车用ASIL D级芯片 芯片厂商们的新战场？

xzcxnihd

[paragraph]
汽车行业进军智能化，汽车搭载的电子／电气系统数量也随之不断增加。公开数据显示，一辆高端豪华轿车上有多达70多个电子控制单元（Electronic Control Unit，ECU），其中发动机管理系统、底盘控制系统、制动系统等都是安全相关系统。为了实现汽车电子／电气系统的安全设计，道路车辆功能安全标准ISO 26262于2011年被正式发布，其中涉及的系统风险等级评估标准——ASIL等级（Automotive Safety Integrity Level，汽车安全完整性等级）也应运而生。
随着智能驾驶、自动驾驶风口的到来，车用片上系统（SoC）更高的稳定性和安全等级成为汽车的刚需，也顺势打响了各芯片厂商新一轮布局战。那么，诸如英伟达、英特尔、高通、ARM这些芯片巨头的战况如何呢？
不论是那些已经普遍装备在汽车上的ADAS系统模块，还是某些测试中的L4自动驾驶系统，抑或是仍活在效果图中的无人驾驶概念车，在争夺汽车智能化蛋糕的同时，面向实际应用的场景，在对它们的鲁棒性发出层层考验。ASIL（Automotive Safety Integrity Level，汽车安全完整性等级），就是检验功能模块中片上系统（SoC）半导体安全等级的重要指标之一。
ASIL，是ISO 26262标准中的重要评价体系，用于识别系统危害并对危害风险等级进行评估。AISL分为四个等级，分别为A、B、C、D，其中A是最低等级，D是最高等级。ASIL等级决定了对系统安全性的要求，ASIL等级越高，对系统的安全性要求越高，为实现安全付出的代价越高，意味着硬件的诊断覆盖率越高，开发流程越严格，相应的开发成本增加、开发周期延长、技术要求严格。下图是ASIL等级评估的对照表。可以看出，如果安全等级到达D级，则意味着整个系统范围内单点故障率不超过1％。

                               
登录/注册后可看大图

＊ASIL等级评估对照表（来源：美国新思科技公司）

除极少数达到ASIL D级标准的MCU（微控制单元），芯片供应商目前大量出货，应用在ADAS中的系统芯片，安全等级大多在B或C级。来自汽车领域独立数据调研机构IHS Markit的分析师Luca De Ambroggi指出，“为了在ADAS系统尺度上达到ASIL D级，大部分厂商目前的解决方案是利用多枚B－C级SoC建立一个冗余系统，通过ASIL分解原则达到D级标准。”
不过，这样的方案也意味着成本的增加，Luca De Ambroggi指出，这样的方案无法一劳永逸，ASIL D级认证对于车用芯片厂商而言是必经之路，甚至是供应商需要花大力攻克的难题，尤其是对于越发复杂的片上系统更是如此。
而在这一点上，许多颠覆性的变革来源于市场中一些新的闯入者——那些没有任何汽车电子领域经验的芯片生产商。为了在自动驾驶的风口追赶那些汽车领域的市场竞争者，他们正在打造“弯道超车”的时机。例如，诸如ARM和Synopsys（美国新思科技，SNPS）的IP核（知识产权核，指芯片中某个可重用模块）供应商正在布局推出面向ASIL D级的双核锁步（Dual Core Lockstep）处理器。
在过去的几年里，ARM投入重金发展安全处理器系统方案。2013年，ARM发布“ARMv8－R”架构，支持实时嵌入式处理器。架构具有即时运算的处理能力，能够扩增多种与安全相关的解决方案，可用于ADAS、V2V通讯等多个领域。去年9月，刚刚被软银斥资320亿美元收购的ARM献上大礼——Cortex－R52处理器，该处理器基于改进的ARMv8－R架构，为之前Cortex－R5的升级版，通过了包括ISO 26262在内的多项安全标准认证。
Synopsys的路径与之类似。就在几天前，Synopsys 宣布其ARC EM系列的“安全岛”模块和双核锁步处理器已经可用，并达到ASIL准D级标准，配备自查安全监控以及硬件安全监测性能，如误差矫正码等用于检测系统失效。

                               
登录/注册后可看大图

＊Synopsys ASIL准D级双核锁步处理器可重用模块

Synopsys ARC EM处理器的产品线负责人Angela Raucher表示，“随着越来越多的厂商开始对汽车市场产生兴趣，我们希望通过这种IP核授权的形式，降低产业的准入门槛。”
不过即便如此，对于加入汽车市场的新玩家，底层实现仍旧需要重视。分析机构Strategy Analytics全球汽车业务负责人Ian Riches认为，除非IP供应商提供所有的设计支持和文件集，否则任何一家厂商都应该审慎布局面向ASIL D级应用的知识产权核。

佝偻的戒指