數據顯示，2023年底智能新車已占上市新車的79%，L2及以上的輔助駕駛功能裝載率快速提高，2023年標配L2的新能源汽車銷量占比超50%。隨著車輛的快速電氣化與智能化，疊加近年來芯片國產化的大潮，芯片的“車規(guī)級”及“功能安全”便成為了行業(yè)關注的焦點。

凡是今年去參加了上海慕尼黑電子展的小伙伴們都會有一個深刻的感受，那就是鋪天蓋地的國產車規(guī)級器件，我放幾張照片大家感受一下：

2024年慕尼黑電子展（圖片來源：左成鋼）

通過上面的四張照片我們能夠看到，國產器件涵蓋了分立半導體、被動器件、集成芯片等常見的三大類常用器件，器件供應商也把器件通過了AEC-Q認證的信息放在了顯著的位置，來表明器件已經滿足了車載應用的條件。整體來看，國產車規(guī)級器件正在以極快的速度覆蓋車載應用的所有領域，這種勢頭非常好。   

但與此同時，行業(yè)內也有一些負面的信息，有些OEM被曝出來采用非車規(guī)級的器件上車，有些Tier 2也在用一些模糊不清的說法將自家的非車規(guī)器件包裝成車規(guī)級。比如下面這種，在座艙上采用了工規(guī)甚至消費級芯片。

座艙的非車規(guī)方案（圖片來源：網絡）

下面這個通信模組稍好一些，至少主芯片采用的是車規(guī)級，然后就通過IATF 16949、PPAP、APQP這些專業(yè)名詞來混淆視聽了，這種車規(guī)級就是假車規(guī)級，因為真車規(guī)級的模組，是要求通過AEC-Q104標準的。

某通信模組的特性介紹（來源：模組Datasheet）

那么實際上AEC標準對模組是怎么要求的呢？AEC-Q104是專門為Multichip Modules (MCM)多芯片模組制定的標準，標準適用于那些設計出來是可以直接焊接在PCB (Printed Circuit Board) 印刷電路板上的MCM，比如LED模組、通信模組等，但目前還不包括大家熟知的IGBT和Power MOSFET模組。  

MCM模組舉例（圖片來源：左成鋼《廣義車規(guī)級電子可靠性》）

標準中給出了建議——可以使用MCM中相應器件的AEC-Q100、AEC-Q101、或AEC-Q200認證原始數據去簡化AEC-Q104認證。也就是說，不管你用到了哪些器件，在你把這些器件封裝起來之前，最好已經通過了相應的AEC-Q100、 AEC-Q101、或AEC-Q200認證測試。但是如果你真的要說我就是任性，我就“偏不用”，行不行？答案是“也可以”。標準原文是這么寫的：考慮到成本及客戶可能同意你這么干，AEC不要求每個sub-component（子器件）必須通過認證，但是鼓勵MCM制造商采用AEC標準去認證子器件，從而使MCM達到最高的質量水平（promote best MCM quality）。

AEC-Q104標準測試方法（來源：AEC-Q104標準）

也就是說，你可以采用沒有AEC測試等級的器件，但是作為整個MCM來講，必須通過全部的AEC-Q104測試項目。所以對那些聲稱達到 “車規(guī)級”的LTE模組、5G模組、WiFi-BLE模組等，我們要區(qū)分一下看它們有沒有通過AEC-Q104測試。如果僅僅只是核心芯片有AEC-Q100，或聲稱溫度范圍達到了車載應用的最低要求如85度，有個IATF16949或PPAP，然后就敢說自己是 “車規(guī)級”的，大家就要擦亮眼睛。   

從2019年5月份開始， Model S、Model X的中控屏所使用的NAND eMMC Flash在使用時出現失效，它的失效后果不僅將會導致車載顯示器異常，進而導致車輛部分重要的控制功能如空調控制、自動駕駛以及照明控制等都會出現問題，這可能間接導致倒車影像故障、除霜/除霧控制故障和外部轉向燈無法點亮的故障，進而帶來行車安全問題。

特斯拉eMMC召回（來源：網絡）

這次召回的根本原因就是因為特斯拉所采用的8GB eMMC的設計擦寫壽命無法滿足設計要求，在達到累計損耗壽命極限時就可能會導致中央顯示屏軟件功能的故障，而特斯拉的解決方案就是將召回車輛上的eMMC多媒體存儲芯片免費從8GB升級到64GB。按照特斯拉的解釋，所選的eMMC按照3000次計算，整個壽命為5～6年，但因為非預期的過多擦寫（如頻繁的軟件OTA等），導致3000次壽命提前用完，進而引發(fā)了故障。

這件事情其實已經過去好多年了，但是如果我們換個角度來看，就能發(fā)現一些之前從未有人發(fā)現的問題點。在此之前我先普及一個關于存儲器的基本知識：   

非易失性存儲器分類（來源：網絡）

特斯拉使用的eMMC壽命是3000次，類似我們現在常用的固態(tài)硬盤，基本都是TLC，MLC都是極少的，因為便宜，同等條件下存儲量更大，但是壽命就要縮短很多。我們可以通過下面ISSI的一個eMMC的Datasheet看一下：

MCL與SLC的區(qū)別（來源：IS21EF08G Datasheet）

可見SLC模式比起MLC會有更高的耐用性。更低的錯誤率、更高的溫度等級，但是容量只有MLC的一半，也就是說，同等條件下，價格要貴一倍。

我們再去看一下AEC標準對車規(guī)級非易失性存儲器的測試要求。AEC-Q100-005標準：《非易失性存儲程序/擦除耐久性、數據保持及工作壽命的測試》詳細規(guī)定了對車規(guī)級存儲器的測試要求。其中HTDR（高溫數據保持）測試對存儲器的操作壽命要求是12000小時，溫度從90度到150度。了解高溫耐久測試的汽車行業(yè)小伙伴們都了解，高溫耐久測試是汽車行業(yè)常用的一種加速老化測試方式，是一種很好的可以在短時間內測試出產品可靠性及耐久性的試驗方法。   

存儲器測試方法（來源：AEC-Q100-005標準）

根據AEC-Q100-005標準中的計算，高溫90度操作1小時等效于55度下操作42.6小時，而標準要求是在高溫90度下操作6000個小時，這就等效于25萬5600小時，如果按照設計壽命15年計算，相當于每天46.7小時。

壽命測試計算方法（來源：AEC-Q100-005標準）

因為沒有查到datasheet，我不知道特斯拉用的eMMC是不是車規(guī)級的，但通過AEC-Q100-005標準，我認為如果使用車規(guī)級的eMMC，壽命是肯定沒有問題的。

這里我們再順便看一下基于AEC-Q100 Grade 1 的一個車輛任務剖面（Mission Profile），可見車輛以15年壽命計算，每天平均使用時間約1.5小時，所以車規(guī)級的eMMC理論上可以使用的時間是46.7*15/1.5，約等于467年。   

簡化的車輛任務剖面（圖片來源：左成鋼《廣義車規(guī)級電子可靠性》）

首先我認為根本就不存在什么大車規(guī)與小車規(guī)，即使溫度范圍達到了85度，即使有IATF 16949、PPAP、APQP，非車規(guī)就是非車規(guī)，什么大小車規(guī)的，這就是一種混淆視聽，為使用工規(guī)或者消費級器件找的理由，想省錢就是想省錢，不要忽悠不懂真相的消費者，既當又立。

MPS匯總了一張圖片，比較直觀。MPS從環(huán)境溫度、使用壽命、失效率、產品生命周期等四個維度對消費電子和汽車電子進行了對比，其實核心還是就兩點：可靠性和長壽命。

汽車級與消費級及工業(yè)級對比（來源：MPS）   

汽車作為大宗消費品，而且是大部分人一生中最貴的消費品，沒有人希望買一輛車只開3年就要換了，或者壞了以后發(fā)現配件已經停產了。汽車本身作為耐用消費品，技術迭代遠沒有消費級那么快，一個零部件或一顆芯片，都需要持續(xù)生產供貨十年以上，一個車型的生命周期通常在5到8年以上，持續(xù)迭代時間可能長達十幾年甚至幾十年，比如大眾甲殼蟲車型，從1938年推出，一直生產到2019年才徹底停產，中間歷經了三代車型，持續(xù)生產時間超過了80年。

因為車輛的使用壽命極長，所以產業(yè)鏈相關的零部件及元器件的持續(xù)供貨時間也就相應的要比消費級長的多。舉例來講，超過3年的一個手機如果損壞后可能是無法維修的，因為很可能需要更換的那個電子零件已經停產了。消費類電子產品的更新換代時間極快，通常3年時間就差了一代，相應的一些電子元器件無論是新產品或是售后可能都已經不用了，所以消費級電子元器件的持續(xù)供貨時間通常也就在3年左右。

另外就是可靠性。兩者有著相差近萬倍的產品級故障率，同時這個差異也體現在電子元器件層面，消費級和車規(guī)級器件的故障率也相差極大。比如消費級器件通常在幾百個ppm，而車規(guī)級電子元器件要求達到0ppm，也就是通常講的零故障率（Zero Defect），這也體現在了AEC-Q004汽車零缺陷指導原則（Automotive Zero Defects Framework）里面。這里說的零故障率其實并不是到真正做到零，而是說故障率已經可以降到一個很低水平，比如0.1ppm以下。

以下表某車規(guī)級CAN收發(fā)器芯片為例，器件的時基故障值（Failure In Time，FIT）均不大于10，參考乘用車15年總運行時間約為1萬小時，以常見的SOIC封裝為例，FIT值為10，那么這個器件的零時間故障率大概就是在0.1ppm以下，12個月故障率就是7.3ppm，整車生命周期15年的故障率約為109.5ppm。   

CAN收發(fā)器芯片可靠性數據（來源：左成鋼《廣義車規(guī)級電子可靠性》）

最后總結一下，根本就不存在所謂的小車規(guī)，非車規(guī)就是非車規(guī)，即使溫度范圍達到了125度，即使有IATF16949、PPAP、APQP，只要沒有AEC-Q，那就是非車規(guī)。

我們先來看幾篇關于“車規(guī)級”及“功能安全”的文章標題：

從上面這幾個文章標題可以看出來，車規(guī)芯片與功能安全都是大家非常關注的話題，但同時也是一個很容易被混淆的點，筆者希望通過此文講通車規(guī)級與功能安全之間的關系，讓大家深入了解什么是車規(guī)級，什么是功能安全，二者之間有何關聯，又有何區(qū)別。   

車規(guī)級認證和功能安全認證實際上是兩個不同的概念，互不干涉，兩者側重點完全不一樣。狹義的車規(guī)級通常是指通過AEC標準認證測試的電子元器件，廣義的車規(guī)級也可以包括電子零部件。車規(guī)級認證測試僅僅是一種自我宣稱的認證，而非通過第三方認證機構進行的認證。而功能安全認證則是通過第三方認證機構進行的，是一種資格認證。很多人搞不清楚兩者之間的關系與區(qū)別，經常把兩者放到一起來講，說車規(guī)級就必須同時符合AEC-Q認證與ISO 26262功能安全認證，這是不正確的，這樣很容易產生混淆，其實車規(guī)級和功能安全根本就是兩碼事。

車規(guī)級與功能安全認證的關系如下圖所示。

車規(guī)級與功能安全認證（來源：左成鋼《廣義車規(guī)級電子可靠性》）

如上圖所示，車規(guī)級元器件認證依據的是AEC標準，AEC標準及AEC-Q認證在第6章有過詳細介紹。AEC認證測試的對象必須是實物，且僅針對電子元器件（不包括零部件），如集成芯片、分立半導體、被動器件、MEMS器件、MCM模塊等，認證由器件供應商Tier 2來進行認證測試，測試通過后可以宣稱器件符合AEC-Q***認證，這是一種非強制性的自我認證，無需第三方認證機構，也沒有認證證書。而功能安全認證則是指依據ISO 26262功能安全標準（對應的國家標準為GB/T 34590，標準分為1-12，即GB/T 34590.1-2022到GB/T 34590.12-2022，對應的ISO標準為 ISO 26262-1:2018到 ISO 26262-12:2018）進行的認證，功能安全認證的范圍很寬，對象可以是實物，比如元器件，也可以是零部件，或是虛擬的非實體，比如認證一個公司流程（包括研發(fā)及生產），認證一個軟件等。   

AEC標準一共有6個，如下表所示。其中關于集成芯片的標準AEC-Q100是最早制定并發(fā)布的，另外兩個較早的標準分別是關于分立半導體的AEC-Q101和被動器件的AEC-Q200，其余的三個標準都制定較晚，這個從其版本信息里也能看出來，AEC-Q101已經升級到H版本了，而AEC-Q102是A版本，其余兩個才是初版。

AEC-Q100標準及發(fā)布時間（來源：左成鋼《廣義車規(guī)級電子可靠性》）

除標準文件外，AEC還有6個指導性文件，如上表所示。指導性文件的編號從AEC-Q001到Q006，都是關于測試指導及認證要求的，發(fā)布時間最早的是發(fā)布于2010年的《無鉛測試要求》，而最近發(fā)布的《汽車零缺陷指導原則》則是在2020年剛剛發(fā)布的，這也從側面說明了AEC標準是一個鮮活的、一直在持續(xù)更新與迭代的標準。

如果成功完成了根據AEC標準文件需要的測試，并對測試結果按要求進行了存檔，那么將允許供應商聲稱他們的元器件通過了AEC認證（AEC-Q*** Qualified）。需要注意的是，AEC認證是一個由元器件供應商自我對外宣稱的認證，AEC沒有運行任何官方認證機構或授權任何第三方認證機構來進行器件認證測試。 

另外，AEC認證也沒有證書，也就是說不會有任何組織給元器件供應商頒發(fā)“AEC-Q*** Qualified”證書；每個供應商根據AEC標準，自己去做認證測試，認證測試還需要考慮客戶的應用需求；在認證測試通過后，可以將測試數據提交給客戶，由客戶核實測試是否符合AEC標準。總的來說，AEC認證測試是一個自愿性的、非強制性的、自我宣稱式的測試，任何器件在通過測試后，都可以宣稱器件通過了認證；在客戶需要的時候，元器件供應商可以提供測試報告供客戶進行核實。下圖是一個MCU的車規(guī)級認證報告（AEC-Q100G Qualification Report）。

AEC-Q100測試報告（來源：左成鋼《廣義車規(guī)級電子可靠性》）

ISO 26262標準提供了：

1. 汽車生命周期（管理、研發(fā)、生產、運行、服務、報廢）和生命周期中必要的改裝活動。   

2. 決定風險等級的具體風險評估方法（汽車安全完整性等級（Automotive Safety Integrity Level，ASIL）

3. 使用ASIL方法來確定獲得可接受的殘余風險的必要安全要求。

4. 確保獲得足夠的和可接受的安全等級的有效性和確定性措施。

5. 功能安全受開發(fā)過程（包括具體要求、設計、執(zhí)行、集成、驗證、有效性和配置），生產過程和服務流程以及管理流程的影響。

標準針對由安全相關電子電氣系統(tǒng)的故障行為而引起的可能的危害（對人身健康的物理損害或破壞），包括這些系統(tǒng)相互作用而引起的可能的危害。標準不針對與觸電、火災、煙霧、熱、輻射、毒性、易燃性、反應性、腐蝕性、能量釋放等相關的危害和類似的危害，除非危害是直接由安全相關電子電氣系統(tǒng)的故障行為而引起的。另外，標準不針對電子電氣系統(tǒng)的標稱性能，即使這些系統(tǒng)（例如主動和被動安全、制動系統(tǒng)、自適應巡航系統(tǒng)）有專用的功能性能標準。

針對標準的適用范圍，有以下內容需要重點關注一下：

1. 僅適用于道路車輛，不包括特殊用途車輛，如非道路車輛及殘疾人用車。

2. 適用于由電子、電氣（Electronic/Electrical，E/E）和軟件組件組成的系統(tǒng)。簡單來說就是不適用于純機械結構件，比如車玻璃，雖然和安全相關，開著車玻璃突然炸裂了可能就會發(fā)生安全事故，但也不算在功能安全標準范圍內，而是算在《中國乘用車強制性國家標準》的被動安全里。

3. 與安全相關的系統(tǒng)，比如娛樂系統(tǒng)就不算，開車過程中音樂播放功能失效，沒法聽歌了，這就不涉及功能安全。

根據標準對安全的定義，安全是相對于危害而言的，如下圖所示。   

GB/T 34590標準范圍及術語定義（來源：左成鋼《廣義車規(guī)級電子可靠性》）

由標準定義可知：

1. 和安全相關是指，因E/E系統(tǒng)的故障行為而引起的可能的危害（hazards）。

2. 危害（hazard）的定義是：由相關項的功能異常表現而導致的傷害（harm）的潛在來源。

3. 傷害（harm）的定義是：對人身健康的物理損害（injury）或破壞（damage），也就是說只有能夠危害到人身健康，導致人員受傷的功能才可以適用于功能安全標準。

簡單來講就是：功能安全只管因E/E系統(tǒng)的故障可能導致人員傷亡的功能，并且，功能安全一定是基于一個具體的功能而言的。比如車輛的轉向系統(tǒng)，基于一個具體的功能，比如車輛行駛過程中方向盤無法轉動導致轉向失效，這就很具體，因為轉向失效還包含了方向盤在沒有操作的情況下自己轉動的情況，這就要分開來講了。再然后就是安全，比如車停在那里車門自動解鎖打開了，然后車內的物品被偷了，這也是安全，但這是財產安全，是不算在功能安全里面，因為沒有人員受傷。如果是行駛過程中門突然自己打開，人掉下去了，這就是功能安全了，這個需要基于功能再疊加場景進行區(qū)分。

功能安全認證（來源：SGS）

流程認證和產品認證的定義及區(qū)別如下：

1. 流程認證：依照ISO 26262標準中描述的流程來評估被認證公司/企業(yè)的流程體系建設水平。由于不同ASIL等級產品所需要開展的活動不完全相同，所以ASIL等級代表了被認證公司/企業(yè)構建的流程體系對于功能安全產品開發(fā)的支撐程度。

2. 產品認證：依照標準中描述的各環(huán)節(jié)過程（包括輸入、流程、輸出）來評估被認證公司/企業(yè)產品的某一項或幾項功能的功能安全等級，重點是交付物的技術水平和工程化能力。產品認證需要全面完善的開發(fā)過程證據（例如項目的需求輸入、設計分析過程、測試報告等），所以ASIL等級代表了這個產品的功能安全實踐水平。

流程認證和產品認證雖然沒有絕對意義上的前后關系，但是完整的產品認證一般要建立在具備一定的流程水平的基礎上，所以對于沒有相應經驗的公司，認證機構一般都是建議先做流程認證，通過流程認證后，功能安全團隊和流程能力也基本上培養(yǎng)起來了，下一步做產品認證就相對容易些。   

因為流程認證相較于產品認證要求會低一些，工作量也小得多，認證周期也要短得多；即使現有團隊缺乏功能安全相關知識及流程經驗，經過認證機構培訓及輔導，短則半年，多則一年，一般都能通過，取得功能安全流程認證證書。流程認證一般也是基于一個具體的真實項目來開展的（一般是基于一個簡單的產品，不推薦基于太復雜的產品來進行，難度太大），而不是憑空只做流程文檔。當然了，也可以這么做，但一般不會這么做（認證機構也不推薦）。通常來講，流程認證一般是產品認證的第一步，對于沒有經驗的公司，先過流程認證，建立起相應的團隊能力及流程規(guī)范，然后再去做產品認證，循序漸進。

???

對于電子元器件的功能安全認證，一般都是復雜芯片類產品（被動器件和分立半導體器件因復雜度較低，不需要通過認證的途徑來解決功能安全設計問題）。比如MCU，一般作為一個系統(tǒng)設計的核心；或PMIC及系統(tǒng)基礎芯片（System Basis Chip，SBC），作為系統(tǒng)的電源，功能安全設計就很重要。如下圖所示，以TI為例，功能安全芯片主要是MCU、傳感器、電源管理、放大器、電機驅動器等。

????

符合功能安全認證的產品類別舉例（來源：TI）

器件的ASIL級別是獨立于具體的環(huán)境安全要素的。因為器件供應商并不清楚器件的具體應用及功能，所以器件的ASIL級別與具體的產品硬件、系統(tǒng)應用無法直接進行關聯。芯片供應商并沒有辦法給出某個具體硬件設計或應用具體能達到的ASIL級別，而是給了一個芯片能達到的最高級別，最終產品某個具體功能的ASIL級別就取決于Tier 1的設計。

TI對電子元器件的功能安全認證進行了詳細的分級，可以作為一個很好的參考。如下表所示：

TI的產品狀態(tài)分類（來源：左成鋼《廣義車規(guī)級電子可靠性》）

車規(guī)級認證（及AEC-Q認證，基于AEC標準）與功能安全認證（基于ISO 26262標準）從多個維度均存在較大差異，如下表所示。表中從認證范圍、認證方式、認證目的、側重點、交付物、是否強制、認證機構、認證報告、證書有效期等共計9個維度對車規(guī)級認證與功能安全認證進行了對比。  

AEC-Q認證與功能安全認證的區(qū)別（來源：左成鋼《廣義車規(guī)級電子可靠性》）

針對上表的分析對比可以看出：

（1）認證范圍：

• AEC標準認證的范圍僅針對電子元器件，如集成芯片、分立半導體、被動器件、MEMS器件、MCM模塊等，認證由器件供應商Tier 2來進行認證測試。

• ISO 26262標準認證范圍則包括流程（對公司）及產品（實體或非實體）。

（2）認證方式：

• AEC標準認證方式就是測試，測試通過后可在產品手冊上注明符合標準即可。

• ISO 26262標準認證涵蓋了產品的設計、測試、生產等全生命周期，重點在于產品的設計與測試，認證的方式最終是體現在產品設計文檔上，而非僅僅局限于產品測試。

（3）認證目的：

• AEC標準認證的最初目的是為了器件資格通用化，現在基本上算是器件車載應用的一個基本要求。

• ISO 26262標準認證的目的就是證明公司的開發(fā)流程或產品本身的功能安全設計是符合標準的。

（4）側重點

• AEC標準的側重點是器件的可靠性及長期供貨的一致性（主要體現在變更流程要求）。 

• ISO 26262標準的側重點是設計及開發(fā)流程的合規(guī)性（主要通過工具、流程、設計分析及測試文檔）。

（5）交付物

• AEC標準認證測試后，交付物就是測試報告。

• ISO 26262認證后，交付物就是流程文檔及認證證書。

（6）是否強制

• AEC標準和電子零部件測試標準一樣，都是非強制的，但是如果要做車載應用，那么通過這個測試是一個基本要求。

• ISO 26262同樣也是非強制標準，是否需要過認證取決于客戶要求，同時樹立行業(yè)門檻。

（7）認證機構

• AEC標準講的很清楚，沒有專門的認證機構，元器件供應商自己根據標準進行測試即可。

• ISO 26262是由專門的合規(guī)認證機構的，認證必須由機構進行。

（8）認證報告

• AEC-Q是沒有認證報告的，只有測試報告。

• ISO 26262認證通過后，將由合規(guī)認證機構頒發(fā)認證證書。

（9）證書有效期

• AEC-Q測試報告基本是沒有有效期這個概念的，但是只要產品發(fā)生變化，就需要重新進行認證測試。

• ISO 26262證書是有有效期的，一般是3～5年，到期后需要重新審核，且需要一定的審核費用。   

-- END --

聲明：內容源自汽車電子與軟件，文中觀點僅供分享交流，不代表本公眾號立場，如涉及版權等問題，請您告知，將及時處理！