夜雨聆风QNX 统治了 20 年，中国软件这次拿到了什么入场券
一辆车每秒要做上千次决定：踩不踩刹车、气囊爆不爆、能不能变道——做这些决定的不是摄像头，也不是 AI 芯片，而是一套叫"实时操作系统"的底层软件。8 月 7 日，芯驰科技与小米宣布完成"车规 MCU + 车规 OS"全面适配，组合方案拿到 ISO 26262 ASIL-D 等级证书。本文从这件事出发，讲清三件事：QNX/VxWorks 在汽车里到底扮演什么角色、ASIL-D 是什么等级的安全门槛、这次认证背后的技术看点在哪。
▸ Xiaomi Vela Safety 内核 ASIL-D 认证证书
一、QNX/VxWorks 在汽车里扮演什么角色？
上世纪 90 年代某欧洲豪华品牌车型曾因仪表盘实时系统调度异常发起大规模召回（事件据公开行业资料记录），这种早期案例催生了汽车电子对"实时内核"的强制要求。这种早期案例催生了汽车电子对"实时内核"的强制要求。今天，所有车里的仪表、座舱、ADAS 控制器背后都跑着一个微内核 RTOS，它负责把"方向盘转 5 度"这种控制指令在几毫秒内送达执行器，比 AI 算法更早决策，比传感器更早响应。
当前全球车规 RTOS（Real-Time Operating System，实时操作系统）装机量最大的是 QNX（加拿大黑莓旗下，装机超 2.75 亿辆）和 VxWorks（美国风河产品，覆盖工业、军工、航空）。在国内乘用车前装仪表盘、座舱主控里，QNX 占比超过 60%；线控底盘、动力域控则更多使用 VxWorks。
国产车规 MCU 想接入这两套"国外普通话"，需要做一套"翻译接口"——把自家芯片指令集翻译成 QNX/VxWorks 能调度的格式。这套翻译代码每个客户、每款芯片都要重写一遍，出了问题还要先把锅分清楚是芯片的 bug 还是翻译器的 bug。
QNX/VxWorks：两款主流车规 RTOS。QNX 采用微内核架构、调度精度高，统治车载仪表与座舱；VxWorks 主攻工业、军工、航空，在线控底盘领域广泛部署。可以理解为汽车的"神经中枢"——你踩刹车到车真刹住，经过的核心调度由它们决定。
二、ASIL-D：车规安全的"金字塔尖"
如果说车规 MCU 想"上车"是一道门槛，那 ASIL-D 就是这道门槛上最高的横梁。
ASIL 全称 Automotive Safety Integrity Level（汽车安全完整性等级），由 ISO 26262《道路车辆功能安全》国际标准定义，共 A/B/C/D 四个等级（外加 QM，无安全要求），D 为最高级。等级由三个维度联合评分查表决定：
- ●S（Severity，严重度）
：失效后对驾乘人员、路人造成的伤害等级，分 S1-S3 三档 - ●E（Exposure，暴露率）
：该失效场景在日常驾驶中出现的频率，分 E1-E4 四档 - ●C（Controllability，可控性）
：驾驶员接管失控车辆的能力，分 C1-C3 三档
以线控制动为例：一旦失效严重度 S3（危及生命），踩刹车每次都触发暴露率 E4，驾驶员来不及接管可控性 C3——三个维度同时拉满，必须做到 ASIL-D。
ASIL-D 具体要求什么？硬件层面要做双核锁步（两套独立电路同时跑同一段代码、对比结果）；软件层面要做 ECC（Error Correcting Code，纠错码）多重校验、内存分区隔离；流程层面要过 TÜV 等第三方机构逐行代码审计。一颗芯片从立项到拿到 ASIL-D 通常需要 2-3 年，而一次 TÜV 排期可能就要等 6-12 个月。
ASIL-D 决定哪些场景？气囊弹出、线控制动、线控转向、自动紧急制动——任何"踩错就要出人命"的功能都被强制要求这一等级。
▸ ASIL 等级示意图
ISO 26262：2011 年发布的汽车功能安全国际标准，2018 年更新。它是车规芯片、车规软件的"上车通行证"，覆盖功能安全从概念、需求、设计、实现到验证的全流程。
三、8 月 7 日的认证：硬件和软件都在哪些维度打了卡
8 月 7 日，据芯驰与小米对外披露的官方信息，"芯驰 E3 系列车规 MCU + 小米 Vela Safety 内核"组合完成全面适配。从公开参数看，硬件层与软件层分别完成了以下技术指标的认证。
硬件层——芯驰 2018 年成立，E3 系列 MCU 于 2022 年发布，是国内较早通过 ISO 26262 ASIL-D 产品认证 + AEC-Q100 Grade 1 车规可靠性双认证的本土高端车规 MCU 产品家族。其中 E3650 旗舰型号采用 22nm 车规制程（同期外资竞品普遍 28nm），集成 8 核 ARM Cortex-R52+ 锁步多核集群、主频 600MHz，搭载 16MB 嵌入式非易失性存储器。E3 系列截至 2026 年中累计出货超过 1100 万片（据芯驰官方披露），覆盖区域控制、动力底盘、车身网关等核心域控场景。
软件层——Vela Safety 内核是小米 IoT 操作系统 Vela 的安全增强版。Vela 本身 2017 年开始孵化，2024 年起切入车端场景，截至 2026 年中终端装机量超过 1 亿台（据小米官方披露），覆盖小米手机、智能家居、智能穿戴。Vela Safety 内核于 2026 年 4 月通过 TÜV Rheinland 的 ISO 26262 ASIL-D 认证，认证模式为 SEooC。
SEooC（Safety Element out of Context，独立安全元素）：一种认证模式，允许安全组件单独通过认证再集成到不同整车系统，相当于拿到"安全零部件合格证"，可装入任何 ECU。本次 Vela Safety 拿的就是 SEooC 模式认证。
▸ 芯驰 E3650 车规 MCU 参数详解
四、芯驰 + 小米怎么"用"起来？
认证到手只是入场券，真正的工程问题是怎么把组合方案落到具体车型。从公开技术资料看，这次组合落地的看点有三：
第一，硬件协议层面对接。Vela Safety 内核 POSIX 兼容性约 88%（小米官方公告数据，参考传统 RTOS 通常仅 10%-30%），对于原本写在 Linux 平台上的应用，迁移到 Vela 几乎无需重新编译。配合 E3650 内置的硬件通信加速单元，可以把端到端指令延迟从普通车规 MCU 的典型范围压到毫秒级以内。
第二，MCU 与 OS 的并行协同。E3650 内置双核锁步架构，主核负责应用调度，锁步核实时比对结果——配合 Vela Safety 的分层安全机制（应用层/服务层/内核层逐级隔离），形成"硬件冗余 + 软件隔离"的双保险。
第三，跨域调度。Vela Safety 内核被设计为可裁剪结构，最小内核仅约 30KB 量级存储占用，这意味着它能装进 E3650 的单核模式子系统——一颗 E3650 可以同时跑座舱域、车身域、智驾域三个独立安全的 OS 实例。
▸ 2025 中国乘用车高性能车规 MCU 市场份额
从市场层面看，芯驰 2025 年在中国乘用车高性能车规 MCU 市场排第 5，市占率 4.82%，是榜单里唯一的中国厂商。前四名英飞凌 36.03%、瑞萨 22.98%、NXP 21.56%、意法半导体 9.93%，合计份额超过 90%。
随着 Vela Safety 内核适配完成，芯驰 E3650 有机会进入外资长期把持的动力、底盘、智驾域控场景——这条路需要一份一份定点、一款一款车型积累。
五、冷静的一面：距离真正"上车"还有多远？
需要客观看待这次认证。Vela Safety 内核本次认证是 SEooC 模式，意味着它可以作为安全组件被集成到不同整车系统中，但要真正"上车跑量产"，还需要和具体整车厂的车型平台做 ISO 26262-4 整车级集成验证，这又是一个 12-18 个月的工程。
类似的，全球前装车里 QNX 装机超 2.75 亿辆、乘用车前装 QNX 占比超 60%。这两组数字背后是十几年的 ECU 设计经验、几千个车型的量产案例、几百万行稳定运行的车规代码——这些工程积累不是一张 ASIL-D 证书能替代的。
从更广的视角看，过去 5 天我们梳理过 SiC 功率半导体（8-14）、闪充生态（8-16）、舱驾一体（8-12）、千 TOPS AI 芯片（8-13）、座舱 8775 算力（8-17）。这些话题横跨"硬件-芯片-算力-底层软件-上层应用"五个层级。一张 ASIL-D 证书，是中国供应链在最底层补齐的一块拼图，但要让拼图完整，每一层都还有具体工程要兑现。
你的车上现在跑的是什么系统？评论区报一下，让我们看看 QNX、VxWorks、Linux、国产内核各自占多少。
*汽车工坊，日更。让我们拆解每一项汽车技术。*