Driver IC FMEDA worked example — 6-pack SiC 主驱 SPFM/LFM/PMHF + 7×6 DFI 矩阵

每个模式的物理来源 + 内置 SM + DC + Safe State:

• ① OUT stuck-high(25% FIT) — output FET die 短路 / latch,SiC 长开导致直通烧管;driver 内置 DESAT 检测 → FAULT pin 拉低,DC 90%;Safe State 2 切相
• ② OUT stuck-low(20% FIT) — output FET die 开路 / GND short,SiC 长关导致 6-pack 失相;MCU 通过 RDY 信号超时检测,DC 85%;Safe State 2 切相
• ③ UVLO 失效(10% FIT) — UVLO 检测 die 损坏,VCC2 跌落但 driver 还在开关;上电 BIST + RDY 监测,DC 95%;Safe State 1 禁开机
• ④ DESAT 误报(15% FIT) — DSAT 比较器 Vth 漂移(温漂 / 老化),正常工况下被误判短路;MCU 校 DESAT 时序窗(blanking 时间),DC 70%;Safe State 2 切相(上报)
• ⑤ 隔离障击穿(5% FIT) — 5 kV reinforced 障老化或污染击穿 → 共模流;Viso 在线监测 + 硬件 trap → Safe State 2,DC 99%(在线检测 → detected SPF,残余计入 SPFM,非 latent)
• ⑥ CLAMP 失效(25% FIT,隐藏)— AMC FET 损坏导致 Miller false trigger;无内置 SM(latent),DC 25%(靠系统级 oscilloscope 抓);这是 driver IC FMEDA 最大的 latent 弱点

⑥ CLAMP 失效占 25% FIT 但 DC 只有 25% — 这是 driver IC SEooC 的最大设计 gap,旗舰 IC(TI UCC21750-Q1 / Infineon 2EDi3xxx) 已经加入 CLAMP 自检 BIST 把 DC 拉到 60%,但 2026 主流 IC 还在这条线下。

颗粒度提醒 — pin-level 是教学简化,die-level 才是量产 FMEDA:上面 6 大模式是 pin-level 汇总,但 I3 评审要的 component-FMEDA(ISO 26262-5 Annex E)更细——每个 pin-level 模式是多个物理机理的并集,DC 各异:

• OUT stuck-high(25%) 拆:输出 FET die 短路(~15%,DESAT 可检)/ latch-up(~5%,可检)/ bond-wire 桥接(~5%,DESAT 难检)→ 合并成"90%"是加权平均
• 隔离障击穿(5%) 拆:介质 TDDB 老化(渐变,在线 Viso 可检)/ 污染闪络(突发,可检性低)
• CLAMP 失效(25%) 拆:clamp MOS 开路(零 PWM 自检可抓)/ 阈值漂移(自检漏 → latent)/ 逻辑死

后果:pin-level 的 DC 是加权平均,乐观掩盖了某细机理的低 DC(bond-wire 桥接、阈值漂移)。ASIL D 报告须展开到 die/bond/metallization 级(典型 20-30 行),否则 I3 退回。本页 pin-level 数字是教学简化。

主功率链 4 大部件 FIT 锚点(85°C 工况):

driver IC 占 75%,是 FMEDA 的绝对主战场。

SPF + RF 来源:

• ① OUT stuck-high 残余(DC 90%)= 60 × 0.25 × (1-0.9) = 1.5 FIT
• ② OUT stuck-low 残余(DC 85%)= 60 × 0.20 × (1-0.85) = 1.8 FIT
• ③ UVLO 残余(DC 95%)= 60 × 0.10 × 0.05 = 0.3 FIT
• ④ DESAT 误报残余(DC 70%)= 60 × 0.15 × 0.30 = 2.7 FIT
• 其它 = ~ 1 FIT

合计 λ_SPF+RF ≈ 7.3 FIT:

主功率链 SPFM 不过 ASIL D 阈! 这就是为什么 SiC 主驱必须 系统级补 SM(MCU + 外置 DESAT R + 相电流采样冗余 + 温度监测),把 DC 拉到 ASIL D 要求。

加 MCU 端 SM 后:

• ① OUT stuck-high + MCU 相电流采样异常 → DC 99%(driver 90% + MCU 90%,串联)→ 残余 0.15 FIT
• ② OUT stuck-low + MCU RDY 超时 → DC 99% → 残余 0.18 FIT
• ④ DESAT 误报 + MCU blanking 时序校 → DC 95% → 残余 0.9 FIT

合计 λ_SPF+RF ≈ 1.7 FIT:

仍差 1.1 percent — ASIL D 主驱靠 B(D)+B(D) 分解 + 系统级冗余:两条独立通道各按 B 开发(省单链开发严格度/成本),但合并架构仍须满足 SPFM≥99%——靠两通道互补诊断 + DFA 达成,不是把 99% 阈降到 B(且分解前提是独立性,本页 6 路共 supply/MCU/热区须先过 DFA;详见 ASIL Decomposition 深度)。

LFM 主要来自 ⑥ CLAMP 失效(25% FIT,DC 25%)—— ⑤ 隔离障是 detected SPF(在线 99%),不计 latent:

• λ_MPF, latent = 60 × 0.25 × (1-0.25) ≈ 11.3 FIT(⑤ 隔离障已作 detected SPF 计入 SPFM,不入 latent)
• LFM = 1 - 11.3 / (80 - 1.7) = 85.6% < 90% ASIL D 阈

LFM 也不过! 这是 driver IC SEooC 的另一个硬约束 — 必须系统级补 CLAMP 自检 SM(MCU 定期发零 PWM 测 OUT 波形,DC +60%):

• 补救后 λ_MPF, latent ≈ 4.5 FIT → LFM = 94% ✓

PMHF = 残余 (SPF + LF + 其它) ≈ 6 FIT = $6\times 10^{-9}$/h ≤ $10^{-8}$ ASIL D 阈 ✓(余量 40%)。

把 SPFM / LFM / PMHF 三组数字串在一起读 — 揭示 driver IC SEooC 的工程边界:

• SPFM 99% 必须系统级 SM(MCU 配合 driver 内置 SM)
• LFM 90% 必须外置 CLAMP 自检(driver IC 内置 BIST 不够)
• PMHF $10^{-8}$ 配合 ASIL Decomposition 分解到 B(D) + B(D)

driver IC 自身做不到 ASIL D — 必须跟 MCU + 系统 SM 联合。这是 SEooC AoU 跟 Tier-1 integration 的核心。

矩阵里红格集中的 6 个主战场,每个对应一个 I3 评审 DFA work product:

• ① 共 +15V/-3V 栅驱 supply — 6 路 driver 共 1 个 1 W 隔离 supply,supply 短路 → 6 路同时挂;缓解:6 路独立 supply(Murata MGJ × 6 颗)或 SBC + 在线 VGS 监测 SM
• ② 同 leg HS+LS 物理 — U/V/W 各相 HS+LS driver 共 PCB 区域,同相直通击穿(SiC 1500V 应力);缓解:HS/LS 物理隔离 + dead-time + DESAT 双重(详见 Dead-time tuning 深度)
• ③ 共 MCU PWM 信号 — MCU TIM 卡死 → 6 路 PWM 全错;缓解:MCU Lockstep + STM 看门 + 硬件 trap(详见 Lockstep Core 深度)
• ④ 共 MCU reset — SBC reset_n 拉低 → 6 路 driver EN 全失;缓解:双 reset 链(MCU 单独 + 外设链单独)
• ⑤ 主驱共热区 — 6-pack 模块同一热岛(典型 80°C ambient → 105°C ambient + Tj 150°C),6 路 driver 同时退化;缓解:NTC × 6 独立监测 + thermal derating
• ⑥ 同 vendor / 同 SKU — 6 路同一 IC 批次,制造缺陷是 CCF;缓解:跨批次采购 + 上电 BIST 校 + 在线 diagnostic

AUX 链的 aux-fmeda-dfa-deep §5 主战场是 Power / Resource / Communication(占 80%),driver 链不同:driver 链多 1 个"主驱热区"(Environment) 是主战场(因为 6-pack 模块自身就是发热源),Implementation 也升级到主战场(同 SKU 制造缺陷)。这是主功率链跟 AUX 链 DFA 的根本差异。

按 Driver IC Safety Manual 阅读法 §1 12 章模板,FMEDA 相关章节:

• §3 AoU(Assumption of Use):Tier-1 必须接住,典型 6 条 — VCC1 5V/±5% / IN_PWM 时序窗 / 共模噪声边界 / 散热条件 / dead-time / 上电时序
• §4 Safety Architecture:driver 内置 SM 列表(UVLO / DESAT / AMC / RDY / FAULT pins)
• §6 FMEDA 量化:vendor 提供 FIT + DC + 失效模式分布(直接代入 Tier-1 FMEDA)
• §9 Integrator Responsibilities:vendor 列出 Tier-1 必须补的系统级 SM(典型 4 项:MCU 端 RDY 超时 / 相电流采样冗余 / CLAMP 自检 / 温度监测)

Tier-1 没接住 AoU 是 driver IC SEooC 集成失败的 #1 原因。典型案例:

• VCC1 实际工作在 4.7V(超 AoU ±5% = 4.75–5.25)→ 驱动逻辑工作但 timing 偏移 → DESAT 误报
• IN_PWM 最小 pulse 100 ns(超 AoU 200 ns)→ 内部 propagation delay 不足 → 输出窄脉冲消失
• 上电时序错 — VCC2 先于 VCC1 上电 → driver 内部 latch-up

ASIL D 项目的 SEooC integration 评审清单必含 AoU 接住验证 100%(I3 评审强制)。