”
评审组里最年轻的一名专家举起手：“热管理边界的实车验证数据，请单独展示。”
这是秦峥预料之中的问题。天权5车规版在第二轮实车路测中暴露过局部热管理问题——在某些极限工况下，芯片内部某个计算单元的温升速度比缺省模型快了约百分之八。虽然这个温升没有触及安全阈值，但它说明热模型在极端工况下的精度还有提升空间。
秦峥没有回避，直接把那组问题数据调了出来。
“第二轮路测中发现的局部热管理偏差，根因已经定位。封装内部的局部热点分布与仿真模型的差异主要来自基板材料的热导率实际批量偏差。我们在第三轮路测前更换了封装基板的来料检验标准，同时调整了热管理策略中的降级触发阈值。第三轮路测数据表明，问题已经收敛到可接受范围内。”
“可接受的范围是多少？”领衔专家追问。
“最极限工况下，热管理策略激活前，芯片结温与安全阈值的差距从原来的百分之八缩小到百分之二点三。安全阈值本身保留了百分之十五的设计馀量，因此实际风险为零。”
评审组没有立刻表态，而是把第三轮路测的原始数据调出来自己看了一遍。
房间里安静了几分钟。
秦峥没有催促，也没有补充。他知道，在功能安全评审中，专家们自己看到的数据比他说一百句话都管用。
第二轮评审转入更细粒度的时序分析和细抖问题。
这是天权5车规版在实车路测中暴露的另一个薄弱环节。在某些工况切换的瞬态过程中，控制信号的时序会出现微秒级的细抖动，虽然幅度远低于功能安全标准规定的最大允许偏差，但专家组关心的是这种细抖动的根本原因和长期稳定性。
负责时序分析模块的工程师被叫到台前。他是车规芯片团队里最年轻的成员，只有三年工作经验，但天权5的时序收敛工作有一半是他完成的。他站在屏幕前，声音有一点紧，但技术表述非常精准。
“细抖动的根源有三类。第一类，时钟路径上的电源噪声耦合，已经通过增加本地去耦电容和优化供电网络解决。第二类，异步时钟域之间的握手信号在不同工况下的延迟变化，这部分通过调整握手协议和增加弹性缓冲解决。第三类，也是唯一还有残馀的，是芯片内部某些共享资源的总线仲裁在不同负载下的时间不确定性。目前残馀细抖动的幅度在最坏情况下为六百纳秒，而功能安全标准对该类信号的最大允许偏差为十微秒。我们有十倍的馀量。”
评审组一位专攻硬件安全的专家追问：“六百纳秒是实测值还是仿真值？”
“实测。第三轮路测中，我们在最恶劣的电磁兼容环境下重复测量了一千次，最大值六百三十纳秒，最小值四百一十纳秒，分布稳定。”
“有没有考虑芯片老化后的时序漂移？”
“考虑了。我们在加速老化测试后的样本上重复了相同测量，老化后的细抖动幅度增加了约百分之十二，最坏情况接近七百纳秒。仍然在十微秒的允许范围内，且老化后的时序馀量经过重新计算，确认不会在标称寿命期内触及功能安全红线。”
评审组没有再追问。
上午的评审持续了三个半小时，中间只休息了一次十五分钟。秦峥在休息时走到走廊尽头，给陈醒发了一条极其简短的信息：“评审进行中，问题都在预期范围内。”
陈醒没有回复。秦峥知道，陈醒不看过程，只看结果。不回复本身就是一种态度——相信他能把评审撑住。
下午的评审更深入，开始触及芯片内部的随机硬件故障度量。
这是功能安全iso 26262中最硬核的部分之一。单点故障度量、潜在故障度量、随机硬件失效概率——每一个数字都必须有完整的数据链支撑，从晶体管级故障率模型到系统级安全机制复盖率的定量