零部件半导体材料

ISO 26262当前，车载芯片不能不“功能安全”

第一电动大牛作者 NE时代 2020-08-06 16:30

“2006年至2016年间，综合来看在所有汽车市场中，平均每辆车的电子控制单元（ECU）数量从28个增加到了38个。目前，高端汽车一般配备超过100个独立的控制单元，小型车辆也配备了30到50个。”（博世语）

“大众的计划是将过去70个ECU变成3-5个高性能的行车电脑和安全相关功能ECU的进化。”（大众语）

从Tier1和车企透露的数据来看，汽车在智能化过程中，ADAS使组成车载零部件的半导体数量急剧增加，自动驾驶和整车OTA要求企业缩减ECU数量，同时优化性能，使之能够承载大量数据的处理。

这些ECU分布在动力管理系统、底盘控制系统、制动系统、座舱、车身模块等各种与驾乘安全、舒适相关的系统中。

在此背景下，ISO 26262及其涵盖的系统风险等级评估标准ASIL等级应运而生，成为一个行业标准，力求实现汽车电子电气系统的安全设计。

不强制，但必需

ISO 26262是汽车的电气/电子相关的功能安全标准，该标准制定于2011年11月，并且在2018年又发布了第二版，追加了半导体指南内容。

该标准的对象涵盖从车辆的构思到系统、ECU(电子控制单元)、嵌入式软件、元器件开发及相关的生产、维护、报废等整个车辆开发生命周期。

ISO 26262认证分为开发流程的标准和产品性能标准。开发流程标准是以之前IATF 16949为基础，引入像账票类、可追溯类的管理这些内容。产品性能标准就是符合ASIL所要求的安全等级，追加自诊断等功能。

由此可见，ISO 26262是汽车电子元器件稳定性优劣的评判依据之一，通过等级要求代表其产品引入有效的改善办法，确保可容忍范围的安全。

获得ISO 26262认证有两种方式，通过第三方认证机构获得认证或自我认证。

第三方认证机构通常为TÜV Rheinland、TÜV SUD、SGS TÜV等为代表。他们对于半导体企业是否已确立了符合ISO 26262标准的流程进行审查和认证。

通过第三方认证机构的审查后，企业可取得认证，推进符合功能安全的车载产品的开发。

自我认证，是企业按照ISO2626标准执行，但需要向客户提供证明其遵行标准。此时相对于通过第三方认证机构建立符合标准的流程，自我认证可能需要耗费更多的工作量来证明。

据了解，半导体厂商罗姆（ROHM）就是基于此考虑，经过两年半的流程构建，在2018年3月通过德国第三方认证机构TÜV Rheinland获得了ISO 26262的流程认证。

罗姆半导体（上海）有限公司技术中心副总经理李春华解释称：“ISO 26262标准不是法律，不遵守ISO 26262标准并不违法。但是，汽车制造商不会购买不符合标准的产品。汽车制造商通过根据ISO 26262设计电气/电子系统来证明能够确保汽车的安全。”

虽不强制，但是必需。所以从上到下的Tier2、Tier1和车企对半导体都会有一项“通过功能安全标准 ISO 26262 ASIL等级”的要求。

成本与安全的平衡

ASIL分为四个等级，分别为A、B、C、D，其中A是最低等级，D是最高等级。ASIL等级越高，对安全性要求越高，为实现安全付出的成本越高。

ASIL等级根据不同用途定义危险度而定。比如等级高的AISL D多是面向事关生命的系统，比如自动驾驶、EPS。如天窗、仪表盘等应用的芯片安全等级一般在ASIL A或B。

李春华在接受NE时代专访时指出：“ASIL等级是通过定义产品的故障发生频率、故障可控性而定。”

但是从ASIL A到D，研发成本指数级上升。要达到ASIL D等级的要求，产品的成本可能就会向上增加很多。企业该如何在成本和安全等级之间取得一个平衡呢？

李春华对NE时代表示：“在现有的方案当中，比如电源系统，它本身能实现功能，但是对于产品功能要提升ASIL等级，如果在现有电源上去推翻，让芯片厂商重新开发一个对应的产品，对于开发时长、成本来说都比较贵。此时半导体企业可以提供一些电源辅助类的产品（如电源监控IC），在芯片里增加具有功能安全包括自我诊断的功能。通过加上罗姆的电源监控芯片就可以去帮助提升电源的方案，就是对于OEM、Tier1这块有效的去节省开发周期、开发成本，来达到实现同样功能等级的一些产品。”

在车载级元器件方面，罗姆面向功能安全开发的解决方案主要包括“针对ECU电源电路的解决方案“及“针对液晶面板的解决方案”。