14、ISP Pipeline安全：像素错误检测、坏点校正、数据完整性校验
各位同学，今天我们来聊聊ISP Pipeline里一个容易被忽视、但实际非常要命的话题——安全。
你想想看，摄像头模组装上车，每天风吹日晒、震动颠簸，传感器本身就可能出问题。再加上信号传输过程中的干扰，如果ISP Pipeline没有一套安全机制，那画面里出现几个坏点、几行花屏，可能直接导致感知算法误判。嗯，这在功能安全里是绝对不允许的。
我个人习惯把ISP的安全机制分成三层：像素级检测、坏点校正、数据完整性校验。下面我们一层层拆开讲。
14.1 像素错误检测：揪出“叛徒”像素
什么叫像素错误？说白了，就是某个像素点的值明显偏离了它周围邻居的正常范围。比如一片均匀的灰色路面，突然冒出一个全白或全黑的点，那大概率是传感器坏了。
我在项目中遇到过一种情况：某款车规级传感器在高温环境下，边缘区域会随机出现闪烁的亮点。一开始以为是算法问题，后来用像素错误检测工具一抓，发现是传感器本身的暗电流噪声超标了。
常见的检测方法有两种：
- 空间域检测：比较当前像素与周围8邻域或4邻域的均值。如果差值超过阈值，标记为可疑像素。
- 时间域检测：连续多帧对比同一位置的像素值。如果只有单帧异常，可能是瞬态噪声；如果持续异常，那就是坏点。
核心思路：检测不是目的，标记才是。我们需要把可疑像素的位置、强度、持续时间记录下来，供后续校正模块使用。
这里我贴一段简化的检测逻辑，你们感受一下：
// 像素错误检测伪代码
for each pixel (x, y) in frame:
mean = average of 8 neighbors
diff = abs(pixel(x,y) - mean)
if diff > THRESHOLD_HIGH:
mark_as_defect(x, y, DEFECT_TYPE_HOT) // 亮点
else if diff < THRESHOLD_LOW:
mark_as_defect(x, y, DEFECT_TYPE_DEAD) // 死点
else:
clear_defect_flag(x, y)
小提示：阈值不能设得太死。我建议根据场景动态调整——比如夜间场景整体暗，阈值就应该等比缩小。否则满屏都是“坏点”报警。
14.2 坏点校正：把“坑”填平
检测到坏点之后怎么办？直接扔掉？不行，输出分辨率不能变。所以我们要用周围像素把坏点“填”起来。
校正方法有很多，我挑三种最常用的讲：
| 方法 | 原理 | 适用场景 | 我踩过的坑 |
|---|---|---|---|
| 中值滤波 | 用邻域像素的中位数替换坏点 | 孤立坏点，边缘保留较好 | 曾经在纹理密集区域用过，结果把细节磨没了 |
| 双线性插值 | 用上下左右四个方向加权平均 | 连续坏点簇，平滑过渡 | 坏点簇太大时，插值结果会偏灰 |
| 自适应校正 | 根据局部梯度方向选择插值方向 | 边缘附近的坏点，效果最好 | 计算量大，需要硬件加速 |
我个人习惯用自适应校正。虽然它费资源，但效果确实好。你想想看，如果坏点刚好在车道线边缘，用中值滤波会把边缘抹平，车道线检测就断了。自适应校正能沿着边缘方向插值，保留结构信息。
警告：校正不是万能的。如果坏点数量超过总像素的1%，或者出现整行整列的坏点，那就不是校正能解决的问题了。这时候应该触发功能安全机制，通知系统降级或报警。
14.3 数据完整性校验：别让传输“背锅”
像素检测和坏点校正解决的是传感器本身的问题。但数据从传感器传到ISP，中间经过MIPI、DDR、总线，任何一个环节出错，画面都可能花掉。
我曾经遇到一个非常诡异的bug：车辆在颠簸路段行驶时，画面偶尔会出现一条水平的彩色条纹。查了三天，最后发现是MIPI的D-PHY时钟在振动下产生了抖动，导致数据采样错位。
数据完整性校验，说白了就是给数据加个“防伪标签”。常用的手段有：
- CRC校验：每行像素或每帧数据附加CRC值，接收端重新计算并比对。不匹配则丢弃或重传。
- 奇偶校验：简单但有效，适合硬件快速实现。
- 帧序号检查：每帧带一个递增序号，如果序号跳跃，说明丢帧了。
- 像素范围检查：像素值必须在0-4095（12bit）或0-1023（10bit）范围内，超出就是异常。
下面这张图展示了整个ISP Pipeline安全机制的流程：
从图上可以看到，三个模块是串联的。检测到坏点后立即校正，校正完的数据再经过完整性校验，最后输出给下游。如果完整性校验失败，我会选择丢弃当前帧，并用上一帧的数据做补偿——这在功能安全里叫“降级策略”。
关键点：数据完整性校验不能只做一次。我建议在ISP Pipeline的每个关键节点都做校验——MIPI接收端、DMA写入DDR前、ISP模块输入前。这样能精确定位是哪一段传输出了问题。
14.4 实战中的避坑指南
最后，分享几个我亲身踩过的坑：
- 坏点表要定期更新：传感器老化后，坏点会增多。我曾经遇到过一台车跑了两年，坏点表还是出厂时的，结果校正模块完全失效。建议每1000小时或每10万公里重新标定一次。
- CRC不要只做帧级：帧级CRC只能检测整帧是否出错，但无法定位到具体哪一行。我建议每行都加CRC，这样出错时可以只丢弃那一行，而不是整帧。
- 注意MIPI的ECC：MIPI CSI-2协议本身带了ECC（纠错码），但很多芯片实现时只做了检测没做纠错。记得确认你的SoC是否支持ECC纠错，如果不支持，需要在软件层补上。
- 别忽略温度影响：高温下传感器暗电流会增大，坏点检测的阈值需要跟着温度走。我习惯在ISP的OTP里存一组温度-阈值曲线，运行时查表调整。
嗯，关于ISP Pipeline安全，今天就讲这么多。核心就一句话：检测要准、校正要稳、校验要全。这三板斧砍下去，大部分像素级的安全问题都能兜住。