如何設計一個(gè)車(chē)規級ECU?

在發(fā)明汽車(chē)近一百年后，汽車(chē)電子技術(shù)才迎來(lái)了快速發(fā)展及應用，在此之前的很長(cháng)一段時(shí)間，車(chē)上唯一的電子模塊可能就是收音機。而現在，一輛現代化轎車(chē)上通常需要安裝 50 個(gè)以上的電子模塊，整車(chē)電線(xiàn)長(cháng)度超過(guò) 3km。

在眾多的車(chē)載電子模塊中，與車(chē)輛控制及安全緊密相關(guān)的就是各種各樣的 ECU 。ECU 的車(chē)載應用最早可以追溯到 1968 年，距今已有半個(gè)多世紀。圖1 為 1968 年大眾的一款掀背車(chē)廣告，當時(shí)隨著(zhù)排放法規的發(fā)布，大眾量產(chǎn)了全球第一輛采用 ECU 來(lái)控制發(fā)動(dòng)機燃油噴射的汽車(chē)，當時(shí)廣告宣傳的名字為電子大腦（Electronic Brain），廣告的標題為“大眾電子大腦，比化油器更聰明”，從“電子大腦”這個(gè)名字就能感受到當時(shí)人們對車(chē)輛電子化及智能化的憧憬。

圖1 1968 年大眾一款掀背車(chē)的廣告   

實(shí)際上，汽車(chē)電子化在更早之前的 1955 年便開(kāi)始了。隨著(zhù)第一臺晶體管汽車(chē)收音機的推出，便拉開(kāi)了汽車(chē)電子化的歷史大幕。此后，汽車(chē)電子技術(shù)迅速發(fā)展，各種電子模塊如雨后春筍般被發(fā)明出來(lái)，并廣泛應用于各種車(chē)輛上，如 ABS、安全氣囊系統、電子控制門(mén)鎖系統、衛星導航系統、車(chē)輛防盜系統等。根據 Statista.com 的數據，在此期間，汽車(chē)中電子設備價(jià)值的整車(chē)占比躍升了 10 倍以上，從 20世紀 60 年代占汽車(chē)成本的 3% 上升到 2020 年的約 40%，預計在 2030 年后將達到 50% 以上。

01 什么是ECU

通常所說(shuō)的 ECU，是 Electronic Control Unit 的縮寫(xiě)，ECU 又稱(chēng)電子控 制單元或電控單元，是汽車(chē)電子系統中用來(lái)控制電子電氣系統及汽車(chē)子系統的嵌入式系統。而發(fā)動(dòng)機控制器（Engine Control Unit）的縮寫(xiě)也為 ECU，為避免混淆，發(fā)動(dòng)機控制器一般簡(jiǎn)稱(chēng)為發(fā)動(dòng)機 ECU。汽車(chē)上存在大量用于實(shí)  現控制功能的嵌入式系統模塊，這些模塊可以統稱(chēng)為電子控制模塊或電控模  塊，它們同其他一些不實(shí)現控制功能的汽車(chē)電子模塊，如儀表、影音娛樂(lè )、 導航模塊等，統稱(chēng)為電子模塊。

汽車(chē)電子技術(shù)發(fā)展到現在，設計一輛汽車(chē)成了一件極其復雜的事情，而這其中很大一部分要歸因于車(chē)輛電氣化、智能化帶來(lái)的 ECU 數量的不斷增加。如今的中型燃油轎車(chē)，ECU 可能多達 70 個(gè)，豪華車(chē)的ECU 通常超過(guò) 100 個(gè)，各個(gè) ECU 負責相應的控制功能。

如圖2 所示，ECU 從本質(zhì)上來(lái)講，就是一個(gè)輸入—處理—輸出系統，即 IPO 系統（Input-Process-Output），也稱(chēng)為 SPA 模型（Sense-Plan-Act ）。

圖2  ECU 功能示意圖

簡(jiǎn)單來(lái)講，ECU 只做三件事情：采集信號、信號處理和輸出處理結果。

1.1 采集信號

采集信號即通過(guò)各種方式（有線(xiàn)或無(wú)線(xiàn)）采集輸入 ECU 的各種信號（數字或模擬信號）。

1. 有線(xiàn)信號：通過(guò)線(xiàn)纜直接輸入的信號，硬線(xiàn)信號如各類(lèi)開(kāi)關(guān)信號、傳感器信號等。

2. 通信信號：通過(guò)通信方式如串行外設接口（Serial Peripheral Interface，SPI）、控制器局域網(wǎng)（Controller Area Network ，CAN）、局域互聯(lián)網(wǎng)絡(luò )（Local  Interconnect Network ，LIN）或以太網(wǎng)（Ethernet）等。

3. 無(wú)線(xiàn)信號：如低頻（Low Frequency，LF）信號、射頻（Radio Frequency，RF）信號、藍牙（Bluetooth，BLE）信號等。

4. 數字信號：簡(jiǎn)單的如高有效或低有效的開(kāi)關(guān)信號，或如脈沖寬度調制（Pulse-Width Modulation ，PWM）形式的調制信號，復雜的如數字攝像頭信號。

5. 模擬信號：如各種溫度、壓力、角度傳感器信號，雨量傳感器信號等，模擬信號一般在輸入 ECU 后都需要再轉為數字信號，然后才能進(jìn)行處理。

1.2 信號處理

ECU 通常采用嵌入式系統，處理器通常為 MCU 。MCU 通常具有處理開(kāi)關(guān)數字信號、模擬信號、PWM 信號、CAN/LIN/ 以太網(wǎng)通信信號的接口。但大多數時(shí)候，這些信號都需要經(jīng)過(guò)專(zhuān)門(mén)的信號處理 / 轉換電路或芯片，經(jīng)處理后轉化為 MCU 可識別的信號，然后才能進(jìn)行最終處理，具體算法或策略則根據應用而定。

1.3 輸出結果

ECU 輸出結果的方式也根據應用的不同差異較大，既可以?xún)H輸出控制信號，通過(guò)如繼電器等間接方式驅動(dòng)負載；也可以直接控制，通過(guò)大電流輸出的方式直接驅動(dòng)負載。輸出信號可以通過(guò)有線(xiàn)或無(wú)線(xiàn)方式，有線(xiàn)方式既可以是硬線(xiàn)信號，也可以是通信信號。

最初，人們?yōu)榱丝刂婆欧?，發(fā)明了發(fā)動(dòng)機 ECU；為了被動(dòng)安全，發(fā)明了 ABS 和安全氣囊；為了乘車(chē)的舒適性及便利性，發(fā)明了座椅控制器和電子控制門(mén)鎖系統；為了減輕長(cháng)途駕駛的疲勞，發(fā)明了自動(dòng)巡航系統?？v觀(guān)近半個(gè)多世紀，車(chē)輛技術(shù)的發(fā)展史基本就是各種 ECU 及電子模塊的發(fā)明史，電子技術(shù)對車(chē)輛技術(shù)的發(fā)展貢獻巨大。

02 如何設計一個(gè)ECU

任何產(chǎn)品設計，無(wú)論是消費品、工業(yè)品或汽車(chē)零部件，實(shí)際上都遵從相同的設計理念，也就是說(shuō)，產(chǎn)品設計的底層邏輯實(shí)際上是互通的。

2.1 設計要求

在做一個(gè)產(chǎn)品設計時(shí)，通常首先考慮的是其功能的實(shí)現，在此基礎上再考慮其他有形或無(wú)形的一些要求，例如：

1. 滿(mǎn)足行業(yè)標準要求。

2. 滿(mǎn)足客戶(hù)標準要求。

3. 滿(mǎn)足客戶(hù)成本要求。

4. 滿(mǎn)足客戶(hù)項目周期要求。

5. 盡可能采用最新的技術(shù)。

6. 盡可能降低開(kāi)發(fā)成本。

7. 盡可能降低 BOM 成本。

8. 盡可能降低生產(chǎn)成本。

汽車(chē)行業(yè)標準及客戶(hù)標準都較為復雜，同時(shí)產(chǎn)品的成本要求又極高，項目周期也較消費級和工業(yè)級要長(cháng)。同時(shí)，因為可靠性要求很高，車(chē)輛的開(kāi)發(fā)成本也較其他行業(yè)要高得多。以上這些復雜的要求暫時(shí)先拋開(kāi)不談，下面先從基礎功能實(shí)現的角度出發(fā)，介紹一個(gè) ECU 的設計過(guò)程。

2.2  設計流程

ECU 的產(chǎn)品設計，簡(jiǎn)單來(lái)講，通?？煞譃橐韵聨撞剑?/span>

1. 系統設計。

2. 硬件與結構設計。

3. 軟件設計。

4. 產(chǎn)品測試。

2.2.1 系統設計

如圖3所示，ECU 系統框圖包含了其與外部的連接關(guān)系及內部的系統原理。

圖3 可以理解為一個(gè) ECU 最小系統，其中包含：

1. 電源部分。電源部分包含電源輸入（乘用車(chē)通常為 12V 系統，商用車(chē)為 24V 系統）和 ECU 內部的電壓轉換部分。ECU 內部的芯片，如 MCU、運算放大器、邏輯芯片等，工作電壓通常為 5V 或 3.3V，這就需要電源芯片對電源電壓進(jìn)行轉換，壓差較小或小電流應用通常采用低壓差線(xiàn)性穩壓器（Low Dropout Regulator ，LDO），壓差較大或大電流應用則通常 采用直流轉直流（ Direct Current to Direct Current ，DC/DC）電源芯片，如需要多個(gè)電源軌，則通常采用電源管理芯片（Power Management Integrated Circuit ，PMIC ）。   

圖3  ECU 系統框圖

2. 信號部分。輸入信號是最簡(jiǎn)單的硬線(xiàn)開(kāi)關(guān)信號，可以是高有效（開(kāi)關(guān)閉合時(shí)接通電源）或低有效（開(kāi)關(guān)閉合時(shí)接通車(chē)身地，即常說(shuō)的搭鐵）。信號輸入到 ECU 后，通過(guò)信號處理電路將信號轉化為 MCU 可識別的電壓信號。

3. 處理部分。ECU 通常是一個(gè)嵌入式系統，用 MCU 執行相應的信號處理工作。MCU 的外圍電路通常較為簡(jiǎn)單，僅需要電源及晶振即可正常工作。

4. 輸出部分。MCU 作為處理芯片，受限于驅動(dòng)能力，通常無(wú)法直接驅動(dòng)任何負載，所以在 ECU 設計中會(huì )使用專(zhuān)門(mén)的驅動(dòng)電路或芯片來(lái)直接或間接驅動(dòng)負載工作。圖3 即為 ECU 直接驅動(dòng)燈類(lèi)負載工作。

2.2.2 硬件及結構設計

不同于軟件設計，硬件設計和結構設計都屬于具體的實(shí)物設計。結構設計和硬件設計通常會(huì )同步進(jìn)行，并相互影響。對 ECU 來(lái)講，結構設計通常包括殼體設計、連接器設計、散熱設計等，設計時(shí)主要考慮產(chǎn)品尺寸、安裝方式、安裝位置、防護等級、機械強度等。

簡(jiǎn)單來(lái)講，硬件設計主要包括器件選型、設計原理圖、創(chuàng )建 BOM、設計 PCB 等。圖4 為一個(gè)簡(jiǎn)化的 ECU 原理圖，其中包含接口部分、電源部分、輸入檢測部分、MCU 控制部分以及輸出驅動(dòng)部分。 

原理圖設計完成后就可以導出產(chǎn)品的初始 BOM，表 1 為一個(gè)產(chǎn)品的 BOM 舉例。通常意義上的 BOM 僅僅是一個(gè)物料清單，類(lèi)似于人們去超市購物列的購物清單，但對一個(gè)汽車(chē) ECU 來(lái)講，BOM 絕不僅僅是 BOM，它同時(shí)包含了非常多的其他信息。如表 1 中的 BOM 至少包含了以下信息：器件位置（頂層或底層）、物料編碼、物料描述、數量、位號、封裝、器件制造商、制造商物料編碼等。

圖4  簡(jiǎn)化的 ECU 原理圖

表 1    BOM 物料清單

BOM 對一個(gè)產(chǎn)品來(lái)講極其重要，從 ECU 設計前期開(kāi)始，貫穿了整個(gè) ECU 的一生。BOM 并不是通常認為的設計完成后就一成不變，相反，BOM 是鮮活的，是有生命的，是隨著(zhù) ECU 一直在更新和進(jìn)化的；BOM 見(jiàn)證了 ECU 的一生，從 ECU 的誕生到成長(cháng)，從成熟到淘汰。

PCB 設計完成后就可以外發(fā)給 PCB 制板廠(chǎng)制板，工廠(chǎng)收到PCB 后就可以根據 BOM 進(jìn)行 PCB 貼片，貼片完成后的電路板稱(chēng)為電路板總成（PCB Assembly ，PCBA），如圖5 所示。PCBA 制作完成后會(huì )和結構設計進(jìn)行校 核，此時(shí)的殼體通常為 3D 打印樣件，在確認設計匹配沒(méi)有問(wèn)題后才會(huì )下達 開(kāi)模指令進(jìn)行開(kāi)模。

實(shí)際上硬件設計工作遠不止原理圖及 PCB 設計，結構設計也不止殼體設計，還有大量的設計分析、測試驗證及流程文檔工作，這里暫不做過(guò)多描述。  

2.2.3 軟件設計

基于這個(gè) ECU 最小系統，再加入一些軟件邏輯， ECU 便可以工作了。

圖5  PCB 與 PCBA

假定客戶(hù)需求如下：

1. 輸入信號 1 有效，則紅燈亮，無(wú)效則紅燈滅。

2. 輸入信號 2 有效，則綠燈亮，無(wú)效則綠燈滅。

根據以上需求制定的軟件邏輯如圖 6 所示。

圖6  ECU 軟件邏輯示意圖

實(shí)際上軟件設計工作遠不止于此，通常意義上的嵌入式設計包括底層軟件設計、模塊設計、系統集成，除此之外還有網(wǎng)絡(luò )通信、診斷、軟件測試驗證及流程文檔工作，這里暫不做過(guò)多描述。

2.2.4 產(chǎn)品測試

通常人們認為產(chǎn)品測試就是指產(chǎn)品的功能測試，如根據上面提出的產(chǎn)品功能，可以設計如下測試計劃：

1. 在輸入信號 1 、2 均無(wú)效的狀態(tài)下，接通 ECU 電源。

2. 使輸入信號 1 有效，紅燈亮。

3. 使輸入信號 1 無(wú)效，紅燈滅。

4. 使輸入信號 2 有效，綠燈亮。

5. 使輸入信號 2 無(wú)效，綠燈滅。

實(shí)際對汽車(chē)電子產(chǎn)品來(lái)講，產(chǎn)品測試遠不止于此。汽車(chē)電子產(chǎn)品測試通?？煞譃檠邪l(fā)階段測試、設計驗證（Design Validation ，DV） 測試和量產(chǎn)后的產(chǎn)品驗證 PV（Product Validation ，PV ）測試。從側重點(diǎn)來(lái)講，研發(fā)階段測試側重于產(chǎn)品的功能、性能、可靠性及參數等方面的測試，PV 測試則側 重于檢驗產(chǎn)品大批量生產(chǎn)的工藝、質(zhì)量穩定性及一致性。

DV 測試作為檢驗汽車(chē)電子零部件產(chǎn)品硬件設計質(zhì)量的一種測試手段， 是一個(gè)重要的時(shí)間節點(diǎn)。DV 測試通常意味著(zhù)產(chǎn)品設計的定型，因為硬件設計及結構設計在 DV 測試前需要設計凍結，即不再允許進(jìn)行任何設計更改，DV 測試結束后產(chǎn)品才被允許進(jìn)入小批量試生產(chǎn)階段，然后才能量產(chǎn)。

另外，不同于其他行業(yè)，汽車(chē)電子產(chǎn)品通常需要進(jìn)行 100% 產(chǎn)品檢測及 100% 功能測試，也就是說(shuō)，每個(gè)產(chǎn)品下線(xiàn)前都必須進(jìn)行檢測，而非抽檢；檢測時(shí)，每項硬件功能都需要進(jìn)行 100% 測試，而非抽檢個(gè)別功能，這種測 試在汽車(chē)行業(yè)稱(chēng)為下線(xiàn)檢測（End of Line ，EOL），嚴格的 EOL 下線(xiàn)檢測流程雖然增加了生產(chǎn)時(shí)間、降低了生產(chǎn)效率，但卻有效地保證了產(chǎn)品的質(zhì)量。

03 電子模塊的車(chē)載應用及生產(chǎn)要求

對于消費級產(chǎn)品或工業(yè)級產(chǎn)品來(lái)講，功能實(shí)現距離商用已不太遠，而對于汽車(chē)行業(yè)來(lái)講，僅僅實(shí)現了基本功能的原型機，通常只能稱(chēng)之為演示樣品 （Demonstration ，Demo），意思就是僅僅可以作為功能演示之用，距離實(shí)際的車(chē)載應用還很遙遠。   

除基本的功能要求外，車(chē)載應用還需要面對嚴苛的車(chē)輛內外部環(huán)境、復雜的電氣及電磁環(huán)境、高可靠性及安全性要求、長(cháng)壽命要求、低成本要求、生產(chǎn)制造可行性要求、批量一致性要求等。

3.1  嚴苛的車(chē)輛內外部環(huán)境

相對于消費級或工業(yè)級產(chǎn)品，車(chē)載產(chǎn)品所面對的內外部環(huán)境則要嚴苛得多，具體如下。

3.1.1 耐溫要求

1. 汽車(chē)使用環(huán)境的溫度范圍從最熱的沙漠到最冷的極地，車(chē)載電子模塊需要在各種狀況下正常工作。

2. 研究表明，汽車(chē)的駕駛艙工作溫度范圍為 -40~85℃。

3. 發(fā)動(dòng)機艙溫度為 -40~125℃,其某些低溫區域也要求達到 105 ℃。

車(chē)載應用要求的極寬的溫度變化范圍，對汽車(chē)電子設計來(lái)講是一個(gè)極高的挑戰，尤其是對于電子元器件來(lái)講，高溫會(huì )帶來(lái)很多問(wèn)題。以電阻器為例，電阻器的額定功率會(huì )隨溫度升高而降低，設計時(shí)就必須考慮溫度變化產(chǎn)生的降額，如在溫度超過(guò) 70℃后，功率需要按 1.25%/℃進(jìn)行降額使用。再如功率芯片，如果最高允許結溫為 170℃,而環(huán)境溫度為 125℃,再疊加殼體密封的溫度影響，及功率芯片因高溫帶來(lái)的導通阻抗升高、發(fā)熱增大，綜合影響下，功率芯片的工作溫度就僅有不到 40℃的設計裕量。

3.1.2 耐濕度及防水要求

1. 車(chē)載電子模塊要求在所有的濕度范圍（相對濕度 10%~ 100%） 內能夠正常工作。

2. 高相對濕度會(huì )導致水汽進(jìn)入某些電子元器件內部，導致電子模塊損壞。

3. 某些產(chǎn)品應用要求完全防水，即使采用高溫高壓噴水，或完全浸入水中亦能正常工作。

3.1.3 耐灰塵、污垢及鹽霧

車(chē)載電子模塊根據安裝位置不同，有不同的耐灰塵、污垢及鹽霧的要求。對于裸露安裝的產(chǎn)品，均要求有相應的防水、防塵等級，對產(chǎn)品上的金屬材料，如殼體、金屬支架、螺釘等則必須具有相應的耐鹽霧腐蝕的能力。

通常來(lái)講，產(chǎn)品的防護等級分為兩部分：防塵和防水，二者是相互獨立的。對車(chē)載電子產(chǎn)品來(lái)講，在對產(chǎn)品的防護等級做出要求時(shí)，通常是對二者均有要求。如按照國標 GB/T 4208—2017 《外殼防護等級（IP 代碼）》的規 定，第一位特征數字表示防止固體異物進(jìn)入的防護等級，第二位特征數字表 示防止水進(jìn)入的防護等級。如 IP57，“5”表示防塵，“7”表示短時(shí)間浸水，產(chǎn)品達到 IP57 就表示可以防塵和防短時(shí)間浸水。

3.1.4 耐機械振動(dòng)、沖擊

車(chē)輛的應用環(huán)境極其多樣化，從城市到鄉村、再到野外，車(chē)輛需要應對不同的復雜路況，車(chē)載電子模塊也需要能夠在各種機械振動(dòng)和沖擊下正常工作。以國內某大型乘用車(chē) OEM 的振動(dòng)測試標準為例，標準從輕度、中度、 劇烈到極度劇烈共分 9 個(gè)等級，極度劇烈的最高加速度為 294m/s2,近 30g，而戰斗機飛行員最大可以承受的加速度是10g。

參考汽車(chē)行業(yè)標準，車(chē)載電子模塊需要面對的外部環(huán)境條件可以概括如 圖7 所示。

圖7  車(chē)載電子模塊需要面對的外部環(huán)境條件

3.2  極其復雜的電氣及電磁環(huán)境

車(chē)載電子模塊在面對嚴苛的外部環(huán)境條件的同時(shí)，還需要面對更加復雜的內部電氣及電磁環(huán)境條件，這個(gè)挑戰甚至比外部環(huán)境更加嚴苛。參考汽車(chē)行業(yè)標準，車(chē)載電子模塊需要面對的電氣和電磁環(huán)境包括：

1. 供電電壓。12V 系統：9~16V；24V 系統：16~32V。   

2. 反向電壓。12V 系統：-14V/1min；24V 系統：-28V/1min。

3. 電壓瞬降。12V 系統：4.5V/100ms；24V 系統：9V/100ms。

4. 跳線(xiàn)啟動(dòng)。12V 系統：24V/1min。

5. 啟動(dòng)特性。12V 系統：3V/4.5V；24V 系統：6V/8V。

6. 拋負載。12V 系統：87V/400ms；24V 系統：174V/350ms。

7. 傳導抗擾。12V 系統：150V/-150V；24V 系統：300V/-600V

8. 電磁輻射抗干擾及抗大電流注入干擾（BCI）。頻率從 kHz 級別到 GHz 級別，電場(chǎng)強度高達 200V/m。

9. 靜電放電（ESD）。高達 25kV。

參考汽車(chē)行業(yè)標準，車(chē)載電子模塊需要面對的電氣及電磁環(huán)境條件可以概括如圖 8 所示。

圖8  車(chē)載電子模塊需要面對的電氣及電磁環(huán)境條件

3.3 高可靠性及安全性要求

3.3.1 可靠性要求

通常意義上講的可靠性是指產(chǎn)品在一定時(shí)間內或在一定條件下無(wú)故障地執行指定功能的能力，這個(gè)能力可以通過(guò) dppm 值、FIT 值、MTBF 值等數據來(lái)進(jìn)行度量，進(jìn)而評價(jià)產(chǎn)品的可靠性。

通常認為一輛車(chē)由幾萬(wàn)個(gè)零部件組成，一個(gè)電子模塊作為一個(gè)零部件來(lái)說(shuō)，通常由數百至上千個(gè)電子元器件組成。以圖 9 為例，如果一個(gè)器件的故障率為 1dppm，對于一百萬(wàn)輛車(chē)來(lái)講，就可能會(huì )有 1000 輛車(chē)的電子模塊存在缺陷，而一輛車(chē)上的電子模塊數量往往在 50 個(gè)以上。

圖9  器件 1dppm 缺陷對一百萬(wàn)量車(chē)的影響

汽車(chē)行業(yè)中，汽車(chē)制造商（OEM） 對質(zhì)量問(wèn)題通常用 ppm 來(lái)量化，對 ECU 這種電子零部件，一般要達到 10ppm 以?xún)?，也就是百萬(wàn)數量中只允許 出現幾個(gè)不良品。電子元器件供應商則常采用 dppm 來(lái)衡量元器件的不良率， 通?？梢宰龅?1dppm 以?xún)取?/p>

但對于車(chē)載電子模塊來(lái)講，由于其應用場(chǎng)景及功能的復雜性，簡(jiǎn)單采用 dppm 或 FIT 值來(lái)衡量其可靠性是不合適的。對此，汽車(chē)行業(yè)國家標準 GB/  T 28046.1—2011（對應 ISO 16750-1 ：2006）《道路車(chē)輛電氣及電子設備的環(huán)境條件和試驗 第 1 部分：一般規定》對被測設備（Device Under Test， DUT） 在試驗期間及試驗后所處的功能狀態(tài)進(jìn)行了清晰地分級，這個(gè)分級方法提供一個(gè)很好的參考。

GB/T 28046.1—2011 中的功能狀態(tài)分為 A 、B 、C 、D 、E 共五個(gè)等級。

1. A 級：試驗中和試驗后，裝置 / 系統所有功能滿(mǎn)足設計要求。

2. B 級：試驗中裝置 / 系統所有功能滿(mǎn)足設計要求，但允許有一個(gè)或多個(gè)超出規定允差。試驗后所有功能應自動(dòng)恢復到規定限值。存儲器功能應符合 A 級。

3. C 級：試驗中裝置 / 系統一個(gè)或多個(gè)功能不滿(mǎn)足設計要求，但試驗后所有功能能自動(dòng)恢復到正常運行。

4. D 級：試驗中裝置 / 系統一個(gè)或多個(gè)功能不滿(mǎn)足設計要求且試驗后不能自動(dòng)恢復到正常運行，需要對裝置 / 系統通過(guò)簡(jiǎn)單操作重新激活。

5. E 級：試驗中裝置 / 系統一個(gè)或多個(gè)功能不滿(mǎn)足設計要求且試驗后不能自動(dòng)恢復到正常運行，需要對裝置 / 系統進(jìn)行修理或更換。

ISO 16750 的 5 個(gè)標準 (1~5) 已全部升級為 2023 版，即 ISO 16750-1/2/3/4/5:2023，發(fā)布時(shí)間為 2023 年 7 月 , 對應的國家標準 GB/T 28046 尚未更新，故本書(shū)仍沿用現行國標對應的 ISO 版本。

對于車(chē)載電子模塊來(lái)講，不同的應用場(chǎng)景下，對應的不同功能需要滿(mǎn)足不同的可靠性等級，這從某種程度上提高了車(chē)載應用對電子模塊可靠性的要求。如車(chē)門(mén)解鎖的可靠性，車(chē)輛在正常非行駛狀態(tài)下，即使偶爾解鎖功能失效一次，乘客再次執行操作即可，這個(gè)偏差是可以接受的，也不會(huì )影響使用體驗。但如果是在發(fā)生碰撞事故后，車(chē)門(mén)的自動(dòng)解鎖功能出現偏差或失效，那就可能關(guān)乎乘客的生命。

參考 ISO 26262-5 ：2018 《道路車(chē)輛功能安全》（對應 GB/T 34590.5— 2022）標準，若某個(gè)電子模塊的某個(gè)功能定義的功能安全等級為 ASILB，則 其相應的硬件失效概率要求為 100 FIT，從某種意義上則可以認為其 MTBF 為 107h， 即平均預期可安全工作時(shí)間為一千萬(wàn) h，約等于 1141.5 年。而對于轉向、制動(dòng)等功能，功能安全等級要求則更高，達到 ASIL D 級別，為 10 FIT 。ISO 26262-5 ：2018 對隨機硬件失效目標值的規定見(jiàn)表 2。

表 2    ISO 26262-5：2018 對隨機硬件失效目標值的規定

3.3.2 安全性要求

對車(chē)載應用來(lái)講，電子模塊的可靠性和安全性的側重點(diǎn)有所不同?？煽啃詡戎赜陔娮幽K可靠地實(shí)現其相應功能而不發(fā)生故障或失效，而安全性則側重于在其功能未達到設計要求或功能失效后帶來(lái)的影響。安全性通常又可以分為兩方面：一是財產(chǎn)安全，二是人身安全。

1. 財產(chǎn)安全。如自動(dòng)落鎖功能失效導致車(chē)內財物被盜，或者電子模塊防盜性能較差導致車(chē)輛被盜。

2. 人身安全。車(chē)輛涉及人身安全的地方很多，但對隸屬于電子電氣系統的電子模塊來(lái)講， ISO 26262 標準是一個(gè)很好的參考。ISO 26262 標準涵蓋的范圍主要是與安全相關(guān)的電子電氣系統（Electrica/Electronic Safety-Related Systems），如娛樂(lè )系統的音樂(lè )播放功能就不在此范圍內。 

對于需要考慮人身安全的電子模塊功能，在功能失效后可以采取不同的安全機制，如 Fail-Safe（故障安全）和 Fail-Operation（故障工作），其目的是 確保電子模塊發(fā)生故障時(shí)，對駕駛員、乘客和行人所造成的危害風(fēng)險降低， 并控制在可接受的范圍內。

以車(chē)輛的近光燈控制功能為例，如果電子模塊的近光燈控制功能發(fā)生故障，Fail-Safe 的安全機制可以是強制開(kāi)啟近光燈功能（無(wú)論當前近光燈功能是否開(kāi)啟）；而 Fail-Operation 的安全機制則可以是依據駕駛員的操作決定是 否開(kāi)啟或關(guān)閉近光燈。相較于電子模塊的正常工作狀態(tài)，其差異在于 Fail- Operation 是電子模塊的故障監測電路檢測到電子模塊故障后，將控制功能交給冗余控制電路。

電子模塊設計中常用的 Limphome（跛行回家）功能就是一種冗余設計。如圖10 所示，Limphome 電路在電子模塊正常工作時(shí)處于關(guān)閉狀態(tài)，當監測電路檢測到電子模塊故障持續時(shí)間超過(guò)一定時(shí)間（如 128ms），監測電路便會(huì )輸出一個(gè) Limphome 信號，Limphome 功能便會(huì )被激活，電子模塊進(jìn)入 Limphome 模式，Limphome 電路將立即接管設定的控制功能。隨后如果電子模塊故障解除，Limphome 信號便會(huì )無(wú)效，Limphome 電路也即自動(dòng)關(guān)閉，控制權將被重新交給電子模塊。

圖10  一種 Limphome 電路設計

3.4 長(cháng)壽命要求

汽車(chē)作為一種特殊的工業(yè)消費品，其同時(shí)具有大宗消費品及耐用品的雙重屬性。大宗消費品意味著(zhù)消費者的消費頻次很低，耐用品意味著(zhù)消費者對其使用壽命要求很高。通常來(lái)講，車(chē)輛的設計壽命為 10~15 年，行駛里程為 20 萬(wàn) ~30 萬(wàn) km，乘用車(chē)的質(zhì)保通常是 3 年或 6 萬(wàn) km。而實(shí)際上一輛現代轎車(chē)的使用壽命很容易達到 15 年以上，行駛里程可達 100 萬(wàn) km 以上。   

對于車(chē)輛設計來(lái)講，除易損件外，其他零部件必須做到整車(chē)等生命周期，這其中就包括所有的車(chē)載電子模塊。除車(chē)輛使用壽命和行駛里程外，車(chē)輛生命周期還有其他一些維度數據，見(jiàn)表3。

表3   車(chē)輛生命周期維度數據對比

長(cháng)生命周期將帶來(lái)兩個(gè)問(wèn)題：一個(gè)是電子模塊的壽命問(wèn)題，一個(gè)是電子模塊的長(cháng)期供貨問(wèn)題。

3.4.1 電子模塊的壽命

對一輛具體的車(chē)來(lái)講，長(cháng)生命周期意味著(zhù)電子模塊的壽命必須足夠長(cháng)，即在其壽命內必須可靠工作，且性能不發(fā)生劣化，這就意味著(zhù)：

1. 電子模塊采用的電子元器件壽命必須滿(mǎn)足要求，不能在設計壽命內出現參數及性能劣化。

2. 電子模塊設計時(shí)必須考慮元器件壽命老化帶來(lái)的參數變化影響，保證電子模塊在其壽命內必須可靠工作。

3. 電子模塊的 DV 測試必須包含長(cháng)時(shí)間的壽命加速試驗，如 1000h 以上的高溫老化試驗，以驗證產(chǎn)品設計。

以電子模塊設計中最常用的電阻器為例，電阻器是電路設計中最常見(jiàn)的一種電子元器件，電阻器按參數可以簡(jiǎn)單分為四個(gè)維度，即阻值、精度、功率及封裝。在汽車(chē)電子模塊設計時(shí)，電路計算通常不會(huì )按照電阻器的標稱(chēng)精度進(jìn)行計算，如 5% 精度的電阻器，通常按照 8% 精度進(jìn)行計算，這就是考慮了溫度及壽命老化對標稱(chēng)精度的影響。

3.4.2 電子模塊的長(cháng)期供貨

對一個(gè)車(chē)型來(lái)講，持續生產(chǎn)時(shí)間一般為 5~8 年，有時(shí)可長(cháng)達數十年。而對電子模塊來(lái)講，OEM 為降低成本，經(jīng)常將同一電子模塊用于不同的車(chē)型， 所以電子模塊的供貨時(shí)間通常遠長(cháng)于一個(gè)車(chē)型的生命周期，這就意味著(zhù)：

1. 電子模塊采用的所有型號的電子元器件，其生命周期要足夠的長(cháng)，不能 3 年或 5 年就停產(chǎn)，導致需要重新選型或切換供應商。所以元器件的長(cháng)生命周期是保證供貨連續性的基礎，汽車(chē)電子元器件的持續供貨時(shí)間通常需要超過(guò) 15 年，甚至 20 年以上。

2. 在漫長(cháng)的車(chē)型生命周期內，零部件及車(chē)型的變更管理將變得極其重要。在此期間，不管是車(chē)型還是電子模塊都會(huì )面臨一系列的變更問(wèn)題，同時(shí)由于汽車(chē)行業(yè)供應鏈極長(cháng)且復雜，中間會(huì )涉及多級供應商的變更，包括原材料、生產(chǎn)工藝、生產(chǎn)場(chǎng)地等，進(jìn)而帶來(lái)產(chǎn)品重新測試驗證及車(chē)輛的測試驗證工作。

先解釋幾個(gè)汽車(chē)行業(yè)內的專(zhuān)業(yè)名詞：

1. PCN ：Product/Process Change Noti?cation，產(chǎn)品 / 工藝變更通知。

2. PCR ：Product/Process Change Request，產(chǎn)品 / 工藝變更請求。

3. SCR ：Supplier Change Request ，供應商變更請求。

以電子模塊為例，如果用到的一個(gè)芯片的生產(chǎn)工藝發(fā)生了變更（實(shí)際上對電子元器件來(lái)講這是經(jīng)常發(fā)生的事情），芯片供應商會(huì )發(fā) PCN 給電子模塊供應商，對電子模塊供應商來(lái)講，這是一個(gè) SCR。電子模塊供應商在評估后會(huì )將其轉化為內部的PCR，即電子模塊的變更，并通知汽車(chē)制造商（OEM）。OEM 在收到 SCR 后也會(huì )進(jìn)行評估，并安排對新型號的電子模塊進(jìn)行測試驗 證，驗證通過(guò)后才能切換新型號的電子模塊。

汽車(chē)對高可靠性的要求疊加車(chē)型的長(cháng)生命周期，必然帶來(lái)汽車(chē)行業(yè)對零部件長(cháng)期供貨的穩定性、可靠性及一致性的要求，這就可以解釋為什么汽車(chē)行業(yè)對變更管理如此重視，以及對變更流程的管控如此嚴格。

3.5 低成本要求

消費者在做購買(mǎi)汽車(chē)的決策時(shí)，成本是一個(gè)重要的考慮因素。而對 OEM 來(lái)講，一輛車(chē)由上萬(wàn)個(gè)零部件組成，OEM 需要對幾百家供應商進(jìn)行成本管控，具體到每個(gè)汽車(chē)零部件的設計，成本就變得尤為重要。

一個(gè)電子模塊通常由數百到上千個(gè)電子元器件及其他結構件組成，這就意味著(zhù)電子模塊制造商需要：

1. 在電子模塊項目報價(jià)階段，可以根據客戶(hù)需求準確預估未來(lái)量產(chǎn)的產(chǎn)品價(jià)格。

2. 在設計階段能夠精確控制產(chǎn)品的物料成本、設計成本及測試成本。

3. 在量產(chǎn)后能夠很好地控制產(chǎn)品的生產(chǎn)成本。

電子模塊產(chǎn)品通常在設計前期就必須考慮系統方案的成本，設計階段還需要經(jīng)過(guò)幾輪成本導向設計（ Design To Cost ，DTC）迭代，并且在電子模塊生命周期內還要經(jīng)歷多輪成本優(yōu)化，其中很重要的一個(gè)方法就是通過(guò)技術(shù)手段進(jìn)行技術(shù)成本優(yōu)化（Cost Technical Optimization ，CTO），如進(jìn)行低成本元器件替代，切換元器件供應商，采用新材料、新生產(chǎn)工藝等。

3.6 生產(chǎn)制造可行性要求

汽車(chē)作為大批量生產(chǎn)的工業(yè)消費品，暢銷(xiāo)車(chē)型年產(chǎn)量超過(guò)十萬(wàn)輛、車(chē)型生命周期內超過(guò)百萬(wàn)輛是很常見(jiàn)的。而作為零部件的電子模塊，因為存在較多不同車(chē)型共用的情況，電子模塊的產(chǎn)量實(shí)際上會(huì )更大，這就要求電子模塊在設計前期必須考慮大批量生產(chǎn)制造的可行性，汽車(chē)行業(yè)通常將之稱(chēng)為可制造性設計（Design for Manufacturability ，DFM ）。

以電子模塊設計為例， DFM 通常需要考慮：

1. 結構件是否便于生產(chǎn)裝配。

2. 是否有相應的工裝、夾具或設備。

3. 是否有特殊工裝或工藝要求。

4. 結構件、連接器是否有防呆設計（如防裝反等）。

5. 產(chǎn)品設計是否會(huì )導致生產(chǎn)一致性問(wèn)題。

6. 殼體卡扣設計在裝配時(shí)是否有聽(tīng)見(jiàn)“咔嗒”聲。

7. 產(chǎn)品下線(xiàn)檢測程序是否可覆蓋產(chǎn)品的全部功能。

3.7 批量一致性要求

電子模塊在大批量且長(cháng)時(shí)間生產(chǎn)過(guò)程中，產(chǎn)品的批量一致性顯得尤為重要。批量一致性主要取決于兩方面：一是產(chǎn)品設計方面，二是產(chǎn)品生產(chǎn)方面。電子模塊在設計時(shí)就必須考慮大批量生產(chǎn)時(shí)的一致性問(wèn)題，這個(gè)主要通過(guò)產(chǎn)品設計和生產(chǎn)工藝共同來(lái)保證。而在產(chǎn)品量產(chǎn)后，由于產(chǎn)品的頻繁變更帶來(lái)的一致性問(wèn)題則更為復雜和棘手，為此汽車(chē)電子行業(yè)針對產(chǎn)品變更制定了極為復雜、詳細且嚴格的變更流程及變更規則。

對電子模塊一致性產(chǎn)生影響的變更主要有以下幾個(gè)方面：

1. 因電子元器件變更（材料、工藝、場(chǎng)地遷移等）引起的變更。

2. 電子模塊本身設計缺陷引起的變更。

3. 采用新生產(chǎn)工藝引起的變更。

4. 客戶(hù)新需求引起的變更。

5. 為滿(mǎn)足新應用的變更。

電子模塊制造商為保證變更前后產(chǎn)品的一致性，需要在變更前充分評估變更帶來(lái)的影響，并在變更后進(jìn)行充分的產(chǎn)品級測試及整車(chē)級測試。產(chǎn)品級測試通常包括功能測試及性能測試，測試項目依據變更內容不同差異較大。若變更影響較大，在完成功能測試之外，還需要進(jìn)行多項性能測試，如高溫運行、低溫運行、耐久測試、電磁兼容性（Electro Magnetic Compatibility， EMC） 測試等。為降低變更成本，通常在產(chǎn)品級測試完成后進(jìn)行整車(chē)級測試。整車(chē)級測試的側重點(diǎn)主要在功能測試方面，如無(wú)必要，一般不會(huì )進(jìn)行整車(chē)級性能測試及實(shí)車(chē)道路測試。   

04 電子模塊車(chē)載應用條件

4.1 滿(mǎn)足車(chē)載應用的條件

整體來(lái)看，一個(gè)電子模塊需要同時(shí)滿(mǎn)足以下幾點(diǎn)，才可被認為滿(mǎn)足了基本的車(chē)載應用的要求：

1. 采用了汽車(chē)電子行業(yè)產(chǎn)品開(kāi)發(fā)流程。

2. 采用的電子元器件滿(mǎn)足 AEC 標準。

3. 電子模塊的功能及性能滿(mǎn)足行業(yè)標準要求。

4. 電子模塊的功能及性能滿(mǎn)足客戶(hù)標準要求。

以汽車(chē)電子 V 模型開(kāi)發(fā)流程為例，典型的 V 模型開(kāi)發(fā)流程如圖11 所示。

圖11  典型的汽車(chē)電子 V 模型開(kāi)發(fā)流程

V 模型的最重要特點(diǎn)就是每個(gè)開(kāi)發(fā)階段都對應一個(gè)測試階段，V 模型左側為設計開(kāi)發(fā)，右側即為驗證確認。另外，V 模型是一個(gè)高度嚴格的模型，下一階段必須在上一階段完成后才能開(kāi)始，且每個(gè)階段都有特定的可交付成果和審查過(guò)程，交付成果包括設計文檔及測試驗證文檔。

4.2 相關(guān)的標準體系及流程

汽車(chē)電子行業(yè)的標準體系、流程及工具如圖12 所示。

圖12  汽車(chē)電子行業(yè)的標準體系、流程及工具

汽車(chē)行業(yè)在近百年的發(fā)展過(guò)程中，出于對產(chǎn)品設計、測試、質(zhì)量及管理體系標準化的需求，逐漸形成了完善的標準體系及設計制造流程，同時(shí)也采用了很多質(zhì)量工具，以此來(lái)規范和指導汽車(chē)零部件的設計、制造及車(chē)載應用。汽車(chē)電子行業(yè)的標準、體系及流程眾多，如針對電子元器件的 AEC 標準，針對電子零部件的 ISO 16750 標準，汽車(chē)行業(yè)質(zhì)量管理體系的 IATF 16949 標準（2016 年發(fā)布，替代原 TS  16949 標準），針對質(zhì)量的 APQP （Advanced Product Quality Planning） 工具及 PPAP 流程等。

4.3 設計的重要性

汽車(chē)行業(yè)的各種標準類(lèi)似于社會(huì )的法律，如果一個(gè)人遵紀守法，不能說(shuō)他是一個(gè)好人，但他一定不是壞人，因為法律是對人們行為底線(xiàn)的要求。同理，對于汽車(chē)電子模塊來(lái)講，滿(mǎn)足各種汽車(chē)行業(yè)標準是車(chē)載應用的最基本要求，在此基礎上，決定電子模塊質(zhì)量和可靠性的，是產(chǎn)品的設計分析、測試驗證及變更管理，其本質(zhì)是電子模塊制造商的設計、制造及應用經(jīng)驗的積累，也就是通常說(shuō)所的 Know-How（訣竅、技巧、專(zhuān)有 知識），如產(chǎn)品的設計分析方法、各種檢查清單（Checklist）、設計準則 （Design Guideline）、測試用例（Test Case）、生產(chǎn)制造工藝、經(jīng)驗教訓總結（Lessons Learned）等。

如圖13 所示，以汽車(chē)電子產(chǎn)品設計中的最差情況電路分析（WCCA） 為例， WCCA 需要覆蓋電路設計中的每一個(gè)電路、每一個(gè)電子元器件。WCCA 通?？紤]兩重情況的疊加，也就是說(shuō)在考慮最高電壓時(shí)，需要同時(shí)考慮最高溫度，但不需要再考慮最高負載情況，這就是雙重疊加。不同的溫度和電壓就會(huì )產(chǎn)生六種組合，也就是常說(shuō)的三溫三壓。三溫是指三種溫度：-40℃, +25 ℃, +85 ℃;三壓是指 9V 、13.5V 和 16V（以乘用車(chē) 12V 系統、安裝位置在座艙為例）。

圖13  汽車(chē)電子設計常用的分析方法

WCCA 有一個(gè)測試無(wú)法替代的優(yōu)勢就是它可以根據元器件手冊中的參數及設定的工作條件進(jìn)行計算，而測試時(shí)使用的實(shí)際樣品卻無(wú)法覆蓋所有的參數范圍，畢竟測試的樣品數量及試驗室設備的測試范圍終歸是有限的，且有些工作條件無(wú)法或者很難模擬，而 WCCA 卻可以通過(guò)一定的算法計算出來(lái)。這就意味著(zhù) WCCA 可以覆蓋所有的元器件參數范圍及產(chǎn)品的工作條件，而測試僅可以覆蓋有限的情況；也就是說(shuō)，WCCA 可以通過(guò)計算來(lái)分析電子元器件的性能，而最終的測試僅僅是一個(gè)確認、 一個(gè)結果。

總的來(lái)講，一個(gè)好的產(chǎn)品首先是設計出來(lái)的，測試僅僅是一種驗證手段，其次才是生產(chǎn)，最后才是應用。設計得好，才能生產(chǎn)得好，然后才能用得好。如圖 14 所示，通過(guò)設計階段的產(chǎn)品測試可以發(fā)現元器件 / 電路的特性或者是缺陷，積累測試數據；通過(guò)產(chǎn)品的實(shí)際應用則可以發(fā)現應用中的問(wèn)題，積累應用數據，設計就可以進(jìn)行更新迭代，由第 1 代產(chǎn)品更新為第 2 代產(chǎn)品。長(cháng)期不斷的迭代后，通過(guò)各個(gè)環(huán)節就可以積累大量的數據及經(jīng)驗教訓，最后便會(huì )形成對這個(gè)產(chǎn)品的專(zhuān)有知識，也就是常說(shuō)的 Know-How。

圖14  設計的迭代及專(zhuān)有知識的積累

05 小結

本章從電子模塊的基礎功能實(shí)現入手，介紹了電子模塊的基本設計原理，以及車(chē)載應用對電子模塊的嚴苛要求，包括外部環(huán)境、電氣及電磁環(huán)境、可靠性及安全性要求、壽命要求、成本要求、生產(chǎn)要求等；隨后闡述了汽車(chē)電子行業(yè)的相關(guān)標準、體系及流程，給出了電子模塊滿(mǎn)足車(chē)載應用的條件；最后強調了設計對電子模塊的重要性。   

限于本章篇幅，環(huán)境要求部分并未展開(kāi)。實(shí)際上，了解車(chē)載應用的環(huán)境條件對產(chǎn)品設計至關(guān)重要，環(huán)境條件是真實(shí)的物理世界，測試標準是人們對物理世界認知的總結和標準化，以此來(lái)規范和約束產(chǎn)品的設計及應用。 

本文摘編自《廣義車(chē)規級電子元器件可靠性設計與開(kāi)發(fā)實(shí)踐》，機械工業(yè)出版社出版