车用ASIL D级芯片 芯片厂商们的新战场？

　　汽车行业进军智能化，汽车搭载的电子/电气系统数量也随之不断增加。公开数据显示，一辆高端豪华轿车上有多达70多个电子控制单元(Electronic Control Unit，ECU)，其中发动机管理系统、底盘控制系统、制动系统等都是安全相关系统。为了实现汽车电子/电气系统的安全设计，道路车辆功能安全标准ISO 26262于2011年被正式发布，其中涉及的系统风险等级评估标准——ASIL等级(Automotive Safety Integrity Level，汽车安全完整性等级)也应运而生。

　　不论是那些已经普遍装备在汽车上的ADAS系统模块，还是某些测试中的L4自动驾驶系统，抑或是仍活在效果图中的无人驾驶概念车，在争夺汽车智能化蛋糕的同时，面向实际应用的场景，在对它们的鲁棒性发出层层考验。ASIL(Automotive Safety Integrity Level，汽车安全完整性等级)，就是检验功能模块中片上系统(SoC)半导体安全等级的重要指标之一。

　　ASIL，是ISO 26262标准中的重要评价体系，用于识别系统危害并对危害风险等级进行评估。AISL分为四个等级，分别为A、B、C、D，其中A是最低等级，D是最高等级。ASIL等级决定了对系统安全性的要求，ASIL等级越高，对系统的安全性要求越高，为实现安全付出的代价越高，意味着硬件的诊断覆盖率越高，开发流程越严格，相应的开发成本增加、开发周期延长、技术要求严格。下图是ASIL等级评估的对照表。可以看出，如果安全等级到达D级，则意味着整个系统范围内单点故障率不超过1%。

　　*ASIL等级评估对照表(来源：美国新思科技公司)

　　除极少数达到ASIL D级标准的MCU(微控制单元)，芯片供应商目前大量出货，应用在ADAS中的系统芯片，安全等级大多在B或C级。来自汽车领域独立数据调研机构IHS Markit的分析师Luca De Ambroggi指出，“为了在ADAS系统尺度上达到ASIL D级，大部分厂商目前的解决方案是利用多枚B-C级SoC建立一个冗余系统，通过ASIL分解原则达到D级标准。”

　　不过，这样的方案也意味着成本的增加，Luca De Ambroggi指出，这样的方案无法一劳永逸，ASIL D级认证对于车用芯片厂商而言是必经之路，甚至是供应商需要花大力攻克的难题，尤其是对于越发复杂的片上系统更是如此。

　　而在这一点上，许多颠覆性的变革来源于市场中一些新的闯入者——那些没有任何汽车电子领域经验的芯片生产商。为了在自动驾驶的风口追赶那些汽车领域的市场竞争者，他们正在打造“弯道超车”的时机。例如，诸如ARM和Synopsys(美国新思科技，SNPS)的IP核(知识产权核，指芯片中某个可重用模块)供应商正在布局推出面向ASIL D级的双核锁步(Dual Core Lockstep)处理器。

　　在过去的几年里，ARM投入重金发展安全处理器系统方案。2013年，ARM发布“ARMv8-R”架构，支持实时嵌入式处理器。架构具有即时运算的处理能力，能够扩增多种与安全相关的解决方案，可用于ADAS、V2V通讯等多个领域。去年9月，刚刚被软银斥资320亿美元收购的ARM献上大礼——Cortex-R52处理器，该处理器基于改进的ARMv8-R架构，为之前Cortex-R5的升级版，通过了包括ISO 26262在内的多项安全标准认证。

　　Synopsys的路径与之类似。就在几天前，Synopsys 宣布其ARC EM系列的“安全岛”模块和双核锁步处理器已经可用，并达到ASIL准D级标准，配备自查安全监控以及硬件安全监测性能，如误差矫正码等用于检测系统失效。

　　*Synopsys ASIL准D级双核锁步处理器可重用模块

　　Synopsys ARC EM处理器的产品线负责人Angela Raucher表示，“随着越来越多的厂商开始对汽车市场产生兴趣，我们希望通过这种IP核授权的形式，降低产业的准入门槛。”

　　不过即便如此，对于加入汽车市场的新玩家，底层实现仍旧需要重视。分析机构Strategy Analytics全球汽车业务负责人Ian Riches认为，除非IP供应商提供所有的设计支持和文件集，否则任何一家厂商都应该审慎布局面向ASIL D级应用的知识产权核。

　面向关键性安全应用的MCU

　　一些面向关键性安全需求的应用，大浪淘沙般将产业链企业进行了等级划分。而这，也成为企业争相布局的重要原因。

　　一些汽车行业的资深玩家，早已将主要资源投放到面向ASIL D级MCU的研发中，试图在赛道领跑。

　　Riches说，“主流汽车供应商在2015年前，便开始着手研发ASIL D级设备。例如，与NXP(恩智浦)合并前的飞思卡尔早在2012年，便推出面向汽车底盘和安全应用的 MPC5643L 32位MCU，拔得行业头筹。”

　　“如果厂商在那时想要一款ASIL D级处理器，ARM可不是最好的选择。如今，各大传统汽车供应商都不惜重金投入研发属于自己的D级架构，时机已经到了。”

　　据IHS资料，ASIL D级要求ECU在刹车、转向等操作中具有极高的安全性能。

　通往 ASIL D级之路

　　今年CES展，当英伟达CEO黄仁勋站在舞台时，他向世界展示公司研发的Xavier芯片产品，号称自动驾驶汽车的“人工智能超级计算机”。黄仁勋介绍说，这款预计年底发布的片上系统，芯片本身达到ASIL C级认证标准，但其模块可通过设计实现ASIL D安全功能。

　　除此之外，市场还充斥着布局自动驾驶汽车“超级大脑”的各路玩家。

　　Strategy Analytics的Riches强调，“即便诸如英伟达、英特尔、高通等厂商对汽车市场宣誓了极大的兴趣和野心，留给传统汽车供应商的机会仍然存在”。

　　而这个机会，就在于一些面向关键性安全应用的MCU上。