AEC-Q100 车规认证：测试项目、温度等级与认证流程逐项讲清
车规与工业级芯片一篇讲过车规世界的三根支柱：可靠性、功能安全与长期责任，其中 AEC-Q100 车规认证专管第一根支柱——这颗集成电路在温度、湿度、电压、机械应力和长时间通电老化之后，还能不能保持参数合格。本篇是它的深挖版：不再泛谈“车规更严”，而是把认证的适用对象、Grade 0–3 温度等级、A–H 八组测试项目、样品批次与判定规则、以及认证报告怎么读逐项摊开，并说明它与 ISO 26262 各管什么、芯片设计者为什么在流片之前就要为它做准备。
本文要回答的问题
- AEC-Q100 是一张证书吗？谁发证，Q100、Q101、Q104、Q200 各管哪类器件？
- Grade 0–3 温度等级怎么划分，等级为什么会反过来决定应力条件？
- A–H 八组测试分别在逼出什么失效，HTOL、HAST、温循、ESD、闩锁各属哪一组？
- 一次完整认证怎样组织样品、批次、测试时点和失效判据，“零失效”到底意味着什么？
- AEC-Q100 与 ISO 26262 是不是一回事，通过认证的器件能否直接用于刹车控制器？
- 设计者不在质量实验室上班，为什么也要在架构和 RTL 阶段就关心认证？
一、先定性：AEC-Q100 是自认证的可靠性考试，不是一张证书
AEC（Automotive Electronics Council，汽车电子委员会）由整车厂与半导体供应商共同建立，目的是把各车厂互不一致的元器件可靠性考核统一成一套互认标准。AEC-Q100 车规认证适用于单片集成电路（IC），它不是政府或某个发证机构盖章的证书，而是一套自认证（self-certification）机制：芯片厂商按照标准规定的项目、样品数、应力条件和判据完成全部试验，形成完整的资格报告（qualification report），数据合格且经得起车厂审核，就可以宣称该器件“Q100 qualified”。车厂在器件导入与 PPAP 审核时审查这份报告与背后的质量体系，而不是去某个官网查一张证书编号。
Q100 只是按器件类型分工的标准家族之一，选错标准是新人最常见的错误：
| 标准 | 适用对象 | 典型器件 |
|---|---|---|
| AEC-Q100 | 单片集成电路 IC | MCU、SoC、电源管理芯片、传感器调理芯片 |
| AEC-Q101 | 分立半导体器件 | MOSFET、二极管、IGBT、三极管 |
| AEC-Q102 | 光电器件 | LED、激光器件、光传感器 |
| AEC-Q103 | 传感器 | MEMS 加速度计、陀螺仪、压力传感器 |
| AEC-Q104 | 多芯片模组 MCM | SiP、含多颗 die 或内嵌无源的模组 |
| AEC-Q200 | 无源器件 | 电阻、电容、电感、晶振、保险丝 |
还要注意两点边界。第一，Q100 考核的是可靠性：在规定应力和时间之后参数是否仍然合格；它不回答“坏了会不会伤人”，那是 ISO 26262 的领域。第二，认证结论绑定具体的制造商、晶圆厂、工艺、封装、产地与测试程序——任何一项关键要素变更，都可能触发再认证，车规器件不能像消费器件那样悄悄换料。
二、温度等级 Grade 0–3：等级不只是标签，它直接决定应力条件
AEC-Q100 按器件的环境工作温度范围把 IC 分为 Grade 0 到 Grade 4 五级，车用量产器件最常打交道的是前四级：
| 温度等级 | 环境工作温度范围 | 典型安装位置 |
|---|---|---|
| Grade 0 | −40 ~ +150℃ | 发动机舱、变速箱等最热位置 |
| Grade 1 | −40 ~ +125℃ | 发动机舱多数 ECU、底盘控制（最主流车规档） |
| Grade 2 | −40 ~ +105℃ | 车身控制、座舱内大部分电子 |
| Grade 3 | −40 ~ +85℃ | 有空调环境的乘客舱 |
| Grade 4 | 0 ~ +70℃ | 乘客舱低要求场景（实际车用量少） |
这里的温度是器件周围的环境温度，不是晶体管结温。芯片自身发热叠加在环境温度之上，所以 Grade 1 器件的结温在满载时可能远高于 125℃，散热设计要结合封装与封测里讲的热阻路径一起算。
等级的工程意义不止于数据手册上的一行数字。Q100 的应力条件是按 Grade 查表选取的：等级越高，高温工作寿命的结温口径越高、温度循环的极值越严酷、循环次数越多。也就是说，同一颗芯片按 Grade 2 条件认证合格，不自动等于 Grade 1 合格——声称哪个等级，就要按该等级对应的那一列条件完成全套试验。低温端同样有实际约束：−40℃ 下 MOS 阈值电压漂移、晶振频偏、Flash 读写时序收紧，静态时序签核和模拟参数都要在全温区闭合，不能只在常温验证后“外推”。
这张概念卡给出后文的索引：红色两组（A、B）是时间与环境的折磨，橙色两组（C、D）分别考核封装与硅片工艺，蓝色 E 组用电气测量做总判决，紫色 F/H 组则是统计筛选与装车环境补充。读资格报告时，可以按这六个面核对有没有缺项。
三、A–H 八组测试逐项：每组在逼出哪一种失效
标准把测试方法编号为 A1、A2……H2，按机理归入八组。下表列出最常被引用的核心项目，具体编号与条件以标准现行修订版为准。
| 组 | 组名 | 代表项目 | 针对的失效机理 |
|---|---|---|---|
| A | 加速环境应力 | PC 预处理、HAST/THB、AC 蒸煮、TC 温循、PTC 功率温循、HTSL 高温存储 | 吸湿“爆米花”、湿气腐蚀漏电、热膨胀失配引起的键合/焊点开裂、材料长期退化 |
| B | 加速寿命模拟 | HTOL 高温工作寿命、ELFR 早期寿命失效 | 带电高温下的经时老化（TDDB/NBTI 等）；浴盆曲线左端的出生缺陷 |
| C | 封装装配完整性 | WBS/WBP 键合剪切与拉力、SD 可焊性、PD 尺寸、SBS、LI 引脚强度 | 键合虚焊脱落、引脚吃锡不良、装配机械损伤 |
| D | 芯片制造可靠性 | EM 电迁移、TDDB、HCI 热载流子、NBTI | 金属线空洞、栅氧击穿、载流子损伤、阈值漂移——多为晶圆厂工艺级认证 |
| E | 电性验证 | TEST 应力前后电测、HBM/CDM 静电、LU 闩锁、CHAR 参数 characterization、FG 故障覆盖评估 | 运输与装配放电损伤、寄生可控硅闭锁、应力导致的参数漂移 |
| F | 缺陷筛选 | PDA 批次缺陷率、PAT 部件平均测试、SBA 统计 bin 分析 | 落在分布尾部的异常品、批次漂移、逃逸缺陷 |
| G | 空腔封装完整性 | MS 机械冲击、VVVF 变频振动、GFL/FLL 粗检漏与细检漏 | 空腔封装漏气、振动冲击下的结构失效（塑封器件多数项不适用） |
| H | 板级短脉冲抗扰 | 模拟装车板级瞬态脉冲（如 ISO 7637 类波形） | 线束上的耦合尖峰造成损伤或误动作，常在模块/系统级承担 |
几组之间有明确的叙事分工。A 组回答“环境能不能熬过”：比如温循让封装在 −55℃ 到 +150℃ 之间反复伸缩，逼着热膨胀系数不匹配的键合线和焊点疲劳开裂；HAST 用高温高湿加压把数月的潮气侵入压缩进几十到几百小时。B 组回答“通电老了会怎样”：HTOL 在加速结温下带电运行约 1000 小时，是寿命外推的主依据，配合 Arrhenius 等加速模型折算正常条件寿命；ELFR 用短应力、大样本专门截杀早期失效。D 组回答“这道工艺本身老不牢靠”：EM、TDDB 等通常由晶圆厂在工艺平台层面认证，IC 厂商引用工艺鉴定结果并承担设计选型责任。
读图抓住主干：紫色是规划，蓝色三次出现说明电测贯穿始终——参数漂移要和应力前基线对比才看得出来；红色分组应力是核心折磨环节，橙色是任何一颗失效样品都必须走的失效分析，绿色报告是最终交付物。G 组只对空腔封装适用，H 组常在板级承担，所以塑封量产器件的实际工作量集中在 A、B、C、E 加 F 的统计筛选。
F 组值得单独说，因为它最容易被误解为“测试项目”。PDA 对单批老炼失效比例设上限（典型判据约 1%，具体以标准与产品规范为准）；PAT 把落在总体统计分布尾部（如远离均值若干倍标准差）的部件挑出复核，哪怕它仍在数据手册限值内；SBA 观察 bin 的统计形态是否异常。它们不是施加应力，而是用统计手段识别“虽然合格但不正常”的边缘品，这与良率模型里缺陷分布的思路一脉相承。
四、认证怎样组织：三批次、样本量、测试时点与“零失效”的统计含义
Q100 不是抽几颗样品碰运气，整套规则都在防止“刚好抽到好品”。样品必须来自至少三个不同制造批次（conformance lot）、走受控量产工艺；各项目规定最小样本量，典型例子是 HTOL 每批约 77 颗、三批共 231 颗，而 ELFR 因针对早期失效、需要更大样本，每批达数百颗量级。判定采用计数方案：多数关键项目要求零失效，或落入标准规定的允许失效数；一旦超限，必须完成失效分析、整改并重新认证，不能“换几颗样品重抽”。
“231 颗跑 1000 小时零失效”并不等于“永远不会坏”。它给出的是一个置信度下的失效率上界：按卡方统计，零失效条件下失效率上界约为 2.3 除以总器件小时数，231 颗 ×1000 小时对应个位数量级 FIT 的上界——这正是车规用样本量和时长“买”统计置信度的方式，与浴盆曲线的偶然失效段治理直接相关。
| 规则要素 | 典型要求 | 设计目的 |
|---|---|---|
| 批次来源 | ≥3 个合格批次，受控量产工艺 | 覆盖批次间波动，防止单批偶然合格 |
| 样本量 | 按项目查表（HTOL 约 77 颗/批，ELFR 数百颗/批） | 支撑失效率上界的统计置信度 |
| 测试时点 | 应力前、中间 readpoint、终点三温电测 | 分离早期漂移与终点失效 |
| 温度条件 | 按申报 Grade 对应列执行 | 让结论与温度等级绑定 |
| 失效判据 | 关键项目零失效或规定允许数 | 超限必须失效分析并重新认证 |
| 封装/工艺代表 | 用最恶劣或全部代表性封装构型 | 覆盖不同封装尺寸、模塑料与引脚构型 |
时序图的关键在中间 readpoint 与失效分流：应力不是跑完才看，而是在规定时点复测，以区分“中途失效”和“挺到终点”；任何失效都先走失效分析而不是重抽。报告里每个数字必须能回溯到批次、样品、设备、条件与程序版本，这与 CP 与 FT 测试里“结果必须绑定口径”的纪律完全一致。
认证通过后还有持续义务：工艺、晶圆厂、封装材料、键合线供应商或设计变更要走 PCN（变更通知）并评估再认证；量产维持 PAT/PDA 等统计监控；现场返回件要做失效分析反馈。因此资格报告不是一次性文件，而是一份长期维护的质量承诺。
五、AEC-Q100 与 ISO 26262 的分工：一个管“经不经造”，一个管“坏了闯不闯祸”
两者经常被并称为“车规双证”，但它们正交：Q100 是可靠性标准，回答器件在应力与寿命下是否保持参数；ISO 26262 是功能安全标准，回答器件发生随机故障后系统能否发现并安全收场。一颗芯片可以 Q100 qualified 却没有任何锁步核或 ECC、不支持任何 ASIL 等级；反过来，声称 ASIL D 的器件通常也必须先具备 Q100 级别的可靠性，否则安全机制自身会先老化失效。
| 维度 | AEC-Q100 | ISO 26262 |
|---|---|---|
| 核心问题 | 经不经造：应力后参数是否合格 | 坏了怎么办：故障后能否避免伤害 |
| 对象 | 元器件（IC/分立/无源各有标准） | 整车、系统、硬件、软件全生命周期 |
| 证据形态 | 资格报告（应力数据、样本量、判据） | 安全档案：HARA、FMEDA、SPFM/LPM/PMHF |
| 典型手段 | HTOL、温循、HAST、ESD、闩锁、统计筛选 | lockstep、ECC、BIST、看门狗、冗余与隔离 |
| 失效观 | 降低失效率，压低早期与耗损失效 | 假设故障必然发生，靠诊断与安全状态兜底 |
两条线在 PMHF 处交汇：ISO 26262 要求 ASIL D 的危险失效率约 10 FIT 量级，而这个 FIT 底数正是 Q100 可靠性数据与工艺故障率库提供的。没有可靠性做地基，FMEDA 里每个模块的失效率数字就没有出处。功能安全机制本身（ECC、锁步）的原理可回看车规与工业级芯片的安全章节，本篇不重复展开。
六、车规与消费级的差异如何落到认证上，设计者为什么必须关心
同样一颗 die，消费级卖法与车规卖法在认证维度上的差异可以归纳为：
| 维度 | 消费级器件 | 车规器件（Q100） |
|---|---|---|
| 温度承诺 | 多为 0~70℃，高温“能工作”不保证全参数 | 申报 Grade，全温区全部参数签核 |
| 可靠性证据 | 厂商内部抽检为主 | 三批次全套应力、资格报告随车厂审核 |
| 静电与闩锁 | HBM 常 ±2kV 量级 | HBM 常 ±8kV 量级，CDM 与闩锁单独考核 |
| 变更管理 | 可静默换料改板 | PCN 先行，可能触发再认证 |
| 寿命视角 | 2–3 年使用模型 | 15 年、长供货，老化机理逐项外推 |
| 缺陷处置 | 分布尾部品可能照常出货 | PAT/PDA/SBA 统计筛选加严 |
设计者无法在认证开始后才补救这些问题，所以认证要求必须向左移动到设计阶段：
- 规格与降额：数据手册的温度、电压、频率限值要留出应力余量，读懂数据手册时就要按申报 Grade 核对全温区参数；模拟与 IO 在 −40℃ 和高温端的 corner 必须闭合。
- ESD 与闩锁目标前置：±8kV HBM、CDM 与 latch-up 目标在版图规划阶段就是硬约束，pad 环、电源钳位和隔离间距不能认证失败后再挤面积。
- 工艺与寿命设计：金属线电流密度按电迁移规则降额、栅氧电压按 TDDB 留余量，D 组机理本质上是设计规则与工艺选型问题；这也是车规偏好成熟工艺的原因。
- 可测性配合：应力前后三温电测、老炼入网与 PAT 都依赖测试向量和参数覆盖，DFT 可测性设计要把应力监测、BIST 和关键参数直测量提前规划。
- 变更冻结意识：流片后的任何工艺、封装、电路变更都可能让资格报告作废重来，车规项目对改版与 errata的容忍度远低于消费项目，一次做对的经济账在芯片成本里最直观。
- 软错误不在 Q100 里：α 粒子与中子翻转属于另一条失效线，需要在功能安全 FMEDA 中另行处理，背景见软错误与 SER。
时间与金钱成本由此而来：全套认证占用多批次样品、上千小时机台与失效分析资源，通常横跨数月；若中途失败，整改、重流片与重新认证会把器件装车时间推后一年以上。把 Q100 当作“量产后补的一场考试”是最贵的做法，成熟团队在架构定义阶段就把目标 Grade、目标市场（Q100 还是 Q104）、封装构型和认证项目清单写进需求。
这一篇在知识体系里的位置
本篇是车规与工业级芯片中可靠性一条线的认证流程深挖，功能安全（ISO 26262、ASIL、lockstep、ECC）的完整展开以那一篇为准。应力测试依赖的量产测试基础设施见 CP 与 FT 测试，缺陷与批次统计的概率论基础见良率模型；封装应力与散热路径归封装与封测，测试向量与内建自测归DFT 可测性设计，全温区签核的时序侧归静态时序分析。现场失效中的辐射一类则属于软错误与 SER的语境，不要与认证应力混为一谈。
总结
AEC-Q100 车规认证是单片集成电路进入汽车供应链的可靠性自认证考试：没有机构发证书，厂商按标准用至少三个受控批次的样品完成 A 环境应力、B 寿命模拟、C 封装完整性、D 芯片工艺、E 电性验证、F 缺陷筛选、G 空腔封装、H 板级脉冲八组项目，凭完整资格报告接受车厂审核。温度等级 Grade 0–3 按 −40℃ 起、上限 85/105/125/150℃ 划分，等级不仅是数据标签，还决定 HTOL、温循等应力按哪一列条件执行；“77 颗×3 批、1000 小时零失效”的本质是用样本量和时长买到置信度下约个位数 FIT 的失效率上界，而非保证零故障。AEC-Q100 与 ISO 26262 正交——前者用应力与统计筛选压低故障概率，后者假设故障必然发生并要求安全机制兜底，二者在 PMHF 的 FIT 底数处衔接。对设计者而言，Grade 目标、ESD/闩锁指标、电迁移降额、全温区签核、DFT 配合与变更冻结都必须在流片前就位，因为认证失败的代价不是重测，而是整改后重新认证和一整年的装车延期。