隨著汽車“新四化”發(fā)展駛?cè)肟燔嚨?，智能汽車電子電氣架?gòu)日趨復(fù)雜化和集中化，由此帶來的車輛信息安全場(chǎng)景也在與日俱增，例如云端鏈接、設(shè)備身份認(rèn)證、自動(dòng)駕駛安全保障、數(shù)據(jù)安全傳輸需求等，這對(duì)車載芯片的安全能力提出了更高要求，信息安全模塊處理能力的實(shí)時(shí)性、可靠性等方面也亟待提升。7yNesmc

為了保護(hù)車機(jī)敏感數(shù)據(jù)，歐盟EVITA項(xiàng)目專門制定了硬件安全模塊(Hardware Security Module, HSM)規(guī)范，并將其劃分為Full(完整)、Medium(中等)和Light(輕量)三種等級(jí)，其中Full為最高安全等級(jí)。在汽車電子行業(yè)，HSM是一種被廣泛認(rèn)可的信息安全模塊實(shí)現(xiàn)方式，其作為安全可信根的角色也得到業(yè)內(nèi)的普遍認(rèn)同與應(yīng)用。7yNesmc

但另一方面，安全又是一個(gè)比較特殊的領(lǐng)域，中國(guó)、美國(guó)、歐洲各自有一套標(biāo)準(zhǔn)和算法，對(duì)于SoC芯片廠商來說，在選擇布局安全I(xiàn)P產(chǎn)品時(shí)就非常敏感，例如是否是本土研發(fā)的IP就需要慎重考慮。7yNesmc

“早年間我在自動(dòng)駕駛初創(chuàng)公司工作過，發(fā)現(xiàn)無論OEM、Tier1廠商還是投資者，包括政府，所有人對(duì)于自動(dòng)駕駛關(guān)注的第一個(gè)問題幾乎都是安全。“安謀科技產(chǎn)品研發(fā)副總裁劉浩日前在安謀科技“山海”S20F發(fā)布會(huì)上指出，汽車安全機(jī)制就像洋蔥，“一層層剝開，最后的核心一定是Root of Trust(安全可信根)，而山海SPU中的HSM就是支持安全可信根里最核心的一塊。”7yNesmc

7yNesmc

安謀科技產(chǎn)品研發(fā)副總裁劉浩7yNesmc

從“引擎”到“子系統(tǒng)”的跨越

了解安謀科技產(chǎn)線的人士應(yīng)該都比較清楚，“山海”SPU系列是該公司面向安全領(lǐng)域推出的全棧解決方案，前兩代產(chǎn)品：2019年發(fā)布的“山海”E10/E20和2021年發(fā)布的“山海”S12主要面向IoT/AIoT系統(tǒng)，而歷時(shí)兩年打造的“山海”S20F，則將目標(biāo)鎖定在了智能汽車市場(chǎng)。7yNesmc

7yNesmc

據(jù)安謀科技安全產(chǎn)品總監(jiān)耿建華介紹，“山海”S20F是一款既滿足EVITA HSM規(guī)范，又支持功能安全能力的信息安全產(chǎn)品，默認(rèn)符合EVITA HSM Full信息安全等級(jí)的定義標(biāo)準(zhǔn)，既可以覆蓋ADAS、智能座艙、汽車網(wǎng)關(guān)等對(duì)安全要求較高的車載計(jì)算場(chǎng)景，還能通過可配置能力，支持Medium和Light級(jí)別需求，適用于不同應(yīng)用的車身域控制類芯片，以滿足其注重芯片面積與安全性能相平衡的設(shè)計(jì)要求。7yNesmc

7yNesmc

安謀科技安全產(chǎn)品總監(jiān)耿建華7yNesmc

與前兩代產(chǎn)品相比，新一代“山海”S20F不僅提供硬件加解密引擎，還能配置CPU處理器以及對(duì)外通信單元、存儲(chǔ)器等多種輔助元件，其中CPU處理器可按需靈活集成Arm®Cortex®-M55、Cortex-R52等Arm IP以及安謀科技自研的“星辰”STAR-MC2處理器，形成具有完整信息安全能力的HSM子系統(tǒng)，幫助客戶快速完成車載SoC開發(fā)，構(gòu)建適合智能汽車的獨(dú)立可信計(jì)算環(huán)境。相比之下，“山海”E10/E20、“山海”S12則是通用的加解密引擎。7yNesmc

在安謀科技安全產(chǎn)品架構(gòu)師、高級(jí)技術(shù)總監(jiān)呂達(dá)夫看來，HSM的優(yōu)勢(shì)一是在于性能，因?yàn)镠SM是直接植入到芯片內(nèi)部的，不需要與外部設(shè)備產(chǎn)生協(xié)同，直接在內(nèi)部就可完成數(shù)據(jù)的訪問以及加解密等相關(guān)的工作，性能表現(xiàn)遠(yuǎn)遠(yuǎn)高于外部的離散器件；二是安全， HSM是在整個(gè)芯片邊界之內(nèi)的，沒有向外暴露任何物理接口，防御了相當(dāng)一部分的接觸式攻擊。7yNesmc

7yNesmc

安謀科技安全產(chǎn)品架構(gòu)師、高級(jí)技術(shù)總監(jiān)呂達(dá)夫7yNesmc

其次，S20F的核心硬件和軟件測(cè)試庫(kù)也得到了ISO26262:2018功能安全認(rèn)證，是國(guó)內(nèi)首款支持功能安全產(chǎn)品認(rèn)證的信息安全I(xiàn)P產(chǎn)品。具體而言，核心硬件密碼算法引擎TrustEngine-800符合ISO26262:2018功能安全產(chǎn)品認(rèn)證ASIL D等級(jí)的系統(tǒng)能力，以及ASIL B等級(jí)的隨機(jī)硬件完整性要求，軟件測(cè)試庫(kù)(STL)也達(dá)到了ASIL D最高等級(jí)要求，能夠有效避免由設(shè)計(jì)實(shí)現(xiàn)錯(cuò)誤或電子電氣系統(tǒng)失靈造成的不合理風(fēng)險(xiǎn)。7yNesmc

在算法方面，“山海”S20F的密碼算法引擎TrustEngine-800支持國(guó)際通用算法以及中國(guó)商用密碼算法，在滿足全球通用標(biāo)準(zhǔn)的基礎(chǔ)上，進(jìn)一步契合汽車電子安全業(yè)務(wù)的本地化需求。此外，“山海”S20F可提供豐富的軟件安全能力，包括安全啟動(dòng)、安全燒錄、隨機(jī)數(shù)調(diào)校工具等。7yNesmc

7yNesmc

耿建華表示，在從通用產(chǎn)品到垂直行業(yè)的發(fā)展道路上，安謀科技之所以首先選擇智能汽車領(lǐng)域，是因?yàn)殡S著汽車“新四化”駛?cè)肟燔嚨?，安全鏈接、設(shè)備身份認(rèn)證、數(shù)字版權(quán)管理(DRM)、V2X、云端OTA升級(jí)(FOTA)、數(shù)據(jù)的加密存儲(chǔ)與傳輸?shù)?ldquo;強(qiáng)安全”應(yīng)用場(chǎng)景對(duì)汽車安全的需求越來越高，必須要有足夠安全能力的保障才能構(gòu)建起整個(gè)安全體系。7yNesmc

汽車，不只關(guān)注信息安全

如前文所述，在“山海”S20F支持的眾多功能中，對(duì)功能安全能力的支持無疑是最大的升級(jí)亮點(diǎn)。之所以如此強(qiáng)調(diào)功能安全，耿建華解釋說，功能安全包含兩個(gè)維度：Security和Safety，前者保護(hù)數(shù)據(jù)，后者保護(hù)人身、設(shè)備、車機(jī)安全，并通過以下兩類事項(xiàng)體現(xiàn)在ISO26262規(guī)范中：7yNesmc

一是系統(tǒng)性錯(cuò)誤（Systematic errors），主要針對(duì)在產(chǎn)品定義、開發(fā)、生產(chǎn)階段，因?yàn)榭紤]不周出現(xiàn)的問題，解決方法便是通過建立嚴(yán)格的流程體系進(jìn)行規(guī)范；7yNesmc

二是隨機(jī)硬件失效（Random hardware faults），這是在設(shè)備、車機(jī)運(yùn)行過程當(dāng)中，因?yàn)闇囟?、濕度、壓力以及時(shí)間周期等原因?qū)е碌挠布收?。這樣的故障沒有辦法通過流程體系建設(shè)規(guī)避，只能在做產(chǎn)品設(shè)計(jì)時(shí)通過功能機(jī)制加以解決。7yNesmc

而在從傳統(tǒng)汽車到智能汽車轉(zhuǎn)變的過程中有非常多的信息安全訴求，所以需要一個(gè)穩(wěn)定、可靠的信息安全I(xiàn)P為整個(gè)系統(tǒng)提供信息安全能力，絕不能出現(xiàn)“直到使用時(shí)才發(fā)現(xiàn)信息安全I(xiàn)P出了故障”的現(xiàn)象。安謀科技為S20F導(dǎo)入功能安全能力，正是出于這樣的考慮，畢竟“這個(gè)功能安全能力是要保證自身信息安全HSM可靠性的”。7yNesmc

為此，該項(xiàng)目在立項(xiàng)之初就從硬件到軟件進(jìn)行了功能安全設(shè)計(jì)，并在研發(fā)過程中引入需要進(jìn)行功能認(rèn)證的實(shí)驗(yàn)，以確保第三方實(shí)驗(yàn)室的工作會(huì)伴隨整個(gè)項(xiàng)目的周期，而不是將產(chǎn)品做完之后再交給實(shí)驗(yàn)室去做測(cè)試。7yNesmc

7yNesmc

“山海〞S20F 功能安全證書頒發(fā)儀式7yNesmc

總體而言，S20F在功能安全上分為兩部分：第一部分是系統(tǒng)安全能力在流程建設(shè)上達(dá)到ASIL D最高標(biāo)準(zhǔn)；第二部分是“山海”S20F產(chǎn)品本身硬件的完整性，或是在功能安全診斷能力上達(dá)到了ASIL D。而目前汽車行業(yè)涉及到信息安全的模塊，大部分只達(dá)到了ASIL B。7yNesmc

在不同產(chǎn)品的導(dǎo)入層面，安謀也覆蓋了ADAS、DCU、高性能MCU或域控等不同場(chǎng)景。“這些場(chǎng)景有要求ASIL D，也有要求ASIL B。其實(shí)對(duì)于整個(gè)芯片來講，只做到ASIL B也是可以的，因?yàn)橐凑w芯片的覆蓋范圍。”耿建華透露稱，“山海”安全方案的下一個(gè)版本會(huì)在功能安全診斷能力上做到最高級(jí)的ASIL D，為客戶提供更多的選擇。7yNesmc

7yNesmc

值得一提的是，“山海”S20F還提供完整的符合Arm功能安全交付標(biāo)準(zhǔn)的功能安全包，內(nèi)含比較關(guān)鍵的FMEDA(失效模式影響與診斷分析報(bào)告)、DFA(相關(guān)故障分析報(bào)告)、以及Software Test Library(軟件測(cè)試庫(kù)源代碼)。7yNesmc

“雖然看上去只是幾篇文檔加一段代碼，但它背后凝結(jié)了安謀科技研發(fā)團(tuán)隊(duì)夜以繼日的工作。”呂達(dá)夫說，開發(fā)帶有功能安全產(chǎn)品認(rèn)證的IP，工作量是非功能安全能力IP的3倍，如果能夠幫助合作伙伴進(jìn)行汽車芯片產(chǎn)品設(shè)計(jì)及安全評(píng)估，進(jìn)而確保功能安全能力的有效落地，所有的付出都是值得的。7yNesmc

還有哪些亮點(diǎn)？

首先在CPU上，S20F使用雙核鎖步(dual core lockstep)，可以達(dá)到ASIL D功能安全等級(jí)要求。代號(hào)“追風(fēng)”的TrustEngine-800引擎擁有更多安全能力，默認(rèn)支持Arm TrustZone®、虛擬化以及汽車通用的異構(gòu)架構(gòu)功能安全島(Safety Island)等底層架構(gòu)，能夠與Arm架構(gòu)形成系統(tǒng)協(xié)同，并支持多達(dá)16個(gè)Host同時(shí)訪問，為多種虛擬化應(yīng)用場(chǎng)景提供安全支持。7yNesmc

算法方面，TrustEngine-800支持AES、RSA、SHA等國(guó)際通用算法以及中國(guó)商用密碼算法SM系列?？紤]到汽車電子擁有長(zhǎng)達(dá)10-15年的生命周期，而上層軟件在如此長(zhǎng)的周期內(nèi)用到的安全強(qiáng)度需求會(huì)很強(qiáng)，所以安謀科技在非對(duì)稱的算法上做到了市面上少有的RSA8192密鑰強(qiáng)度，給了用戶更多選擇。7yNesmc

7yNesmc

在外圍設(shè)備和總線上，S20F內(nèi)部擁有自己的總線來連接各種外圍設(shè)備，其中Mailbox作為HSM內(nèi)部子系統(tǒng)的對(duì)外控制模塊來存在；作為子系統(tǒng)需要有自己的存儲(chǔ)設(shè)備，所以BootROM、SRAM都有相應(yīng)的存儲(chǔ)能力。“這些單元都會(huì)有相應(yīng)的硬件安全機(jī)制。”7yNesmc

軟件測(cè)試庫(kù)(STL)為硬件提供周期診斷服務(wù)，一旦發(fā)現(xiàn)錯(cuò)誤，有能力向上匯報(bào)，交給上層邏輯來進(jìn)行進(jìn)一步的處理。該軟件測(cè)試庫(kù)架構(gòu)中立，支持不同CPU架構(gòu)，覆蓋加解密算法(非對(duì)稱、摘要、對(duì)稱)，其他功能則由硬件功能安全機(jī)制支持。7yNesmc

同時(shí)，“山海”S20F還提供豐富的軟件安全能力，包括OTP(One time Programming，一次性編程)、TRNG Calibration(真隨機(jī)數(shù)校準(zhǔn))、Secure boot(安全啟動(dòng))、Provisioning(配置工具)、產(chǎn)線燒錄等軟件工具，以及所有功能安全包文檔來幫助合作伙伴更好地理解如何實(shí)現(xiàn)功能安全。7yNesmc

7yNesmc

生命周期管理上，S20F提供了包括芯片生產(chǎn)、設(shè)備生產(chǎn)1（Tier1）、設(shè)備生產(chǎn)2（OEM）、設(shè)備部署、設(shè)備回收在內(nèi)的五級(jí)Key Ladder，將系統(tǒng)性安全工程的每一個(gè)階段必須有的安全考量到位。7yNesmc

目前，“山海”S20F安全解決方案已面向客戶正式交付并進(jìn)入商用階段，預(yù)計(jì)未來兩三年會(huì)有多款搭載“山海”S20F的客戶芯片產(chǎn)品陸續(xù)亮相。7yNesmc

車規(guī)安全方案的形態(tài)之爭(zhēng)

目前，汽車電子電氣架構(gòu)正在經(jīng)歷一場(chǎng)重大的革命，即從離散的ACU(Auxiliary Control Unit，輔助控制單元)向DCU(Domain Control Unit，域控制器)、Central HPC(中央高性能計(jì)算)方向發(fā)生了不可逆的演進(jìn)過程。隨著這個(gè)演進(jìn)過程的不斷推進(jìn)，呂達(dá)夫認(rèn)為汽車對(duì)于信息安全技術(shù)會(huì)提出以下幾個(gè)明確的要求：7yNesmc

在功能安全能力方面，從早期的ECU(Electronic Control Unit)，到現(xiàn)在的DCU，再到未來的中央集中式HPC，千差萬別的芯片對(duì)功能安全的要求也各不相同。例如在智能座艙應(yīng)用上的安全等級(jí)可能只需要ASIL B，而在ADAS、中央網(wǎng)關(guān)(Central Gateway)、DCU等應(yīng)用場(chǎng)景上，可能要求ASIL C甚至ASIL D。7yNesmc

“所以在未來安全SPU演進(jìn)路線上面，安謀也會(huì)將功能安全能力做到最高，同時(shí)做到可配置的，方便我們芯片的合作伙伴能夠按照自身需求適配他們所需要功能安全的等級(jí)。”呂達(dá)夫說。7yNesmc

然后是性能，原來ECU的數(shù)據(jù)處理能力較弱，在不斷演進(jìn)的過程中，數(shù)據(jù)、計(jì)算將成為汽車技術(shù)中最關(guān)鍵的概念和名詞。為了應(yīng)對(duì)大數(shù)據(jù)的需求，性能一定也是未來SPU產(chǎn)品發(fā)展的重要方向。7yNesmc

那么，這樣明確的演進(jìn)趨勢(shì)，會(huì)對(duì)安全芯片產(chǎn)品產(chǎn)生怎樣的影響？7yNesmc

眾所周知，目前的安全芯片基本采用兩種形態(tài)：獨(dú)立于主芯片存在的“離散型”和集成在主芯片里的子系統(tǒng)。呂達(dá)夫認(rèn)為，汽車行業(yè)大概率會(huì)重演手機(jī)行業(yè)不斷整合的趨勢(shì)，即隨著信息安全法律法規(guī)越來越詳細(xì)，大家對(duì)于標(biāo)準(zhǔn)的認(rèn)知越來越統(tǒng)一，安全芯片會(huì)逐漸由離散形態(tài)轉(zhuǎn)化成集成形態(tài)。7yNesmc

但這兩種形態(tài)間又不會(huì)是完全互相取代的關(guān)系，比如車規(guī)高性能計(jì)算HPC設(shè)備上使用的大芯片，集中式HSM能提供更大的算力、更好的性能和安全；而對(duì)安全級(jí)別需求不是很高的車用元器件，比如雨刮器、后視鏡等部分，采用離散方式，更加靈活、高效。7yNesmc

結(jié)語

今天在汽車電子上發(fā)生的很多事，幾乎都是20年前手機(jī)發(fā)展的翻版。20年前手機(jī)行業(yè)也是百花齊放，才發(fā)展到今天的繁榮。今天的汽車行業(yè)也是如此，傳統(tǒng)車廠、造車新勢(shì)力等一大批玩家在共同促進(jìn)這個(gè)市場(chǎng)的演進(jìn)，其大勢(shì)與手機(jī)行業(yè)何其相似。7yNesmc

劉浩希望安謀科技所扮演的角色一方面是“橋梁”，把Arm全球領(lǐng)先的技術(shù)引進(jìn)國(guó)內(nèi)；另外一方面則是充當(dāng)“引擎”，通過“星辰”CPU系列、“周易”NPU系列、“山海”SPU系列和“玲瓏”VPU系列等多款面向車用領(lǐng)域的產(chǎn)品，為汽車芯片客戶提供性能與安全兼顧的多元異構(gòu)計(jì)算平臺(tái)，推動(dòng)國(guó)內(nèi)汽車半導(dǎo)體向前創(chuàng)新演進(jìn)，發(fā)揮“連接”和“推動(dòng)”這兩大作用。7yNesmc