企业官网建设流程全解析

你手头那款车载无线充电器，方案评审时最容易被总工追问的问题往往不是功率能不能做到15W，也不是异物检测灵不灵敏，而是“Qi 1.3认证怎么过”。产品一旦定位到2023年以后的主流车型配套，这句话基本就等于“你的方案里有没有用STSAFE-V110，或者同类经过WPC认可的安全芯片”。我去年深度跟进的一款前装车载无线充电项目，就是在前几轮设计评审里把这个问题想透，后面WPC认证测试才没有返工。

车载环境和消费电子很不一样：温度范围宽、电源瞬态多、机械振动强，还要面对车企的完整质量体系审查。而Qi 1.3相比以前的版本，最核心的变化就是把“认证”从可选项变成了强制项。不懂这颗小芯片在整个系统里的角色，方案很容易在认证阶段被判不合格。这篇东西，我就围绕STSAFE-V110在车载Qi 1.3无线充电器里的作用，把从原理到量产的关键环节完整梳理一遍，给正在做同类项目的朋友一个可以直接参考的底稿。

1. 车载工况下的Qi 1.3认证：为什么躲不开STSAFE-V110

1.1 从Qi 1.2到Qi 1.3，规范到底多了什么

先回顾一下背景。Qi 1.2.x时代，EPP（Extended Power Profile，扩展功率配置）已经把无线充电功率推到15W，但当时规范里没有强制性的身份认证机制，只有FOD（Foreign Object Detection，异物检测）和功率传输控制。简单说，充电器只要协议兼容，就能跟手机做高功率充电，充电器是不是WPC官方认证过的、是不是被改过功率参数，手机并不知道。

Qi 1.3是WPC在2021年发布的版本，最大的变化就是引入了Authentication机制，也就是认证机制。所有支持EPP的PTx（Power Transmitter，功率发射端，也就是充电器）必须配备一颗符合WPC要求的安全元件（Secure Element），并且在进入高功率充电之前，与Rx（Power Receiver，功率接收端，也就是手机）完成双向身份验证。验证不通过，充电器就只能以BPP（Baseline Power Profile，基础功率配置）的5W能力工作，或者直接拒充。

这个机制背后的逻辑很直白：无线充电的功率越来越大，如果充电器本身是仿冒品，或者固件被篡改过，轻则充电慢、发热大，重则损伤手机电池甚至引发安全事故。WPC要从协议层面堵住这个口子，就必须让手机能够确认“对面这个充电器是经过WPC认证的正品”，而且整个确认过程不能被软件破解。

1.2 车载是认证机制收得最紧的赛道

为什么车载场景对Qi 1.3认证尤其敏感？有几个现实原因。

第一，车内无线充电功率从7.5W一路卷到15W，比亚迪、吉利、蔚来、小鹏这类新势力车型甚至在前装市场把15W当成了标配。功率越高，热失控风险越大，车企对安全的容忍度越低。

第二，车内是一个相对密闭的空间，散热条件远不如室内。充电器如果因认证缺失而工作在异常功率下，热量会积聚在扶手箱区域内，这个风险在整车安全评估里会被放大。

第三，前装车载项目要过的是车厂的完整质量体系，包括DFMEA、PSA（Product Safety Assessment）、PPAP等流程。WPC认证是其中一道硬性关卡，没有通过认证，整颗ECU（电子控制单元）的OTS认可都下不来，更不用说装车量产。

所以对车载项目来说，Qi 1.3认证不是一个“以后再说”的功能，而是产品立项时必须写进方案架构的强制需求。STSAFE-V110正是意法半导体针对这个需求推出的专用认证芯片，直接对标WPC认证要求，省去了自己搭安全体系的功夫。

2. STSAFE-V110在认证链路里的实际分工

2.1 安全芯片里到底存了什么，物理上又挡了什么

STSAFE-V110的定位是一颗Secure Element，也就是安全元件。它不是什么大算力的主控芯片，而是一个专门干“密码学脏活”的小部件。你可以把它理解成一个不能拆开看的保险柜：保险柜里面装的东西本身不稀奇，真正值钱的是“没人能把它撬开把里面的东西拿出来”这件事。

那么这颗芯片里到底存了什么？正常出货的STSAFE-V110在出厂阶段就预置了WPC认证所需的信任根证书和中间CA证书，并且带有一张由WPC批准的证书颁发机构签发的设备证书。设备私钥则在芯片内部生成，任何外部接口都读不出来。从物理层面，芯片有主动屏蔽层、电压/温度攻击检测、侧信道防护等一系列措施，达到了Common Criteria EAL4+级别的安全能力。这些看起来像参数表上的干巴巴数字，实际上决定了整个认证体系的地基是否稳固。

为什么私钥不能被读出这么关键？如果私钥可以导出，那么任何仿冒充电器都能把别人的证书和私钥复制到自己产品里，认证机制就形同虚设。STSAFE-V110通过硬件隔离把私钥锁死在芯片内部，签名操作只能在芯片内部完成，外部只能输入挑战数据、拿到签名结果，碰不到密钥本身。

2.2 充电器与手机的一次完整认证握手

我用自己的话把这套握手过程捋一遍，方便你对照Qi 1.3规范里的Authentication章节来理解。

第一步，手机被放到充电板上，Qi通信协议先完成基础协商，双方确认彼此支持EPP。此时电量传输还停留在低功率状态。

第二步，手机向充电器发送认证请求。这里的报文属于Qi协议里的Authentication Message，具体到WPC的规范文档，会有诸如Certificate Request、Challenge Request这类子类型，但我建议工程师先建立宏观流程再抠报文细节，不然很容易被一大串表格淹没。

第三步，充电器的MCU收到请求后，通过I2C接口向STSAFE-V110发出读取证书链的指令。芯片把设备证书以及必要的中间证书回传，MCU再把这些数据按照Qi协议封装，发给手机。注意，证书链并不是简单的把证书原样丢出去，中间涉及ASN.1 DER编码格式、证书链完整性构建等细节，错误地漏掉中间证书是认证测试时的常见失败原因。

第四步，手机侧验证证书链。手机里同样预置了WPC的信任根，它会把收到的证书链一级一级验证上去，直到确认这串证书最终能追溯到WPC根证书。

第五步，验证通过后，手机生成一个随机的Challenge（挑战值），发给充电器。

第六步，充电器的MCU把Challenge转发给STSAFE-V110。芯片用内部私钥对这个Challenge做ECDSA签名，把签名结果返回给MCU，MCU再回传给手机。

第七步，手机用之前证书链中的公钥验证签名。签名有效，手机才认为这个充电器是可信的，才会放开到满功率充电。

整个过程走下来，涉及NIST P-256椭圆曲线、SHA-256哈希、ECDSA签名验证，但这些密码学操作对用户是完全透明的，工程师看到的只是芯片返回的数据。核心认知只有一句话：认证的最终目标，是让手机确认充电器的私钥确实存在于那颗无法被破解的安全芯片内部。

2.3 为什么不用MCU软件方案或通用安全芯片替代

我在交流群里见过不少工程师的第一反应：安全这件事，我用MCU固件加一个加密库就能做，为什么要额外加一颗芯片？

角度有一定道理，但放在Qi 1.3认证场景里站不住脚。MCU软件方案的本质是把私钥存在普通Flash里。哪怕你对Flash做了读保护，在物理攻击面前也只是增加了一点难度，侧信道攻击、电压毛刺注入、激光开盖等手段都能把密钥逼出来。而Qi 1.3认证的可信根恰恰建立在“私钥不可提取”这个前提上，软件方案在根上就不满足。

通用安全芯片（比如金融支付领域的SE芯片）倒是具备防物理攻击能力，但它没有预置WPC的信任链，也没有针对Qi协议做过命令集优化。你拿到一颗通用SE，还要自己设计证书体系、自己对接WPC的证书签发流程，工作量不亚于重新发明一次轮子。而STSAFE-V110出厂即预置了WPC的信任根，命令集里直接支持Qi认证场景需要的数据读取、签名等操作，硬件模组也针对车载这类恶劣环境做了规格定义。

简单说，这颗芯片让开发团队把“如何实现密码学安全”这个专业问题，简化成了“怎么调用标准API”这个工程问题。两者的差距，是拿着发动机图纸造发动机和直接买一台发动机的区别。

3. 原理图到PCB：车载环境下的硬件集成实操

3.1 电源、接口与外围电路

从原理图设计开始，STSAFE-V110的外围电路其實相当简单，它本质上就是一个I2C从设备。供电电压范围比较宽，常规的3.3V系统可以直接拉过来用。在VCC引脚旁边放一颗100nF去耦电容，靠近芯片引脚摆放即可，这对抑制高频噪声很有效。

I2C接口需要接上拉电阻。具体阻值和总线电容、通信速率有关，常见做法是4.7kΩ配100kHz标准模式，如果系统里需要跑到400kHz快速模式，可以换成2.2kΩ左右。但有一点我要提醒：车载系统里I2C总线上面往往不止一颗器件，上拉电阻取值需要结合整条总线的负载计算，不能只盯着STSAFE-V110这一颗器件去选。

除此之外还有一个容易被忽略的引脚——复位引脚或使能引脚。这颗芯片在时序上要求VCC稳定后才可以进行正常的I2C通信。如果你在系统设计里把芯片的复位引脚接到了MCU的GPIO上，建议MCU上电后先给一个明确的复位信号，再开始读取芯片信息，避免出现通信时序乱掉的情况。

STSAFE-V110的I2C地址是芯片数据手册里明确给出的，每颗芯片有一个全局唯一标识符（UID），ID信息可以用来做产测追溯。量产测试时通过I2C读UID，和产线记录的序列号绑定，是后续质量追溯很有效的手段。

3.2 线圈近场的干扰规避与布局走线

PCB布局是车载项目里最容易出问题的地方。无线充电器的功率线圈工作频率一般在100kHz到205kHz，但功率级里的高频开关节点（常见的有半桥、全桥逆变拓扑）会产生很强的开关噪声和谐波，这些干扰如果耦合到安全芯片的I2C线上，轻则通信误码，重则导致芯片复位或卡死。

我的经验是遵循几个原则。

第一，STSAFE-V110尽量远离功率线圈，至少不要直接放在线圈正下方或磁屏蔽边缘。很多参考设计会把控制板和线圈板做成上下两层结构，安全芯片放在控制板的远离线圈一端。

第二，I2C走线要短而直，尽量避免跨越功率变换区域。如果必须跨过，建议在走线两侧加地孔围栏屏蔽，形成信号回流的干净通道。

第三，给STSAFE-V110的供电单独走线，不要和功率级的MOSFET驱动信号共享电源路径，否则功率器件开关瞬间的电流突变会把地弹噪声引入安全芯片的电源轨。

温度方面，车载前装环境要求-40℃到+85℃是常态，有些项目甚至要求到105℃。STSAFE-V110的工作温度范围可以覆盖这个区间，但选型时要去核对规格书里的具体温度等级。特别是在夏季暴晒后的车厢内，仪表台附近温度可以轻松超过85℃，如果充电器安装位置靠近这些区域，散热设计必须提前留好余量。

3.3 车载可靠性验证项：温度、ESD与电源瞬态

原理图、PCB完了之后，硬件验证是一个绕不开的大环节。车载项目比消费类多了一大堆可靠性测试，这里挑几个和认证相关的重点说。

温度循环测试是必须的，通常以-40℃到+85℃甚至更高范围进行多cycle测试，验证焊点、芯片封装以及晶体振荡器（如果有）的热应力耐受能力。STSAFE-V110这类封装比较小的芯片，在温度循环下一般问题不大，但要注意PCB板材选择和焊盘设计是否满足车规要求。

ESD测试主要参考IEC 61000-4-2，接触放电±8kV、空气放电±15kV是常见的门槛。无线充电器的充电面是开放的，用户手机会频繁接触，所以对外露的金属结构件、外壳缝隙处的ESD防护要尤其留意。STSAFE-V110虽然自身有一定防护能力，但接口引脚仍然建议加上ESD保护二极管，PCB上保证泄放路径短而通畅。

电源瞬态测试参考ISO 16750-2，模拟车载电源线上的突然跌落、过压、浪涌等情况。实测中我遇到过一种典型问题：电池电压跌落时，STSAFE-V110的供电先于MCU掉电，导致I2C总线状态异常，恢复上电后MCU与芯片通信失败。解决方法是MCU侧在电源恢复后重新执行一次完整的初始化序列，不能只做简单的“掉电重连”。

4. 固件侧的核心工作流：认证状态下机

4.1 初始化序列与设备在位检测

硬件上电后，固件不是一上来就能直接跟STSAFE-V110通信。正确的初始化顺序大概是这样的：MCU先完成自身时钟和外设初始化，然后给安全芯片的复位引脚一个低电平脉冲（或者通过电源控制完成一次下电再上电），等待芯片内部上电初始化完成。这个等待时间不同批次可能略有差异，稳妥的固件设计是先读一次用户指南里指定的状态寄存器，确认芯片就绪后再进行下一步。

设备在位检测也是一个容易踩坑的点。STSAFE-V110的I2C无应答机制本身就带在位检测功能，固件通过向芯片地址发送零长度读请求，如果收到ACK说明芯片在线。但实际使用中，我还要建议加一层更强的校验：读取芯片UID的前几个字节，和预期值比对，并且检查证书有效期。因为有些情况下芯片I2C物理层响应正常，但内部Flash里的证书数据已经因为异常写入而损坏，这种情况不通过读取UID根本无法发现。

量产阶段，产线测试脚本会在校准工位执行一次完整的“连接检查”，包括I2C扫描、UID读取、证书长度校验。任何一个环节失败，主板就直接判NG，避免不良品流到后段装配工位。

4.2 证书上传、Challenge签名与状态机维护

认证过程的固件实现，本质上是一个状态机。我建议把认证流程拆成几个明确的状态：IDLE、WAIT_CERT_REQUEST、SEND_CERT_CHAIN、WAIT_CHALLENGE、SEND_CHALLENGE_RESPONSE、AUTH_SUCCESS、AUTH_FAIL。

初始状态是IDLE。手机上传来的消息通过Qi协议栈解析后，如果判断是证书请求，状态跳转到SEND_CERT_CHAIN。此时MCU从STSAFE-V110读取证书链，需要注意的是，证书链可能因为证书长度问题需要分包传输，Qi规范里对单包最大长度有限制，超出部分必须按照规范要求的分包格式发送。漏发、错发、乱序都是实测中很容易翻车的点，建议在固件里维护一个发送缓冲区和序号计数器。

发送完证书链，状态切到WAIT_CHALLENGE，等待手机下发Challenge。Challenge通常是一个固定长度的随机数（比如32字节），MCU收到后原样通过I2C传给STSAFE-V110，让它做签名处理。这里有个细节，发送Challenge给安全芯片的命令格式和芯片型号有关，一定要对照ST官方应用笔记里的命令结构去填充，不要用自己的想象力拼数据。

签名完成把结果回传给手机，然后等待手机的下一步指令。这里建议加一个超时保护：如果手机在设定时间内没有继续发消息，或者认证流程中断，固件应该主动把状态复位到IDLE，并且释放相关缓冲区，不能卡死在那。

4.3 认证失败时的降级策略

认证失败的情况下，充电器不是简单地断开功率就完事，而是需要考虑一种对用户体验相对友好的降级策略。从安全角度，未经认证的设备不能提供高功率充电；但从可用性角度，如果手机和充电器之间只是临时通信异常，直接断充会导致用户抱怨。

我的做法是分级处理。第一次或少数几次认证失败，允许充电器回到BPP的5W能力，同时界面上给出提示，比如LED闪烁或者CAN报文上报。连续多次失败，则进入一个较长的冷却时间，避免手机和充电器之间反复进行无意义的认证尝试，把无线充电板变成一片“握手风暴”的战场。

固件里还要记录认证失败的错误码，比如证书链校验失败、Challenge签名超时、I2C通信异常等。这些错误码在开发阶段是调试利器，在量产阶段也是售后问题分析的关键线索。我见过不少项目把错误码存的太笼统，出了问题只能靠猜，那是非常痛苦的事情。

5. WPC认证测试链路与实测整改

5.1 从备案到ATL送测的完整链路

WPC认证的流程，很多人只知道要把产品送实验室，实际上有几个前置环节。首先要以公司名义在WPC官网注册，成为会员或至少具备送测资格，然后提交产品的技术文档，包括设计原理图、PCB布局图、关键器件清单等。WPC不对普通公众公开全部内部规范细节，所以工程师最好先确保自己的NDA已经签到位，能拿到完整的Qi 1.3规范文档再开始设计。

接下来是选择ATL即WPC授权的测试实验室。国内各有授权实验室分布，可以就近选择，也可以直接问ST的FAE要推荐列表。送测前，产品需要准备好标准Type号、firmware版本、硬件版本，这些信息要和后续量产出货时保持一致，否则认证报告对应的产品状态和实际出货状态就对不上了。

测试本身分两大块：一致性测试（Compliance Test）和互联互通测试（Interop Test）。一致性测试验证设备是否符合Qi规范的协议要求，包括功率传输、效率、FOD、认证流程等。互联互通测试是与一系列WPC认证过的参考接收端设备做互操作验证，覆盖不同的手机品牌和型号。

5.2 实测中容易翻车的几个环节

这里写几条我亲身踩过的坑，希望能帮你省几周返工时间。

第一个是证书链传输格式问题。Qi 1.3里证书链的格式是ASN.1 DER编码，不是说把这个证书文件原封不动传上去就行，中间证书的排列顺序必须是从设备证书到中间证书逐级向上，而且每段证书中间不能夹带无关数据。有的项目直接拿OpenSSL导出的证书文件去拼，结果在ATL测试里被打回原形。

第二个是Challenge签名时序。手机上电后会先做基础通信协商，然后才发起认证。如果充电器在手机刚贴近线圈时就急于完成认证，可能手机还没准备好，导致认证请求丢失。推荐的做法是等到手机明确发出认证请求再开始认证流程，不要自己抢跑。

第三个是温度漂移导致效能参数变化。Qi一致性测试里有不少效率测试是在特定温度条件下做的。车载环境的散热设计如果不到位，连续充电10分钟以后发热导致效率下降，测试数据就会低于规范要求。这个和认证芯片关系不大，但对整个送测成败影响很大，建议在结构设计阶段就把热仿真做扎实。

第四个是FOD参数标定问题。车载CO2设计方案里，异物检测的Q值阈值和功率损耗阈值需要在整机状态下标定，这个步骤也必须在认证送测前完成。如果标定不准，在互联互通测试阶段容易出现金属异物识别误报，导致与参考接收端设备的互操作测试失败。

6. 量产前要锁定的几件事

6.1 证书申请与导入流程

STSAFE-V110的证书申请不是我之前想的“买芯片就自带证书会了”；更准确地讲，买到的芯片是具备预置信任锚的基础能力，但要让它真正用于某款通过WPC认证的产品，需要走一个证书签发流程。产品设计定型后，需要通过ST或WPC授权的渠道申请与产品绑定的设备证书，并由相关机构完成证书签发。

这里要特别提醒：证书和产品型号是绑定的，而且证书链里包含产品信息。如果后续硬件方案大改、产品型号变更，可能意味着需要重新申请证书并重新送测认证。所以量产前一定要把产品型号、软硬件版本这些信息冻结，不能量产到一半又去改产品型号。

证书导入工作一般由ST工厂在芯片出厂前完成，或者在SMT环节通过专用设备注入。OTA升级是绝对不能更新私钥证书的，私钥不能跨过芯片安全边界，这一点从设计上就堵死了。

6.2 供应链与器件交期

芯片选型过了是好事，但量产计划里也必须考虑一颗物料交期的影响。STSAFE-V110这类安全芯片，不像常规阻容感那样动辄现货市场随便挑，它的供货周期受ST产能和WPC认证配额影响。建议量产计划至少提前一个季度锁定长期订单，并和代理商确认好最小起订量、包装形式和交期承诺。

从供应安全角度，可以考虑在产品方案里预留一个相同的认证芯片的备选封装焊盘，但不要轻易切换主芯片。出于安全认证的严肃性，更换安全芯片供应商基本等于把整个认证推倒重来，这是需要一开始就决策清楚的事情。

6.3 量产测试中的证书完整性校验与追溯

最后是产测环节。STSAFE-V110的证书数据和UID需要在生产线上做一台不漏的全检。产测方案上，每个主板在SMT完成之后、总装之前，安排一个功能测试工位，至少覆盖三个动作：一是I2C通信正常性检查，二是读取UID并与产品序列号绑定，三是校验设备证书的有效期和证书链完整性。

证书有效期这个检查非常实用，它能在早期发现问题，防住过期返修。如果产品出货多年以后才发现证书过期导致无法认证，那会是一场巨大的召回危机。

产测数据管理上，把UID、证书序列号、测试时间、测试工位、固件版本都记录进MES系统，形成一板一档。这样一旦售后市场出现某个批次的认证问题，可以根据UID快速定位到具体供货批次和产测记录，把排查范围缩到最小。

回到项目实践来看，车载Qi 1.3设计最关键的决策就是“认不认真对待认证这条链路”。STSAFE-V110的应用逻辑非常简单，但它代表的安全理念对整个项目影响深远。芯片本身不复杂，复杂的是它背后涉及的证书体系、认证测试和供应链管理。拿我自己的项目组来看，真正把这块路线理清楚的团队，在WPC送测阶段基本就是按流程走一遍；而前期轻视认证的朋友，后期往往要付出数倍的时间去补课。希望这篇东西能帮你把前期功课做足，少走几段弯路。