做好一颗汽车AI“安全”芯，车规级只是第一步

安全，是整车各个系统开发的基本要求，尤其是对于电子电气系统而言，功能安全是一个非常重要的量产保障。尤其是随着ADAS等智能化系统的快速上车，这些电子系统的复杂度比以往任何时候都要复杂。

公开数据显示，2018年之前一辆新车通常包含100-300个微控制器（MCU）以及少部分应用处理器，50多个复杂的电子控制单元以及大约500-2000万行软件代码。

在过去，确保安全是汽车制造商和系统供应商的责任。为了从芯片IP级开始解决功能安全问题，国际标准化组织（ISO）在2018年追加了汽车半导体的功能安全评估指南。

也是从这一年开始，新车搭载的芯片数量、种类以及软件代码行数开始呈现倍数增长。同时，按照ISO 26262的要求，汽车半导体开发过程中必须考虑的两种失效类型，其一是随机故障，这对于传统汽车芯片来说，已经得到规模化量产的验证。

而新增的系统故障，则与芯片的设计、开发、制造等有关，这就要求芯片厂商从产品设计开始，就要有一套有效的流程来最小化量产过程中引入的问题风险。

一、从车规级到功能安全

事实上，在汽车行业，2015年以前都是以瑞萨、NXP、TI等传统汽车芯片主导市场，但此后，包括高通、英伟达、英特尔为代表的消费级芯片巨头开始进入。

这期间，很多消费级芯片没有通过AEC-Q100，甚至在车载半导体的功能安全指南发布后也没有去申请相关的认证就开始交付前装量产。

比如，瑞萨的R-Car H3符合ISO26262 (ASIL-B)汽车功能安全标准，几乎差不多时间亮相的高通820A则没有通过ISO26262标准，连A级都未达到。

另一个典型案例就是特斯拉的FSD，这款芯片通过了AEC-Q100认证，但并没有任何关于功能安全或ASIL评级的信息披露。其从硬件层面采用双冗余计算平台，实质上就是规避了ISO 26262对于预测、解释和测试所有潜在的系统故障的规范。

不过，更多的企业选择了“功能安全”作为底线责任。

2020年9月，地平线通过ISO 26262:2018 功能安全流程认证（这是SGS颁发的国内半导体领域首张ISO 26262:2018证书），时隔9个月，地平线征程5芯片产品的功能安全架构和具体设计成功通过ISO 26262 ASIL-B Ready产品认证。

相比于一些芯片厂商借助上游IP供应商来实现产品功能安全认证不同，这意味着地平线是在最短时间内，通过功能安全管理认证体系的前提下，保证芯片严格按照ISO 26262功能安全开发流程设计研发。

7月5日，地平线正式宣布征程5芯片成功通过SGS-TÜV ISO 26262 ASIL-B Ready功能安全产品认证，单芯片达到ASIL-B级别要求，系统应用满足汽车行业最高安全级别ASIL-D要求。

这是中国首颗基于ISO 26262功能安全流程开发的车规级AI芯片，充分证明地平线的功能安全研发实力与芯片安全机制设计能力，意味着征程5芯片可以为ADAS应用提供低风险的安全保护方案，满足了世界一流OEM和Tier1的功能安全开发要求。

从技术角度来看，汽车芯片的关键要求有三个：质量、可靠性和功能安全性。其中，功能安全涉及的是满足ISO 26262要求，包括安全目标、安全架构、安全验证和FMEDA分析。

而ASIL（Automotive Safety Integration Level，汽车安全完整性等级）是根据ISO 26262标准基于目标产品的使用条件和使用方法，针对整个系统进行危害分析和风险评估，识别出的系统危害的风险等级。

ASIL有四个等级，分别为A，B，C，D，其中A是最低的等级，D是最高的等级。通常这个等级的要求是根据芯片具体用于哪部分系统来决定。从ASIL A到ASIL D，ASIL D代表最高的完整性要求。例如，ASIL D意味着产品在整个系统中的单点故障少于1%。

质量指标通常指的是AEC-Q100（也被公认为芯片车规级），是ASIL的一个基础，ASIL会将AEC-Q100作为一个硬件可靠性的质量指标，同时在AEC-Q100基础上在进行额外的功能安全开发，确保汽车零部件能够在正确的时间发挥正确的功能。

以ADAS芯片为例，必须满足严格的性能、功耗和成本要求，对于芯片设计者面临的挑战是，既要满足基本的车规级、ISO 26262的功能安全要求，又要缩短设计和量产周期。

此外，由于全新汽车电子架构从过去的分布式ECU转向集中式的域控制器架构，意味着单颗芯片的安全要求比以往任何时候都要严格。过去，这样的高要求更多是MCU等涉及关键安全功能控制的芯片类型。

而特斯拉过去采取的方式，更多是通过OTA来查漏补缺，通过软件来弥补硬件及系统层面的安全风险。而从其在上海的最新招聘信息来看，该公司为了满足监管机构的要求，正在上海招募功能安全工程师岗位。

岗位工作包括识别车辆关键系统的监管功能安全要求，包括但不限于制动系统、转向系统和ADAS。与相关团队合作完成关键系统的功能安全开发，包括安全概念设计、安全目标确定和安全分析(如HARA、FMEA、FTA、随机HW故障度量等)。

二、芯片是安全的最后一道防线

和车规级相比，功能安全作为一个过程已经成为智能化软硬件系统开发周期的重要组成部分。汽车的功能性安全方案有助于识别故障（尤其是电子类设备），并规定了在软件或硬件故障时采取的行动和技术，以减少风险和损害。

过去，功能安全一直着眼于汽车系统架构，以识别潜在的故障模式、故障概率以及系统将如何应对每个错误。在组件层面解决硬件故障是一直以来行业的普遍做法，包括发动机、网关和车身控制器等等ECU。

而从视觉感知、信息娱乐到未来中央计算平台，整车电子架构要求更丰富的功能和更高水平的性能。这些新功能需要更多的计算能力，尤其是AI算力，这增加了芯片设计的复杂性。

“几年前，工程师关注的是功能，以及如何对设计进行功能验证；如今，芯片正在成为功能安全、网络安全的中心。”业内人士表示，这必须从一开始就思考，芯片设计在哪里会有弱点，要怎么做才能防止风险发生。

这意味着，单个芯片上的缺陷将越来越影响汽车的整体性能安全。同时，系统集成商、汽车制造商开始从传统的微控制器（MCU，有相对完备的功能安全历史）转向高度集成的SoC以及AI芯片，以适应不断新增的功能需求。

而此前主流OEM如宝马，奔驰，通用，大众等，国内主流OEM如长城，上汽，吉利，比亚迪等也都开始对重要控制系统进行功能安全开发要求，并将供应商的功能安全开发能力和产品功能安全能力作为供应链准入的准则之一。

尤其是ISO 26262对于汽车芯片的功能安全要求是从2018年开始，考虑到通常的认证周期需要一年到一年半时间，对于所有供应商来说，都几乎是在同一条起跑线开始。

要知道，ISO 26262的另一个重要评价，是其通过整体组织开发流程实现安全，比如，设计和验证团队应该尽其所能避免引入安全风险问题。

比如地平线先通过ISO 26262流程认证，建立起完善的符合汽车功能安全最高等级ASIL D级别的产品开发流程体系，意味着通过完善的开发流程，将汽车电子系统故障的风险降到最低，是进入汽车行业的准入门槛之一。

按照地平线披露的信息，接下来该公司还将对软件系统、工具进行功能安全认证，未来还会就预期功能安全、信息安全进行认证。“我们不仅具有完备的安全团队能力，而且极为重视功能安全，始终将安全作为芯片研发设计的首位。”

这也符合未来整个汽车智能化的监管要求趋势。

根据工信部在今年发布的《智能网联汽车生产企业及产品准入管理指南（试行）》征求意见稿，已经明确提出智能网联汽车（包括最终可实现替代人来操作的新一代汽车），需要满足生产企业及产品准入管理。

《征求意见稿》明确提出，智能网联汽车产品应满足功能安全、预期功能安全和网络安全等过程保障要求，保障车辆不存在因预期功能的不足所导致的不合理风险。

而这种日趋严格的合规性要求，意味着汽车芯片行业的潜在颠覆性变化正在开始，软件的日益复杂带来的风险，芯片将是最后一道防线。