安全启动模块ASIL等级分析

在主流ADAS芯片中安全启动Secure Boot或启动控制模块的ASIL等级并非一个单一值而是根据芯片设计、架构和目标应用的不同分布在ASIL-B到ASIL-D的范围内。部分芯片会采用“混合安全”架构即其不同功能模块对应不同的ASIL等级以实现性能与安全的平衡。以下是一些主流芯片或IP的具体情况 主流ADAS芯片安全启动ASIL等级一览芯片/IP厂商芯片/IP系列/模块相关ASIL等级备注英飞凌 (Infineon)AURIX™ TC4xASIL-D其固化在ROM中的启动代码SSW明确按照ASIL-D开发确保芯片在安全的环境中启动。瑞萨 (Renesas)R-Car V3U, V4HASIL-D整个SoC针对ASIL-D设计其安全启动作为整体安全架构的一部分以达到此最高等级。黑芝麻智能 (Black Sesame)华山A2000ASIL-B / ASIL-D采用“3L”安全架构其中承载安全启动等功能的安全岛L2达到ASIL-D而主要计算域L1为ASIL-B。恩智浦 (NXP)S32R45ASIL B(D)通过其HSE安全引擎支持安全启动可满足ASIL B(D)要求。德州仪器 (TI)TDAx, Jacinto™最高ASIL-D其ADAS SoC系列支持高达ASIL-D的安全认证。Rambus (IP)RT-640 / RT-645ASIL-B / ASIL-D作为硬件信任根IP提供安全启动功能。RT-640为ASIL-B ReadyRT-645为ASIL-D Ready。为何等级不一ASIL等级取决于安全启动失效可能带来的风险。例如在决定车辆横向或纵向控制的域控制器中启动过程的安全至关重要因此需要ASIL-D的最高要求。而在一些非安全关键的模块要求则会降低。“混合安全”架构成趋势为了平衡成本和性能越来越多的芯片采用“混合安全”架构。例如黑芝麻的A2000将要求最严苛的功能如安全启动、故障监控放在独立的ASIL-D安全岛内而将应用处理部分放在ASIL-B区域。这种设计在确保核心安全的同时也兼顾了复杂计算的性能需求。安全启动是功能安全的基础安全启动确保了芯片从加电伊始就在一个可信、安全的状态下运行为后续所有功能安全机制如ECC、锁步核等提供了可信的基础。 ASIL B 的判定依据安全启动在非FSI域FSI为ASILD可以执行监控S.E.C分析当安全启动的失效被认为风险“中等”时会被定为ASIL B。基于S.E.C要素一个典型的判定场景如下严重度 (S)如果启动过程被破坏如固件被篡改可能导致车辆关键功能如刹车、转向失效引发严重伤害。这通常被评定为S2。暴露率 (E)每次车辆启动时安全启动流程都会执行属于高频场景。因此其暴露率通常被评定为E4。可控性 (C)虽然失效后果严重但由于有ASIL D 的 FSI 在独立地、实时地监控安全启动过程和非FSI域比如AON域的状态。一旦FSI检测到启动校验失败或AON域行为异常它可以采取措施如向驾驶员发出警告、限制车辆功能或使车辆进入安全状态。因为有FSI这个强大的安全机制作为后盾驾驶员在多数情况下仍能保持对车辆的基本控制或系统会主动进入安全状态。因此可控性被评为C2一般可控。例如组合 (S2, E4, C2) 等多种中等风险组合通常会导向ASIL B。 位于FSI安全域的安全启动模块需要继承FSI域的ASILD等级当安全启动模块直接集成在FSI功能安全岛内部且FSI整个系统被评定为ASIL D时安全启动模块必须继承ASIL D理论上无需单独进行S/E/C分析。在ISO 26262标准中ASIL等级是一个“系统级”或“功能级”的属性而非“模块级”的属性。这意味着1. FSI作为一个整体被评定为ASIL D是因为它所承担的所有安全目标需要达到ASIL D。2. 安全启动是FSI实现其安全目标的一个基础子功能。如果安全启动失败FSI自身可能无法正常启动或进入安全状态那么FSI的整个ASIL D安全目标就会落空。因此安全启动模块继承了FSI的ASIL D等级这是逻辑上的必然也是工程上的标准做法。 ASIL D 的判定依据安全启动位于FSI域S.E.C分析当安全启动的失效被认为是“极高风险”时会被定为ASIL D这是对系统安全性的最高要求。严重度 (S) - 致命 (S3)FSI是整车的“安全总管”。如果FSI的启动过程被破坏例如固件被篡改意味着FSI可能无法启动或在启动后运行了恶意代码。这将直接导致整个车辆失去安全监控和故障处理能力最终可能引发车辆失控造成致命伤害。这符合“危及生命”的最高严重度S3。暴露率 (E) - 高 (E4)车辆每次上电启动FSI及其安全启动过程都会被执行。这是一个极其频繁的场景符合E4的最高暴露率。可控性 (C) - 不可控 (C3)FSI本身就是用来监控和控制其他模块的。如果FSI自身的启动出了问题意味着整个安全机制在源头就被破坏了。驾驶员无法通过任何操作来“修复”FSI的启动过程也无法依赖FSI发出任何警告因为它可能根本没起来。因此驾驶员对此情况几乎无法控制符合C3的最高不可控性。例如当评估结果为(S3, E4, C3)时安全启动模块就必须被定为ASIL D