模块124获取图像数据信息，并在图像处理完成后将像素数据传送到显示接口控制模块123。请继续参阅图3，本申请实施例中，图像处理模块122包括图像处理单元1221、第三功能安全检测单元Fusa03、第四功能安全检测单元Fusa04和第五功能安全检测单元Fusa05。

第三功能安全检测单元Fusa03用于检测功能安全显示控制器12内部流水线数据信息发生的随机错误。

在一些实现方式中，第三功能安全检测单元Fusa03通过时序电路奇偶校验来检测显示控制器12内部流水线数据信息发生的随机错误。具体地，第三功能安全检测单元Fusa03主要用于保护图像处理单元1221。图像处理单元1221主要对存储器13中的原始图像进行后处理操作，包括但不限于以下操作中的一种或多种：格式转换，图像缩放，反转，混合，色域映射，色调映射，模糊等。这些图像处理操作基于流水线(pipeline)的实现机制，流水线的每一级(stage)完成不同的操作，并打拍到流水线下一级，每级流水线的数据信息通过第三功能安全检测单元Fusa03来检测电路随机错误。

需要说明的是，流水线中的数据信息可以通过存储单元实现，包括但不限于寄存器、先入先出(First In First Out，FIFO)存储器等。

第四功能安全检测单元Fusa04用于检测功能安全显示控制器12内部流水线之间组合电路发生的随机错误。

在一些实现方式中，第四功能安全检测单元Fusa04主要用于保护内部图像处理单元1221。基于面积和运行速度考虑，图像处理器的变换(包括但不限于矩阵乘法，插值运算，滤波运算，线性变换等)需要一到多级流水线完成。本申请实施例中第四功能安全检测单元Fusa04优选为基于每级流水线为最小单位进行保护。具体地，第四功能安全检测单元Fusa04的比较电路将备份电路和原有功能电路值进行比较，如果发生数值不匹配，则第四功能安全检测单元Fusa04将错误中断发送到功能安全显示控制器12的功能安全中断上。

需要说明的是，本申请实施例中第四功能安全检测单元Fusa04以每级流水线为保护粒度是本申请实施例的一种实现方式，但本申请并不以此为限。在一些其他实施例中，根据操作难度和面积目标，也可以将某些流水线的保护粒度扩大到子模块等级别。

第五功能安全检测单元Fusa05用于检测功能安全显示控制器12发生的永久性电路错误。

在一些实现方式中，第五功能安全检测单元Fusa05通过硬件测试序列产生器(Test Pattern Generator，TPG)，或称为硬件测试库(Hardware Test Library，HTL)，来检测功能安全显示控制器12发生的永久性电路错误。其中，HTL是由硬件定义并产生的能够最大化覆盖硬件逻辑的测试序列。第五功能安全检测单元Fusa05通过HTL可以检测上电启动期和正常显示期间发生的永久性错误。具体地，功能安全显示控制器12的HTL模式可以通过指定命令启动。本申请实施例中，HTL可以在系统上电期间启动，以便尽早发现系统中的电子错误翻转导致的随机电路错误。在检测到电路异常时，功能安全显示控制器12能够实时上报错误中断。在另外一些实施例中，HTL也可以在系统正常显示期间启动，硬件维护内部HTL和显示输出的数据和控制流。

应当理解的是，本申请实施例中图像处理模块122同时包含第三功能安全检测单元Fusa03、第四功能安全检测单元Fusa04和第五功能安全检测单元Fusa05仅为本申请实施例的一种可行方式，但本申请并不以此为限。在一些其他实施例中，图像处理模块也可以只包含第三功能安全检测单元、第四功能安全检测单元和第五功能安全检测单元中的任意一个或者两个。

于本申请的一实施例中，功能安全显示控制器12包括显示接口控制模块123，显示接口控制模块123接收来自寄存器解析模块121的配置信息和图像处理模块122的像素数据信息，并生成标准显示接口数据传输到显示器14。请继续参阅图3，本申请实施例中显示接口控制模块123包括显示接口控制单元1231、第六功能安全检测单元Fusa06、第七功能安全检测单元Fusa07和第八功能安全检测单元Fusa08。

第六功能安全检测单元Fusa06用于检测功能安全显示控制器12发生的永久性电路错误。本申请实施例中，第六功能安全检测单元Fusa06的功能和实现方式与第五功能安全检测单元Fusa05类似，此处不做过多赘述。

第七功能安全检测单元Fusa07用于检测功能安全显示控制器12内部像素流水线控制电路发生的随机错误。

在一些实现方式中，第七功能安全检测单元Fusa07通过像素数量监视来检测功能安全显示控制器12内部像素流水线控制电路发生的随机错误。具体地，第七功能安全检测单元Fusa07使用第一功能安全检测单元Fusa01和第二功能安全检测单元Fusa02检测通过的配置数据来获取期望像素点总数量。第七功能安全检测单元Fusa07在硬件内部定义M个监测点，其中M为大于或等于1的正整数。需要说明的是，图3所示为M＝1的情形，但本申请并不以此为限。在一些其他实施例中可以按照电路功能划分定义多个像素数量监测点。第七功能安全检测单元Fusa07在指定监测点检测像素数量并进行计数。在一帧结束的下一时间点，第七功能安全检测单元Fusa07内的比较电路将实际值和期望值进行比较，如果出现二者数值不匹配的情形，则第七功能安全检测单元Fusa07将像素数量错误中断发送至功能安全控制显示器12的功能安全中断上。

第八功能安全检测单元Fusa08用于检测功能安全显示控制器12与所述显示器14之间的显示数据发生的随机错误。

在一些实现方式中，第八功能安全检测单元Fusa08通过像素内容循环冗余发送端编码的方式检测功能安全控制器12与显示器14之间显示数据发生的随机错误，其中，循环冗余编码的多项式需要在功能安全显示控制器12与显示器14之间统一定义，具体定义方法本申请不做限制。显示接口控制模块123对每一个发送到接口的有效数据进行循环冗余编码，该循环冗余编码以行或者帧为单位。数据块的循环冗余编码值可以采用多种方式传输。例如，在一些实施例中可以通过分时复用显示数据总线将循环冗余编码值实时发送到显示器14，该显示数据总线包括但不限于显示端口(Display Port，DP)或显示像素接口(Display Pixel Interface，DPI)。在另外一些实施例中，可以将循环冗余编码值存储到内部寄存器中，软件通过读寄存器的方式获取该循环冗余编码值。

应当理解的是，本申请实施例中显示接口控制模块123同时包含第六功能安全检测单元Fusa06、第七功能安全检测单元Fusa07和第八功能安全检测单元Fusa08仅为本申请实施例的一种可行方式，但本申请并不以此为限。在一些其他实施例中，图像处理模块也可以只包含第六功能安全检测单元、第七功能安全检测单元和第八功能安全检测单元中的任意一个或者两个。

于本申请的一实施例中，功能安全显示控制器12包括访存控制模块124，访存控制模块124通过数据总线从存储器13读取图像数据，并将存储器13返回的图像数据存储到内部存储模块125。请继续参阅图3，本申请实施例中访存控制模块124包括访存控制单元1241、第九功能安全检测单元Fusa09、第十功能安全检测单元Fusa10、第十一功能安全检测单元Fusa11和第十二功能安全检测单元Fusa12。

第九功能安全检测单元Fusa09通过硬件测试库来检测功能安全显示控制器发生的永久性电路错误。本申请实施例中，第九功能安全检测单元Fusa09的功能和实现方式与第五功能安全检测单元Fusa05类似，此处不做过多赘述。

第十功能安全检测单元Fusa10用于检测功能安全显示控制器12与存储器13之间的像素传递数据通路发生的随机错误。

在一些实现方式中，第十功能安全检测单元Fusa10通过数据总线数据内容循环冗余接收端解码检测的方式检测功能安全显示控制器12与存储器13之间的像素传递数据通路发生的随机错误。需要说明的是，访存控制单元1241作为接收方进行循环冗余编码的多项式和编码数据块的大小，需要在系统级统一定义。根据功能安全显示控制器12的每帧操作属性，本申请实施例中见数据块的最大尺寸配置为整幅图像的尺寸。

第十一功能安全检测单元Fusa11用于对数据总线进行超时监视，以检测功能安全显示控制器12与存储器13之间的控制通路发生的随机错误。

在一些实现方式中，第十一功能安全检测单元Fusa11定义两个请求监测点，第一个监测点在请求发送端源头，第二个监测点在功能安全显示控制器12与存储器13的I/O接口位置。第十一功能安全检测单元Fusa11分别在两个监测点设置计数器1和计数器2。各监测点每收到一个读请求时，相应计数器会进行累加，第十一功能安全检测单元Fusa11同时监测来自I/O的返回数据量，该数据量可以用计数器3表示。在一帧结束后，第十一功能安全检测单元Fusa11的比较电路将计数器1、2和3的数值进行比较。如果其中任何两个计数值均不相等，则第十一功能安全检测单元Fusa11将控制通路错误中断发送至功能安全显示控制器12的功能安全中断上。

第十二功能安全检测单元Fusa12用于对数据总线协议进行监视，以检测功能安全显示控制器12与存储器13之间的控制通路发生的随机错误。

在一些实现方式中，第十二功能安全检测单元Fusa12可以根据总线协议定义出违背协议的场景，如果监测到任一违背总线协议的情况发生，则第十二功能安全监测单元Fusa12将控制通路错误中断发送至功能安全显示控制器12的功能安全中断上。

于本申请的一实施例中，功能安全显示控制器12包括内部存储模块125，内部存储模块125用于存储从存储器13中读取的图像数据。请继续参阅图3，本申请实施例中内部存储模块125包括内部存储单元1251和第十三功能安全检测单元Fusa13。第十三功能安全检测单元Fusa13用于检测内部存储模块发生的电路随机错误。

在一些实现方式中，第十三功能安全检测单元Fusa13可以通过ECC(ErrorCorrecting Code，误差校正码)保护内部存储单元1251。

于本申请的一实施例中，功能安全显示控制器12包括中断控制模块126，功能安全检测单元检测到的永久性错误和暂时性错误均通过中断控制模块126上报至中央控制器11。

可选地，本申请实施例中中断控制模块126包括中断控制单元1261和第十四功能安全检测单元Fusa14。第十四功能安全检测单元Fusa14用于检测并纠正功能安全中断通路发生的电路随机错误。

鉴于中断控制单元1261发生的电路随机错误所造成的严重性更高，在一些实现方式中，第十四功能安全检测单元Fusa14通过三模冗余保护来检测并纠正功能安全中断通路发生的电路随机错误。具体地，三模冗余根据待加固模块生成两个相同的模块，并通过多数表决输出，以此来保证即便有一个模块发生故障时电路依然可以正常工作，从而极大地降低中断电路本身产生的随机错误造成的影响，增强系统的可靠性。

根据以上描述可知，本申请一些实施例提供的功能安全显示控制系统1，能够通过功能安全检测单元Fusa05、Fusa06和Fusa09检测上电启动期和正常显示期间发生的永久性错误，通过功能安全检测单元Fusa01至Fusa04、Fusa07、Fusa08以及功能安全检测单元Fusa10至Fusa14在正常显示期间实时监测电路中发生的永久性错误和暂时性错误。此外，功能安全显示控制器12发生的永久性错误和暂时性错误通过中断的形式上报至中央控制器11，中断路径通过功能安全检测单元12检测并纠正电路发生的永久性错误和暂时性错误，使得中央控制器11能够获取正确的中断警报。

此外，本申请一些实施例中，功能安全显示控制器12与存储器13之间的数据总线能够通过功能安全检测单元Fusa05、Fusa10、Fusa11和Fusa12来检测数据总线通路发生的随机错误。这些实施例中，功能安全显示控制器12与显示器14之间的显示数据通路能够通过功能安全检测机制Fusa05至Fusa07来检测显示数据总线通路发生的随机错误。

基于以上对功能安全显示控制系统的描述，本申请实施例中还提供一种功能安全显示控制器。该功能安全显示控制器与中央控制器、存储器和显示器通信相连。功能安全显示控制器的至少一个内部模块设置有功能安全检测单元，其中，功能安全检测单元用于检测对应模块的随机错误。本申请实施例提供的功能安全显示控制器可以采用图1至3所示的结构以及连接方式实现，但本申请并不以此为限。

综上所述，本申请实施例中提供的功能安全显示控制器与中央控制器、存储器和显示器通信相连，共同组成功能安全显示控制系统。该系统是一种符合ISO26262标准的硬件功能安全显示控制系统，能够兼顾研发成本、风险控制和系统面积开销等问题。此外，本申请一些实施例中提供的功能安全显示控制器能够根据电路功能和类型细分对应的功能安全检测机制，其面积开销可控，为一种可继承、可扩展的方案。再者，本申请一些实施例中提供的功能安全显示控制器与中央控制器、存储器和显示器组成的功能安全显示控制系统，不需要软件参与认证，且能够实时检测并上报电路发生的电子电气造成的随机错误，在具有更高实时性、安全性和可靠性的同时，能够极大降低产品研发成本，加快产品研发进度，降低开发风险。相较于普通显示控制系统，该功能安全显示控制系统只需要1.2～1.4倍的面积开销即可检测90％以上的电路随机错误。因此，本申请克服了现有技术的种种缺点而具有重大的产业价值。

应该理解到，在本申请所提供的几个实施例中，所揭露的系统或装置，可以通过其它的方式实现。例如，以上所描述的装置实施例仅是示意性的，例如，模块/单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或单元可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或模块或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的模块/单元可以是或者也可以不是物理上分开的，作为模块/单元显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块/单元来实现本申请实施例的目的。例如，在本申请各个实施例中的各功能模块/单元可以集成在一个处理模块中，也可以是各个模块/单元单独物理存在，也可以两个或两个以上模块/单元集成在一个模块/单元中。

本领域普通技术人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

上述实施例仅例示性说明本申请的原理及其功效，而非用于限制本申请。任何熟悉此技术的人士皆可在不违背本申请的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本申请所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本申请的权利要求所涵盖。

Claims (16)

1.一种功能安全显示控制器，其特征在于，所述功能安全显示控制器通过通信线路与中央控制器、存储器和显示器相连，其中，所述功能安全显示控制器的至少一个内部模块设置有对应的功能安全检测单元，所述功能安全检测单元用于检测对应模块的随机错误。

2.根据权利要求1所述的功能安全显示控制器，其特征在于，所述功能安全显示控制器包括寄存器解析模块，所述寄存器解析模块设置有第一功能安全检测单元和第二功能安全检测单元，其中：

所述第一功能安全检测单元用于检测所述中央控制器与所述功能安全显示控制器接口以及所述功能安全显示控制器与内部使用终端的配置数据的随机错误；

所述第二功能安全检测单元用于检测所述中央控制器与所述功能安全显示控制器之间控制电路发生的随机错误。

3.根据权利要求2所述的功能安全显示控制器，其特征在于：

所述第一功能安全检测单元通过对配置总线内容进行奇偶校验来检测所述中央控制器与所述功能安全显示控制器接口以及所述功能安全显示控制器与内部使用终端的配置数据的随机错误；和/或

所述第二功能安全检测单元通过对配置总线进行超时监视来检测所述中央控制器与所述功能安全显示控制器之间控制电路发生的随机错误。

4.根据权利要求1所述的功能安全显示控制器，其特征在于，所述功能安全显示控制器包括图像处理模块，所述图像处理模块设置有第三功能安全检测单元、第四功能安全检测单元和第五功能安全检测单元，其中：

所述第三功能安全检测单元用于检测所述功能安全显示控制器内部流水线数据信息发生的随机错误；

所述第四功能安全检测单元用于检测所述功能安全显示控制器内部流水线之间组合电路发生的随机错误；

所述第五功能安全检测单元用于检测所述功能安全显示控制器发生的永久性电路错误。

5.根据权利要求4所述的功能安全显示控制器，其特征在于：

所述第三功能安全检测单元通过对时序电路进行奇偶校验来检测所述功能安全显示控制器内部流水线数据信息发生的随机错误；和/或

所述第四功能安全检测单元以每级流水线为最小单位来检测所述功能安全显示控制器内部流水线之间组合电路发生的随机错误；和/或

所述第五功能安全检测单元通过硬件测试库来检测所述功能安全显示控制器发生的永久性电路错误。

6.根据权利要求1所述的功能安全显示控制器，其特征在于，所述功能安全显示控制器包括显示接口控制模块，所述显示接口控制模块设置有第六功能安全检测单元、第七功能安全检测单元和第八功能安全检测单元，其中：

所述第六功能安全检测单元用于检测所述功能安全显示控制器发生的永久性电路错误；

所述第七功能安全检测单元用于检测所述功能安全显示控制器内部像素流水线控制电路发生的随机错误；

所述第八功能安全检测单元用于检测所述功能安全显示控制器与所述显示器之间的显示数据发生的随机错误。

7.根据权利要求6所述的功能安全显示控制器，其特征在于：

所述第六功能安全检测单元通过硬件测试库来检测所述功能安全显示控制器发生的永久性电路错误；和/或

所述第七功能安全检测单元通过像素数量监视来检测所述功能安全显示控制器内部像素流水线控制电路发生的随机错误；和/或

所述第八功能安全检测单元通过像素内容循环冗余发送端编码的方式来检测所述功能安全显示控制器与所述显示器之间的显示数据发生的随机错误。

8.根据权利要求1所述的功能安全显示控制器，其特征在于，所述功能安全显示控制器包括访存控制模块，所述访存控制模块设置有第九功能安全检测单元、第十功能安全检测单元、第十一功能安全检测单元和第十二功能安全检测单元，其中：

所述第九功能安全检测单元用于检测所述功能安全显示控制器发生的永久性电路错误；

所述第十功能安全检测单元用于检测所述功能安全显示控制器与所述存储器之间的像素传递数据通路发生的随机错误；

所述第十一功能安全检测单元和所述第十二功能安全检测单元用于检测所述功能安全显示控制器与所述存储器之间的控制通路发生的随机错误。

9.根据权利要求8所述的功能安全显示控制器，其特征在于：

所述第九功能安全检测单元通过硬件测试库来检测所述功能安全显示控制器发生的永久性电路错误；和/或

所述第十功能安全检测单元通过数据总线数据内容循环冗余接收端解码检测的方式检测所述功能安全显示控制器与所述存储器之间的像素传递数据通路发生的随机错误；和/或

所述第十一功能安全检测单元通过对数据总线进行超时监视来检测所述功能安全显示控制器与所述存储器之间的控制通路发生的随机错误；和/或

所述第十二功能安全检测单元通过对数据总线协议进行监视来检测所述功能安全显示控制器与所述存储器之间的控制通路发生的随机错误。

10.根据权利要求1所述的功能安全显示控制器，其特征在于，所述功能安全显示控制器包括内部存储模块，所述内部存储模块设置有第十三功能安全检测单元，其中：

所述第十三功能安全检测单元用于检测所述内部存储模块发生的电路随机错误。

11.根据权利要求10所述的功能安全显示控制器，其特征在于，所述第十三功能安全检测单元通过误差校正码来检测所述内部存储模块发生的电路随机错误。

12.根据权利要求1所述的功能安全显示控制器，其特征在于，所述功能安全显示控制器还包括中断控制模块，所述功能安全检测单元检测到的永久性错误和/暂时性错误通过所述中断控制模块以中断的形式上报至所述中央控制器。

13.根据权利要求12所述的功能安全显示控制器，其特征在于，所述中断控制模块包括第十四功能安全检测单元，其中：

所述第十四功能安全检测单元用于检测并纠正功能安全中断通路发生的电路随机错误。

14.根据权利要求13所述的功能安全显示控制器，其特征在于，所述第十四功能安全检测单元通过三模冗余方式来检测并纠正所述功能安全中断通路发生的电路随机错误。

15.根据权利要求1所述的功能安全显示控制器，其特征在于，所述功能安全检测单元还用于检测所述功能安全显示控制器与所述中央控制器之间的配置总线发生的随机错误、所述功能安全显示控制器与所述存储器之间的图像数据总线发生的随机错误和/或所述功能安全显示控制器与所述显示器之间的显示数据总线发生的随机错误。

16.一种功能安全显示控制系统，其特征在于，所述功能安全显示控制系统包括中央控制器、存储器、显示器以及权利要求1至15中任一项所述的功能安全显示控制器。

Images