DRV-D2 — 驱动 IC landscape:为什么集成不是功能清单,而是被 FTTI 逼到片上、又被 FMEDA 独立性拉回分立的两轴博弈

工程师看 driver IC 数据手册,习惯把 DESAT / Miller clamp / soft-off / ADC / SPI 当成一排可勾选的 feature,谁勾得多谁"高级"。这个视角会让你在选型时既过度集成(为用不上的监控付复杂度)、又过度分立(把该在片上的快保护甩给 MCU 而炸机)。要选对,必须换掉这个 Representation:每一个集成进 die 的功能,回答的都不是"有没有",而是"这条保护环能不能在它对应故障的 FTTI 内闭合"。

一条保护环有三段:检测(sense)→ 判决(decide)→ 反应(react)。这三段串起来的总延迟,必须塞进该故障的 FTTI(FS-A3 的 $\text{FDTI}+\text{FRTI}\le (1-\beta )\text{FTTI}$)。而"检测、判决、反应各放在哪个 die 上",直接决定这条环的总延迟——因为每一次跨越隔离屏障、每一次进 MCU 中断,都是实打实的纳秒到微秒级滞后。于是集成度的本质是一个空间布局问题:把环的三段收拢到 HV 侧同一颗 die,环就短、闭合快;摊到"driver + 隔离 + MCU"三处,环就长、可能闭不上。 故障越快(FTTI 越小),环就越被逼着往片上收——这是第一根轴,决定"什么必须集成"。

但收拢有代价。把检测和反应压到同一颗 die,这颗 die 一旦失效,检测和反应同时丢失——它成了整个安全机制的单点。ASIL-D 不允许安全态依赖单点,于是需要一条不经这颗 die 的独立通道兜底。这是第二根轴,由 FMEDA 的独立性/共因(CCF)约束,决定"什么必须留在片外、且必须独立"。集成 landscape 的全部张力,就在这两轴之间:速度把功能往片上拉,独立性把安全态往片外推。 下面分别推。

先把因果根钉死:一条保护环能放在哪,由它对应故障的 FTTI 与环的最短可实现延迟之间的大小关系唯一决定,不由工程偏好决定。 这正是 FS-A3 那条采样率结论的空间版——当时的结论是"微秒级故障无法用离散采样兜住,检测必须坍缩成连续硬件比较";这里换个说法:微秒级故障的整条检测-反应环,必须坍缩到 HV 侧同一颗 die 上,因为任何"出 die、跨屏障、进 MCU"的路径,其固有滞后就已超过 FTTI。

把 driver IC 里的保护按 FTTI 分两类,边界就自明了:

• μs 级故障(硬短路 DESAT、过流 OCP):SiC 的 SCSOA 只有 $2\text{-}4\mu \mathrm{s}$(FS-A3)。这么短的窗,环里连一次"跨屏障上行 + MCU 中断进入"都塞不下(下一节量化)。所以 DESAT 比较器、判决逻辑、soft-off 执行必须同在 HV 侧 die——这不是集成的"卖点",是 SiC 主驱能工作的前提。Tier 越低的基础驱动一旦没有片上 DESAT,就根本无法用于 SiC 主驱。
• ms 级故障(过温趋势、栅源电压监控、供电欠压趋势):热惯量决定 FTTI 在毫秒到百毫秒。这么宽的窗,完全容得下"片上 ADC 采样 → SPI 上报 MCU → MCU 判决"这条长环。所以这类监控可以外移到 MCU,反而换来一条与片上逻辑异构的诊断通道(对 LFM 有利)。

第一性收束:FTTI 是把保护"钉"在某个 die 上的力。窗越紧,钉得越靠近栅极;窗越松,越能放手到 MCU。 集成度高的 driver,本质是把一批 μs 级保护环全部钉死在片上;集成度可以低的地方,恰恰是那些 ms 级、钉不紧的监控。下一节用 DESAT 环的时间账把"钉死"两个字算成数字。

取 SiC 主驱硬短路这条最紧的环。硬约束:SiC SCSOA $\approx 2\mu \mathrm{s}$(取区间下沿保守值,FS-A3),留余量 $\beta =0.3$,则检测-反应可用预算

路径 A:片上闭合(检测比较器 + 判决逻辑 + soft-off 同 die)。 环内只有片上门延迟与电平位移,DESAT 从确认到 soft-off 启动到关断完成,厂商直接给了总数——NXP GD3160 datasheet 标称 SiC 下 DESAT 检测+反应时间 $<1.2\mu \mathrm{s}$。核:$1.2<1.4$ ✓,余 $0.2\mu \mathrm{s}$ 头寸。环闭合。

路径 B:MCU 闭合(DESAT sense 跨屏障送 MCU,MCU 判决,命令再跨屏障回来关断)。 逐段累加:

即便把 MCU 那段压到乐观的 $1\mu \mathrm{s}$,总和

已 $>2\mu \mathrm{s}$ 的原始 SCSOA,更远超 $1.4\mu \mathrm{s}$ 的可用预算——环闭不上,器件在命令回到栅极前就已热击穿。 而现实 MCU 的中断+判决常是数微秒,差距只会更大。

读数不是"MCU 路径慢一点",是它在数学上出局:光 MCU 中断这一段(乐观 $1\mu \mathrm{s}$)就吃掉了大半预算,加上两次跨屏障与 soft-off 必然溢出。 这就是为什么 DESAT 必须集成在片上——与"厂商想多卖钱"无关,是 FS-A3 那条采样边界在空间上的同一个结论。独立重算对账:$0.7\times 2=1.4$ ✓;$0.13+1+0.13+1=2.26$ ✓;$2.26>2>1.4$ ✓;GD3160 $1.2<1.4$ ✓。量纲全为 $\mu \mathrm{s}$ 相加 ✓。

第一根轴会诱导一个错误极限:"既然快保护要片上,那全塞一颗 die 最好。"这里第二根轴出手拦住。把检测与反应压到同一颗 die,固然让环最短,却制造了一个 FMEDA 上致命的结构——这颗 die 成了安全机制的单点(single-point):它一旦失效,检测能力和反应能力同时归零,而不是只坏一半。

因果链:安全机制的价值在于"故障来时它能检出并把系统带进安全态"。若检出与带入安全态都由同一颗 die 承担,那么这颗 die 自身的随机失效(FIT 量级),就是一个能直接击穿安全目标的单点故障——它恶化 SPFM(FS-A2 的单点故障度量),因为没有任何第二重手段能在它失效时兜底。更隐蔽的是共因(CCF,FS-B5):片上一次过压、过热或版图缺陷,可能同时打掉本应"独立"的检测与反应。

所以 ASIL-D 主驱的铁律是:安全态(通常是 STO/主动短路)必须能通过一条不经过这颗集成 die 的独立通道达成。 工程落地上这条独立通道常见三形:① driver 暴露一个硬件 STO/使能脚,由 MCU 或安全监控直接拉低,不走 SPI、不依赖片上 FSM;② MCU 侧一条异构的栅极供电切断/使能撤销路径;③ 双通道/lockstep MCU 给出的独立关断令。要点:这条通道的失效必须与集成 die 的失效独立(低 β),它才算数。 于是即便是集成度最高的 Tier 3 driver(UCC5870-Q1、GD3160),数据手册也一定保留一个直驱的硬件关断/使能输入——那不是冗余接口,是第二根轴的物理兑现。这条通道的失效模式与 DC 怎么进 FMEDA,正是下一讲 DRV-D3 的主题。

两轴合起来,driver IC 的 landscape 自然分成三档,每档由"它把哪些环钉上了片、又留了哪条独立通道"定义,而非由 feature 数量定义:

• Tier 1 · 电平位移型(隔离 + UVLO):片上只有隔离与欠压锁定,DESAT/clamp/soft-off 全靠外围分立或 MCU。第一根轴不满足——μs 环闭不上,不能用于 SiC 主驱,只见于 FTTI 宽松的低压/慢器件场景。
• Tier 2 · 保护集成型(DESAT + Miller clamp + soft-off + UVLO 上片):把所有 μs 级快保护环钉死在 HV 侧 die,第一根轴达标。SiC 主驱主流档(如 DRV-D1 的 UCC21750、Infineon 1EDI302x、ST STGAP)。它守住了速度轴,独立通道靠外部 STO 补。
• Tier 3 · 智能监控型(再加 ADC / 在线 Tj / 电流采样 / SPI 配置 / 片上自检 BIST / 自主故障 FSM):UCC5870-Q1(集成 10-bit ADC 监 6 路模拟 + 栅驱温度、shunt 过流 + NTC 过温 + DESAT、SPI 配阈值、面向 ASIL-D 简化系统设计)、NXP GD3160(超快电流/DESAT/温度采样 + ADC 上报、两级关断、INTA/INTB 自主故障管理)。它在 Tier 2 之上,用片上自检与诊断去 claim 高诊断覆盖(喂 LFM,FS-B2),把 ms 级监控也吸进片上 ADC——代价是把更多东西压进一颗 die,第二根轴的独立通道要求因此更硬,必须显式外挂。

决策边界因此可以算、不靠拍:μs 级故障(DESAT/OCP)→ 至少 Tier 2,非可选;需要 ASIL-D 级诊断覆盖与在线监控 → Tier 3;而无论哪档,安全态第二通道一律外置且与 die 独立。ms 级慢保护(过温趋势、供电监控)放 MCU 反而更好——既省 die,又添一条异构诊断通道。

给定一个 driver IC 选型,按两轴依次过:

1. 列故障 × FTTI 表:把 C 阶各失效模式(硬短路 DESAT、过流、桥臂串扰误开通、欠压、过温)逐条标 FTTI 是 μs 还是 ms(FS-A3 归类)。这是整张选型的地基。
2. 第一轴定"必须片上"集合:所有 μs 级故障的保护环,用 $\text{FDTI}+\text{FRTI}\le (1-\beta )\text{FTTI}$ 核一遍"MCU 闭合是否溢出"——溢出的(SiC 下 DESAT 恒溢出)全部划入"必须集成",定出所需最低 Tier。
3. 第二轴定"必须独立"通道:为安全态选一条不经集成 die 的独立关断路径(硬件 STO / 异构 MCU 切断),核其与 die 失效的独立性(低 β),这条不满足则 ASIL-D 论证不成立。
4. ms 级监控按诊断策略分配:过温/供电这类慢保护,放 MCU(换异构诊断、省 die)还是放片上 ADC(换 Tier 3 的高 DC claim),按 LFM 目标与系统架构定。
5. 落 FMEDA 与 datasheet 核验:把上面每条环的检测-反应延迟、DC、独立通道 β 都写进驱动链 FMEDA(DRV-D3),并回 datasheet 逐项核标称值(DESAT 反应时间、STO 脚、ASIL 等级)。

带走三条准则:

1. 集成度是 FTTI 的函数,不是 feature 计数。 一条保护环放片上还是放 MCU,由它的 FTTI 与环延迟的大小关系唯一决定;μs 级故障恒被逼到片上,这是 FS-A3 采样边界的空间翻版,不是厂商偏好。
2. 集成买速度,赔独立性。 检测+反应同 die = 安全机制的单点/共因;ASIL-D 安全态必须由一条不经这颗 die、与之独立(低 β)的第二通道兜底——最高集成的 IC 也一定外置硬件 STO,那是第二根轴的兑现。
3. 两轴分工选 Tier。 快保护定"最低 Tier"(SiC 主驱 ≥ Tier 2),诊断覆盖/在线监控定"是否上 Tier 3",慢保护与安全态第二通道则外移 MCU 换独立性——三者合起来才是选型,不是勾选表最长者胜。