车规级芯片中的安全岛是什么？用来干什么的？

作者：Carotte
链接：https://www.zhihu.com/question/560950559/answer/2842526998
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。
 

问："Safety Island"，"Security Island"，车规芯片上这么多“岛”到底指的是什么？

答：一般来说芯片上的某个具有特定属性（如安全属性）的子系统或者内核，都可以用“island”的概念来命名，主要强调局部设计的“特殊性”和“独立性”。

问：安全岛一般有哪几种不同的实现方式？

答：现在很多芯片厂商都会宣称自己的芯片中有“安全岛”，但其实每家的概念都不完全统一。有的仅仅是在芯片中集成了带有“双核锁步”机制的Arm Cortex R-52安全系列内核；有的则是慢慢将外挂的安全MCU集成到SOC芯片中，可以认为这里的"安全内核"及周边满足安全需求设计的安全存储，安全外设，安全总线等一系列IP的集合称为“安全岛”，广义上就是一个安全的MCU被封装到了SOC中；

问：安全岛到底是为实现哪些需求而诞生的？

答：在当下日益复杂的针对自动驾驶方案或者区域控制的SOC方案中，除了利用NPU，GPU，DSP等高性能内核对特定任务的快速处理以外，还需要一个可以保障计算任务安全，且实时性高的内核去处理一些较为通用的指令，并且相关外设接口在和外界信息交互的同时，也能保证数据在端口及通路上的安全性。安全岛就是这样一个可以提供给软件安全任务执行的一个物理环境。

问：功能安全岛和信息安全岛有什么区别？

答：功能安全岛主要是针对ISO26262的标准要求设计的，目的是为防止硬件随机失效导致的芯片及系统失效，进而引发的人身车辆安全事故。信息安全岛是以ISO21434标准为指导，针对车载网络技术，车载娱乐等易受黑客攻击的系统所设计的，具有特殊的加解密模块，数字验签模块，随机数产生模块以及独立内核，独立存储等一系列配合完成信息验证流程的IP合集。

问：我们在"岛"上可以干什么？

答：例如功能安全岛上可以跑Autosar等安全操作系统，也可以将多核操作系统中的安全监控等任务跑在安全岛上；例如信息安全岛上可以实现芯片的安全启动，对称/非对称的加解密，签名与验签，密钥存储与销毁等安全任务。

问：安全岛的设计需要注意些什么？

答：安全岛模块一般独立于芯片中的其他系统和内核，需要有单独的电源域供电，单独的计算单元，内部模块和内存需要有物理隔离机制，优先级较高的中断机制，甚至是单独的安全诊断单元，可以实时诊断出“岛上”出现的问题，并且进入相应的安全状态。

问：未来还有什么奇形怪状的“岛”？

答：满足一定特性的需求的模块集合都可以称为“岛”，可以是“电源隔离岛”，“低功耗岛”，“密钥安全岛”，“算法融合岛”。

更多关于汽车芯片相关的热门话题，欢迎微信公众号关注“话说芯事”互动~