为何要过“ISO 26262”? 揭秘芯片“上车”的准入法则

随着电动化、智能化、网联化的发展，汽车电气化程度在快速提升，电子电气系统越来越集成和复杂，其安全性的要求就尤为突显。针对不同领域的车规标准有力保证了汽车应用的高可靠性和高安全性，成了汽车供应链产品的入门门票。

在半导体领域，除了AEC-Q汽车电子元器件可靠性检测标准以外，通过严苛的功能安全标准ISO 26262 ASIL 认证已成了时下汽车供应链厂商们的准入规则。最近，地平线征程5芯片成功通过德国SGS-TÜV的ISO 26262 ASIL-B功能安全产品认证，系统应用满足汽车行业最高安全级别ASIL-D要求，成为中国首颗基于ISO 26262功能安全流程开发的车规级AI芯片。

严苛的“ISO 26262”认证已成“上车”准则

汽车上的电子电气组件和软件规模呈指数级增长，汽车的失效已从传统的机械损坏演变成了电子电气的失效和软件BUG，同时电子电气的失效和软件BUG又可能会导致汽车控制发生致命性的错误，从而危及驾驶员和乘客的生命安全。为了解决这一问题，更严苛的汽车功能安全标准ISO 26262便应运而生了。

ISO 26262是汽车的电子电气相关的“功能安全”标准，该标准于2011年11月正式发布，2018年推出了第二版，追加了半导体指南，对产品所使用的半导体元器件的具体安全机制增加了新的规定。

ISO 26262是一套复杂的认证体系，主要有两方面，一是生产流程认证；二是产品功能认证，要求安全机制符合ASIL各等级认证，从低到高，ASIL可分为4个等级：A、B、C、D，主要根据对人身安全的重要性划分。ASIL等级决定了对系统安全性的要求，ASIL等级越高，对系统的安全性要求越高，为实现安全付出的代价越高，意味着硬件的诊断覆盖率越高，开发流程越严格，相应的开发成本增加、开发周期延长，技术要求更严格。

和其他规范标准不同的是，ISO 26262标准是预先计算出汽车电控方面的故障风险，并把降低该风险的机制作为功能的一部分预先植入系统中，从而实现“功能安全”的标准化开发工艺。ISO 26262标准的对象涵盖从车辆的构思到系统、处理/控制芯片、嵌入式软件、元器件开发及相关的生产、维护、报废等整个车辆开发生命周期。例如，针对集成电路的质量可靠性标准AEC-Q100可以看作是ISO 26262的一个基础，ISO 26262 ASIL会将AEC-Q100作为硬件可靠性的一个质量指标，同时在AEC-Q100基础上进行额外的功能安全开发。

ISO 26262标准最初是由欧洲整车厂推动成立，目前美国、日本、韩国、中国都在陆续跟进这一标准。当前国际主流OEM如宝马、奔驰、通用、大众等，国内主流OEM如长城、上汽、吉利、比亚迪等都已对重要控制系统进行功能安全开发要求，并将供应商的功能安全开发能力和产品功能安全能力作为供应链准入的准则之一。

通俗地讲，虽然ISO 26262不是全球强制性标准，但它已获得汽车界的广泛认可，成为汽车供应链厂商的准入门票。没有通过ISO 26262认证的产品或厂商，OEM、Tier1将不得不将其拒之门外。

国产芯片亟需跨越车规认证门槛

自去年底开始的汽车芯片荒，一直持续到现在。虽然有分析机构认为今年第三季度汽车芯片缺货状况会有所缓减，但宝马、福特等汽车大厂的最新消息显示，本月及下个月工厂停工减产仍在继续。

汽车芯片全球大缺货为国产替代带来难得的机遇，但统计数据显示，目前国内汽车芯片的自给率还不到10%。相比消费电子，车规级的严苛要求将众多国产半导体厂商挡在了门外，例如AEC Q、ISO 26262、ISO/TS 16949等都是针对汽车领域的不同认证标准。

车规级芯片自给率严重不足的问题已引发管理部门、汽车厂商、半导体厂商的广泛关注。今年两会期间，多位委员提出“提高车规级芯片的国产化率，增强国内汽车供应链的自主可控能力”的建议，而要让整车和零部件厂商“愿意用、敢于用、主动用”，国产芯片首先要在性能上满足他们的需求，通过车规级认证是关键的一步。

以汽车中最常用的MCU为例，国内MCU厂商接近百家，但真正能在汽车电子领域实现有效国产替代的企业还很有限。而在汽车动力总成、自动驾驶等核心应用领域，推出车规级产品的国内厂商更是寥寥无几。

可喜的是，面对时下汽车缺芯与国产替代带来的机遇窗口，国产半导体厂商纷纷加大车规级产品的推进力度。最近，芯旺微、比亚迪半导体、兆易创新、云途半导体等厂商宣布推出AEC Q100认证的车规级MCU新产品。AI芯片供应商地平线宣布其征程5芯片已通过德国SGS-TÜV的ISO 26262 ASIL-B Ready功能安全产品认证。

从流程安全到产品安全，征程5是如何通过ISO 26262认证的？

据悉，功能安全产品设计开发的常规完整流程分三步：功能安全体系内部建设——功能安全流程认证——功能安全产品认证，从这一点也可以看出ISO 26262标准的复杂与严苛所在。其中，功能安全流程认证专注于功能安全管理体系，产品按照通过认证的流程开发，可有效避免产品的系统性失效，提升产品质量；而功能安全产品认证则更注重考察产品本身的安全架构设计、安全特性及安全覆盖范围，芯片产品功能安全认证确认了产品的随机硬件失效已满足相应功能安全等级要求 。

作为汽车AI芯片供应商，地平线极为重视安全问题，具有完备的安全团队能力，始终将安全作为芯片研发设计的首位。早在多年前，地平线就开始按照车规认证要求进行研发生产的部署，着手准备车规级认证工作。

去年9月，地平线完成ISO 26262功能安全ASIL-D流程认证，标志着地平线已按照 ISO 26262:2018 标准要求，建立起完善的符合汽车功能安全最高等级ASIL-D级的产品开发流程体系，至此，地平线也成为首个获得ISO 26262功能安全流程认证的中国AI芯片公司。时隔9个月，地平线又完成功能安全产品认证，其征程5芯片产品的功能安全架构和具体设计成功通过ISO 26262 ASIL-B Ready 产品认证。在功能安全管理认证体系的护航下，地平线征程5系列芯片严格按照ISO 26262功能安全开发流程设计研发，单芯片达到ASIL-B级别要求，系统应用满足汽车行业最高安全级别ASIL-D要求，成为国内首颗基于ISO 26262功能安全流程开发的车规级AI芯片。

征程5系列芯片是地平线第三代车规级产品，面向L4高等级自动驾驶。征程5系列单颗芯片AI算力最高可达128 TOPS。基于征程5系列芯片，地平线将推出AI算力高达200～1000 TOPS的系列智能驾驶中央计算机。

地平线上海研发中心总经理吴征表示：“获得 ASIL-B Ready功能安全产品认证标志着地平线征程5芯片的功能安全架构、设计实现及安全覆盖率均达到了全球公认的汽车功能安全标准 ISO 26262 ASIL-B级别的要求，证明了征程5芯片可以为高级自动驾驶应用提供安全保护方案，满足世界一流OEM和Tier1的功能安全开发要求。”

接下来，地平线还会就芯片、软件系统、工具进行功能安全认证，未来将在信息安全、预期功能安全、网络安全等方面继续发力，目标是建立起全公司，覆盖芯片，软件，工具链，质量管理等各个部门的安全体系。

不同于消费电子1-3年即淘汰更新，汽车作为长生命周期的商品，使用年限动辄十多年，又与人身安全密切相关，在对可靠性、安全性的要求标准上可谓无出其右。通过车规级认证是国产半导体产品打入汽车供应链的必备条件。随着国内厂商在车规级认证的推进力度的逐步加码，期待有越来越多如地平线征程5一样通过严苛车规认证的半导体产品上市。