欧洲《网络韧性法案》（CRA）即将要求芯片制造商证明其硅片产品具备安全性。目前已有相关工具可用于生成此类证明，但这些工具最初并非为该用途而设计。
欧洲再次率先行动
9月11日，欧盟《网络韧性法案》首个实操性条款正式生效。自该日起，任何在欧洲销售含数字元件产品的公司，必须在24小时内报告已知被主动利用的漏洞及严重安全事件，并在72小时内提交完整报告，通过由欧盟网络安全局（ENISA）运营的新报告平台完成。该义务覆盖已上市产品，包括多年前出货的产品。法案其余部分——即规定产品设计与评估方式的内容——将于2027年12月起适用。
欧洲并非唯一采取行动者。日本已制定新方案，对供应链中企业的安全性进行评级；美国则计划自2027年1月起，要求联邦机构采购的联网消费类设备须带有其“网络信任标志”。但这些措施相对温和：属自愿评级、标签或采购规则。相比之下，《网络韧性法案》是具有强制力的法律，涉及CE认证、罚款及严格报告时限，适用于所有向欧洲市场销售产品的实体，无论其注册地为何处。一如往常，欧盟在监管领域继续引领全球，利弊并存。
细读法案细节时，最引人注目的是其对半导体行业的直接干预。目前关于CRA的多数评论出自律师与软件安全专家之手，芯片仅被轻描淡写带过。然而，笔者认为，CRA将深刻改变芯片的设计与验证流程，而这一影响尚未在设计界引发充分讨论。
芯片明确列入法案范围
CRA依据风险等级对产品分类。大多数产品归入默认类别，可自行评估；而高风险类别则列明具体产品类型，芯片赫然在列：具备安全功能的微控制器与处理器、防篡改版本，以及位于最高层级的安全元件与智能卡芯片（律所CMS提供了清晰摘要）。对于高风险产品，自我声明不再有效，必须由第三方评估机构审核后方可加贴CE标志。
关于芯片本身是否构成独立受规管产品，抑或仅作为组件被纳入监管，尚存法律模糊空间，实际适用将高度依赖客户使用方式。但对面向欧洲市场销售安全微控制器的厂商而言，方向已然明确。
真正令人不安的是时间窗口。定义合规具体标准的规范仍在制定中。据近期SEMI网络研讨会披露的进展，涵盖基本原则与风险管理的通用标准已于9月底进入最终投票阶段；而技术性安全控制清单——即最接近“产品必须做到什么”的实质要求——目标发布时间为2027年10月，距法案生效仅剩约六周。芯片专用标准早在一年前就已预测将晚于欧盟委员会设定的截止日期数月出台。
对软件而言，规则滞后虽令人困扰；对硅片而言，则更为严峻。今日流片的芯片将在2028年上市，其安全架构如今即已冻结，却需应对尚未成文的要求。软件可事后打补丁，掩模却无法重制。
谁坐在谈判桌前
SEMI组织的CRA网络研讨会由其制造网络安全联盟主办，发言人包括ASML的两位合规经理及一名顾问，讨论几乎全部聚焦于晶圆厂设备。这合乎逻辑：光刻机是联网且软件密集型设备，其制造商与其他CRA规管主体无异。设备厂商反应迅速，其工作组已起草立场文件并提交欧盟委员会，主张服役数十年的设备不应等同于消费电子产品，呼吁至少给予标准发布后18个月过渡期，并对旧合同提供豁免，同时警告部分厂商或将重新评估欧洲市场可行性。
芯片制造商亦已组织起来，但通过不同渠道。负责制定芯片专用标准的欧洲委员会由英飞凌牵头，意法半导体担任秘书处，工作小组由意法、恩智浦、英飞凌及AMD召集。这是欧洲标准化的常规模式，由最懂技术者制定规则合情合理。但值得注意的是，那些长期深耕认证密集型市场的厂商，正主导定义未来所有人的认证标准。
笔者未能在上述场合发现的群体，是更广泛的芯片设计生态：EDA供应商、IP提供商及验证团队。本文后续内容即聚焦于此缺失。
我们曾经历过类似剧本
2011年ISO 26262标准出台时，汽车芯片的功能安全从工程美德转变为可交付成果：安全计划、失效分析与验证报告成为他人核查的工作产出，围绕其产生的工具、IP与服务市场迅速壮大。从事验证工作的同仁仍记得，“ASIL-ready”如何迅速成为销售话术。
CRA标准遵循相同逻辑。SEMI研讨会上，核心标准讲解者强调：合规性须通过可审计输出予以证明，而非仅声称某项活动已完成。每项要求均明确输入、产出物及评估人员可核查的标准；技术目录将要求从威胁到安全目标、再到对应控制措施的全程可追溯性。
对业内人士而言，这无异于验证流程的描述。笔者认为，CRA将如ISO 26262推动功能安全那样，使硬件安全成为一项签发环节——证据本身即为产品。区别在于，此次是法律强制而非车企要求，且覆盖范围远超汽车行业。
工具已存在，只是原为他人打造
这是笔者认为最富启发性的部分：硬件安全验证并非新兴领域。过去十年间，该领域主要在美国发展，资金多来自国防与可信微电子计划，学术根基深厚，如佛罗里达大学Mark Tehranipoor团队。相关工具最初用于为政府客户探测硬件木马、侧信道攻击与调试后门。如今，CRA为其开辟了第二个、规模大得多的商业市场。
转型已然启动。Arteris年初完成对安全验证公司Cycuity的收购，并于数月后发布《CRA对芯片设计未来的影响》白皮书；由Tehranipoor创立的Caspia公司，现将其安全证据体系明确列为支持CRA、汽车及航空电子标准的解决方案之一；由Peter Levin领导的Amida公司，多年来为国防客户构建基于AI的安全分析能力，作为其核心数据业务的独立单元运作。
人工智能居于三者核心。Tehranipoor于9月ESD联盟网络研讨会提出面向SoC安全验证的多智能体方法；Caspia称其发展方向为“智能体平台”；Amida则指出其机器学习方法可发现形式化验证遗漏的威胁。但发现漏洞仅完成一半任务——因CRA合规性需以文档化证据呈现，AI在大规模生成、追踪与归档证据方面的能力可能同等关键。
然而，AI亦具双刃性：助防御者生成证据的同一模型，也降低了发现漏洞的成本。欧盟委员会在7月发布CRA指南时即指出，前沿AI模型在网络安全能力上的进步，使法案快速落地更具紧迫性。若趋势持续，24小时报告时限将更频繁触发，搭载可利用缺陷芯片的出货成本亦将随之攀升。
另有一套哲学理念正在兴起。CHERI联盟将于下月SEMICON Europa展会举办唯一芯片安全专场，主张通过重构处理器架构，从根本上杜绝整类内存安全漏洞，而非逐项验证其不存在。验证契合CRA“证明已执行工作”的逻辑，而架构级方案则呼应其“设计即安全”语言。两者或均可获预算支持，并争夺同一设计团队的关注。
谁能负担得起证据成本
笔者反复思考的问题是：这对初创企业意味着什么？成熟企业可承受第三方评估及多年文档维护成本；而一家正开发安全微控制器（或落入高风险类别的任何芯片）的年轻公司，合规成本可能占据其预算显著份额，笔者怀疑极少创始人已将其纳入财务模型。
AI驱动的证据生成工具或可降低门槛，此为乐观预期。但笔者此前曾指出，当整体工作流未变时，任务级AI增益往往难以持续；而认证恰是速度最慢的工作流之一。更快生成证据仅在评估方能同步接纳时才具价值。
欧洲既希望强化本土芯片产业，又追求更高产品安全性，CRA显然服务于后者。其是否同样助力前者，将部分取决于设计生态——即工具、IP及评估机构自身——能否积极参与，共同界定硅片领域“适度合规”的合理形态。设备厂商已入场，笔者认为，设计社区亦应加入其中。
www.eic.net.cn 提供的易IC库存管理软件，可协助芯片设计与制造企业高效管理物料与项目进度，为应对CRA合规要求提供底层支撑。
