Driver IC FMEDA worked example — 6-pack SiC 主驱 SPFM/LFM/PMHF + 7×6 DFI 矩阵

每个模式的物理来源 + 基线 SM(逐条注明归属:是 driver 内置还是落在 MCU 侧)+ DC + Safe State:

• ① OUT stuck-high(25% FIT) — output FET die 短路 / latch,SiC 长开导致直通烧管;driver 内置 DESAT 检测 → FAULT pin 拉低,DC 90%;Safe State 2 切相
• ② OUT stuck-low(20% FIT) — output FET die 开路 / GND short,SiC 长关导致 6-pack 失相;无内置直接检测(RDY 只是 VCC-GND / VDD-COM 的 power-good,DESAT 又只在开通态起作用——stuck-low 时 OUT 拉不高、DESAT 不武装,driver 自己看不见这个模式)。基线 SM 归属 MCU 侧:监测 RDY 拉低,只间接盖住 GND short 拉垮 VDD → UVLO 的子模式,DC 50%(教学假设);Safe State 2 切相
• ③ UVLO 失效(10% FIT) — UVLO 检测 die 损坏,VCC2 跌落但 driver 还在开关;上电 BIST + RDY 监测,DC 95%;Safe State 1 禁开机
• ④ DESAT 误报(15% FIT) — DESAT 比较器 Vth 漂移(温漂 / 老化),正常工况下被误判短路;driver 内部无自检,基线 SM 就是 MCU 校 DESAT 时序窗(blanking 时间;归属 MCU 侧,§3.3 不再重复计入),DC 70%;Safe State 2 切相(上报)
• ⑤ 隔离障击穿(5% FIT) — reinforced 隔离障(UCC21750-Q1:VISO 5.7 kVrms UL 1577 / VIORM 2121 VPK,VDE 0884-17)老化或污染击穿 → 共模流;检测靠系统级 IMD 绝缘监测(ISO 6469-3 要求的 HV 绝缘电阻监测)+ driver FLT 硬件 trap → Safe State 2,DC 99%(在线检测 → detected SPF,残余计入 SPFM,非 latent;图中 ⑤ 行的 latent 标注是早期口径,以本节为准)
• ⑥ CLAMP 失效(25% FIT,隐藏)— AMC FET 损坏导致 Miller false trigger;无内置 SM(latent),DC 25%(仅靠间接效应 — Miller 误开通偶发触发 DESAT / 过流被上报的比例,无运行时直接检测);这是 driver IC FMEDA 最大的 latent 弱点

⑥ CLAMP 失效占 25% FIT 但 DC 只有 25% — 这是 driver IC SEooC 的最大设计 gap。注意档位差:本例的 UCC21750-Q1(Quality-Managed 档,见 §5)没有 CLAMP 自检;内置 gate/CLAMP 自检是 Functional Safety-Compliant 一代(TI UCC5870-Q1:上电 BIST + gate 电压监测;Infineon 1ED38xx enhanced 家族)才有的能力,可把 DC 拉到 60% 级 — 但 2026 大量在产设计仍用前一代件,系统级补救(§3.4)不可省。

颗粒度提醒 — pin-level 是教学简化,die-level 才是量产 FMEDA:上面 6 大模式是 pin-level 汇总,但 I3 评审要的 component-FMEDA(ISO 26262-5 Annex E)更细——每个 pin-level 模式是多个物理机理的并集,DC 各异:

• OUT stuck-high(25%) 拆:输出 FET die 短路(~15%,DESAT 可检)/ latch-up(~5%,可检)/ bond-wire 桥接(~5%,DESAT 难检)→ 合并成"90%"是加权平均
• 隔离障击穿(5%) 拆:介质 TDDB 老化(渐变,在线 Viso 可检)/ 污染闪络(突发,可检性低)
• CLAMP 失效(25%) 拆:clamp MOS 开路(零 PWM 自检可抓)/ 阈值漂移(自检漏 → latent)/ 逻辑死

后果:pin-level 的 DC 是加权平均,乐观掩盖了某细机理的低 DC(bond-wire 桥接、阈值漂移)。ASIL D 报告须展开到 die/bond/metallization 级(典型 20-30 行),否则 I3 退回。本页 pin-level 数字是教学简化。

主功率链 4 大部件 FIT 锚点(85°C 工况):

driver IC 占 75%,是 FMEDA 的绝对主战场。

两个 FIT 基准的诚实标注。(a) 10 FIT/颗(85°C)是 SN29500 折中口径的教学基准;vendor 的 IEC TR 62380 口径会明显更高 — 同为隔离器件的 AMC1306M25-Q1 在 TI sffs324 里 55°C 就有 18 FIT(封装占 15),折算 85°C 结温约 44 FIT(FIT / FMEDA 工程化计算 §8 实算)。量产 FMEDA 必须向 TI 索取 UCC21750-Q1 FIT Rate 报告(on request)替换本页数字 — FIT 库整体缩放不改变"单链 SPFM 不过 ASIL D"的结论,但改变绝对 margin。(b) SiC 模块 0.5 FIT/开关位只是 die 随机失效基线(重度电压 derating 假设);800 V 母线下宇宙射线 SEB 须按 vendor 失效率曲线单独叠加,最坏 mission profile 下能把模块行推高一个数量级(见 §8 Corner 1)。

SPF + RF 来源:

• ① OUT stuck-high 残余(DC 90%)= 60 × 0.25 × (1-0.9) = 1.5 FIT
• ② OUT stuck-low 残余(DC 50%)= 60 × 0.20 × (1-0.50) = 6.0 FIT
• ③ UVLO 残余(DC 95%)= 60 × 0.10 × 0.05 = 0.3 FIT
• ④ DESAT 误报残余(DC 70%)= 60 × 0.15 × 0.30 = 2.7 FIT
• 其它(driver 以外三行 + ⑤ 隔离障残余)≈ 1 FIT — supply 掉电由 driver VDD UVLO + RDY 检出(18 × 0.03 ≈ 0.5)、模块短路由 DESAT 盖(3 × 0.1 = 0.3)、反馈环由相电流合理性校验盖(2 × 0.1 = 0.2)、⑤ 残余 60 × 0.05 × 0.01 = 0.03

合计 λ_SPF+RF ≈ 11.5 FIT:

主功率链 SPFM 不过 ASIL D 阈! 这就是为什么 SiC 主驱必须 系统级补 SM(MCU + 外置 DESAT R + 相电流采样冗余 + 温度监测),把 DC 拉到 ASIL D 要求。

加 MCU 端 SM 后,两个独立 SM 的覆盖率是互补叠加(不是串联相乘;前提是两 SM 检测路径独立 — 须过 §4 DFA,同一条路径不能与自己叠加,没有第二条独立路径的模式不叠加):

• ① OUT stuck-high + MCU 相电流采样异常 → $DC=1-(1-0.90)(1-0.90)=99\%$ → 残余 15 × 0.01 = 0.15 FIT
• ② OUT stuck-low + MCU 三相电流采样合理性校验(系统级,走电流 ADC 通道,与基线的 RDY 数字信号路径独立)→ $DC=1-(1-0.50)(1-0.90)=95\%$ → 残余 12 × 0.05 = 0.6 FIT
• ④ DESAT 误报:基线本身就是 MCU blanking 时序校(§2.1 ④),没有第二条独立检测路径可叠加 → DC 维持 70%,残余 9 × 0.30 = 2.7 FIT
• ③ UVLO(0.3)与 ⑤ 隔离障(0.03)不变;其它经 MCU 相电流冗余再压到 ≈ 0.15 FIT

合计 λ_SPF+RF ≈ 0.15 + 0.6 + 2.7 + 0.3 + 0.03 + 0.15 ≈ 3.9 FIT:

仍差 3.9 个百分点 — ASIL D 主驱靠 B(D)+B(D) 分解 + 系统级冗余:两条独立通道各按 B 开发(省单链开发严格度/成本),但合并架构仍须满足 SPFM≥99%——靠两通道互补诊断 + DFA 达成,不是把 99% 阈降到 B(且分解前提是独立性,本页 6 路共 supply/MCU/热区须先过 DFA;详见 ASIL Decomposition 深度)。

LFM 主要来自 ⑥ CLAMP 失效(25% FIT,DC 25%)—— ⑤ 隔离障是 detected SPF(在线 99%),不计 latent:

• λ_MPF, latent = 60 × 0.25 × (1-0.25) ≈ 11.3 FIT(⑤ 隔离障已作 detected SPF 计入 SPFM,不入 latent)
• LFM = 1 - 11.3 / (80 - 3.9) = 85.2% < 90% ASIL D 阈

口径注:分母 80 − 3.9 取的是 §3.3 系统 SM 补救后的 λ_SPF+RF(LFM 评估的是当前架构配置,SPF 补救先于 latent 补救落地);若按纯单链口径(λ_SPF+RF = 11.5),LFM = 1 - 11.3/68.5 = 83.5% — 两个口径都不过 90% 阈,结论相同,但报告里分母口径必须写明,不能两套混用。

LFM 也不过! 这是 driver IC SEooC 的另一个硬约束 — 必须系统级补 CLAMP 自检 SM:MCU 每个 drive cycle 上电发零 PWM 强制 CLAMP 动作并测 OUT 波形(LFDT = 1 个 drive cycle)。这套自检能抓 clamp MOS 开路和逻辑死,但阈值漂移仍漏 → DC 从 25% 提到 70%:

• 补救后 λ_MPF, latent = 15 × (1-0.70) = 4.5 FIT → LFM = 1 - 4.5/76.1 = 94.1% ✓(阈 90%)

PMHF 本页用保守口径:把 SPF+RF 残余与 latent 残余全部计入,${\lambda }_{PMHF}\approx 3.9+4.5\approx 8.4\mathrm{FIT}=8.4\times 10^{-9}/h$,低于 ASIL D 阈 $10^{-8}/h$ ✓(余量 16%)。两点口径说明:

• (a) ISO 26262-10 的双点精确口径是两个失效率的乘积 × 暴露时间(FIT × FIT × h,数量级远小于 latent 残余本身);保守口径把 latent 全算进去,等价于"第二故障已在场"的最坏假设 — I3 接受它作 margin 论证,但报告须写明口径,别把两种口径的数字混在一张表里
• (b) 8.4 FIT 只是链级数字,已占整机 10 FIT 预算的 84% — 与 AUX 链(7 FIT,aux-fmeda §4)合并后整机超阈,这正是 EV ECU FMEDA 总集成 §2 里合并 PMHF ≈ $1.1\times 10^{-8}/h$ 略超、须靠 B(D)+B(D) 双链冗余收口的根源。条款锚点:ASIL D 的 $<10^{-8}/h$(严格小于)出自 ISO 26262-5:2018 §9.4.2.2 Table 6;"整机预算切给各链"这个动作对应 §9.4.2.3 — item 由多个 system 组成时,把 §9.4.2.2 的目标值直接分配到各 system。引用时别把两条搞混(Table 6 归 9.4.2.2,不是 9.4.2.3)

把 SPFM / LFM / PMHF 三组数字串在一起读 — 揭示 driver IC SEooC 的工程边界:

• SPFM 99% 必须系统级 SM(MCU 配合 driver 内置 SM)
• LFM 90% 必须外置 CLAMP 自检(driver IC 内置 BIST 不够)
• PMHF $10^{-8}$ 配合 ASIL Decomposition 分解到 B(D) + B(D)

driver IC 自身做不到 ASIL D — 必须跟 MCU + 系统 SM 联合。这是 SEooC AoU 跟 Tier-1 integration 的核心。

矩阵里红格集中的 6 个主战场,每个对应一个 I3 评审 DFA work product:

• ① 共 +15V/-3V 栅驱 supply — 6 路 driver 共 1 个 1 W 隔离 supply,supply 短路 → 6 路同时挂;缓解:6 路独立 supply(Murata MGJ × 6 颗)或 SBC + 在线 VGS 监测 SM
• ② 同 leg HS+LS 物理 — U/V/W 各相 HS+LS driver 共 PCB 区域,同相直通时关断管承受母线 + 过冲的全部应力(800 V 母线上逼近 1200 V 器件额定);缓解:HS/LS 物理隔离 + dead-time + DESAT 双重(详见 Dead-time tuning 深度)
• ③ 共 MCU PWM 信号 — MCU TIM 卡死 → 6 路 PWM 全错;缓解:MCU Lockstep + STM 看门 + 硬件 trap(详见 Lockstep Core 深度)
• ④ 共 MCU reset — SBC reset_n 拉低 → 6 路 driver EN 全失;缓解:双 reset 链(MCU 单独 + 外设链单独)
• ⑤ 主驱共热区 — 6-pack 模块同一热岛(整机 ambient 80°C,模块损耗把 driver 局部环温推到 105°C、SiC Tj 150°C 级),6 路 driver 同时退化;缓解:NTC × 6 独立监测 + thermal derating
• ⑥ 同 vendor / 同 SKU — 6 路同一 IC 批次,制造缺陷是 CCF;缓解:跨批次采购 + 上电 BIST 校 + 在线 diagnostic

AUX 链的 aux-fmeda-dfa-deep §5 主战场是 Power / Resource / Communication(占 80%),driver 链不同:driver 链多 1 个"主驱热区"(Environment) 是主战场(因为 6-pack 模块自身就是发热源),Implementation 也升级到主战场(同 SKU 制造缺陷)。这是主功率链跟 AUX 链 DFA 的根本差异。

按 Driver IC Safety Manual 阅读法 §4 12 章模板(★ 必读 = 第 4 / 6 / 9 章),FMEDA 相关章节:

• 第 3 章 Mission profile:vendor 的温度 / 寿命假设(典型 125°C / 8000 h)— 跟你的 EV 工况不符时 FIT 要按 Arrhenius 重修
• 第 4 章 AoU(Assumptions of Use)★:Tier-1 必须接住,典型 6 条 — VCC1 5 V ±5% / IN_PWM 时序窗 / 共模噪声边界 / 散热条件 / dead-time / 上电时序
• 第 5 章 Safety concept & SM list:driver 内置 SM 编号清单(UVLO / DESAT / AMC / RDY / FAULT)
• 第 6 章 FMEDA 量化 ★:vendor 提供 FIT + DC + 失效模式分布(直接代入 Tier-1 FMEDA)
• 第 9 章 Integrator Responsibilities ★:vendor 列出 Tier-1 必须补的系统级 SM(典型 4 项:MCU 端 RDY 超时 / 相电流采样冗余 / CLAMP 自检 / 温度监测)

Tier-1 没接住 AoU 是 driver IC SEooC 集成失败的 #1 原因。典型案例:

• VCC1 实际工作在 4.7V(超 AoU ±5% = 4.75–5.25)→ 驱动逻辑工作但 timing 偏移 → DESAT 误报
• IN_PWM 最小 pulse 100 ns(超 AoU 200 ns)→ 内部 propagation delay 不足 → 输出窄脉冲消失
• 上电时序错 — VCC2 先于 VCC1 上电 → driver 内部 latch-up

注意 AoU 与 datasheet 限值是两条线:UCC21750-Q1 datasheet 的 VCC 供电范围是 3–5.5 V(SLUSDH9D),4.7 V 电气上完全合法 — 但 AoU 锁的是安全论证边界(vendor 只对 5 V ±5% 内的 SM 行为负责),越界不是烧器件,是 ASIL claim 作废。这就是"AoU 违反比电气违规更隐蔽"的原因。

ASIL D 项目的 SEooC integration 评审清单必含 AoU 接住验证 100%(I3 评审强制)。