英飛凌徐輝：半導體是未來(lái)技術(shù)創(chuàng )新發(fā)展的基礎

　　1月14日-15日，2017中國電動(dòng)汽車(chē)百人會(huì )論壇在釣魚(yú)臺國賓館舉行，騰訊汽車(chē)作為戰略合作媒體將進(jìn)行全程直播。會(huì )上，英飛凌科技(中國)有限公司大中華區副總裁徐輝進(jìn)行了主題演講。

　　以下為發(fā)言實(shí)錄：

　　大家早上好!首先非常開(kāi)心今天能再次來(lái)到百人會(huì )的論壇，能分享英飛凌對整個(gè)行業(yè)發(fā)展的看法和觀(guān)點(diǎn)。

　　今天在吳主任的領(lǐng)導下，演講嘉賓分工比較明確，今天我想談一談半導體如何支持整個(gè)汽車(chē)行業(yè)創(chuàng )新。正好中車(chē)的丁總也把功率半導體IGBT這方面講了，我更多從我們的角度出發(fā)，功能安全和信息安全正好分開(kāi)了，不用重復聽(tīng)兩次。

　　首先，大家聽(tīng)到過(guò)一句話(huà)，汽車(chē)行業(yè)創(chuàng )新有70%-80%是由電子創(chuàng )造的，真正電子技術(shù)的實(shí)現要靠半導體技術(shù)真正落實(shí)到技術(shù)的實(shí)際操作?？吹綐I(yè)界的發(fā)展，這兩天從領(lǐng)導到各位嘉賓也談到汽車(chē)行業(yè)的發(fā)展，不管四化還是歐陽(yáng)老師講的六化，最核心的變化無(wú)非是將來(lái)的汽車(chē)不再是之前想象的單獨的操作系統，而是會(huì )變成我們說(shuō)的互聯(lián)網(wǎng)或整個(gè)大數據中不可分割的部分。從動(dòng)力來(lái)講，會(huì )往新能源汽車(chē)方向迅速轉換;同整個(gè)聯(lián)網(wǎng)、車(chē)網(wǎng)聯(lián)還有汽車(chē)交通設施緊密地結合，必須把汽車(chē)從原來(lái)封閉的系統做成非常開(kāi)放的系統，這對我們是非常大的挑戰。

　　在挑戰過(guò)程中，半導體必須起到最核心、最底層技術(shù)實(shí)現的基礎，下面列舉粉色或紫色的這些都是半導體的實(shí)際技術(shù)，不管是大家熟悉的雷達或是微處理器的技術(shù)，所有這些必須在半導體層面先實(shí)現，才能最終到車(chē)上、到實(shí)際操作層面實(shí)現。

　　最終半導體需要引領(lǐng)四大方向。從現在熟知的高級輔助駕駛ADAS到將來(lái)實(shí)現的自動(dòng)駕駛，再到新能源汽車(chē)，再到將來(lái)聯(lián)網(wǎng)的汽車(chē)到最終安全的防范，功率器件需要起到非常核心的作用。

　　首先先談一下關(guān)于A(yíng)DAS系統。之所以今天ADAS有很大的進(jìn)展，從安全的角度，希望所有自動(dòng)駕駛的汽車(chē)能夠達到無(wú)事故，這是最終最高級的目的。從我們看到安全標準的制訂，歐洲的NCAP是現在我們看到對整個(gè)系統最高的要求，其中NCAP要求安裝ADAS各個(gè)系統是強制性的要求。不止是保護乘駕人員的安全，更多涉及到行人的安全，道路設施安全，必須作為一個(gè)整體，必須要求最好的ADAS系統才能夠完成這些安全的保護。

　　從最基礎的原理來(lái)講，ADAS還是蠻簡(jiǎn)單的，無(wú)非是通過(guò)傳感器的系統，不管攝像頭、雷達，最終把信號通過(guò)傳感器傳輸到計算的部分，就是微處理器。從圖像處理到信息處理計算，最終到控制器的層面，不管動(dòng)力控制、安全控制，最終做執行，不管自動(dòng)轉向、變速箱、剎車(chē)，從原理上是相當簡(jiǎn)單的。但真正實(shí)施為什么非常復雜?無(wú)非說(shuō)將來(lái)所有自動(dòng)駕駛核心就是傳感器的技術(shù)。自動(dòng)駕駛需要用無(wú)數各種類(lèi)型的傳感器，不管激光雷達或一般的雷達或攝像頭，所有的技術(shù)能夠把車(chē)從前到后360度整個(gè)的包圍，把車(chē)所有的部分，甚至一些駕駛員看不到的部分，都能夠完全地覆蓋住，通過(guò)各種先進(jìn)的傳感器的技術(shù)，能夠感知到長(cháng)距離、短距離甚至盲點(diǎn)的監測，能夠把所有接近車(chē)和交通信號的信息能夠傳感到整個(gè)車(chē)核心的處理器里。

　　這就牽涉到一個(gè)相當復雜的整體系統。從原理上來(lái)講，剛才講到環(huán)境感知部分，從信號輸入，包括導航的輸入，最終需要用車(chē)的判斷，目前是靠駕駛員來(lái)判斷。判斷之后作出決定，將來(lái)的自動(dòng)駕駛是判斷決定的這部分，HMI部分是由車(chē)自動(dòng)操作系統執行，最終實(shí)現到駕駛操作，不管剎車(chē)、轉向還是各個(gè)操作的部分，這個(gè)其實(shí)是自動(dòng)駕駛核心技術(shù)的原理。

　　談到這個(gè)回到今天想講的主題關(guān)于功能安全。大家知道從整個(gè)安全的角度上，汽車(chē)行業(yè)在這20多年取得了實(shí)質(zhì)性的進(jìn)步。最早講的被動(dòng)安全、主動(dòng)安全的概念。最早是被動(dòng)安全，最經(jīng)典案例是安全氣囊，被動(dòng)方向如果受到撞擊，通過(guò)安全氣囊爆破保護乘駕人員安全。今天發(fā)展到主動(dòng)安全，通過(guò)系統的設計去主動(dòng)地防護事故的發(fā)生，這是我們說(shuō)的主動(dòng)安全。

　　自動(dòng)駕駛為什么更復雜?因為自動(dòng)駕駛完全去掉乘駕人員判斷的工作。今天我們有Back up(支持)系統，你的所有系統最終由駕駛員作出最終判斷，即使有自動(dòng)泊車(chē)系統，自動(dòng)泊車(chē)系統不工作，駕駛員可以馬上承接任務(wù)。最終自動(dòng)駕駛沒(méi)有Back up(支持)系統，由車(chē)操作所有情況。是今天談的Fail-Operational(安全操作)，即使是系統發(fā)生故障、事故的情況下，車(chē)不能只做安全功能，在事故發(fā)生系統發(fā)生故障的情況下，車(chē)可以有操作性。車(chē)不像手機可以停機重新開(kāi)機，車(chē)駕駛過(guò)程中必須要能夠重新操作。這是今天所謂最終的功能安全，要實(shí)現Fail-Operational(安全操作)的層級。在關(guān)鍵操作中，比如剎車(chē)、轉向和所有自動(dòng)駕駛，相關(guān)功能必須達到Fail-Operational(安全操作)，在關(guān)鍵時(shí)效情況下，時(shí)間非常短、可能30秒甚至更短的情況下，車(chē)可以完全自動(dòng)判定和自動(dòng)安全的防范，能夠保證所有系統都可以最終達到安全的功能。

　　從技術(shù)上來(lái)講，目前剛才講到所有系統無(wú)非是要有一個(gè)最終的Back up(支持)的系統。今天駕駛員可以作為Back up(支持)系統，將來(lái)自動(dòng)駕駛。比如車(chē)里設置比較簡(jiǎn)單的系統，如果系統發(fā)生故障就關(guān)掉，將來(lái)自動(dòng)駕駛需要做到有兩套系統同時(shí)運行，達到Dual Fail Safe，第一套系統主系統，第二套系統隨時(shí)檢查第一套系統安全操作：第一套系統發(fā)現任何問(wèn)題，第二套系統馬上Take over，達到最終的安全需求。對最終自動(dòng)駕駛來(lái)講，不能達到完全安全的要求了，這要探討是不是參考相關(guān)行業(yè)，現在還要看航空航天：今天的飛機是采取一套叫做Triple Modular Redundancy。它是有三套系統并行的，三套系統里有一套是主系統，另外兩套同時(shí)檢查第一套系統的安全運行，一旦兩套系統同時(shí)發(fā)現第一套系統操作發(fā)生故障，需要判定第二套系統可以Take over，在第二套系統做操作時(shí)，第三套系統作為第二套系統的Back up(支持)。這個(gè)其實(shí)是最終目標，這當然會(huì )在系統上增加很多成本、增加很多復雜性，最終要達到百分之百的安全，或真正零事故必須往這個(gè)方向考慮。只有兩套系統第一套系統失效，第二套系統完全工作，沒(méi)有一套系統能做檢測。真正達到Fail-Operational(安全操作)完全自動(dòng)駕駛必須借鑒整個(gè)系統的安全保護，最終大家在汽車(chē)行業(yè)探討的功能安全，到底怎么操作最終達到功能安全最終的目的。

　　新能源汽車(chē)更需要達到更高的功能安全要求，去年在百人會(huì )論壇上我講過(guò)這個(gè)話(huà)題，新能源汽車(chē)對功率器件和整個(gè)系統需要更高的性能表現。因為在充電時(shí)，所有系統還是在工作的，等于車(chē)是在24小時(shí)工作，不像傳統汽車(chē)發(fā)動(dòng)機不發(fā)動(dòng)了，車(chē)就可以休息。新能源汽車(chē)對所有系統和所有的器件需要更高的等級，估算甚至要3-4倍的要求。新能源汽車(chē)更需要達到更高的功能安全的要求。

　　簡(jiǎn)單談一下安防保護。

　　大家知道現在所說(shuō)的車(chē)聯(lián)網(wǎng)，最終能夠跟大數據相連，需要把車(chē)的系統能夠跟網(wǎng)絡(luò )相連、能夠跟大數據相連、能夠跟所有交通設施相關(guān)聯(lián)?？紤]到信息安全的問(wèn)題，怎么去做安防保護?怎么能夠保證車(chē)內的系統和整個(gè)網(wǎng)絡(luò )安全的信息能夠最終起到安防的作用?

　　從架構上來(lái)講，無(wú)非是在車(chē)內關(guān)鍵的一些架構做一些安全保護，通過(guò)微處理器內部集成做加密模塊、加密功能。上網(wǎng)這部分和網(wǎng)絡(luò )連接，和交通設施連接和跟大數據相連接，需要分離式的器件，能對這一部分進(jìn)行保護。舉一個(gè)相對比較簡(jiǎn)單的例子，最熱門(mén)遠程軟件更新(SOTA)過(guò)程分成兩部，第一部分是把需要更新的軟件先下載到車(chē)上，第二部是在車(chē)內更新。

　　第一個(gè)過(guò)程中，在任何時(shí)候都可以做，甚至車(chē)在運行的過(guò)程中都可以操作。而軟件的下載是下載到車(chē)內中央的存儲器里，駕駛員不需要參與，駕駛員甚至不需要做任何的操作。而在這個(gè)過(guò)程中需要加密保護，是確認下載的信息是對的，而車(chē)輛操作不受任何影響。

　　第二部分是下載到中央處理器之后，真正在車(chē)內相關(guān)的控制器上更新這個(gè)軟件，是更需要安全保護的一個(gè)過(guò)程。目前建議在這個(gè)過(guò)程不能在駕駛的過(guò)程中操作，可能會(huì )產(chǎn)生很大的影響和安全的問(wèn)題。所以建議現在看到的操作都是在駕駛員確認可以下載的時(shí)候，而鑰匙是需要Energyi Off的狀態(tài)，過(guò)程中是需要供電的，進(jìn)行軟件更新，不能很長(cháng)，最多是15分鐘之內，駕駛員不能離開(kāi)車(chē)做其他操作。這個(gè)過(guò)程相對比較短，說(shuō)明數據下載到車(chē)上需要比較快的流程。在這之后有下載端的確認。

　　從安防保護的角度，有三步。

　　第一步從車(chē)廠(chǎng)存儲下載到中央處理器，有兩步的安防保護：一部分要求TPM確認這是我想要的車(chē)廠(chǎng)A，對應車(chē)是車(chē)廠(chǎng)A的車(chē)，可以對口用TPM檢查下載的數據是我需要、我接收的。

　　第二步是網(wǎng)絡(luò )安全部分，網(wǎng)絡(luò )下載過(guò)程中需要用加密過(guò)程保證數據本身是安全的。車(chē)內會(huì )有微處理器加密模塊。這是相對應的，最后確認中央存儲器

　　可以接受數據，數據下載過(guò)程也是安全的。

　　最終中央處理器存儲器下載到第二步，下載到相關(guān)的控制器里，在這個(gè)過(guò)程中，兩個(gè)微處理器上的加密芯片或加密的模塊是會(huì )相對應，下載的數據是安全的，而且我下載的也是相對應的控制器，最終實(shí)現下載的過(guò)程。

　　從我們可以看到的遠程軟件更新的角度，數據安全和保護是非常關(guān)鍵的過(guò)程，也是必須有相關(guān)的不同的硬件和軟件的配合才能夠實(shí)現的。從流程上我們看到是這樣的。

　　最終作為總結，我們認為在整個(gè)汽車(chē)電動(dòng)化和智能化的過(guò)程中，為整個(gè)系統的安全，就是剛才談到的功能安全的概念和整個(gè)安防保護是必須并行的。如果只有你把車(chē)做得功能很安全，但信息不安全很可能造成很大的危險。而兩個(gè)方向都是并行的，最終才能保證乘駛人員和整個(gè)行駛過(guò)程和道路交通的設施是安全的，只有在安防和安全兩個(gè)兩個(gè)同時(shí)并行的情況下，才能達到我們安防的目的。今天想講的就是這些。謝謝大家!