編者按：8 月 13 日，「汽車之心·行家說」第 34 期邀請了黑芝麻智能科技 SOC 設計總監何鐵軍，分享車規級自動駕駛感知晶片設計的實踐與思考。
「汽車之心·行家說」由汽車之心主辦，辰韜資本聯合主辦。汽車之心致力於推動汽車與科技的融合。
我們認為車規級的感知晶片，就像自動駕駛域控制器的大腦，作為智能駕駛中的核心的器件，它要具有以下幾個特點：
首先，是高算力，不管做融合感知還是決策控制規劃，都需要大算力的支持。
其次，低功耗也非常重要。不同於其他工業類或消費類的產品，汽車上的應用環境是非常惡劣的。比如在太陽照射下，車內溫度會達到 60 - 70度，散熱是非常大的挑戰。所以晶片的功耗越低，發熱量越小，也更容易實現量產。
作為自動駕駛感知晶片，必須支持多傳感器接入。
最後，車規級也是必要的條件。
作為汽車的自動駕駛晶片，必須要滿足 ISO26262汽車功能安全等級的要求；還要滿足 AECQ100汽車可靠性的要求。
黑芝麻華山系列感知晶片的路線圖
黑芝麻智能科技創立於 2016 年，CEO 單記章先生在矽谷從業了 20 多年，也是世界知名的圖像晶片公司 OV（Omni Vision）的創始團隊成員。他本人擁有視覺感知領域 100 多項專利。
今天在歐洲和美國的很多車廠的視覺方面的技術，很早都是來源於 OV 最初的一些技術。
COO 劉衛紅在汽車製造和零部件研發行業多年擔任著名車企和零部件廠商的高管。
黑芝麻的核心團隊，大多數來自於國內外知名的汽車和IC設計公司，平均擁有超過 15 年以上的經驗。
我們的 IC 團隊有超過 10 顆中大規模晶片的量產經驗，這也是為什麼我們能夠在兩年之內連續研發出華山一號和華山二號，並且都一次流片成功。
IP 層面上，公司研發了兩個非常重要的 IP：
一個是高性能圖像處理 IP；另一個是低功耗神經網絡 IP。
這兩個 IP 可以保證自動駕駛系統在複雜的光線條件下，能非常清楚準確地感知外部的環境信息，然後讓晶片的神經網絡算力能夠充分發揮作用。
華山二號晶片，整個性能功耗比達到了6 TOPS/W。
黑芝麻華山系列感知晶片的路線圖，分為三個階段：
1.去年發布的A500的晶片，是 28 納米的工藝，能夠提供 5 到 10 TOPS 的算力，功耗小於 3 瓦。
目前這款晶片已經有客戶在使用。
2.今年我們又陸續發布了華山二號A1000 和A1000L。
這兩款晶片瞄準 L3 和 L4 自動駕駛。
A1000 是 16 納米工藝，能提供 40 到 70TOPS 的算力。
它也是滿足 ASIL-B 的汽車功能安全等級要求，在運行主流的神經網絡時，整個晶片的功耗不到 8 瓦。
A1000L 是針對 L2.5 級自動駕駛場景的，相對於 A1000 而言，算力和接口類型要稍微弱一點。它的算力水平也達到了 16 TOPS，整個功耗大概只有 5 瓦。
3.明年我們將會發布下一代華山三號A2000的晶片，A2000 是一個非常高端的面向 L4 和 L5 自動駕駛的晶片，我們預計會採用 7nm 的工藝，算力水平會達到單顆晶片 200TOPS。
同時它也會支持 128b lpDDR5，帶寬會達到幾百個兆每秒，功能安全等級預計會達到 ASIL C。
黑芝麻 A1000，是一個擴展性很強的晶片，它的架構支持 L2 到 L4 的應用場景。
作為一個獨立的 SoC，它也提供了非常豐富的的接口，可以實現晶片之間的級聯，包括乙太網接口、PCIE 接口等。
同時 A1000 也支持非常多的傳感器接入，包括相機、雷射雷達和毫米波等等，最多可以支持 12 路相機 1.2Gpps 的高動態圖像處理。
ISO26262 汽車功能安全
與 AECQ100 汽車可靠性設計
ISO26262 汽車功能安全等級越高，整個系統出錯的風險就越小。所以我們開發晶片的時候，都希望把功能安全等級做高一點。
常常有人問我，汽車功能安全跟其他的安全，比如數據安全有什麼不一樣呢？
汽車功能安全主要是針對兩種錯誤：
一種叫 Random fault；一種叫 Systematic fault。
前者主要講的是這個東西永久地損壞，後者是設計過程中引入了錯誤。
數據安全通常是指數據的完整性被破壞了，或者是數據傳輸過程中被竊取了。
雖然中文都叫安全，其實它是Security，汽車功能安全叫 Safety，是不一樣的。
黑芝麻從建立之初，我們從一開始就完全依照 ISO26262 的標準去建立安全團隊，我們的安全團隊成員都有相應的證書，我們的整個開發流程也符合 ISO26262 的要求。
除此之外，我們還設計了完整的安全架構，實現了非常多的安全機制，包括針對 memory 的保護，針對關鍵路徑的Redundency（冗餘），這些都是非常有效的手段。
還有我們針對一些關鍵模塊做的一些周期性的 LBIST 和 MBIST 檢測，都能及時發現後面的 fault。
另外還實現了錯誤檢測和終端錯誤上報的一些機制。
A1000 晶片的安全等級其實已經是非常高了，雖然我們是按照 ASIL B 設計的，實際上整個真正評估的話，是已經達到了ASIL C 的級別。
說到汽車安全等級的話，就不能不說 ISO 26262 Certification 的 Flow，它分三個部分：
一個是開發流程的管理，考察開發流程是不是符合 ISO26262 的要求；另一個是產品的安全機制，是不是滿足 ISO26262 的評分標準；還有產品是否符合，是不是 ISO26262 Complaint 標準。
只有三個認證做完了，才是完全符合 ISO 26262 的產品。
A1000 目前是國內唯一完成 ISO26262 ASIL B-ready 認證的 AD 和 ADAS 晶片。
ISO26262 解決的是什麼問題？——Random fault 和 Systematic fault 導致的功能安全的問題。
它提出了一系列的方法來解決 random fault，是通過設計一些 safety machinism 等。
如何解決 Systematic fault，是通過開發流程管理 Process Management 解決。
在車規級的設計裡，AECQ 100 就是核心的設計標準。在 AECQ100 中有非常多的 Test group，包括壓力測試，還有針對封裝的測試等。
做晶片的同仁都會發現，做 Consumer 或者是工業類的晶片也會做這些測試，這有什麼不一樣呢？
AECQ100 作為車規級的質量標準，它的測試項，是貫穿晶片從一開始設計到完成，從頭到尾都需要滿足特定標準的 Qualification。
而其他的晶片，不管你前面是怎麼設計的，採用何種工藝，只要最後通過了測試，就認為一款晶片是滿足要求。這是車規晶片與其他晶片在測試上很大的差別。
從測試樣品的數量來看，AECQ 100 測試的數量非常多，一般至少有三個 Lot，然後每個 Lot 可能要 77 顆，測試樣品的數量要多很多。
AECQ100 的每一個測試項的設計，包括測試條件和測試時長都不是隨便定義的，都是從產品的需求而來。不同的產品有不同的應用需求，它決定了不同的測試條件和測試方式。
車規級晶片的測試與製造
產品是否滿足 AECQ100，主要是依靠設計和製造，而不是測試出來的。
為什麼這麼說？
在車規晶片的設計過程中，首先要有一個 Mission Profile 的概念，它會定義一些常見的內容目標：
包括這個產品設計使用多少年，每天準備用多少小時，每天開關多少次，工作的環境溫度是怎麼樣的，這些都有詳細的參數。
基於 Mission Profile，再考慮選擇什麼樣的工藝，才能夠滿足 Mission Profile的要求，以及選擇什麼樣的 IP 才能滿足要求。
在選擇晶片產線時，也必須要選擇符合車規的產線。
最後還要強調Test Coverage的問題。
Test Coverage 一般是在 CP 和在 FT 測試的時候才會考慮，但是這個問題不能等到 CP 和在 FT 測試時候才考慮，一定要在設計階段就要去考慮。
因為做 FT 或者 CP 測試，實際上大部分情況是為了篩選生產的圓晶或者篩選封裝好的晶片，一旦這個篩選的結果是不可信的，相當於會把有問題的晶片拿去量產，這是非常危險的。
為什麼會造成把有問題的晶片拿去量產？
如果測試覆蓋率不夠高，就會存在邏輯有問題的晶片。例如損壞了，或者有問題的器件沒有被測試出來，導致有問題的晶片被拿去量產之後商用，這是非常危險的。
做車規晶片必須要選擇車規的產線，它需要通過各種的認證。車規產線不像工業類或者是消費類晶片的產線，整個生產的測試標準非常嚴格，會有更多的項目和測試點。
操作車規產線的工人，都是專人。同時，產線的文件記錄也會保存非常長時間，並且是可追溯的。這樣的措施，都是用來保證產線的生產良率，減少出錯。
Foundry 晶圓廠之外，封裝廠的車規產線和非車規產線也有很大的差別。
車規生產需要的材料可靠性遠遠高於非車規的產品，產線的生產記錄會保留 20年，產線設備也是通過 AECQ100 認證。
總結一下 AECQ100，它主要是解決在設計生產、製造、測試環節，如何保證 DPPM 的問題。
這要求晶片採用車規的工藝進行設計，選擇車規產線進行生產製造，設計中必須要滿足必要的 ESD 等設計要求，包括在封裝的設計過程中，也要考慮到車規要求。
測試環節應該選擇合適的實驗條件，必須要保證高標準。
當下自動駕駛量產對晶片的要求有哪些？
下面我們來說一下華山 A1000 系列 EVB 平臺的情況,目前我們已經開始提供這個板子給客戶使用了。
另外一塊板子是FAD 硬體平臺，目前是非常接近最終形態的車規級平臺。
FAD 的板子大概 9 月份可以提供給客戶試用。它採用了兩顆 A1000，可以支持 L3 自動駕駛的等級。
每個 A1000 支持高達12 路攝像頭輸入，也支持包括乙太網接口、PCIe 等接口來與外部的 MCU 做連接。
隨著自動駕駛等級不斷提高，車廠和 Tier 1 對自動駕駛感知計算平臺提出了非常高的要求：
第一個是算力。
現在主要的問題是算力不太夠。實際上真正能夠提供大算力的晶片目前不多。目前看到可能NVIDIA和特斯拉的晶片算力會比較高一點，其他的晶片都還處於L2級別。
第二個是功耗。
車上的應用環境比較惡劣，功耗越低，整個設備散熱成本都會降很多。
第三個是對第三方算法開放。
眾多的車廠和Tier 1都在不斷強調，這是一個非常大的發展趨勢。
同時晶片必須要滿足 ISO26262 和AECQ100，如果做不到符合 ISO26262 汽車功能安全設計的話，是不能用於量產車上的感知應用的。
要提供完整的工具鏈，以及從算法到晶片、硬體的全方位支持。
自動駕駛晶片未來的發展趨勢
自動駕駛晶片現在的整個趨勢是怎麼樣的？
2019 年 12 月，友商 N 公司正式發布了新一代用於自動駕駛和機器人的 SOC，並且宣布將於 2022 年在汽車上量產。
它是採用三星的 8 納米的工藝（實際上是 10 納米的工藝），有內置了 12 個 Arm 的高性能 CPU，提供 200 TOPS 的算力。目前它應該是算力最強的一個晶片了。整個晶片也是達到了 ASIL B 的等級。
我們看一下它的功耗：
如果是 L2 方案，單顆晶片即可實現。單相機和4相機的功耗分別是 15 瓦和 45 瓦,提供的算力是 30T 和 100 T，L3 方案是兩個晶片組合，400T 130 瓦；L4 方案是 2000T，功耗是 750 瓦。
黑芝麻對於下一代車規級自動駕駛晶片的規劃：
用於L4、L5 的自動駕駛的晶片 A2000 現在已經在進行預研，計劃採用臺積電 7nm 的工藝。
相比友商，我們預計晶片將會帶來更高的算力以及更低的功耗，和豐富的傳感器接入，能夠同時滿足 L2 到 L4 的自動駕駛。
晶片計劃於 2021 年底投片，到 2022 的 Q1 可能就開始可以供貨給客戶了，時間上基本上是與國外公司同步的。