4. 车规级可靠性要求与认证
车载图像传感器与消费类摄像头最大的差别，不在于像素或接口，而在于它必须在整车生命周期内持续满足可靠性、功能安全和质量一致性要求。onsemi 的 AR/AS 系列传感器之所以能进入前视、环视、舱内监控等量产项目，核心在于其产品定义阶段就围绕 AEC-Q100、ISO 26262、AEC-Q100 派生测试以及客户特定的整车级验证展开。理解这些标准的适用边界，是设计验证计划的前提。
AEC-Q100：器件级可靠性的准入门槛
AEC-Q100 是汽车电子委员会针对集成电路的应力测试认证规范，它并不规定传感器“性能好不好”，而是规定器件在温度、湿度、电压、机械应力等条件下是否足够健壮。对图像传感器而言，最关键的几组测试包括：
- 温度等级：Grade 2（-40℃～+105℃）是多数车载图像传感器的常见等级，前视和舱内应用可能要求 Grade 1（-40℃～+125℃）。温度等级直接决定封装、像素暗电流补偿和时序裕量的设计边界。
- HTOL（高温工作寿命）：在最高工作温度下加电运行 1000 小时，用于暴露与时间相关的失效机制，如栅氧退化、金属电迁移。
- HAST / THB：加速湿热测试，验证塑封料、钝化层和焊盘在潮湿环境下的绝缘可靠性。
- TC（温度循环）：-55℃～+125℃ 循环，考核焊点、BGA 球和芯片粘接层的热机械疲劳。
- ESD / Latch-up：HBM、CDM 以及闩锁测试，保证在整车装配和线束插拔中不因静电损伤失效。
需要特别注意的是，图像传感器包含光学路径，AEC-Q100 的通用条款并不能完全覆盖镜头、滤光片和封装玻璃带来的失效模式。因此实际项目中通常还会叠加 AEC-Q102（光电器件）或客户自定义的光学可靠性测试，例如高温高湿下的图像黑点、白点、暗电流漂移和镜头起雾。
ISO 26262：从“可靠”到“功能安全”
AEC-Q100 解决的是“器件不容易坏”，ISO 26262 解决的是“即使坏了，系统也不能造成不可接受的风险”。图像传感器通常被归为安全相关元素，其 ASIL 等级由所在功能决定：前视 ADAS 的感知链路可能要求 ASIL B 甚至 ASIL D，而倒车影像可能只需 ASIL A 或 QM。
对传感器芯片而言，ISO 26262 的要求主要体现在：
- 安全机制：如寄存器 CRC、I2C 通信超时检测、帧同步丢失检测、像素阵列行/列异常检测、内部电压和温度监控。
- 故障覆盖：通过 FMEDA 计算单点故障度量（SPFM）和潜伏故障度量（LFM），证明安全机制对目标 ASIL 的覆盖率。
- 安全手册与假设：onsemi 会提供 Safety Manual、FMEDA 报告和 DFA（相关失效分析）结果，供 Tier1 在系统层面整合。
- 开发流程：芯片开发需遵循 ISO 26262-5 的硬件开发流程，包括安全需求分解、验证和确认。
实际工程中，图像传感器的功能安全设计往往与“图像质量”耦合。例如，行解码器故障可能导致整行像素失效，安全机制需要能检测到这种空间相关性异常，而不是简单统计坏点数。onsemi 的部分传感器内置了帧级诊断寄存器，可输出行/列异常标志、CRC 校验结果和温度状态，供 SoC 侧做安全状态判断。
验证计划：把标准转化为可执行的测试矩阵
设计验证计划（DVP）的核心，是把 AEC-Q100 和 ISO 26262 的要求拆解为可执行、可判定的测试项。一个典型的车载图像传感器 DVP 至少包含以下层次：
| 层次 | 测试对象 | 典型项目 | 判定依据 |
|---|---|---|---|
| 晶圆级 | 裸片 | WAT、缺陷筛查、暗电流分布 | 参数在规格书范围内 |
| 封装级 | 成品器件 | HTOL、TC、HAST、ESD、Latch-up | AEC-Q100 限值，0 失效 |
| 模块级 | 传感器+镜头 | 高低温图像质量、振动、防水防尘 | MTF、信噪比、黑点白点阈值 |
| 系统级 | 摄像头+SoC | EMC、电源瞬态、帧同步、故障注入 | 功能安全目标达成，无漏报 |
在制定 DVP 时，建议先明确三个输入：目标 ASIL 等级、整车安装位置的环境剖面（温度、湿度、振动、化学暴露）、以及客户特定的失效判据。例如，前视摄像头通常要求 -40℃～+105℃、15 年寿命、振动等级按 ISO 16750-3 执行；而舱内 DMS 摄像头可能更关注高温下的近红外响应稳定性和镜头长期雾化。
onsemi 的认证路径与工程实践
onsemi 车载图像传感器在认证上的典型做法是：芯片设计阶段即按 AEC-Q100 Grade 2/1 定义温度窗口和 ESD 目标；流片后先做工程样品的小批量可靠性摸底，再进入正式认证批次；同时并行开展 ISO 26262 硬件安全分析和 FMEDA。对于安全相关型号，还会提供安全应用说明，明确外部需要配合的机制，例如电源监控、通信 CRC 和帧同步看门狗。
在系统集成侧，Tier1 需要把芯片级安全机制与 SoC 侧诊断组合起来，形成完整的故障响应链。例如，当传感器报告行异常时，SoC 应能标记该帧为不可信，并触发降级策略（如切换至备用摄像头或限制车速）。这一链路是否有效，必须通过故障注入测试来验证，而不是仅依赖文档审查。
最后需要强调，AEC-Q100 和 ISO 26262 不是“拿证就结束”的静态目标。整车厂在 PPAP 之后仍会要求持续一致性、年度复审和现场失效分析。对图像传感器而言，暗电流随时间的漂移、镜头材料的紫外老化、以及焊点在高振动下的疲劳，都是量产阶段需要持续监控的关键特性。把这些要求提前纳入 DVP 和供应商管理计划，才能让认证真正转化为整车的长期可靠性。