一枚 eUICC 芯片，要在 6 毫米×5 毫米的封装里同时装下安全处理器、存储器、密码运算单元和一套完整的证书体系；它还要经受焊接到电路板上的高温回流、零下 40 度的严寒，以及装进电表、车载终端之后长达十年的持续通电。本文按一条真实产线的顺序，把 eSIM/eUICC 从设计图纸到可交付成品的过程拆成八个阶段，说明每个阶段在做什么、风险卡在哪里，以及客户在选型时应该看什么。

一、概念先厘清：eSIM 是形态，eUICC 是芯片

很多场合把 eSIM 与 eUICC 混用。准确的区分是：eSIM（embedded SIM）描述的是一种不可插拔的硬件形态，eUICC（embedded Universal Integrated Circuit Card）描述的是一颗符合 GSMA 远程配置（RSP）规范的 UICC 芯片。两者经常同时出现，却不是同一个概念。一颗焊在板上的 MFF2 芯片，可以是传统 UICC，也可以是 eUICC；差别在于它是否具备远程下载、切换和管理运营商 Profile 的能力。

目前出货的物理形态主要有三类：MFF2 焊接触点封装、WLCSP 晶圆级封装，以及可插拔的 2FF/3FF/4FF 卡片。其中 MFF2 由 ETSI TS 102 671 定义，是 6.0×5.0 毫米的 DFN8 封装，八个触点对应 ISO/IEC 7816 的 C1 至 C8。ETSI 自 Rel-18 起把 MFF 系列明确为“不可插拔 UICC”的形态，环境等级也从早期仅面向 M2M 扩展为可选通用等级，常见档位为 TA（−40 ℃ 至 +85 ℃）与 TB（−40 ℃ 至 +105 ℃）。

理解这一点之后，就能明白 eUICC 的制造为什么不能简单等同于“做一颗存储卡芯片”。它本质上是一颗安全 SoC，制造流程的每一段都要为“看不见的攻击”留出防线。

二、第一步：芯片定义与架构设计

设计始于需求清单，而不是版图。第一轮需要确定四类参数：存储容量（可容纳的 Profile 数量、Java Card 应用空间）、接口（ISO/IEC 7816 接触式接口、用于 NFC 的 SWP/HCI、部分物联网模组使用的 SPI/I2C）、温度与寿命等级、目标认证（消费类走 SGP.22，物联网类走 SGP.32，支付类另需 EMVCo，车规类需 AEC-Q100）。这四项直接决定了工艺选型与成本结构。

架构上，eUICC 是一颗完整的安全 SoC。安全 CPU 内核负责执行卡片操作系统（COS）；ROM 固化不可更改的启动与安全代码；嵌入式 Flash 或 EEPROM 存放 Profile 与文件系统；密码协处理器承担 AES、DES/3DES、ECC、RSA 运算，是 TLS 握手与 Profile 包解密的算力来源；真随机数发生器（TRNG）为密钥生成提供熵源。

还有一组容易被忽略的防御电路：电压、频率、温度、光照异常检测，毛刺过滤，总线加密与地址扰码，以及覆盖在芯片顶层的金属屏蔽网。它们的目标是一致的——让攻击者无法通过物理探测把密钥读出来。

设计阶段还要完成可测性设计（DFT）：扫描链、存储器内建自测（BIST）、测试点与熔丝布局。安全芯片对测试覆盖率的要求远高于普通逻辑芯片，因为一颗漏测的 die 到了成品阶段已无法补救。方案定稿后一般先做多项目晶圆（MPW）试流片，验证工艺 corner 与 IP 稳定性，再转入量产掩模。

三、第二步：晶圆制造（前道工序）

前道工序在晶圆厂完成，把设计版图一层层“印”到硅片上。典型顺序是：衬底准备与阱区形成、有源区隔离（STI）、栅氧化与离子注入、光刻（涂胶、曝光、显影）、刻蚀、薄膜沉积（CVD/PVD）、化学机械抛光（CMP）、金属互连、钝化层。一颗安全芯片往往需要几十层掩模；嵌入式 Flash 还需额外的浮栅或电荷俘获层工艺，这是它与标准逻辑工艺最大的不同。

安全芯片在前道阶段有三处特别处理。其一是存储单元的电荷保持能力，需要在氧化层厚度与编程电压之间取平衡，既要保证十年数据保持，又不能击穿。其二是顶层金属屏蔽，在钝化层之下铺一层网格状金属，任何试图从正面开盖探测的作业都会破坏它，电路随即触发清零。其三是版图层面的抗侧信道设计，例如让加解密功耗曲线与数据之间的相关性尽可能低。

这些工艺细节不会出现在最终的数据手册里，却决定了芯片能否通过安全认证中的攻击测试。晶圆出厂前还要经过缺陷密度检测、膜厚与线宽量测、电性参数监控（PCM）。安全芯片对缺陷的容忍度极低：一处金属残留可能形成短路，也可能成为侧信道泄漏点。

四、第三步：CP 晶圆测试

CP（Chip Probing，又称 Wafer Sort）是第一次“通电检验”。探针台带着探针卡逐颗压到 die 的测试焊盘上，执行开短路测试、功能向量测试、存储器读写与保持测试、功耗测试、TRNG 与加密引擎自检，以及部分安全传感器功能验证。

测试结果写入 wafer map：合格 die 打点或记录坐标，坏 die 在划片后直接废弃。CP 的价值不只是筛掉坏品，更在于把问题定位到具体批次与位置——某一片晶圆边缘的良率异常，往往指向刻蚀均匀性或薄膜厚度漂移。评判 CP 的核心指标是测试覆盖率与良率曲线的稳定性，而不是单一批次的绝对良率数字。

五、第四步：减薄、划片与封装

CP 完成后进入后道。首先背面减薄，把晶圆从几百微米研磨到一百多微米甚至更薄，以满足封装厚度要求；部分产品还要做背面金属化以改善散热与接地。随后划片，用刀轮切割或激光隐形切割把整片晶圆分成单颗 die。

封装环节决定芯片能不能“活”在真实设备里。以出货量最大的 MFF2 为例：die 通过银浆或贴膜（DAF）粘到引线框架上，金线或铜线把 die 焊盘键合到八个触点，环氧塑封料包封，触点做镍钯金电镀并形成可焊侧壁（wettable flank）——这一设计让自动光学检测（AOI）能看清焊点爬锡情况，是工业与车规客户经常提出的要求。最后激光打标，刻上型号、批次与追溯码。

WLCSP 走的是另一条路线：直接在晶圆上完成重布线与凸点，切割即成品，尺寸更小，适合可穿戴设备与手机主板；代价是对 PCB 应力和回流工艺更敏感。

封装阶段的关键控制点是湿度与应力。塑封料吸潮会在回流焊时爆米花式开裂，因此每款产品都要定义湿度敏感等级（MSL）与烘烤规范，回流曲线遵循 JEDEC J-STD-020。

表1　eSIM/eUICC 制造全流程概览

六、第五步：FT 成品测试与老化筛选

封装后的成品要再过一遍电性测试（FT，Final Test）。与 CP 不同，FT 测的是装配之前的真实状态：全温度点（如 −40 ℃、+25 ℃、+85 ℃，工业与车规产品还要覆盖 +105 ℃）下的功能与电参数、ISO/IEC 7816 的时序与电流特性、休眠功耗、触点接触可靠性。任何一项超差，都意味着焊接应力或封装缺陷已经影响到了芯片。

面向高可靠场景的产品还会做老化（burn-in）、温度循环、湿热偏压（HAST/THB）与 ESD 测试。目的不是筛选当下的不良品，而是把早期失效提前激发出来，确保出厂产品处于浴盆曲线的平坦段。

这一阶段产出的数据会与芯片唯一标识绑定：测试程序版本、测试温度点、实测值、判定结果，共同构成后续质量追溯的证据链。

七、第六步：安全个性化

如果说前五个阶段是“造硬件”，这一步是“注入身份”。芯片离开测试线时还只是一颗“白卡”：里面有 COS，有一组用于安全传输的初始密钥，但没有任何运营商信息。

个性化写入的内容包括卡片序列号与 ICCID、eUICC 标识（EID）、ISD-R 与 ECASD 安全域、GSMA 证书链（其中 eUICC 证书由 GSMA 认证的 EUM 签发），以及用于网络鉴权的 Ki/K 与 OPc。这些数据通过加密通道下发，写入过程在受控环境中完成。

这是整条链上安全等级最高的环节。GSMA 通过 SAS（Security Accreditation Scheme）对个性化场所进行审计：物理隔离与门禁、硬件安全模块（HSM）保管密钥、密钥分片与双人授权、全量操作日志、废品与不良品的销毁流程。任何一个环节失守，等于把整批产品的鉴权密钥交到攻击者手上。

对 eUICC 而言，个性化还有一个特点——可以“少写”。产品出厂时只写入引导 Profile（bootstrap），或干脆留空，用户首次开机后由 LPA 连接 SM-DP+ 完成下载与安装。消费类遵循 GSMA SGP.22 的 RSP 架构（SM-DP+、SM-DS 与 LPA 三方协作），物联网类按 SGP.32 的 IoT 架构（由 IPA 与 eIM 管理），传统 M2M 场景仍可见 SGP.02 的旧架构。截至 2026 年，SGP.22 已发布至 v2.7，规范仍在持续演进。

八、第七步：合规认证与可靠性验证

硬件合格、身份注入完成，并不等于可以出货。eUICC 必须同时证明两件事：按规范工作，且经得起攻击。

安全认证以 Common Criteria（ISO/IEC 15408）为基础，eUICC 保护轮廓通常要求 EAL4+ 并包含 AVA_VAN.5 级别的漏洞分析，部分高安全产品做到 EAL5+。功能与互操作层面包括 GSMA SGP.22/SGP.23 的一致性测试、GlobalPlatform 与 Java Card 规范符合性、ISO/IEC 7816 与 ETSI TS 102 221/102 671 的接口与时序要求；接入运营商网络还要通过 GCF 或 PTCRB 的互操作测试。支付类产品另需 EMVCo 认证，车规产品则叠加 AEC-Q100（芯片）、AEC-Q104（多芯片模组）与 IATF 16949（生产体系）要求。

这些认证不是一次性投入。规范版本更新、工艺变更、供应链更换都可能触发重新认证，这也是 eUICC 项目周期通常比普通 MCU 或存储芯片更长的原因之一。

表2　eUICC 涉及的主要标准与认证

九、第八步：包装、追溯与交付

最后一步看起来最简单，却最容易出问题。成品按编带卷盘包装，需明确湿度敏感等级、烘烤条件、防静电等级与存储期限；卷盘标签包含料号、批次、数量、生产日期与 MSL 信息。交付时同时提供测试数据包、合规证书清单与个性化记录，客户据此完成入库检验与产线导入。

追溯体系贯穿全流程：晶圆批次、封装批次、单颗编号（EID/ICCID）、测试记录、个性化批次逐级关联。当客户在现网发现异常，能在一两天内定位到同批次的其余产品，这是运营商与车厂审核时必查的能力。

十、贯穿全流程的三条主线

把八个阶段串起来看，eUICC 制造的难点不在某一道工序，而在三条始终并行的主线。

安全主线：从架构设计（屏蔽层与传感器）、前道工艺（抗探测版图）、测试环节（安全功能自检）、个性化（SAS 受控环境）到认证（CC 攻击测试），任何一环松懈，都会在认证阶段被打回。

一致性主线：晶圆批间差异、封装应力、测试程序版本都会改变电气表现。运营商现网不会容忍某一批芯片休眠电流偏高或握手失败率上升，因此工艺变更管理与批次抽样验证是硬性要求。

追溯主线：安全产品必须“可证明”。测试数据、密钥注入记录、物流记录要能经受独立审计。

对选型方而言，判断一颗 eUICC 是否可靠，看的不应只是容量与价格，而是它背后是否有完整的工艺控制、认证覆盖与追溯能力。这三项都到位，产品才真正具备长期在网运行的基础。

十一、结语

一枚 eUICC 的诞生，横跨设计、晶圆制造、封装、测试、安全写号与认证六个环节、上百道工序。其中真正决定成败的往往不是最先进的那道工艺，而是最不起眼的控制点：一层屏蔽金属的完整性、一次全温测试的覆盖度、一条密钥注入的审计记录。把这些环节做扎实，芯片才配得上“十年在网”这四个字。

关于华芯兆业

华芯兆业面向物联网、车联网与消费电子客户提供 eUICC 相关产品与方案，覆盖 MFF2 焊接封装、可插拔卡片以及面向可穿戴设备的 WLCSP 形态，支持 GSMA SGP.22 消费类与 SGP.32 物联网类远程配置路径，并提供工业级与车规级温度档位选择。如需评估具体项目的封装选型、Profile 管理方案或认证路径，欢迎与我们联系。