功能安全芯片选型 — 从整车 ASIL 目标反推器件安全指标

整车级安全目标(如「防止主驱意外输出转矩」)被分配为 ASIL 等级后，会落到一组硬件架构指标上。ISO 26262-5 要求 ASIL D 系统满足单点故障度量 $SPFM\ge 99\%$、潜伏故障度量 $LFM\ge 90\%$、随机硬件失效概率度量 $PMHF\le 10^{-8}{\mathrm{h}}^{-1}$(即 $10$ FIT)。这些是系统级目标，但系统由器件串成，所以每颗承担安全功能的器件必须贡献自己的诊断覆盖率 $DC$ 与失效率 FIT 份额，否则系统指标无法凑齐。

大多数半导体器件在开发时并不知道最终装到哪台车、承担哪个安全目标，因此它们以 SEooC(Safety Element out of Context，脱离上下文的安全元件) 模式开发。SEooC 的逻辑是:供应商假设一套使用场景(假设的安全需求、假设的 ASIL 等级、假设的外部安全机制由系统提供)，按此假设完成开发并把这些假设写成 AoU 交给集成方。集成方必须逐条验证「我的真实 context 是否满足供应商的假设」——这一步是选型的真正动作，也是后文第 2 节缺口的来源。

AoU 是供应商对集成方提的「使用契约」，典型条目包括:必须由外部 MCU 周期性读取诊断寄存器并在 FTTI 内响应、必须配置某引脚为安全态、上电必须执行某自检、某诊断仅在特定时钟频率下有效。集成方若没逐条落实(比如没接诊断回读、把可配置安全引脚配错)，FMEDA 中靠这些机制贡献的 $DC$ 就不成立，器件实际 $DC$ 远低于声明值，系统 SPFM 凑不到 $99\%$。AoU 不是附录，是选型阶段就要核对可行性的硬清单。

SEooC 假设的 ASIL 等级、安全功能边界、FTTI 可能与你的真实分配不一致。供应商假设器件承担 ASIL B 并据此做 FMEDA，你却把它放在 ASIL D 关键路径上——它的 $DC$ 目标本就是按 ASIL B 设的，不会自动满足 ASIL D 的 $99\%$。又如供应商假设 FTTI 为 $10\mathrm{ms}$ 而你的转矩安全路径要求 $1\mathrm{ms}$ 内进入安全态，器件的诊断响应时间假设就失配。选型必须把双方 ASIL/FTTI/安全功能边界逐项对齐。

诊断覆盖率是按失效模式分布加权的平均值。一颗声明 $DC=99\%$ 的器件，可能对「输出短路」覆盖很好，却对某个寄存器位翻转或某条内部时钟停摆几乎不覆盖。如果你的安全分析恰好把那条未覆盖的失效模式判为系统关键失效，器件的高平均 $DC$ 帮不上忙。必须读 FMEDA 的逐模式 $DC$ 表，而不是只看汇总数字——这也是为什么先看安全手册与 FMEDA、再看 datasheet 是正确次序。

缺口的根因往往是没分清安全机制由谁实现。器件能在片内自带的安全机制(片内温度监测、输出电流监测、寄存器 CRC、ASC 引脚直驱)贡献片内 $DC$;而很多失效模式的覆盖被供应商假设由系统侧实现(外部看门狗、跨芯片交叉检查、MCU 软件诊断、冗余通道)。选型时要画出这条边界:凡是落在系统侧的 SM，都是你必须自己补的工作量，若补不上就得换更高集成度的器件或加外部冗余。

选型从整车安全目标开始向器件反推，每一步都把上一层的约束细化为对器件的具体要求，最后落到「这颗器件够不够、不够怎么补」的判定。下表把原始六步框架补全为带反推方向与判据的可执行版本。

横向比较多家厂商时，正确的做法是用统一的安全包维度建表，而不是把各家 datasheet 参数堆在一起比大小。核心维度是:是否提供完整安全手册、FMEDA 是否给逐模式 $DC$、AoU 是否清晰可核、声明 ASIL 与你的目标是否一致、片内 SM 覆盖了哪些失效模式、剩余靠系统补的工作量有多大。安全包齐整、AoU 与你 context 契合度高的器件，即便单价更高，也能显著压缩你的安全案例工作量与集成风险——这才是「贵 = 值」的正确含义，与「贵 = 安全」的误区相反。

把框架落到既有 wiki 已覆盖的逆变器关断路径上并深化。主驱的安全目标是「防止意外转矩」，分解后通常给出两条关断路径:MCU 经 PWM 控制 6 路驱动进入安全态的主路径(承担 ASIL A/D)，与独立硬件逻辑直驱 ASC 引脚的冗余路径(承担 ASIL C/D)。冗余路径要求驱动 IC 片内自带 ASC 引脚且其失效模式被 FMEDA 覆盖到对应 $DC$——这是片内 SM 必须落地、无法靠系统补的部分，因为主驱空间与 FTTI(常要求毫秒级)不允许再叠一层外部硬件冗余。

主路径若用仅 QM 的普通驱动，则必须在系统层补独立硬件安全回路(如数字隔离器构成的独立关断通道) 来承担冗余关断，并在 FMEDA 中把这条系统级 SM 的 $DC$ 算进去。这正是第 2.4 节「系统级 SM 由集成方补」的具体落地。

把上面的方法论落到一个真实厂商:纳芯微(Novosense) 通过 ISO 26262 ASIL D "Defined-Practiced" 能力认证，SafeNovo 系列覆盖传感器 / 信号链 / 电源管理三方向，从 QM 到 ASIL D 一条线齐全，正好演示「按器件职责选 ASIL 等级、QM 配系统冗余」的全谱。注意下表读法应遵循 3.2 的方法论——关注每款是否附完整安全手册 + FMEDA(SafeNovo ASIL 器件均附)，而非只看标称等级。

SafeNovo 的 NSI6911F 是 3.3 节冗余路径「片内 ASC 必须落地」的现成解;而 QM 的 NSI82xx 默认安全高电平，是冗余关断路径的理想桥接元件——搭一颗 QM 电流传感器，靠系统级交叉检查即可拼出 ASIL C/D 采样链，这恰是 2.4 节「跨芯片冗余把 QM 抬到 ASIL」的合法路径范例。