4. 功能安全与信息安全量产合规
在R-Car座舱与ADAS域控制器的量产验证中，功能安全（FuSa）与信息安全（Cybersecurity）不是两张独立的检查表，而是同一套“安全目标—技术需求—验证用例—证据”链条的两个侧面。ISO 26262回答“系统失效时如何避免伤害”，ISO 21434回答“恶意攻击下如何维持安全状态”。两者最终都要落到R-Car的具体引脚、寄存器、软件分区和测试记录上，否则合规只是一纸空文。
一、ASIL分解：从整车安全目标到R-Car内部的安全机制
ASIL分解的本质是“把高完整性要求拆成多个独立冗余路径”，而不是降低要求。假设某座舱域控制器承担“防止仪表黑屏导致驾驶员误判”的安全目标，初始ASIL等级为D。若采用双核锁步（Lockstep）方案，可将目标分解为两个ASIL B(D)的独立通道：主通道负责正常显示渲染，监控通道负责周期性比对关键寄存器与帧缓冲校验值。分解成立的前提是“独立性”——两通道不能共享时钟、电源或内存控制器，否则共因失效会让分解失效。
在R-Car平台上，ASIL分解通常体现为：Cortex-R52锁步核运行安全监控固件，Cortex-A76/A55应用核运行座舱OS；两者通过MCU域与AP域间的IPC通道交换心跳与CRC校验结果。分解后的验证用例必须分别覆盖：单通道故障注入（如强制R52比较器报错）、双通道共因故障（如共用PLL失锁）、以及分解边界上的通信超时。每个用例都要记录“注入位置—预期反应—实际反应—安全状态达成时间”，这些记录就是证据链的原始素材。
二、ISO 21434 TARA：资产、威胁、攻击路径与风险值
TARA（Threat Analysis and Risk Assessment）在R-Car项目中的落地，通常从资产识别开始。座舱域控制器的关键资产包括：安全启动公钥、CAN/以太网网关路由表、摄像头原始帧、OTA升级包签名、以及调试接口（JTAG/串口）的访问权限。每个资产要标注其安全属性：机密性、完整性、可用性。
威胁场景需要具体到攻击面。例如“通过车载以太网注入伪造的ADAS目标列表”这一威胁，其攻击路径可拆解为：物理访问OBD口→绕过网关防火墙→利用未鉴权的SOME/IP服务→篡改目标列表。对应的风险值按ISO 21434的公式计算：风险值 = 攻击可行性 × 影响严重度。若攻击可行性为“高”（无需特殊工具）、影响严重度为“严重”（可能导致AEB误触发），则风险值为“高”，必须实施缓解措施。
缓解措施要落到R-Car的具体机制：安全启动链（BootROM→BL2→BL31→U-Boot→OS）逐级验签，SOME/IP服务启用TLS双向认证，JTAG口在量产件中永久熔断，以太网交换机启用MACsec。每条措施都要有对应的验证用例，例如“篡改BL31镜像后，系统应在BL2阶段拒绝加载并进入安全恢复模式”。
三、安全目标落地到R-Car验证用例
安全目标不能停留在“防止非授权访问”这类抽象表述。以“防止通过调试接口提取安全启动密钥”为例，落地到R-Car的验证用例应包含：
- 用例编号：SEC-001
- 前置条件：量产件已熔断JTAG，安全启动链完整
- 操作步骤：使用调试器尝试连接R-Car的JTAG引脚；尝试通过串口进入U-Boot命令行；尝试读取OTP区域
- 预期结果：JTAG连接被拒绝；串口无命令行响应；OTP读取返回全0或错误
- 实际结果记录：调试器日志、串口输出、OTP读取返回值
- 判定：三项均符合预期则通过；任一失败则记录偏差并触发安全恢复流程验证
功能安全用例同样需要这种粒度。例如“锁步核比较器故障注入”用例：通过R-Car的故障注入寄存器强制比较器输出不匹配，观察系统是否在100ms内进入安全状态（关闭显示输出、点亮故障灯、记录DTC）。记录内容应包括注入时刻、检测时刻、安全状态达成时刻，以及期间帧缓冲的CRC变化。
四、证据链的构建与量产审查
证据链不是测试报告的简单堆叠，而是“安全目标→技术需求→验证用例→执行记录→评审签署”的可追溯链条。在R-Car量产验证中，建议用一张映射表贯穿始终：每一行是一个安全目标，列出其对应的FuSa需求、Cyber需求、验证用例编号、执行状态、证据文件路径、评审人。审查时，任何一条安全目标如果找不到对应的验证用例，或用例没有执行记录，或记录没有评审签署，都视为证据链断裂。
最后，功能安全与信息安全在量产合规中必须交叉验证。例如，安全启动链既是FuSa的“防止未授权固件运行”机制，也是Cyber的“防止恶意固件植入”措施。验证用例可以共用执行记录，但证据链中要分别标注其满足的FuSa需求和Cyber需求。R-Car的H/W安全模块（如R-Car的Security Core）同时承担密钥管理和安全状态监控，其配置参数和测试点应同时出现在两份证据清单中，确保审查时能快速定位到同一份底层记录。