徐輝：半導體是未來技術創新發展的基礎
圖為英飛凌科技（中國）有限公司大中華區副總裁徐輝
1月14日-15日，中國電動汽車百人會論壇（2017）在北京釣魚臺國賓館召開。英飛凌科技（中國）有限公司大中華區副總裁徐輝在會上發表演講。
以下為演講內容：
主持人吳志新：好，我們現在開始下半場議程。大家知道英飛凌公司是國際著名的做功率半導體器件的公司，今天有幸請到英飛凌大中華區副總裁徐輝女士為我們做講演，大家歡迎！
徐輝：大家早上好！首先非常開心今天能再次來到百人會的論壇，能分享英飛凌對整個行業發展的看法和觀點。
今天在吳主任的領導下，演講嘉賓分工比較明確，今天我想談一談半導體如何支持整個汽車行業創新。正好中車的丁總也把功率半導體IGBT這方面講了，我更多從我們的角度出發，功能安全和信息安全正好分開了，不用重復聽兩次。
首先，大家聽到過一句話，汽車行業創新有70%-80%是由電子創造的，真正電子技術的實現要靠半導體技術真正落實到技術的實際操作。看到業界的發展，這兩天從領導到各位嘉賓也談到汽車行業的發展，不管四化還是歐陽老師講的六化，最核心的變化無非是將來的汽車不再是之前想象的單獨的操作系統，而是會變成我們說的互聯網或整個大數據中不可分割的部分。從動力來講，會往新能源汽車方向迅速轉換；同整個聯網、車網聯還有汽車交通設施緊密地結合，必須把汽車從原來封閉的系統做成非常開放的系統，這對我們是非常大的挑戰。
在挑戰過程中，半導體必須起到最核心、最底層技術實現的基礎，下面列舉粉色或紫色的這些都是半導體的實際技術，不管是大家熟悉的雷達或是微處理器的技術，所有這些必須在半導體層面先實現，才能最終到車上、到實際操作層面實現。
最終半導體需要引領四大方向。從現在熟知的高級輔助駕駛ADAS到將來實現的自動駕駛，再到新能源汽車，再到將來聯網的汽車到最終安全的防范，功率器件需要起到非常核心的作用。
首先先談一下關于ADAS系統。之所以今天ADAS有很大的進展，從安全的角度，希望所有自動駕駛的汽車能夠達到無事故，這是最終最高級的目的。從我們看到安全標準的制訂，歐洲的NCAP是現在我們看到對整個系統最高的要求，其中NCAP要求安裝ADAS各個系統是強制性的要求。不止是保護乘駕人員的安全，更多涉及到行人的安全，道路設施安全，必須作為一個整體，必須要求最好的ADAS系統才能夠完成這些安全的保護。
從最基礎的原理來講，ADAS還是蠻簡單的，無非是通過傳感器的系統，不管攝像頭、雷達，最終把信號通過傳感器傳輸到計算的部分，就是微處理器。從圖像處理到信息處理計算，最終到控制器的層面，不管動力控制、安全控制，最終做執行，不管自動轉向、變速箱、剎車，從原理上是相當簡單的。但真正實施為什么非常復雜？無非說將來所有自動駕駛核心就是傳感器的技術。自動駕駛需要用無數各種類型的傳感器，不管激光雷達或一般的雷達或攝像頭，所有的技術能夠把車從前到后360度整個的包圍，把車所有的部分，甚至一些駕駛員看不到的部分，都能夠完全地覆蓋住，通過各種先進的傳感器的技術，能夠感知到長距離、短距離甚至盲點的監測，能夠把所有接近車和交通信號的信息能夠傳感到整個車核心的處理器里。
這就牽涉到一個相當復雜的整體系統。從原理上來講，剛才講到環境感知部分，從信號輸入，包括導航的輸入，最終需要用車的判斷，目前是靠駕駛員來判斷。判斷之后作出決定，將來的自動駕駛是判斷決定的這部分，HMI部分是由車自動操作系統執行，最終實現到駕駛操作，不管剎車、轉向還是各個操作的部分，這個其實是自動駕駛核心技術的原理。
談到這個回到今天想講的主題關于功能安全。大家知道從整個安全的角度上，汽車行業在這20多年取得了實質性的進步。最早講的被動安全、主動安全的概念。最早是被動安全，最經典案例是安全氣囊，被動方向如果受到撞擊，通過安全氣囊爆破保護乘駕人員安全。今天發展到主動安全，通過系統的設計去主動地防護事故的發生，這是我們說的主動安全。
自動駕駛為什么更復雜？因為自動駕駛完全去掉乘駕人員判斷的工作。今天我們有Back up（支持）系統，你的所有系統最終由駕駛員作出最終判斷，即使有自動泊車系統，自動泊車系統不工作，駕駛員可以馬上承接任務。最終自動駕駛沒有Back up（支持）系統，由車操作所有情況。是今天談的Fail-Operational（安全操作），即使是系統發生故障、事故的情況下，車不能只做安全功能，在事故發生系統發生故障的情況下，車可以有操作性。車不像手機可以停機重新開機，車駕駛過程中必須要能夠重新操作。這是今天所謂最終的功能安全，要實現Fail-Operational（安全操作）的層級。在關鍵操作中，比如剎車、轉向和所有自動駕駛，相關功能必須達到Fail-Operational（安全操作），在關鍵時效情況下，時間非常短、可能30秒甚至更短的情況下，車可以完全自動判定和自動安全的防范，能夠保證所有系統都可以最終達到安全的功能。
從技術上來講，目前剛才講到所有系統無非是要有一個最終的Back up（支持）的系統。今天駕駛員可以作為Back up（支持）系統，將來自動駕駛。比如車里設置比較簡單的系統，如果系統發生故障就關掉，將來自動駕駛需要做到有兩套系統同時運行，達到Dual Fail Safe，第一套系統主系統，第二套系統隨時檢查第一套系統安全操作：第一套系統發現任何問題，第二套系統馬上Take over，達到最終的安全需求。對最終自動駕駛來講，不能達到完全安全的要求了，這要探討是不是參考相關行業，現在還要看航空航天：今天的飛機是采取一套叫做Triple Modular Redundancy。它是有三套系統并行的，三套系統里有一套是主系統，另外兩套同時檢查第一套系統的安全運行，一旦兩套系統同時發現第一套系統操作發生故障，需要判定第二套系統可以Take over，在第二套系統做操作時，第三套系統作為第二套系統的Back up（支持）。這個其實是最終目標，這當然會在系統上增加很多成本、增加很多復雜性，最終要達到百分之百的安全，或真正零事故必須往這個方向考慮。只有兩套系統第一套系統失效，第二套系統完全工作，沒有一套系統能做檢測。真正達到Fail-Operational（安全操作）完全自動駕駛必須借鑒整個系統的安全保護，最終大家在汽車行業探討的功能安全，到底怎么操作最終達到功能安全最終的目的。
新能源汽車更需要達到更高的功能安全要求，去年在百人會論壇上我講過這個話題，新能源汽車對功率器件和整個系統需要更高的性能表現。因為在充電時，所有系統還是在工作的，等于車是在24小時工作，不像傳統汽車發動機不發動了，車就可以休息。新能源汽車對所有系統和所有的器件需要更高的等級，估算甚至要3-4倍的要求。新能源汽車更需要達到更高的功能安全的要求。
簡單談一下安防保護。
大家知道現在所說的車聯網，最終能夠跟大數據相連，需要把車的系統能夠跟網絡相連、能夠跟大數據相連、能夠跟所有交通設施相關聯。考慮到信息安全的問題，怎么去做安防保護？怎么能夠保證車內的系統和整個網絡安全的信息能夠最終起到安防的作用？
從架構上來講，無非是在車內關鍵的一些架構做一些安全保護，通過微處理器內部集成做加密模塊、加密功能。上網這部分和網絡連接，和交通設施連接和跟大數據相連接，需要分離式的器件，能對這一部分進行保護。舉一個相對比較簡單的例子，最熱門遠程軟件更新（SOTA）過程分成兩部，第一部分是把需要更新的軟件先下載到車上，第二部是在車內更新。
第一個過程中，在任何時候都可以做，甚至車在運行的過程中都可以操作。而軟件的下載是下載到車內中央的存儲器里，駕駛員不需要參與，駕駛員甚至不需要做任何的操作。而在這個過程中需要加密保護，是確認下載的信息是對的，而車輛操作不受任何影響。
第二部分是下載到中央處理器之后，真正在車內相關的控制器上更新這個軟件，是更需要安全保護的一個過程。目前建議在這個過程不能在駕駛的過程中操作，可能會產生很大的影響和安全的問題。所以建議現在看到的操作都是在駕駛員確認可以下載的時候，而鑰匙是需要Energyi Off的狀態，過程中是需要供電的，進行軟件更新，不能很長，最多是15分鐘之內，駕駛員不能離開車做其他操作。這個過程相對比較短，說明數據下載到車上需要比較快的流程。在這之后有下載端的確認。
從安防保護的角度，有三步。
第一步從車廠存儲下載到中央處理器，有兩步的安防保護：一部分要求TPM確認這是我想要的車廠A，對應車是車廠A的車，可以對口用TPM檢查下載的數據是我需要、我接收的。
第二步是網絡安全部分，網絡下載過程中需要用加密過程保證數據本身是安全的。車內會有微處理器加密模塊。這是相對應的，最后確認中央存儲器可以接受數據，數據下載過程也是安全的。
最終中央處理器存儲器下載到第二步，下載到相關的控制器里，在這個過程中，兩個微處理器上的加密芯片或加密的模塊是會相對應，下載的數據是安全的，而且我下載的也是相對應的控制器，最終實現下載的過程。
從我們可以看到的遠程軟件更新的角度，數據安全和保護是非常關鍵的過程，也是必須有相關的不同的硬件和軟件的配合才能夠實現的。從流程上我們看到是這樣的。
最終作為總結，我們認為在整個汽車電動化和智能化的過程中，為整個系統的安全，就是剛才談到的功能安全的概念和整個安防保護是必須并行的。如果只有你把車做得功能很安全，但信息不安全很可能造成很大的危險。而兩個方向都是并行的，最終才能保證乘駛人員和整個行駛過程和道路交通的設施是安全的，只有在安防和安全兩個兩個同時并行的情況下，才能達到我們安防的目的。今天想講的就是這些。謝謝大家！
（根據速記整理，未經本人審閱）
相關閱讀：
驗證碼：
