可以看到的是，各类AMBA的地址和数据线，接口上均添加了奇偶校验，这也是ISO26262所要求的传输线安全措施之一；对于重置和时钟，P/Q通道等信号，大多采用复制的方式来保护；而对于AXIS端口，则采用负载加上CRC的方法，免去添加管脚。由于中断控制器不像处理器，可以有中断系统来处理各类错误和失效，因此GIC600AE在分配器中添加了一个错误管理单元，可以把我们所提及的各类错误做集中管理，记录并上报。此外，在分配器与子分配器之间，GIC600AE还添加了看门狗，防止超时未响应。
由于目前GIC600AE还比较新，对于一些老的设计，可能并没有与之匹配的中断控制器可用。这种情况下，就只能把和安全相关的工作用轮询来完成，避免走中断通道。轮询的对象可以是一段ECC保护的内存，也可以是有冗余设计的硬件锁或者外置exclusive monitor。
MMU600AE也是类似的安全设计，在此我们不深入讨论。对于Coresight这样的片上调试系统，由于本身并不涉及安全，它的错误被称作safe fault，不计入考虑范围。我们接下去看看CMN600AE。
CMN600是Arm服务器总线IP，它最大的特点是网状拓扑结构，对外支持AMBA CHI接口，内部改用路由结构转发数据，并提供硬件一致性和系统缓存，还支持多芯片互联。CMN600在T16FFC上可以做到2Ghz，极大的拓展了带宽，非常适合ADAS这类有大量异构计算的应用。
CMN600AE做了功能安全设计，引入了完整的端到端的失效探测机制。如上图，整个总线被分成三类模块，主设备，总线，从设备。主设备与总线，总线与从设备之间，总线内部，会有错误探测编码，也就是EDC。各处的EDC策略可以是不同的。
这是主设备与总线，总线与从设备接口处的EDC，和GCI600AE的有些相似，只不过更全。对于一些控制类信号，采用复制的方法，有时候把两根线正负反转；对于数据线和地址线，采取添加奇偶位的做法。
在总线内部，由于网状总线的特点是把传输转成管脚更少的包FLIT传输，所以在每个包后面，加了CRC-8数据作为校验，而不是添加管脚。对于总线处理模块，仍旧采用逻辑锁步和内存ECC来做安全设计。此外，CMN600在传输上加了计数器，如果从设备端超时不响应，那就报异常。
除了锁步，ECC和传输线保护，有一类IP模块设计，可以使用简单一些的方法，来达到一定的安全等级。下图是一个简单的图像信号处理单元，从前到后，流水分别是Raw域，RGB域，YUV域，每个域都包含了各自的子模块。模块之间，包括到DDR的传输，使用传输线安全设计。而子模块内部，如果输出结果是单调递增，单调递减或者在某一区域内的，就可以用带冗余的简单逻辑做硬件监控，来实现Asil-B/D等级。
我们取RGB域上的Local Tome Mapping为例。Local Tome Mapping的本意是，对于高动态HDR或者标准动态范围SDR的图，可以把局部的亮度调整到一个合适范围内，效果如下图。基于这个假设，我们可以写简单逻辑，看某个区域的像素是不是颜色保持不变，而亮度和原来比有合理提高。这个简单的逻辑，可以使用锁步来确保高等级功能安全。根据功能安全的功能分解原则，Asil-D可以分解为Asil-D的监控模块和QM的功能模块，这样，还是能保证整个Local Tome Mapping子模块的高安全等级。
