摘要RISC-V车规功能安全正在从认证走向量产但STL软件诊断的覆盖率达标仍是核心挑战。达摩院指出ASIL-B等级要求90%的诊断覆盖率但RTL仿真与网表仿真的覆盖率存在5%到10%的差距。本文从STL的三重约束、覆盖率差距的来源和破局路径三个维度分析RISC-V车规功能安全的工程实践。一、STL的三重约束阿里巴巴达摩院处理器架构师李伟立在2026第六届智能汽车芯片生态大会上指出RISC-V车规功能安全研发通常要3到5年。在具体技术路径上ASIL-D等级普遍采用双核锁步DCLS方案代价是两倍面积和两倍功耗。ASIL-B等级出于PPA考量通常采用STL软件诊断方式要求达到90%的诊断覆盖率面积仅增加10%至20%。STL开发面临三重约束。运行时间约束。STL运行不能影响原有功能单个程序段运行时间需控制在数千个cycle内。否则会拉长中断响应延迟影响实时控制性能。存储空间限制。车规应用存储空间紧张STL需控制在合理Size范围内。这限制了可用指令和测试用例的丰富度。访问安全约束。对Device类型IO设备的访问可能产生不可逆状态进一步压缩了软件诊断的覆盖空间。例如写入某个寄存器可能触发不可逆的操作STL必须避免访问这类寄存器。二、覆盖率差距RTL与网表的5%到10%落差李伟立透露了一个关键研发发现RTL仿真与网表仿真的诊断覆盖率存在显著差异。“通常要在5%以上可能要达到7%、8%甚至到10%。”这意味着在RTL层面做到90%覆盖率综合到网表层后可能无法通过迫使研发团队在RTL阶段就要做到95%甚至更高。覆盖率差距的来源有两个。第一MCU中的预测、预取等内部模块难以被STL指令直接覆盖。这些模块的行为是微架构层面的STL指令无法直接观测和控制它们的状态。第二总线故障注入在超出总线边界后会被环境修正为正确值导致回读永远读到正确值。这个现象使总线故障的诊断覆盖率难以达标。这两个来源的共同特点是它们都涉及微架构层面的行为而不是指令集架构层面的行为。STL作为软件诊断方法天然难以覆盖微架构层面的故障。三、破局路径从RTL阶段提前优化面对STL诊断覆盖率的挑战工程上的破局路径正在形成。第一在RTL阶段就做到95%以上的覆盖率。由于网表仿真会损失5%到10%的覆盖率RTL阶段的目标需要高于最终要求的90%。这意味着RTL设计阶段就需要考虑STL的可测试性。第二增加可测试性设计DFT。在MCU设计中增加专门用于STL的观测点和控制点使微架构层面的内部状态可以被STL指令访问。这需要在面积和覆盖率之间做权衡。第三使用硬件诊断辅助。部分厂商在MCU中集成硬件诊断模块辅助STL完成覆盖率达标。硬件诊断模块可以覆盖STL难以触及的微架构故障。第四建立更完善的故障模型。总线故障注入的“环境修正”问题需要更精确的故障模型来模拟故障在总线边界之外的行为。这涉及仿真环境的改进。李伟立呼吁更多厂商加入RISC-V车规生态不仅要丰富ASIL-B/D等级的MCU级IP更要开发面向智驾领域的高性能计算核心。四、产业进展从认证到量产RISC-V车规功能安全正在从认证走向量产。IP认证。芯来科技的NA900是全球首款获ISO 26262 ASIL-D认证的RISC-V CPU IP。晶心D23-SE采用DCLS架构获得ISO 26262 ASIL-B和ASIL-D认证。奕斯伟R520A通过TÜV莱茵颁发的ASIL-D功能安全认证。芯片认证。奕斯伟EAI8800 CMS电子后视镜专用SoC获得ASIL-B与AEC-Q100双认证。此前奕斯伟RISC-V车规级MCU EAM2011已通过ASIL-B功能安全产品认证。量产落地。东风DF30基于RISC-V多核架构实现ASIL-D功能安全等级并规模量产搭载于东风奕派007、猛士M817等车型。架构选择的分化。ASIL-D用DCLSASIL-B用STL。这个分化反映了功能安全等级与PPA约束之间的工程权衡。DCLS的确定性更高但面积和功耗代价大。STL的面积代价小但诊断覆盖率的达标难度高。五、对嵌入式工程师的影响第一理解STL的工程约束。STL不是“写几个测试用例”那么简单。运行时间、存储空间和访问安全三重约束决定了STL的设计空间。嵌入式工程师需要理解这些约束才能设计有效的软件诊断。第二理解RTL与网表的覆盖率差距。诊断覆盖率在RTL和网表之间存在5%到10%的差距。嵌入式工程师需要理解这个差距的来源在RTL阶段就设置更高的覆盖率目标。第三关注可测试性设计DFT。STL的覆盖率达标需要DFT的支持。嵌入式工程师需要理解DFT的基本方法以及如何在面积和覆盖率之间做权衡。第四理解功能安全认证的完整流程。功能安全产品研发需要经过流程认证与产品认证的双向迭代。嵌入式工程师需要理解这个流程的完整路径和时间成本。六、总结RISC-V车规功能安全正在从认证走向量产但STL诊断覆盖率90%的达标仍是核心挑战。RTL与网表的5%到10%覆盖率差距、微架构模块的不可覆盖性、总线故障的环境修正问题构成了STL开发的工程难点。对于嵌入式工程师而言功能安全不再是“安全团队的专属工作”。理解STL的工程约束、覆盖率差距和DFT方法正在成为RISC-V车规芯片开发的核心竞争力。