用于安全關(guān)鍵系統認證的 RISC-V 實(shí)施策略

對于使用基于 RISC-V 的平臺的開(kāi)發(fā)人員，該架構提供了獨特的功能，可幫助實(shí)現功能安全和信息安全目標。例如，從開(kāi)放式架構到豐富的工具生態(tài)系統，安全關(guān)鍵型軟件團隊看到了滿(mǎn)足 DO-178C 和 ISO 26262 準則的好處，以及減少合規工作的機會(huì )。

了解如何將 RISC-V 的模塊化、簡(jiǎn)單性和可擴展性與行業(yè)標準對應起來(lái)可能很困難。本文介紹了開(kāi)發(fā)人員可以利用 RISC-V 實(shí)現認證安全關(guān)鍵型系統的合規性的七種方式。

降低系統復雜性

RISC-V 的開(kāi)放標準指令集架構 （ISA） 與專(zhuān)有架構相比具有多項認證優(yōu)勢。例如，其全新的設計消除了傳統架構的傳統兼容性限制，這些限制通常會(huì )使安全認證復雜化。ISA 的小基整數集允許處理器設計人員僅實(shí)現所需的功能，而不會(huì )引入不必要的復雜性和開(kāi)銷(xiāo)。

這種簡(jiǎn)單性還減少了構建和驗證確定性系統及其潛在攻擊面的挑戰，這是認證機構的關(guān)鍵考慮因素。

在其免版稅許可下，開(kāi)發(fā)人員在針對特定使用案例修改 RISC-V 實(shí)施時(shí)不會(huì )產(chǎn)生額外費用。該平臺還不包含敏感 IP，從而限制了制造商對其設計的潛在責任。

圖 1.RISC-V 如何實(shí)現保護嵌入式系統的左移實(shí)踐

軟硬件接口規范

ISO 26262 要求精確記錄軟硬件接口 （HSI）。RISC-V 的模塊化設計通過(guò)將 ISA 的基本功能與其擴展明確分離來(lái)支持這一要求。在為安全功能實(shí)施自定義擴展時(shí)，團隊可以單獨記錄這些添加內容，同時(shí)維護基本架構的標準接口文檔。這種分離支持接口規范和驗證的認證要求，并使其更容易捕獲需求可追溯性。

確定性執行

DO-178C 確定了對最壞情況執行時(shí)間 （WCET） 進(jìn)行分析的必要性，并在 §6.3（軟件審查和分析）、§6.3.4（源代碼的審查和分析）和 §11.20（軟件完成摘要）中進(jìn)行了討論。EASA AMC 20-193 和 FAA AC 20-193 提供了證明執行時(shí)間從未超過(guò)其分配窗口的指南。

RISC-V 的高速緩存管理策略通過(guò)在運行時(shí)啟用確定性執行，在滿(mǎn)足這些要求方面具有優(yōu)勢。將 2 級高速緩存內存映射實(shí)施為 RAM 的能力使開(kāi)發(fā)人員能夠更好地控制系統延遲，并協(xié)助進(jìn)行認證所需的最壞情況執行時(shí)間 （WCET） 分析。

實(shí)現不同的冗余

RISC-V 的開(kāi)放式架構可幫助開(kāi)發(fā)人員為需要 DO-178C 設計保證 A 級 （DAL-A） 的系統實(shí)施不同的冗余機制。他們可以在同一系統中采用不同的處理器配置，也可以選擇不同的 RISC-V 供應商解決方案，同時(shí)保持架構一致性。他們還可以選擇對具有不同安全要求和認證級別的混合關(guān)鍵系統使用完全不同的架構。

這些方法簡(jiǎn)化了共模故障保護所需的認證證據。

來(lái)自不斷增長(cháng)的生態(tài)系統的支持

不斷壯大的硬件和軟件供應商生態(tài)系統認識到 RISC-V 的價(jià)值。2023 年，英偉達、高通、晶心、谷歌和其他公司啟動(dòng)了 RISC-V 軟件生態(tài)系統 （RISE） 項目，以加速 RISC-V 在消費電子、數據中心和汽車(chē)產(chǎn)品中的采用。

RISC-V 開(kāi)發(fā)工具和驗證環(huán)境的成熟度支持整個(gè)開(kāi)發(fā)生命周期的認證活動(dòng)。較新的工具，例如用于 RISC-V 架構的 LDRA 目標許可證包 （TLP），提供安全認證所必需的功能，包括：

• 架構特征的需求可追溯性

• 多核代碼覆蓋率分析

• 符合 AMC 20-193 標準的 WCET 測量

• 在模擬和物理 RISC-V 處理器上進(jìn)行單元級和系統級測試

供應商的行業(yè)支持通過(guò)高度可靠的工作流程簡(jiǎn)化了認證流程，從而減少了整體驗證和文檔編制工作。

安全認證的 IP 內核和組件

Microchip、SiFive 和 CAST 等供應商提供的預認證 RISC-V IP 內核減少了認證工作。這些組件通常包括集成的安全功能，例如錯誤檢測和糾正、看門(mén)狗定時(shí)器和內存保護單元。在實(shí)施這些預認證內核時(shí)，開(kāi)發(fā)團隊可以利用現有文檔，從而縮小所需認證證據的范圍。

圖 2.LDRA 工具套件與 Microchip 的 PolarFire SoC 集成。

Frontgrade Gaisler 等供應商為空間系統等專(zhuān)業(yè)應用提供抗輻射 RISC-V 硬件。這拓寬了 RISC-V 的使用案例，使團隊能夠在保持認證嚴謹性的同時(shí)準確提供所需的內容。

降低供應鏈風(fēng)險

安全認證流程需要對供應鏈完整性進(jìn)行全面記錄。RISC-V 的開(kāi)放式模型通過(guò)支持多種采購策略來(lái)滿(mǎn)足這一要求。開(kāi)發(fā)團隊可以實(shí)施來(lái)自不同供應商的相同處理器配置，從而促進(jìn)供應鏈多樣性和安全案例文檔。

在記錄持續的適航性或汽車(chē)安全完整性等級 （ASIL） 合規性時(shí)，這種架構獨立性對于長(cháng)生命周期的航空航天和汽車(chē)應用來(lái)說(shuō)變得非常有價(jià)值。在不更改架構的情況下更換供應商可在組件過(guò)時(shí)時(shí)簡(jiǎn)化重新認證流程。

RISC-V 結合了架構優(yōu)勢、擴展的工具支持和預認證的組件，使 RISC-V 對安全關(guān)鍵型應用更具吸引力。通過(guò)在實(shí)施過(guò)程中周到地解決認證要求，嵌入式開(kāi)發(fā)團隊可以使用 RISC-V 的功能來(lái)簡(jiǎn)化認證過(guò)程，同時(shí)確保系統的安全性和可靠性。