據中汽協發布數據顯示，今年11月，中國新能源汽車產銷分別完成107.4萬輛和102.6萬輛，同比分別增長39.2%和30%，市場占有率達到34.5%。新能源汽車時代的到來，打破了海外芯片巨頭為主的傳統汽車產業供應鏈體系，給我國汽車產業鏈營造出一種“變中求機”的局面。

盡管汽車零部件產業市場潛力巨大，但在車規芯片等領域，國內企業仍與海外大廠存在較大差距。例如地獄級難度的車規認證，就成為本土汽車芯片廠商面臨的重要挑戰。什么是車規級芯片？接下來，本文將從車規級芯片的定義、等級、認證和開發實踐案例等方面進行詳細介紹。

什么是車規級芯片？

Automotive Grade（即我們常說的車規級），是指技術標準達到車載等級要求，完全滿足汽車使用的元器件。一般來說，電子元器件分為四個等級，從高到低依次是軍工 > 汽車> 工業> 消費電子。作為僅次于軍工標準的出行工具，車規芯片質量將直接影響駕乘人員的生命安全。

與消費和工業芯片不同，車規級芯片很少單獨亮相，而是嵌入在各類車載功能中，根據其功能和應用場景的不同，車規芯片可以分為以下幾種類型。一是負責算力與控制的功能芯片（MCU、SoC芯片），如車身控制、自動駕駛等；二是負責功率轉換的功率器件（IGBT芯片），一般用于新能源車型的電源和接口；三是負責感知環境的傳感器芯片，主要用于各種雷達、胎壓監測等。

如果說消費級芯片追求的是“天下武功唯快不破”的性能和功耗極致；那么對于車規級芯片來說“穩定壓倒一切”，其修煉的更像是“金鐘罩鐵布衫” 這般可靠性與安全性兼具的內功。為修煉這樣的內功，車規級芯片需要突破以下三大技術關卡。

第一道為“環境關”。相比于手機、電腦等消費類產品，應用于汽車的工作環境更為惡劣，甚至可以說惡劣百倍也不為過。車規級芯片需要遭受更多的震動和沖擊，面對液體和粉塵的侵蝕也會更多，溫度條件也更為極端。一般來說，車規級芯片要承受的溫度范圍在-40°C-150°C之間，而消費級芯片只需滿足0°C~70°C的工作環境即可。

第二關就是“壽命關”。普通消費電子產品的整個生命周期不會超過5年。而對于汽車級產品來說，整個車輛的生命周期通常在10年到15年20萬公里左右，遠大于消費電子產品的壽命要求。在這樣的情況下，如何保持芯片的一致性和可靠性成為車規芯片首先要考慮的問題。

第三關也是最重要的一道“安全關”。手機死機，最多也就處于失聯狀態。但如果車輛行駛狀態下芯片突然崩了，對消費者來說可能就是致命的。這里的安全包括功能安全、網絡安全。

用直觀的數據來說，手機芯片可接受的不良率是萬分之二，而汽車芯片的不良率則不能高于PPM（百萬分之一）。此前就有汽車芯片企業分享過，其產品采用獨立的安全島的設計，在關鍵模塊、計算模塊、總線、內存中都有 ECC等數據校驗。同時，整個生產過程都采用車規芯片的工藝，以確保車規芯片的功能安全。不僅要求汽車芯片的不良率要低于百萬分之一，更要無限趨近于“0”。

車規級芯片認證幾道檻？

1. AEC-Q100：芯片前裝上車的“基本門檻”

當我們談論汽車電子時，就不得不提AEC-Q100，作為公認的車規元器件通用測試標準，它被視為芯片前裝上車的“基本門檻”。無論是環境關還是壽命關，都可通過AEC-Q100這一標準進行驗證。對于汽車級芯片而言，AEC-Q100是基本可靠性的要求。

AEC全稱為汽車電子協會(Automotive Electronics Council)，由通用、福特和克萊斯勒共同建立，旨在制定一套通用的零件資質及質量系統標準。其中，Q代表Qualification。AEC-Q適用于汽車用芯片、無源器件、分立半導體器件等類型元器件認證，并為不同的元器件設定了相應的測試標準和測試項。

在眾多AEC-Q認證中，AEC-Q100備受業界關注。它是以失效機理為基礎的集成電路應力測試鑒定，適用于車用芯片的綜合可靠性測試。AEC-Q100分為四個級別，以溫度作為劃分標準。0 級最高（-40°C to +150°C），1 級為-40°C to +125°C，2 級為-40°C to +105°C（也是比較常見的），最低級是 3 級（-40°C to +85°C），其關鍵測試類別包括：

只有完全通過7大類別共41項測試后，才能獲得AEC－Q100認證，需要注意的是，原則上，一顆芯片料號需要進行一次AEC-Q100認證，即便只是進行了微小的修改，只要料號發生了變化，就需要重新認證。完成全部測試的平均最低時間大約為6個月。AEC-Q認證是確保車用ECU質量和可靠性保障的前提，車用元器件原則上都要滿足AEC-Q測試要求。

2. ISO 26262：汽車供應鏈的“準入門票”

汽車作為人們生活中不可或缺的交通工具，其安全性和可靠性至關重要。僅僅保障“能用”、“不損壞”顯然是不夠的。通過AEC-Q認證只是元器件進入Tire1供應鏈的第一步，真正“車規級芯片”需要在達到可靠性的基礎之上，對設計端提出更高的要求，包括功能安全和網絡安全。

“功能安全”是通過安全功能和安全措施來避免不可容許的功能風險的技術總稱。以鐵路道口為例，我們常常有這樣的危險顧慮，就是和火車相撞，導致死亡。“本質安全”就是把危險源直接“除掉”，但又不能把鐵道道口“除掉”，那就附加一個安全設施，這就是功能安全。功能安全重在確保功能正常而不發生突發問題并能正常告警和安全實施，屬于能力層面。

為此2011 年由國際標準化組織（ISO）制定的 ISO 26262應運而生，ISO 26262是從電子、電氣及可編程器件功能安全基本標準IEC 61508派生出來的，主要定位在汽車行業中特定的電氣器件、電子設備、可編程電子器件等專門用于汽車領域的部件，如 MCU等。其目的就是確保“安全”，為實現這個目的，ISO 26262為車輛全生命周期（包括產品研發、生產、使用、維保和報廢）保證電子/電氣系統的功能安全提供了相應的安全保證措施。

從整車功能安全性角度出發，ISO 26262使用V-Model來管理功能安全。首先通過對功能相關項的危害分析、風險評估、確定汽車安全完整性等級（ASIL），進而確定安全目標。為達成安全目標，需要將功能相關項細分為電子/電氣系統、系統組件、元器件等層級，并為每個層級制定相應的功能安全概念和技術安全概念。最后，通過評審、驗證等手段對相關項安全性是否達成和有效進行評價。

需要注意的是，ISO 26262功能安全認證分為功能安全流程認證和功能安全產品認證兩種認證，在汽車行業的開發流程中，需要先有流程做支撐，才能根據流程做出能達到流程標準的產品。因此，想要研發出能夠通過ISO 26262認證的產品，首先必須通過ISO 26262功能安全流程認證。

功能安全流程認證專注于功能安全管理體系，產品必須按照通過認證的流程開發，可有效避免產品的系統性失效，提升產品質量，是針對流程的認證。

功能安全產品認證則更加重視考察產品自身的安全架構設計，安全特性與安全覆蓋范圍，對系統整體進行危害分析與風險評估，要求安全機制滿足相應功能安全等級要求（ASIL），同時需要額外增加自我診斷及其他功能。

只有經過這兩個環節的驗證才能算全面通過ISO 26262的功能安全認證。通過流程認證已經非常不容易，而通過產品認證，其復雜度，需要投入的人力、資金、時間成本更是成倍增加。

ASIL（汽車安全完整性等級）是由 ISO 26262 -道路車輛功能安全標準定義的一種風險分類方案。工程師需要根據嚴重程度（司機和旅客傷害分類）、暴露程度（汽車接觸危險的次數）和可控性（司機可以避免傷害的程度）這三個特定變量來衡量汽車上的每個電子元件的風險。這些變量被分解為子類，并進行分析結合，最終確定ASIL等級。ASIL等級從低到高分為A/B/C/D四個等級，等級越高對安全性的要求越高，對開發流程和技術的要求也越嚴格。每個級別都有相應的準則，只有達到所有準則的要求，才能通過該級別的鑒定。

想要成功通過ISO 26262認證，這要求芯片廠商要有足夠豐富的成功生產車規芯片的經驗，從芯片設計之初，就需要以相應標準為目標進行設計，包括芯片全生命周期的功能安全要求，涵蓋安全需求的規劃、設計、實施、集成、驗證、確認和配置等。只有這樣，才能保障在認證時滿足所有標準和要求。對于國內汽車芯片創業公司來說，獲得認證也是衡量團隊是否具備車規基因和行業積淀的重要標志。只有擁有豐富的經驗和深厚的技術積累，才能在競爭激烈的市場中立足。

2023年9月，由國際獨立第三方檢測、檢驗和認證機構德國萊茵TüV集團（簡稱“TüV萊茵”）主辦的“第三屆功能安全及網絡安全技術峰會”在上海召開。峰會期間，TüV萊茵舉行了頒證儀式，為多家企業頒發了功能安全與網絡安全認證證書。其中，國內汽車芯片公司芯馳科技旗下E3系列MCU獲頒ISO 26262 ASIL D功能安全產品認證。

這是萊茵在國內為MCU芯片頒發的首個ISO 26262 ASIL D功能安全產品認證，也是國產MCU在車規認證上的重要突破。值得一提的是，有別于將芯片中負責安全相關處理的“功能安全島”認證到ASILD，芯馳MCU獲得的是“全芯片”的ASIL D認證，實現了MCU全芯片的功能安全。

3. ASIL D最高功能安全認證是如何煉成的？

芯馳在成立之初就率先取得了ISO 26262 ASIL D功能安全流程認證以及AEC-Q100 Grade2產品可靠性認證，為功能安全產品認證打下基礎。在此次萊茵安全峰會上，芯馳的功能安全經理魏斌在現場分享了ASIL D芯片產品的開發實踐。

在這里，首先要引入兩個名詞解釋，PPA和TTM。PPA是芯片開發者們背負的終極KPI,也就是Performance(性能)、Power(功耗)、Area(尺寸)三者的縮寫。TTM是（Time To Marketing）產品上市周期。對芯片開發來說，PPA和TTM至關重要，如何把握功能安全、PPA和TTM三者之間的平衡，是ASIL D芯片開發的一大重點。

對此，魏斌提到了一個關鍵詞：“precisely right（恰到好處）”。一是，根據具體應用來恰當好處的識別安全需求；二是，恰到好處的設計安全機制。

對于安全機制的設計，芯馳提出了基于V-model的 DFMEA。Design FMEA也就是DFMEA，是一種常用的質量工具，功能安全是利用了這個工具來做安全分析。而芯馳提出的基于V-model的 DFMEA是一種更嚴格、全面的分析驗證機制，通過基于傳統FMEA在不同層級的應用來實現安全機制的準確設計，在安全架構設計階段、SoC設計和IP設計階段都進行安全分析，并用分析結果來指導故障注入測試。對于芯片設計企業來說，車規級芯片開發驗證本就花費大、周期長。而這種機制又需要投入大量時間、精力，足以讓大多數芯片設計公司望而止步，無法做到徹底地貫徹執行。

以芯馳E3 MCU為例，在其應用場景中，單個功能的實現會涉及芯片內的諸多模塊，任何一種芯片節點的失效，都會導致整個功能安全能力的喪失。因此，整個安全鏈路上所有的模塊都必須達到和芯片同等級的安全等級，全部按照ASIL D來開發的，以滿足芯片的一致性和功能安全。從研發立項，到E3 MCU取得ASIL D功能安全產品認證，芯馳一共花了三年的時間，可以說是為本土車芯廠商樹立了行業標桿。

值得一提的是，為了支持客戶實現系統級的功能安全，除了芯片產品的功能安全認證之外，與芯片相配套的軟件功能安全測試庫，以及用于支持應用AUTOSAR的MCAL，芯馳也同樣做到了滿足功能安全，正在推進這些軟件層面的相關功能安全認證。

結語：

一顆汽車芯片從設計流片、車規認證、車型導入驗證、到量產裝車，通常需要3-5年的時間。而只有最終大規模落地量產，實現盈利，企業才能真正地活下來。這整個周期，就像是一場殘酷的軍備競賽。而這一切的基礎，是車規認證帶來的安全保障。汽車芯片企業只有建立起車規理念及文化，堅持產品的持續改進、持續認證，才能以車芯助力更安全可靠、更有競爭力的汽車產品，帶來中國汽車半導體行業的真正突破。

審核編輯：黃飛