2024年，車用安全攻擊造成的全球經(jīng)濟(jì)損失高達(dá)250億美元，其中芯片攻擊導(dǎo)致的安全成本最為突出，達(dá)到200億美元，遠(yuǎn)超其他類別損失的總和。這一數(shù)據(jù)凸顯了車用芯片在數(shù)據(jù)防護(hù)與隔離方面的核心地位。隨著汽車智能化和網(wǎng)聯(lián)化的深入，車用芯片的安全性已成為不可回避的議題，各國相關(guān)法規(guī)的陸續(xù)出臺(tái)進(jìn)一步強(qiáng)調(diào)了這一需求。車用系統(tǒng)不僅需要滿足預(yù)測(cè)性、可靠性和偵查恢復(fù)能力的要求，還需確保處理器與車輛輔助系統(tǒng)之間的協(xié)同工作能夠達(dá)到高安全標(biāo)準(zhǔn)。

在第五屆RISC-V中國峰會(huì)汽車分論壇上，來自晶心科技的辜善群發(fā)表了題為“以RISC-V為基礎(chǔ)的車用安全框架”的演講，深入探討了如何基于RISC-V架構(gòu)打造車用處理器的安全框架。辜善群從當(dāng)前車用安全漏洞的現(xiàn)狀入手，分析了數(shù)據(jù)防護(hù)與隔離的重要性，并詳細(xì)介紹了晶心科技提出的AndeSentry合作框架，旨在為車用芯片提供高效、可靠的安全解決方案。

隔離機(jī)制設(shè)計(jì)：高實(shí)時(shí)性和安全的平衡

在車用安全框架中，隔離機(jī)制的設(shè)計(jì)是確保系統(tǒng)安全性和實(shí)時(shí)性的關(guān)鍵。辜善群介紹了兩種常見的隔離機(jī)制：基于頁面（page-based）的隔離機(jī)制，如內(nèi)存管理單元（MMU），以及基于寄存器（register-based）的隔離機(jī)制，如RISC-V中的SPMP（Supervisor Physical Memory Protection）。MMU通過一到兩個(gè)階段的地址轉(zhuǎn)換，隔離操作系統(tǒng)及其應(yīng)用與運(yùn)行環(huán)境。然而，這種方式高度依賴頻繁的內(nèi)存訪問，可能導(dǎo)致緩存未命中（cache miss），對(duì)于有嚴(yán)格實(shí)時(shí)性需求的車用系統(tǒng)而言，這種延遲是不可接受的。

相比之下，基于寄存器的隔離機(jī)制（如SPMP）在存儲(chǔ)權(quán)限控制方面具有確定的延遲，這對(duì)于實(shí)時(shí)性要求高的系統(tǒng)至關(guān)重要。因此，晶心科技的框架傾向于使用固定延遲的隔離機(jī)制，以確保系統(tǒng)的高效運(yùn)行。然而，辜善群也提到一個(gè)例外，即可信執(zhí)行環(huán)境（TEE）。TEE可以在特定條件下使用，因?yàn)樗ǔ２怀袚?dān)高實(shí)時(shí)性任務(wù)，這使得框架能夠利用生態(tài)系統(tǒng)中更豐富的位置資源，從而提升整體靈活性。

中斷優(yōu)化：實(shí)現(xiàn)低延遲的實(shí)時(shí)保障

中斷延遲是車用處理器設(shè)計(jì)的另一個(gè)關(guān)鍵環(huán)節(jié)。辜善群通過時(shí)序圖詳細(xì)分析了中斷處理的硬件和軟件部分。在硬件處理階段，當(dāng)中斷信號(hào)到達(dá)平臺(tái)級(jí)中斷控制器（如AIA，Advanced Interrupt Architecture）時(shí)，信號(hào)會(huì)被路由到指定核心。如果一個(gè)硬件線程（Hart）同時(shí)運(yùn)行多個(gè)操作系統(tǒng)（OS），需要通過虛擬化層進(jìn)行管理和隔離，這會(huì)引發(fā)一系列上下文切換動(dòng)作，導(dǎo)致顯著的延遲。為解決這一問題，晶心科技提出讓每個(gè)操作系統(tǒng)獨(dú)占其所屬Hart的策略，從而直接跳轉(zhuǎn)到目標(biāo)服務(wù)例程（SR），省去上下文切換的開銷。這種設(shè)計(jì)顯著降低了中斷延遲，成為確保實(shí)時(shí)性的重要手段。

在軟件處理階段，晶心科技對(duì)比了基于PLIC（Platform-Level Interrupt Controller）和AIA兩種中斷處理方案的差異。在基于PLIC的平臺(tái)中，操作系統(tǒng)需要直接讀取內(nèi)存映射I/O（MMIO）上的寄存器來完成中斷聲明（claim）動(dòng)作，這要求配置PMP（Physical Memory Protection）資源以保護(hù)系統(tǒng)。如果配置不足，聲明動(dòng)作需通過虛擬化層完成，進(jìn)而引入上下文切換的延遲。而在AIA平臺(tái)中，設(shè)計(jì)更具彈性，操作系統(tǒng)通過完成（complete）動(dòng)作通知中斷控制器后續(xù)中斷可以繼續(xù)發(fā)送至目標(biāo)核心，且無需額外的上下文切換。這種優(yōu)化進(jìn)一步提升了中斷處理的效率。

AndeSentry框架：共建車用安全生態(tài)

辜善群展示了RISC-V多核心處理器在運(yùn)行多個(gè)執(zhí)行環(huán)境時(shí)的典型架構(gòu)。在該架構(gòu)中，Hart 0和Hart 1共同執(zhí)行一個(gè)虛擬化層，負(fù)責(zé)管理和隔離運(yùn)行在其上的操作系統(tǒng)和執(zhí)行環(huán)境，同時(shí)處理非安全性和實(shí)時(shí)性較低的任務(wù)。而Hart 2和Hart 3則分別運(yùn)行彼此獨(dú)立的可信執(zhí)行環(huán)境（TEE），每個(gè)TEE可以運(yùn)行各自的用戶模式（UMode）應(yīng)用程序。值得注意的是，這一架構(gòu)優(yōu)先使用SPMP而非MMU作為隔離機(jī)制，以確保低延遲和高安全性。

基于上述技術(shù)洞察，晶心科技推出了AndeSentry合作框架，旨在聯(lián)合學(xué)界與業(yè)界共同打造一個(gè)可整合、可開發(fā)、可測(cè)試的車用安全生態(tài)系統(tǒng)。該框架以晶心科技的車用處理器系列為基礎(chǔ)，例如AX46MPV-DHSE，這是一款支持向量指令的RISC-V處理器，適用于高性能車用場(chǎng)景。在L1層，框架支持Linux或Zephyr等操作系統(tǒng)，用于處理非安全性和實(shí)時(shí)性較低的需求。中斷處理則采用了AIA方案，以提供更高的彈性和可擴(kuò)展性，同時(shí)節(jié)省寶貴的PMP資源。

AndeSentry框架不僅體現(xiàn)了晶心科技在技術(shù)上的創(chuàng)新，也展現(xiàn)了其開放合作的理念。通過與合作伙伴共享資源和技術(shù)，晶心科技希望推動(dòng)RISC-V在車用領(lǐng)域的標(biāo)準(zhǔn)化和普及，為汽車行業(yè)提供更安全、可靠的芯片解決方案。