第317章 车规晶片的功能安全评审（2 / 2）

秦峥把天权5车规版的故障度量数据表投到主屏上。

单点故障度量，ASIL D要求大于百分之九十九，天权5的实测值为百分之九十九点三七。潜在故障度量，要求大于百分之九十，实测值为百分之九十四点二。随机硬体失效概率，要求在十年内每颗晶片的失效率低于十的负八次方量级，天权5的加速老化测试和故障注入联合推演结果为每千万小时约零点三二次失效。

领衔专家看完这些数字，问了一个更刁钻的问题：「故障度量用的是标准模型还是你们自己的修正模型？」

这个问题问到了关键。标准模型基于行业通用的故障率资料库，但那些资料库里的基础失效率数据主要来自非车规或成熟工艺节点。天权5用的是先进工艺，底层电晶体的物理特性和失效模式与旧数据有差异。如果直接套用标准模型，要么过于保守，要么不够准确。

秦峥深吸了一口气，调出了另一份文档。

「我们用了自己的修正模型。基础失效率数据来自天权晶片系列在过去三年里超过两百万颗工业级和消费级晶片的实际失效统计，结合加速老化和工艺特性曲线进行了至少两轮校准。这个修正模型已经提交给第三方认证机构独立评估，初步结论是『方法学合理，数据链完整』。」

评审组里有人皱眉，有人点头。

皱眉是因为用自建模型替代行业标准模型，在功能安全评审中是一件非常敏感的事。点头是因为秦峥敢把这件事拿到台面上说，说明他对数据链的完整性有足够信心。

领衔专家沉默了几秒，然后说了一句话：「修正模型的使用需要更长的评审周期。我们不会在今天给出结论，但会在两周内组织一次专题评审，专门讨论模型本身的合理性和数据链的完整性。」

秦峥心里微微一紧，但面上没有露出任何变化。

两周，比预期的评审周期多了一周。对面火龙联盟的全面制裁框架在四到六周内就可能落地，如果功能安全评审在修正模型上卡住，天权5车规版的量产节奏就会被拖慢。而车规晶片的量产一旦延误，天行者后续车型的供应链安全就会出问题。

但他没有争辩，只是说了一个字：「好。」

在功能安全评审中，和专家争论评审节奏是最愚蠢的事。节奏可以调整，但信任一旦破裂就再也补不回来。

下午四点半，评审进入最后一个环节：系统性失效的避免措施评估。

这部分相对顺利。天权5车规版的开发流程已经通过了多次内部和外部审计，从需求管理到架构设计，从详细设计到单元测试，从集成验证到实车路测，每个阶段的输出文档都完整丶可追溯丶可复现。评审组抽查了三十多个关键需求的实现路径，全部能在文档链中追溯到设计决策丶验证用例和测试结果。

领衔专家在最后一页评审意见上写下了一行字，然后把屏幕转向秦峥。

「今天不给出最终结论，但可以给你一个口头判断——天权5车规版的功能安全设计没有结构性缺陷，修正模型问题是评审周期问题，不是技术路线问题。」

秦峥看着那行字，点了点头。

这已经是能拿到的最好结果了。专家组没有否决修正模型，只是需要更多时间评审。这意味着天权5车规版的功能安全认证不会因为方向性错误而被退回，只是时间轴会往后延一到两周。

评审结束后，秦峥站在走廊里，给陈醒发了第二条信息：「评审结束。没有结构性问题。修正模型需要两周专题评审。整体节奏可控。」

这次陈醒回复了，只有两个字：「稳住。」

秦峥盯着那两个字看了几秒，然后把终端收进口袋。

他回到办公室，把评审中专家组提出的所有问题和建议逐条整理出来，压成一份内部行动清单。修正模型的数据链需要再补一组独立验证；时序细抖的残余问题可以继续优化但不是必须；热管理策略的降级触发阈值可以再收一点，给未来留更多余量。

每一条都被标上了优先级丶责任人和完成时限。

夜里七点，秦峥把这份清单同步给了车规晶片团队的每一个人，然后在群里说了一句话：「两周专题评审，我们不仅要把修正模型的数据链补到最硬，还要把所有专家提到过的丶没提到过的潜在弱点全部过一遍。不是为了让评审通过，是为了让天权5在路上跑十年都不出问题。」

群里没有人回复，但任务清单上的认领状态在几分钟内全部变成了「进行中」。

周明在夜里八点给秦峥打了个电话。他不是技术线的人，但他关心的是另一件事——修正模型的专题评审如果延长到两周，会不会和火龙联盟的全面制裁时间窗口撞上。

秦峥沉默了几秒，然后说：「会撞上。但如果我们因为怕撞上就接受一个不完整的评审结论，对面不需要制裁，我们自己就会在车规市场上失去信用。车规晶片的信用比什么都重要。」

周明没有反驳，只说了一句：「那就在这两周里，把补天丶海上计划丶天衡5所有线再往前推一截。如果我们每一条线都在制裁落地前站到了更高的位置上，对面就算动手，成本也会比现在高得多。」

秦峥挂了电话，站在办公室窗前，看着远处追光厂房顶上的那排红灯。

天权5车规版是统一算力进入真实汽车节点的第一块基石。如果这块基石不稳，天行者后续车型丶统一终端生态中的汽车节点丶以及「数据对等原则」在车端的话语权，全部都会动摇。

他不能让它不稳。

夜里九点，陈醒在研究院顶楼收到了秦峥的详细评审报告。他没有看正文，而是先翻到最后一页，看到领衔专家那句「没有结构性缺陷」的口头判断，然后才开始从头细读。

读到修正模型的部分时，他停了一下。

用自建模型替代行业标准模型，这步棋走得险。但秦峥敢走，说明他对天权晶片系列的实际失效数据有足够信心。这份信心不是凭空来的——过去三年，超过两百万颗天权晶片在各种终端里跑着，从手机到平板，从电视到路由器，从工业控制到智能汽车，它们真实发生的失效模式丶失效率和失效分布，是任何行业标准资料库都给不了的数据资产。

陈醒在报告空白处写了一行批注：「修正模型专题评审时，邀请第三方认证机构和至少两家整车企业的技术负责人共同参与。不是让评审变得更复杂，而是让结论在产业界有更广泛的接受度。」

他把批注发给秦峥，然后继续看下一份文件。

窗外，芯谷的灯光还是那么密丶那么安静。而在那篇光海的深处，车规晶片验证组的灯还亮着，补天区的调度屏还在刷新，天衡5产线的装配线还在以千分之二点五五的偏移率缓慢流动。