據(jù)中汽協(xié)發(fā)布數(shù)據(jù)顯示，今年11月，中國(guó)新能源汽車產(chǎn)銷分別完成107.4萬(wàn)輛和102.6萬(wàn)輛，同比分別增長(zhǎng)39.2%和30%，市場(chǎng)占有率達(dá)到34.5%。新能源汽車時(shí)代的到來(lái)，打破了海外芯片巨頭為主的傳統(tǒng)汽車產(chǎn)業(yè)供應(yīng)鏈體系，給我國(guó)汽車產(chǎn)業(yè)鏈營(yíng)造出一種“變中求機(jī)”的局面。

盡管汽車零部件產(chǎn)業(yè)市場(chǎng)潛力巨大，但在車規(guī)芯片等領(lǐng)域，國(guó)內(nèi)企業(yè)仍與海外大廠存在較大差距。例如地獄級(jí)難度的車規(guī)認(rèn)證，就成為本土汽車芯片廠商面臨的重要挑戰(zhàn)。什么是車規(guī)級(jí)芯片？接下來(lái)，本文將從車規(guī)級(jí)芯片的定義、等級(jí)、認(rèn)證和開發(fā)實(shí)踐案例等方面進(jìn)行詳細(xì)介紹。

什么是車規(guī)級(jí)芯片？

Automotive Grade（即我們常說(shuō)的車規(guī)級(jí)），是指技術(shù)標(biāo)準(zhǔn)達(dá)到車載等級(jí)要求，完全滿足汽車使用的元器件。一般來(lái)說(shuō)，電子元器件分為四個(gè)等級(jí)，從高到低依次是軍工 > 汽車> 工業(yè)> 消費(fèi)電子。作為僅次于軍工標(biāo)準(zhǔn)的出行工具，車規(guī)芯片質(zhì)量將直接影響駕乘人員的生命安全。

與消費(fèi)和工業(yè)芯片不同，車規(guī)級(jí)芯片很少單獨(dú)亮相，而是嵌入在各類車載功能中，根據(jù)其功能和應(yīng)用場(chǎng)景的不同，車規(guī)芯片可以分為以下幾種類型。一是負(fù)責(zé)算力與控制的功能芯片（MCU、SoC芯片），如車身控制、自動(dòng)駕駛等；二是負(fù)責(zé)功率轉(zhuǎn)換的功率器件（IGBT芯片），一般用于新能源車型的電源和接口；三是負(fù)責(zé)感知環(huán)境的傳感器芯片，主要用于各種雷達(dá)、胎壓監(jiān)測(cè)等。

如果說(shuō)消費(fèi)級(jí)芯片追求的是“天下武功唯快不破”的性能和功耗極致；那么對(duì)于車規(guī)級(jí)芯片來(lái)說(shuō)“穩(wěn)定壓倒一切”，其修煉的更像是“金鐘罩鐵布衫” 這般可靠性與安全性兼具的內(nèi)功。為修煉這樣的內(nèi)功，車規(guī)級(jí)芯片需要突破以下三大技術(shù)關(guān)卡。

第一道為“環(huán)境關(guān)”。相比于手機(jī)、電腦等消費(fèi)類產(chǎn)品，應(yīng)用于汽車的工作環(huán)境更為惡劣，甚至可以說(shuō)惡劣百倍也不為過(guò)。車規(guī)級(jí)芯片需要遭受更多的震動(dòng)和沖擊，面對(duì)液體和粉塵的侵蝕也會(huì)更多，溫度條件也更為極端。一般來(lái)說(shuō)，車規(guī)級(jí)芯片要承受的溫度范圍在-40°C-150°C之間，而消費(fèi)級(jí)芯片只需滿足0°C~70°C的工作環(huán)境即可。

第二關(guān)就是“壽命關(guān)”。普通消費(fèi)電子產(chǎn)品的整個(gè)生命周期不會(huì)超過(guò)5年。而對(duì)于汽車級(jí)產(chǎn)品來(lái)說(shuō)，整個(gè)車輛的生命周期通常在10年到15年20萬(wàn)公里左右，遠(yuǎn)大于消費(fèi)電子產(chǎn)品的壽命要求。在這樣的情況下，如何保持芯片的一致性和可靠性成為車規(guī)芯片首先要考慮的問(wèn)題。

第三關(guān)也是最重要的一道“安全關(guān)”。手機(jī)死機(jī)，最多也就處于失聯(lián)狀態(tài)。但如果車輛行駛狀態(tài)下芯片突然崩了，對(duì)消費(fèi)者來(lái)說(shuō)可能就是致命的。這里的安全包括功能安全、網(wǎng)絡(luò)安全。

用直觀的數(shù)據(jù)來(lái)說(shuō)，手機(jī)芯片可接受的不良率是萬(wàn)分之二，而汽車芯片的不良率則不能高于PPM（百萬(wàn)分之一）。此前就有汽車芯片企業(yè)分享過(guò)，其產(chǎn)品采用獨(dú)立的安全島的設(shè)計(jì)，在關(guān)鍵模塊、計(jì)算模塊、總線、內(nèi)存中都有 ECC等數(shù)據(jù)校驗(yàn)。同時(shí)，整個(gè)生產(chǎn)過(guò)程都采用車規(guī)芯片的工藝，以確保車規(guī)芯片的功能安全。不僅要求汽車芯片的不良率要低于百萬(wàn)分之一，更要無(wú)限趨近于“0”。

車規(guī)級(jí)芯片認(rèn)證幾道檻？

1. AEC-Q100：芯片前裝上車的“基本門檻”

當(dāng)我們談?wù)撈囯娮訒r(shí)，就不得不提AEC-Q100，作為公認(rèn)的車規(guī)元器件通用測(cè)試標(biāo)準(zhǔn)，它被視為芯片前裝上車的“基本門檻”。無(wú)論是環(huán)境關(guān)還是壽命關(guān)，都可通過(guò)AEC-Q100這一標(biāo)準(zhǔn)進(jìn)行驗(yàn)證。對(duì)于汽車級(jí)芯片而言，AEC-Q100是基本可靠性的要求。

AEC全稱為汽車電子協(xié)會(huì)(Automotive Electronics Council)，由通用、福特和克萊斯勒共同建立，旨在制定一套通用的零件資質(zhì)及質(zhì)量系統(tǒng)標(biāo)準(zhǔn)。其中，Q代表Qualification。AEC-Q適用于汽車用芯片、無(wú)源器件、分立半導(dǎo)體器件等類型元器件認(rèn)證，并為不同的元器件設(shè)定了相應(yīng)的測(cè)試標(biāo)準(zhǔn)和測(cè)試項(xiàng)。

在眾多AEC-Q認(rèn)證中，AEC-Q100備受業(yè)界關(guān)注。它是以失效機(jī)理為基礎(chǔ)的集成電路應(yīng)力測(cè)試鑒定，適用于車用芯片的綜合可靠性測(cè)試。AEC-Q100分為四個(gè)級(jí)別，以溫度作為劃分標(biāo)準(zhǔn)。0 級(jí)最高（-40°C to +150°C），1 級(jí)為-40°C to +125°C，2 級(jí)為-40°C to +105°C（也是比較常見(jiàn)的），最低級(jí)是 3 級(jí)（-40°C to +85°C），其關(guān)鍵測(cè)試類別包括：

只有完全通過(guò)7大類別共41項(xiàng)測(cè)試后，才能獲得AEC－Q100認(rèn)證，需要注意的是，原則上，一顆芯片料號(hào)需要進(jìn)行一次AEC-Q100認(rèn)證，即便只是進(jìn)行了微小的修改，只要料號(hào)發(fā)生了變化，就需要重新認(rèn)證。完成全部測(cè)試的平均最低時(shí)間大約為6個(gè)月。AEC-Q認(rèn)證是確保車用ECU質(zhì)量和可靠性保障的前提，車用元器件原則上都要滿足AEC-Q測(cè)試要求。

2. ISO 26262：汽車供應(yīng)鏈的“準(zhǔn)入門票”

汽車作為人們生活中不可或缺的交通工具，其安全性和可靠性至關(guān)重要。僅僅保障“能用”、“不損壞”顯然是不夠的。通過(guò)AEC-Q認(rèn)證只是元器件進(jìn)入Tire1供應(yīng)鏈的第一步，真正“車規(guī)級(jí)芯片”需要在達(dá)到可靠性的基礎(chǔ)之上，對(duì)設(shè)計(jì)端提出更高的要求，包括功能安全和網(wǎng)絡(luò)安全。

“功能安全”是通過(guò)安全功能和安全措施來(lái)避免不可容許的功能風(fēng)險(xiǎn)的技術(shù)總稱。以鐵路道口為例，我們常常有這樣的危險(xiǎn)顧慮，就是和火車相撞，導(dǎo)致死亡?！氨举|(zhì)安全”就是把危險(xiǎn)源直接“除掉”，但又不能把鐵道道口“除掉”，那就附加一個(gè)安全設(shè)施，這就是功能安全。功能安全重在確保功能正常而不發(fā)生突發(fā)問(wèn)題并能正常告警和安全實(shí)施，屬于能力層面。

為此2011 年由國(guó)際標(biāo)準(zhǔn)化組織（ISO）制定的 ISO 26262應(yīng)運(yùn)而生，ISO 26262是從電子、電氣及可編程器件功能安全基本標(biāo)準(zhǔn)IEC 61508派生出來(lái)的，主要定位在汽車行業(yè)中特定的電氣器件、電子設(shè)備、可編程電子器件等專門用于汽車領(lǐng)域的部件，如 MCU等。其目的就是確?！鞍踩?，為實(shí)現(xiàn)這個(gè)目的，ISO 26262為車輛全生命周期（包括產(chǎn)品研發(fā)、生產(chǎn)、使用、維保和報(bào)廢）保證電子/電氣系統(tǒng)的功能安全提供了相應(yīng)的安全保證措施。

從整車功能安全性角度出發(fā)，ISO 26262使用V-Model來(lái)管理功能安全。首先通過(guò)對(duì)功能相關(guān)項(xiàng)的危害分析、風(fēng)險(xiǎn)評(píng)估、確定汽車安全完整性等級(jí)（ASIL），進(jìn)而確定安全目標(biāo)。為達(dá)成安全目標(biāo)，需要將功能相關(guān)項(xiàng)細(xì)分為電子/電氣系統(tǒng)、系統(tǒng)組件、元器件等層級(jí)，并為每個(gè)層級(jí)制定相應(yīng)的功能安全概念和技術(shù)安全概念。最后，通過(guò)評(píng)審、驗(yàn)證等手段對(duì)相關(guān)項(xiàng)安全性是否達(dá)成和有效進(jìn)行評(píng)價(jià)。

需要注意的是，ISO 26262功能安全認(rèn)證分為功能安全流程認(rèn)證和功能安全產(chǎn)品認(rèn)證兩種認(rèn)證，在汽車行業(yè)的開發(fā)流程中，需要先有流程做支撐，才能根據(jù)流程做出能達(dá)到流程標(biāo)準(zhǔn)的產(chǎn)品。因此，想要研發(fā)出能夠通過(guò)ISO 26262認(rèn)證的產(chǎn)品，首先必須通過(guò)ISO 26262功能安全流程認(rèn)證。

功能安全流程認(rèn)證專注于功能安全管理體系，產(chǎn)品必須按照通過(guò)認(rèn)證的流程開發(fā)，可有效避免產(chǎn)品的系統(tǒng)性失效，提升產(chǎn)品質(zhì)量，是針對(duì)流程的認(rèn)證。

功能安全產(chǎn)品認(rèn)證則更加重視考察產(chǎn)品自身的安全架構(gòu)設(shè)計(jì)，安全特性與安全覆蓋范圍，對(duì)系統(tǒng)整體進(jìn)行危害分析與風(fēng)險(xiǎn)評(píng)估，要求安全機(jī)制滿足相應(yīng)功能安全等級(jí)要求（ASIL），同時(shí)需要額外增加自我診斷及其他功能。

只有經(jīng)過(guò)這兩個(gè)環(huán)節(jié)的驗(yàn)證才能算全面通過(guò)ISO 26262的功能安全認(rèn)證。通過(guò)流程認(rèn)證已經(jīng)非常不容易，而通過(guò)產(chǎn)品認(rèn)證，其復(fù)雜度，需要投入的人力、資金、時(shí)間成本更是成倍增加。

ASIL（汽車安全完整性等級(jí)）是由 ISO 26262 -道路車輛功能安全標(biāo)準(zhǔn)定義的一種風(fēng)險(xiǎn)分類方案。工程師需要根據(jù)嚴(yán)重程度（司機(jī)和旅客傷害分類）、暴露程度（汽車接觸危險(xiǎn)的次數(shù)）和可控性（司機(jī)可以避免傷害的程度）這三個(gè)特定變量來(lái)衡量汽車上的每個(gè)電子元件的風(fēng)險(xiǎn)。這些變量被分解為子類，并進(jìn)行分析結(jié)合，最終確定ASIL等級(jí)。ASIL等級(jí)從低到高分為A/B/C/D四個(gè)等級(jí)，等級(jí)越高對(duì)安全性的要求越高，對(duì)開發(fā)流程和技術(shù)的要求也越嚴(yán)格。每個(gè)級(jí)別都有相應(yīng)的準(zhǔn)則，只有達(dá)到所有準(zhǔn)則的要求，才能通過(guò)該級(jí)別的鑒定。

想要成功通過(guò)ISO 26262認(rèn)證，這要求芯片廠商要有足夠豐富的成功生產(chǎn)車規(guī)芯片的經(jīng)驗(yàn)，從芯片設(shè)計(jì)之初，就需要以相應(yīng)標(biāo)準(zhǔn)為目標(biāo)進(jìn)行設(shè)計(jì)，包括芯片全生命周期的功能安全要求，涵蓋安全需求的規(guī)劃、設(shè)計(jì)、實(shí)施、集成、驗(yàn)證、確認(rèn)和配置等。只有這樣，才能保障在認(rèn)證時(shí)滿足所有標(biāo)準(zhǔn)和要求。對(duì)于國(guó)內(nèi)汽車芯片創(chuàng)業(yè)公司來(lái)說(shuō)，獲得認(rèn)證也是衡量團(tuán)隊(duì)是否具備車規(guī)基因和行業(yè)積淀的重要標(biāo)志。只有擁有豐富的經(jīng)驗(yàn)和深厚的技術(shù)積累，才能在競(jìng)爭(zhēng)激烈的市場(chǎng)中立足。

2023年9月，由國(guó)際獨(dú)立第三方檢測(cè)、檢驗(yàn)和認(rèn)證機(jī)構(gòu)德國(guó)萊茵TüV集團(tuán)（簡(jiǎn)稱“TüV萊茵”）主辦的“第三屆功能安全及網(wǎng)絡(luò)安全技術(shù)峰會(huì)”在上海召開。峰會(huì)期間，TüV萊茵舉行了頒證儀式，為多家企業(yè)頒發(fā)了功能安全與網(wǎng)絡(luò)安全認(rèn)證證書。其中，國(guó)內(nèi)汽車芯片公司芯馳科技旗下E3系列MCU獲頒ISO 26262 ASIL D功能安全產(chǎn)品認(rèn)證。

這是萊茵在國(guó)內(nèi)為MCU芯片頒發(fā)的首個(gè)ISO 26262 ASIL D功能安全產(chǎn)品認(rèn)證，也是國(guó)產(chǎn)MCU在車規(guī)認(rèn)證上的重要突破。值得一提的是，有別于將芯片中負(fù)責(zé)安全相關(guān)處理的“功能安全島”認(rèn)證到ASILD，芯馳MCU獲得的是“全芯片”的ASIL D認(rèn)證，實(shí)現(xiàn)了MCU全芯片的功能安全。

3. ASIL D最高功能安全認(rèn)證是如何煉成的？

芯馳在成立之初就率先取得了ISO 26262 ASIL D功能安全流程認(rèn)證以及AEC-Q100 Grade2產(chǎn)品可靠性認(rèn)證，為功能安全產(chǎn)品認(rèn)證打下基礎(chǔ)。在此次萊茵安全峰會(huì)上，芯馳的功能安全經(jīng)理魏斌在現(xiàn)場(chǎng)分享了ASIL D芯片產(chǎn)品的開發(fā)實(shí)踐。

在這里，首先要引入兩個(gè)名詞解釋，PPA和TTM。PPA是芯片開發(fā)者們背負(fù)的終極KPI,也就是Performance(性能)、Power(功耗)、Area(尺寸)三者的縮寫。TTM是（Time To Marketing）產(chǎn)品上市周期。對(duì)芯片開發(fā)來(lái)說(shuō)，PPA和TTM至關(guān)重要，如何把握功能安全、PPA和TTM三者之間的平衡，是ASIL D芯片開發(fā)的一大重點(diǎn)。

對(duì)此，魏斌提到了一個(gè)關(guān)鍵詞：“precisely right（恰到好處）”。一是，根據(jù)具體應(yīng)用來(lái)恰當(dāng)好處的識(shí)別安全需求；二是，恰到好處的設(shè)計(jì)安全機(jī)制。

對(duì)于安全機(jī)制的設(shè)計(jì)，芯馳提出了基于V-model的 DFMEA。Design FMEA也就是DFMEA，是一種常用的質(zhì)量工具，功能安全是利用了這個(gè)工具來(lái)做安全分析。而芯馳提出的基于V-model的 DFMEA是一種更嚴(yán)格、全面的分析驗(yàn)證機(jī)制，通過(guò)基于傳統(tǒng)FMEA在不同層級(jí)的應(yīng)用來(lái)實(shí)現(xiàn)安全機(jī)制的準(zhǔn)確設(shè)計(jì)，在安全架構(gòu)設(shè)計(jì)階段、SoC設(shè)計(jì)和IP設(shè)計(jì)階段都進(jìn)行安全分析，并用分析結(jié)果來(lái)指導(dǎo)故障注入測(cè)試。對(duì)于芯片設(shè)計(jì)企業(yè)來(lái)說(shuō)，車規(guī)級(jí)芯片開發(fā)驗(yàn)證本就花費(fèi)大、周期長(zhǎng)。而這種機(jī)制又需要投入大量時(shí)間、精力，足以讓大多數(shù)芯片設(shè)計(jì)公司望而止步，無(wú)法做到徹底地貫徹執(zhí)行。

以芯馳E3 MCU為例，在其應(yīng)用場(chǎng)景中，單個(gè)功能的實(shí)現(xiàn)會(huì)涉及芯片內(nèi)的諸多模塊，任何一種芯片節(jié)點(diǎn)的失效，都會(huì)導(dǎo)致整個(gè)功能安全能力的喪失。因此，整個(gè)安全鏈路上所有的模塊都必須達(dá)到和芯片同等級(jí)的安全等級(jí)，全部按照ASIL D來(lái)開發(fā)的，以滿足芯片的一致性和功能安全。從研發(fā)立項(xiàng)，到E3 MCU取得ASIL D功能安全產(chǎn)品認(rèn)證，芯馳一共花了三年的時(shí)間，可以說(shuō)是為本土車芯廠商樹立了行業(yè)標(biāo)桿。

值得一提的是，為了支持客戶實(shí)現(xiàn)系統(tǒng)級(jí)的功能安全，除了芯片產(chǎn)品的功能安全認(rèn)證之外，與芯片相配套的軟件功能安全測(cè)試庫(kù)，以及用于支持應(yīng)用AUTOSAR的MCAL，芯馳也同樣做到了滿足功能安全，正在推進(jìn)這些軟件層面的相關(guān)功能安全認(rèn)證。

結(jié)語(yǔ)：

一顆汽車芯片從設(shè)計(jì)流片、車規(guī)認(rèn)證、車型導(dǎo)入驗(yàn)證、到量產(chǎn)裝車，通常需要3-5年的時(shí)間。而只有最終大規(guī)模落地量產(chǎn)，實(shí)現(xiàn)盈利，企業(yè)才能真正地活下來(lái)。這整個(gè)周期，就像是一場(chǎng)殘酷的軍備競(jìng)賽。而這一切的基礎(chǔ)，是車規(guī)認(rèn)證帶來(lái)的安全保障。汽車芯片企業(yè)只有建立起車規(guī)理念及文化，堅(jiān)持產(chǎn)品的持續(xù)改進(jìn)、持續(xù)認(rèn)證，才能以車芯助力更安全可靠、更有競(jìng)爭(zhēng)力的汽車產(chǎn)品，帶來(lái)中國(guó)汽車半導(dǎo)體行業(yè)的真正突破。

審核編輯：黃飛