一文簡(jiǎn)析使用符合ASIL標(biāo)準(zhǔn)的IP加速汽車安全認(rèn)證

自動(dòng)駕駛汽車市場(chǎng)正以驚人的速度增長(zhǎng)，傳統(tǒng)汽車、混合動(dòng)力汽車和電動(dòng)汽車的功能安全性在獲得所需認(rèn)證方面發(fā)揮著重要作用。汽車制造商必須通過(guò)許多政府法規(guī)，這些法規(guī)要求提高安全性和可靠性，一直到組件級(jí)別，包括所使用的IP和SoC。ISO 26262:2018和預(yù)期功能安全(SOTIF)或ISO/PAS 21488:2019是定義汽車功能安全規(guī)范的標(biāo)準(zhǔn)。

今天的汽車完全是的車輪上的電子系統(tǒng)，所有部件都是相互關(guān)聯(lián)的。因此，在開(kāi)發(fā)汽車系統(tǒng)時(shí)采用整體方法非常重要。汽車供應(yīng)鏈中的各種利益相關(guān)者都為完成的、安全的、可行駛的輪上計(jì)算機(jī)做出了貢獻(xiàn)（圖1）。

圖1：汽車供應(yīng)鏈的不同層級(jí)。

駕駛輔助技術(shù)

為了減輕駕駛車輛時(shí)一些固有的人為錯(cuò)誤，當(dāng)今的汽車擁有多種駕駛員輔助技術(shù)，包括前方碰撞警告、自動(dòng)緊急制動(dòng)、車道監(jiān)控和盲點(diǎn)檢測(cè)安全功能。所有這些系統(tǒng)都建立在半導(dǎo)體組件之上，這些組件通常包括多個(gè)IP內(nèi)核，以及執(zhí)行軟件的嵌入式處理器或微型計(jì)算機(jī)。

該IP易受系統(tǒng)錯(cuò)誤的影響，這些錯(cuò)誤是由錯(cuò)誤的軟件或邏輯錯(cuò)誤引起的，以及由于組件老化或瞬態(tài)錯(cuò)誤導(dǎo)致的隨機(jī)硬件錯(cuò)誤，這些錯(cuò)誤可能對(duì)決定我們汽車安全運(yùn)行的半導(dǎo)體組件產(chǎn)生重大影響。

對(duì)于嵌入式處理器等組件，軟件、開(kāi)發(fā)流程錯(cuò)誤和隨機(jī)硬件故障的影響可能是災(zāi)難性的。處理器依賴于正確的程序隊(duì)列——順序和時(shí)序相關(guān)。小故障或粒子撞擊可能會(huì)改變一個(gè)位，并導(dǎo)致鎖定或錯(cuò)誤的程序執(zhí)行。

雖然可以實(shí)施安全機(jī)制，但詳細(xì)的評(píng)估安全分析和開(kāi)發(fā)流程提供了一種統(tǒng)一的衡量IP安全的方法。對(duì)于能夠拯救生命的技術(shù)來(lái)說(shuō)，它必須經(jīng)過(guò)適當(dāng)?shù)蔫b定，并進(jìn)行獨(dú)立評(píng)估，以驗(yàn)證其是否符合ISO 26262:2018標(biāo)準(zhǔn)，這一點(diǎn)至關(guān)重要。

SEooC的ASIL合規(guī)性

車輛中的每個(gè)模塊或子系統(tǒng)都可能由IP組成，其中包含上下文中的安全元素和上下文外的安全元素(SEooC)，這通常是在設(shè)計(jì)時(shí)沒(méi)有考慮任何特定用例的IP。對(duì)于來(lái)自不同供應(yīng)商的異構(gòu)終端產(chǎn)品，重要的是要認(rèn)識(shí)到ISO 26262:2018標(biāo)準(zhǔn)提供了適用于IP組件（如SEooC）以及系統(tǒng)組件（如攝像頭、雷達(dá)、激光雷達(dá)、或控制單元）的指南。

然而，并非所有半導(dǎo)體IP供應(yīng)商都提供包括系統(tǒng)和隨機(jī)故障分析在內(nèi)的完整ASIL合規(guī)性。ASIL合規(guī)性認(rèn)證是一項(xiàng)指標(biāo)，它通過(guò)對(duì)系統(tǒng)和隨機(jī)硬件指標(biāo)的開(kāi)發(fā)過(guò)程進(jìn)行審計(jì)和評(píng)估，消除對(duì)SEooC質(zhì)量的顧慮。

ASIL合規(guī)認(rèn)證

ASIL合規(guī)性是由第三方進(jìn)行的評(píng)估，涵蓋所有相關(guān)部分，并符合ISO 26262:2018標(biāo)準(zhǔn)。對(duì)功能安全開(kāi)發(fā)流程、系統(tǒng)方法和隨機(jī)硬件故障分析進(jìn)行第三方審計(jì)和評(píng)估。

·系統(tǒng)一致性的審核和評(píng)估：包括對(duì)產(chǎn)品開(kāi)發(fā)生命周期中應(yīng)用的功能安全流程的評(píng)估

·隨機(jī)錯(cuò)誤和一致性的審計(jì)和評(píng)估：包括對(duì)所有硬件安全分析的評(píng)估，包括歸納和演繹

·對(duì)產(chǎn)品應(yīng)用的所有驗(yàn)證進(jìn)行評(píng)估

總的來(lái)說(shuō)，安全產(chǎn)品的開(kāi)發(fā)流程和產(chǎn)品本身（包括設(shè)計(jì)、分析和驗(yàn)證）都包含在此認(rèn)證中。

ASIL與第三方審核員/評(píng)估員的合規(guī)性

ISO 26262:2018標(biāo)準(zhǔn)為汽車行業(yè)的所有利益相關(guān)者（從半導(dǎo)體公司到汽車制造商）提供統(tǒng)一的安全指南。實(shí)現(xiàn)整體安全需要在各個(gè)層面實(shí)施多項(xiàng)安全措施。

圖2 顯示了兩個(gè)關(guān)鍵的基于流程的實(shí)踐，它們對(duì)于通過(guò)第三方審核員/評(píng)估員對(duì)系統(tǒng)性和隨機(jī)故障的完整和成功的合規(guī)性評(píng)估至關(guān)重要。

圖 2：處理器IP的ASIL合規(guī)性

獲得認(rèn)證IP的關(guān)鍵實(shí)踐，卓越的安全文化

參與ASIL合規(guī)認(rèn)證過(guò)程的每個(gè)人都必須在產(chǎn)品開(kāi)發(fā)生命周期中負(fù)責(zé)，以確保IP滿足功能安全要求，這一點(diǎn)至關(guān)重要。當(dāng)實(shí)踐良好的安全文化時(shí)，“安全是最高優(yōu)先級(jí)”的做法會(huì)獲勝。這不僅僅是一個(gè)團(tuán)隊(duì)，而是一個(gè)組織層面的努力，各種領(lǐng)導(dǎo)者和團(tuán)隊(duì)在其中協(xié)作并為這項(xiàng)努力做出貢獻(xiàn)。

有效的安全文化需要負(fù)責(zé)實(shí)現(xiàn)和維護(hù)功能安全的人員以及在組織中執(zhí)行或支持安全活動(dòng)的人員之間的個(gè)人奉獻(xiàn)精神和正直誠(chéng)信，此外，培養(yǎng)“安全是最高優(yōu)先級(jí)”的心態(tài)，包含采取防止自滿、追求卓越、個(gè)人責(zé)任感和企業(yè)自我監(jiān)管是必要的。

集中源控制系統(tǒng)

通常，在產(chǎn)品開(kāi)發(fā)過(guò)程中，多個(gè)所有者同時(shí)參與各種工作產(chǎn)品。因此，在開(kāi)發(fā)過(guò)程中，控制工作產(chǎn)品的修訂以及對(duì)工作產(chǎn)品所用模板的更新都很重要。使用中央源管理系統(tǒng)對(duì)于維護(hù)技術(shù)內(nèi)容的檢查和一致性以及跟上頻繁的模板更新是必不可少的。使用該系統(tǒng)明確定義了簽入/簽出日期、最新版本、修訂數(shù)量和跟蹤整體更新等關(guān)鍵標(biāo)簽。

需求管理系統(tǒng)和可追溯性

集成的需求管理系統(tǒng)用于開(kāi)發(fā)許多工作產(chǎn)品，例如技術(shù)安全概念(TSC)、產(chǎn)品開(kāi)發(fā)文檔等。特別是在TSC中，ASIL合規(guī)性的評(píng)估和審計(jì)標(biāo)準(zhǔn)包括：

·與實(shí)現(xiàn)所需的組件和接口的相關(guān)功能、依賴關(guān)系、約束和屬性相對(duì)應(yīng)的所有技術(shù)安全要求

·減輕可能導(dǎo)致失效的部件故障的安全機(jī)制

·防止失效并滿足安全要求，同時(shí)保持不受干擾(FFI)

·驗(yàn)證組件架構(gòu)設(shè)計(jì)是否滿足規(guī)定的ASIL要求

對(duì)于脫離上下文的安全元素(SEooC)，頂級(jí)安全要求(TLSR)是最重要的，也是技術(shù)安全。要求(TSR)是為了滿足TSLR而得出的，如圖3所示。

圖3：SEooC的工作流程（集成）。

使用符合ASIL標(biāo)準(zhǔn)的處理器IP節(jié)省時(shí)間和資源

隨著SEooC供應(yīng)商數(shù)量的迅速增加，適應(yīng)自主和半自主系統(tǒng)的需求至關(guān)重要。因此，汽車供應(yīng)鏈的整體利益相關(guān)者必須意識(shí)到，并非所有供應(yīng)商都提供符合ISO 26262:2018標(biāo)準(zhǔn)的產(chǎn)品。同樣，IP供應(yīng)商可能不完全遵守安全指南來(lái)滿足集成的安全要求。盡管這些聲明可能看起來(lái)微不足道，但在產(chǎn)品開(kāi)發(fā)的每個(gè)階段實(shí)施諸如良好的安全文化和嚴(yán)格的檢查等關(guān)鍵實(shí)踐是極其重要的。ASIL合規(guī)性是一種統(tǒng)一的措施，可應(yīng)用于IP和SoC以定義質(zhì)量和功能安全等級(jí)。

當(dāng)汽車上使用的IP符合ISO 26262:2018標(biāo)準(zhǔn)的所有部分，并通過(guò)經(jīng)過(guò)認(rèn)證的獨(dú)立審核員評(píng)估時(shí)，他就完全符合ASIL標(biāo)準(zhǔn)。

審核編輯：劉清