|
瞬時(shí)啟動(dòng)單芯片MachXO3D FPGA為汽車(chē)網(wǎng)絡(luò )帶來(lái)企業(yè)級安全性能 萊迪思白皮書(shū) 2020年10月 我們生活在一個(gè)高度互連的世界，很容易受到各種來(lái)源的網(wǎng)絡(luò )攻擊。僅2018年，硬件攻擊讓超過(guò)30億系統暴露在數據盜竊、非法操作和其它安全隱患中1。 在汽車(chē)領(lǐng)域，如今的智能聯(lián)網(wǎng)汽車(chē)則加劇了這類(lèi)安全問(wèn)題。若網(wǎng)絡(luò )攻擊造成汽車(chē)失控不僅會(huì )對目標車(chē)輛中的人員造成傷害，更有可能危及附近的車(chē)輛、行人和財產(chǎn)。 因此，汽車(chē)的設計人員和廠(chǎng)商正極力尋找保障系統安全之道。正如本文所述，解決方法之一是采用萊迪思半導體的MachXO3D™ FPGA。 老式汽車(chē)時(shí)代已經(jīng)過(guò)去 汽車(chē)市場(chǎng)在不斷演變，近些年來(lái)的變化尤其劇烈，變化速度極快。 以微處理器單元（MPU）和微控制器單元（MCU）為主的計算器件在20世紀七八十年代晚期開(kāi)始應用于汽車(chē)。起初，這些芯片用作復雜的引擎控制系統，只在高端車(chē)輛中使用。到九十年代中期，所有的汽車(chē)都擁有處理器來(lái)監控傳感器、控制引擎以及管理各種車(chē)輛系統之間的交互。 到2020年，一輛普通的車(chē)約有50個(gè)計算單元，而一輛高端汽車(chē)的計算單元可達100多個(gè)。如今的汽車(chē)不僅裝備了GPS、藍牙、Wi-Fi、移動(dòng)數據通信，還擁有道路偏離和碰撞預警等高端安全系統。許多汽車(chē)應用都采用了傳感器聚合來(lái)實(shí)現擁有人工智能和機器學(xué)習功能的雷達、激光雷達和機器視覺(jué)系統。一些汽車(chē)還能一鍵停車(chē)，諸如此類(lèi)的功能越來(lái)越多。 人們對電動(dòng)車(chē)非常有興趣。世界上主要的汽車(chē)廠(chǎng)商都在大力投資電動(dòng)汽車(chē)。此外，人們對氫燃料汽車(chē)也抱有極大熱情，目前至少有三款此類(lèi)車(chē)型面世，還有幾家公司也正在研發(fā)新的車(chē)型。 感覺(jué)不夠安全？ 除了擁有50-100多個(gè)計算單元外，如今的汽車(chē)與外界的連接也越來(lái)越多。在該語(yǔ)境下，“連接”指車(chē)輛能與自身之外的其他系統進(jìn)行雙向通信。這讓車(chē)輛能夠與內外部的設備分享網(wǎng)絡(luò )連接和數據。 通用汽車(chē)是首家將互連特性推向市場(chǎng)的汽車(chē)制造商，1996年推出了OnStar系統。2001年又推出了遠程診斷功能。2003年，互連汽車(chē)服務(wù)包括了汽車(chē)健康報告、逐向道路導航和網(wǎng)絡(luò )訪(fǎng)問(wèn)設備。2007年又推出了Telematics服務(wù)。到了2017年，車(chē)隊運營(yíng)商開(kāi)始見(jiàn)證預測性智能功能的首次部署。 在軟件環(huán)境下，“攻擊面”是指未經(jīng)授權的用戶(hù)可以輸入數據或從環(huán)境提取數據的所有切入點(diǎn)的總和。問(wèn)題在于，擁有50-100多個(gè)計算單元的聯(lián)網(wǎng)汽車(chē)會(huì )為黑客和惡意攻擊者提供很大的攻擊面。 根據美國國家標準和技術(shù)研究院，安全解決方案的主要考慮是建立可信根： 現代計算設備由多層抽象的各類(lèi)硬件、固件和軟件組件組成。當前，許多安全和保護機制都植根于軟件中，而軟件與所有底層組件都必須可靠才能保障安全。由于安全機制依賴(lài)這些組件，因而組件上任何一個(gè)漏洞都可能損害這些機制的可靠度。將安全機制建立在可信根，則可以更大程度上保證安全�？尚鸥歉叨瓤煽康挠布�、固件和軟件組件，它們可以執行特定的、至關(guān)重要的安全功能。由于可信根本身受到信任，因此必須在設計時(shí)確保它們的安全。許多可信根都是在硬件中實(shí)現的，因此惡意軟件無(wú)法篡改其提供的功能�？尚鸥鶠榻踩托湃翁峁┝藞詫�(shí)的基礎。 不受保護的系統可能導致數據和設計盜竊、產(chǎn)品克隆和過(guò)度生產(chǎn)。更糟的是，安全性能不夠完善的系統很容易遭到設備篡改和劫持。 市場(chǎng)上的FPGA廠(chǎng)商數量很少，且大多數主要專(zhuān)注提供超多資源、功能和高性能的器件。這些器件主要用于大型通信基礎設施、服務(wù)器農場(chǎng)和數據中心等。相比之下，萊迪思半導體是唯一一家專(zhuān)注中小型FPGA的廠(chǎng)商，這類(lèi)器件非常適合許多汽車(chē)應用。此外，萊迪思還提供市場(chǎng)上僅有的小于10K查找表且擁有NIST認證的、不可更改安全引擎的FPGA。 MachXO3 FPGA系列FPGA介紹 萊迪思提供各類(lèi)FPGA技術(shù)。一款非常適合部署在汽車(chē)應用中的FPGA就是MachXO系列。 初代MachXO系列于2005年上市。2010年又推出了MachXO2/ZE™系列，隨后2013年和2019年又分別推出了MachXO3L/LF™和MachXO3D™系列。在產(chǎn)品的發(fā)展歷程中，每一代新產(chǎn)品不僅繼承了前代專(zhuān)為客戶(hù)需求打造的特性，還對資源和功能進(jìn)行了拓展。 與前幾代MachXO FPGA產(chǎn)品類(lèi)似，MachXO3™器件擁有低功耗特性、大量LUT資源以及大量輸入/輸出（I/O）。此外，還器件還支持瞬時(shí)啟動(dòng)和熱插拔功能，擁有后臺可編程內部閃存配置存儲器，支持現場(chǎng)邏輯更新。因而MachXO3器件是粘合邏輯、總線(xiàn)橋接、總線(xiàn)接口、馬達控制、上電控制以及其他各類(lèi)控制邏輯應用的理想選擇。此外，由于MachXO3 FPGA擁有數百個(gè)I/O，因此也非常適合需要通用I/O擴展、接口橋接和上電管理等功能的各類(lèi)應用。 
圖1. MachXO3 FPGA占據平臺控制主導地位，是系統最先上電，最后斷電的器件。 MachXO3LF系列器件擁有最多9400個(gè)LUT和384個(gè)I/O，可提供各類(lèi)設計場(chǎng)景所需的各種功能。該系列器件可選3.3/2.5 V或低功耗1.2 V內核，提供多個(gè)I/O bank（最多6個(gè)），支持熱插拔以及各種信號標準和電壓、可對每個(gè)引腳進(jìn)行編程。-40°C至+125°C的拓展溫度（結溫）范圍可應對嚴酷的汽車(chē)環(huán)境， AEC- Q100 Grade 2認證確保了該器件滿(mǎn)足現有的汽車(chē)質(zhì)量行業(yè)標準。 除了提供基于閃存的配置存儲器之外，MachXO3LF系列還提供多達448 Kb的用戶(hù)閃存（UFM）。此外， 在上電時(shí)，配置數據將從閃存配置存儲器復制到基于SRAM的配置單元中（不要與用戶(hù)SRAM存儲器的存儲模塊混淆）。該操作以大規模并行方式執行，不到5毫秒即可完成。這種方法的巨大優(yōu)勢在于，將新配置加載到閃存配置存儲器中時(shí)，器件可以使用其基于SRAM的配置繼續運行。新配置加載完畢后，可以在程序控制下暫停器件運行，鎖定輸出，將新配置復制到SRAM配置單元中，然后釋放器件繼續運行。. 隨著(zhù)工藝制程的不斷發(fā)展，集成電路的結構越來(lái)越小，而影響當今所有電子設備的一個(gè)共同問(wèn)題就是輻射。常見(jiàn)的一種由于輻射引發(fā)的效應就是單粒子翻轉（SEU），即高能放射性粒子撞擊電路中的敏感節點(diǎn)，從而改變其狀態(tài)。例如，寄存器位或存儲單元從0翻轉到1或從1到0。由于SEU可以糾正，因此被視為“軟錯誤”。FPGA由于有配置單元的緣故，其SEU問(wèn)題不可小覷。 毫無(wú)疑問(wèn)，汽車(chē)應用的安全性能至關(guān)重要。為應對輻射效應以及電氣噪聲環(huán)境（如汽車(chē)上的電氣噪聲）MachXO3LF系列支持軟錯誤檢測（SED）、軟錯誤校正（SEC）和軟錯誤注入（SEI）。
圖2. MachXO3LF的簡(jiǎn)化框圖，展示了軟錯誤檢測和校正過(guò)程 SED模塊是構建在芯片上的硬核，它可以計算SRAM配置位的循環(huán)冗余校驗（CRC），將計算出的CRC 與當前配置相關(guān)的現有CRC進(jìn)行比較，在出現不匹配時(shí)標記錯誤。在可編程邏輯中實(shí)現的SEC軟核會(huì )響應該標記，觸發(fā)后臺的重新配置核，調用存儲在配置閃存中的初始配置來(lái)更新SRAM配置單元（重新配置不會(huì )中斷任何未受影響的進(jìn)程）。 最后，用戶(hù)可以使用SEI功能，在不修改CRC的情況下，通過(guò)JTAG、I2C或SPI直接將錯誤注入目標 SRAM配置單元來(lái)模擬軟錯誤事件。 MachXO3D FPGA系列簡(jiǎn)介 汽車(chē)行業(yè)目前正采取類(lèi)似服務(wù)器行業(yè)的安全策略，包括供應鏈安全、安全啟動(dòng)（確保固件啟動(dòng)的代碼是受信任的）和平臺固件保護恢復（PFR）。 如前所述，MachXO3LF汽車(chē)FPGA作為業(yè)界領(lǐng)先的可編程邏輯器件，能夠靈活部署可靠的汽車(chē)應用。MachXO3D汽車(chē)器件不僅大大提升了閃存容量（最高2693 Kb UFM），還新增了硬件安全特性，為汽車(chē)系統帶來(lái)符合NIST標準的安全性能。實(shí)際上，MachXO3D是10 K LUT以下唯一一款擁有NIST認證的不可更改的安全引擎的器件。 MachXO3D作為硬件可信根是系統最先上電、最后斷電的器件，此外，它的不可更改的安全引擎還能實(shí)現ECDSA、ECIES、AES、SHA、HMAC、TRNG、唯一安全ID和公鑰/私鑰生成等預驗證的加密功能。不可更改的安全引擎以及萊迪思最新發(fā)布的固件安全解決方案集合——Lattice SentryTM均能在產(chǎn)品的整個(gè)生命周期內保障安全，包括器件制造和運輸、平臺制造、安裝、運行直至報廢。它還提供數據安全、設備安全、數據驗證、設計安全和品牌保護，全面防止各類(lèi)威脅，保障系統安全。
圖3. MachXO3D安全控制FPGA是系統最先上電、最后斷電的可信根可編程邏輯器件 根據NIST SP 800 193標準的定義，平臺固件保護恢復（PFR）包括了保護、檢測和恢復三部分。保護是指保護平臺固件和關(guān)鍵數據不受損壞，確保固件更新的可靠性和完整性。檢測包括在系統首次上電時(shí)加密檢測受損的平臺固件和關(guān)鍵數據以及跟進(jìn)在系統更新�；謴蛣t包括執行可信的恢復進(jìn)程，將受損平臺固件和關(guān)鍵數據恢復到之前的狀態(tài)。 MachXO3D器件提供安全雙引導等功能，完全滿(mǎn)足PFR的要求。MachXO3D的可編程邏輯、不可更改的安全引擎和安全的雙引導配置模塊，在設計實(shí)施過(guò)程中提供足夠的靈活性，且能在部署系統后實(shí)現安全更新。除了本身提供硬件可信根外，片上邏輯的使用還極大地減少了網(wǎng)絡(luò )攻擊的攻擊面。
圖4. MachXO3D的雙引導功能完全滿(mǎn)足NIST平臺固件保護恢復標準的要求 MachXO3D采用自我檢測、自我恢復和自我保護功能，實(shí)現安全的實(shí)時(shí)系統更新，進(jìn)一步滿(mǎn)足NIST PFR的要求。自我檢測時(shí)，安全引擎會(huì )在啟動(dòng)前使用安全存儲在芯片上的公鑰對現有的片上配置鏡像進(jìn)行身份驗證。自我保護是指如果新下載的鏡像身份驗證失敗，則安全引擎會(huì )自動(dòng)還原到現有已經(jīng)過(guò)驗證的“黃金鏡像”。自我保護時(shí)，除了防止器件使用受損的鏡像進(jìn)行自我配置之外，可編程邏輯還控制來(lái)自編程端口的訪(fǎng)問(wèn)，該鎖定策略可確保每個(gè)閃存存儲具有單獨的訪(fǎng)問(wèn)權限，并且當新的鏡像文件處于傳輸狀態(tài)（加載到配置閃存的過(guò)程中）時(shí)，安全引擎會(huì )阻斷所有來(lái)自配置端口的攻擊。 典型應用案例 以下展示了MachXO3和MachXO3D在汽車(chē)中的三種常見(jiàn)應用案例：電池管理、可信根和基于硬件的安全啟動(dòng)。 • 電池管理：如今包括電動(dòng)車(chē)在內的大多數系統都有多節電池。電池組中的每節電池都需要充電到合適電量來(lái)確保電池的使用壽命。過(guò)充或充電不足都有可能縮短電池壽命。 電池管理系統執行各種任務(wù)，包括防止電池在不安全的環(huán)境下運行、監視電池狀態(tài)、計算輔助數據并上報該數據。 基于MachXO3的電池管理系統（BMS）是一個(gè)控制器，監控充電和放電過(guò)程，實(shí)現智能的電池單元平衡，保證每個(gè)電池單元的充電均衡。此外，BMS還提供實(shí)時(shí)電池信息，例如電池的充電狀態(tài)（SOC） 和健康狀態(tài)（SOH），從而協(xié)助車(chē)輛的應用處理器（AP）向駕駛員提供最新信息。
圖5. 基于MachXO3的電池管理系統 使用MachXO3D FPGA來(lái)實(shí)現BMS能為系統提供額外的安全性能，防止對智能電池的入侵導致電池突破安全極限，對電池或者車(chē)輛造成永久性破壞或嚴重故障。 • 信任鏈/可信根：硬件可信根是保護整個(gè)汽車(chē)系統（包括所有引擎控制單元）的信任鏈中的首個(gè)環(huán)節。 從組件供應商開(kāi)始，汽車(chē)系統供應鏈還包括Tier 2系統開(kāi)發(fā)人員、Tier 1系統集成商、OEM汽車(chē)制造商、分銷(xiāo)和運輸、經(jīng)銷(xiāo)商以及最終客戶(hù)。在整個(gè)供應鏈中，入侵系統的攻擊點(diǎn)有許多，有可能在這些環(huán)節加載損壞的固件。 Lattice SupplyGuard™供應鏈安全服務(wù)為客戶(hù)提供工廠(chǎng)鎖定的IC。這些IC只能使用特定客戶(hù)開(kāi)發(fā)、簽名、加密的配置位流進(jìn)行編程。
圖6. 基于MachXO3D的供應鏈/可信根 此外，MachXO3D FPGA的雙引導功能支持密鑰加密和以及系統可默認設置、高度安全的黃金鏡像。系統上電時(shí)，瞬時(shí)啟動(dòng)的MachXO3D、黃金鏡像和萊迪思SupplyGuard三者共同提供了端到端的供應鏈保護。 • 基于硬件的安全啟動(dòng)：MachXO3D FPGA是汽車(chē)系統中首個(gè)上電的器件，也是最后斷電的器件。系統上電后，MachXO3D會(huì )自我檢查以確保只運行經(jīng)過(guò)身份驗證的固件。MachXO3D還檢查系統中其他器件的相關(guān)固件。
圖7. 基于MachXO3D的安全啟動(dòng) MachXO3D FPGA的硬件安全配置模塊符合NIST SP 800 193平臺固件保護恢復（PFR）標準，在出現惡意攻擊時(shí)，能夠保護、檢測自身并恢復到完好狀態(tài)。此外，可編程架構的的大規模并行處理能力讓MachXO3D能夠同時(shí)保護、檢測和恢復多個(gè)平臺固件。 結論 MachXO3 FPGA基于閃存的配置提供了“瞬時(shí)啟動(dòng)”功能，使其成為平臺上首個(gè)上電、最后斷電的器件，并在系統控制和電源管理功能市場(chǎng)中占據主導地位。 汽車(chē)應用的安全性是第一位的。為應對輻射效應以及電氣噪聲環(huán)境（如汽車(chē)上的電氣噪聲），MachXO3LF系列支持軟錯誤檢測（SED）、軟錯誤校正（SEC）和軟錯誤注入（SEI）。 MachXO3D汽車(chē)器件不僅大大提升了閃存容量（最高2693 kb UFM），還新增了硬件安全特性，為汽車(chē)系統帶來(lái)符合NIST標準的安全性能。 MachXO3D FPGA通過(guò)硬件可信根功能增強了安全性。OEM和汽車(chē)制造商可以通過(guò)MachXO3D FPGA為所有系統組件輕松實(shí)現可靠、全面、靈活的基于硬件的安全機制。MachXO3D FPGA可以在系統運行時(shí)進(jìn)行保護、檢測并從未經(jīng)授權的固件訪(fǎng)問(wèn)中恢復自身和其他組件。此外，MachXO3D FPGA可以和SupplyGuard服務(wù)共同保護系統在生命周期的各個(gè)階段（從制造到報廢）免受惡意活動(dòng)的損害。 除安全領(lǐng)域外，由于FPGA擁有全面的并行處理能力，因此成為實(shí)現各種先進(jìn)的駕駛輔助系統（幫助駕駛員實(shí)現駕駛和停車(chē)功能的電子系統）的理想之選。許多ADAS系統都需要實(shí)時(shí)響應，MCU太慢，而定制的SoC開(kāi)發(fā)昂貴且費時(shí)。此外，SoC的硬件加速器算法實(shí)際上是“凍結在芯片中”，這在各類(lèi)標準和協(xié)議不斷發(fā)展并不斷變化時(shí)代無(wú)疑是不合適的。理想的解決方案是使用FPGA，它具有極高的靈活性，并且可以重新配置來(lái)適應不斷發(fā)展的標準、協(xié)議和功能要求。 MachXO3D FPGA為當今日益復雜和互連的汽車(chē)應用提供了功能和安全性的完美結合。 參考資料 1 https://www.technologyreview.com ... ter-chips-have-the- spectre-security-hole/ 2 預計2021年一季度實(shí)現全面認證 |
