点击上方蓝字谈思实验室
获取更多汽车网络安全资讯
![]()
什么是 Automotive Grade（也就是我们常说的车规级）？就是始终如一的可靠性。汽车发动机起动的那一刻开始就得在酷热的夏季和严寒的冬夜里工作。手机寿命为 2 至 4 年，但您的汽车要用十年以上。此外，所有汽车零部件都必须抵御更大的温度波动。如果消费类电子设备（如智能手机）承受的温度超过其有限的耐受范围，就可能发出错误的信息或干脆关机。这在车规级系统中是无法容忍。所以汽车工程师要确保从仪表集群，导航屏幕到高级驾驶员辅助系统以及自动驾驶传感器，芯片等所有零部件都能满足严苛要求。这就是我们的汽车解决方案（硬件）额定运行温度为 -40~105 摄氏度，甚至 125 摄氏度的原因。耐温性只是影响我国汽车系统规范和测试的关键因素之一，相对于消费者级别的同类产品而言，我国对汽车系统规范和测试方法提出了更严格的要求。例如，安全功能件必须有经过 ISO 26262 ASIL 认证的专用生产线（当然也要具备 IATF16949 的基础），以消除制造过程中人为失误的可能性。使用任何达不到最高要求的商品都会放大驾驶安全所带来的危险。近年来，越来越多的传感器、芯片等新的汽车电子产品导入到汽车行业，车规级也开始变得乱象丛生。满足、符合、达到......满大街都是初创公司，车规级三字前加令人目不暇接的定语自然也有车规级二字后加“量产”二字的，那就是另一种无法言喻的“赤裸裸”PR。符合，汉语词典解释为：合乎现存的样式，格式或规范。满足，解释为：对某件事情“感到”已足够了，要注意这是个主观判断。达到，解释为：多表示抽象的事物或度，如到达获得/未到达，同为主观判断。换言之，符合就是“正品”。那些被称为满足，实现的词汇就是你的“臆想”。也有一些细微的称呼：例如，听从车规级设计。其实，其中很有猫腻。当然，不管你怎么 PR，产品最后都要送到“战场”去检验（比如，经常会碰到很多供应商，拍胸脯说“自己的产品过车规没问题”）。目前，车规级汽车电子比较相关的就是 AEQ 质量标准。AEC-Q100 是一种基于封装集成电路应力测试的失效机制。汽车电子委员会(AEC)总部设在美国，最初由三大汽车制造商（克莱斯勒、福特和通用汽车）建立，目的是建立共同的零部件资格和质量体系标准。在 1992 年夏天的一次 JEDEC 会议上产生了建立 AEC 的想法。提出了共同资格规范的想法，作为改善这种情况的一种可能方法。在随后的 JEDEC 会议上，确定共同合格规范的想法是可行的，不久之后就开始了 Q100(集成电路压力测试合格)的工作。当前 AEC-Q100 在集成电路中的应用以离散部件 AEC-Q101 和无源部件 AEC-Q200 为主。其中 AEC-Q100 分五个级别以温度范围为根本划分准则。其中，0 级最高（-40°C to+150°C），1 级为 -40°C to+125°C，2 级为-40°C to+105°C（也就是比较常见的），最低级是 4 级（0°C to+70°C）。0 级以引擎盖下方环境条件最差为主，1、2级用在汽车其他部位。除 AEQ 外，另一个需要遵循的规范是 2011 年国际标准化组织（ISO）制定的 ISO 26262，主要用于功能安全件，如 ADAS 相关的传感器和系统。汽车安全完整性等级(ASIL)就是由 ISO 26262 -道路车辆功能安全标准定义的一种风险分类方案。这是对 IEC 61508 中用于汽车工业的安全完整性级别的调整。这种分类有助于定义符合 ISO 26262 标准所必需的安全要求。ASIL 是将潜在危险作为风险分析的目标，通过观察汽车行驶情景的严重性、暴露程度和可控性来设定的。该危害安全目标也符合 ASIL 的规定。ASIL A、ASIL B、ASIL C、ASIL D是四个等级，其中 ASIL D 对产品的完整性要求最高，ASIL A 最低。ASILs 由危害分析与风险评估确立。对汽车上的每个电子元件，工程师必须测出三个特定变量：严重程度（司机和旅客伤害分类）和暴露程度（汽车接触危险的次数）、可控性（司机可以做到什么程度才能避免伤害），所有这些变量都被分解为子类。严重程度有“无伤”（S0）至“致命/致命伤”（S3）4 种。曝光分为五类，涵盖“很不太可能”（E0）和“非常可能”（E4）。可控性有四种类型，即由“一般可控”（C0）向“不可控”（C3）的转变。所有变量和子分类都被分析并结合在一起，从而决定了期望 ASIL。如安全气囊、防抱死刹车、动力转向系统等系统要求 ASIL-D 级——安全保障采用最严密性的系统——因为与之发生故障相关的风险最大。另一头，尾灯等零件仅需 ASIL-A级别。头灯和刹车灯一般是 ASIL-B，而巡航控制一般是 ASIL-C。考虑到确定 ASIL 危害等级所涉及的猜测工作，汽车工程师协会(SAE)在 2015 年起草了 J2980，“ISO 26262 ASIL 危害等级的考虑因素”。这些准则对具体危害暴露程度，严重程度，可控性等方面的评价有较为清晰的指引。ISO 26262 已经成为汽车开发过程中功能性安全的指导标准。但近年来，随着 ADAS 及自动驾驶技术的快速导入，这一标准的瓶颈也开始出现。J2980 还在继续发展 —— SAE 在 2018 年发布了一个修订版。随着自动驾驶汽车的发展，ISO 26262 将需要重新定义“可控性”，这一定义目前属于人类驾驶员。按照目前的标准，没有人工驾驶意味着可控性将永远是 C3，即“无法控制”的极限。“其他变量的严重程度(伤害)和暴露(可能性)无疑也需要重新检查。国际标准化组织还对 ISO26262:2018 进行了更新。本版增加了汽车功能安全环境下半导体设计与使用指导。芯片（单片机）第一次被运用到汽车中，用来控制发动机的运转。它称为 ECU 或发动机控制单元。1968 年大众汽车上出现了首款 ECU，实现了特定的功能：EFI（电子燃油喷射）。时至今日，汽车上已有 50 个多 ECU 专为动力系统，车载娱乐系统，主动安全系统以及通信系统等各方面进行监控。接下来，除了分布式网络和集中域控制架构外，更多的芯片（比过去的ECU更为复杂）也将出现在新车中。ISO26262:2018 第 11 部分全面概述功能安全相关半导体产品的研发项目。这些问题包括半导体元件整体描述及其发展和可能划分。包括相关的硬件故障、错误和故障模式。本发明也涉及知识产权（IP）特别是与 ISO 26262 有关的有一个或更多安全要求的知识产权。但是现如今汽车电子产品的可靠性出现了越来越多的新问题，造成了整个供应链的混乱局面，与此同时还发现了一系列的问题，如数据不充分、定义不清晰、专业水平参差不齐等等。例如大部分汽车芯片并不基于高级节点进行研发。但那些需要大量计算能力才能在瞬间做出安全关键决策的技术，比如人工智能，将需要最高的可用密度。由此而产生的可靠性问题在高级节点上主要被忽视了，因为使用上述技术开发出的芯片多数之前都以消费类电子或受控环境为对象。同时，较新的制造工艺通常比已有的成熟和老工艺技术生产出更具缺陷的零部件。该缺陷密度大意味着制造后测试达到相同质量水平时仍需达到更高的缺陷覆盖率。利用抽象逻辑故障模型产生测试序列进行缺陷检测的传统方法已不完全适用。要使用高级过程节点的复杂集成电路来实现自动化级别的质量级别，就需要测试模式生成理解缺陷如何以及在哪里被物理地揭露，并且必须知道这些缺陷在模拟意义上的行为，而不仅仅是数字意义上的行为。例如使用 finFET 工艺前逻辑单元内以及互连线内缺陷对半分割普遍存在。当finFET被提出时，相对于互连层而言，晶体管及相关逻辑单元制作工艺复杂度成比例增加。随着更多晶体管技术被提出，这一差别有望延续至5nm,3nm和更低。但所有的汽车电子产品，特别是安全关键部件和系统，现在都要在生产过程中和生产完成后进行严格的测试。可靠性也存在一个与成本成正比的问题。在汽车安全关键部件和系统的设计中，供应链上下的每一个供应商都要完成更多的环节，这就增加了更多的测试时间，继而加大了成本。众所周知，汽车零部件的检测是最复杂和最昂贵的检测。现在人们都在想办法削减成本，但汽车行业非常谨慎和有条理。解决这个问题有两种完全不同的想法。一种是采用系统级测试，费用比较昂贵，但是允许在实际系统背景中进行测试。但是系统级测试是否真的能增加总体成本还不清楚，因为温度通常需要三个不同的插入点而系统级测试可能只需要一个插入。另一种方法是先关注成本，然后找出哪些测试是必要的，哪些测试是不必要的。此外，并不是所有的错误都是一样的，也不是所有的错误都是可以预测的。ISO 26262 识别系统故障，系统故障是我们可以发现、预测和修复的故障，而随机故障则属于“发生的事情”。要使汽车系统可靠、安全，现在整个汽车供应链必须融入一种安全文化，可靠性是根本，虽然没有 100% 可靠。比如，一方面传统半导体供应商，需要开始和 OEM 制造商开始深入交流，而过去这些交流停留在 Tier1 层面；另一方面，传统半导体供应商还可能需要和 Tier1 或 OEM 进行竞争，而后者则可能自己生产芯片或对半导体供应商合作伙伴提出明确要求。此外，还包括涌入汽车行业的数以千计的初创公司，它们在汽车行业相对缺乏经验。而 ISO 26262 要求在整个价值链中进行高水平的协作和信息共享，这可能是新进入者所不熟悉的。过去供应链采用瀑布模型，OEM 会给一级供应商提供一个规范，然后他们再决定涉及哪个二级供应商，以此类推，直到 3 级和 4 级。今天，这一进程对汽车制造商来说已经变得太慢了，信息沟通不足。许多汽车制造商都开始打破这一传统价值链。他们开始直接接触原始技术供应商（过去可能是 Tier2 甚至是 Tier3），因为他们想知道这项技术真正能做什么，特别是在尖端技术领域。他们也想知道这些之前未直接对接的间接供应商在做什么实验，以确保产品生命周期能持续 10 年以上。而 Tier2 乃至 Tier3 对这些产品都很感兴趣，因为他们还想了解最终用户 OEM 究竟在使用这些产品干什么，应在什么应用条件下运行？纵观汽车产业，科技是不断变革的，安全可靠的标准也是越来越严。而对于那些到处喊着“车规级”的创业企业来说，坑蒙挂骗并不适用于汽车行业，相反恰恰是汽车行业“进入门槛较高”的表现。消费电子芯片和车规芯片的设计考虑重点有很大不同，导致工艺制程也有很大不同。硬要比高低的话，像评论《天龙八部》中乔峰“降龙十八掌”和《倚天屠龙记》中张无忌“九阳神功”孰强孰弱，确实很难面面俱到，下面小编尝试剖析一番，以飨读者。不管是手机，平板电脑，机顶盒还是智能穿戴设备消费电子芯片，在研发阶段都会考虑性能，功耗和成本等三个方面维度。
智能机时代芯片性能强与弱成为了评价一个型号优劣的重要标准，不管是开黑王者荣耀，还是吃鸡和平精英都可以用更强的 CPU 芯片来带来极致游戏感受。以高通骁龙 865 芯片为例，采用 1*Cortex-A77（2.84GHz）+3*Cortex A77（2.42GHz ）+4*Cortex-A55（1.8GHz ）的架构，NPU 可以实现 15 万亿次/秒的运算能：ISP速度达到了 20 亿像素/秒的处理速度，可以支持2亿像素摄像头。一块芯片上数十亿个晶体管在高频工作时，会产生大量的动态功耗、短路功耗和漏电功耗，如果不加以控制，不仅会出现计算错误的结果，甚至可以把电路中某些环节会融合到一起而使得芯片无法修复。所以消费电子除了追求性能外，还要兼顾功耗问题，不然很容易出现机身烫手、待机时间减少、使用体验下降等问题。随着芯片性能的日益强悍，芯片价格不断上涨，在手机总成本中占据了越来越大的份额。以高通骁龙 865 为例，成本在 700 元左右，占所搭载的机型成本比例分别为小米 10pro 占比 14%、红米 K30pro 占比 23%、OPPO findX2pro 占比 10%、三星 S2ultra 占比为 7%；麒麟 990 的成本约为 500 元，约占华为 nova6 售价的 16%、P40 售价的 10%、P40 PRO售价的 7%、P40 pro plus 售价的 5%；联发科天玑1000的价格是 280 元，约占 OPPO Reno3 售价的 9.8%；所以不管是从提升产品的竞争力或者是提升企业利润的角度来看，对芯片成本进行控制是非常有必要的。汽车芯片因其交通工具的特殊性而十分注重可靠性，安全性及长效性！为何首推可靠性？由于车规芯片的特点：发动机舱内温度区间为 -40°C~150°C，所以车辆芯片要满足这一较大温度运行区间，消费芯片仅要满足 0°C~70°C 的运行环境。加之车辆行进时会遇到较多振动与冲击，且车内环境湿度大，粉尘大，侵蚀大等问题远超消费芯片所需。手机的生命周期在 3 年，最多不超过 5 年，而汽车设计寿命普遍都在 15 年或 20 万 公里左右，远大于消费电子产品寿命要求。因此，汽车芯片的产品生命周期要求在 15 年以上，而供货周期可能长达 30 年。在这样的情况下，如何保持芯片的一致性、可靠性，是车规芯片首先要考虑的问题。汽车芯片的安全主要由功能安全与信息安全两个方面组成。手机芯片死掉可以停机重新启动，但一旦汽车芯片宕机就有可能引发严重安全事故，这对于消费者而言根本无从谈起。因此，在汽车芯片设计时，首先要将功能安全放在架构设计之初就成为车规芯片中极为重要的组成部分，采用独立的安全岛的设计，在关键模块、计算模块、总线、内存等等都有 ECC、CRC 的数据校验，包括整个生产过程都采用车规芯片的工艺，以确保车规芯片的功能安全。随着车联网技术的推广，信息安全变得越来越重要，汽车作为实时在线设备，其与网络的沟通包括与车内车载网络沟通，都要加密数据，不然就有可能被黑客入侵。因此有必要预先将高性能加密校验模块嵌入到芯片内部。针对功能安全，国际组织 IEC 发布了 IEC 61508 标准，并衍生出了一系列适用不同行业的功能安全标准，如下图：手机芯片的发展基本遵循摩尔定律，每年都会发布新一代芯片，每年都有新旗舰机的上市，基本上一款芯片能满足两三年内的软件系统性能需求即可。但汽车开发周期较长，新车型从研发到上市验证需要至少两年的时间，意味着汽车芯片设计必须具有前瞻性，能够满足顾客今后 3 ~ 5 年内的一种前瞻性需求。此外，随着当前汽车中软件数量的不断增加，从芯片开发角度看，不仅需要支持多个操作系统，而且还需要支持软件中不断迭代的要求。所以车规级芯片表现出产业化周期长、供应体系阈值高等特点。进入汽车电子主流供应链体系需满足多项基本要求：满足北美汽车产业所推出的 AEC-Q100(IC)、101(离散元件)、200 (被动零件)可靠度标准；遵从汽车电子、软件功能安全国际标准 ISO 26262；符合 ISO 21448 预期功能安全，覆盖基于非系统失效导致的安全隐患；符合 ISO21434 网络安全要求，合理保证车辆及系统网络安全；满足零失效供应链品质管理准则 IATF 16949 标准。基本上一个芯片车规级认证一般需要 3 - 5 年的时间，这对于芯片厂商来说是巨大的技术成本，生产成本和时间成本考验。Mobileye 用了整整 8 年才获得第一张车企订单，英伟达当前主力芯片 Xavier 的研发耗资达 20 亿美元。芯片制作时，减小芯片内部电路间距离能将较少晶体管塞到较少芯片上，使其运算性能较强，同时也能带来降低功耗。所以从早期微米到晚期纳米芯片对制程工艺大小十分重视。然而制程不可能无限地收缩，电晶体收缩至约 20 纳米时会遭遇量子物理上的困扰，晶体管漏电，抵消了收缩栅极长度所带来的好处。为了解决这个问题，加州大学伯克利分校的胡正明教授发明了鳍式场效应晶体管（FinFET）大幅改善电路控制并减少漏电流。目前，手机芯片工艺制程从较早的 90 纳米，到后来的 65 纳米、45 纳米、32 纳米、28 纳米、16 纳米、12 纳、7 纳米、一直发展到目前最新的 5 纳米。手机芯片的制程尺寸正在向 1 纳米进发。传统车用芯片的制备，因汽车自身空间大，集成度要求不如手机这种消费电子迫切。加之车用芯片以发电机，底盘，安全和车灯控制等为核心的低算力领域使得汽车芯片并没有象消费电子芯片那样狂热地追逐高级制程工艺，而是倾向于优先选择成熟的制程工艺。不过随着汽车智能化的发展，更高级别的自动驾驶对高算力的急迫需求，将推动着汽车算力平台制程向 7 纳米及以下延伸。NXP 打算在 2021 年推出基于 5nm 制程的下一代高性能汽车计算平台。曾几何时，汽车芯片市场因其市场规模的限制而变得十分小众，所以很少有外来入局者进入，数十年间都为恩智浦，德州仪器和瑞萨半导体这些汽车芯片巨头垄断着。随着汽车电子化和智能化水平的不断提高，汽车电子系统的市场规模在逐年增大，三星，英特尔，高通，英伟达，赛灵思等顶尖芯片企业相继涉足汽车芯片领域，同样给我国企业营造出一种‘变中求机’的局面。在功能芯片领域，上市公司中颖电子、兆易创新、东软载波都涉及汽车电子领域，但市占率极少。杰发科技于 2018 年收获车规级 MCU 芯片订单，标志国内首款通过AEC-100 Grade1 的车规级 MCU 正式量产上市，打破国外的技术垄断。在主控芯片方面，华为以昇腾，昇腾和麒麟等系列芯片为核心，完整地布局汽车智能计算平台，地平线则率先量产 AI 芯片上车。车载存储芯片方面兆易创新和合肥长鑫紧密合作，2019 年推出 GD25 全系列 SPI NOR FLASH，满足 AEC-Q100 标准,是目前唯一全国产化车规存储器解决方案；宏旺半导体推出 eMMC/DDR/LPDDR/SSD/DIMM 等嵌入式存储、移动存储，拓展汽车电子应用领域。在车载通信芯片领域，华为已累计为全球数百万辆汽车提供 4G 通信模组，5G 模组也已实现量产上车；C-V2X 领域，国内涌现出华为、大唐、高新兴、移远通信等为代表的一大批 C-V2X 芯片\模组企业，华为基带芯片 Balong 765 、Balong 5000 相继应用于车载单元和路边单元，大唐高鸿顺利实现C-V2X车规级模组 DMD3A 量产。国外公司高通和国内模组厂商如高新兴和移远通信的广泛合作促进了 C-V2X 芯片组的推广和应用，Autotalks 也积极和大唐及其他国内厂商开展 C-V2X 芯片的互操作实验。在功率芯片领域，MOSFET 方面，闻泰科技占据全球4%的市场份额，华润微电子在国内 MOSFET 市场占比 8.7%；IGBT，国内公司以株洲中车时代电气，比亚迪，斯达股份和上海先进为主。从整体上看，中国芯片产业起步晚、基础差，在车规级研发与量产应用过程中也面临着很多限制。国外芯片巨头依然占领中国本土车用半导体芯片市场国内公司技术积累，资金和人才都不能和国际巨头竞争大环境，中国汽车芯片产业要想取得突破并走向强盛，不是一蹴而就的，必须立足于现在，按照行业发展客观规律办事，谨防毕其功于一役投机思维，防止出现投资过热、盲目低水平重复建设等问题，抓住智能网联与新能源的发展契机，才有可能由单点突破向生态突围转变。在中国智能汽车市场蓬勃发展、国家支持国产芯片企业蓬勃发展的大背景下，我们坚信：中“芯”火，一定会燎原！汽车芯片按功能主要分为计算与控制芯片、传感器芯片、功率半导体、模拟和通信芯片、存储芯片等种类。主要用于计算分析和决策。传统汽车分布式 E/E 架构下 ECU 控制单一功能，用 MCU 芯片即可满足要求，而汽车域集中架构下的域控制器（DCU）和中央集中式架构下的中央计算机则需要 SOC 芯片。MCU / SOC 计算核心分为 CPU、GPU、DSP、ASIC、FPGA 等多种。MCU 又称单片机，一般只包含 CPU 一个处理单元，MCU = CPU + 存储 +接口单元；SOC 是系统级芯片，一般包含多个处理单元，例如：SOC 可为 CPU + GPU +DSP + NPU + 存储 + 接口单元。ASIC 是专用处理器芯片，FPGA是“半专用”处理器芯片。主要负责车身状态和外界环境的感知和采集。传统汽车车用传感器主要有 8 种：压力传感器、位置传感器、温度传感器、加速度传感器、角度传感器、流感传感器、气体传感器和液位传感器，而智能电动车还包括 CIS、激光雷达、毫米波雷达、MEMS 等半导体产品。主要负责功率转换，多用于电源和接口。例如：IGBT功率芯片、MOSFET等。目前电动车（不含 48VMHEV）系统架构中涉及到功率器件的组件包括：电机驱动系统中的主逆变器、车载充电系统（OBC）、电源转换系统（DC-DC）和非车载充电桩。
IGBT (Insulated Gate Bipolar Transistor)，中文名称绝缘栅双极型晶体管，是由 BJT 和 MOSFET 组成的复合功率半导体器件，同时具备 MOSFET 开关速度高、输入阻抗高、控制功率低、驱动电路简单、开关损耗小的优点。MOSFET（Metal Oxide Semiconductor Field Effect Transistor-金属氧化物半导体场效应晶体管）是一种半导体器件，广泛用于开关目的和电子设备中电子信号的放大。SiC 是由硅(Si)和碳(C)组成的化合物半导体材料，是目前在电力电子领域发展最快的功率半导体器件之一。模拟芯片主要处理连续的声、光、电、速度等自然模拟信号的集成电路，通讯芯片主要用于总线控制、蓝牙/WiFi等方面。主要用于数据存储。DRAM、NAND Flash 是车载存储芯片主流产品。来源：ADS智库
2023第六届无人驾驶及智能驾舱中国峰会，5月11-12日，上海
AutoSec 7周年年会暨中国汽车网络安全与数据安全合规峰会，5月11-12日，上海
更多文章
智能网联汽车信息安全综述
会员权益: (点击可进入)谈思实验室VIP会员
谈思实验室专注智能汽车信息安全、预期功能安全、自动驾驶、以太网等汽车创新技术，为汽车行业提供最优质的学习交流服务，并依托强大的产业及专家资源，致力于打造汽车产业一流高效的商务平台。
每年谈思实验室举办数十场线上线下品牌活动，拥有数十个智能汽车创新技术的精品专题社群，覆盖BMW、Daimler、PSA、Audi、Volvo、Nissan、广汽、一汽、上汽、蔚来等近百家国内国际领先的汽车厂商专家，已经服务上万名智能汽车行业上下游产业链从业者。专属社群有：信息安全、功能安全、自动驾驶、TARA、渗透测试、SOTIF、WP.29、以太网、物联网安全等，现专题社群仍然开放，入满即止。
扫描二维码添加微信，根据提示，可以进入有意向的专题交流群，享受最新资讯及与业内专家互动机会。
文章来源: http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247519462&idx=2&sn=6b7a2da7e1ec3682390f3b6cb0583654&chksm=e927c83dde50412bad5e664cfe75f4ac170abf4b7054e20e4e408ad7fb7ecbb62dfdff732383#rd
如有侵权请联系:admin#unsafe.sh