據中汽協(xié)發(fā)布數據顯示，今年11月，中國新能源汽車產銷分別完成107.4萬輛和102.6萬輛，同比分別增長39.2%和30%，市場占有率達到34.5%。新能源汽車時代的到來，打破了海外芯片巨頭為主的傳統(tǒng)汽車產業(yè)供應鏈體系，給我國汽車產業(yè)鏈營造出一種“變中求機”的局面。

盡管汽車零部件產業(yè)市場潛力巨大，但在車規(guī)芯片等領域，國內企業(yè)仍與海外大廠存在較大差距。例如地獄級難度的車規(guī)認證，就成為本土汽車芯片廠商面臨的重要挑戰(zhàn)。什么是車規(guī)級芯片？接下來，本文將從車規(guī)級芯片的定義、等級、認證和開發(fā)實踐案例等方面進行詳細介紹。

什么是車規(guī)級芯片？

Automotive Grade（即我們常說的車規(guī)級），是指技術標準達到車載等級要求，完全滿足汽車使用的元器件。一般來說，電子元器件分為四個等級，從高到低依次是軍工 > 汽車> 工業(yè)> 消費電子。作為僅次于軍工標準的出行工具，車規(guī)芯片質量將直接影響駕乘人員的生命安全。

與消費和工業(yè)芯片不同，車規(guī)級芯片很少單獨亮相，而是嵌入在各類車載功能中，根據其功能和應用場景的不同，車規(guī)芯片可以分為以下幾種類型。一是負責算力與控制的功能芯片（MCU、SoC芯片），如車身控制、自動駕駛等；二是負責功率轉換的功率器件（IGBT芯片），一般用于新能源車型的電源和接口；三是負責感知環(huán)境的傳感器芯片，主要用于各種雷達、胎壓監(jiān)測等。

如果說消費級芯片追求的是“天下武功唯快不破”的性能和功耗極致；那么對于車規(guī)級芯片來說“穩(wěn)定壓倒一切”，其修煉的更像是“金鐘罩鐵布衫” 這般可靠性與安全性兼具的內功。為修煉這樣的內功，車規(guī)級芯片需要突破以下三大技術關卡。

第一道為“環(huán)境關”。相比于手機、電腦等消費類產品，應用于汽車的工作環(huán)境更為惡劣，甚至可以說惡劣百倍也不為過。車規(guī)級芯片需要遭受更多的震動和沖擊，面對液體和粉塵的侵蝕也會更多，溫度條件也更為極端。一般來說，車規(guī)級芯片要承受的溫度范圍在-40°C-150°C之間，而消費級芯片只需滿足0°C~70°C的工作環(huán)境即可。

第二關就是“壽命關”。普通消費電子產品的整個生命周期不會超過5年。而對于汽車級產品來說，整個車輛的生命周期通常在10年到15年20萬公里左右，遠大于消費電子產品的壽命要求。在這樣的情況下，如何保持芯片的一致性和可靠性成為車規(guī)芯片首先要考慮的問題。

第三關也是最重要的一道“安全關”。手機死機，最多也就處于失聯狀態(tài)。但如果車輛行駛狀態(tài)下芯片突然崩了，對消費者來說可能就是致命的。這里的安全包括功能安全、網絡安全。

用直觀的數據來說，手機芯片可接受的不良率是萬分之二，而汽車芯片的不良率則不能高于PPM（百萬分之一）。此前就有汽車芯片企業(yè)分享過，其產品采用獨立的安全島的設計，在關鍵模塊、計算模塊、總線、內存中都有 ECC等數據校驗。同時，整個生產過程都采用車規(guī)芯片的工藝，以確保車規(guī)芯片的功能安全。不僅要求汽車芯片的不良率要低于百萬分之一，更要無限趨近于“0”。

車規(guī)級芯片認證幾道檻？

1. AEC-Q100：芯片前裝上車的“基本門檻”

當我們談論汽車電子時，就不得不提AEC-Q100，作為公認的車規(guī)元器件通用測試標準，它被視為芯片前裝上車的“基本門檻”。無論是環(huán)境關還是壽命關，都可通過AEC-Q100這一標準進行驗證。對于汽車級芯片而言，AEC-Q100是基本可靠性的要求。

AEC全稱為汽車電子協(xié)會(Automotive Electronics Council)，由通用、福特和克萊斯勒共同建立，旨在制定一套通用的零件資質及質量系統(tǒng)標準。其中，Q代表Qualification。AEC-Q適用于汽車用芯片、無源器件、分立半導體器件等類型元器件認證，并為不同的元器件設定了相應的測試標準和測試項。

在眾多AEC-Q認證中，AEC-Q100備受業(yè)界關注。它是以失效機理為基礎的集成電路應力測試鑒定，適用于車用芯片的綜合可靠性測試。AEC-Q100分為四個級別，以溫度作為劃分標準。0 級最高（-40°C to +150°C），1 級為-40°C to +125°C，2 級為-40°C to +105°C（也是比較常見的），最低級是 3 級（-40°C to +85°C），其關鍵測試類別包括：

只有完全通過7大類別共41項測試后，才能獲得AEC－Q100認證，需要注意的是，原則上，一顆芯片料號需要進行一次AEC-Q100認證，即便只是進行了微小的修改，只要料號發(fā)生了變化，就需要重新認證。完成全部測試的平均最低時間大約為6個月。AEC-Q認證是確保車用ECU質量和可靠性保障的前提，車用元器件原則上都要滿足AEC-Q測試要求。

2. ISO 26262：汽車供應鏈的“準入門票”

汽車作為人們生活中不可或缺的交通工具，其安全性和可靠性至關重要。僅僅保障“能用”、“不損壞”顯然是不夠的。通過AEC-Q認證只是元器件進入Tire1供應鏈的第一步，真正“車規(guī)級芯片”需要在達到可靠性的基礎之上，對設計端提出更高的要求，包括功能安全和網絡安全。

“功能安全”是通過安全功能和安全措施來避免不可容許的功能風險的技術總稱。以鐵路道口為例，我們常常有這樣的危險顧慮，就是和火車相撞，導致死亡?！氨举|安全”就是把危險源直接“除掉”，但又不能把鐵道道口“除掉”，那就附加一個安全設施，這就是功能安全。功能安全重在確保功能正常而不發(fā)生突發(fā)問題并能正常告警和安全實施，屬于能力層面。

為此2011 年由國際標準化組織（ISO）制定的 ISO 26262應運而生，ISO 26262是從電子、電氣及可編程器件功能安全基本標準IEC 61508派生出來的，主要定位在汽車行業(yè)中特定的電氣器件、電子設備、可編程電子器件等專門用于汽車領域的部件，如 MCU等。其目的就是確?！鞍踩?，為實現這個目的，ISO 26262為車輛全生命周期（包括產品研發(fā)、生產、使用、維保和報廢）保證電子/電氣系統(tǒng)的功能安全提供了相應的安全保證措施。

從整車功能安全性角度出發(fā)，ISO 26262使用V-Model來管理功能安全。首先通過對功能相關項的危害分析、風險評估、確定汽車安全完整性等級（ASIL），進而確定安全目標。為達成安全目標，需要將功能相關項細分為電子/電氣系統(tǒng)、系統(tǒng)組件、元器件等層級，并為每個層級制定相應的功能安全概念和技術安全概念。最后，通過評審、驗證等手段對相關項安全性是否達成和有效進行評價。

需要注意的是，ISO 26262功能安全認證分為功能安全流程認證和功能安全產品認證兩種認證，在汽車行業(yè)的開發(fā)流程中，需要先有流程做支撐，才能根據流程做出能達到流程標準的產品。因此，想要研發(fā)出能夠通過ISO 26262認證的產品，首先必須通過ISO 26262功能安全流程認證。

功能安全流程認證專注于功能安全管理體系，產品必須按照通過認證的流程開發(fā)，可有效避免產品的系統(tǒng)性失效，提升產品質量，是針對流程的認證。

功能安全產品認證則更加重視考察產品自身的安全架構設計，安全特性與安全覆蓋范圍，對系統(tǒng)整體進行危害分析與風險評估，要求安全機制滿足相應功能安全等級要求（ASIL），同時需要額外增加自我診斷及其他功能。

只有經過這兩個環(huán)節(jié)的驗證才能算全面通過ISO 26262的功能安全認證。通過流程認證已經非常不容易，而通過產品認證，其復雜度，需要投入的人力、資金、時間成本更是成倍增加。

ASIL（汽車安全完整性等級）是由 ISO 26262 -道路車輛功能安全標準定義的一種風險分類方案。工程師需要根據嚴重程度（司機和旅客傷害分類）、暴露程度（汽車接觸危險的次數）和可控性（司機可以避免傷害的程度）這三個特定變量來衡量汽車上的每個電子元件的風險。這些變量被分解為子類，并進行分析結合，最終確定ASIL等級。ASIL等級從低到高分為A/B/C/D四個等級，等級越高對安全性的要求越高，對開發(fā)流程和技術的要求也越嚴格。每個級別都有相應的準則，只有達到所有準則的要求，才能通過該級別的鑒定。

想要成功通過ISO 26262認證，這要求芯片廠商要有足夠豐富的成功生產車規(guī)芯片的經驗，從芯片設計之初，就需要以相應標準為目標進行設計，包括芯片全生命周期的功能安全要求，涵蓋安全需求的規(guī)劃、設計、實施、集成、驗證、確認和配置等。只有這樣，才能保障在認證時滿足所有標準和要求。對于國內汽車芯片創(chuàng)業(yè)公司來說，獲得認證也是衡量團隊是否具備車規(guī)基因和行業(yè)積淀的重要標志。只有擁有豐富的經驗和深厚的技術積累，才能在競爭激烈的市場中立足。

2023年9月，由國際獨立第三方檢測、檢驗和認證機構德國萊茵TüV集團（簡稱“TüV萊茵”）主辦的“第三屆功能安全及網絡安全技術峰會”在上海召開。峰會期間，TüV萊茵舉行了頒證儀式，為多家企業(yè)頒發(fā)了功能安全與網絡安全認證證書。其中，國內汽車芯片公司芯馳科技旗下E3系列MCU獲頒ISO 26262 ASIL D功能安全產品認證。

這是萊茵在國內為MCU芯片頒發(fā)的首個ISO 26262 ASIL D功能安全產品認證，也是國產MCU在車規(guī)認證上的重要突破。值得一提的是，有別于將芯片中負責安全相關處理的“功能安全島”認證到ASILD，芯馳MCU獲得的是“全芯片”的ASIL D認證，實現了MCU全芯片的功能安全。

3. ASIL D最高功能安全認證是如何煉成的？

芯馳在成立之初就率先取得了ISO 26262 ASIL D功能安全流程認證以及AEC-Q100 Grade2產品可靠性認證，為功能安全產品認證打下基礎。在此次萊茵安全峰會上，芯馳的功能安全經理魏斌在現場分享了ASIL D芯片產品的開發(fā)實踐。

在這里，首先要引入兩個名詞解釋，PPA和TTM。PPA是芯片開發(fā)者們背負的終極KPI,也就是Performance(性能)、Power(功耗)、Area(尺寸)三者的縮寫。TTM是（Time To Marketing）產品上市周期。對芯片開發(fā)來說，PPA和TTM至關重要，如何把握功能安全、PPA和TTM三者之間的平衡，是ASIL D芯片開發(fā)的一大重點。

對此，魏斌提到了一個關鍵詞：“precisely right（恰到好處）”。一是，根據具體應用來恰當好處的識別安全需求；二是，恰到好處的設計安全機制。

對于安全機制的設計，芯馳提出了基于V-model的 DFMEA。Design FMEA也就是DFMEA，是一種常用的質量工具，功能安全是利用了這個工具來做安全分析。而芯馳提出的基于V-model的 DFMEA是一種更嚴格、全面的分析驗證機制，通過基于傳統(tǒng)FMEA在不同層級的應用來實現安全機制的準確設計，在安全架構設計階段、SoC設計和IP設計階段都進行安全分析，并用分析結果來指導故障注入測試。對于芯片設計企業(yè)來說，車規(guī)級芯片開發(fā)驗證本就花費大、周期長。而這種機制又需要投入大量時間、精力，足以讓大多數芯片設計公司望而止步，無法做到徹底地貫徹執(zhí)行。

以芯馳E3 MCU為例，在其應用場景中，單個功能的實現會涉及芯片內的諸多模塊，任何一種芯片節(jié)點的失效，都會導致整個功能安全能力的喪失。因此，整個安全鏈路上所有的模塊都必須達到和芯片同等級的安全等級，全部按照ASIL D來開發(fā)的，以滿足芯片的一致性和功能安全。從研發(fā)立項，到E3 MCU取得ASIL D功能安全產品認證，芯馳一共花了三年的時間，可以說是為本土車芯廠商樹立了行業(yè)標桿。

值得一提的是，為了支持客戶實現系統(tǒng)級的功能安全，除了芯片產品的功能安全認證之外，與芯片相配套的軟件功能安全測試庫，以及用于支持應用AUTOSAR的MCAL，芯馳也同樣做到了滿足功能安全，正在推進這些軟件層面的相關功能安全認證。

結語：

一顆汽車芯片從設計流片、車規(guī)認證、車型導入驗證、到量產裝車，通常需要3-5年的時間。而只有最終大規(guī)模落地量產，實現盈利，企業(yè)才能真正地活下來。這整個周期，就像是一場殘酷的軍備競賽。而這一切的基礎，是車規(guī)認證帶來的安全保障。汽車芯片企業(yè)只有建立起車規(guī)理念及文化，堅持產品的持續(xù)改進、持續(xù)認證，才能以車芯助力更安全可靠、更有競爭力的汽車產品，帶來中國汽車半導體行業(yè)的真正突破。

審核編輯：黃飛