1. 课程导入与Mobileye EyeQ概览

在高级驾驶辅助系统（ADAS）与自动驾驶（AD）的演进历程中，Mobileye EyeQ系列芯片扮演了极为关键的角色。从2004年第一代EyeQ1问世，到如今支撑L2+至L4级自动驾驶的EyeQ6，这一系列SoC（System on Chip）始终围绕一个核心命题展开：如何在有限的功耗与算力约束下，可靠地感知环境并做出安全决策。理解EyeQ的架构演进，是理解其功能安全（Functional Safety, FuSa）与预期功能安全（SOTIF）验证策略的前提。

EyeQ系列的发展大致可分为三个阶段。早期EyeQ1至EyeQ3以单目视觉为主，集成ARM核与专用视觉加速器，主要实现车道偏离预警、前向碰撞预警等基础ADAS功能。这一阶段的验证重点在于算法确定性——给定输入图像，输出结果必须可复现、可解释。EyeQ4是转折点，它引入了多核异构架构（MIPS CPU + 专用视觉处理单元VMP + 深度学习加速器），算力跃升至2.5 TOPS，开始支持多摄像头融合与L2级自动驾驶。EyeQ5进一步将算力提升至24 TOPS，采用7nm工艺，支持L3级自动驾驶，并首次在芯片层面系统性地引入功能安全机制。EyeQ6系列则面向L4级，算力达到67 TOPS以上，强调“可扩展安全架构”与“端到端验证”。

在ADAS/AD系统中，EyeQ芯片通常位于感知与决策的核心位置。它接收来自摄像头、毫米波雷达、激光雷达的原始数据，经过感知算法处理后输出目标列表、可行驶区域、车道线等信息，再交由规划控制模块使用。这一数据流决定了功能安全与SOTIF验证的两个基本维度：功能安全关注系统故障导致的危害（如芯片内部寄存器翻转、通信丢包、电源异常），SOTIF关注系统在无故障情况下因性能局限或场景理解不足导致的危害（如逆光导致摄像头致盲、异形车辆识别失败、隧道口明暗突变）。两者互补，共同构成EyeQ芯片安全验证的完整框架。

本课程围绕EyeQ芯片的安全验证展开，共30章，结构上分为四个模块。第一模块（第1–6章）建立基础认知：EyeQ架构、功能安全标准ISO 26262在芯片层面的落地方式、SOTIF标准ISO 21448的核心概念，以及两者在EyeQ上的交汇点。第二模块（第7–15章）深入功能安全验证实践：从安全需求分解、硬件安全机制设计（如锁步核、ECC、看门狗），到FMEDA分析、安全案例构建，再到故障注入测试与诊断覆盖率评估。第三模块（第16–24章）聚焦SOTIF验证：包括场景库构建、已知不安全场景分析、未知不安全场景探索、感知性能边界测试、以及基于里程的验证策略。第四模块（第25–30章）整合实战：以EyeQ5/EyeQ6为对象，完成从安全概念到验证报告的全流程案例，并讨论工具链（如Mobileye的验证平台、仿真环境）与合规交付物。

需要特别强调的是，EyeQ芯片的安全验证并非孤立活动。它向上承接整车安全目标（如ASIL D的制动或转向功能），向下分解为芯片级安全需求（如“在检测到锁步核不一致时，必须在10ms内进入安全状态”）。验证活动必须同时覆盖随机硬件故障（通过FMEDA量化SPFM、LFM指标）和系统性故障（通过设计评审、形式验证、故障注入）。对于SOTIF，验证重点则转向场景覆盖度与性能边界——例如，在夜间无路灯、对向车灯眩光、目标穿着低反射率衣物等条件下，EyeQ的感知输出是否仍能满足安全目标。这些场景无法仅靠故障注入覆盖，需要结合真实里程数据、仿真场景库和受控场地测试。

本课程不要求读者预先掌握芯片设计或形式化验证的细节，但需要具备基本的ADAS系统概念和概率统计常识。每章将围绕一个可验证的目标展开，并尽量给出可操作的参数示例、分析表格或测试用例模板。第2章将从EyeQ的硬件架构入手，详细拆解其安全相关模块的组成与交互关系。