第317章 车规晶片的功能安全评审
读一本书，过一段人生。
  “一千二百三十七个注入点，覆盖安全目標相关的所有关键信號路径和计算单元。”秦崢把故障注入测试的覆盖率矩阵投到副屏上，“隨机硬体故障的覆盖率按iso 26262-5的要求做到了asil d级別的百分之九十九以上。系统性失效的避免措施通过了独立的功能安全评估。”
  评审组里最年轻的一名专家举起手：“热管理边界的实车验证数据，请单独展示。”
  这是秦崢预料之中的问题。天权5车规版在第二轮实车路测中暴露过局部热管理问题——在某些极限工况下，晶片內部某个计算单元的温升速度比预设模型快了约百分之八。虽然这个温升没有触及安全閾值，但它说明热模型在极端工况下的精度还有提升空间。
  秦崢没有迴避，直接把那组问题数据调了出来。
  “第二轮路测中发现的局部热管理偏差，根因已经定位。封装內部的局部热点分布与仿真模型的差异主要来自基板材料的热导率实际批次偏差。我们在第三轮路测前更换了封装基板的来料检验標准，同时调整了热管理策略中的降级触发閾值。第三轮路测数据表明，问题已经收敛到可接受范围內。”
  “可接受的范围是多少？”领衔专家追问。
  “最极限工况下，热管理策略启动前，晶片结温与安全閾值的差距从原来的百分之八缩小到百分之二点三。安全閾值本身保留了百分之十五的设计余量，因此实际风险为零。”
  评审组没有立刻表態，而是把第三轮路测的原始数据调出来自己看了一遍。
  房间里安静了几分钟。
  秦崢没有催促，也没有补充。他知道，在功能安全评审中，专家们自己看到的数据比他说一百句话都管用。
  第二轮评审转入更细粒度的时序分析和细抖问题。
  这是天权5车规版在实车路测中暴露的另一个薄弱环节。在某些工况切换的瞬態过程中，控制信號的时序会出现微秒级的细抖动，虽然幅度远低於功能安全標准规定的最大允许偏差，但专家组关心的是这种细抖动的根本原因和长期稳定性。
  负责时序分析模块的工程师被叫到台前。他是车规晶片团队里最年轻的成员，只有三年工作经验，但天权5的时序收敛工作有一半是他完成的。他站在屏幕前，声音有一点紧，但技术表述非常精准。
  “细抖动的根源有三类。第一类，时钟路径上的电源噪声耦合，已经通过增加本地去耦电容和优化供电网络解决。第二类，异步时钟域之间的握手信號在不同工况下的延迟变化，这部分通过调整握手协议和增加弹性缓衝解决。第三类，也是唯一还有残余的，是晶片內部某些共享资源的总线仲裁在不同负载下的时间不確定性。目前残余细抖动的幅度在最坏情况下为六百纳秒，而功能安全標准对该类信號的最大允许偏差为十微秒。我们有十倍的余量。”
  评审组一位专攻硬体安全的专家追问：“六百纳秒是实测值还是仿真值？”