汽车电子（Automotive Electronics）

汽车电子与消费/工业电子的根本差别是三个不能妥协的约束:温度范围广(-40~+150°C)、寿命长(15 年/200k km)、功能安全(失效需可论证)。这三条约束一起决定了几乎所有设计选择——为什么用 AEC-Q 而不是普通器件、为什么用 ASIL 而不是 MTBF、为什么用 ASPICE 而不是普通 SDLC。下图把三角画出来,后面章节按这三条约束展开。

消费电子工程师第一次接触汽车电子时最惊讶的事：同样的功能，汽车 BOM 成本是消费电子的 3～10 倍。这不是"汽车厂家赚得多"，而是三个硬约束的真实成本：

这三个约束之间不互斥，但彼此叠加：

• 约束 1 决定了每颗器件必须过 AEC-Q（1000h HTOL、1000 次温度循环等）
• 约束 2 决定了整个 ECU 必须满足 ISO 26262 的 V 模型开发流程和 HARA 输出的安全目标
• 约束 3 决定了整车架构的通信总线、电源分配、OTA 策略

工业级器件的寿命目标约 5 年、环境 −25 ～ +85°C、无功能安全要求。汽车工作在 ～3 倍的条件下，还要满足功能安全——成本不是 3 倍，是指数级上升。

这一页接下来的内容就是这三个约束在各个层级的展开。

现代汽车有 100+ 个 ECU、1.5～3 km 线束、30+ kg 线缆重量。这是一个不可持续的负担——减重、降本、降低软件复杂度、支持 OTA 都要求架构重新设计。

CAN / CAN-FD / CAN-XL / LIN / FlexRay / Automotive Ethernet 全家——速率 / 物理层 / 应用层 / 故障容错对比，详见：

• topic-can-bus — CAN / CAN-FD / LIN 经典基础
• topic-automotive-networks — CAN-XL / 100Base-T1 / 1000Base-T1 / TSN / SOME-IP 新一代车载网络
• topic-can-e2e-secoc — AUTOSAR E2E + SecOC 通信安全

SBC 集成了 ECU 必备的电源管理(LDO + DC-DC) + 通信收发器(CAN / LIN) + 看门狗 + 唤醒控制——是 ECU 的"基础设施芯片"。详见 topic-sbc — Fail Safe Machine + Window Challenger 看门狗 + ASIL 集成案例。

主驱逆变器是汽车电子最高功率密度（>50 kW/L）+ 最严功能安全（ASIL D）的载体。完整设计决策树见 topic-ev-traction-inverter-fullstack — 从 800 V SiC 器件选型到系统集成的全栈。也参见 topic-inverter-gate-driver 与 topic-asil-d-case-studies。

AEC-Q100 (IC) / Q101 (分立) / Q102 (光电) / Q104 (MCM) / Q200 (无源) 全家族 + Grade 0/1/2/3 应用对照 + 核心试验项详见 topic-aec-q。

汽车电子的失效模式可以映射到本页前面所有讨论的物理机制——焊线疲劳对应 §6 AEC-Q TC、Load Dump 对应 §3 LV 电气环境、CMOS Latch-up 对应 §6 AEC-Q ESD 测试。这张表既是 FMEA 起点参考,也是把抽象理论转换成具体工程对策的索引。

汽车电子特有的失效模式汇总：

本例演示如何为一款 2027 年量产的纯电动 B 级轿车（BEV，400 V 系统，L2+ ADAS）选择适合的 E/E 架构，贯穿 G1-G7 完整决策流程，使三个硬约束（温度/寿命、功能安全、系统集成）在架构层可量化。

汽车电子系统设计中有三类典型陷阱，每类都源于把消费/工业电子的经验直接套用到汽车场景，而忽略了三大硬约束的叠加效应。

1. 工业级器件代用汽车级导致现场批量失效：工业级 MCU（-40 ~ +85°C / 5 年 MTBF）代替 AEC-Q100 Grade 1（-40 ~ +125°C / 15 年 HTOL）的动机常常是"通过了 DVT 热测试"。实际上工业级器件的 HTOL（高温工作寿命）测试仅为 70°C / 1000 h，等效汽车 125°C 加速因子约 10×，寿命仅覆盖 1.5 年真实使用。现场失效通常在 3 ~ 5 年后显现，超出质保期且无法追溯，召回成本极高。汽车电子的铁律是 AEC-Q 认证不可用非认证件代替，无论设计验证结果如何。
2. ASIL 分解后两路独立通道共享同一电源：将 ASIL D 功能分解为两路 ASIL B 独立通道以降低每路硬件要求，是常见的合法设计手段；但若两路通道共用同一路 LDO 或 DC-DC 输出，电源故障成为公共因失效（CCF），系统级 ASIL 可靠性立即从 D 降为 B 甚至更低。ISO 26262 要求在 DFA（相关失效分析）中覆盖此类 CCF，并通过独立供电路径（不同电源 IC、不同电源轨）来规避；该陷阱在 Tier-1 设计评审中是最常被发现的安全违规之一。
3. Load Dump 保护器件选型未考虑实际线束阻抗：ISO 7637 Pulse 5a（Load Dump，+87 V / 100 ms）的峰值能量由线束等效阻抗决定——有一级保护电阻（如 10 $\Omega$）时 TVS 需要吸收的瞬态能量比无电阻时小约 100 倍。若 PCB 级 TVS 选型按"直接接电源无串联电阻"的最坏情况来选，会导致 TVS 体积过大（选了 DO-214AB 而非 SOD-123 就够的级别），既浪费成本又占用宝贵板面积。正确做法是与系统团队确认线束阻抗（实测）后，再核算 TVS 需要承受的实际脉冲能量。

以下三类边界条件是汽车电子系统设计中容易被忽视的极限场景，超出后设计假设会系统性失效。

1. 冷启动与瞬态电压跌落的叠加边界：汽车 12 V 系统在 -40°C 冷启动时，由于铅酸电池内阻大幅增加（可达 5 ~ 10 倍室温值）和启动电机大电流（200 ~ 500 A），电池端电压可瞬间跌落至 6 ~ 7 V，持续约 50 ~ 100 ms；此时若 ECU 的宽电压 DC-DC 下限设计为 8 V，ECU 将断电复位，触发功能安全的"意外重启"安全状态。车规 ECU 的电源输入下限必须设计为 ≤ 6 V（ISO 16750-2 电压跌落测试），且 MCU 复位策略需在此电压范围内定义受控状态。
2. EMC 辐射测试 CISPR 25 的近场耦合边界：CISPR 25 FM 频段（87.5 ~ 108 MHz）的辐射限值 Class 5（最严格）要求在 1 m 距离的峰值 < 36 dBμV/m。DC-DC 变换器的开关谐波若落在 FM 频段，辐射超标量可达 20 ~ 40 dB（现场实测中常见）。这不是一个可以设计中"留余量"绕过的问题，而是一个需要在方案阶段就通过屏蔽、滤波和铺地共同解决的系统问题；若到 ECU 集成测试阶段才发现，硬件改版成本极高。
3. 高压系统与低压辅助系统的绝缘配合边界：400 V / 800 V 高压系统与 12/48 V 低压辅助系统之间，ISO 6469 和 LV 123 要求电气绝缘电阻 > 500 $\Omega$/V（工作电压），即 400 V 系统要求 > 200 k$\Omega$。绝缘检测（IMD）在湿热环境下（85°C / 85 %RH）的绝缘退化以及连接器密封失效是已知失效路径，必须在系统设计阶段规定 IMD 的检测周期和报警阈值（通常设为 > 100 k$\Omega$ 正常，< 50 k$\Omega$ 告警），而不能仅在出厂时验证一次。

本页核心图集合(若上文未嵌入则在此速查):