满大街“车规级”的套路：符合、达到、满足、遵从……

【编者按】当下汽车承载的不仅是单一交通工具的使用功能，而是集娱乐、智能、生活为一体。可是当你开着汽车，听着环绕式音响劲爆的音乐，看着超大显示屏的视频播放，听着智能的语音导航，你有想过，你的汽车真的安全吗？在汽车行业，所有在车规上的含糊其辞都是耍流氓，所有在安全标准上打擦边球的行为都是谋财害命。

文章首发于高工智能汽车，作者高工头条；由亿欧汽车编辑，供行业人士参考。

---

什么是Automotive Grade（也就是我们常说的车规级）？就是始终如一的可靠性。

当汽车引擎启动的那一刻开始，它必须在炎热的夏日和寒冷的冬夜工作。你的手机的使用寿命是2到4年，但你的汽车需要使用十年以上。

此外，所有的汽车零部件都必须抵御大范围温度波动的能力。当消费电子设备(如智能手机)受到超出其有限耐受范围的温度时，它可能会发出错误信息，或者干脆关机。

这是车规级系统不能容忍的。因此，汽车工程师需要保障从仪表集群、导航屏幕，到高级驾驶员辅助系统和自动驾驶传感器、芯片等一切零部件符合苛刻的要求。

这就是为什么我们的汽车解决方案（硬件）的额定运行温度为-40到105摄氏度，甚至要到125摄氏度。

耐温性只是我们对汽车系统进行规范和测试的关键因素之一，我们对汽车系统的规范和测试比消费者级的同类产品要严格得多。

比如，安全功能件必须要有一条经过ISO 26262 ASIL认证的专用生产线（当然，你还需要有一个基本的IATF16949），消除制造过程中人为错误的可能性。采用任何不符合最高要求的产品，都是在放大驾驶安全的风险。

车规，浑水摸鱼者有之

近年来，越来越多的传感器、芯片等新的汽车电子产品导入到汽车行业，车规级也开始变得乱象丛生。

满足、符合、达到……满大街的初创公司在车规级三个字之前加上眼花缭乱的定语，当然还有在车规级三个字后面加上“量产”两个字，这又是说不清道不明的“赤裸裸”PR。

符合，在汉语词典中的释义是：与存在的式样、形式或标准一致。满足，释义是：指对某一事物“感到”已经足够，注意这是一种主观的判断。达到，释义是：多指抽象事物或程度，如达得到/达不到，同样也是一种主观判断。

换句话说，符合才是“正品”，那些号称满足、达到的字眼都是自己的“臆想”，还有一些微妙的叫法：比如，遵从车规级设计。实际上这里面就存在非常多的猫腻。

当然，不管你怎么PR，产品最后都要送到“战场”去检验（比如，经常会碰到很多供应商，拍胸脯说“自己的产品过车规没问题”）。

目前，车规级汽车电子比较相关的就是AEQ质量标准。

AEC-Q100是一种基于封装集成电路应力测试的失效机制。汽车电子委员会(AEC)总部设在美国，最初由三大汽车制造商（克莱斯勒、福特和通用汽车）建立，目的是建立共同的零部件资格和质量体系标准。

在1992年夏天的一次JEDEC会议上产生了建立AEC的想法。提出了共同资格规范的想法，作为改善这种情况的一种可能方法。在随后的JEDEC会议上，确定共同合格规范的想法是可行的，不久之后就开始了Q100(集成电路压力测试合格)的工作。

目前，AEC-Q100主要用于集成电路，离散部件为AEC -Q101，无源部件为AEC- Q200。

其中，AEC-Q100分为5个等级，最基本的划分标准是温度范围。其中，0级最高（-40°C to +150°C），1级为-40°C to +125°C，2级为-40°C to +105°C（也就是比较常见的），最低级是4级（0°C to +70°C）。0级主要是引擎盖下的最恶劣的环境条件，1级和2级用于汽车的其他地方。

除了AEQ，另外一个需要遵循的规范就是国际标准化组织（ISO）在2011年制定的ISO 26262，主要用于功能安全件，比如ADAS相关的传感器和系统。

汽车安全完整性等级(ASIL)就是由ISO 26262 -道路车辆功能安全标准定义的一种风险分类方案。这是对IEC 61508中用于汽车工业的安全完整性级别的调整。

这种分类有助于定义符合ISO 26262标准所必需的安全要求。ASIL是通过对潜在危险进行风险分析，通过观察车辆运行场景的严重性、暴露程度和可控性来建立的。该危害的安全目标也符合ASIL的要求。

ASIL A、ASIL B、ASIL C、ASIL D是四个等级，其中ASIL D对产品的完整性要求最高，ASIL A最低。

ASILs是通过进行危害分析和风险评估而建立的。对于汽车中的每一个电子元件，工程师都要测量三个特定的变量：严重程度(司机及乘客受伤的类别)、暴露(车辆暴露于危险中的频率)、可控性(司机能做多少来防止受伤)，这些变量都被分解为子类。

严重程度分为四类，从“无伤”(S0)到“致命/致命伤害”(S3)。暴露有五个类，涵盖了“非常不可能”(E0)和“非常可能”(E4)。可控性分为四类，从“一般可控”(C0)到“不可控”(C3)。

对所有变量和子分类进行分析和组合，以确定所需的ASIL。

比如，安全气囊、防抱死刹车和动力转向系统等系统要求ASIL-D级——用于安全保障的最高严密性——因为与它们的故障相关的风险最高。在另一端，像尾灯这样的部件只需要ASIL-A等级。头灯和刹车灯一般是ASIL-B，而巡航控制一般是ASIL-C。

考虑到确定ASIL危害等级所涉及的猜测工作，汽车工程师协会(SAE)在2015年起草了J2980，“ISO 26262 ASIL危害等级的考虑因素”。这些指南为评估特定危害的暴露程度、严重性和可控性提供了更明确的指导。

ISO 26262已经成为汽车开发过程中功能性安全的指导标准。但近年来，随着ADAS及自动驾驶技术的快速导入，这一标准的瓶颈也开始出现。

J2980还在继续发展——SAE在2018年发布了一个修订版。随着自动驾驶汽车的发展，ISO 26262将需要重新定义“可控性”，这一定义目前属于人类驾驶员。

按照目前的标准，没有人工驾驶意味着可控性将永远是C3，即“无法控制”的极限。“其他变量的严重程度(伤害)和暴露(可能性)无疑也需要重新检查。

今年3月，国际标准化组织还更新了ISO 26262:2018。在这一版本中，新增了半导体在汽车功能安全环境中的设计和使用指南。

汽车上第一次使用芯片（单片机）是为了控制发动机。它被称为ECU，或发动机控制单元。1968年，第一辆ECU出现在大众汽车上，执行一项特定的功能：EFI(电子燃油喷射)。

到今天，汽车上已经有超过50个ECU专门用于监视或控制从动力系统到车载娱乐、主动安全和通信系统的一切。接下来，除了分布式网络和集中域控制架构，更多的芯片（比过去的ECU更为复杂）还会出现在新车上。

ISO 26262:2018第11部分全面概述了半导体产品开发中的功能安全相关项目。它包括半导体元件及其发展和可能的划分的一般描述。包括关于硬件故障、错误和故障模式的部分。它还涉及知识产权(IP)，特别是与ISO 26262相关的具有一个或多个安全要求的知识产权。

不过，第11部分仅仅是描述了一个功能安全框架，以帮助开发与安全相关的E/E系统。此框架用于将功能性安全活动集成到特定于公司的开发框架中。

安全、可靠应该贯彻始终

然而，今天，越来越多的新的汽车电子产品的可靠性问题引发了整个供应链的混乱，并发现了一系列问题，这些问题缺乏足够的数据、缺乏明确定义的标准和不一致的专业水平。

比如，大多数汽车芯片不是在高级节点上开发的。但是那些需要大量计算能力才能在瞬间做出安全关键决策的技术，比如人工智能，将需要最高的可用密度。

这就产生了可靠性问题，而这些问题在高级节点中很大程度上被忽略了，因为使用这些流程开发的大多数芯片过去都用于消费类电子或受控环境。

同时，较新的制造工艺通常会比已有成熟的较老工艺技术生产出更多有缺陷的零部件。这种更高的缺陷密度意味着制造后测试必须达到更高的缺陷覆盖率才能达到相同的质量水平。

传统的使用抽象逻辑故障模型生成检测缺陷的测试序列的方法已经不再充分。为使用高级过程节点的复杂集成电路实现自动化级别的质量水平，需要测试模式生成知道缺陷如何以及在何处物理地显现，并且必须知道这些缺陷在模拟意义上的行为，而不仅仅是数字意义上的行为。

比如，在采用finFET工艺之前，逻辑单元内部和互连线内部的缺陷对半分割的现象很常见。随着finFET的引入，与互连层相比，制造晶体管和相关逻辑单元的工艺复杂度不成比例地增长。随着越来越多的晶体管技术的引入，这种差异预计将持续到5nm、3nm及以下。

但所有的汽车电子产品，特别是安全关键部件和系统，现在都要在生产过程中和生产后进行严格的测试。

可靠性的另一个问题是与成本成正比。在汽车安全关键部件和系统的设计中，供应链上下的每个供应商都有更多的步骤要做，这就增加了更多的测试时间，从而提高了成本。

众所周知，汽车零部件测试是最复杂、最昂贵的。现在每个人都在想办法削减成本，但汽车行业是非常谨慎和有条理的。

解决这个问题有两种不同的方法。一种是利用系统级测试，这种测试比较昂贵，但是允许在实际系统的上下文中进行测试。不过，目前还不清楚系统级测试是否会实际增加总体成本，因为温度通常需要三个不同的插入点，而系统级测试可能只需要一个插入点。

另一种方法是先关注成本，然后找出哪些测试是必要的，哪些测试是不必要的。

此外，并不是所有的错误都是一样的，也不是所有的错误都是可以预测的。ISO 26262识别系统故障，系统故障是我们可以发现、预测和修复的故障，而随机故障则属于“发生的事情”。

为了使汽车系统可靠和安全，整个汽车供应链现在必须融入一种安全文化，可靠性是根本，尽管没有100%可靠。

同时，汽车供应链关系正变得越来越复杂。比如，一方面传统半导体供应商，需要开始和OEM制造商开始深入交流，而过去这些交流停留在Tier1层面；

另一方面，传统半导体供应商可能还要与Tier1或者OEM竞争，后者可能会自己制造芯片，或向半导体供应商合作伙伴提供明确的要求。

此外，还包括涌入汽车行业的数以千计的初创公司，它们在汽车行业相对缺乏经验。而ISO 26262要求在整个价值链中进行高水平的协作和信息共享，这可能是新进入者所不熟悉的。

在过去，供应链使用瀑布模型，OEM将向一级供应商提供一个规范，然后他们将决定涉及哪个二级供应商，以此类推，直到第3级和第4级。

现在，这样的流程对汽车制造商来说，已经太慢了，而且没有足够的信息沟通。许多汽车制造商正开始打破这一传统价值链。他们开始直接联系原始技术供应商（过去可能是Tier2甚至是Tier3），因为他们想知道这项技术真正能做什么，尤其是在前沿技术方面。

他们也想知道这些过去不直接对接的间接供应商在测试什么，以确保产品的生命周期能持续10年以上。

而这些Tier2甚至是Tier3之所以感兴趣，是因为他们也想知道最终用户—OEM—到底在用这些产品做什么，应该在什么应用条件下工作?

整个汽车产业，变的是技术、不变的是对安全可靠的严格标准。而对于那些到处喊“车规级”的初创公司来说，坑蒙挂骗并不适用于汽车行业，相反这恰恰是汽车行业的“高准入门槛”。

---

2019年，我国新能源汽车补贴大幅退坡，燃油车企借增值税下调实行降价。在燃油车统治市场百余年后，新能源汽车产业厚积薄发的时刻何时到来？

6月14日，在亿欧公司于上海虹桥世贸展馆举办“2019全球新经济年会”上，亿欧汽车将承办作为本届年会重要组成部分的新能源汽车产业峰会。在本届峰会上，我们将与来自主流整车厂、核心三电系统供应商、头部充换电服务企业等新能源汽车产业上下游的顶级大咖共讨“后补贴时代下，新能源汽车产业变革与创新机遇”。

嘉宾及议程：https://www.iyiou.com/a/xnyqc_shanghai_2019/

本文已标注来源和出处，版权归原作者所有，如有侵权，请联系我们。