192、车载前视摄像头ASIL-B功能安全——基于英伟达Jetson AGX Orin的ISP错误检测与安全岛设计
去年夏天，某Tier1的项目，前视摄像头方案用的Jetson AGX Orin，客户审厂时直接问了一个问题：你的ISP如果输出花屏，Safety MCU怎么知道？当时我愣了一下，因为Orin的ISP错误检测机制和传统车规芯片完全不一样，高通Spectra有独立的ISP安全中断，海思有专门的ISP错误状态寄存器，而Orin的ISP错误是挂在GPU/CSI的复杂错误链上的，不仔细看真会漏掉。这篇文章就把那段时间踩的坑和最终落地的方案整理出来。
先搞清楚Orin的ISP错误到底从哪来
Jetson AGX Orin的ISP是集成在SoC里的，不像外挂ISP芯片那样有独立的错误上报引脚。它的错误路径大致是：CSI接收端（CSI-A/B/C/D）→ ISP（有多个ISP实例）→ 内存（通过NVENC或直接写DDR）。错误类型分几类：CSI的CRC错误、ECC错误、数据位翻转；ISP内部的像素处理错误、3A统计错误、RAW域数据异常；还有内存侧的写错误。
最坑的是，Orin的ISP错误默认不会直接触发一个干净的中断给外部MCU。它先记录在内部寄存器，然后通过GIC（通用中断控制器）上报给CPU，但CPU上跑的Linux/QNX如果没配置好，错误就被吞了。我们当时用QNX，默认的ISP驱动对某些错误只是打印一条日志，根本不往Safety域送。
安全岛设计的第一原则：别依赖主核
ASIL-B要求的是系统性失效
