秦峥提前二十分钟到了。他把天权5车规版的技术文档按照功能安全标准ISO 26262的章节顺序重新排过三遍，又在脑子里把所有可能被挑战的节点过了一遍。热管理边界、时序细抖、传感器协同、故障检测复盖率、随机硬件失效概率、系统性失效的避免措施——每一个参数背后都映射着至少三轮实车路测的数据支撑。
评审专家组八点整进入会议室。领衔的是华夏汽车技术研究中心的功能安全首席专家，其馀七人分别来自国家级检测机构、高校汽车学院、第三方认证平台和两家已经与未来科技签署合作意向的整车企业。没有人带着敌意来，但也绝没有人准备放水。功能安全评审不是走过场，在车规芯片这个领域，任何一个被忽略的失效模式都可能在路上变成真实事故。
陈醒没有到场。这是秦峥主动要求的。他说，如果陈醒坐在后面，专家组会有两种反应——要么因为陈醒在场而不敢把问题问透，要么为了显示独立性而故意吹毛求疵。无论哪种，对评审本身都没有好处。
周明坐在旁听席最后一排，面前摆着一台只连接内部网络的终端。他的任务不是帮秦峥回答问题，而是在评审过程中捕捉任何可能演化成法律或合规风险的技术表述，第一时间记录，会后同步给相关团队。
评审正式开始前，专家组领衔专家看了秦峥一眼，说了一句让房间里所有人安静下来的话：“天权5车规版是我们评审过的第一颗从架构到实现完全自主的车规芯片。这不是加分项，也不是减分项，而是意味着我们没有现成的对标数据库。评审标准会比国际主流认证平台更严，因为我们需要用自己的判断来填补那些空白。”
秦峥点了点头：“这是应该的。”
他没有说“我们很荣幸”之类的客套话。在这种场合，任何多馀的语言都会被理解为心虚。
第一轮评审聚焦在功能安全概念层面。
秦峥打开天权5车规版的顶层安全架构图，一条一条地拆解。ASIL等级分配、安全目标分解、失效模式与影响分析、故障树分析、相关失效分析——每一个标准要求的输出文档都已经被压缩成可交互的电子版，专家组可以随时调取原始数据和设计文档。
“天权5车规版的安全目标定了三条不可妥协的底线。”秦峥指着图上被标成深红色的三个节点，“第一，任何单点故障不得导致整车动力系统失控。第二，热管理失效必须在芯片可检测范围内触发降级或关断，不允许出现热失控扩散。第三，所有与车辆纵向和横向控制相关的输出信号，必须支持实时回读和对比校验。”
领衔专家没有立刻评价，而是翻到测试与验证章节。
“实车路测的总里程和复盖场景请说明。”
秦峥调出天权5车规版过去三个月的路测汇总表。七台测试车，累计实车行驶里程超过六万公里，复盖城市道路、高速公路、山区公路、极寒环境、高温环境、高湿度环境以及部分非铺装路面。每台测试车的数据采集频率是主控信道每毫秒一次，安全监控信道每百微秒一次，两信道独立记录、独立存储、独立对比。
“故障注入测试做了多少？”
“一千二百三十七个注入点，复盖安全目标相关的所有关键信号路径和计算单元。”秦峥把故障注入测试的复盖率矩阵投到副屏上，“随机硬件故障的复盖率按ISO 26262-5的要求做到了ASIL D级别的百分之九十九以上。系统性失效的避免措施通过了独立的功能安全评估。”
评审组里最年轻的一名专家举起手：“热管理边界的实车验证数据，请单独展示。”
这是秦峥预料之中的问题。天权5车规版在第二轮实车路测中暴露过局部热管理问题——在某些极限工况下，芯片内部某个计算单元的温升速度比缺省模型快了约百分之八。虽然这个温升没有触及安全阈值，但它说明热模型在极端工况下的精度还有提升空间。
秦峥没有回避，直接把那组问题数据调了出来。
“第二轮路测中发现的局部热管理偏差，根因已经定位。封装内部的局部热点分布与仿真模型的差异主要来自基板材料的热导率实际批量偏差。我们在第三轮路测前更换了封装基板的来料检验标准，同时调整了热管理策略中的降级触发阈值。第三轮路测数据表明，问题已经收敛到可接受范围内。”
“可接受的范围是多少？”领衔专家追问。
“最极限工况下，热管理策略激活前，芯片结温与安全阈值的差距从原来的百分之八缩小到百分之二点三。安全阈值本身保留了百分之十五的设计馀量，因此实际风险为零。”