FTTI 时间预算分解 — 从故障发生到 safe state 的微秒级账本(FDTI + FRTI ≤ FTTI worked example)

很多人把 FTTI 当成一个"设计目标值"去凑,这是方向性的错。FTTI(Fault Tolerant Time Interval,故障容忍时间间隔) 的定义是:从故障在系统里发生,到危害事件可能出现之间的最短时间——前提是安全机制不动作。换句话说,它是危害的物理 / 工况替你定死的"倒计时窗口",你只能在窗口内塞下检测 + 反应,不能把窗口拉长。

对 EV 主驱"硬短路"这类故障,FTTI 几乎等于器件的 SCSOA(Short-Circuit Safe Operating Area,短路安全工作区)——器件在短路电流下能扛多久才热击穿。这就把整条保护链的预算钉死在微秒级:

• SiC MOSFET:SCSOA ~ 2-4 μs(die 面积约为 IGBT 的 1/3,同等故障能量下 Tj 上升约 3 倍快)
• IGBT:SCSOA ~ 8-10 μs,预算宽松得多

ISO 26262-1 把这条倒计时进一步拆成两段可测量的子区间,本页全程用这两个:

• FDTI(Fault Detection Time Interval,故障检测时间) — 从故障发生到安全机制确认检出
• FRTI(Fault Reaction Time Interval,故障反应时间) — 从检出到系统到达 safe state

硬约束一句话:$\text{FDTI}+\text{FRTI}\le \text{FTTI}$,且要留工程余量(对 2 μs 最坏角余量约 25%,对 4 μs 端约 60%)。超窗的后果不是"指标差一点",而是器件热击穿 / shoot-through → 危害真实发生。

把窗口拆开后,每一段的长短都不是拍脑袋,而是由具体电路 / 物理机制决定的。理解了"谁决定这一段",才知道哪里能压、哪里压不动、压过头会出什么新问题。

有了"窗口定死、分两段、per-hazard"三条原则,就能把一个真实场景的预算算出来、测出来、写进需求。

这些是 FTTI 预算在真实评审 / bench 里反复翻车的点,每条都对应一个可判的 NC(不符合项)。

Gotcha-1 — 把 FTTI 当全局常量,SC 保护链也套 SG-01 的 100 ms。HARA 输出 SG-01:FTTI = 100 ms(来自驾驶员反应 + 制动建压分析)。工程师把同一个数字抄进 SC 保护链的 TSR,tBLK 松到毫秒级、完全失去 SC 保护意义。正确做法:每类危害有自己的 FTTI——SC(快电气故障)FTTI ≈ SCSOA = 2-3 µs;SG-01 扭矩失控(慢人机危害)FTTI = 100 ms,差 4-5 个数量级,必须分开定。per-hazard 是 FTTI(ISO 26262-1:2018 术语 3.61,Fault Tolerant Time Interval)定义的固有语义——最小时间跨度按"每个危害事件"取,不是全局单值。

Gotcha-2 — 以为 tBLK 越长越安全,为减少误报把 tBLK 拉到 2 µs。某些设计为减少正常开通时 DESAT 误触发,把 tBLK 从 816 ns 拉到 2 µs。对 SiC SCSOA = 3 µs:FDTI 单独就占约 2.1 µs,超过 FTTI 的 70%,FRTI 只剩 0.9 µs;若最坏角 SCSOA = 2 µs,FDTI 直接超窗。正确做法:守住 tBLK ≤ SCSOA/3(3 µs → 上限 1 µs)。想减误报应优化 CDESAT 选型和 PCB 布局(降杂散耦合),而非延长 tBLK。

Gotcha-3 — 以为 soft turn-off 越快越好,用小 RSOFTOFF 压 FRTI。把 RSOFTOFF 从 100 Ω 改到 10 Ω 想把 tSOFT 压到几十 ns。后果:短路电流峰值可达千安级(IGBT 约 6-10 倍额定,SiC 更高),硬关产生的 $L\cdot \mathrm{d}i/\mathrm{d}t$ 过压 = 50 nH × 1000 A / 30 ns ≈ 1.7 kV,远超 650 V 器件额定。FRTI 是双边约束:过快 → 过压击穿 / 过慢 → 超 SCSOA 窗;软关断时间有物理下限,不能为省预算无限压。

Gotcha-4 — 以为软件 SafeState Manager 足以处理 SC,不需硬件 DESAT。"我们的 FSM 5 ms 内能发 STO"——5 ms 比 SCSOA = 3 µs 大 3 个数量级。快电气故障(SC / 过流)必须走 2nd-Level 硬件路径:DESAT 保护芯片直接拉栅极,绕过主 MCU 和软件 FSM。软件 FSM 是 1st-Level,管慢故障(过温 / CAN 超时 / 绝缘退化),FTTI ≥ 100 ms。两层混用或互为备份,是 ASIL D 架构高频 NC。

Gotcha-5 — 以为 FDTI = tBLK,漏掉传播延迟链。完整 FDTI = tBLK + tfilter + 逻辑传播 tprop + 隔离器传播 tiso。加了数字隔离器,tiso ≈ 80-100 ns;再叠 1EDI3035AS 内部 tfilter ≈ 100 ns,累计使 FDTI 比 tBLK 大 200-250 ns(约 25-30%)。忽略传播链,纸面满足 FTTI 而实测超窗。TSR 必须写清 FDTI 各分量。

Gotcha-6 — 只量端到端总延迟,不分段测 tBLK/tDESAT/tSOFT。bench 测到"故障注入 → 栅极关断总延迟 = 1.4 µs < FTTI"就签字。两个月后换了 CDESAT 选型,总延迟变 1.8 µs,却无法定位哪段变了。ISO 26262 TSR 评审要求每段有实测时间戳(tBLK、tDESAT、tSOFT 分别标注),后续改动才有定量追溯。EV-DESAT-003 的证据要求分段量,不能只报总量。

Gotcha-7 — 只用 25°C 数字通过预算,忽略高温 SCSOA 退化。SiC / IGBT 的短路耐受时间都随结温升高而缩短(器件已在运行温升上再叠短路自热),SCSOA 可能从 25°C 的标称值退到 125-150°C 的更短值。若预算按 25°C 通过、未验证高温角,夏季高负荷工况下余量可能变负。正确做法:SCSOA 预算用最坏温度角的数字验证,给出温度余量分析。

预算在名义工况下通过还不够,几个边角工况会把余量吃掉甚至翻负,必须显式覆盖。

Corner-1 — 低温 -40°C:DESAT 判据延迟 + 比较器变慢。SiC MOSFET 在 -40°C 时 RDSon 约为室温的 0.5-0.6 倍(沟道迁移率随温变化),短路时 VDS 爬升变慢 → DESAT 阈值判据被不必要地延后(器件"看起来没那么快退饱和")。同时隔离比较链在低温下传播延迟可能增加约 15-20%。综合使 FDTI 在低温比室温多 100-200 ns。处置:系统验证矩阵加入 -40°C 下的 DPT(双脉冲)+ SC 注入,确认 FDTI + FRTI ≤ FTTI 仍有余量。

Corner-2 — FTTI 压缩场景:L4+ 自动驾驶 / V2G 双向 OBC。L4 以上整车安全概念里,某些 SG 的 FTTI 被系统层收紧到 10 ms 以下(无人类接管环节)。SC 保护链本身 FTTI ≈ SCSOA 不变,但上游 1st-Level SafeState Manager 的响应窗口压缩到 1-5 ms,原本 100 ms 的 FSM 软件裕量大幅缩短,任务循环周期须从 10 ms 降到 1 ms 量级。V2G 双向 OBC 并网还要同时满足电网保护时序(如孤岛检测),当两个 FTTI 来自不同标准且数量级接近时,仲裁规则必须在 FSC 层写清(哪个 SG 优先、有无冲突)。

Corner-3 — 共因失效:DESAT 电源 VCC2 与主 MCU 共供电。DESAT 保护芯片(1EDI3035AS)的辅助电源 VCC2 若与主 MCU 的 3.3 V 共用同一 DC/DC,则该模块失效成为 SC 保护 + 主控的共因失效(CCF),直接破坏 ASIL D 所需独立性(ISO 26262-9 §7 DFA 的 β 因子分析)。此时"VCC2 失效"下 FDTI 趋于无穷(保护电路不工作),等于 SC 保护链被整体旁路。处置:VCC2 独立供电(独立 LDO 或独立 DC/DC);SBC(如 TLF35584)内部 VCC 监控可向保护芯片反馈状态。此条与 功能安全芯片选型 的独立电源核查交叉。