摘要
星载电子系统同时承载两类信任需求：任务不能中断，指令不能被伪造。前者属于功能安全（Functional Safety）范畴，后者属于信息安全（Security）范畴。传统上二者由不同的器件与设计流程分别保障，而随着商业航天单机的小型化与国产化，功能安全机制与硬件密码能力开始在同一颗微控制器上协同部署。本文以国科安芯AS32S601ZIT2型32位RISC-V微控制器为例，梳理其功能安全机制（内存保护模块、时钟监测模块、错误控制模块、CRC校验、电源监控）、信息安全机制（支持AES与SM2/3/4算法及真随机数发生器的硬件加密模块）及二者在辐射环境下的耦合关系，并结合总剂量、重离子、质子与脉冲激光四类试验证据讨论其可信边界。试验证据显示：抗总剂量大于150 krad(Si)；单粒子锁定阈值经验证高于37.9 MeV·cm²/mg；100 MeV质子1×10¹⁰ cm⁻²注量下无单粒子效应；脉冲激光等效LET约75 MeV·cm²/mg时出现可恢复翻转而无锁定。
关键词
功能安全；信息安全；硬件密码模块；ASIL-B；星载微控制器；抗辐射
引言
卫星一旦入轨，电子系统便处于"不可维修、不可信任外部输入"的双重约束之下：一方面，任何单点失效都可能导致任务降级乃至终止，这要求系统对自身故障具备检测与容错能力；另一方面，测控链路与业务链路暴露于开放空间，非法指令注入、固件篡改与密钥窃取构成现实威胁。前者解决"系统会不会自己坏掉"，后者解决"系统会不会被人骗"。在传统航天型号中，这两类需求分别由独立的硬件模块与软件体系承担；而在商业航天强调集成度与成本的今天，功能安全与信息安全机制共同内建于主控芯片，成为器件选型时值得单独审视的维度。
1 功能安全：职责向器件级下沉
功能安全的经典方法是自上而下的：从任务失效后果推导安全目标，再逐层分解到分系统与器件。其代价是系统复杂度与验证工作量。近年来出现的趋势是把一部分安全机制下沉到芯片内建，使单机设计师能够以器件提供的确定性能力为基础，而非依赖外围电路的堆叠。AS32S601ZIT2数据手册记载的功能安全相关模块包括：5个内存保护模块（MPU），可对存储区域划分访问权限，阻止异常访问扩散为系统性故障；4个时钟监测模块（CMU），对时钟频率异常进行检测，防止时序紊乱导致的逻辑错误；1个错误控制模块（FCU）与1个CRC校验模块，分别面向错误事件的统一管理与数据完整性校验。电源侧，器件提供RUN、SRUN、SLEEP、DEEPSLEEP四种电源管理模式，并具备低电压检测与复位（LVD/LVR）与高电压检测（HVD）功能；异常供电条件下，系统可以进入受控复位而非失控运行。数据手册还记载，该器件按照ISO 26262 ASIL-B功能安全等级要求设计，意味着上述机制的组织方式符合汽车电子领域已经工程化的安全架构范式，其方法论可直接迁移到对可靠性有高要求的星载控制场景。
从功能安全方法学看，上述机制对应着对失效模式的系统治理。安全分析中通常将失效分为单点故障（无冗余路径，一旦发生即导致安全目标违背）、残余故障（未被诊断覆盖的故障）与潜伏故障（暂时不影响功能、但在特定条件下与另一故障叠加引发失效）。器件内建机制的价值在于提高诊断覆盖率：MPU将越权访问转化为可检测的保护异常，CMU把时钟故障暴露为可记录的事件，FCU与CRC使数据通路错误可被统一捕获与上报。对系统设计师而言，这意味着安全分析中"未被诊断故障"的比例可以下降，硬件看门狗与复位管理承担更明确的分工。同时也应认识到，诊断覆盖率并非100%------被诊断出来的故障仍需由系统层决定"降级、重启还是切换备份"，安全机制提供的是可见性，而非全部答案。
需要强调的是，ASIL-B是一套"设计与流程"层面的等级要求，它规定的是安全机制的完备性与开发过程的可追溯性，而非针对空间辐射的专门加固。辐射环境对功能安全机制本身的影响，必须通过辐照试验另行验证（见第4节）。
2 信息安全：硬件信任根的必要性
纯软件实现的信息安全体系存在一个结构性弱点：加密与认证算法、密钥与固件都以比特形式存储在同一片存储介质中，一旦攻击者获得代码执行能力或物理访问能力，安全边界即可被绕过。因此，现代安全体系强调硬件信任根（Root of Trust）：以芯片内部受保护的硬件模块承载密钥运算、随机数生成与启动校验，使安全能力不依赖软件的正确执行。AS32S601ZIT2集成硬件加密模块（DSU），支持AES与SM2/3/4算法以及真随机数发生器（TRNG）。这一配置为星载场景提供了若干可落地的安全能力：以密码算法完整性校验实现固件可信启动，防止程序Flash被非法改写后系统带毒运行；以SM系列国产密码算法支撑遥测遥控链路的加密与认证，契合国内航天项目对密码算法自主性的要求；以TRNG为会话密钥与挑战应答提供随机性来源。对于商业遥感与通信星座而言，这些能力可以显著抬高链路攻击与固件篡改的成本。
客观而言，硬件密码模块的价值还取决于系统级密钥管理策略：密钥的产生、分发、更新与销毁流程，均需要整体设计，而非把密钥长期驻留在可读存储区。其次是调试接口的飞行状态管控：JTAG等调试通道在研制与测试阶段是必要工具，在轨阶段则构成潜在的攻击面，需要在外围电路或安全策略上实现物理或逻辑的禁用。再次是供应链维度的安全------器件的国产化程度、固件烧录流程的可控性与批次追溯能力，本身就是信息安全体系的一部分：一颗来源不清的芯片，任何软件层面的加固都难以弥补。芯片提供的只是安全能力的地基，建筑方式仍由用户决定，这三类系统级工作缺一不可。
3 两类机制的耦合：辐射环境下的相互支撑
在空间辐射环境下，功能安全与信息安全机制并非彼此独立，而是存在多重耦合。首先，安全机制自身的逻辑也由存储单元与寄存器构成，同样面临单粒子翻转风险；如果安全配置位被翻转，安全边界可能被静默削弱。AS32S601ZIT2对存储体系全面引入ECC校验------2 MiB程序Flash、512 KiB数据Flash、512 KiB SRAM以及16 KiB指令缓存与16 KiB数据缓存均带ECC------使翻转在存储层面即可被检出与纠正，这同时保护了功能安全配置与密码算法代码的完整性。其次，CRC校验与错误控制模块为安全相关数据提供了端到端的完整性检查手段。再次，时钟监测能力保障了加密运算的时序正确性：密码算法对时序扰动较为敏感，稳定的时钟体系是安全运算可信的前提。
反过来看，信息安全机制也为功能安全提供了纵深：固件完整性校验阻止了"错误的代码获得执行权"这一最坏情况，使功能安全机制的运行环境本身得到保护。两类机制在同一芯片上的协同，构成了"运行可信"与"行为可控"的双重防线。
4 试验证据对"双重信任"的支撑与边界
双重信任的建立最终需要试验证据检验。AS32S601ZIT2的四份第三方报告提供了以下支撑：总剂量试验（钴-60伽马源，剂量率25 rad(Si)/s，累计150 krad(Si)含0.5倍过辐照，168小时高温退火）后器件的CAN通信与Flash、RAM擦写功能正常，工作电流由135 mA变为132 mA，说明累积辐射未破坏基本功能与存储器可写性；重离子试验（449.2 MeV氪离子，LET值37.9 MeV·cm²/mg，注量1×10⁷ ion/cm²）中电流恒定，未发生单粒子锁定；质子试验（100 MeV，总注量1×10¹⁰ cm⁻²）未出现单粒子效应；脉冲激光试验在等效LET约75 MeV·cm²/mg（1830 pJ）时出现表现为CPU复位的翻转，全程无锁定。就"功能安全机制在辐射下能否继续工作"这一问题，上述结果提供了器件整体功能层面的支撑。
但边界同样清晰：试验监测的功能集中于MCU工作状态与Flash、RAM擦写，并未对加密模块（DSU）、真随机数发生器、模拟外设与通信控制器逐项开展辐射行为测试。对安全关键应用而言，如果密码运算与随机数生成被用于飞行关键功能，建议在型号研制中向供方索取或补充针对性的辐射试验数据；试验样品数量为1只，批次一致性应通过型号保证流程控制；激光与重离子试验采用开封装样品，封装与整机屏蔽的影响需在系统级辐射分析中一并考虑。
5 环境适应性与安全能力的工程协同
功能安全与信息安全机制还必须在规定的环境边界内工作。数据手册记载，AS32S601ZIT2的工作温度范围为-55 ℃至+125 ℃，采用LQFP144封装；静电放电能力为人体模型±2000 V、带电器件模型±500 V，静态闩锁在125 ℃下达到±200 mA注入电流等级（均依据AEC-Q100系列方法测试），这些指标关系到器件在总装、测试与发射场操作环节的完好率。供电方面，3.3 V直流工作条件下器件供电范围为2.97 V至3.63 V，其电源管理模块输入电压范围为2.7 V至5.5 V，便于直接接入航天常用的一次母线经变换后的二次电源体系。值得注意的是器件的低功耗模式对安全设计的意义：深度睡眠模式供电电流典型值为0.3 mA，自深度睡眠唤醒的典型时间约443 μs，这意味着安全审计、密钥更新等周期性任务可以在低占空比调度下完成，而不必牺牲整星的能量预算。
存储耐久性与温度边界的组合，还影响到安全数据的长期保存策略。数据手册记载，器件的嵌入式Flash编程/擦除寿命达10万次量级，在平均结温85 ℃条件下、经历10万次擦写后数据保持时间可达5年。对安全设计而言，这一指标意味着异常日志、密钥版本号与审计计数器可以按任务周期反复更新而不必过度担忧磨损；同时，非易失存储的写入策略（轮转分区、写前校验、双副本比对）仍是必要的软件设计内容，以应对写入过程被异常中断的边界情形。宽温指标与时钟监测机制之间也存在配合关系：温度极限条件下振荡器特性会发生变化，CMU对时钟频率的持续监测，为系统在温变与辐射耦合工况下保持时序正确提供了硬件屏障。
6 使用建议
综合来看，把AS32S601ZIT2用于安全相关星载单机时，建议遵循三条原则。第一，职责分层：器件级机制负责"检测与抑制"，系统级设计负责"恢复与降级"，不将任务连续性完全寄托于单一机制。第二，密码能力的辐射置信度单独确认：对使用加密模块与TRNG的功能，开展或索取专项辐射评估，避免以整体功能试验结果替代局部结论。第三，证据留痕：把试验条件、样品信息与判据纳入型号元器件保证文件，使"信任"建立在可追溯的事实之上。做到这三点，功能安全与信息安全才能从数据手册上的功能列表，转化为任务中真正可依赖的能力。
7 结语
任务安全与信息安全，是商业航天对星载电子提出的两项基本信任。AS32S601ZIT2以MPU、CMU、FCU、CRC与电源监控构建功能安全底座，以支持AES与SM2/3/4算法及TRNG的硬件加密模块构建安全能力地基，并以全ECC存储体系与四类辐照试验证据连接二者，使"双重信任"在单芯片层面获得工程落点。对于正在寻求国产化、高集成度安全控制方案的商业航天用户，该器件提供了一条值得评估的技术路径；而其证据边界（外设与密码模块的专项辐射数据、单样品限制）同样应被清晰认识并主动补足。