車規芯片為什么要滿足功能安全
隨著當前國內汽車MCU "平替"浪潮的發展，越來越多的國內芯片設計公司正在逐步進軍車規MCU設計領域，希望能夠在汽車進入新能源與智能網聯的大時代背景下取得一席之地。與成熟的工業和消費級MCU市場相比，車規MCU是一個全新的領域，因為新的需求和應用場景的出現，對汽車MCU的要求也大幅提升（這也是為什么將其稱為車規）。
經過上百年的發展，汽車產業形成了非常成熟的設計、研發和制造體系。然而，在這個體系中，龐大而復雜的供應鏈體系讓后來者很難在最初的階段就全面了解汽車產業鏈的整體情況，尤其是對自身所在細分領域產品的定義，很難準確識別需求以及需求背后的原因。
相比于直接面向終端市場的主機廠OEM和知名品牌車企，消費者對一級供應商（Tier1）的了解甚少，而芯片設計公司更處在難以被察覺的上游（Tier2）地位。正因如此，在越來越電子化的汽車產業鏈中，芯片企業承擔了更多的工作，但卻與真實的客戶需求越來越遠。由于對終端應用了解不足，在芯片市場調研和產品規格定義階段，往往會與最終應用產生一定的脫節，導致上市后無法很好地適應應用需求的情況。
筆者現針對汽車安全領域的話題，探討了車規芯片為什么滿足了AEC-Q100這么嚴苛的標準，同時還需要滿足功能安全。
01 車規芯片為什么要滿足功能安全
當前中國的汽車市場正經歷著從功能車到智能車的轉型浪潮。一些整車企業或供應鏈汽車，如華為、小鵬、特斯拉，正在推動汽車智能化水平的快速提升，對傳統汽車形態的定義產生了深遠影響。
通過各種智能化的加持，無論是智能座艙還是自動駕駛，都讓汽車變得更加聰明。例如，小鵬G6的最新發布，XNGP定義了全新的“通勤模式”，讓交通變得更智能，提升了乘員的出行安全性。基本的輔助駕駛功能LCC，可以讓車輛保持到道路標線內居中行駛。同時，當有大型車輛貼近或者切入自車前方時，系統會提示危險并輔助駕駛員適當減速，提高駕駛員的安全感。此外，盡管更高等級的自動駕駛汽車（L3+）目前還沒有真正意義上的量產車問世，但相關法規已經陸續出臺，相信未來可期。
如今，智能網聯汽車的出現，將數字平臺搬到了汽車上，增加了四個輪子，可以控制車輛在路上跑，可以輔助駕駛員開車，這是一項前所未有的變革，為人們提供了巨大的福利。然而，隨之而來的一個問題是，我們所熟悉的數字平臺在工作過程中，難免會出現故障或缺陷。如果這些故障出現在普通的消費電子產品上，可能只會導致功能失效，但對人員本身沒有太大的危害。但對于汽車這種主打安全的汽車來說，出現不可預期的故障可能會導致各種道路事故，嚴重影響駕駛人及乘員的人身安全，產生巨大的社會影響。
以汽車MCU為例，該器件在實現諸如ACC、AEB等車輛ADAS功能時，容易發生故障。如CPU計算指令的錯誤或延遲，直接影響ADAS控制器（ECU)對底盤發出剎車指令的有效性和及時性，在分秒之間，就可能因為未能及時識別MCU故障，可能導致嚴重的整車危害。此外，如果是汽車模塊或者其他駕駛場景下，也會有其他各種的危害事件。
通過上述所述，我們可以看出，對于功能實現至關重要的關鍵器件，例如汽車MCU，其安全性、故障檢測能力和設計能力直接影響到終端用戶的安全。同時，從市場和終端用戶的角度來看，對汽車MCU芯片研發企業提出了更高的要求，即需滿足汽車芯片的功能安全性。
在當下的時代背景下，汽車MCU作為汽車各個系統的關鍵器件，受到了國產替代的重點關注。一些具備研發能力的主機廠開始進軍自研車規MCU芯片領域，同時也有一些主機廠選擇與國內芯片設計公司合作，定制生產他們所需的芯片產品。這既是一個機遇，也是一個巨大的挑戰。為了確保芯片的成功，并最終保證商業上的成功，那些之前沒有涉足該領域的芯片設計企業需要關注其中之一的關鍵特性，即功能安全。
02 功能安全： 降低因為電子器件失效引起的不合理風險
在汽車電子產品應用中，芯片故障可以從兩個宏觀維度進行分類：一是由于汽車芯片設計漏洞或錯誤實現所引入的人為系統性故障，二是由于芯片老化和電子遷移等事件導致的隨機硬件失效故障。為了解決這兩類故障，汽車安全芯片設計企業必須嚴格遵循ISO26262功能安全標準。該標準建立了一整套風險分類體系，并提供了基于汽車安全完整性等級（ASIL）的方法論指導，從流程和技術角度指導如何降低電氣和電子故障所造成的潛在危險。
在芯片設計層面，功能安全是RTL-GDS流程中的一項新指標，在原有的芯片設計流程基礎上，新增了FUSA驗證（如通過FPGA工具執行仿真驗證），fusa分析（如失效模式分析，診斷分析等）及fusa實現（如通過后端插入TMR等安全機制）的內容。
以上每個階段的流程是緊密集成的，通過有效的實施，可以實現以下目標：
1. 實現追溯性和安全要求的合規，降低上游客戶的顧慮
2. 減少開發工作量
3. 提升設計的魯棒性
在具體的故障防護機制設計中，功能安全標準同樣要求滿足一些量化指標，如SPFM、LFM和PMHF。這些指標需要在芯片層級和IP層級均得到遵守并可追溯。
針對系統性失效，通常使用DFMEA方法來識別各種可能的設計失效，并提出相應的設計預防和探測措施，以避免問題芯片的產生。其中，DFMEA的重要作用是通過結構化方法，幫助設計團隊識別和解決實際錯誤或潛在錯誤源頭。
對于隨機硬件失效，結合各種安全分析和DFA分析，能夠全面覆蓋隨機故障，并在芯片設計過程中確定需要增加的安全設計措施。
完整的故障避免（fault avoidance）和故障容忍（fault tolerance）措施，不僅僅限于以上的簡要說明的內容，實際項目開發要遵循完整的流程去執行和落地。
如今，盡管完全無人駕駛的智能網聯汽車尚未實現，但對于輔助駕駛和其他相關應用，我們可以看到車規電子器件對于提升駕駛安全性和舒適性的重要性。車規級功能安全芯片為實現這些功能的安全運行提供了系統保障。因此，確保這些芯片設計符合質量、可靠性和安全性要求，將有助于打造更智能、更安全的汽車。
在推出滿足AEC-Q100標準的車規級汽車MCU芯片后，芯海科技正在繼續進軍車規功能安全MCU領域。在確保產品可靠性的基礎上，芯海科技汽車電子產品線將持續加強汽車電子MCU系列化、產品研發平臺化以及車規功能安全體系的建設。針對智慧座艙、人機交互、車載PD快充、電池管理、車身控制、駕駛安全等應用場景，實現系列化汽車MCU芯片的研發和市場開拓。
