车规级功率器件，新时代的“当街花旦”（上）

  什么是 Automotive Grade（也就是我们常说的车规级）？就是始终如一的可靠性。

汽车发动机起动的那一刻开始就得在酷热的夏季和严寒的冬夜里工作。手机寿命为 2 至 4 年，但您的汽车要用十年以上。此外，所有汽车零部件都必须抵御更大的温度波动。如果消费类电子设备（如智能手机）承受的温度超过其有限的耐受范围，就可能发出错误的信息或干脆关机。这在车规级系统中是无法容忍。所以汽车工程师要确保从仪表集群，导航屏幕到高级驾驶员辅助系统以及自动驾驶传感器，芯片等所有零部件都能满足严苛要求。这就是我们的汽车解决方案（硬件）额定运行温度为 -40~105 摄氏度，甚至 125 摄氏度的原因。耐温性只是影响我国汽车系统规范和测试的关键因素之一，相对于消费者级别的同类产品而言，我国对汽车系统规范和测试方法提出了更严格的要求。

例如，安全功能件必须有经过 ISO 26262 ASIL 认证的专用生产线（当然也要具备 IATF16949 的基础），以消除制造过程中人为失误的可能性。使用任何达不到最高要求的商品都会放大驾驶安全所带来的危险。

近年来，越来越多的传感器、芯片等新的汽车电子产品导入到汽车行业，车规级也开始变得乱象丛生。

满足、符合、达到......满大街都是初创公司，车规级三字前加令人目不暇接的定语自然也有车规级二字后加“量产”二字的，那就是另一种无法言喻的“赤裸裸”PR。

目前，车规级汽车电子比较相关的就是 AEQ 质量标准。

AEC-Q100 是一种基于封装集成电路应力测试的失效机制。汽车电子委员会(AEC)总部设在美国，最初由三大汽车制造商（克莱斯勒、福特和通用汽车）建立，目的是建立共同的零部件资格和质量体系标准。

在 1992 年夏天的一次 JEDEC 会议上产生了建立 AEC 的想法。提出了共同资格规范的想法，作为改善这种情况的一种可能方法。在随后的 JEDEC 会议上，确定共同合格规范的想法是可行的，不久之后就开始了 Q100(集成电路压力测试合格)的工作。

当前 AEC-Q100 在集成电路中的应用以离散部件 AEC-Q101 和无源部件 AEC-Q200 为主。

其中 AEC-Q100分五个级别以温度范围为根本划分准则。其中，0 级最高（-40°C to+150°C），1 级为 -40°C to+125°C，2 级为-40°C to+105°C（也就是比较常见的），最低级是 4 级（0°C to+70°C）。0 级以引擎盖下方环境条件最差为主，1、2级用在汽车其他部位。

除 AEQ 外，另一个需要遵循的规范是 2011 年国际标准化组织（ISO）制定的 ISO 26262，主要用于功能安全件，如 ADAS 相关的传感器和系统。

汽车安全完整性等级(ASIL)就是由 ISO 26262 -道路车辆功能安全标准定义的一种风险分类方案。这是对 IEC 61508 中用于汽车工业的安全完整性级别的调整。

这种分类有助于定义符合 ISO 26262 标准所必需的安全要求。ASIL 是将潜在危险作为风险分析的目标，通过观察汽车行驶情景的严重性、暴露程度和可控性来设定的。该危害安全目标也符合 ASIL 的规定。

ASIL A、ASIL B、ASIL C、ASIL D是四个等级，其中 ASIL D 对产品的完整性要求最高，ASIL A 最低。

ASILs由危害分析与风险评估确立。对汽车上的每个电子元件，工程师必须测出三个特定变量：严重程度（司机和旅客伤害分类）和暴露程度（汽车接触危险的次数）、可控性（司机可以做到什么程度才能避免伤害），所有这些变量都被分解为子类。

严重程度有“无伤”（S0）至“致命/致命伤”（S3）4 种。

曝光分为五类，涵盖“很不太可能”（E0）和“非常可能”（E4）。

可控性有四种类型，即由“一般可控”（C0）向“不可控”（C3）的转变。

所有变量和子分类都被分析并结合在一起，从而决定了期望 ASIL。

如安全气囊、防抱死刹车、动力转向系统等系统要求 ASIL-D 级——安全保障采用最严密性的系统——因为与之发生故障相关的风险最大。另一头，尾灯等零件仅需 ASIL-A级别。头灯和刹车灯一般是 ASIL-B，而巡航控制一般是 ASIL-C。

考虑到确定 ASIL 危害等级所涉及的猜测工作，汽车工程师协会(SAE)在 2015 年起草了 J2980，“ISO 26262 ASIL 危害等级的考虑因素”。这些准则对具体危害暴露程度，严重程度，可控性等方面的评价有较为清晰的指引。

ISO26262已经成为汽车开发过程中功能性安全的指导标准。但近年来，随着 ADAS 及自动驾驶技术的快速导入，这一标准的瓶颈也开始出现。

J2980 还在继续发展 —— SAE 在 2018 年发布了一个修订版。随着自动驾驶汽车的发展，ISO 26262 将需要重新定义“可控性”，这一定义目前属于人类驾驶员。

按照目前的标准，没有人工驾驶意味着可控性将永远是C3，即“无法控制”的极限。“其他变量的严重程度(伤害)和暴露(可能性)无疑也需要重新检查。

国际标准化组织还对 ISO26262:2018 进行了更新。本版增加了汽车功能安全环境下半导体设计与使用指导。

芯片（单片机）第一次被运用到汽车中，用来控制发动机的运转。它称为ECU或发动机控制单元。1968年大众汽车上出现了首款ECU，实现了特定的功能：EFI（电子燃油喷射）。

时至今日，汽车上已有 50 个多ECU专为动力系统，车载娱乐系统，主动安全系统以及通信系统等各方面进行监控。接下来，除了分布式网络和集中域控制架构外，更多的芯片（比过去的ECU更为复杂）也将出现在新车中。

ISO26262:2018 第 11 部分全面概述功能安全相关半导体产品的研发项目。这些问题包括半导体元件整体描述及其发展和可能划分。包括相关的硬件故障、错误和故障模式。本发明也涉及知识产权（IP）特别是与 ISO 26262 有关的有一个或更多安全要求的知识产权。

但是现如今汽车电子产品的可靠性出现了越来越多的新问题，造成了整个供应链的混乱局面，与此同时还发现了一系列的问题，如数据不充分、定义不清晰、专业水平参差不齐等等。

由此而产生的可靠性问题在高级节点上主要被忽视了，因为使用上述技术开发出的芯片多数之前都以消费类电子或受控环境为对象。同时，较新的制造工艺通常比已有的成熟和老工艺技术生产出更具缺陷的零部件。该缺陷密度大意味着制造后测试达到相同质量水平时仍需达到更高的缺陷覆盖率。

利用抽象逻辑故障模型产生测试序列进行缺陷检测的传统方法已不完全适用。要使用高级过程节点的复杂集成电路来实现自动化级别的质量级别，就需要测试模式生成理解缺陷如何以及在哪里被物理地揭露，并且必须知道这些缺陷在模拟意义上的行为，而不仅仅是数字意义上的行为。

但所有的汽车电子产品，特别是安全关键部件和系统，现在都要在生产过程中和生产完成后进行严格的测试。可靠性也存在一个与成本成正比的问题。在汽车安全关键部件和系统的设计中，供应链上下的每一个供应商都要完成更多的环节，这就增加了更多的测试时间，继而加大了成本。

众所周知，汽车零部件的检测是最复杂和最昂贵的检测。现在人们都在想办法削减成本，但汽车行业非常谨慎和有条理。

解决这个问题有两种完全不同的想法。一种是采用系统级测试，费用比较昂贵，但是允许在实际系统背景中进行测试。但是系统级测试是否真的能增加总体成本还不清楚，因为温度通常需要三个不同的插入点而系统级测试可能只需要一个插入。

另一种方法是先关注成本，然后找出哪些测试是必要的，哪些测试是不必要的。

此外，并不是所有的错误都是一样的，也不是所有的错误都是可以预测的。ISO 26262 识别系统故障，系统故障是我们可以发现、预测和修复的故障，而随机故障则属于“发生的事情”。

要使汽车系统可靠、安全，现在整个汽车供应链必须融入一种安全文化，可靠性是根本，虽然没有 100% 可靠。

同时，汽车供应链关系正变得越来越复杂。

比如，一方面传统半导体供应商，需要开始和 OEM 制造商开始深入交流，而过去这些交流停留在 Tier1 层面；另一方面，传统半导体供应商还可能需要和 Tier1 或 OEM 进行竞争，而后者则可能自己生产芯片或对半导体供应商合作伙伴提出明确要求。

此外，还包括涌入汽车行业的数以千计的初创公司，它们在汽车行业相对缺乏经验。而 ISO 26262 要求在整个价值链中进行高水平的协作和信息共享，这可能是新进入者所不熟悉的。

纵观汽车产业，科技是不断变革的，安全可靠的标准也是越来越严。而对于那些到处喊着“车规级”的创业企业来说，坑蒙挂骗并不适用于汽车行业，相反恰恰是汽车行业“进入门槛较高”的表现。

文章来源：ADS智库