車規(guī)級功率器件，新時代的“當(dāng)街花旦”（上）

  什么是 Automotive Grade（也就是我們常說的車規(guī)級）？就是始終如一的可靠性。

汽車發(fā)動機起動的那一刻開始就得在酷熱的夏季和嚴(yán)寒的冬夜里工作。手機壽命為 2 至 4 年，但您的汽車要用十年以上。此外，所有汽車零部件都必須抵御更大的溫度波動。如果消費類電子設(shè)備（如智能手機）承受的溫度超過其有限的耐受范圍，就可能發(fā)出錯誤的信息或干脆關(guān)機。這在車規(guī)級系統(tǒng)中是無法容忍。所以汽車工程師要確保從儀表集群，導(dǎo)航屏幕到高級駕駛員輔助系統(tǒng)以及自動駕駛傳感器，芯片等所有零部件都能滿足嚴(yán)苛要求。這就是我們的汽車解決方案（硬件）額定運行溫度為 -40~105 攝氏度，甚至 125 攝氏度的原因。耐溫性只是影響我國汽車系統(tǒng)規(guī)范和測試的關(guān)鍵因素之一，相對于消費者級別的同類產(chǎn)品而言，我國對汽車系統(tǒng)規(guī)范和測試方法提出了更嚴(yán)格的要求。

例如，安全功能件必須有經(jīng)過 ISO 26262 ASIL 認(rèn)證的專用生產(chǎn)線（當(dāng)然也要具備 IATF16949 的基礎(chǔ)），以消除制造過程中人為失誤的可能性。使用任何達不到最高要求的商品都會放大駕駛安全所帶來的危險。

近年來，越來越多的傳感器、芯片等新的汽車電子產(chǎn)品導(dǎo)入到汽車行業(yè)，車規(guī)級也開始變得亂象叢生。

滿足、符合、達到......滿大街都是初創(chuàng)公司，車規(guī)級三字前加令人目不暇接的定語自然也有車規(guī)級二字后加“量產(chǎn)”二字的，那就是另一種無法言喻的“赤裸裸”PR。

目前，車規(guī)級汽車電子比較相關(guān)的就是 AEQ 質(zhì)量標(biāo)準(zhǔn)。

AEC-Q100 是一種基于封裝集成電路應(yīng)力測試的失效機制。汽車電子委員會(AEC)總部設(shè)在美國，最初由三大汽車制造商（克萊斯勒、福特和通用汽車）建立，目的是建立共同的零部件資格和質(zhì)量體系標(biāo)準(zhǔn)。

在 1992 年夏天的一次 JEDEC 會議上產(chǎn)生了建立 AEC 的想法。提出了共同資格規(guī)范的想法，作為改善這種情況的一種可能方法。在隨后的 JEDEC 會議上，確定共同合格規(guī)范的想法是可行的，不久之后就開始了 Q100(集成電路壓力測試合格)的工作。

當(dāng)前 AEC-Q100 在集成電路中的應(yīng)用以離散部件 AEC-Q101 和無源部件 AEC-Q200 為主。

其中 AEC-Q100分五個級別以溫度范圍為根本劃分準(zhǔn)則。其中，0 級最高（-40°C to+150°C），1 級為 -40°C to+125°C，2 級為-40°C to+105°C（也就是比較常見的），最低級是 4 級（0°C to+70°C）。0 級以引擎蓋下方環(huán)境條件最差為主，1、2級用在汽車其他部位。

除 AEQ 外，另一個需要遵循的規(guī)范是 2011 年國際標(biāo)準(zhǔn)化組織（ISO）制定的 ISO 26262，主要用于功能安全件，如 ADAS 相關(guān)的傳感器和系統(tǒng)。

汽車安全完整性等級(ASIL)就是由 ISO 26262 -道路車輛功能安全標(biāo)準(zhǔn)定義的一種風(fēng)險分類方案。這是對 IEC 61508 中用于汽車工業(yè)的安全完整性級別的調(diào)整。

這種分類有助于定義符合 ISO 26262 標(biāo)準(zhǔn)所必需的安全要求。ASIL 是將潛在危險作為風(fēng)險分析的目標(biāo)，通過觀察汽車行駛情景的嚴(yán)重性、暴露程度和可控性來設(shè)定的。該危害安全目標(biāo)也符合 ASIL 的規(guī)定。

ASIL A、ASIL B、ASIL C、ASIL D是四個等級，其中 ASIL D 對產(chǎn)品的完整性要求最高，ASIL A 最低。

ASILs由危害分析與風(fēng)險評估確立。對汽車上的每個電子元件，工程師必須測出三個特定變量：嚴(yán)重程度（司機和旅客傷害分類）和暴露程度（汽車接觸危險的次數(shù)）、可控性（司機可以做到什么程度才能避免傷害），所有這些變量都被分解為子類。

嚴(yán)重程度有“無傷”（S0）至“致命/致命傷”（S3）4 種。

曝光分為五類，涵蓋“很不太可能”（E0）和“非?？赡堋保‥4）。

可控性有四種類型，即由“一般可控”（C0）向“不可控”（C3）的轉(zhuǎn)變。

所有變量和子分類都被分析并結(jié)合在一起，從而決定了期望 ASIL。

如安全氣囊、防抱死剎車、動力轉(zhuǎn)向系統(tǒng)等系統(tǒng)要求 ASIL-D 級——安全保障采用最嚴(yán)密性的系統(tǒng)——因為與之發(fā)生故障相關(guān)的風(fēng)險最大。另一頭，尾燈等零件僅需 ASIL-A級別。頭燈和剎車燈一般是 ASIL-B，而巡航控制一般是 ASIL-C。

考慮到確定 ASIL 危害等級所涉及的猜測工作，汽車工程師協(xié)會(SAE)在 2015 年起草了 J2980，“ISO 26262 ASIL 危害等級的考慮因素”。這些準(zhǔn)則對具體危害暴露程度，嚴(yán)重程度，可控性等方面的評價有較為清晰的指引。

ISO26262已經(jīng)成為汽車開發(fā)過程中功能性安全的指導(dǎo)標(biāo)準(zhǔn)。但近年來，隨著 ADAS 及自動駕駛技術(shù)的快速導(dǎo)入，這一標(biāo)準(zhǔn)的瓶頸也開始出現(xiàn)。

J2980 還在繼續(xù)發(fā)展 —— SAE 在 2018 年發(fā)布了一個修訂版。隨著自動駕駛汽車的發(fā)展，ISO 26262 將需要重新定義“可控性”，這一定義目前屬于人類駕駛員。

按照目前的標(biāo)準(zhǔn)，沒有人工駕駛意味著可控性將永遠(yuǎn)是C3，即“無法控制”的極限。“其他變量的嚴(yán)重程度(傷害)和暴露(可能性)無疑也需要重新檢查。

國際標(biāo)準(zhǔn)化組織還對 ISO26262:2018 進行了更新。本版增加了汽車功能安全環(huán)境下半導(dǎo)體設(shè)計與使用指導(dǎo)。

芯片（單片機）第一次被運用到汽車中，用來控制發(fā)動機的運轉(zhuǎn)。它稱為ECU或發(fā)動機控制單元。1968年大眾汽車上出現(xiàn)了首款ECU，實現(xiàn)了特定的功能：EFI（電子燃油噴射）。

時至今日，汽車上已有 50 個多ECU專為動力系統(tǒng)，車載娛樂系統(tǒng)，主動安全系統(tǒng)以及通信系統(tǒng)等各方面進行監(jiān)控。接下來，除了分布式網(wǎng)絡(luò)和集中域控制架構(gòu)外，更多的芯片（比過去的ECU更為復(fù)雜）也將出現(xiàn)在新車中。

ISO26262:2018 第 11 部分全面概述功能安全相關(guān)半導(dǎo)體產(chǎn)品的研發(fā)項目。這些問題包括半導(dǎo)體元件整體描述及其發(fā)展和可能劃分。包括相關(guān)的硬件故障、錯誤和故障模式。本發(fā)明也涉及知識產(chǎn)權(quán)（IP）特別是與 ISO 26262 有關(guān)的有一個或更多安全要求的知識產(chǎn)權(quán)。

但是現(xiàn)如今汽車電子產(chǎn)品的可靠性出現(xiàn)了越來越多的新問題，造成了整個供應(yīng)鏈的混亂局面，與此同時還發(fā)現(xiàn)了一系列的問題，如數(shù)據(jù)不充分、定義不清晰、專業(yè)水平參差不齊等等。

由此而產(chǎn)生的可靠性問題在高級節(jié)點上主要被忽視了，因為使用上述技術(shù)開發(fā)出的芯片多數(shù)之前都以消費類電子或受控環(huán)境為對象。同時，較新的制造工藝通常比已有的成熟和老工藝技術(shù)生產(chǎn)出更具缺陷的零部件。該缺陷密度大意味著制造后測試達到相同質(zhì)量水平時仍需達到更高的缺陷覆蓋率。

利用抽象邏輯故障模型產(chǎn)生測試序列進行缺陷檢測的傳統(tǒng)方法已不完全適用。要使用高級過程節(jié)點的復(fù)雜集成電路來實現(xiàn)自動化級別的質(zhì)量級別，就需要測試模式生成理解缺陷如何以及在哪里被物理地揭露，并且必須知道這些缺陷在模擬意義上的行為，而不僅僅是數(shù)字意義上的行為。

但所有的汽車電子產(chǎn)品，特別是安全關(guān)鍵部件和系統(tǒng)，現(xiàn)在都要在生產(chǎn)過程中和生產(chǎn)完成后進行嚴(yán)格的測試。可靠性也存在一個與成本成正比的問題。在汽車安全關(guān)鍵部件和系統(tǒng)的設(shè)計中，供應(yīng)鏈上下的每一個供應(yīng)商都要完成更多的環(huán)節(jié)，這就增加了更多的測試時間，繼而加大了成本。

眾所周知，汽車零部件的檢測是最復(fù)雜和最昂貴的檢測?，F(xiàn)在人們都在想辦法削減成本，但汽車行業(yè)非常謹(jǐn)慎和有條理。

解決這個問題有兩種完全不同的想法。一種是采用系統(tǒng)級測試，費用比較昂貴，但是允許在實際系統(tǒng)背景中進行測試。但是系統(tǒng)級測試是否真的能增加總體成本還不清楚，因為溫度通常需要三個不同的插入點而系統(tǒng)級測試可能只需要一個插入。

另一種方法是先關(guān)注成本，然后找出哪些測試是必要的，哪些測試是不必要的。

此外，并不是所有的錯誤都是一樣的，也不是所有的錯誤都是可以預(yù)測的。ISO 26262 識別系統(tǒng)故障，系統(tǒng)故障是我們可以發(fā)現(xiàn)、預(yù)測和修復(fù)的故障，而隨機故障則屬于“發(fā)生的事情”。

要使汽車系統(tǒng)可靠、安全，現(xiàn)在整個汽車供應(yīng)鏈必須融入一種安全文化，可靠性是根本，雖然沒有 100% 可靠。

同時，汽車供應(yīng)鏈關(guān)系正變得越來越復(fù)雜。

比如，一方面?zhèn)鹘y(tǒng)半導(dǎo)體供應(yīng)商，需要開始和 OEM 制造商開始深入交流，而過去這些交流停留在 Tier1 層面；另一方面，傳統(tǒng)半導(dǎo)體供應(yīng)商還可能需要和 Tier1 或 OEM 進行競爭，而后者則可能自己生產(chǎn)芯片或?qū)Π雽?dǎo)體供應(yīng)商合作伙伴提出明確要求。

此外，還包括涌入汽車行業(yè)的數(shù)以千計的初創(chuàng)公司，它們在汽車行業(yè)相對缺乏經(jīng)驗。而 ISO 26262 要求在整個價值鏈中進行高水平的協(xié)作和信息共享，這可能是新進入者所不熟悉的。

縱觀汽車產(chǎn)業(yè)，科技是不斷變革的，安全可靠的標(biāo)準(zhǔn)也是越來越嚴(yán)。而對于那些到處喊著“車規(guī)級”的創(chuàng)業(yè)企業(yè)來說，坑蒙掛騙并不適用于汽車行業(yè)，相反恰恰是汽車行業(yè)“進入門檻較高”的表現(xiàn)。

文章來源：ADS智庫