追求汽车电子产品的可靠性

确保汽车电子产品的可靠性是整个半导体供应链都需要关注的问题，目前存在哪些问题呢，比如数据不足、明确标准缺乏以及专业水平不一致等等。

可靠的功能安全，如在恶劣环境中使用18至20年，或者在出租车或卡车上可以持续使用，是一项艰巨的任务，它需要在人工智能、激光雷达、雷达和车对车通信等领域都取得技术上的进步。此外，还需要管理一个由初创公司、没有汽车经验的芯片制造商以及在先进电子方面经验不足的汽车供应商组成全球供应链。

因此，没有人确切知道7nmAI系统的可靠性怎样，或者在发生故障时，如何有效地将故障转移到另一个系统。事实上，没有人知道在测试过程中应该问什么问题。供应链上下所有供应商之间的沟通必须是清晰和开放的，但有些供应商为了保护其知识产权而保留重要数据，汽车制造商就只能自己寻找数据、发现问题。

卡内基梅隆大学的菲利普库普曼和Edge Case Research的迈克尔瓦格纳在2018年的SAE世界大会上发表的一篇论文中写道：“目前，还没有公认的技术策略来验证这些车辆的非常规软件方面的安全性。情况似乎都是这样的，一旦开发团队认为他们的车辆准备好了，许多HAV（高度自动化车辆）就会被部署，然后他们就观察公共道路上的情况，然而即使试点部署产生可接受的低事故率，仍然存在这样一个问题：有限规模的部署是否能够准确预测更大规模部署的安全性以及未来的软件更新带来的问题。”

由于政府对自动驾驶汽车监管不足，消费者只能接受因新兴自动驾驶汽车(AV)行业的激烈竞争带来的各种问题。但是，如果这些行业失败了，他们也将损失惨重。然而，经济威胁加上持续发展的ISO26262标准，似乎为这个不太乐观的局面带来了些许希望。ISO26262要求在采购和制造的各个环节都要跟踪所有材料和零部件，这为供应商之间的安全行为和合作文化奠定了基础。事后对故障的诊断看起来像是一项航空调查。几乎可以毫不夸张地说，测试和跟踪过程对于安全关键系统来说尤其昂贵，而可靠性和高质量仍然是非安全关键系统的重要卖点，比如信息娱乐。

在高级节点盲目飞行

唯一真正了解高级节点寿命和可靠性的方法是向后看。Delta Microelectronics销售和营销副总裁Gert Jørgensen表示：“高级节点的最大问题是，您需要为压力筛选测试获得可靠的数据，而在高级节点投产一段时间之前，您还没有这些数据。您可以使用老方法来模拟寿命，但是在时间过去之前，您实际上不知道这个模型是否正确。这些工具的存在是因为您将旧的模型强加于新的技术，但是您实际上不知道在时间过去之前它是否有用。”

对零件可靠性的信心随着时间的推移而增强。“当你有很多年的时间来调试你的流程时，你自然会有更高的可靠性，”KLA-Tencor战略合作高级总监Jay Rathert说。“但是当你把7nm和10nm的部分放进去时，这些工艺仍然有很多工作要做，仍然存在许多尚未调试的系统缺陷和集成挑战。”

大多数汽车芯片不是在高级节点上开发的。但是那些需要巨大的计算能力来做出瞬间的安全关键决策的，比如人工智能，将需要最高的可用密度，这就产生了可靠性问题，这些问题在高级节点中被忽略了，因为使用这些工艺开发的大多数芯片都用于消费设备或受控环境中。

西门子Mentor公司Tessent产品组高级市场总监Brady Benware说：“通常，较新的制造工艺会生产出更多的有缺陷的零件，而不是成熟的老工艺技术。在汽车应用中使用最新工艺技术存在两个关键挑战，这种更高的缺陷密度意味着制造后测试必须达到更高的缺陷覆盖率，才能达到相同的质量水平。传统的使用抽象逻辑故障模型来生成检测缺陷的测试序列的方法已经不够了。使用先进的工艺节点实现复杂集成电路的汽车级质量水平，需要测试模式生成知道缺陷在物理上是如何和在何处显现的，并且必须知道这些缺陷在模拟意义上的行为，而不仅仅是数字意义上的行为。”

Benware能看到单元内更多的缺陷。“在采用finFET工艺技术之前，常见的情况是在逻辑单元中发现大约50-50个缺陷和互连线中的缺陷。随着finFET的引入，与互连层相比，制造晶体管和相关逻辑单元的过程复杂度增长不成比例。随着越来越奇特的晶体管技术的引入，这种差异有望持续到5nm、3nm及以下。既然汽车集成电路将利用这些高级节点，那么必须做更多的工作来专门测试单元内的缺陷。”

所有汽车电子产品，尤其是安全关键部件和系统，在制造过程中和制造后都要经过严格的测试。其目标是剔除那些质量不佳的芯片，那些会很早失效的芯片。

Jørgensen说：“每个设备都将会经历加速的生命周期，然后你这样做128小时，整整一周，”“你测试这些装置，把它们放进烤箱，加速生命消耗，一周后取出，然后你大概模拟了一年的时间。接下来，你把这些设备放在车里或者车内的模块里，它们应该持续20年。通过这样做，你就可以摆脱所谓的婴儿死亡或儿童病设备。”

第二步进一步测试。Jørgensen说：“然后你还有这批产品的另一部分，这是你放在同一个房间里的总生产批次里的很大一部分，但是它会在那里停留1000个小时。它有很多1000个组件，然后你加速使用寿命，然后你会看这些1000个组件是否能持续三个月，相当于大约1000小时。这将产生20年的模拟寿命。所以，我们有1000台设备正在通过这一点，你可以得出结论，其余的设备也会这样做。所以这就是你如何对汽车零部件进行质量保证，这就是为什么它们如此昂贵的原因。在你把它们放进车里之前，你有很多质量保证门要通过。”

可靠性的一个问题是它与成本成正比。在汽车安全关键部件和系统的设计中，在供应链的上下，每个供应商都有更多的步骤要做，这会增加更多的测试时间并需要更多的测试，这反过来又会增加成本。虽然正在制定战略以同时进行更多测试，但成本仍在不断上升。

“毫无疑问，更多的注意力集中在制造和测试的早期阶段，”Astronics高级经理AnilBhalla说。“汽车测试是最复杂和最昂贵的，现在每个人都在努力提高他们的技术，并找出如何削减成本。汽车是由大量数据驱动的，这是非常小心和有条理的，它发生在很宽的温度范围内。但是测试流中也有很多冗余，重点是在正确的插入点上找到正确的覆盖范围。由于汽车行业首次获得了越来越多的前沿零部件，这一点变得更加困难。我们在汽车行业看到7nm的零部件，如果你看看半导体行业的增长情况，汽车行业是最大的细分市场之一。”

解决这个问题有两种不同的方法。一种方法是利用系统级测试，这种方法成本更高，但允许在实际系统环境中进行测试。目前还不清楚系统级测试是否会实际增加总成本，因为温度通常需要三个不同的插入点，而系统级测试可能只有一个插入点。另一种方法是首先关注成本，找出哪些是测试所必需的，哪些是不必要的。

“问题是你不能两者兼得，因为有太多的移动件，”Bhalla说。“在消费类设备中，您可以每六个月更换一次部件。但在汽车行业，他们谈论的是零缺陷和万亿分之一的零件。这必须与谁能负担得起这一点保持平衡。”

图2：ISO26262故障参考，资料来源：Arteris IP

并非所有的错误都是相同的，而且并非所有的错误都是可预测的。ISO26262识别出系统性故障，即我们可以发现、预测和修复的故障，以及属于“事情会发生”这一类的随机故障。

Delta汽车公司的Jørgensen说：“汽车制造商正在记录所有的故障，看它是周期性故障还是随机故障。当然，你有快速的报告系统。当我们发现一个故障时，我们需要确定它是否对其他人有影响，这是否是一个随机的故障。”

因此，有质量度量和处理方法，以及需要存储什么数据的程序，所有的东西都会记录和登记，保存15到20年，但即使这样也不够。

Mentor的Benware说：“虽然许多可靠性故障可以通过监测内置自检性能的细微变化来预测，但我认为预测故障永远不会100%准确。许多可靠性故障在发生之前没有任何迹象。只要不能达到100%的准确度，故障缓解将优先于故障预测。”

一个大而复杂的供应链

为了使汽车系统可靠和安全，整个汽车供应链现在必须融入安全文化，可靠性需要大家共同努力。

“无论我们走到哪里，我们都能听到零缺陷，”KLA的Rathert说。“在过去的两年里，我们已经调整了我们的工具、人员、方法、合作伙伴，以帮助实现这一目标。”

这是其中一个难题，另一个是难题是如何准确地了解谁在供应链中扮演什么角色。

“你肯定看到了五年前不可能看到的玩家，”KLA-Tencor营销高级总监Rob Cappel说，有人设计自己的芯片，谷歌、苹果、亚马逊，这可能不仅仅适用于汽车，他们在研究人工智能，五年前我们所知道的生态系统正在改变，对于汽车行业，从大公司到半导体工厂，整个行业的生态系统都认为质量和可靠性是关键。”

同时，这些供应链关系变得越来越复杂，ArterisIP营销副总裁KurtShuler在一篇关于ISO 26262的论文中解释道，“如今，为实现自主驱动应用而制造或设计芯片的传统半导体供应商有时会与一级电子系统设计师和原始设备制造商竞争，他们可能正在制造自己的芯片或向其半导体供应商合作伙伴提供明确的要求。此外，Uber、Waymo和Apple等新进入者正在设计自己的完整系统，尽管他们在汽车行业相对缺乏经验。ISO26262要求在整个价值链中进行高水平的协作和信息共享，这可能是新进入者不熟悉的。”

图03.汽车供应链，资料来源：Arteris IP

ISO 26262标准是可以反映问题，整个供应链还有一些距离需要去达到。协作是关键，现在，沟通是汽车安全关键供应链上下安全标准的一部分，这也是体现在标准之内的。

供应商和汽车原始设备制造商必须共享供应商的皇冠珠宝知识产权。Shuler说：“半导体和软件供应链的参与者通常对他们的IP是如何开发的以及它如何工作的细节保密。”供应商应记住，“您的客户仍有义务确认您是否符合ISO 26262。”

这也给利用IP的公司带来了一些有趣的挑战，因为IP特性可能会有很大的差异。“如果你想在市场上竞争，你需要比以前更好地利用知识产权，”Cliosoft营销副总裁Ranjit Adhikary说。“这就是为什么你听到很多汽车公司谈论IP管理的原因。但您还希望确保从事IP工作的人不会看到其他IP。”

IP的价值随着它在实际应用中硅的认证和测试而上升。Synopsys公司DDRPhys高级产品营销经理格雷厄姆·艾伦（Graham Allen）表示：“对于我们作为进入这些市场的IP供应商，我们还通过了这些应用的IP汽车资格认证。”因此，当厂商购买汽车级IP时，他们知道他们将获得IP，一旦他们获得芯片的汽车级认证，他们的IP就不会在这方面给他们带来任何问题。

汽车制造商也为自己检验和验证零部件。福特汽车公司（Ford MotorCo.）高级可靠性工程师基思?霍奇森（KeithHodgson）说：“我们实际上将每个人的设计分开，并将它们重新组合在一起。我们经历了最糟糕的电路分析过程，在这个过程中，我们实际上帮助他们根据我们的实际汽车客户使的用情况和任务概况进行重新设计。”

福特想从集成电路设计师和制造商那里得到的数据是，对于99％的客户而言，使用最坏温度和冲击，芯片实际上能够正常运行多长时间。“然后让[集成电路制造商]与我们共享数据，这样我们就可以估计出最坏情况下，客户会持续多长时间，然后尝试在失败之前采取措施减轻这种情况。”

失败在某种程度上是不可避免的，但是如何应对它会带来各种各样的选择。“在福特，我们假设零件会发生故障，因此我们试图通过预测来缓解故障——这是一种预测方法，我们希望集成电路制造商帮助我们了解退化模型，以便我们将其构建到运行芯片的软件中，并对我们认为有用的寿命进行估计。那么，自动驾驶就很容易了，只需让车辆自行驾驶回家，以及更换处于故障边缘的模块即可”

汽车制造商正在向芯片行业寻求有关退化模型的详细数据，其中大部分尚未存在。

DFR Solutions首席执行官兼执行合伙人克雷格?希尔曼（Craig Hillman）表示：“半导体公司的人让我们有点疯狂的一件事是，他们在这些较小的工艺节点上使用非常复杂的工具来预测晶体管的可靠性。”但是当他们的用户询问可靠性时，他们会说它只有0.70v并且设备的故障率恒定为77，没有故障。

DFR并不孤单。弗劳恩霍夫自适应系统工程部的部门设计方法负责人Roland Jancke说：“我们正在与一些德国汽车制造商进行谈判，他们基本上有相同的问题。他们无法从这项技术中获得足够的信息。如果您考虑的是最新的技术——10、12、7nm——那么问题是它们无法获得足够的信息。”

在过去，供应链使用瀑布模型，在那里，原始设备制造商会给一级供应商一个规格，然后他们会决定让哪个二级供应商参与，依此类推至三级和四级。

“这种模式已经不起作用了，”Jancke说。“这太慢了，而且没有提供足够的信息。这是一条相当长的线——某种价值链，还有一些信息没有在整个价值链上传递。因此，当汽车制造商将某些技术应用到他们的汽车中时，他们并没有完全了解他们所得到的东西。我们从众多的原始设备制造商那里得知，他们正开始打破这一价值链。他们开始直接联系技术供应商和代工厂，因为他们想知道这项技术的真正能力，尤其是在先进技术方面。他们想知道代工厂在测试什么，他们正在做什么，以确保这项技术能持续20年或满足任何别的要求。”

他指出，代工厂对此特别感兴趣，因为它提供了双向信息流。“一家汽车制造商告诉我的是，它们不能穿透一级。他们只传递最少必要的信息，而不是所有的信息。原因是原始设备制造商和一级供应商之间存在业务关系。这是有法律原因的。他们不泄露所有信息有很多原因，但从原始设备制造商到技术供应商再到代工厂，没有直接的法律联系。因此，他们可以在业务级别上交谈，但不能在技术级别上交谈。代工厂之所以感兴趣，是因为他们想知道原始设备制造商对这些芯片的真正用途。芯片的应用条件是什么？“

其他可靠性问题

汽车供应链的深度和远度不仅仅是芯片和IP。它还包括最初用来制造芯片的材料，以及制造过程完成后留下的材料。

“可靠性始于供应源和与供应商的接触，”布鲁尔科学公司（Brewer Science）首席执行官特里?布鲁尔（Terry Brewer）表示。“他们必须带来一定水平的质量和容量。因此，您需要了解来源、他们与供应商的关系以及供应商的期望。在过去，我们从未与供应商有过直接的关系。现在我们做了，因为你必须在材料上运行数百个测试。我们从头开始建造新材料，所以我们需要监视器和预监视器。如果我们不这么做，就没有机会获得我们需要的可靠性。如果你看的不仅仅是摩尔，那么材料就是可靠性的同义词，而且分析更加复杂。”

Brewer说，在先进节点和电子元件比以前多的系统中，公差正在缩小，客户要求比过去更低的缺陷率。“十亿分之五可能存在，但对于万亿分之五，我们甚至不确定它是否存在于现实中。我们已经从牛顿转移到量子，不仅仅是芯片，还有系统集成，这既是机遇也是挑战。”

其中一些可以在系统中传播。“有了一个系统，你就可以修改可靠性，”他说，“这样你就可以降低分辨率，同时还能从计算机中获得同样的性能。”因此，如果你向芯片制造商供货，他们可能需要每万亿分之一缺陷的零件。如果您提供给系统供应商，他们可以更轻松地使用较低的数字。”

所有这些都对汽车电子产品的可靠性有很大影响，但它也首先提出了一些关于可靠性的有趣问题。

应用材料公司副总裁桑杰·纳塔拉詹（sanjay natarajan）表示：“关键问题在于，你是否能让它更可靠，以及你是否能容忍它不那么可靠。什么时候不够可靠？在这里，你谈论的是数字设备的高可靠性。如果每两年你没有更多的晶体管和更高的功率效率，这一切都会破裂。如果你没有，你就被卡住了。所以你真正谈论的是，在更小、环境更差的情况下，如何使它们更可靠。这就有很大的挑战。然后，假设我们采用一种更具大脑灵感的方法。然后你就不能再隐藏数字背后的变化，这就是我们今天所做的。今天我们所有的晶体管都有变化，但这种变化都小于时钟速度。所以晶体管A可能切换得很快，晶体管B可能切换得很慢，但是只要它们在一个时钟周期内完成切换，就没有人注意到这种变化。数字世界隐藏了这种变化。现在，如果你想进行模拟，它更节能。但是你必须控制好变化。我们正在研究的部分内容是，因为您不能隐藏变化，现在您必须消除或最小化变化。这就是一些集成材料解决方案发挥作用的地方。”

有两个问题正在引起汽车方面的可靠性问题。一个是电子设备中的软错误。另一种是更经典的故障类型。

“对于软错误，我们面临的挑战是如何隔离或重新启动芯片的一部分，”ArterisIP营销副总裁KurtShuler表示。“对于瞬态IP，您希望关闭部分互连、刷新数据、隔离数据、关闭数据、重新启动并同步备份。对于永久性错误，您希望隔离它，但不要重新启动它。您要确保可以使用降级或紧急模式进入商店。“

Shuler指出，目前，在老化和可靠性方面，封装问题比硅引起的问题更多。（这些是标准的塑料或陶瓷包装，而不是先进的包装方法。）

消费者想要什么

汽车的可靠性意味着用户可以依赖于他们工作时，要求没有任何性能问题和维修的需要。随着时间的推移，车辆不按广告要求工作或完全不工作的频率会让用户感觉到运输工具的整体可靠性。

国家仪器公司（NationalInstruments）汽车营销主管 Jeff Phillips表示：“对汽车驾驶算法的假设存在很大差异。”“有些人想要一个平稳的旅程。其他人则专注于100%的安全性。算法本身需要做出很多决策，独立于供应链。在所有这些方面，可靠性将是一个区别。”

“如果你买了一辆车，你通常会通过品牌亲和力和对汽车可靠性的感知，”National Instruments首席产品营销经理David Hall说。“问题是，电气化的可靠性是未知的。一辆雪佛兰伏特或特斯拉汽车没有10年的数据价值。还有另一个方面，即服务级别（Uber、Lyft等），这将更多地取决于用户体验和服务可靠性，而不是汽车本身。”

Hall指出，在传感器融合装置上运行的代码也会随着时间的推移而改变。

“芯片级的可靠性也存在问题，”他说。“大多数问题都是电气方面的，他们使用的部件不是为汽车设计的。今天发生的很多事情是人们为一个场景而设计，而不是为汽车设计零件。随着行业标准化ISO26262，所有汽车车型的ADAS都将发生变化。这将加速一切并帮助我们在硬件上实现完全自治，但我们在软件开发过程中也需要这一点。这发生在韩国这样的地方，任何时候发生事故，他们都会填写一个标准表格，用于更改传感器融合算法，这在亚洲是强制性的，不过，在美国，汽车制造商不必共享数据。”

总结

总的来说，汽车可靠性正在提高。J.D.Power发现三年前车型的可靠性上升了9％（2015年的车型，2017年末测量）。不到三年的时间可能是对汽车普遍可靠性进行初步评估的好时机，但20年和安全系统零缺陷是汽车的预期状态。总的来说，现在每100辆车平均有142个问题（PP100）。研究中最可靠的车辆达到99至100。（PP100,指每100台车辆的问题点数，分值越低表示可靠性越高。）

据J.D.Powers报道，“车内技术仍然是最有问题的，”音频/通信/娱乐/导航（ACEN）对于车主来说仍是一个麻烦的类别，收到的投诉频率最高。两个最常见的问题与内置语音识别（9.3pp100）和内置蓝牙连接（7.7pp100）有关。”

虽然这对汽车工业来说是个好消息，但还有很长的路要走。

本文编译自semiengineering