可靠性工程：AEC-Q100 与老化
更新时间：2026-10-01。功能验证回答的问题是「芯片能不能正确工作」，可靠性回答的是另一个问题：「它能不能在发动机舱 −40°C 到 +150°C 的环境里，正确工作 15 年、几千到上万小时不停机」。这是一条与功能、时序、功耗并列的签核维度，在车规、工业、航天领域甚至是一票否决项。这一篇把 AEC-Q100 可靠性的完整链条——失效物理、加速试验、寿命外推、设计余量、认证流程——走一遍。
本文要回答的问题
- 芯片的失效率为什么是「浴盆曲线」？FIT、MTBF 到底怎么算、怎么用？
- AEC-Q100 的 Grade 0/1 温度等级怎么划分，车规件和消费级差在哪？
- 不可能真的把芯片跑 15 年再认证，HTOL 凭什么用 1000 小时高温试验证明寿命？
- NBTI、HCI、TDDB、EM 这些缩写背后的物理过程是什么，各自让电路怎么坏？
- 设计师在 RTL、STA、电压和温度上要留多少余量，才算把老化考虑进去了？
一、浴盆曲线：可靠性到底在度量什么
把一大批同型号器件的瞬时失效率（hazard rate）随时间画出来，形状像一个浴盆，分三段：
- 早期失效期（infant mortality）：失效率从高位迅速下降。这一阶段的坏件不是用坏的，而是造出来就带着缺陷——栅氧针孔、金属划伤、键合虚焊。它们在应力下迅速暴露。
- 恒定失效期（useful life）：失效率低且近似常数，失效原因以随机事件为主（宇宙粒子翻转、静电、浪涌）。这一段的失效率就是 FIT 度量的对象。
- 耗损期（wear-out）：累积性损伤到达临界，失效率重新抬升。NBTI、TDDB、电迁移在这一阶段集中兑现。
这张图是全篇的总纲：工程手段分两类，拦左边的是「筛选」（老化、应力测试，让缺陷件在出厂前坏），推右边的是「寿命设计」（余量、降额，让耗损点晚于产品报废）。两者都不能省。
可靠性的量化口径只有两个常用单位：
| 指标 | 定义 | 典型量级 |
|---|---|---|
| FIT（Failures In Time） | 每运行 10 亿小时发生的失效次数 | 消费级数百 FIT；车规常要求 < 10 FIT |
| MTBF / MTTF | 平均无故障时间（可修复系统用 MTBF） | 100 FIT 对应 MTBF ≈ 10⁷ 小时（约 1140 年） |
直觉上「MTBF 1000 年」像吹牛，但它描述的是大群体的失效率：100 万个器件、每个 100 FIT，意味着平均每年坏约 876 个。车厂算质保成本、产线算停机损失，用的都是这个群体口径，而不是单颗芯片的实际寿命。
FIT 预算是自顶向下分配的。一辆车有上百颗关键 IC，系统失效率近似各器件 FIT 之和（串联可靠性：任何一颗失效都算系统失效）。车厂先按整车安全目标切到域控制器，再切到单板、单芯片，SoC 厂商拿到的往往是「整芯片 < 10 FIT」这样的指标，再由芯片团队按模块、按失效机理继续分。这也是车厂偏爱成熟工艺的原因之一：同一款设计在老工艺上已经跑了多年，FIT 是有现场数据支撑的；先进工艺的 FIT 只能靠加速试验和模型推算，置信度天然弱一档。
二、AEC-Q100：车规的入场券
AEC-Q100 是汽车电子委员会（Automotive Electronics Council）针对集成电路的应力测试规范，Q100 对应 IC（Q101 是分立器件、Q200 是无源器件）。它本身不发证书，是供应商与车厂（Tier1/OEM）之间的技术约定：通过了规定的全套应力测试，才被允许写进车厂的 AVL（认可器件清单）。
最常被引用的是环境温度等级：
| Grade | 环境温度范围 | 典型安装位置 |
|---|---|---|
| Grade 0 | −40°C ～ +150°C | 发动机舱、变速箱等最热位置 |
| Grade 1 | −40°C ～ +125°C | 发动机舱大多数 ECU |
| Grade 2 | −40°C ～ +105°C | 座舱内、车身控制 |
| Grade 3 | −40°C ～ +85°C | 座舱信息娱乐等温和环境 |
Grade 数字越小越严酷；注意「环境温度」不是结温，芯片实际结温还要叠加自身功耗，Grade 1 器件的结温设计上限常按 135–150°C 考虑。除了温度，Q100 还按器件复杂度分 Rev（如微处理器/SoC 走最复杂的 Rev C/D 测试组），每组要求的样品量和试验项目不同。
车规与消费级的差异，体现在流程而不只是指标：认证必须用三个独立生产批次的样品，证明的是「量产工艺稳定可重复」而不是「实验室挑出的精品」；认证之后任何晶圆厂、工艺、封装、甚至键合线材料的变更都触发 PCN（Product Change Notification）和重新评估。消费级换料通常只走内部变更单，这是很多消费料「参数看着够、上车不敢用」的根本原因。车规与功能安全（ISO 26262）是两套体系：Q100 管器件坏得慢，功能安全管坏了之后系统怎么办，可回看 功能安全 ISO 26262 与 FMEA。
三、加速寿命试验：用 1000 小时换 15 年
没人能把芯片跑 15 年再卖。加速试验的思路是：在物理模型成立的前提下，用高温、高压、温变等应力压缩时间，再按模型外推回正常条件。AEC-Q100 的核心试验组如下：
| 试验 | 应力条件（典型） | 时长/次数 | 针对的失效 |
|---|---|---|---|
| HTOL 高温工作寿命 | 结温 125–150°C，额定或偏上电压，动态上电 | 1000 小时 | NBTI、HCI、TDDB 等综合老化 |
| TC 温度循环 | −55°C ↔ +150°C 空气温变 | 1000 次起 | 热膨胀失配、焊球/键合断裂 |
| HAST 高加速温湿应力 | 130°C / 85%RH / 加压，偏置或非偏置 | 96–264 小时 | 潮气侵入、腐蚀、封装漏电 |
| AC/HTC 高温存储 | 150°C 不带电存储 | 1000 小时 | 无偏置热化学反应 |
| ESD/Latch-up | HBM/CDM、过压触发 | 每脚分类打 | 瞬时损伤与闩锁（见 ESD/Latch-up 设计） |
HTOL 是寿命认证的主干。把 1000 小时高温结果换算成常温寿命，靠的是 Arrhenius（阿伦尼乌斯）模型：反应速率随温度指数增长，加速因子
AF = exp [ (Ea / k) × (1/T_use − 1/T_stress) ]
其中 Ea 是活化能（按失效机理取 0.3–1.1 eV，NBTI 类约 0.3–0.5，热激活缺陷约 0.7），k 是玻尔兹曼常数，温度用开尔文。粗算一下：Ea = 0.7 eV、应力 135°C、使用 55°C 时 AF 约 40–60，1000 小时 HTOL 对应几万小时——再叠加电压加速（电场使反应更快，常用 V 幂律或指数修正），凑够 10 年以上的等效寿命。
把数字代进去感受一下数量级：Ea 取 0.7 eV，T_stress = 408 K（135°C），T_use = 328 K（55°C），k = 8.617×10⁻⁵ eV/K。Ea/k ≈ 8120 K，而 1/T_use − 1/T_stress ≈ 6.0×10⁻⁴ K⁻¹，两者相乘约 4.9，于是 AF ≈ e^4.9 ≈ 130：1000 小时 HTOL 对应约 13 万小时（约 15 年）。如果只按温度外推不够，再叠电压加速，常用 AF(V) = (V_stress/V_use)^n，n 取 2–4，1.1 倍电压就能再给出 1.2–1.5 倍因子。
图里那个前提是最容易被滥用的地方：加速模型只在「同一失效机理主导」时成立。温度加到 200°C 以上，塑料封装碳化、焊点熔化，这些失效在用户环境根本不会发生，外推毫无意义。所以规范对每个试验都规定应力上限。另外外推是统计问题：跑 77 颗、1000 小时、零失效，并不等于「真实失效率为零」，而是在给定置信度下给出失效率上界，常用的零失效公式是 FIT 上界 ≈ 10⁹ × χ²(2, 置信度)/(2×总器件小时数)，60% 置信度下约 0.92/T，90% 置信度下约 2.3/T。样品量越大、零失效，下界寿命越高，这就是 Q100 对每组样品颗数有硬性规定的原因。
四、四种主导老化机理：芯片到底怎么「旧」
先进节点下真正决定耗损期位置的，是四类物理过程：
- NBTI（负偏置温度不稳定性）：PMOS 栅极长期负偏置加高温，Si/SiO₂ 界面生成陷阱并断键，阈值电压 |Vth| 上升，晶体管变慢、驱动变弱；撤掉应力后部分恢复，这给测量和建模都带来麻烦。PBTI 是 NMOS/高 K 介质上的对应物。
- HCI（热载流子注入）：高电场下电子被加速成「热载流子」，撞进栅氧形成固定电荷和界面态，也是 Vth 漂移、跨导退化，沟道越短越显著。
- TDDB（经时介质击穿）：栅氧里的缺陷随时间累积成一条导电通路，先是软击穿漏电增大，最终硬击穿短路。氧化层越薄越敏感，是「寿命终点」式失效。
- EM（电迁移）：导线中运动电子持续撞击金属原子，把原子推着走，长期造成空洞（开路）或晶须（短路）。电流密度越高越严重，签核用 Black 方程（中位寿命 ∝ J⁻ⁿ·exp(Ea/kT)）验证，跟 IR Drop 与电迁移签核 是同一条数据链。
| 机理 | 应力源 | 电路表现 | 进程特点 |
|---|---|---|---|
| NBTI/PBTI | 栅偏压 + 高温 | Vth 漂移、单元变慢 | 幂律时间演化，部分可逆 |
| HCI | 高横向电场 | Vth/跨导退化 | 与开关活动度相关，近不可逆 |
| TDDB | 栅氧电场 + 温度 | 漏电增大直至短路 | 到达临界即失效 |
| EM | 导线电流密度 | 开路/短路 | 缓变，突然兑现 |
五、设计余量：把老化算进签核
车规件要承诺的是「寿命末期（End-of-Life）仍然满足时序」，而不是出厂那天时序干净。业界做法是在 STA 里对老化施加 derate（降额系数）：
- 工艺厂（晶圆厂）提供 aging 库或 derate 表，给出 NBTI/HCI 在特定应力年限、电压、温度下造成的延迟增量，常见做法是对单元延迟乘一个 1.02–1.10 的系数；
- STA 跑出三档角：fresh（全新）、EOL aged（老化末期）、以及 OCV 角，时序必须在 aged 角也收敛，方法接在 MMMC 多模多角 STA 和 OCV/AOCV/POCV 的流程里；
- 电压上按寿命末期最坏供电（VR 老化掉压 + IR drop）做低压角，温度同时签低温（载流子迁移率差）和高温（老化最重、线延迟大）两个极端。
余量不是越多越好。每 5% 的时序余量基本对应面积、功耗或频率的直接代价，工程上按「目标年限 + AF 外推 + derate 表」定量取值，而不是拍脑袋留 20%。数字系统还有一个可用的杠杆是 AVS（自适应电压调节）：出厂时用片上监测器测出每颗芯片的实际速度，按个体调压，省出来的电压裕量可以转成老化储备——随着寿命推进监测到路径变慢，再逐步抬电压补偿，等价于把固定 margin 变成随时间支取的 margin。但这要求监测器（如路径复制电路、片上传感器）自身的老化也要可校准，否则补偿本身失准。模拟电路受 NBTI 打击更隐蔽：差分对两侧应力不对称会引入失调，电流镜阈值漂移改变偏置，常用的对策是 chopping、对称版图、偏置降额。热设计同样是可靠性设计——结温每降 10°C，多数热激活机理的速率接近减半，参考 热感知设计。
六、筛选、常见坑与落地节奏
可靠性测试的样品要封装后经历上千小时试验，出问题的返工周期以月计，所以排期上有两条经验：其一，可靠性试验不能等到项目末期才安排，应在工程批（engineering lot）阶段就提前跑 HTOL 摸底，正式认证用量产批；其二，burn-in（带电高温老化筛选）按浴盆曲线设计，车规件普遍要求，消费级按成本权衡——它要吃掉设备工时，还可能轻微消耗正常寿命。
常见坑清单：
- 只在常温常压差上做时序，aged 角一开，关键路径违例成片。
- Grade 选错：按「座舱」选 Grade 2，实际板子塞进发动机舱，环境温度超规范直接失去认证基础。
- 拿消费料的数据手册温度范围冒充车规：温度对了，但没有三批次认证、没有 PCN 体系，车厂不认。
- HTOL 外推用错活化能或把应力加到机理改变，得到纸面寿命。
- 认证后偷偷换封装厂或键合线材料，不触发 PCN，量产后失效率抬升。
这一篇在知识体系里的位置
可靠性向上接 功能安全 ISO 26262 与 FMEA（器件失效率喂给 FMEDA），向下接物理实现签核：IR Drop 与电迁移签核、MMMC 多模多角 STA、OCV/AOCV/POCV；物理应力防护见 ESD/Latch-up 与 IO 设计，热预算见 热感知设计，量产测试侧的延伸是 硅验证、Shmoo 与表征。
总结
AEC-Q100 可靠性是一条「浴盆曲线分工——burn-in 拦早期失效、寿命设计推迟耗损期」的工程链：用 HTOL/TC/HAST 加速应力配合 Arrhenius 外推证明寿命，用 NBTI/HCI/TDDB/EM 的物理机理指导 derate 与余量，最终在 aged EOL 角把时序和电迁移全部签干净，并靠三批次认证和 PCN 流程保证量产一致性。