據(jù)中汽協(xié)發(fā)布數(shù)據(jù)顯示，今年11月，中國新能源汽車產(chǎn)銷分別完成107.4萬輛和102.6萬輛，同比分別增長39.2%和30%，市場占有率達到34.5%。新能源汽車時代的到來，打破了海外芯片巨頭為主的傳統(tǒng)汽車產(chǎn)業(yè)供應(yīng)鏈體系，給我國汽車產(chǎn)業(yè)鏈營造出一種“變中求機”的局面。

盡管汽車零部件產(chǎn)業(yè)市場潛力巨大，但在車規(guī)芯片等領(lǐng)域，國內(nèi)企業(yè)仍與海外大廠存在較大差距。例如地獄級難度的車規(guī)認證，就成為本土汽車芯片廠商面臨的重要挑戰(zhàn)。什么是車規(guī)級芯片？接下來，本文將從車規(guī)級芯片的定義、等級、認證和開發(fā)實踐案例等方面進行詳細介紹。

什么是車規(guī)級芯片？

Automotive Grade（即我們常說的車規(guī)級），是指技術(shù)標準達到車載等級要求，完全滿足汽車使用的元器件。一般來說，電子元器件分為四個等級，從高到低依次是軍工 > 汽車> 工業(yè)> 消費電子。作為僅次于軍工標準的出行工具，車規(guī)芯片質(zhì)量將直接影響駕乘人員的生命安全。

與消費和工業(yè)芯片不同，車規(guī)級芯片很少單獨亮相，而是嵌入在各類車載功能中，根據(jù)其功能和應(yīng)用場景的不同，車規(guī)芯片可以分為以下幾種類型。一是負責(zé)算力與控制的功能芯片（MCU、SoC芯片），如車身控制、自動駕駛等；二是負責(zé)功率轉(zhuǎn)換的功率器件（IGBT芯片），一般用于新能源車型的電源和接口；三是負責(zé)感知環(huán)境的傳感器芯片，主要用于各種雷達、胎壓監(jiān)測等。

如果說消費級芯片追求的是“天下武功唯快不破”的性能和功耗極致；那么對于車規(guī)級芯片來說“穩(wěn)定壓倒一切”，其修煉的更像是“金鐘罩鐵布衫” 這般可靠性與安全性兼具的內(nèi)功。為修煉這樣的內(nèi)功，車規(guī)級芯片需要突破以下三大技術(shù)關(guān)卡。

第一道為“環(huán)境關(guān)”。相比于手機、電腦等消費類產(chǎn)品，應(yīng)用于汽車的工作環(huán)境更為惡劣，甚至可以說惡劣百倍也不為過。車規(guī)級芯片需要遭受更多的震動和沖擊，面對液體和粉塵的侵蝕也會更多，溫度條件也更為極端。一般來說，車規(guī)級芯片要承受的溫度范圍在-40°C-150°C之間，而消費級芯片只需滿足0°C~70°C的工作環(huán)境即可。

第二關(guān)就是“壽命關(guān)”。普通消費電子產(chǎn)品的整個生命周期不會超過5年。而對于汽車級產(chǎn)品來說，整個車輛的生命周期通常在10年到15年20萬公里左右，遠大于消費電子產(chǎn)品的壽命要求。在這樣的情況下，如何保持芯片的一致性和可靠性成為車規(guī)芯片首先要考慮的問題。

第三關(guān)也是最重要的一道“安全關(guān)”。手機死機，最多也就處于失聯(lián)狀態(tài)。但如果車輛行駛狀態(tài)下芯片突然崩了，對消費者來說可能就是致命的。這里的安全包括功能安全、網(wǎng)絡(luò)安全。

用直觀的數(shù)據(jù)來說，手機芯片可接受的不良率是萬分之二，而汽車芯片的不良率則不能高于PPM（百萬分之一）。此前就有汽車芯片企業(yè)分享過，其產(chǎn)品采用獨立的安全島的設(shè)計，在關(guān)鍵模塊、計算模塊、總線、內(nèi)存中都有 ECC等數(shù)據(jù)校驗。同時，整個生產(chǎn)過程都采用車規(guī)芯片的工藝，以確保車規(guī)芯片的功能安全。不僅要求汽車芯片的不良率要低于百萬分之一，更要無限趨近于“0”。

車規(guī)級芯片認證幾道檻？

1. AEC-Q100：芯片前裝上車的“基本門檻”

當我們談?wù)撈囯娮訒r，就不得不提AEC-Q100，作為公認的車規(guī)元器件通用測試標準，它被視為芯片前裝上車的“基本門檻”。無論是環(huán)境關(guān)還是壽命關(guān)，都可通過AEC-Q100這一標準進行驗證。對于汽車級芯片而言，AEC-Q100是基本可靠性的要求。

AEC全稱為汽車電子協(xié)會(Automotive Electronics Council)，由通用、福特和克萊斯勒共同建立，旨在制定一套通用的零件資質(zhì)及質(zhì)量系統(tǒng)標準。其中，Q代表Qualification。AEC-Q適用于汽車用芯片、無源器件、分立半導(dǎo)體器件等類型元器件認證，并為不同的元器件設(shè)定了相應(yīng)的測試標準和測試項。

在眾多AEC-Q認證中，AEC-Q100備受業(yè)界關(guān)注。它是以失效機理為基礎(chǔ)的集成電路應(yīng)力測試鑒定，適用于車用芯片的綜合可靠性測試。AEC-Q100分為四個級別，以溫度作為劃分標準。0 級最高（-40°C to +150°C），1 級為-40°C to +125°C，2 級為-40°C to +105°C（也是比較常見的），最低級是 3 級（-40°C to +85°C），其關(guān)鍵測試類別包括：

只有完全通過7大類別共41項測試后，才能獲得AEC－Q100認證，需要注意的是，原則上，一顆芯片料號需要進行一次AEC-Q100認證，即便只是進行了微小的修改，只要料號發(fā)生了變化，就需要重新認證。完成全部測試的平均最低時間大約為6個月。AEC-Q認證是確保車用ECU質(zhì)量和可靠性保障的前提，車用元器件原則上都要滿足AEC-Q測試要求。

2. ISO 26262：汽車供應(yīng)鏈的“準入門票”

汽車作為人們生活中不可或缺的交通工具，其安全性和可靠性至關(guān)重要。僅僅保障“能用”、“不損壞”顯然是不夠的。通過AEC-Q認證只是元器件進入Tire1供應(yīng)鏈的第一步，真正“車規(guī)級芯片”需要在達到可靠性的基礎(chǔ)之上，對設(shè)計端提出更高的要求，包括功能安全和網(wǎng)絡(luò)安全。

“功能安全”是通過安全功能和安全措施來避免不可容許的功能風(fēng)險的技術(shù)總稱。以鐵路道口為例，我們常常有這樣的危險顧慮，就是和火車相撞，導(dǎo)致死亡?！氨举|(zhì)安全”就是把危險源直接“除掉”，但又不能把鐵道道口“除掉”，那就附加一個安全設(shè)施，這就是功能安全。功能安全重在確保功能正常而不發(fā)生突發(fā)問題并能正常告警和安全實施，屬于能力層面。

為此2011 年由國際標準化組織（ISO）制定的 ISO 26262應(yīng)運而生，ISO 26262是從電子、電氣及可編程器件功能安全基本標準IEC 61508派生出來的，主要定位在汽車行業(yè)中特定的電氣器件、電子設(shè)備、可編程電子器件等專門用于汽車領(lǐng)域的部件，如 MCU等。其目的就是確?！鞍踩?，為實現(xiàn)這個目的，ISO 26262為車輛全生命周期（包括產(chǎn)品研發(fā)、生產(chǎn)、使用、維保和報廢）保證電子/電氣系統(tǒng)的功能安全提供了相應(yīng)的安全保證措施。

從整車功能安全性角度出發(fā)，ISO 26262使用V-Model來管理功能安全。首先通過對功能相關(guān)項的危害分析、風(fēng)險評估、確定汽車安全完整性等級（ASIL），進而確定安全目標。為達成安全目標，需要將功能相關(guān)項細分為電子/電氣系統(tǒng)、系統(tǒng)組件、元器件等層級，并為每個層級制定相應(yīng)的功能安全概念和技術(shù)安全概念。最后，通過評審、驗證等手段對相關(guān)項安全性是否達成和有效進行評價。

需要注意的是，ISO 26262功能安全認證分為功能安全流程認證和功能安全產(chǎn)品認證兩種認證，在汽車行業(yè)的開發(fā)流程中，需要先有流程做支撐，才能根據(jù)流程做出能達到流程標準的產(chǎn)品。因此，想要研發(fā)出能夠通過ISO 26262認證的產(chǎn)品，首先必須通過ISO 26262功能安全流程認證。

功能安全流程認證專注于功能安全管理體系，產(chǎn)品必須按照通過認證的流程開發(fā)，可有效避免產(chǎn)品的系統(tǒng)性失效，提升產(chǎn)品質(zhì)量，是針對流程的認證。

功能安全產(chǎn)品認證則更加重視考察產(chǎn)品自身的安全架構(gòu)設(shè)計，安全特性與安全覆蓋范圍，對系統(tǒng)整體進行危害分析與風(fēng)險評估，要求安全機制滿足相應(yīng)功能安全等級要求（ASIL），同時需要額外增加自我診斷及其他功能。

只有經(jīng)過這兩個環(huán)節(jié)的驗證才能算全面通過ISO 26262的功能安全認證。通過流程認證已經(jīng)非常不容易，而通過產(chǎn)品認證，其復(fù)雜度，需要投入的人力、資金、時間成本更是成倍增加。

ASIL（汽車安全完整性等級）是由 ISO 26262 -道路車輛功能安全標準定義的一種風(fēng)險分類方案。工程師需要根據(jù)嚴重程度（司機和旅客傷害分類）、暴露程度（汽車接觸危險的次數(shù)）和可控性（司機可以避免傷害的程度）這三個特定變量來衡量汽車上的每個電子元件的風(fēng)險。這些變量被分解為子類，并進行分析結(jié)合，最終確定ASIL等級。ASIL等級從低到高分為A/B/C/D四個等級，等級越高對安全性的要求越高，對開發(fā)流程和技術(shù)的要求也越嚴格。每個級別都有相應(yīng)的準則，只有達到所有準則的要求，才能通過該級別的鑒定。

想要成功通過ISO 26262認證，這要求芯片廠商要有足夠豐富的成功生產(chǎn)車規(guī)芯片的經(jīng)驗，從芯片設(shè)計之初，就需要以相應(yīng)標準為目標進行設(shè)計，包括芯片全生命周期的功能安全要求，涵蓋安全需求的規(guī)劃、設(shè)計、實施、集成、驗證、確認和配置等。只有這樣，才能保障在認證時滿足所有標準和要求。對于國內(nèi)汽車芯片創(chuàng)業(yè)公司來說，獲得認證也是衡量團隊是否具備車規(guī)基因和行業(yè)積淀的重要標志。只有擁有豐富的經(jīng)驗和深厚的技術(shù)積累，才能在競爭激烈的市場中立足。

2023年9月，由國際獨立第三方檢測、檢驗和認證機構(gòu)德國萊茵TüV集團（簡稱“TüV萊茵”）主辦的“第三屆功能安全及網(wǎng)絡(luò)安全技術(shù)峰會”在上海召開。峰會期間，TüV萊茵舉行了頒證儀式，為多家企業(yè)頒發(fā)了功能安全與網(wǎng)絡(luò)安全認證證書。其中，國內(nèi)汽車芯片公司芯馳科技旗下E3系列MCU獲頒ISO 26262 ASIL D功能安全產(chǎn)品認證。

這是萊茵在國內(nèi)為MCU芯片頒發(fā)的首個ISO 26262 ASIL D功能安全產(chǎn)品認證，也是國產(chǎn)MCU在車規(guī)認證上的重要突破。值得一提的是，有別于將芯片中負責(zé)安全相關(guān)處理的“功能安全島”認證到ASILD，芯馳MCU獲得的是“全芯片”的ASIL D認證，實現(xiàn)了MCU全芯片的功能安全。

3. ASIL D最高功能安全認證是如何煉成的？

芯馳在成立之初就率先取得了ISO 26262 ASIL D功能安全流程認證以及AEC-Q100 Grade2產(chǎn)品可靠性認證，為功能安全產(chǎn)品認證打下基礎(chǔ)。在此次萊茵安全峰會上，芯馳的功能安全經(jīng)理魏斌在現(xiàn)場分享了ASIL D芯片產(chǎn)品的開發(fā)實踐。

在這里，首先要引入兩個名詞解釋，PPA和TTM。PPA是芯片開發(fā)者們背負的終極KPI,也就是Performance(性能)、Power(功耗)、Area(尺寸)三者的縮寫。TTM是（Time To Marketing）產(chǎn)品上市周期。對芯片開發(fā)來說，PPA和TTM至關(guān)重要，如何把握功能安全、PPA和TTM三者之間的平衡，是ASIL D芯片開發(fā)的一大重點。

對此，魏斌提到了一個關(guān)鍵詞：“precisely right（恰到好處）”。一是，根據(jù)具體應(yīng)用來恰當好處的識別安全需求；二是，恰到好處的設(shè)計安全機制。

對于安全機制的設(shè)計，芯馳提出了基于V-model的 DFMEA。Design FMEA也就是DFMEA，是一種常用的質(zhì)量工具，功能安全是利用了這個工具來做安全分析。而芯馳提出的基于V-model的 DFMEA是一種更嚴格、全面的分析驗證機制，通過基于傳統(tǒng)FMEA在不同層級的應(yīng)用來實現(xiàn)安全機制的準確設(shè)計，在安全架構(gòu)設(shè)計階段、SoC設(shè)計和IP設(shè)計階段都進行安全分析，并用分析結(jié)果來指導(dǎo)故障注入測試。對于芯片設(shè)計企業(yè)來說，車規(guī)級芯片開發(fā)驗證本就花費大、周期長。而這種機制又需要投入大量時間、精力，足以讓大多數(shù)芯片設(shè)計公司望而止步，無法做到徹底地貫徹執(zhí)行。

以芯馳E3 MCU為例，在其應(yīng)用場景中，單個功能的實現(xiàn)會涉及芯片內(nèi)的諸多模塊，任何一種芯片節(jié)點的失效，都會導(dǎo)致整個功能安全能力的喪失。因此，整個安全鏈路上所有的模塊都必須達到和芯片同等級的安全等級，全部按照ASIL D來開發(fā)的，以滿足芯片的一致性和功能安全。從研發(fā)立項，到E3 MCU取得ASIL D功能安全產(chǎn)品認證，芯馳一共花了三年的時間，可以說是為本土車芯廠商樹立了行業(yè)標桿。

值得一提的是，為了支持客戶實現(xiàn)系統(tǒng)級的功能安全，除了芯片產(chǎn)品的功能安全認證之外，與芯片相配套的軟件功能安全測試庫，以及用于支持應(yīng)用AUTOSAR的MCAL，芯馳也同樣做到了滿足功能安全，正在推進這些軟件層面的相關(guān)功能安全認證。

結(jié)語：

一顆汽車芯片從設(shè)計流片、車規(guī)認證、車型導(dǎo)入驗證、到量產(chǎn)裝車，通常需要3-5年的時間。而只有最終大規(guī)模落地量產(chǎn)，實現(xiàn)盈利，企業(yè)才能真正地活下來。這整個周期，就像是一場殘酷的軍備競賽。而這一切的基礎(chǔ)，是車規(guī)認證帶來的安全保障。汽車芯片企業(yè)只有建立起車規(guī)理念及文化，堅持產(chǎn)品的持續(xù)改進、持續(xù)認證，才能以車芯助力更安全可靠、更有競爭力的汽車產(chǎn)品，帶來中國汽車半導(dǎo)體行業(yè)的真正突破。

審核編輯：黃飛