Driver IC Safety Manual — 怎么找 / 怎么看 / 5 个 quick check

Infineon 把 Safety 资料锁在 myICP(myInfineon Collaboration Platform)——仅注册 myInfineon 账号不够,需要签 NDA 并由 FAE / 经销商把账号提升为授权用户才能下载:

• Datasheet: infineon.com 产品页公开
• Safety Manual / Safety Application Note + FMEDA: myICP 受控分发
• 获取路径:
  1. myinfineon.com 注册公司邮箱
  2. 与 Infineon 签 NDA,FAE / 经销商提升账号权限
  3. 进 myICP → 对应产品线 → 下 FuSa package
• ASIL claim 读器件不读营销页:本地实读的 1EDI3021AS datasheet 原文是 "ISO 26262 Safety Element out of Context for safety requirements up to ASIL B",集成安全特性标注 "support ASIL B(D)"——即器件级 SEooC 到 ASIL B,靠 decomposition 支撑 ASIL D 系统;产品线营销页写的 "support functional safety system designs up to ASIL D" 是系统级口径,两者不是一回事
• 文档体量感(典型量级):manual 为几十到数百页 PDF,FMEDA 以受控 Excel 交付

TI 的文档最开放(登录 ti.com 即可下载或申请,文献编号 SFFSxxx / SLLUxxx / SLUUxxx),但开放不等于每颗器件都有 safety manual——TI 官方(SSZT066)把产品分三档,Quality-Managed 起就有 functional safety manual(SSZT066 Table 1 里 manual 在 QM 与 Compliant 两档都打勾;Compliant 相对 QM 的增量是 FTA、按 TI 功能安全流程(ISO 26262)开发与 FS 产品证书,不是 manual 本身):

• UCC5870-Q1 是 TI 第一颗 Functional Safety-Compliant 隔离栅极驱动(SSZT066 原文),datasheet(SLUSD86C)首页即标 "Functional Safety-Compliant — Documentation available to aid ISO 26262 system design up to ASIL D"
• UCC21750-Q1 属 Quality-Managed 档(ti.com 产品页官方分类):有 functional safety manual(SLUUC06)与 safety FIT rate report,登录 ti.com 申请可得——但器件不是按 ISO 26262 功能安全流程开发,无 FTA、无 FS 产品证书;用它上 ASIL D 系统时 manual / FMEDA 数值可直接用,流程与 confirmation measures 论证仍要系统级自己扛
• FS-Capable 档的隔离栅驱示例是 UCC5350-Q1(SSZT066 Figure 1 三档对照:UCC5350-Q1 / UCC21736-Q1 / UCC5870-Q1):该档只有 FIT / FMD / pin FMA,没有 manual 和 FMEDA——诊断论证全靠系统级自建
• 示例文档:TCAN4550-Q1(本身即 QM 档)Functional Safety Manual = SLLU312(公开),FMEDA 摘要 = SFFS246(公开)——QM 有 manual 的现成证据;本地样本 sffs309a.pdf(TPS3704x-Q1 Functional Safety Analysis Report)可看 TI FMEDA 报告模板
• 顺带澄清一个常见误标:ISO5852S 是 TI 的(非 ADI),ADI 对应产品线见 3.3

ADI 走"中间路线":datasheet 与部分产品的 Functional Safety Capability 摘要公开,完整 safety 文档走申请制:

• ADI 真正的隔离驱动 IC:ADuM4135 / ADuM4136 / ADuM4221
• Datasheet 公开;部分产品带公开的 functional safety 摘要(数页 summary)
• 完整 Safety 文档:通过 ADI Functional Safety Program 渠道申请(联系邮箱 functional.safety@analog.com);ADI 官方技术文章明示部分驱动(含 ADuM4135)的 safety manual 是按需开发/交付,申请前先向 FAE 确认现货状态

onsemi 的 NCV57 系列 datasheet 只给 UL1577 隔离认证 + AEC-Q100 车规,全文没有任何 ISO 26262 / SEooC / ASIL claim——这本身就是选型信号:

• Datasheet: onsemi.com 公开
• Safety Manual: 无公开渠道;FuSa 支持文档(FIT 数据 / FMEDA 摘要)个案走 FAE,能给到什么以项目谈判为准
• datasheet 无 ASIL claim = 红旗:意味着器件未按 SEooC 流程开发或 vendor 不对外承诺,ASIL D EV 主驱直接选用时,全部诊断覆盖论证和 confirmation measures 要自己扛
• 不推荐 ASIL D 主驱在没拿到书面 FuSa 承诺前锁定该系列

把"驱动 + 功率器件"作为整体买时,safety 文档跟着商务合同走,与 IC 厂的 portal 模式完全不同:

• Bosch CSL SiC 功率模块家族(750 V / 1200 V,含 on-cooler 形态):走 bosch-semiconductors B2B / Tier-1 / OEM 合同渠道,系统级 safety case 在合同内交付,外部工程师公开只能看到产品页与 marketing 资料
• 配套驱动生态的代表是 NXP GD3160(Bosch 模块参考设计的搭档):ISO 26262 开发、宣称支持 ASIL C/D 系统,safety manual / FMEDA 走 NXP docstore 权限账号
• 中小公司通常接触不到模块级 safety case——要么通过整车 OEM 间接拿,要么退回分立 IC 方案

打开 Safety Manual 第 ④ 章 Assumptions of Use (AoU)。每个 AoU 是编号约束:

• 例:"AoU-01: Supply voltage Vcc rise time shall be less than 5ms"
• 例:"AoU-12: Output OUT_L pin shall be connected to gate through Rg ≤ 10Ω"
• 例:"AoU-23: Application shall not perform hot-swap at the isolation barrier"

任何一条违反 = 整 IC 的 SM 失效,整个 ASIL claim 作废(这正是 Part 10 Clause 9 的机制:SEooC 的有效性建立在集成时逐条 validate 假设之上)。

实操:打印 AoU 列表 → 跟 schematic 对照 → 把违反项标红 + 跟 vendor FAE 确认(可能可以加补偿 SM)。

第 ⑥ 章 FMEDA Quantitative Results 必须有三项核心数字,目标值直接对标 ISO 26262-5:2018:

• SPFM(§8.4.5 Table 4):ASIL B ≥ 90%,C ≥ 97%,D ≥ 99%
• LFM(§8.4.6 Table 5):ASIL B ≥ 60%,C ≥ 80%,D ≥ 90%
• PMHF(§9.4.2.2 Table 6):ASIL D $<10^{-8}{\text{h}}^{-1}$(= 10 FIT),ASIL B / C $<10^{-7}{\text{h}}^{-1}$(= 100 FIT)

只给总 FIT(例 50 FIT)而没 SPFM/LFM 拆分 = 不是真 safety manual,只是 FIT report。这种文档不能直接用于 system 级 FMEDA(TI FS-Capable 档就是这种交付物,见 3.2)。

第 ⑤ 章 SM list 每项必须有触发条件 + 输出接口:

• 例:SM-01 DESAT → 触发后通过 nFLT pin 拉低 → integrator 必须把 nFLT 接 MCU IRQ
• 例:SM-05 OCP → 输出 OC_DETECT pin

对照自己 schematic — nFLT 接到 MCU 了吗?中间经过 buffer 吗?buffer 加多少 delay → 是否破坏 FRTI(Fault Reaction Time Interval)?

第 ⑨ 章 vendor 列出他不负责的部分,整套系统级 SM 必须由集成方加。

常见 integrator 责任:

• 外部 watchdog(safety SBC 内置,如 Infineon TLF35584 之于 AURIX——AUtomotive Realtime Integrated neXt——安全 MCU 的经典搭配)
• MCU 端 DESAT 交叉检查(信号入 MCU 再比较)
• 上层 plausibility check
• 冗余 PWM 路径
• power supply 监视

这一章往往比 SM list 还重要 — vendor 用它撇清 30-50% 的工作给集成方。提前看 = 项目早期评估工作量;晚看 = 量产前发现还差 5 个 SM。

第 ③ 章给的 mission profile 是vendor 假设条件,常见:Tj 125℃ 均值、8000 小时运行寿命、指定的通断循环数。但 EV 主驱实际工况普遍更严:12000 小时以上(8 年质保 + margin),驱动板局部 Tj 逼近 150-175℃。

FIT 的温度加速用 Arrhenius 修正,量纲代入算一遍:

以 Ea = 0.7 eV、T1 = 398 K(125℃)→ T2 = 423 K(150℃):$\frac{1}{398}-\frac{1}{423}\approx 1.48\times 10^{-4}$,指数 $=\frac{0.7}{8.617\times 10^{-5}}\times 1.48\times 10^{-4}\approx 1.21$,$AF=e^{1.21}\approx 3.3$。同法算 175℃(448 K)得 $AF\approx 9.7$;取 Ea = 0.5-0.7 eV 区间,150℃ 下 FIT 翻 ~2.4-3.3 倍,175℃ 下 ~5-10 倍。

FIT 必须 scale:vendor 给 30 FIT → EV 150℃ 工况下就是 ~90 FIT 量级,直接影响系统级 PMHF。注意别把功率模块的 power cycling 疲劳(ΔTj 循环数)混进驱动 IC 的 FIT——IC 侧主导的是温度加速,循环疲劳归模块寿命评估。工程上必跟 vendor 索要 mission profile dependent FIT 函数(FAE 通常能给一个 Tj 修正系数表)。

实在没拿到 Safety Manual 时,用公开样本 + datasheet 摘要拼半个 manual 可以暂时跑起 ASIL B 评估;ASIL D 必须等到拿到真 manual:

• datasheet "Functional Safety" 章节:数页 summary,有 SM 概述但没 DC 数值
• TI 公开样本:TCAN4550-Q1 Functional Safety Manual(SLLU312)看 manual 模板,SFFS246 / SFFS309A 看 FMEDA 报告模板——全部登录 ti.com 可下
• vendor FuSa 白皮书 + FAE 团队发的 SAE / IEEE paper:补方法论,不补数值

没 vendor 数据时保守估:

• 假 IC FIT = datasheet quality grade 的 5×
• SPFM 假 90%(ASIL B 上限)
• LFM 假 60%(ASIL B 上限)
• 验证靠FI test 实测而非 vendor 文档

这种方式ASIL D 项目不可行(评审会拒);ASIL B 项目勉强能跑。

选型阶段就该考虑文档可获取性,而不是设计完发现拿不到。下面是按可获取难度排序的实用建议:

• TI QM / FS-Compliant 器件(UCC21750-Q1 / UCC5870-Q1 等)文档最易得——登录申请即可,且先核对器件档位(QM 起就有 manual,FS-Capable 没有)
• Infineon 文档完整但需 NDA + myICP 授权账号,项目早期就让 FAE 走流程
• datasheet 无 ASIL claim 的器件(onsemi NCV57 系列现状)与模块级合同货(Bosch CSL 类),非 OEM 体量别指望拿到完整 safety case

三相桥 6 颗驱动把开漏 nFLT 并成一根线省 MCU pin:任一通道故障都能触发,但 MCU 无法在 FRTI 内定位是哪一相,故障反应只能整桥关断;更糟的是这根共享线本身成了 CCF 单点(对地短路 = 全部故障上报失效)。manual 的 AoU / CCF 章通常暗含"每通道独立监控或有第二通道确认"——SPI 型驱动(UCC5870-Q1)靠状态寄存器回读补定位,纯 pin 型驱动就得每通道独立走线。读 §8 CCF 章时专门核共享信号线。

器件级 SEooC 只到 ASIL B(如 1EDI3021AS),系统靠 ASIL B(D) + ASIL B(D) decomposition 撑 ASIL D 时,两条通道必须证明独立(ISO 26262-9 的 dependent failure analysis)。若主驱动路径和监控路径共用同一颗 VCC LDO、同一参考地、甚至同一封装内的隔离栅,decomposition 直接塌陷回 ASIL B。manual 的 CCF 章只覆盖 IC 内部,跨器件独立性论证全在 integrator 头上——这是 §9 责任章最容易被低估的一条。

驱动板热仿真发现 IC 局部环温长期 135℃,超出 AEC-Q100 grade 0 的 125℃ 上限:此时不能拿 5.5 节的 Arrhenius 公式把 FIT 继续外推——qual 范围外器件的失效机理组合(电迁移 / 键合退化 / 隔离栅寿命)可能改变,Ea 单值假设失效,且这本身已是 AoU violation。正确动作:降热设计回 qual 范围,或让 vendor 按新 profile 重算 FMEDA(部分 vendor 提供 mission profile dependent FIT 服务),二选一,不存在"自己乘个系数"的第三条路。