RAS购买了 ASIL-B 认证的存储设备，安全分析就完成了吗？
01摘要
02文章告诉了我们什么，又没有告诉我们什么
德国电子专业媒体 all-electronics 在11月5日的文章中指出，随着 SDV 中区域架构、OTA 和 V2X 的普及，存储设备正成为功能安全与信息安全相互交叠的零部件。文中举例的 Silicon Motion 车用 SSD 控制器，被介绍为已通过 AEC-Q100、ISO 26262 ASIL-B 和 ASPICE CL3 认证。
阅读时需要记住三点。该文章自述是基于这家公司的资料撰写的。我们在2023年产品发布稿中找到的表述仅到“ASPICE compliance”为止，且我们未核实认证证书原件。文章没有给出失效率或具体的安全机制，并且将 ISO 21434 描述为符合性，而非认证。
不过，这篇文章中仍有一个值得借鉴的术语：SEooC（Safety Element out of Context），即在未指定具体车辆的情况下开发的安全要素。
03零部件认证交付了什么，又留下了什么
按 SEooC 开发的零部件，是供应商在假设使用条件的基础上制造的。这些假设条件写在安全手册中，并移交给集成方。如果这些假设条件在您的车辆中不成立，就不能原样沿用该零部件的安全论证。
| 认证证书所表明的内容 | 留给车辆侧的问题 |
|---|---|
| 供应商的开发流程和安全机制已按目标等级接受评估 | 依赖该零部件的安全目标的 ASIL 是多少？ |
| 在规定的温度、电源和使用条件下支持运行 | 我们的安装位置、供电和写入量是否在这些条件之内？ |
| 零部件能够诊断其内部故障 | 车辆是否接收该诊断结果并作出安全响应？ |
| 对存储数据进行加密 | 密钥由谁管理？通过合法路径进行的篡改由谁来阻止？ |
下面通过一个虚构示例来跟踪这些问题。
04示例：共用一个控制器的中央计算 SSD
这是为教学而构建的配置。中央计算机中的一块 SSD 由驾驶辅助、信息娱乐和 OTA 虚拟机共同使用。假设控制器已通过 ASIL-B 认证。驾驶辅助从 SSD 读取地图数据，主机软件通过校验和检查完整性。
以下所有等级、评分和失效率均为便于说明而设定的假设值，并非真实产品的数值。
HARA：零部件的等级并不等于安全目标的等级
| 故障行为 | 危害事件 | S | E | C | ASIL |
|---|---|---|---|---|---|
| 将过时或错误的地图数据当作有效数据提供 | 高速公路驾驶辅助因旧地图而偏离车道 | S3 | E4 | C2 | C |
| 在需要时未提供地图数据 | 高速公路驾驶辅助在无警告的情况下关闭 | S2 | E4 | C2 | B |
第一个安全目标为 ASIL C，而控制器为 ASIL-B。因此设计团队选择了ASIL分解：SSD 侧为 ASIL B(C)，主机完整性检查为 ASIL A(C)。从表格上看，等级是吻合的。但ASIL分解附带一个条件：分解后的要素之间必须具有充分的独立性。
FTA：两个“独立”的要素被绑定在同一个控制器上
假设完整性检查所用的校验和与地图数据存储在同一块 SSD 上。如果 NAND 错误只损坏了数据，校验和就能发现。但如果控制器返回了某个数据块的旧版本，数据和校验和会一起回到旧值。两者相互吻合，因此检查得以通过。即使检查程序本身完好，也无济于事。
T0 结构共有三个割集。
| 割集 | 阶数 | 含义 |
|---|---|---|
| 控制器固件返回数据块的旧版本 | 一阶 | 仅此一项故障即导致顶事件 |
| 控制器内部映射表错误 | 一阶 | 仅此一项故障即导致顶事件 |
| NAND 数据错误 + 主机完整性检查故障 | 二阶 | 设计者所预期的双重结构 |
ASIL分解表中只能看到二阶的情况。两个一阶的情况只有在绘制 FTA 后才会显现。
改进：将基准值移出控制器
将经过签名的基准值和版本号保存在独立的安全存储区中。这样，如果控制器返回旧的数据块，它将与独立存储区中的值不一致而被拒绝。
| 结构 | 一阶割集 | 二阶割集 |
|---|---|---|
| T0 基准值存储在同一块 SSD 上 | 2 | 1 |
| T1 基准值存储在独立存储区中 | 0 | 3 |
零部件保持不变，改变的只是车辆侧的结构。由于失效率是假设值，本文比较的是割集结构，而非计算数值。
FMEA：破坏供应商假设条件的因素在车辆侧
| 失效原因 | 失效模式 | 失效影响 | S | O | D | AP |
|---|---|---|---|---|---|---|
| 安装位置温度超出供应商假设范围 | 数据保持能力下降，不可纠正错误增加 | 驾驶辅助使用错误的地图数据 | 9 | 4 | 6 | H |
| OTA 写入过程中断电时，掉电保持时间不足 | 元数据损坏导致无法读取所存储的镜像 | 更新后部分车辆功能无法启动 | 7 | 5 | 7 | H |
| 日志写入量超出供应商的假设值 | 写入寿命耗尽，存储设备转为只读 | 更新后部分车辆功能无法启动 | 7 | 6 | 6 | H |
这三项原因都无法通过零部件认证证书得到解答。即使确认了零部件的温度等级，在实测实际安装位置之前也无从得知；而随着 SOP 之后通过 OTA 不断增加功能，写入量也会偏离最初的计算。这正是测试计划需要从零部件单体转向实车条件的原因。
TARA：AES-256 能阻止什么，不能阻止什么
| 威胁 | 攻击潜力总分 | 攻击可行性 | 影响 | 风险值 | 处置决定 |
|---|---|---|---|---|---|
| 拆下 SSD 并直接读取 NAND | 42 | Very Low | Major | 1 | 保留 |
| 被攻破的信息娱乐虚拟机通过共享路径篡改地图数据 | 18 | Medium | Severe | 4 | 降低 |
| 从一辆车中提取共用密钥，并解密同一车型的数据 | 22 | Low | Major | 2 | 降低 |
存储数据加密直接阻止的是第一项威胁。第二项威胁以合法权限请求写入，因此无论是否加密都能通过。第三项威胁涉及的是密钥管理，而非加密强度。因此，针对风险最高威胁的对策是“按虚拟机分离存储区域，并在使用前验证签名”。该签名验证与 FTA 中发现的基准值分离指向同一种设计。在这里，安全分析与信息安全分析指向了同一项对策。
05收到零部件认证证书时需要确认的五件事
| 确认内容 | 查看位置 | 示例中的发现 |
|---|---|---|
| 认证证书原件上的产品、固件版本和范围，以及它是认证还是符合性声明 | 认证证书、供应商资料 | 资料中“certified”与“compliant”的表述混用 |
| 依赖该零部件的安全目标的 ASIL | HARA | 零部件 ASIL-B，安全目标 ASIL C |
| 分解后的要素所共享的资源 | FTA 共因 | 同一控制器导致两个一阶割集 |
| 安全手册的假设条件与您的设计之间的差距 | FMEA 失效原因 | 温度、掉电保持时间、写入量 |
| 加密范围、密钥管理、共享路径的访问控制 | TARA | 三项威胁中加密只能阻止一项 |
06如何在 VisualPro 中实现，以及其局限
VisualPro 将 HARA、FTA、DFMEA 和 TARA 放在同一个项目中。我们将本示例作为一个项目中的四个模块录入，ASIL、AP、风险值和割集均由工具计算得出。
VisualPro 并不能替代一切。真实的失效率必须来自供应商资料和测试。判断认证证书是否有效、ASIL分解所依赖的独立性是否充分，属于工程师和评估人员的职责。本示例未涉及零部件层面的 FMEDA。
07常见问题
Q1ASIL-B 认证的零部件能否用于 ASIL C 或 D 功能？
在某些情况下可以，典型的途径是ASIL分解。但分解后的要素之间必须具有充分的独立性。共享资源可能像本示例一样在 FTA 中形成单点故障，因此应首先进行检查。
Q2对于 SEooC 认证的零部件，我们还需要做什么？
将安全手册中的假设条件与您车辆的条件逐项对照。如果某项假设条件不成立，就需要修改设计或与供应商协商解决。将零部件的诊断结果与车辆的安全响应相连接，同样是集成方的工作。
Q3对存储设备采用 AES-256 加密，能否降低 TARA 中的风险？
它对拆下存储介质进行读取的威胁有效。通过合法路径进行的篡改和共用密钥泄露则需要单独评估。按威胁拆分攻击路径，就能看清加密实际能覆盖到什么程度。
参考资料
· all-electronics, "Speicher wird zum Sicherheitsfaktor" (2026-11-05) — 阅读原文
· Silicon Motion，2023年8月产品发布 — 查看资料
· Intertek, "Exploring Safety Elements out of Context" (2026-01-15) — 查看资料
· Renesas，ISO 26262 在 SEooC 软件中的应用 — 查看资料
· ISO 26262 Road vehicles — Functional safety — ISO 页面