車用ASIL D級(jí)芯片 芯片廠商們的新戰(zhàn)場(chǎng)？

　　汽車行業(yè)進(jìn)軍智能化，汽車搭載的電子/電氣系統(tǒng)數(shù)量也隨之不斷增加。公開數(shù)據(jù)顯示，一輛高端豪華轎車上有多達(dá)70多個(gè)電子控制單元(Electronic Control Unit，ECU)，其中發(fā)動(dòng)機(jī)管理系統(tǒng)、底盤控制系統(tǒng)、制動(dòng)系統(tǒng)等都是安全相關(guān)系統(tǒng)。為了實(shí)現(xiàn)汽車電子/電氣系統(tǒng)的安全設(shè)計(jì)，道路車輛功能安全標(biāo)準(zhǔn)ISO 26262于2011年被正式發(fā)布，其中涉及的系統(tǒng)風(fēng)險(xiǎn)等級(jí)評(píng)估標(biāo)準(zhǔn)——ASIL等級(jí)(Automotive Safety Integrity Level，汽車安全完整性等級(jí))也應(yīng)運(yùn)而生。

　　不論是那些已經(jīng)普遍裝備在汽車上的ADAS系統(tǒng)模塊，還是某些測(cè)試中的L4自動(dòng)駕駛系統(tǒng)，抑或是仍活在效果圖中的無(wú)人駕駛概念車，在爭(zhēng)奪汽車智能化蛋糕的同時(shí)，面向?qū)嶋H應(yīng)用的場(chǎng)景，在對(duì)它們的魯棒性發(fā)出層層考驗(yàn)。ASIL(Automotive Safety Integrity Level，汽車安全完整性等級(jí))，就是檢驗(yàn)功能模塊中片上系統(tǒng)(SoC)半導(dǎo)體安全等級(jí)的重要指標(biāo)之一。

　　ASIL，是ISO 26262標(biāo)準(zhǔn)中的重要評(píng)價(jià)體系，用于識(shí)別系統(tǒng)危害并對(duì)危害風(fēng)險(xiǎn)等級(jí)進(jìn)行評(píng)估。AISL分為四個(gè)等級(jí)，分別為A、B、C、D，其中A是最低等級(jí)，D是最高等級(jí)。ASIL等級(jí)決定了對(duì)系統(tǒng)安全性的要求，ASIL等級(jí)越高，對(duì)系統(tǒng)的安全性要求越高，為實(shí)現(xiàn)安全付出的代價(jià)越高，意味著硬件的診斷覆蓋率越高，開發(fā)流程越嚴(yán)格，相應(yīng)的開發(fā)成本增加、開發(fā)周期延長(zhǎng)、技術(shù)要求嚴(yán)格。下圖是ASIL等級(jí)評(píng)估的對(duì)照表。可以看出，如果安全等級(jí)到達(dá)D級(jí)，則意味著整個(gè)系統(tǒng)范圍內(nèi)單點(diǎn)故障率不超過1%。

　　*ASIL等級(jí)評(píng)估對(duì)照表(來源：美國(guó)新思科技公司)

　　除極少數(shù)達(dá)到ASIL D級(jí)標(biāo)準(zhǔn)的MCU(微控制單元)，芯片供應(yīng)商目前大量出貨，應(yīng)用在ADAS中的系統(tǒng)芯片，安全等級(jí)大多在B或C級(jí)。來自汽車領(lǐng)域獨(dú)立數(shù)據(jù)調(diào)研機(jī)構(gòu)IHS Markit的分析師Luca De Ambroggi指出，“為了在ADAS系統(tǒng)尺度上達(dá)到ASIL D級(jí)，大部分廠商目前的解決方案是利用多枚B-C級(jí)SoC建立一個(gè)冗余系統(tǒng)，通過ASIL分解原則達(dá)到D級(jí)標(biāo)準(zhǔn)?！?/p>

　　不過，這樣的方案也意味著成本的增加，Luca De Ambroggi指出，這樣的方案無(wú)法一勞永逸，ASIL D級(jí)認(rèn)證對(duì)于車用芯片廠商而言是必經(jīng)之路，甚至是供應(yīng)商需要花大力攻克的難題，尤其是對(duì)于越發(fā)復(fù)雜的片上系統(tǒng)更是如此。

　　而在這一點(diǎn)上，許多顛覆性的變革來源于市場(chǎng)中一些新的闖入者——那些沒有任何汽車電子領(lǐng)域經(jīng)驗(yàn)的芯片生產(chǎn)商。為了在自動(dòng)駕駛的風(fēng)口追趕那些汽車領(lǐng)域的市場(chǎng)競(jìng)爭(zhēng)者，他們正在打造“彎道超車”的時(shí)機(jī)。例如，諸如ARM和Synopsys(美國(guó)新思科技，SNPS)的IP核(知識(shí)產(chǎn)權(quán)核，指芯片中某個(gè)可重用模塊)供應(yīng)商正在布局推出面向ASIL D級(jí)的雙核鎖步(Dual Core Lockstep)處理器。

　　在過去的幾年里，ARM投入重金發(fā)展安全處理器系統(tǒng)方案。2013年，ARM發(fā)布“ARMv8-R”架構(gòu)，支持實(shí)時(shí)嵌入式處理器。架構(gòu)具有即時(shí)運(yùn)算的處理能力，能夠擴(kuò)增多種與安全相關(guān)的解決方案，可用于ADAS、V2V通訊等多個(gè)領(lǐng)域。去年9月，剛剛被軟銀斥資320億美元收購(gòu)的ARM獻(xiàn)上大禮——Cortex-R52處理器，該處理器基于改進(jìn)的ARMv8-R架構(gòu)，為之前Cortex-R5的升級(jí)版，通過了包括ISO 26262在內(nèi)的多項(xiàng)安全標(biāo)準(zhǔn)認(rèn)證。

　　Synopsys的路徑與之類似。就在幾天前，Synopsys 宣布其ARC EM系列的“安全島”模塊和雙核鎖步處理器已經(jīng)可用，并達(dá)到ASIL準(zhǔn)D級(jí)標(biāo)準(zhǔn)，配備自查安全監(jiān)控以及硬件安全監(jiān)測(cè)性能，如誤差矯正碼等用于檢測(cè)系統(tǒng)失效。

　　*Synopsys ASIL準(zhǔn)D級(jí)雙核鎖步處理器可重用模塊

　　Synopsys ARC EM處理器的產(chǎn)品線負(fù)責(zé)人Angela Raucher表示，“隨著越來越多的廠商開始對(duì)汽車市場(chǎng)產(chǎn)生興趣，我們希望通過這種IP核授權(quán)的形式，降低產(chǎn)業(yè)的準(zhǔn)入門檻。”

　　不過即便如此，對(duì)于加入汽車市場(chǎng)的新玩家，底層實(shí)現(xiàn)仍舊需要重視。分析機(jī)構(gòu)Strategy Analytics全球汽車業(yè)務(wù)負(fù)責(zé)人Ian Riches認(rèn)為，除非IP供應(yīng)商提供所有的設(shè)計(jì)支持和文件集，否則任何一家廠商都應(yīng)該審慎布局面向ASIL D級(jí)應(yīng)用的知識(shí)產(chǎn)權(quán)核。

　面向關(guān)鍵性安全應(yīng)用的MCU

　　一些面向關(guān)鍵性安全需求的應(yīng)用，大浪淘沙般將產(chǎn)業(yè)鏈企業(yè)進(jìn)行了等級(jí)劃分。而這，也成為企業(yè)爭(zhēng)相布局的重要原因。

　　一些汽車行業(yè)的資深玩家，早已將主要資源投放到面向ASIL D級(jí)MCU的研發(fā)中，試圖在賽道領(lǐng)跑。

　　Riches說，“主流汽車供應(yīng)商在2015年前，便開始著手研發(fā)ASIL D級(jí)設(shè)備。例如，與NXP(恩智浦)合并前的飛思卡爾早在2012年，便推出面向汽車底盤和安全應(yīng)用的 MPC5643L 32位MCU，拔得行業(yè)頭籌。”

　　“如果廠商在那時(shí)想要一款A(yù)SIL D級(jí)處理器，ARM可不是最好的選擇。如今，各大傳統(tǒng)汽車供應(yīng)商都不惜重金投入研發(fā)屬于自己的D級(jí)架構(gòu)，時(shí)機(jī)已經(jīng)到了?！?/p>

　　據(jù)IHS資料，ASIL D級(jí)要求ECU在剎車、轉(zhuǎn)向等操作中具有極高的安全性能。

　通往 ASIL D級(jí)之路

　　今年CES展，當(dāng)英偉達(dá)CEO黃仁勛站在舞臺(tái)時(shí)，他向世界展示公司研發(fā)的Xavier芯片產(chǎn)品，號(hào)稱自動(dòng)駕駛汽車的“人工智能超級(jí)計(jì)算機(jī)”。黃仁勛介紹說，這款預(yù)計(jì)年底發(fā)布的片上系統(tǒng)，芯片本身達(dá)到ASIL C級(jí)認(rèn)證標(biāo)準(zhǔn)，但其模塊可通過設(shè)計(jì)實(shí)現(xiàn)ASIL D安全功能。

　　除此之外，市場(chǎng)還充斥著布局自動(dòng)駕駛汽車“超級(jí)大腦”的各路玩家。

　　Strategy Analytics的Riches強(qiáng)調(diào)，“即便諸如英偉達(dá)、英特爾、高通等廠商對(duì)汽車市場(chǎng)宣誓了極大的興趣和野心，留給傳統(tǒng)汽車供應(yīng)商的機(jī)會(huì)仍然存在”。

　　而這個(gè)機(jī)會(huì)，就在于一些面向關(guān)鍵性安全應(yīng)用的MCU上。