为什么你的车机 不能只有一个安卓,座舱操作系统与 Hypervisor 全拆解 ——一芯多屏省的是 BOM,重构的是证据链

所以本篇全程只用"AAOS"这个名称，不能为了行文方便改称"安卓车机"。更不能用 Android Auto 的手机投屏架构去解释车端操作系统——那会同时低估 AAOS 的本地执行能力、车辆服务接口和车端安全负担。

但"QNX Neutrino 通过 ASIL-D"不是一句能覆盖全部项目的命题。不同版本、安全包、BSP、工具链和交付配置对应不同认证范围；QNX 宣传的"安全认证成功率 100%"也不能替代具体证书。项目选型时仍须取得：目标版本、目标 SoC、编译器、库、驱动与安全手册的证书、报告和安全案例。

最重要的一条：ASIL 是分配给"安全目标"的，不是贴给操作系统、Hypervisor 或芯片的永久标签。ISO 26262 的危害分析与风险评估确定 ASIL A—D；QM 表示不存在不合理残余风险，因此不施加功能安全开发要求。所以不能笼统写成"仪表一定 ASIL B，IVI 一定 QM"。仪表只是显示娱乐信息时可完全属于 QM；若必须持续呈现车速、报警、挡位或接管请求并影响驾驶员判断，其链路就可能被分配 ASIL A/B 或更高。

TrustZone 不是 Type-1 Hypervisor 的替代品。TrustZone 提供 Normal World / Secure World 隔离，适合安全启动、密钥、HSM、支付、身份；Hypervisor 在 EL2 上建立多个 Guest 执行环境。二者协同：TrustZone 保护信任根与安全服务，Hypervisor 承担 VM 隔离，EL3 固件完成世界切换。实际安全岛还可能由独立 MCU、锁步核、Cortex-R、独立电源与看门狗构成。

这张表的关键不是"谁更先进"的排行榜，而是揭示：ASIL 结论不能脱离版本、组件、配置和证书范围。把"支持 ASIL"改写成"已通过 ASIL-D"，或从厂商宣传直接推导完整交付物认证，都会破坏功能安全证据链。特别注意 EB corbos 明确是 ASIL B——不能因为它是知名 Tier1 的产品就写成 ASIL D。

先明确两组法规数字，它们描述的是不同环节，不能混用：FMVSS No. 111（美国）　Rear Visibility 要求，NHTSA 2014 年发布最终规则，2018 年 5 月 1 日起分阶段适用于低于 10,000 磅的新车。公开法规与召回材料反复把 2 秒作为从换入倒挡到后视影像显示的时间要求。GB/T 44176-2024（中国，推荐性国标）《汽车全景影像监测系统性能要求及试验方法》，规定挂入倒挡后 3 秒内输出实时影像信息、图像时延不大于 0.3 秒。3 秒涉及系统输出实时影像，0.3 秒是图像时延——二者描述不同环节；且 GB/T 为推荐性国标，不能替代 ISO 26262 的 ASIL 目标分配。

验收口径必须先统一，否则不同供应商的数据不可比："开始时刻"是钥匙上电、按键、倒挡信号还是屏幕点亮？"完成时刻"是背光点亮、首帧出现还是稳定影像出现？倒车影像验证还须覆盖：断电重启、异常下电、摄像头断连、SoC 高温降频、OTA 升级中断、双屏切换、Android 死锁和 STR 恢复。只测一次"最快路径"，无法证明法规和安全目标。

VSOMEIP 是开源 SOME/IP 实现，不等于 AUTOSAR 标准本身。Eclipse 基金会下的 VSOMEIP 提供 C++ 实现的 SOME/IP 协议栈，可承载服务发现、事件、方法与字段。但进入安全相关或认证路径时，仍需审查版本、接口一致性、ASIL 等级、测试覆盖和供应商支持边界。

一条重要边界（呼应以太网篇）：TC8 Layer 3–7 测试主要验证协议实现质量，不能直接证明功能安全。TC8 可以发现栈实现错误，却不能自动证明 Hypervisor 的 FFI、共享资源的时间隔离或安全目标的 ASIL 符合性。只有把"协议正确"和"失效不传播"分开，验收结论才不会越界。

TARA 与危害分析解决不同风险，不能相互替代。TARA 依据 ISO/SAE 21434 识别资产、威胁、攻击路径、影响、可行性与风险处置；ISO 26262 的危害分析则依据严重度、暴露概率和可控性确定 ASIL。"成功完成 TARA"不会把 QM 软件自动提升为 ASIL D。安全启动可以防止未经授权代码运行，却不能保证授权后的 Android 服务不会耗尽 GPU、内存或带宽。

把几个模块串起来看，座舱是一条完整的链：SoC 篇　算力、带宽、温度等级　→　SerDes 篇　图像怎么送到屏以太网篇　骨干怎么组网　→　音频篇　声音怎么传显示篇　屏本身是什么　→　本篇　芯片之上跑什么、怎么隔离而本篇最该带走的两句话：一、一芯多屏省的是 BOM，重构的是证据链。二、ASIL 是分配给安全目标的，不是贴给 OS、Hypervisor 或芯片的永久标签。