EV ECU FMEDA 总集成深度 — 三链合并 + B(D)+B(D) + Safety Case GSN worked

按物理边界 + FMEDA 颗粒度切:

• ① AUX 链(120 FIT)— 12V → 输入防护 → AUX flyback → SBC → POR sequencer → MCU。SBC 50–80 FIT 主导。详见 AUX FMEDA + DFA 深度
• ② 主功率链(80 FIT)— 6 × driver IC(60 FIT)+ driver isolated supply + SiC 模块 + 反馈环。6 × driver IC 75% 主导。详见 Driver IC FMEDA worked deep
• ③ MCU + 其他链(50 FIT)— Aurix Lockstep + ECC RAM + Flash + 传感(温度/电流采样 ICs)。MCU 30 + 传感 20

总 λ = 250 FIT。ASIL D 主驱 ECU 典型值,跟 200–300 区间一致。

ISO 26262-5 Annex E 规定:

• SPFM ≥ 99% — 单点 + 残余故障覆盖率
• LFM ≥ 90% — 潜在故障覆盖率
• PMHF ≤ $10^{-8}$/h(即 10 FIT) — 全寿命概率

3 项任一不过 → I3 评审退回 + 重测 + 重评审,延期 2–3 个月。

直接累加各链:

• 总 λ = 120 + 80 + 50 = 250 FIT
• λ_SPF+RF = 0.9 + 7.3 + 0.5 = 8.7 FIT
• SPFM_raw = 1 - 8.7/250 = 96.5% ✗(不过 99%)
• LFM_raw = 1 - 16.8/(250-8.7) = 93% ✓(过 90% 但紧)
• PMHF_raw = 25 FIT = $2.5\times 10^{-8}$/h ✗(超 $10^{-8}$)

3 项里 2 项不过,driver 链是主要瓶颈(贡献 SPF 84%、MPF 67%)。

按 driver-ic-fmeda §3.3 加 MCU 系统级 SM(RDY 超时 + 相电流采样冗余 + DESAT 时序校 + CLAMP 自检 BIST):

• λ_SPF+RF = 0.9 + 1.7 + 0.5 = 3.4 FIT(driver 链 7.3 → 1.7)
• SPFM = 1 - 3.4/250 = 98.6% ≈ 99%(差 0.4%)
• λ_MPF,latent = 4 + 4.5 + 1.5 = 10 FIT(CLAMP 自检 BIST 11.3 → 4.5,与 driver-ic 页 §3.4 一致)
• LFM = 1 - 10/(250-3.4) = 96% ✓
• PMHF = 11 FIT ≈ $1.1\times 10^{-8}$/h —— 略超 ASIL D 的 10 FIT($10^{-8}$/h)阈,靠 B(D)+B(D) 双链冗余进一步降到阈下

SPFM 仍差 0.4%(98.6% vs 99% 阈)。这是 driver IC SEooC 的单链工程极限 — driver IC 单 chip 物理上没法把 SPFM 推过 99%。

详见 ASIL Decomposition 深度 §4-§5,Part 9 §5 允许 ASIL D = ASIL B(D) + ASIL B(D)。关键:分解分配的是每通道的【开发流程严格度】,不是放宽硬件度量阈值 —— 把单链 SPFM 阈「从 99% 降到 90%」再说「97.9% > 90% 所以过 D」,是把分解当降级,评审会直接 reject(见分解页 §8 第一条误用)。

• 把主驱拆 双链平行(典型:dual-3-phase / 双绕组 / 双 inverter),两条充分独立(物理 + 共因 + 软件)
• 每条通道按 ASIL B 开发(工具链 / 验证 / 评审按 B 做,省单通道成本),但括号里 SG 仍是 D
• 合并架构仍必须满足 ASIL D 度量:SPFM ≥ 99% / LFM ≥ 90% / PMHF < 10 FIT —— 阈值不降
• 过 D 的机理 = 互补诊断:通道 A 漏检的单点故障被独立通道 B 兜住,合并诊断覆盖率才到 D(单链各 ~97.9% / 96% 只是每通道按 B 自检的指标,两条独立互补叠加后合并 SPFM 才 ≥ 99%);必须附 DFA(Part 9 §7) 证两链独立

B(D)+B(D) 省的是单通道开发成本,不是整体验证范围或度量目标,EV 主驱 2026 主流(详见 Fail-Operational Architecture 深度 6 相双绕组)。

GSN Community Standard v3 规定 5 种节点:

• Goal(矩形)— 要证明的安全声明
• Strategy(平行四边形)— 证明的方法
• Solution(圆形/椭圆)— 具体证据落点
• Context(椭圆,实线)— 边界 / 假设
• Assumption(椭圆,A 标记)— 待验证假设

主驱 ECU GSN tree 节选(详见 SVG 02):

• G1(Top Goal):主驱 ECU 满足 ASIL D 安全目标(防意外加速 / 意外断电 / 意外转矩)
• C1(Context):整车 L0/L1 ADAS + 主驱 + 50 kW 应用边界
• S1(Strategy):通过 V-cycle + FMEDA 量化(HARA + FSC/TSC + FMEDA + V&V + I3)
• G1.1–G1.4:HARA 完整 / V-cycle 闭合 / FMEDA 三阈 / V&V 完成
• Sn1.3.1–Sn1.3.3(Solutions):AUX 链(99.25%) / driver 链(B(D)+B(D),合并达 D)/ MCU 链(99%)
• Evidence E1.3.1–E1.3.3:三链各自的 FMEDA 报告(aux-fmeda-dfa report / driver-ic-fmeda report / MCU SafeTLib report)

GSN tree 跟 ISO 26262-10 §5.4 规定的 Safety Case 8 段一对一映射:

I3 评审员逐段查 GSN tree,每个 Goal 必须有 Strategy 拆解 + Solution 落到 Evidence。任何一个 Goal 没 Evidence 支撑 → defeater(论证缺口)→ 退回。

driver 链 SPFM 90.9% 不过 ASIL D 是 30 个项目里 23 个被退回的原因(77%)。缓解方案的 ROI 排序:

• B(D)+B(D) 分解(ROI 最高)— 双链各按 B 开发省成本,合并靠互补诊断 + DFA 仍达 D 度量,主驱主流方案
• MCU SafeTLib + CLAMP 自检 BIST — 加 ~ 0.5 月开发工时,救 SPFM 90.9% → 98.6%
• 驱动 IC 双 vendor 冗余 — 跨批次 + diverse compile,救 LFM Implementation 类 DFI

主流 ASIL D 主驱 = B(D)+B(D) 分解 + MCU SafeTLib + CLAMP BIST 三件套,缺一不可。

AUX 链 SN29500、driver IC 链用 vendor 自报数、MCU 链用 SR-332——三种 FIT 库在相同工况下偏差可达 2–3×，若直接合并计算 PMHF 会出现数字自洽但物理意义错乱的结果：PMHF 看似低于 10 FIT，实则是库偏差掩盖了真实风险。正确做法是在 FMEDA 封面声明统一 FIT 基准库（推荐 SN29500）、温度剖面（推荐 105°C 激活工况）和转换系数，vendor 数据折算到同一基准后再合并；每行数据来源在 FMEDA 脚注里可溯源到具体 Safety Manual 章节。

driver 链 λ_SPF = 7.3 FIT，系统级 SM（MCU 端 DESAT 时序校 + CLAMP BIST + SafeTLib STL）可把它压到 1.7 FIT，SPFM 从 96.5% 跑到 98.6%。但这些 SM 在 FMEDA 里必须显式建模：建立跨链 SM 矩阵（§3），把 MCU 监测 driver 的 DC 量化并填入 driver 链的对应 FME 行。最常见的漏法是"隐含默认 MCU 保护已到位"但不在 FMEDA 行里标注 DC 来源，导致 I3 Auditor 无法溯源、直接退回。

B(D)+B(D) 分解要求两条通道在物理、供电、共因失效、软件上充分独立（ISO 26262-9 §7）。最常见的漏洞是两条通道共用一颗 SBC：同供应商同批次 β ≥ 5%（IEC 61508-6 Annex D），6 颗 SCT3080AL × 4 FIT × 5% = 1.2 FIT 共因 latent，PMHF 从 4.34 FIT 升至约 5.54 FIT；若两条通道共用同一颗 SBC，beta 可达 10–20%，PMHF 直接超阈。解法：双链各用独立 SBC，或专项 DFA 论证电气隔离使 β ≤ 2%，并在 DFA 报告的 7 类 DFI 全项中量化 CCF 贡献。

GSN Safety Case 中，每个 Goal（矩形）必须通过 Strategy（平行四边形）分解到 Solution 或 Sub-Goal，最终每条链路都落到具体 Evidence（FMEDA 报告 / V&V 报告 / I3 证书）。最常见的 defeater 是"G1.1 HARA 覆盖所有 Hazard"没有指向具体 HARA 报告版本号的 Evidence box——I3 Auditor 找不到证据直接挂"Defeater"并退回。GSN review checklist 里必须逐个 Goal 核查是否有闭合 Evidence，且 Evidence 版本号与 Safety Case 声明日期一致。

FSAR 的 8 项闭合清单必须按 ISO 26262 V-cycle 顺序：HARA → FSC → TSC/HSI → FMEDA → DFA → V&V → Safety Case GSN。最常见的错序是 V&V 在 FSC/TSC 冻结前就开始——后续 FSC/TSC 任何修订都需要 V&V 重跑，形成 2–3 个月的补测循环。正确流程是把 V&V 计划（DV 方案 / HIL 测试矩阵 / 故障注入用例）写在 FSC 里，FSC 冻结后再锁 V&V 计划，最终 V&V 报告回引 FSC 条款编号。

FMEDA v3 声明 SW FSM 路径（14 ms < FTTI = 200 ms）计入 DC_SPF，但后续 SW FSM 版本悄然把路径延长到 28 ms（增加 AUTOSAR OS 调度层）——28 ms 仍小于 200 ms 所以"感觉没问题"，但若 FTTI 在 L4 项目里压缩到 50 ms，28 ms 仍过；然而 FMEDA 文件版本还在引用 14 ms 这个旧数字，与现实脱钩。更危险的情况是 FSM 文件里把 tFTTI_SW 从 56 ms 改为 28 ms，导致 NTC 过温路径（56 ms > 新 FTTI）退出 DC，SPFM 从 99.24% 降至约 97.8%。强制措施：在 Safety Case GSN 的 Sn1.3.x Evidence 里同时标注 FMEDA 版本号和 FSM 版本号，任一变更触发联动评审 + FMEDA 重新核算。

B(D)+B(D) 分解的最大陷阱：ASIL B(D) 的 SPFM 阈值是 90%，每条通道 SPFM = 97.9%，有人因此声称"97.9% > 90% 单通道已过 ASIL B 阈，两通道加起来肯定过 ASIL D"——这是错误的，直接导致 I3 退回。分解分配的是每通道的开发流程严格度（工具链 / 评审 / 验证深度按 ASIL B 做），而不是放宽硬件度量阈：合并后的系统架构仍必须满足 ASIL D 的三个阈值（SPFM ≥ 99% / LFM ≥ 90% / PMHF ≤ 10 FIT），靠的是两条独立通道互补诊断的系统级效应，而非单通道计算结果的简单加和。

下表列出逆变器主功率链核心器件的 ${\lambda }_D$ 分配（三方 Safety Manual 合并的工作数字，聚焦演示口径对齐方法；完整 ECU 典型 ${\lambda }_D=200$–$300$ FIT 见 §1.3 三链边界）。

v1（仅器件内置自检，无系统级 SM）

各器件仅依赖自身 Safety Manual 报告的 $D{C}_{SPF,device}$（TC397 Lockstep ≈80%（典型估算） / TLF35584 WD ≈75%（典型估算） / 1EDI3035AS DESAT ≈70%（典型估算）），未加跨链 MCU→driver 监测：

未检测单点故障率 ${\lambda }_{SPF,v1}\approx 5.2$ FIT （工程估算）

这就是 §5 里"driver 链 SPFM 不过 D"被 23/30 项目退回的起点：单器件自检从来到不了 D 阈，必须叠加系统级 SM。

v2（加 MCU 系统级 SM：SafeTLib STL + CLAMP BIST + DESAT 时序校）

MCU 作为系统级检测中心（见 §3 跨链 SM 矩阵），对 1EDI3035AS 增加三个系统级 SM：

• SafeTLib STL：MCU 内部 CPU/ALU/RAM 自检，把 TC397 $D{C}_{SPF,CPU}$：~80% → 99% （TC397 SafeTLib 规格典型值）
• CLAMP BIST：上电后强制零 PWM 10 ms + 测量 CLAMP 动作，把 driver 输出卡高的 latent 检测覆盖率从 ~60% → ~92%（工程估算）
• DESAT 时序校：MCU 比较 tblank 窗前后 DESAT 状态，覆盖 DESAT 电路"常 OFF"的静默失效

MCU 系统级 SM 加入后（safety-mechanism-catalog 42.8 FIT 子集）：

结构性天花板（单路不可逾越）：6 颗 SCT3080AL 栅极失效（24 FIT 主导 ${\lambda }_D$）分布在 6 个独立物理位置，单点故障率即便 MCU 系统级 SM 全加后仍残留 ~4 FIT（SCT3080AL 没有内置 FMEA 可检测 drain 开路），单路无法把合并 SPFM 推过 99%——必须走 B(D)+B(D) 分解。

v3（B(D)+B(D) 分解 + 完整系统 SM + DFA 独立性论证）

双通道（例如双三相逆变器独立驱动双绕组电机），每通道各自按 ASIL B 开发，互补诊断在系统层实现 D 级覆盖：

上述三数字（SPFM=99.24%/LFM=92.1%/PMHF=4.34 FIT）为 v3 工程工作值，基于系统级 SM 叠加后按 ISO 26262-5 Annex C.4 公式计算；42.8 FIT 合计与 SPFM_v1/v2 算法已核验，接受为工作数字（认证值以实际 FMEDA 报告为准）。

计算量不大，难点在口径对齐：

1. ${\lambda }_D$ 粒度不一致：TC397 SM 按功能块分（CPU/RAM/ADC），1EDI3035AS SM 按失效模式分（DESAT/FAULT/UVLO），SCT3080AL 只给总 FIT——Tier-1 需做二次分解，并在 FMEDA 每行标注"来源 SM §X.Y 表 Z"，否则 Auditor 无法溯源。
2. FIT 库不统一：TC397 可能引用 IEC TR 62380 / AEC-Q006，TLF35584 引用 SN29500，FMEDA 封面必须声明所用库 + 版本 + 环境假设（温度剖面 / ${\pi }_T$），并统一折算到相同基准；不同库偏差可达 2–3×，未对齐导致 PMHF 虚低。
3. $D{C}_{LFM}$ 语义歧义：vendor 给的 $D{C}_{LFM}$ 有时指"以 MPFT 为间隔的诊断覆盖率"（与 MPFT 绑定才有意义），而系统级 FMEDA 用的 $D{C}_{LFM}$ 影响 LFM 计算——MPFT 假设不一致时 LFM 会虚高 2–3%。

本节列出三方协同专项工程陷阱，与 §7 五大系统级陷阱互补，专注供应商 Safety Manual 合并中的高频失误。

G1（最高危）三方 $DC$ 混标：TC397 SM 的"$D{C}_{SPF,total}$=99%"是 Lockstep 对 CPU 模块内部的覆盖率，不含对 1EDI3035AS 的系统级监测。若将该数字直接代入 driver IC FMEDA 行声称"driver 被 MCU 覆盖 99%"，实际上完全漏算了 driver IC 的独立失效路径。SPFM 虚高 ~4–5%，I3 审查文档来源立刻退回。

G2 MPFT 与 $D{C}_{LFM}$ 语义错层：LFM 分子 ${\lambda }_{MPF,latent}$ 取决于 MPFT——若 STL 运行间隔 = 100 h，则 100 h 内未检测的潜伏故障全算 latent；若 vendor $D{C}_{LFM}$ 基于 MPFT=1 h，混用后 LFM 结果偏高 2–3%。跨 vendor 合并前必须把所有 $D{C}_{LFM}$ 折算到相同 MPFT 假设。

G3 B(D)+B(D) 独立性未证：双链分解要求 ISO 26262-9 §7 DFA 验证两链无 beta 因子共因耦合。若两链共用一颗 TLF35584（常见 BOM 优化），同供应商 beta ≥ 5% （IEC 61508-6 Annex D），6 颗×4 FIT×5% = 1.2 FIT 共因 latent，PMHF 从 4.34 FIT 升至 ≈5.54 FIT——需两颗独立 SBC 或论证电气隔离达到 beta ≤ 2%。

G4 FSM 版本与 FMEDA 版本脱钩：FSM FTTI 时序预算（见 §9.2）从 v2.1 → v2.2 悄然把 SW FSM 路径从 14 ms 延长到 28 ms（增加了 OS 调度层），但 FMEDA v3 仍声称 SW 路径计入 $D{C}_{SPF,SW}$（14 ms < FTTI）——实际 DC 已降低，SPFM 从 99.24% 可能降到 97.8%。FSM 页与本页版本号任一变更必须触发联动评审，建议在 Safety Case GSN Sn1.3.x 的 Evidence 里标注两文件版本号。

G5 SPFM 数字精度幻觉：FMEDA 报告标"SPFM = 99.24%"看似精密，但 FIT 输入来自 SN29500 估算，精度 ±30–50%。若 Auditor 问不确定度区间，答不上来即为质量缺陷。正确做法：附 FIT ±50% 灵敏度分析，证明在最坏 FIT 输入下三阈仍满足（SPFM ≥ 99% / LFM ≥ 90% / PMHF ≤ 10 FIT）。

G6 SCT3080AL 六颗同批次 beta：6 颗 SCT3080AL 若来自同一晶圆批次+同一封装线，DFA Manufacturing 类耦合典型 beta ≥ 2% （IEC 61508-6 Annex D 典型值）。6 颗 ×4.0 FIT ×2% = 0.48 FIT 共因 latent → PMHF 升至约 5 FIT（仍过阈，但裕量从 2.3× 降至 2.0×）；若 beta = 5%（同供应商最保守），PMHF 升至约 5.54 FIT，裕量仍 1.81×（10/5.54），仍过阈——但需在 DFA 报告中明确记录批次控制措施。解法：要求不同批次，或专项论证 beta ≤ 1%。

G7 INIT_OK 握手路径未建模：TLF35584 上电后的 INIT_OK 握手（TLF35584 → MCU，tINIT 窗口（见 TLF35584 Safety Manual INIT_OK 窗口参数）若 WD 初始化 bug 导致 MCU 未能在窗口内响应，SBC 进入 SAFE_STATE 并断电，表现为"冷启动随机失败"。若 FMEDA 未对 INIT_OK 握手路径建模（常被遗漏，因"上电即完成"属于功能路径而非故障路径的认知误区），该失效模式成为 SPF，SPFM 下降。FSM INIT 状态的握手流程（见 §9.1 接口表）必须在 FMEDA 有对应行。

本节分析三方协同设计在极端工况下的边界场景，补充 §7 五大陷阱的预防性论证。

C1 低温 −40°C：TC397 LBIST 超时与 TLF35584 握手窗口竞争

TC397 LBIST 在 −40°C 延迟 ×1.5–2.0× （参 Infineon TC3xx 应用手册，典型值），设计基准 50 ms 低温下可达 75–100 ms；TLF35584 INIT_OK 握手窗口假设 80 ms（典型值；见 TLF35584 datasheet）——低温下 LBIST 若超过握手窗口，SBC 超时进入 SAFE_STATE（伪故障），表现为寒冷地区冷启动随机不能进入 HV_READY。FMEDA v3 里 TLF35584 的 $D{C}_{SPF,WD}$ 数字是在正温下成立的，低温若伪 SAFE_STATE 触发比例 >1%，MPFT 结论需重新论证。缓解：ENDINIT 寄存器修改，将首次 WD 服务时间窗延长到 150 ms（with margin），或把 LBIST 移至 WD 首次服务之后执行。

C2 L4 FTTI 压缩：SW 路径退出 $D{C}_{SPF}$ 范围

L4 无驾驶员场景 FTTI 可能从基准 200 ms 压缩到 50 ms。现有 FMEDA v3 的 SW FSM 路径（14 ms < 200 ms 故计入 $D{C}_{SPF,SW}$）在 50 ms FTTI 下仍满足（14 ms < 50 ms）；但若软件版本升级导致 SW FSM 从 14 ms 增加到 55 ms（增加 AUTOSAR OS 调度层），则 SW 路径退出 DC 范围——SPFM 从 99.24% 降至 ~97.8%，不过阈。L4 项目版本发布前必须重新核算 SW FSM 最坏响应时间，并更新 FMEDA + FSM 联动同步。

C3 供应链替换：器件版本升级导致 $DC$ 归零

TLF35584 Rev.B → Rev.C 版本升级后 WD Q&A 算法更改，tWD_window 从 8 ms 变为 12 ms （版本变更见 TLF35584 Safety Manual 版本说明）。MCU 侧 WD 服务间隔按 Rev.B = 7 ms 设计，Rev.C 下仍满足（12 ms > 7 ms）；但 FMEDA 封面标注"TLF35584 Safety Manual Rev.B"的 $D{C}_{SPF,WD}$ = 96% 是基于 Rev.B 内部 SM 实现——Rev.C 内部 SM 已改变，DC 需重新评估归零。AoU 变更管理（ISO 26262-8 §6）必须在 ECN 里触发 FMEDA 影响分析，这条最常在量产件小版本升级时被遗漏。

下表定义 FSM 各状态与 FMEDA 安全机制路径的对应关系，包括时序要求和 $D{C}_{SPF}$ 来源。FSM 路径时序与 FMEDA 器件 $DC$ 脱钩计算是最常见 I3 退回原因（见 §5 拦路问题 #1）。

PMHF 精确公式（ISO 26262-5 Annex C.4）中，texposure 是每次 drive cycle 的平均暴露时长，由 HARA 的 E 参数（曝光程度）决定——城市工况 E4 对应 texp ≈ 1 h （SAE J2980 E参数定义，E4=城市工况）：

FTTI 通过**决定哪些 SM 路径能计入 $D{C}_{SPF}$**来影响 PMHF：

• FTTI = 200 ms（基准）：HW DESAT（1.22 µs）✓ + SW FSM（14 ms）✓ + 过温 NTC（56 ms）✓ 全计入 DC → PMHF = 4.34 FIT
• FTTI = 50 ms（L4 压缩）：HW DESAT（1.22 µs）✓ + SW FSM（14 ms）✓ + 过温 NTC（56 ms > 50 ms）——退出 DC → PMHF 升高 （精确值取决于 DC_SPF,NTC 是否退出计算）
• FTTI = 10 ms（极端压缩）：仅 HW DESAT（1.22 µs）✓，SW FSM（14 ms）退出 + 过温 NTC 退出 → PMHF 可能超 10 FIT 阈

结论：FTTI 假设变化 = PMHF 结论变化。HARA 里任何改变 FTTI 的修订（如 L4 自动驾驶等级上调）必须触发 FMEDA + FSM 联动更新，并在 Safety Case GSN Evidence 里标注两文件版本号。