2024年，車用安全攻擊造成的全球經濟損失高達250億美元，其中芯片攻擊導致的安全成本最為突出，達到200億美元，遠超其他類別損失的總和。這一數據凸顯了車用芯片在數據防護與隔離方面的核心地位。隨著汽車智能化和網聯(lián)化的深入，車用芯片的安全性已成為不可回避的議題，各國相關法規(guī)的陸續(xù)出臺進一步強調了這一需求。車用系統(tǒng)不僅需要滿足預測性、可靠性和偵查恢復能力的要求，還需確保處理器與車輛輔助系統(tǒng)之間的協(xié)同工作能夠達到高安全標準。

在第五屆RISC-V中國峰會汽車分論壇上，來自晶心科技的辜善群發(fā)表了題為“以RISC-V為基礎的車用安全框架”的演講，深入探討了如何基于RISC-V架構打造車用處理器的安全框架。辜善群從當前車用安全漏洞的現狀入手，分析了數據防護與隔離的重要性，并詳細介紹了晶心科技提出的AndeSentry合作框架，旨在為車用芯片提供高效、可靠的安全解決方案。

隔離機制設計：高實時性和安全的平衡

在車用安全框架中，隔離機制的設計是確保系統(tǒng)安全性和實時性的關鍵。辜善群介紹了兩種常見的隔離機制：基于頁面（page-based）的隔離機制，如內存管理單元（MMU），以及基于寄存器（register-based）的隔離機制，如RISC-V中的SPMP（Supervisor Physical Memory Protection）。MMU通過一到兩個階段的地址轉換，隔離操作系統(tǒng)及其應用與運行環(huán)境。然而，這種方式高度依賴頻繁的內存訪問，可能導致緩存未命中（cache miss），對于有嚴格實時性需求的車用系統(tǒng)而言，這種延遲是不可接受的。

相比之下，基于寄存器的隔離機制（如SPMP）在存儲權限控制方面具有確定的延遲，這對于實時性要求高的系統(tǒng)至關重要。因此，晶心科技的框架傾向于使用固定延遲的隔離機制，以確保系統(tǒng)的高效運行。然而，辜善群也提到一個例外，即可信執(zhí)行環(huán)境（TEE）。TEE可以在特定條件下使用，因為它通常不承擔高實時性任務，這使得框架能夠利用生態(tài)系統(tǒng)中更豐富的位置資源，從而提升整體靈活性。

中斷優(yōu)化：實現低延遲的實時保障

中斷延遲是車用處理器設計的另一個關鍵環(huán)節(jié)。辜善群通過時序圖詳細分析了中斷處理的硬件和軟件部分。在硬件處理階段，當中斷信號到達平臺級中斷控制器（如AIA，Advanced Interrupt Architecture）時，信號會被路由到指定核心。如果一個硬件線程（Hart）同時運行多個操作系統(tǒng)（OS），需要通過虛擬化層進行管理和隔離，這會引發(fā)一系列上下文切換動作，導致顯著的延遲。為解決這一問題，晶心科技提出讓每個操作系統(tǒng)獨占其所屬Hart的策略，從而直接跳轉到目標服務例程（SR），省去上下文切換的開銷。這種設計顯著降低了中斷延遲，成為確保實時性的重要手段。

在軟件處理階段，晶心科技對比了基于PLIC（Platform-Level Interrupt Controller）和AIA兩種中斷處理方案的差異。在基于PLIC的平臺中，操作系統(tǒng)需要直接讀取內存映射I/O（MMIO）上的寄存器來完成中斷聲明（claim）動作，這要求配置PMP（Physical Memory Protection）資源以保護系統(tǒng)。如果配置不足，聲明動作需通過虛擬化層完成，進而引入上下文切換的延遲。而在AIA平臺中，設計更具彈性，操作系統(tǒng)通過完成（complete）動作通知中斷控制器后續(xù)中斷可以繼續(xù)發(fā)送至目標核心，且無需額外的上下文切換。這種優(yōu)化進一步提升了中斷處理的效率。

AndeSentry框架：共建車用安全生態(tài)

辜善群展示了RISC-V多核心處理器在運行多個執(zhí)行環(huán)境時的典型架構。在該架構中，Hart 0和Hart 1共同執(zhí)行一個虛擬化層，負責管理和隔離運行在其上的操作系統(tǒng)和執(zhí)行環(huán)境，同時處理非安全性和實時性較低的任務。而Hart 2和Hart 3則分別運行彼此獨立的可信執(zhí)行環(huán)境（TEE），每個TEE可以運行各自的用戶模式（UMode）應用程序。值得注意的是，這一架構優(yōu)先使用SPMP而非MMU作為隔離機制，以確保低延遲和高安全性。

基于上述技術洞察，晶心科技推出了AndeSentry合作框架，旨在聯(lián)合學界與業(yè)界共同打造一個可整合、可開發(fā)、可測試的車用安全生態(tài)系統(tǒng)。該框架以晶心科技的車用處理器系列為基礎，例如AX46MPV-DHSE，這是一款支持向量指令的RISC-V處理器，適用于高性能車用場景。在L1層，框架支持Linux或Zephyr等操作系統(tǒng)，用于處理非安全性和實時性較低的需求。中斷處理則采用了AIA方案，以提供更高的彈性和可擴展性，同時節(jié)省寶貴的PMP資源。

AndeSentry框架不僅體現了晶心科技在技術上的創(chuàng)新，也展現了其開放合作的理念。通過與合作伙伴共享資源和技術，晶心科技希望推動RISC-V在車用領域的標準化和普及，為汽車行業(yè)提供更安全、可靠的芯片解決方案。