2020年10月20日-22日，由國家市場監(jiān)督管理總局缺陷產(chǎn)品管理中心、浙江清華長三角研究院、中國汽車工程研究院股份有限公司、重慶市合川區(qū)人民政府聯(lián)合主辦的第三屆中國汽車安全與召回技術(shù)論壇在重慶隆重召開。本屆論壇以“智能新能源汽車全產(chǎn)業(yè)鏈安全與技術(shù)創(chuàng)新”為主題，匯聚120家政府機(jī)構(gòu)、事業(yè)單位、科研院所以及整車和零部件企業(yè)等行業(yè)翹楚權(quán)威論道。其中，在10月21日舉辦的“智能汽車產(chǎn)業(yè)鏈安全與技術(shù)創(chuàng)新”專題論壇上，國家新能源汽車技術(shù)創(chuàng)新中心芯片測試總師雷黎麗發(fā)表了核心為《車規(guī)級芯片可靠性保證》的精彩演講。以下內(nèi)容為現(xiàn)場演講實(shí)錄：

國家新能源汽車技術(shù)創(chuàng)新中心芯片測試總師 雷黎麗

非常高興和車企的這些行業(yè)專家分享對于器件級電子元件的安全焦點(diǎn)問題的思考，它的正式名字叫做“車規(guī)級半導(dǎo)體集成電路”，有些概念是不同的，我們想這一次跟車企和同行們做一次澄清，還有基于此概念基礎(chǔ)上的可靠性和安全性都在哪里？我們在很多系統(tǒng)的安全性和可靠性系統(tǒng)中抽取容易被大家忽略，而恰好又是非常黑盒的地方。這也是目前國創(chuàng)中心致力于研究的方向，這一塊恰好也是我們和國際上先進(jìn)半導(dǎo)體器件廠家和設(shè)計(jì)廠家有差距的地方。顯性化的地方我們還是容易追趕的，而這些黑盒的地方我們首先得打開它，所以我對這個(gè)題目做這樣的解釋，從三個(gè)方面跟大家分享：

第一，車聯(lián)網(wǎng)半導(dǎo)體集成電路的主要特點(diǎn)。實(shí)際上車規(guī)級半導(dǎo)體集成電路，上面還有一層車用半導(dǎo)體器件，而車用半導(dǎo)體器件有三大類，三大類當(dāng)中在車上用的比較多是下面這兩類，一類是分立器件，分別是二極管、晶體管、晶閘管、半導(dǎo)體元件和其他五大器件。集成電路是我們經(jīng)常講的ECU，甚至我們經(jīng)常講MCU，這部分是有計(jì)算能力的和處理能力的，它和分立器件是不同的兩類電路。這兩類在車輛上應(yīng)用最多，其中傳感器分為車載和車身，車載ADAS分成超聲波雷達(dá)、激光雷達(dá)、毫米波雷達(dá)、攝像頭，它是承載了眼睛、耳朵感知系統(tǒng)得來的，它的穩(wěn)定性決定了后面一切。IGBT統(tǒng)稱為新能源汽車功率器件。電源器件現(xiàn)在發(fā)展前景主要是三代半導(dǎo)體遷移，前幾天在淄博舉行的新材料技術(shù)論壇，實(shí)際上有一部分就是三代半導(dǎo)體遷移，有可能國產(chǎn)芯片會(huì)在這層上做拐點(diǎn)，就是彎道可以超車部分，今天我們不分享這一塊，主要分享是材料方面。

這次主要分享的是集成電路這部分。車規(guī)級半導(dǎo)體集成電路的特點(diǎn)是什么？我們看看它的模型，它承載了N個(gè)功能，這個(gè)功能集合通過激勵(lì)，對芯片形成性能集合。這個(gè)性能集合主要是三項(xiàng)：準(zhǔn)確、準(zhǔn)時(shí)和低功耗。對于一個(gè)芯片需要有這方面的能力，但是要組合，當(dāng)我們設(shè)計(jì)出來的時(shí)候，或者剛制造出第一個(gè)芯片的時(shí)候，我們需要滿足T等于0這個(gè)條件，但是它的功能本身體現(xiàn)在什么地方？一個(gè)是多核，在一個(gè)芯片上完全實(shí)現(xiàn)的低速和高速的多接口。高算力、大容量、高傳輸速率、射頻信號等等。要同時(shí)在一個(gè)芯片當(dāng)中把所有電路完成，對集成能力、復(fù)雜度和工藝平臺穩(wěn)定性的要求非常高，這是一個(gè)本質(zhì)上的要求。這些提升會(huì)導(dǎo)致后續(xù)在設(shè)計(jì)難度上和工藝平臺穩(wěn)定性上很難兼容，會(huì)造成下降。它會(huì)組合成什么？芯片出來以后首先需要有高可靠性，而高可靠性體現(xiàn)在15年20萬里程，得到這個(gè)比較準(zhǔn)確的指標(biāo)。其次是高安全性；還有就是高適應(yīng)性、耐久性，工作溫度要在負(fù)40度到150度，這個(gè)要求非常高，要挑戰(zhàn)硅基材料機(jī)理。最后是高保密性，需要的是零信息泄露。這個(gè)要求非常難，在實(shí)現(xiàn)多維度、高功能的情況下，還要求有多維度的功能要求，就使得設(shè)計(jì)難度更加大了。

這些就是導(dǎo)致我們國產(chǎn)芯片非常困難的原因，不是生產(chǎn)不出來，主要是我們有很多約束?，F(xiàn)在還沒有加入成本因素和小面積因素，使得我們難以形成產(chǎn)業(yè)化使用，并不是說設(shè)計(jì)不出來，是在很多維約束條件下，我們無法適合產(chǎn)業(yè)化。

我國車用半導(dǎo)體集成電路的現(xiàn)狀是什么？第一我國自主生產(chǎn)的半導(dǎo)體集成電路基本上沒有批量生產(chǎn)，比如批量廠家會(huì)選擇國外芯片，尤其是EE系統(tǒng)。車規(guī)級這三個(gè)字怎么定義？業(yè)界沒有很統(tǒng)一定義。另外，目前沒有第三方認(rèn)證平臺支撐，國產(chǎn)想做好，想上車的這條通道都沒有，所以更多采用非常成熟的國外芯片。最后就是集成電路這一塊如何將照片導(dǎo)入ISO26262這件事，也需要進(jìn)行最佳實(shí)踐。第二，安全性焦點(diǎn)問題。在眾多問題情況下提煉出來的可能沒有被大家認(rèn)識到。事實(shí)上安全性首先是基于集合，功能方面在運(yùn)行上是集合，其中出現(xiàn)故障狀態(tài)的話，可能是可靠性的問題，故障狀態(tài)下還出現(xiàn)了危險(xiǎn)狀態(tài)，這個(gè)就是安全性問題。所以安全性焦點(diǎn)問題首先是高可靠性保障能力，目前這塊其實(shí)非常弱，因?yàn)榛A(chǔ)本身就弱。安全性更多表現(xiàn)在哪里？這個(gè)沒有更多考慮到功能安全應(yīng)用假設(shè)充分性保證。

下面看一下高可靠性保證能力，這些是我們提煉出來的。第一要使用更高制造工藝平臺，比如40納米平臺，在做車規(guī)級芯片的時(shí)候是非常有利的，面積也小，集成度也高，但是它的問題在于沒有被ISO26262認(rèn)證過，如果用上了，有不穩(wěn)定性、也有不確定性。第二做可靠性試驗(yàn)還是做很多認(rèn)證類試驗(yàn)，往往我們對測試覆蓋性這一塊沒有太多的界定，就是說這個(gè)測試實(shí)際上來講，芯片廠自己聲稱測試覆蓋率是多少，而這個(gè)測試覆蓋率遠(yuǎn)遠(yuǎn)達(dá)不到車規(guī)級10的負(fù)6次方。。安全性前提是確保可靠性被評估過或者已經(jīng)確定過的，如果沒有這些前提來談安全性，其實(shí)有隱患在里面。最后一個(gè)還表現(xiàn)在固有可靠性的評估，在功能安全的認(rèn)證過程當(dāng)中是通過計(jì)算得出的，計(jì)算值和實(shí)際差異沒有進(jìn)行論證，我們只是查表，我們做企業(yè)的清楚是查表過來的，但是真的是這樣的嗎？不一定。

我們看下這張圖，說明了ISO26262之間的可靠關(guān)系，一個(gè)芯片，電子類通常期望固有率缺陷比較少，失效率曲線越低越好。ISO26262功能安全是假設(shè)安全具有可靠性已經(jīng)沒有了，在這種情況下來對產(chǎn)品或者芯片處于固有可靠性或者叫隨機(jī)可靠性情況，它的失效比例情況下來看其安全，這就是他們之間的邏輯關(guān)系。我們現(xiàn)在大多數(shù)不提可靠性測試，希望可測性設(shè)計(jì)無論如何要達(dá)到至少是零缺陷設(shè)計(jì)，同時(shí)達(dá)到百萬分之三到四的概率才可以。我們看一下現(xiàn)在是這樣的嗎？不是的，現(xiàn)在國內(nèi)芯片企業(yè)沒有達(dá)到這一點(diǎn)，為什么？因?yàn)闇y試覆蓋性和良率之間有比較強(qiáng)的相關(guān)性。測試覆蓋率達(dá)到99.99%測試覆蓋性，其實(shí)它的良率，如果說我的DFT是200，你的良率是10%，這就是我們目前的現(xiàn)狀，有可能廠家是比較高的，但是也不會(huì)太高，這個(gè)還是有賴于我們設(shè)計(jì)優(yōu)化能力本身，并不是它做不出來，但是它的良率很低，你要測試性很高良率會(huì)更高，這也是矛盾點(diǎn)。

如果知道測試可靠性不是特別高的情況下，那能不能預(yù)測出來可能是多少？可以的，這個(gè)是能夠評估出來的，通過正向設(shè)計(jì)可以評估出來。評估出來有一個(gè)最大的問題是什么？可靠性能力不確定情況下安全機(jī)制接管是沒有的，也就是說可靠性做可靠性的，功能安全做功能安全的。FMEDA計(jì)算與實(shí)際差異，安全機(jī)制接管之間的無縫銜接，目前我們在做這樣一個(gè)機(jī)制的建立。

功能安全中功能識別充分性和正確傳遞能力。實(shí)際上這個(gè)大家可能在功能安全審核當(dāng)中遇到，就是說危害和風(fēng)險(xiǎn)評估安全目標(biāo)實(shí)際上依賴于我們所提供的假設(shè)，就是說假設(shè)針對哪些事故場景來做功能安全，但是這些場景本身具有集合嗎？各說各話是不行的，我們也走訪了很多廠家，這方面是構(gòu)成對物理世界認(rèn)知的問題，還有事故場景描述的問題，它是否是集合的，通過整車傳遞到芯片層，這個(gè)是不是要有相應(yīng)制度管理？還有一個(gè)在相同功能級別下實(shí)際安全功能保障率不同。

第三，目前對這幾個(gè)焦點(diǎn)問題的解決思路。高可靠性保證能力，零缺陷OFT設(shè)計(jì)必須深入到每一個(gè)設(shè)計(jì)當(dāng)中。DFT覆蓋率測評，要延伸到IP提供方。測試方法不止是一次、兩次、三次甚至是N次，要根據(jù)電路模式的不同，根據(jù)不同的測試運(yùn)力去進(jìn)行測試。將可靠性階段拐點(diǎn)提前，因?yàn)楹Y選得不夠徹底，導(dǎo)致功能安全本身就存在漏洞。這些漏洞必須輸入到FMEA和FTA流程當(dāng)中去，作為一個(gè)可控性的要素進(jìn)行風(fēng)險(xiǎn)分析，形成參與風(fēng)險(xiǎn)，參與風(fēng)險(xiǎn)一定要交由安全機(jī)制接管理，如果不接管，功能安全就無從談起，這方面我們正在進(jìn)行正向設(shè)計(jì)測評機(jī)制和測評方法論。

剛才講到?jīng)]有產(chǎn)品，沒有車規(guī)級產(chǎn)品體系，沒有測試體系，我們現(xiàn)在致力于建立垂直系統(tǒng)，垂直系統(tǒng)什么概念？就是從器件級到子系統(tǒng)級，再到整車的垂直系統(tǒng)，它的可靠性測評，目前我們已經(jīng)開始法團(tuán)標(biāo)，估計(jì)明年可以對外。另外以芯片為中心的產(chǎn)品標(biāo)準(zhǔn)體系，目前汽車價(jià)值鏈還沒有圍繞芯片為中心構(gòu)建，我們要做好準(zhǔn)備?，F(xiàn)在很多情況下先選擇測試端進(jìn)行標(biāo)準(zhǔn)體系建立，這是比較容易的。測試標(biāo)準(zhǔn)不斷豐富的同時(shí)，要不斷豐富迭代前端產(chǎn)品。要讓我們回答什么問題？要回答說，這個(gè)芯片可以上車，而不是告訴你這個(gè)芯片不能上車。我們希望可以形成迭代關(guān)系，最終形成產(chǎn)品定義的指標(biāo)集合。這些目前是由國創(chuàng)中心立足行業(yè)當(dāng)中比較難的命題，但是解決思路上來講基本上已經(jīng)進(jìn)入建立的過程，已經(jīng)申請到國家資金來開展這方面的工作，進(jìn)展還比較順利。

這張圖就想說我們產(chǎn)品標(biāo)準(zhǔn)從何而來，芯片標(biāo)準(zhǔn)體系建立可以從以下幾個(gè)維度來講。這個(gè)模型是功能剖面基礎(chǔ)意義架構(gòu)下的環(huán)境模型，因?yàn)樵谖磥?，我們首先提供的就是可靠性類?biāo)準(zhǔn)，所以一定要研究功能剖面和環(huán)境剖面。在這種情況下我們把最基本的EE架構(gòu)模型放在這里，這四類芯片都會(huì)涉及到它的測試標(biāo)準(zhǔn)，相關(guān)的環(huán)境運(yùn)力，相關(guān)的測試方法和測試條件，當(dāng)然還會(huì)附帶測試什么條目，測試什么運(yùn)力，尤其不同功能芯片測試的集合的完整性?；谶@個(gè)模型也構(gòu)建了我們的測試標(biāo)準(zhǔn)體系，這個(gè)標(biāo)準(zhǔn)體系在一些協(xié)會(huì)和學(xué)會(huì)上已經(jīng)得到認(rèn)可，然后進(jìn)行相應(yīng)的標(biāo)準(zhǔn)建立。

對于第二點(diǎn)提出的問題是功能識別的充分性。第一個(gè)方面是結(jié)構(gòu)化定義外部世界、氣候環(huán)境、道路參與者和場景。結(jié)構(gòu)化定義實(shí)際上就是場景庫的概念，但是場景庫本身應(yīng)該是多維的，尤其是對于功能安全認(rèn)證來講，它不僅僅是單一的場景本身，應(yīng)該有道路參與者，尤其要定義氣候環(huán)境和整個(gè)外部環(huán)境，成為庫以后可以發(fā)布并成為一項(xiàng)行業(yè)資源，只有統(tǒng)一這樣的行業(yè)資源，再去分解整車的這些功能才有依據(jù)，集合才是完整的。不斷搜集、結(jié)構(gòu)化定義這些場景，然后輸送到最前端的行業(yè)中去，這個(gè)事情是非常有意義的。這是第一點(diǎn)，我覺得集合的完整性需要國家的整體機(jī)制來保證。

第三就是很基礎(chǔ)的工作，為什么我們對功能結(jié)構(gòu)化定義，構(gòu)建可便利失效模式的，功能描述標(biāo)準(zhǔn)語法，這樣探究性就不全，因此還是應(yīng)該把本身劃定，這個(gè)邏輯就成立了。如果場景都不優(yōu)化，后續(xù)FMEA就是模糊的，國內(nèi)外企業(yè)基礎(chǔ)的差距就在這個(gè)地方。功能辦法是可以語法化的，語法化的話結(jié)構(gòu)就可以定義了。第三點(diǎn)是在遍歷的基礎(chǔ)上，確?！翱商綔y性”覆蓋率以及“未探測“的安全機(jī)制接管。第四點(diǎn)是垂直系統(tǒng)，以芯片為中心，將垂直系統(tǒng)合理要求，輸入到芯片需求端，確?？蓽y試性。如果想探測，在前面設(shè)計(jì)電路的時(shí)候必須把測試電路設(shè)計(jì)出來，往往這種設(shè)計(jì)測試電路是超越了它原有可測試性設(shè)計(jì)本身電路，要增加它的物理面積，增加設(shè)計(jì)的代價(jià)，但是這個(gè)對于車規(guī)級芯片來講是值得的，它必須按照這樣的思維去做設(shè)計(jì)。這也是我們區(qū)別于國外芯片的地方，如果我們沒有這樣的開始，我們就不會(huì)走向優(yōu)化，不走向優(yōu)化就不會(huì)帶來產(chǎn)業(yè)利潤效益，所以總得有一個(gè)從零的開始。

下面這張圖就說了從芯片的晶圓級到整車。最后我說一下，未來智能車來了以后最大挑戰(zhàn)不是控制器芯片，最大挑戰(zhàn)來自于傳感器類芯片，它的射頻、測試性，其實(shí)測試的技術(shù)無法覆蓋。未來我們在傳感類芯片、射頻芯片以及高算力的芯片方面可能會(huì)產(chǎn)生很大的問題。

我就分享到這里，謝謝大家！

（注：本文根據(jù)現(xiàn)場速記整理，未經(jīng)演講嘉賓審閱，請勿轉(zhuǎn)載）