如何打造值得信赖的汽车半导体产品：要求与最佳实践

synupsys··F,EBCARIAD白皮书AlessandraNardi，MouadhAyache，解决方案RainerHadwiger，DaveJohnson，解决方案工程LoueiNefzi，解决方案工程WilhardvonWendorff，半导体EnkeleRama，研究员（德国HeinzWagensonner，StefanSimon，半导体专家高级驾驶辅助系统（ADAS）、高度自动驾驶（HAD）和车载信息娱乐的电子系统复杂性正在呈指数级增长。与此同时，汽车行业正从功能域专用电子控制单元（ECU）转向分区架构，这也带来对高性能计算的迫切需求。此外，纯电动汽车（BEV）所引入的新应用场景也对设计提出了新的挑战，要求我们比以往任何时候更快地提供支持。在德国联邦教育与研究部（BMBF）资助的计的挑战，并确保半导体在质量、功能安全（FuSa）、可靠性和软件安全这四个关键方面的可信半导体是软件定义汽车中的关键差异化因素。随着ADAS和HAD等功能的电子系统变得越来越复杂，对先进片上系统（SoC）功能的需求也随之增长。同时，消费者对于持续更新、出色用户体依然采用45-130nm的主流工艺节点。然而，用于ADAS（约60%的车辆配备）和人工智能（AI）功能（约1%的车辆配备）的更先进单片SoC已经开始采用28nm及以下的工艺技术[1]。深刻变革。据预计，到2035年，这场变革将推动市场收入从730亿美元激增到3180亿美元；而到2026年，汽车半导体成本预计将从平均450美元上升至700美元，同时汽车用8英寸晶圆的出货量也将从1800万片增加至3750万片[1]。这些数据清晰地展示了汽车应用电子产品市场的迅猛增长态势。据预测，到2023年，自动驾驶市场将从2019年约20%的车辆配备SAE1级（L1）/2级（L2）驾驶辅助系统，增长到83%的车辆至少配备L1（包括12%的车辆配备3级（L3）/4级（L4））自动驾驶系统[3]。到2030年，预计大部分收入（约95%）将来自L1以上级别的车辆[4]。此外，纯电动汽车将催生双向充电等新应用场景，而停车模式下的哨兵模式或人脸识别无钥匙的按时任务剖面转变为15年（131,400小时）的持续任务剖面。2与半导体一样，软件也在软件定义汽车的开发中发挥着关键作用。车辆中更多的先进功能完全由软件定器，只需增加代码行即可实现新功能。预计汽车软件的代码量将从1000万至1亿行C语言等效代码增长到2亿至3亿行[5]。这种增长与执行软件所需的晶体管数量增加相呼应，进而影响着半导体的复杂性。预计到2030年，汽车软件市场的规模将从2019年的310亿美元扩体工艺节点来满足这些新用例的性能要求。过去，消费级节点需要经过5到10年的成熟期，才能应用于汽车领域，但这一规则现在已经不再适用。例如，源自N3E消费级节点的台积公司N3AE（3nm汽车早期阶段）节点将仅比其消费级节点晚18个月进入汽车市场[6]。与此同时，业界正在积极探索Multi-Die架构，认为它是在高计算性能需求与成本控制之间实现平衡的理想选择[7]。然而，在汽车这一严苛环境中使用时，2.5/3D等封装技术面临着诸多未知的挑战。裸片间的数千条超细互连对车辆环境条件（如振动、温度变化、电磁干扰和湿度）非常敏感。这些互连无法通过传然而，适应这些新的汽车趋势并转向更先进的工艺节点，无疑给半导体的可信度和可靠度带来了更多的挑战。为D（ASIL-D）的应用为例，其单位时间故障（FIT）率必须保证每10亿小时内未检测到的危险性故障数量不超此外，软件定义汽车需要持续的无线连接来支持定期更新的功能，例如OT容易遭到入侵和黑客攻击。通过各种无线通信链路，攻击者无需直接连接到汽车总线或ECU接口就能发起攻击。软件启用功能还带来了另一项安全相关挑战⃞售后改装。这些改装无需新的硬件；例如，引入自动紧急制动功能并不需要额外的传感器或执行器，因为21434:2021《道路车辆–网络安全工程》[2]，该标准要求在车辆的整个生命周期内持续维护ADAS的安全相关功能。功能安全质量可靠性最新技术节点功能安全质量可靠性最新技术节点数量和复杂性数量和复杂性软件安全软件安全指数级增长与挑战复杂性（软件指数级小型节点的睡眠模式下的NBTI效应高频条件下的HCI效应长期任务剖面与10FIT8,000小时55,000小时131,400小时7节点成熟度5-10年与消费节点的采用节奏相当设计成本指数级图1：ACES带来的汽车半导体挑战3为应对ACES挑战而需满足的汽车要求这个部分介绍了CARIAD和新思科技在BMBF资助的VE-VIDES项目[8]中提出的要求。接下来的几个部分探讨了传统的半导体开发以及可验证（包括形式化验证、确认和测试）至关重要。使用符合汽车标准、经过预先验证和预先测试且基于标准的IP，可以尽可能地降低集成风险并确保供应链中所有组件的可靠性和稳定性。然而，为了应对开发中的挑战，还需满足更多要求，其中一些要求已在表3-A每个开发阶段所涉及的人员和工具以及所集成的IP。开发过程至少应符合汽车SPICE（ASPICE）2级（L2）提供专为虚拟ECU设计的SoC虚拟原型模型，以便在虚依据可测量、可测试的关键绩效指标（KPI在整个开发周期内验证在适用情况下，开发用经认证的EDA解决方案进行建模、设计和验证的半导体（例如，符合ISO26262:2018依靠现有的制造技术，确保整个车辆生产期间（15年表3-A：为应对ACES挑战而需满足的半导体开发要求•在确保电子产品的质量方面，关键是确保产品在投入使用的初始阶段能够提•功能安全旨在降低因随机和系统性故障而引发功能•软件安全侧重于防范那些可能导致故障4制造制造质量可靠性（AEC-Q100）故障率下降故障率上升环境•可恢复性错误•栅极破损•制造过程中的污染物••制造过程中的污染物•潜在缺陷•工艺变化设计边际早期故障磨损故障早期故障磨损故障功能安全（功能安全（ISO26262）设计芯片现场设计芯片现场接下来的几个部分概述了为应对ACES带来的挑战而需汽车半导体的制造、封装和测试工作重点关注质量和良率目标。为了尽可能减少质量问题，开发者需要优化其性和良率，并记录整个开发过程中的相关步骤。开发者还应使用可测试、符合标准且经过验证的工艺设计套件（PDK以最新的行业规范和制造准则。此外，封装过程中需要检查信号和电源完整性，因为大多数产品返厂都与封装和互连问题有关。表3-B1采用根本原因分析流程，以支持片上分级测试和封装后Multi-Die系统结构中的数据分析。采取适当措施来加速故障排查。这一点至关重要，尤其是对于复杂的SoC，因为其故障分析时间较长且故表3-B1：为应对ACES带来的挑战而需满足的额外质量要求汽车功能安全（FuSa）至关重要。为应对功能安全挑战，ISO已经发布了ISO26262:2018《道路车辆-功能安全》这一成熟标准[9]。该标准规定了对车辆电气和电子（E/E）系统功能安全的相关要求并提供了指导。尽管该标准主要针对系统层面，但其第11部分针对半导体应用提供了指导。因此，半导体开发者纷纷采纳了威胁分析和风险评估（HARA）等先进措施，以识别最紧迫的安全隐患，进行细致的ASIL分解，并部署相关的安全机制（SM）。此外，有些ASIL等级还需要安全证据和独立认证。当半导体作为独立系统单元（SEooC）进行开发时，必须清晰地界定使用假设（AoU），并通过供应链透明地传播这些信息。表3-B2概述了为应对ACES带来的5自动实现关键设计特性与安全机制的关联，以及安全机制的插入和验证。这样可以提高效率、缩短周转时对硬件进行预测性维护的应用”标准适用于预测性维护的故障检测[10表3-B2：为应对ACES挑战而需满足的额外功能安全要求可靠性对于确保汽车半导体的质量和功能安全至关重要。汽车供应链需要遵循多个可靠性标准，例如AEC-Q100“基于失效机制的集成电路压力测试认证”[11]，该标准规定了一系列应力测试和认证要求，以确保电子元件（如SoC）在汽车环境中的可靠性。此外，还），射性粒子（例如α粒子、热中子）的耐受性并减少可恢复性错误。与其他可信度和可靠度方面一样，开发者应在半导体开发的相关阶段提供可靠性设计（DFR）的证据。表3-B3概述了为应对ACES带来的挑战而需满足的额外可靠性要求。），使用接口退化监控，监测汽车应用的2.5/3D封装技术中所使用的互连。等问题变得更加明显，需要特别注意。应采取必要的措施，包括遵守物理实现、IR压降、表3-B3：为应对ACES挑战而需满足的额外可靠性要求6随着ACES概念的引入，潜在的安全风险也随之增加，因此确保软件安全变得尤为重要。目前已有一些标准化的系统级措施来确保网络安全，例如ISO/SAE21434:2021标准，该标准规定了道路车辆在E/E系统概念、产品开发、生产、运行、维护和报废整个生命周期内的网络安全风险管理工程要求。在半导体开发过程中，保持可追溯性对于避免软件安全问题非常重要。因此，在相关阶段，提供软件安全证据（包括数据安全）显得至关重要。开发者应当重视ISO/SAE21434:2021中推荐的措施，例如资产识别和威胁建模。表3-B4概述了因引入ACES概念而产生的额外安全要求。抵御不受信任的供应链成员可能引发的攻击（例如逆向工程和IP盗用）。表3-B4：为应对ACES挑战而需满足的额外安全要求汽车半导体的多样性和复杂性，再加上质量、功能安全、可靠性和软件安全方面的严格要求，为SoC开发者带来了巨大的挑战。EDA提供商在帮助开发者应对和克服此类挑战方面发挥着关键作用。另外，为了满足这些要求，还需要在整个半导体生自动化技术解决了半导体设计与验证过程中从系统级到制造阶段的众多难题。EDA解决方案提据库管理，以应对超大型SoC设计的海量数据、数据访问和数据处理工作。此外，EDA解决方案还集成了最新的AI和机器学习（ML）技术，不仅可优化设计质量（QoR），同时还能满足高性能、低功耗、DFT和面积要求。以下列出了一些最佳实践，旨在帮助由于HAD级别（例如L3/L4）所需的半导体复杂性，满足性能、功耗、面积、可信度和可7架构选择和实现PPA定义合适的SoC架构并进行适当的硬件/软件功能划分需要从系统级开始。开发者需要做出几项决定来选择•技术节点：这是一个关键因素，因为它决定了哪些IP（接口、CPU、GPU、IO等）可用以及每个IP可实现的性能，同时兼顾成本•集成度：Multi-Die系统可能是控制成本并实现所需性能和功耗的唯一可行方案。同时将PPA影响降至最低。示例包括SM（例如冗余）和DFT技术（例如扫描、逻辑和内存内置自测（BIST。•芯片生命周期管理（SLM）：在架构选择过程中，可能会考虑插入监控IP，以满足整个生命周期（包括设计阶段、芯片阶段和现在确定目标架构后，确保满足PPA要求是关键。EDA解决方案可以利用共享引擎执行设计验证、实施和从实施到签核的收敛过程，从汽车半导体需要在多种不确定性因素（例如工艺、电压和温度（PVT）变化）的影响下确保鲁棒性。传统做法是通过增加设计裕度来应对这些不确定性。然而，随着采用更先进的工艺节点，这些变化变得越来越显著，传统的方法已难以满足性能设计：在设计和签核阶段，EDA解决方案可以对各种不确定性因素（例芯片：设计阶段的设计质量很大程度上依赖于建模的准确性。因此，确保模型与半导构（例如环形振荡器或路径监控器）并利用统计技术来收集数据，可以最大程度地提高半导体校准期间的准确性现场：即便经过了设计和芯片阶段的所有调整，仍需在运行期间对半导体性能进行测量。式信息，并帮助降低电压以满足时序要求、减少动态功耗并延缓老化。这种方汽车半导体的质量目标是将百万分比缺陷率（DPPM）降至零。这一目标的实现依赖于在产品投入市场前发现半导体中的故障，以及通过找出产品返厂的根本原因，不断推动产品质量的持续改进。因此，在半导体生命周期的每个阶段，都需要设计：在架构定义阶段，需要考虑制造和现场测试结构。预计会产生大量的设计开销，并且需要按照成熟的接口标准IEEE1149、IEEE1500和IEEE1687[13][14][15]来规划用于片上和片外激活与访问的基础结构。8先进的测试技术可以帮助实现零DPPM，但需要在设计中包含一些特定的结构：•详细的内存BIST（MBIST）结构，与工艺节点相匹配，并具备自我修复的冗余功能。•逻辑BIST（LBIST）结构，用于发现制造测试范围之外的永久性缺陷。•监控结构，用于制造期间和系统内测试期间芯片：半导体制造的关键是确保不存在“测试逃逸”，即在器件发货之前识别出•使用单元间缺陷模型（单元感知模型）进行测试向量生成和故障诊断，可以检测和识别更复杂库•制造和系统内测试的峰值与平均功耗限制需要额外的硬件结构，以尽可能降低测试模式下的功耗并减少功耗敏•采用模拟故障仿真可以为模拟与混合信号组件提供可量化•提供用于良率提升和生产测试期间故障分析的高分辨率诊断方法，包括分级和Multi-Die系统诊断，以支持2.5/3D封装技术。•提供用于捕获和分析制造与半导体缺陷数据的环境，以监控当前的制造质量水平并识别提升良率的机会。现场：半导体质量的关键在于制造和测试。然而，现场数据可用于改进未来的设计、库和别保持可访问，以便进行详细的现场退货故障分析。此外，SLM解决方案可以远程访问测试结构，以进行现场故障/根本原因分析。为了降低人员伤亡和财产损失的风险，需要遵循功能安全方面的最佳实践。这些最佳实践在ISO26262:2018标准中有详尽的阐述。按照该标准进行半导体开发和部署，不仅能满足合规性要求（包括可追溯性），而且能显著提升各方信心。如今设计：在确定SoC和安全架构后，可通过所需的管理系统来明确安全要求。数十年来，EDA解决方案一直以PPA作为成本函数来指导半导体设计与验证工作。如今，安全性已成为一项必须满足的指标，EDA解决方案也相应地得到了增强，以支持这一要求。图3展示安全要求安全要求可追溯性安全合规性SM插入、安全感知实施与签核安全感知可追溯性安全合规性SM插入、安全感知实施与签核安全感知RTL创建和功能验证安全分析安全分析安全验证工作产品工作产品图3：以安全规范格式（SSF）支持功能安全设计9从需求分析入手，历经安全分析、设计与验证的迭代循环，并涵盖各个级别的设计抽象和细化，EDA解决方案实现了整个流程的可追溯性，从而增强了各方信心。鉴于半导体设计的复杂性，使用EDA解决方案还能保障实现PPA和安全性的最佳周转时间。此外，该解为了保证对功能安全的全面流程支持，互操作性是一个关键因素。在设计和验证过程中，安全规范格式（SSF）[16]会交换和完善安全意图。这个概念与为低功耗定义的基础结构非常相似，并由统一电源格式（UPF芯片和现场：ISO/TR9839:2023标准在现有安全最佳实践的基础上，新增了对间歇性故障和预测性维护的考虑。间歇性故障由部分退化的半导体以及导致设备暂时故障的特定条件引起。预测性维护是指在电子设备现场运行期间预测其剩余使的扩展，预测性维护变得越来越重要。在芯片上校准期间，可以使用监控IP来调整老化模型。结合现场数据收集与敏感性框架，可以可靠性是指产品在指定时间内能够正常执行其预期功能的可能性。因此，它主要关注因耗损效应而导致的会考虑这些效应，但根据AEC-Q100标准，汽车应用有着更为严格的要求。根据任务剖面，对老化、EM、静电放电（ESD）、IR压降级可靠性要求。可制造性设计（DFM）阶段还会采用其他技术（例如金属填拟在严苛条件下长时间运行并加速老化的效果。在这种情况下，BIST结构可以访问半导体进行器件活动和故障检测。此外，片上嵌入现场：片上嵌入式传感器可以通过实时诊断来帮助提高半导体的鲁棒性和性能。随着技术节点的进步，半导体的使用寿命有所缩短无传感器故障率（PPM）故障率（PPM）?131,400131,400小时内在耗损初期故障内在耗损初期故障时间时间路径裕度监测器（PMM）[18]就是一个实际例子，它可以测量功能路径的延迟，并利用半导体级AVS来提高可靠性和进行预测性维护，10有传感器故障率（PPM）使用寿命延长使用寿命延长路径延迟合格路径延迟合格不合格筛查初期故障通过TTF预测升高电压筛查初期故障通过TTF预测升高电压图5：PMM和故障时间（TTF）预测可以延长先进工艺节点器件的使用寿命随着时间的推移，半导体会逐渐耗损（PMM捕获到路径延迟不合格情况），这时可以通过提高工作电压来延长其使用寿命。与PMM一起，PVT传感器等其他传感器以及关键路径监测结构可以帮助研究环境对半导体可靠性的影响。此外，能够访问BIST结构为了降低安全风险，业界共同制定了ISO/SAE21434:2021标准。致重大的财务损失。目前，类似于ISO26262:2018标准中定义的安全指标还未广泛建立。业界通常仍依赖通用缺陷列表（CWE）和通设计：目前有多种安全IP解决方案可用于保护敏感数据。汽车领域的安全性基于存储在嵌入式非易失性内存中的密钥、硬件安全加速器以及用于软件控制的安全流程。硬件信任根能够为处理敏感数据提供可信执行环境（TEE），并与其他安全IP解决方案（例如密码学核心、安全内存和安全接口）结合来执行安全策略。因此，经过加密和外，还可以通过采用水印和逻辑锁定等等硬件防御措施来提供额外的保护。在设计阶段插入这些防御机制方面，EDA解决方案可以发挥关键作用。此外，分析和验证对于维持安全性至关重要。例如，通过追踪敏感信息流来检查数据泄漏，报告可11芯片：制造测试阶段允许访问所有设计内容，这给IP带来了•如果在设计阶段正确插入了逻辑锁定，它便会在制造测试期间部署用于防止未经授权访问芯片的内部工作原理。此外，这种防御•为了防止他人未经授权观察芯片的内部工作原理，可以在测试基础结构上实施访问控制，以阻止入侵者滥用测现场：半导体监测器可以标记半导体行为中的异常。通过将专用的片上安全传感器与片上和片外AI分析技术相集成，可以快速识别和着ADAS和HAD技术的进步以及系统复杂度的增加，半导体设计面临的挑战也愈发严峻，这可能会影响软件定义汽车的及时生产和交付。因此，开发者亟需优化的EDA解决方案和高质量的IP来满足相应要求，以应对ACES所带来的挑战。由ACES驱动的PPA需求促使[1]YoleDevelopment,"AutomotiveTrends2021,"YoleDevelopment,2021./uploads/2021/09/YINTR21209-Automotive-Semiconductor-Trends-2021-Sample.pdf[2]ISO(theInternationalOrganizationforStandardization),ISO/SAE21434:2021-Roadvehicles-Cybersecurityengineering,ISO/SAE,2021./standard/70918.html[3]J.D.M.G.M.K.OndrejBurkacky,"Outlookontheautomotivesoftwareandelectronicsmarketthrough2030,"McKinseyandCompany,2023./industries/automotive-and-assembly/our-insights/mapping-the-automotive-software-and-electronics-landscape-through-2030[4]McKinseyandCompany,"Autonomousdriving'sfuture:Convenientandconnected,"McKinseyandCompany,2023.https://www./industries/automotive-and-assembly/our-insights/autonomous-drivings-future-convenient-and-connected[5]H.Wagensonner,"SmartOn-ChipSensorsasGameChangerforAutomotiveICQualityandInnovation,"inEuropeanAutomotive,Reliability,Test,andSafety(eARTS),Venice,Italy,2023.https://cas.polito.it/eARTS2023/index.php/preliminary-program/[6]Shilov,"TSMCAnnouncesEarlyAccessNodesforNext-GenCarChips:N4AEandN3AE,"AnandTech,28042023.[Online].Available:/show/18837/tsmc-announces-early-access-nodes-for-car-chips-n4ae-n3ae.[Accessed01102023].[7]"Whyarechipletsattractingtheattentionoftheautomotiveindustry?,"Imec,20062023.[Online].Available:https://www.imec-int.com/en/articles/why-are-chiplets-attracting-attention-automotive-industry.[Accessed01102023].[8]"VE-VIDES,"edaCentrum,01032021.[Online].Available:https://www.edacentrum.de/vevides/en.[9]ISO(theInternationalOrganizationforStandardization),ISO26262:2018-Roadvehicles-FuSa,ISO,2018./standard/68383.html.[10]ISO(theInternationalOrganizationforStandardization),ISO/TR9839:2023"Roadvehicles―ApplicationofpredictivemaintenancetohardwarewithISO26262-5",ISO,2023.ISO/TR9839:2023(en),Roadvehicles―ApplicationofpredictivemaintenancetohardwarewithISO26262-5[11]AutomotiveElectronicsCouncil,AEC-Q100“FailureMechanismBasedStressTestQualificationforIntegratedCircuits”,AEC,2023.AECDocuments()[12]MITRE,"CWE:CommonWeaknessEnumeration,"MITRE,2023.[Online].Available:/.[Accessed01102023].[13]InstituteofElectricalandElectronicsEngineersStandardsAssociation(IEEESA),IEEE1149.7-2022:IEEEStandardforReduced-PinandEnhanced-FunctionalityTestAccessPortandBoundary-ScanArchitecture,IEEE,2022.IEEESA-IEEE1149.7-2022[14]InstituteofElectricalandElectronicsEngineersStandardsAssociation(IEEESA),IEEE1500-2022:IEEEStandardTestabilityMethodforEmbeddedCore-basedIntegratedCircuits,IEEE,2022.IEEESA-IEEE1500-2022[15]InstituteofElectricalandElectronicsEngineersStandardsAssociati