Rambus：尋找破解ASIL認(rèn)證難題的 “最優(yōu)解”

隨著汽車產(chǎn)業(yè)向高級(jí)駕駛輔助系統(tǒng)(ADAS)和自動(dòng)駕駛加速演進(jìn)，電子電氣架構(gòu)(E/E Architecture)正從分布式電子控制單元(ECU)向集中式架構(gòu)轉(zhuǎn)型，功能安全已不再只是一個(gè)待勾選的合規(guī)項(xiàng)，而是支撐各類域控制器實(shí)現(xiàn)汽車智能化發(fā)展的核心基礎(chǔ)。

在這一背景下，ISO 26262標(biāo)準(zhǔn)及其核心的汽車安全完整性等級(jí)(ASIL)成為行業(yè)基準(zhǔn)，而芯片制造商如何應(yīng)對(duì)ASIL認(rèn)證挑戰(zhàn)、預(yù)認(rèn)證IP核為何成為最優(yōu)解，以及未來(lái)功能安全需求將呈現(xiàn)哪些新趨勢(shì)，成為行業(yè)關(guān)注的焦點(diǎn)。

從“合規(guī)”到“核心基礎(chǔ)”

如前文所述，現(xiàn)代汽車已不再是傳統(tǒng)的機(jī)械或機(jī)電系統(tǒng)，而是以計(jì)算為核心的電子生態(tài)體系。當(dāng)行業(yè)從分布式ECU向集中式E/E架構(gòu)轉(zhuǎn)型，ADAS/AD計(jì)算、信息娛樂(lè)SoC等原本獨(dú)立的功能域界限迅速模糊，大量功能被集成到共享的高性能計(jì)算(HPC)平臺(tái)上，從而顯著提高了對(duì)系統(tǒng)安全性的要求門檻。

在與《電子工程專輯》的對(duì)話中，Rambus IP業(yè)務(wù)開(kāi)發(fā)總監(jiān)Adiel Bahrouch指出，這種融合趨勢(shì)意味著，單顆SoC需要同時(shí)支持不同安全等級(jí)的混合關(guān)鍵性工作負(fù)載，確保安全關(guān)鍵的ADAS/AD任務(wù)不會(huì)受到來(lái)自非安全域(如信息娛樂(lè)或車載互聯(lián)功能)中故障、崩潰或網(wǎng)絡(luò)攻擊的影響。要實(shí)現(xiàn)這種有效隔離，必須具備更高等級(jí)且更為穩(wěn)健的安全與防護(hù)能力。

Rambus IP業(yè)務(wù)開(kāi)發(fā)總監(jiān)Adiel Bahrouch

“隨著汽車逐步演進(jìn)為由軟件驅(qū)動(dòng)的高性能計(jì)算平臺(tái)和移動(dòng)生態(tài)系統(tǒng)，功能安全的重要性愈發(fā)凸顯，ISO 26262標(biāo)準(zhǔn)在此過(guò)程中扮演了關(guān)鍵角色。”Adiel認(rèn)為ISO 26262標(biāo)準(zhǔn)并非一份簡(jiǎn)單的“檢查清單”，而是貫穿車輛從概念設(shè)計(jì)到退役全生命周期的系統(tǒng)性框架，能夠幫助制造商高效安全的識(shí)別風(fēng)險(xiǎn)、設(shè)計(jì)防護(hù)機(jī)制并驗(yàn)證有效性。  

ASIL認(rèn)證，芯片制造商的“必答題” 

ISO 26262標(biāo)準(zhǔn)的核心是汽車安全完整等級(jí)(Automotive Safety Integrity Level，ASIL)概念。用于衡量某一系統(tǒng)對(duì)于整車安全的重要程度——關(guān)注的不僅是系統(tǒng)“是否正常運(yùn)作”，更在于“當(dāng)系統(tǒng)發(fā)生故障時(shí)，會(huì)帶來(lái)怎樣的后果”。

根據(jù)安全需求，ASIL被劃分為A、B、C、D四個(gè)等級(jí)，等級(jí)越高，對(duì)芯片的安全設(shè)計(jì)、驗(yàn)證流程和故障處理能力要求越嚴(yán)苛。其中，ASIL-D作為最高等級(jí)，成為自動(dòng)駕駛、線控底盤等安全關(guān)鍵領(lǐng)域芯片的“準(zhǔn)入門檻”。

對(duì)于芯片制造商而言，ASIL認(rèn)證的過(guò)程早在產(chǎn)品被用于量產(chǎn)車型之前就已開(kāi)始。這一過(guò)程始于設(shè)計(jì)階段，安全性必須成為系統(tǒng)架構(gòu)的核心驅(qū)動(dòng)力。

這意味著需要在芯片中集成諸如安全啟動(dòng)(Secure Boot)、ECC內(nèi)存以及內(nèi)建診斷功能(Built-in Diagnostics)等特性。同時(shí)，文檔工作也至關(guān)重要——例如安全手冊(cè)(Safety Manual)、FMEDA(故障模式、影響及診斷分析)報(bào)告以及FIT(單位時(shí)間故障率)數(shù)據(jù)，它們能幫助系統(tǒng)集成商在更復(fù)雜的整車環(huán)境中安全地部署和使用芯片。 

實(shí)現(xiàn)ASIL認(rèn)證的難度會(huì)隨著等級(jí)從ASIL A提升至ASIL D而逐步增加。更高等級(jí)的認(rèn)證要求更嚴(yán)格的安全流程、獨(dú)立驗(yàn)證機(jī)制，以及更充分的證據(jù)來(lái)證明芯片能夠可靠地檢測(cè)并處理故障。芯片制造商必須在設(shè)計(jì)中集成冗余、糾錯(cuò)碼、看門狗和故障監(jiān)控等安全機(jī)制，并通過(guò)系統(tǒng)化測(cè)試和文檔驗(yàn)證，確保這些特性符合ISO 26262的要求。  

也就是說(shuō)，在最高等級(jí)的ASIL D標(biāo)準(zhǔn)下，所需的分析、驗(yàn)證與可追溯性要求都遠(yuǎn)高于其他等級(jí)。這通常意味著設(shè)計(jì)復(fù)雜度顯著提升、驗(yàn)證周期更長(zhǎng)，同時(shí)還需在性能與安全之間做出更嚴(yán)格的權(quán)衡。 

破解ASIL認(rèn)證難題

面對(duì)ASIL認(rèn)證的高門檻，采用已獲ASIL認(rèn)證的IP模塊，能幫助芯片廠商顯著節(jié)省時(shí)間與工程資源。這些預(yù)先認(rèn)證的IP模塊已在ISO 26262標(biāo)準(zhǔn)下完成嚴(yán)苛的安全驗(yàn)證，能幫助芯片廠商大幅縮短開(kāi)發(fā)周期、降低集成風(fēng)險(xiǎn)，同時(shí)為整車廠(OEM)和一級(jí)供應(yīng)商(Tier 1)提供合作信心，兼具技術(shù)與戰(zhàn)略價(jià)值。

“在安全性成為市場(chǎng)關(guān)鍵競(jìng)爭(zhēng)力的情況下，擁有認(rèn)證的IP不僅僅是技術(shù)上的成就，更是一個(gè)戰(zhàn)略性的優(yōu)勢(shì)。”Adiel說(shuō)。

為了更好地支持客戶滿足最高的安全要求并遵守安全關(guān)鍵應(yīng)用的最高安全標(biāo)準(zhǔn)，Rambus投資建設(shè)了先進(jìn)的質(zhì)量管理體系，并通過(guò)知名獨(dú)立認(rèn)證機(jī)構(gòu)SGS-TÜV Saar，獲得了ASIL-D級(jí)別的開(kāi)發(fā)與支持流程認(rèn)證。

其推出的ASIL-D認(rèn)證IP解決方案，配套提供全面的“安全包”，包括FMEDA報(bào)告、安全手冊(cè)、安全集成手冊(cè)、認(rèn)證文件以及所有支持性證據(jù)，可以讓客戶在安全應(yīng)用場(chǎng)景中使用這些資料，以達(dá)到其目標(biāo)的ASIL等級(jí)。  

以Rambus的汽車級(jí)CryptoManager RT-7xx(eHSM)系列為例，該系列是下一代完全可編程的硬件安全模塊，不僅符合ISO 26262和網(wǎng)絡(luò)安全標(biāo)準(zhǔn)ISO 21434，還在設(shè)計(jì)階段融入量子安全技術(shù)，可支撐AutoSAR、EVITA Full和SHE+等主流汽車安全協(xié)議。

其中，RT-76xD更是業(yè)界首款A(yù)SIL-HSM(汽車安全完整性等級(jí)硬件安全模塊)，而同系列的RT-640則已獲得ASIL-B認(rèn)證，形成覆蓋高、中安全等級(jí)需求的產(chǎn)品矩陣，為不同場(chǎng)景的芯片設(shè)計(jì)提供靈活選擇。

Rambus的“安全文化”與實(shí)踐

眾所周知，汽車系統(tǒng)及其所采用的半導(dǎo)體，是當(dāng)今最復(fù)雜的電子技術(shù)之一。隨著汽車在自動(dòng)化、互聯(lián)化和電動(dòng)化方面不斷邁向更高水平，這種復(fù)雜性還將持續(xù)提升。下一代汽車將需要更強(qiáng)大的處理能力和高速互聯(lián)，以支持高級(jí)駕駛輔助系統(tǒng)、半自動(dòng)駕駛、車聯(lián)萬(wàn)物(V2X)、車載娛樂(lè)系統(tǒng)，并為用戶帶來(lái)更優(yōu)質(zhì)的車內(nèi)與駕駛體驗(yàn)。

因此，Adiel強(qiáng)調(diào)稱，在Rambus的理念中，功能安全并非“階段性任務(wù)”，而是融入開(kāi)發(fā)文化的“底層思維”，貫穿IP從設(shè)計(jì)、驗(yàn)證、發(fā)布到售后支持的全生命周期。

為實(shí)現(xiàn)這一目標(biāo)，Rambus 采取了多重措施，包括：

• 定期開(kāi)展安全與質(zhì)量培訓(xùn)，確保工程師具備前沿的安全設(shè)計(jì)意識(shí)。
• 投資先進(jìn)的質(zhì)量管理系統(tǒng)，并遵循嚴(yán)格的開(kāi)發(fā)流程和原則，確保將安全基礎(chǔ)集成到芯片、ASIC和SoC的核心設(shè)計(jì)中。
• 從初始設(shè)計(jì)階段就集成安全和防護(hù)措施，采用硬件安全技術(shù)，如量子安全引擎和信任根，并提供安全配置和密鑰管理解決方案。通過(guò)遵循質(zhì)量管理原則的系統(tǒng)化開(kāi)發(fā)流程，確保這些措施得以實(shí)施，為客戶提供在不同功能和集成層級(jí)上實(shí)現(xiàn)安全特性的靈活選擇。

最終，通過(guò)使用Rambus ASIL-D認(rèn)證的解決方案，客戶將能夠簡(jiǎn)化從設(shè)計(jì)、集成、驗(yàn)證到確認(rèn)的整個(gè)流程。客戶還可以利用安全包和證書，加速其系統(tǒng)層面的安全評(píng)估和汽車市場(chǎng)準(zhǔn)入的安全合規(guī)性。最終，Rambus的認(rèn)證解決方案將幫助客戶更快地將ASIL-D級(jí)解決方案推向市場(chǎng)，并更快實(shí)現(xiàn)盈利。

功能安全與智能化的“協(xié)同進(jìn)化”

在Adiel看來(lái)，隨著汽車智能化、網(wǎng)聯(lián)化程度的加深，汽車芯片的功能安全需求正呈現(xiàn)三大新趨勢(shì)：

• 網(wǎng)絡(luò)安全與功能安全的深度集成。隨著車輛連接性增強(qiáng)，它們面臨的網(wǎng)絡(luò)安全威脅也在增加。對(duì)能夠同時(shí)提供強(qiáng)大網(wǎng)絡(luò)安全和功能安全的半導(dǎo)體的需求日益增長(zhǎng)，這需要集成硬件和軟件解決方案。量子計(jì)算機(jī)的持續(xù)發(fā)展意味著，車輛電子系統(tǒng)需要具備防范量子攻擊的安全保護(hù)措施。
• AI與功能安全的融合。人工智能和機(jī)器學(xué)習(xí)在自動(dòng)駕駛和高級(jí)駕駛輔助系統(tǒng)(ADAS)等功能中的應(yīng)用日益增加，這為功能安全帶來(lái)了新的挑戰(zhàn)。這些系統(tǒng)的硬件，需滿足AI在決策與感知層面的功能安全要求。
• 軟件定義汽車(SDV)。隨著汽車加速向軟件定義架構(gòu)轉(zhuǎn)型，功能安全需要貫穿車輛的整個(gè)生命周期，既要關(guān)注硬件，也必須同時(shí)強(qiáng)化軟件的完整性、測(cè)試與驗(yàn)證。

針對(duì)這些趨勢(shì)，Rambus正以硬件安全與功能安全I(xiàn)P為核心，通過(guò)完善的技術(shù)路線圖推動(dòng)下一代汽車芯片的創(chuàng)新。

在性能層面，Rambus正持續(xù)擴(kuò)展其高速帶寬內(nèi)存與網(wǎng)絡(luò)接口IP，以實(shí)現(xiàn)傳感器、處理器和顯示器之間更快速的數(shù)據(jù)傳輸，從而滿足ADAS和自動(dòng)駕駛系統(tǒng)對(duì)低延遲性能的需求。同時(shí)，Rambus也在強(qiáng)化其硬件與數(shù)據(jù)安全產(chǎn)品布局，為ECUs、DCUs、網(wǎng)關(guān)以及高性能計(jì)算單元提供防護(hù)，并確保車載網(wǎng)絡(luò)中的數(shù)據(jù)傳輸安全可靠。

此外，Rambus也在強(qiáng)化其芯片身份識(shí)別和真實(shí)性的解決方案，確保汽車半導(dǎo)體在其整個(gè)生命周期內(nèi)都具備可追溯性與可信度。以上這些布局共同構(gòu)成了一體化策略，幫助整車廠和一級(jí)供應(yīng)商在未來(lái)的出行平臺(tái)中實(shí)現(xiàn)更高的性能、更強(qiáng)的安全保障以及更高的可靠性。 

結(jié)語(yǔ)

現(xiàn)代汽車早已不再是單純的機(jī)械或機(jī)電系統(tǒng)，而是以計(jì)算為核心的電子生態(tài)體系。隨之而來(lái)的，是復(fù)雜性與潛在脆弱性的增加。ISO 26262標(biāo)準(zhǔn)正是為此而制定，旨在幫助汽車制造商以系統(tǒng)化的方式識(shí)別風(fēng)險(xiǎn)、設(shè)計(jì)防護(hù)機(jī)制，并驗(yàn)證這些防護(hù)措施是否真正有效。這是一種貫穿整個(gè)車輛生命周期的系統(tǒng)性方法——從概念設(shè)計(jì)階段開(kāi)始，一直延伸至車輛退役階段。