2021年03月16日 | 特斯拉“失控门”失控，数据和芯片的锅？

3月11日，美国底特律市，特斯拉Model Y又双叒叕撞上白色大货车，车顶被削，现场十分惨烈。

看国内，近一个月，有记者采访全国各地近20位经历严重车祸的特斯拉车主，发现事故大多相似：突然加速，刹车失灵，车主重伤，不撞上强大障碍物不停车，更有的狂奔8公里之遥。特斯拉的回应不想也知：驾驶员一直踩加速踏板，并未刹车。这么先进的车，“黑匣子”数据一公开不就结了？要么在那里扯皮，要么数据消失。一次两次也就算了，却是一而再再而三。

这些应该是“3.15”是事，我们管不了。倒是前不久一则“特斯拉5nm自动驾驶（AV）芯片将与三星合作开发”的消息让人发问：不要说自动驾驶，现在用14nm“正常”行驶都这样了！5nm难道就是救命稻草？不是挑战更大吗？

看看半导体行业一些头部公司高管对芯片和封装、系统和数据、可靠与安全、ADAS和自动驾驶，特别是现场验证的讨论，或许可以帮助我们悟出点什么。

5nm是一个未知的世界

国内关于特斯拉与三星的报道似乎有误：“为其自动驾驶汽车的车载信息娱乐（IVI）或媒体控制单元（MCU）开发一种5nm半导体。”

业界正在试图开发5nm汽车AI芯片，工艺变化、电迁移、电磁干扰、电力传输问题和检测的挑战比比皆是。我们过去从来没有把一个先进节点芯片放到汽车这样极端的环境中，是否真的了解前方“路况”以及如何应对呢？

PDF Solutions先进解决方案副总裁Dennis Ciplickas说：“5nm芯片是一个全新的世界，我们从未去过。获取、吸收和连接所有数据都面临着挑战。先进技术的关键实际上是要了解丢失了哪些数据。例如，5nm的中间工序（MOL）有三维的电相互作用，你根本看不到物理检测。这是我们一直追求内联‘检测设计’的一个主要原因，为的是获得泄漏的敏感测量值，进而发现有可能转化为实际缺陷的潜在缺陷。要正确响应，首先必须知道缺陷的存在，这意味着必须创建新的数据。仅仅将数据作为制造过程的工件来表示是不够的，需要区分数据。”

对汽车应用来说，先进封装也是新的东西。虽然多芯片模块已经存在了几十年，但其封装并不像我们看到的传感器融合或一些7/5nm芯片那样。封装对可靠性也有影响，这是必须处理的另一层复杂性。

yieldHUB业务开发经理Andre van de Geijn认为：“这取决于芯片用在汽车的哪个部分。如果用在娱乐系统，可以使用与数百万部手机相同的组件，你可以信任这些组件。如果你的手机故障率很高，可以换一个。许多公司说，这只是一个组件，我可以取出模块，放入一个新的模块来替换。这与汽车管理系统中的封装完全不同。制造座椅前后移动按钮的公司会开发出全新的技术，在这些按钮失效时可以更换。但如果是汽车管理单元，那就完全不同了。”

proteanTecs汽车部门总经理Gal Carmel说：“先进封装增加了另一层复杂性，因为它缺乏可见性，并且依赖于高密度架构，从而限制了冗余退路（fallback），而汽车系统需要冗余。此外，芯片的人工智能（AI）部分正在增长。它不仅涉及到封装和先进节点，而且芯片架构是AI驱动的，并使用现场推理和训练来不断改进硬件架构。使用这个反馈回路，就可以减少硬件冗余并优化复杂性。”

OptimalPlus汽车业务部门副总裁兼总经理Uzi Baruch表示：“封装确实增加了层次结构和组装组件的复杂性，需要在三个维度相互关联。这本身就引入了数据的语义概念。它有多个向量，其中一个也是层次元素。它确实增加了复杂性，因为一个组件不能看作一个单独的单元，必须考虑组件的层次结构。如果你不这么做，你从分析中得到的东西就会非常有限。然而，如果你做的对，就可以精确定位问题所在。”

Ciplickas说：“由于组件间的相互作用，封装中的系统或3D集成将带来新的失效模式。芯片到芯片的通信不同于芯片到板的通信，并且电热/机械交互作用也不同。一家汽车制造商说过，在应力下，SRAM的失效方式是可预测的，但他们实际上是在仪器上测量的。这导致了如何在ECU外壳中构建挂载点（mount point）的PCB设计规则。挑战在于，将3D或2.5D集成封装放入恶劣环境后果会怎样。所以不仅仅是芯片间的通信。这些封装的热分布和你想象的不同，会改变其膨胀和应力，然后会改变性能，因为我们知道应力会改变器件的行为。了解单个芯片在晶圆分类测试中的行为，然后了解封装中的内容——进行封装级评估，并将所有这些放在一起——是一个巨大的挑战。在汽车中使用先进的2.5D集成是一个全新的尝试，尤其是在安全关键的系统中。”

软件可能会产生意想不到的后果

现在，整个行业都在探讨软件定义汽车，先进一点的汽车（如特斯拉）都用软件来控制某些功能，还有OTA（空中下载技术）。如果你更新了一个复杂软件系统的一部分，就有可能影响到这个系统中的所有东西。如果你添加了大量软件，在硬件不支持的情况下，车辆性能就会下降，甚至会影响到路上的其他车辆。

Ciplickas说：“软件很有挑战性，因为它不遵循任何物理规则。硬件听起来很难，但它实际上遵循一些边界条件。有了软件，你可以改变一切，这可能会产生很多意想不到的后果。”是什么后果呢？

Carmel认为：“利用深度数据，我们可以将硬件虚拟化，更好地感知软件操作的影响。通过这些虚拟化，你可以转向一种自适应软件模型，该模型针对车辆的ECU性能和现场退化进行定制。人工智能（AI）应用增加了芯片上AI的比例，以满足软件的需求。这将有助于减少冗余并确保优化功能。此外，实地推断和训练将不断改进硬件和软件之间的相互作用。”车辆中各系统，特别是传感器、雷达等的冗余对于安全至关重要，怎么优化的确是个逆坂走丸的事情。

最大挑战是安全性

在设计方面，可靠性和安全性密不可分。最大的挑战是如何在这些系统中建立安全机制？

Ciplickas认为：“安全性有很多方面，但一些用于优化可靠性的技术和测试可以提供提升安全性的工具。例如，调试监视器或漂移和移位监视器可以检测某些类型的攻击，无论是在t = 0时检测到的，还是在现场检测到的异常行为或漂移。这些监视器已经被用于系统运行和优化，两者之间有相关的基础设施，尽管它们的应用方式非常不同。”

Carmel说：“这是一个使用数据的机会，因为你提供的数据越有价值，芯片的签名就越好。最终，这些数据会帮助你理解是否有异常。这对关闭有问题的车辆可能更为紧迫。使用深度数据，你可以创建24/7车队可见性，并在问题发生时立即确定问题。”

现在，汽车系统中移动的数据量非常巨大，是否真的能够检测到一个非常轻微的异常呢？

Carmel接着说：“基于通用芯片遥测的深层数据有助于深入了解实际芯片和系统的操作、性能、可靠性裕度和性能退化。这种真实世界的数据并不依赖于触点的转移，而是依赖于实地操作的输出。”

Ciplickas介绍说：“关于信号和噪声，业界已开发出可以找到信号的技术。如果在加工晶圆或引线键合时观察设备上的传感器数据，就能得到的各种各样的信号。在这些信号中发现的异常有时是微小的光点。利用机器学习技术，在原本‘好’的噪声海洋中可以找到那些微小的斑点。与其把它看作是一种制造晶圆的设备，不如把它看作是一个在现场运行的系统，了解这些微小的光点是有可能的。”

KLA战略合作先进总监Jay Rathert认为：“最大的挑战不是看到缺陷本身，而是理解哪些缺陷是相关的，哪些可能成为潜在缺陷。将设计和改进测试联系起来才价值。两者结合越紧密，并拥有一个迭代或协作、对齐的数据集，就越能更好地理解芯片上需要发生什么样的输入和输出。我们需要架起设计与测试的桥梁，消除产品生命周期中存在的各种问题。”

使用上游数据理解下游信号是一种非常强大的技术，它有助于预测潜在的问题。
Baruch说：“人们往往倾向于研究预测模型，但是他们忽略了这样一个事实：功能集——实际上对预测事物的能力有很大贡献。它可以过滤噪声、发现什么重要什么不重要，以及任何问题的根本原因是什么。我们经常使用左移（shift-left）模式（把位于传统软件开发流程中最后阶段的测试往前提）。为避免大海捞针，好的模型可以帮助你发现什么是优先权问题，只要你决定从哪个角度来看即可。建立了这些模型，你就会预测一些东西，你也需要一些人来修复那些模型中错误的属性。”

远未到制造全自动驾驶汽车的时候

ADAS和自动驾驶似乎并不是一回事。进入完全自动驾驶，必须开始思考系统之系统（SoS）的协作。如果汽车使用不同代的芯片和软件，会发生什么呢？

Carmel说：“从ADAS到AV的基本意义是了解它们经历了什么样的失败。最终，需要定义性能范围。每辆车都有自己的性能范围，因为它有不同的硬件，不同的软件，不同的级别。当你确切地知道如何定义这个性能范围，并在可靠性和安全性之间建立平衡时，你就可以控制车队了。使用深层数据，我们可以定义每个模型和每个单元的独立功能，并勾勒出一个自动驾驶层次结构。”

National Instruments运输市场负责人Jeff Phillips指出：“围绕自动驾驶的要求、用例、期望和标准都与现在有很大变化，包括车辆的反应，以及当人的生命处于危险之中时，芯片是否可以做出决定。最终，我们还要弄清楚如何把系统整合在一起，然后从生产开始验证芯片的行为。最重要的是，我们需要建立适当的行为和自动驾驶性能，利用算法使汽车作出正确的决定。这当中数据是关键。”

会不会有一天可以看到自动驾驶车辆出现在地理围栏区域以外的地方，比如在高速公路上为其设置一条车道，在离开高速公路时再由人来接管？

Geijn认为：“改进产品和组件并从中学习是需要时间的。自动驾驶不是某一天开启功能就可以实现的。在接下来的10年里，它会不断改善，直到真正拥有一种你觉得舒适的东西，它可以做人类能做的80%或90%的事情。”

Carmel表示：“让车辆逐渐驶出地理围栏区域的关键是覆盖范围和可扩展性。当在地理围栏区域外运行时，可靠性和可预测性将确保可以遵循故障安全协议，这需要对ECU的操作能力和安全状况有绝对的确定性。这只能通过连续监测和非侵入式现场系统完整性验证来实现。”

Ciplickas补充说：“这听起来像是一种非常自然的进化。从一个区域开始，基于学习表现良好，然后不断扩大。这将给我们带来大量的学习，从而实现下一级别的自动驾驶。”

Baruch认为：“在中国，从法规的角度看相当宽松，而欧洲国家远不是这样。完全自动驾驶和完全电气化是一个趋势重叠，在向市场推出新车时，主机厂可以同时做很多事情。法规和罚款正在推动电气化，在这个方向动作很大，而制造全自动汽车并未迫在眉睫。”

缺失的不是先进制程

我们似乎离拆卸汽车方向盘还有很长的路要走。造车新势力现在缺少的不是先进制程，而是车辆定型之前的各种安全验证。

丰田汽车2020年全球销量达到952万辆，排名第一，特斯拉为49万辆，电动汽车老大。如果前者也那样事故频发，真是太恐怖了！