汽车智能化浪潮一方面为产业链带来了崭新的发展机遇，另一方面也对车载SoC芯片研发带来了前所未有的严峻挑战，看到国内智能汽车市场对高可靠性安全解决方案的共性需求，安谋科技本土研发团队历时两年打造了既满足EVITA HSM规范，又支持功能安全能力的“山海”S20F SPU。
安全始终是汽车产业安身立命之本，具体来说包括与驾驶安全相关的Functional Safety（功能安全）和与数据安全相关的Security（信息安全）。随着汽车“新四化”发展驶入快车道，智能汽车电子电气架构日趋复杂化和集中化，由此带来的车辆信息安全场景也在与日俱增。“新四化”之一的网联化，要求一个安全的链接，例如云端链接、设备身份认证、自动驾驶安全保障、数据安全传输需求等，这对车载芯片的安全能力提出了更高要求，信息安全模块处理能力的实时性、可靠性等方面也亟待提升。
为了保护车机敏感数据，欧盟EVITA项目专门制定了HSM（Hardware Security Module，硬件安全模块）硬件规范，并将其划分为Full（完整）、Medium（中等）和Light（轻量）三种等级，其中Full为最高安全等级。在汽车电子行业，HSM是一种被广泛认可的信息安全模块实现方式，其作为安全可信根的角色也得到业内的普遍认同与应用。
除了安全性，还要看自主可控性
当前对于汽车信息安全，中国、美国、欧洲各自有一套标准和算法，对于包括汽车在内的SoC芯片厂商来说，在选择布局安全IP产品时就非常敏感，例如需要考虑这个IP是否是本土研发的。
“早年间我在自动驾驶初创公司工作过，发现无论OEM、Tier1厂商还是投资者，所有人对于自动驾驶关注的第一个问题几乎都是安全。“2023年11月9日，安谋科技（中国）有限公司（以下简称“安谋科技”）在广州召开新品发布会，安谋科技产品研发副总裁刘浩表示，“当时有人曾问我，如果北京长安街上跑的无人驾驶汽车装的都是国外芯片，有没有安全的隐患？”举例来说，电影《速度与激情》中有一个情节是，一辆无人驾驶汽车被恐怖分子劫持去撞击大使馆。从国家安全的的角度来看，自动驾驶汽车安全确实是很有意思的问题，值得进一步探讨。
安谋科技产品研发副总裁 刘浩
汽车智能化浪潮一方面为产业链带来了崭新的发展机遇，另一方面也对车载SoC芯片研发带来了前所未有的严峻挑战，看到国内智能汽车市场对高可靠性安全解决方案的共性需求，安谋科技本土研发团队历时两年打造了既满足EVITA HSM规范，又支持功能安全能力的“山海”S20F SPU。
据介绍，“山海”S20F默认符合EVITA HSM Full信息安全等级的定义标准，既可以覆盖ADAS、智能座舱、汽车网关等对安全要求较高的车载计算场景，还能通过可配置能力，支持Medium和Light级别需求，适用于不同应用的车身域控制类芯片，以满足其注重芯片面积与安全性能相平衡的设计要求。
作为一款面向智能汽车SoC的HSM产品，“山海”S20F可提供包括CPU处理器、对外通信单元、存储器等在内的完整HSM子系统，更好地满足功能安全要求，同时还支持灵活的定制化配置，以应对不同车载计算场景对于信息安全强度的多样化需求，助力本土合作伙伴打造高安全、高可靠的车规级SoC芯片。
如今的汽车安全机制就像洋葱，一层层剥开到最后，核心是Root of Trust（安全可信根），“而山海SPU中的HSM就是支持安全可信根里最核心的一块。”刘浩表示，“S20F的核心硬件和软件测试库也得到了ISO26262:2018功能安全认证，这是国内首款支持功能安全产品认证的信息安全IP产品。”
与前两代“山海”产品相比有何不同？
资料显示，安全与物联网系统工程团队（SISE，Security/IoT System Engineering）是安谋科技成立时的三个初始研发团队之一，于2018年组建，目前团队40人分布在深圳、上海和北京。2019年，该团队发布的第一款产品 “山海”E10/E20包括两个不同的配置，作为基础版本主要用在通用MCU上。
2021年安谋科技发布的“山海”S12，相对于E系列不管从功能、性能、支持算法以及对于Arm底层安全架构的支持上，都有了很大提升。该产品的应用场景开始支持应用类处理器，可以搭配Cortex-A/R类应用处理器系统一起使用，定位是AIoT级解决方案。
安谋科技安全产品总监耿建华表示，汽车与物联网应用的最大区别在于，数据存储、传输都涉及到加密，而在软件、固件和应用升级时，都需要通过云端进行OTA升级（FOTA）。此外在一些相对高端的座舱功能中，会涉及音视频文件的播放，也会触发数字版权的管理机制（DRM）。最后是V2X（车对万物）会产生大量的信息交互，所有这些场景都是强安全场景，必须有汽车芯片提供安全能力的保障，才能构建起安全的应用。
安谋科技安全产品总监 耿建华
所以相较于前两代“山海”产品，新一代“山海”S20F不仅提供硬件加解密引擎，还能配置CPU处理器以及对外通信单元、存储器等多种辅助元件，其中CPU处理器可按需灵活集成Arm® Cortex®-M55、Cortex-R52等Arm IP以及安谋科技自研的“星辰”STAR-MC2处理器，形成具有完整信息安全能力的HSM子系统，帮助客户快速完成车载SoC开发，构建适合智能汽车的独立可信计算环境。
耿建华具体介绍了HSM和其三个级别的区别。由于汽车上不同部位的SoC或MCU安全需求有强有弱，有多有少，HSM考虑到这个情况，把安全分为了三个不同的级别：
- Full级别，包含对称算法、非对称算法和Hash算法。只有在整个安全体系里完全包含这三套算法，并且全部要求硬件化实现，才能建立起一个比较安全的整个方案。如果缺一套算法，汽车整套的安全便不成立。同时，Full级别一定是一个子系统，有自己内部的CPU；
- Medium级别，只要求对称算法是硬件化的，非对称和Hash算法则可以通过软件实现，同时也必须是一个子系统；
- Light级别，要求对称算法是硬件实现，同时不要求是一个子系统。它只是一个加解密引擎，挂在整个芯片总线上面就可以认为是HSM Light。之前提到的“山海”E10/E20、“山海”S12都属于增强版Light级别，因为三种算法都包含了。
一款符合功能安全的信息安全IP
支持功能安全能力也是“山海”S20F的一大升级亮点，据耿建华介绍，该项目在立项之初就从硬件到软件进行了功能安全设计，并在研发过程中引入需要进行功能认证的实验。如此一来第三方实验室的工作会伴随整个项目的周期，而不是像其他的产品，做完了再交给实验室去做测试。
“山海”S20F的功能安全涵盖了系统性错误（Systematic errors），也包括随机硬件失效（Random hardware faults）。其中，核心硬件密码算法引擎TrustEngine-800符合ISO26262:2018功能安全产品认证ASIL D等级的系统能力，以及ASIL B等级的随机硬件完整性要求，软件测试库（STL，Software Test Library）也达到了ASIL D最高等级要求，能够有效避免由设计实现错误或电子电气系统失灵造成的不合理风险。
exida为“山海〞S20F 颁发功能安全证书
关于为何强调功能安全，以及S20F的定位，耿建华表示，从传统汽车到智能汽车转变的过程中有非常多的信息安全诉求，所以需要一个稳定、可靠的信息安全IP为整个系统提供信息安全能力，而不能出现要用到信息安全能力时，才发现这个信息安全IP出了故障。安谋科技正是为了解决这个问题，才导入了功能安全能力，“这个功能安全能力是保证自身信息安全HSM可靠性的，总的来说，S20F对外输出的是信息安全能力，而不是功能安全能力。”
据介绍，S20F在功能安全上分为两部分：第一部分是系统性的能力，在流程建设上达到了ASIL D；第二部分是“山海”S20F产品本身硬件的完整性，或是在功能安全诊断能力上达到了ASIL D。而目前汽车行业涉及到信息安全的模块，大部分只达到了ASIL B。
在不同产品的导入层面，安谋也覆盖了ADAS、DCU、高性能MCU或域控等不同场景。“这些场景有要求ASIL D，也有要求ASIL B。其实对于整个芯片来讲，只做到ASIL B也是可以的，因为要看整颗芯片的覆盖范围。”耿建华说到，据透露山海安全方案的下一个版本会在功能安全诊断能力上做到最高级的ASIL D，为客户提供更多的选择。
车规安全芯片随着汽车架构演进而演进
安全芯片产品往往有两种形态，一种是离散的，独立于主芯片存在，另一种则是“山海”S20这种集成在主芯片里的子系统。其实回顾手机行业的发展，在3G、4G、5G刚出现到逐渐成熟的发展过程中，每一代通信基带最开始出现时大都会选择离散芯片的方案，比如应用处理器（AP）外挂一颗基带。但随着3G、4G、5G协议的稳定，基带方案大都会由离散形态变成一颗统一的集成SoC方案。
“我想可能在汽车上也会经历同样的过程，随着信息安全法律法规越来越详细，大家对于标准的认知越来越统一，安全芯片会逐渐由离散形态转化成集成形态。而且相对于离散芯片，集成在主芯片中不需要与外部设备产生协同，在内部完成数据的访问以及加解密等相关工作，表现会远远高于外部的离散器件；另外集成后也能最大限度隐藏很多物理接口，减少了攻击面，防御了相当一部分的接触式攻击。”安谋科技安全产品架构师、高级技术总监吕达夫在谈到离散和集成式安全芯片优缺点时说到。
安谋科技安全产品架构师、高级技术总监 吕达夫
但他认为未来离散式和集成式两个安全产品形态一定还会并存发展，安谋科技希望在未来的产品形态中找到较好的平衡点。“比如车规高性能计算HPC设备上的大芯片，可能会采用集中式的HSM，提供更大的算力和更好的性能和安全。对于相对来说安全级别需求不是很高的车用元器件，比如雨刮器、后视镜等部分，可能会采用相对来说比较灵活的离散方式，更加有效率。”
汽车电子电气架构正在经历一场重大的革命，虽然从外表看跟以前一样都是一个铁壳子，但内部已经逐渐从离散的ACU（Auxiliary Control Unit，辅助控制单元）向DCU（Domain Control Unit，域控制器）、HPC（高性能计算器）方向发生了不可逆的演进过程。随着这个演进过程的不断推进，吕达夫认为汽车对于信息安全技术会更关注安全性本身。
在功能安全能力方面，从早期的ECU（Electronic Control Unit），到现在的DCU，再到未来的中央集中式HPC，对功能安全的要求也是不同的。例如在智能座舱应用上的安全等级可能只需要ASIL B，而在ADAS、中央网关（Central Gateway）、DCU等应用场景上，可能要求ASIL C甚至ASIL D。最后是性能，原来ECU的数据处理能力较弱，在不断演进的过程中，数据、计算将成为汽车技术中最关键的概念和名词。
“所以在未来安全SPU演进路线上面，安谋也会将功能安全能力做到最高，同时做到可配置的，方便我们芯片的合作伙伴能够按照自身需求适配他们所需要功能安全的等级。”吕达夫说到，同时为了应对大数据的需求，性能一定也是未来SPU产品发展的重要方向。
“山海”S20F的核心技术亮点和优势
吕达夫还进一步解析了“山海”S20F的核心技术亮点。在外围设备和总线上，S20F内部拥有自己的总线来连接各种外围设备，其中Mailbox作为HSM内部子系统的对外控制模块来存在；作为子系统需要有自己的存储设备，所以BootROM、SRAM都有相应的存储能力。“这些单元都会有相应的硬件安全机制。”
在算法方面，“山海”S20F的密码算法引擎TrustEngine-800支持AES、RSA、SHA等国际通用算法以及中国商用密码算法SM系列，在满足全球通用标准的基础上，进一步契合汽车电子安全业务的本地化需求。汽车电子拥有长达10-15年的生命周期，而上层软件在如此长的周期内用到的安全强度需求会很强，所以安谋科技在非对称的算法上做到了市面上少有的RSA8192密钥强度，给了用户更多选择。
据吕达夫介绍，在CPU上S20F使用双核锁步（dual core lockstep），可以达到ASIL D功能安全等级要求。TrustEngine-800引擎内部代号“追风”（取自秦始皇的第一匹马），拥有更多安全能力，默认支持Arm TrustZone®、虚拟化以及汽车通用的异构架构功能安全岛（Safety Island）等底层架构，能够与Arm架构形成系统协同，并支持多达16个Host同时访问，为多种虚拟化应用场景提供安全支持。
在软件配置能力方面，安谋科技为了完成功能安全能力，还提供一个软件测试库（STL）。这是因为所有的功能安全能力如果全用硬件实现，会导致芯片面积过大，所以行业内在做功能安全时会采用这样的软件测试库为硬件提供周期诊断服务，一旦发现错误，这个软件有能力向上汇报，交给上层的逻辑来进行进一步的处理。这个软件测试库架构中立，支持不同CPU架构，覆盖加解密算法（非对称、摘要、对称），其他功能则由硬件功能安全机制支持。
此外，“山海”S20F可提供丰富的软件安全能力，包括OTP（One time Programming，一次性编程）、TRNG Calibration（真随机数校准）、Secure boot（安全启动）、Provisioning（配置工具）、产线烧录等软件工具，以及所有功能安全包文档来帮助合作伙伴更好地理解如何实现功能安全。
吕达夫表示，功能安全包中比较关键的是FMEDA（失效模式影响与诊断分析报告）和DFA（相关故障分析报告）。“看上去只是几篇文档加上一段代码，但这个安全包背后凝结了安谋研发小伙伴夜以继日的工作。我们算了一下，开发带有功能安全产品认证的IP，工作量大概是非功能安全能力IP的三倍。”
生命周期管理上，S20F提供了包括芯片生产、设备生产1（Tier1）、设备生产2（OEM）、设备部署、设备回收在内的五级Key Ladder，将系统性安全工程的每一个阶段必须有的安全考量到位。
目前，“山海”S20F安全解决方案已面向客户正式交付并进入商用阶段，预计未来两三年会有多款搭载“山海”S20F的客户芯片产品陆续亮相。
结语
作为安谋科技的合作伙伴之一，舆芯半导体是一家致力于设计和开发高功能安全、高信息安全车规芯片的公司，旨在为合作伙伴提供满足EVITA标准的功能安全底层驱动软件，以及完整部件的软件设计方案。
舆芯半导体汽车应用研发总监 周敬肇
舆芯半导体汽车应用研发总监周敬肇在发布会上表示，“山海”S20F既支持国际的通用算法，也支持中国商用密码标准，提供给了芯片开发企业在后续申请国密认证时的必要基础，也给了国内车规芯片厂商出海拓展的机会。“因为没有这个依据，国密认证是很难申请的。同时也给了我们国产芯片出海提供了强有力的保障，因为如果只有SM2、SM3、SM4等国密算法，而没有AES、ISA等国外算法，就很难参与国外竞争。”
汽车行业内大都以2008年欧盟启动的EVITA 项目结论作为行业依据， “山海”S20F完全满足EVITA Full标准级别，也可以适配EVITA Medium、EVITA Light不同级别的需求，也给了芯片企业很大的灵活性。周敬肇认为，汽车安全关注的是多层次保护和纵深防御，“纵深防御要求车规芯片拥有车规级的可信根，而‘山海’S20F提供了这个可信根，让我们可以做安全启动、安全输入、安全通讯等多方面的工作。”
智能汽车市场对于安谋科技来说非常重要，如今电动汽车、智能汽车在中国蓬勃发展，在中国市场还有很多像舆芯半导体这样的公司，在进军车规级芯片领域。整体来看，如今的汽车电子发展相较智能手机、数据中心仍相对落后。在过去20年，智能手机在超快速地发展，而往后看未来20年，汽车电子也会迎来翻天覆地的革新。
刘浩表示：“今天在汽车电子上发生的很多事，几乎都是20年前手机发展的翻版。20年前手机行业也是百花齐放，才发展到今天的繁荣。今天的汽车行业也是如此，传统车厂、造车新势力等一大批玩家在共同促进这个市场的演进，其大势与手机行业相比不逞多让。”
对于安谋科技或Arm来说，借手机市场的东风发展壮大后，如何在后20年抓住汽车市场的东风？希望在市场当中扮演什么样的角色？刘浩希望用Arm IP以及安谋科技的自研业务产品，共同描绘出一幅画，“这副画应当是非常漂亮的，也是非常容易下笔的，因为这对于汽车芯片厂商来说是一件大利好。安谋科技所扮演的角色一方面是‘桥梁’，把Arm全球领先的技术引进国内；另外一方面则是充当‘引擎’，推动国内汽车半导体向前创新演进，发挥‘连接’和‘推动’这两大作用。”
如今，安谋科技自研业务产品线已推出并量产“星辰”CPU系列、“周易”NPU系列、“山海”SPU系列和“玲珑”VPU系列等多款面向车用领域的产品，其中“星辰”STAR-MC2嵌入式处理器获得ASIL D（ISO 26262）与SIL 3（IEC 61508）级别认证，已经被大量应用于车芯上；“玲珑”V6/V6 VPU视频处理器能够为智能座舱提供高清视频编解码能力，也已经进入汽车市场；搭载 “周易”NPU的芯擎科技7nm“龍鷹一号”芯片被应用到了领克08上，已经在车上跑起来了，未来将会朝着更高算力方向演进，支持大模型和神经网络模型等。
“结合此次新发布的‘山海’S20F，安谋科技将形成一个非常完整的车规级产品链，为汽车芯片客户提供性能与安全兼顾的多元异构计算平台，助其实现产品创新迭代。”刘浩在发布会尾声时如此总结道。
您可能感兴趣
