功能安全芯片选型 — 从整车 ASIL 目标反推器件安全指标

整车级安全目标(如「防止主驱意外输出转矩」)被分配为 ASIL 等级后，会落到一组硬件架构指标上。ISO 26262-5:2018 §8-9 要求 ASIL D 系统满足:

这些是系统级目标，但系统由器件串成，所以每颗承担安全功能的器件必须贡献自己的诊断覆盖率 $DC$ 与失效率 FIT 份额，否则系统指标无法凑齐。单点故障度量的定义是把每个失效模式按其失效率 ${\lambda }_i$ 与被安全机制覆盖的比例 $D{C}_i$ 加权:未被覆盖的残余部分 ${\lambda }_i(1-D{C}_i)$ 就是残余单点/残余故障率 ${\lambda }_{SPF}+{\lambda }_{RF}$，于是

单颗器件的高 $DC$ 并不自动转化为系统 SPFM 达标——若系统链上任一器件有大量未覆盖失效模式(高 ${\lambda }_i$、低 $D{C}_i$)，它就是拖垮整链 SPFM 的瓶颈。

大多数半导体器件在开发时并不知道最终装到哪台车、承担哪个安全目标，因此它们以 SEooC(Safety Element out of Context，脱离上下文的安全元件) 模式开发。供应商假设一套使用场景(假设的安全需求、假设的 ASIL 等级、假设的外部安全机制由系统提供)，按此假设完成开发并把这些假设写成 AoU 交给集成方。集成方必须逐条验证「我的真实 context 是否满足供应商的假设」——这一步是选型的真正动作，也是后文第 2 节缺口的来源。

AoU 是供应商对集成方提的「使用契约」，典型条目包括:必须由外部 MCU 周期性读取诊断寄存器并在 FTTI 内响应、必须配置某引脚为安全态、上电必须执行某自检、某诊断仅在特定时钟频率下有效。集成方若没逐条落实(比如没接诊断回读、把可配置安全引脚配错)，FMEDA 中靠这些机制贡献的 $DC$ 就不成立，器件实际 $DC$ 远低于声明值，系统 SPFM 凑不到 $99\%$。AoU 不是附录，是选型阶段就要核对可行性的硬清单。

SEooC 假设的 ASIL 等级、安全功能边界、FTTI 可能与你的真实分配不一致。供应商假设器件承担 ASIL B 并据此做 FMEDA，你却把它放在 ASIL D 关键路径上——它的 $DC$ 目标本就是按 ASIL B 设的，不会自动满足 ASIL D 的 $99\%$。又如供应商假设 FTTI 为 $10\mathrm{ms}$ 而你的转矩安全路径要求 $1\mathrm{ms}$ 内进入安全态，器件的诊断响应时间假设就失配。选型必须把双方 ASIL/FTTI/安全功能边界逐项对齐。

诊断覆盖率是按失效模式分布加权的平均值。一颗声明 $DC=99\%$ 的器件，可能对「输出短路」覆盖很好，却对某个寄存器位翻转或某条内部时钟停摆几乎不覆盖。如果你的安全分析恰好把那条未覆盖的失效模式判为系统关键失效，器件的高平均 $DC$ 帮不上忙。必须读 FMEDA 的逐模式 $DC$ 表，而不是只看汇总数字——这也是为什么先看安全手册与 FMEDA、再看 datasheet 是正确次序。

缺口的根因往往是没分清安全机制由谁实现。器件能在片内自带的安全机制(片内温度监测、输出电流监测、寄存器 CRC、ASC 引脚直驱)贡献片内 $DC$;而很多失效模式的覆盖被供应商假设由系统侧实现(外部看门狗、跨芯片交叉检查、MCU 软件诊断、冗余通道)。选型时要画出这条边界:凡是落在系统侧的 SM，都是你必须自己补的工作量，若补不上就得换更高集成度的器件或加外部冗余。

选型从整车安全目标开始向器件反推，每一步都把上一层的约束细化为对器件的具体要求，最后落到「这颗器件够不够、不够怎么补」的判定。

横向比较多家厂商时，正确的做法是用统一的安全包维度建表，而不是把各家 datasheet 参数堆在一起比大小。核心维度是:是否提供完整安全手册、FMEDA 是否给逐模式 $DC$、AoU 是否清晰可核、声明 ASIL 与你的目标是否一致、片内 SM 覆盖了哪些失效模式、剩余靠系统补的工作量有多大。安全包齐整、AoU 与你 context 契合度高的器件，即便单价更高，也能显著压缩你的安全案例工作量与集成风险——这才是「贵 = 值」的正确含义，与「贵 = 安全」的误区相反。

把上面的方法论落到一个真实厂商:纳芯微(Novosense) 通过 ISO 26262 ASIL D "Defined-Practiced" 能力认证，SafeNovo 系列覆盖传感器 / 信号链 / 电源管理三方向，从 QM 到 ASIL D 一条线齐全，正好演示「按器件职责选 ASIL 等级、QM 配系统冗余」的全谱。注意下表读法应遵循 3.2 的方法论——关注每款是否附完整安全手册 + FMEDA(SafeNovo ASIL 器件均附)，而非只看标称等级。

SafeNovo 的 NSI6911F 是「片内 ASC 必须落地」冗余路径的现成解;而 QM 的 NSI82xx 默认安全高电平，是冗余关断路径的理想桥接元件——搭一颗 QM 电流传感器，靠系统级交叉检查即可拼出 ASIL C/D 采样链，这恰是 2.4 节「跨芯片冗余把 QM 抬到 ASIL」的合法路径范例。

系统目标 SPFM $\ge 99\%$，LFM $\ge 90\%$，PMHF $\le 10\mathrm{FIT}$。关断路径有三个关键 SEooC 节点，将 PMHF 预算在它们之间分配。注意 ASIL 声明一栏:MCU 与 SBC 是 ASIL D SEooC，但栅驱 1EDI3035AS 的安全手册明写「集成安全特性 up to ASIL B / SEooC for safety requirements up to ASIL B」，只是在系统级支撑 ASIL D 设计——这正是第 2 节「ASIL D ready ≠ 器件即 ASIL D」的实证。

逐颗对照安全包三件套:安全手册齐全 / FMEDA 有逐模式 $DC$ / AoU 清单可核。

TC397(AURIX TC3xx，ISO 26262 SEooC，开发目标应用级 ASIL D):

• 安全手册:Infineon AURIX TC3xx Safety Manual，涵盖 Lockstep CPU、ECC RAM/Flash、LBIST、SMU。6 个 TriCore 里 4 个带 lockstep checker，可即时检出单点 CPU 失效并经 SMU 上报 alarm。
• FMEDA:lockstep 对 CPU stuck 类失效贡献高 $DC$(锁步比较器架构典型 $\approx 99\%$)；RAM 单 bit 翻转由 ECC 覆盖到接近 $99.9\%$。
• 关键 AoU:MCU 须在上电后执行 LBIST(逻辑内建自测，期间功率级保持 off)；SMU 报警后必须在 $<5\mathrm{ms}$ 内拉低 FAULT 引脚并触发 ASC。

1EDI3035AS(EiceDRIVER，单通道隔离 SiC-MOSFET 驱动，Datasheet Rev1.0 2024-06-20；ISO 26262 SEooC，集成安全特性 up to ASIL B):

• 安全机制与实测数值(datasheet Table 22 等)：
  • DESAT 检测:参考电平 $VDESAT2=6.0\mathrm{V}$ typ(5.85–6.15，PRQ-122)，DESAT 电流源 $IDESATCS=-500\mu \mathrm{A}$ typ(PRQ-125)，检测到反应时间 $tDESAT2SOFTOFF=180\mathrm{ns}$ typ。
  • UVLO 双轨:$VCC2$ 正轨 UVLO rising $\approx 12.4\mathrm{V}$ / falling $\approx 12.0\mathrm{V}$(PRQ-171/172)；$VEE2$ 负轨 UVLO falling $=-7.2\mathrm{V}$ typ(-7.65…-6.9，PRQ-412)。
  • ASC:片内 secondary ASC(SASC)引脚 + primary ASC(经 SI1/SI2)，直驱功率管进主动短路安全态。
  • NFLT 引脚:实时开漏故障输出，DESAT 事件时在 $tDESAT2NFLT$ 内被钳低;DATA 诊断帧是独立的串行诊断通道，SC 事件的实时感知须读 NFLT 引脚而非等 DATA 帧。
• AoU 核心条件:① 隔离侧 $VCC2/VEE2$ 由独立电源轨供(不共 LV 侧 VCC1)；② ASC 信号必须由独立硬件逻辑(非仅软件)驱动;③ DESAT 消隐由外部电容 $CDESAT$ 按功率管短路耐受选型——以 $CDESAT=68\mathrm{pF}$ 为例，消隐时间 $tblank\approx CDESAT\cdot VDESAT2/IDESATCS=68\mathrm{pF}\times 6\mathrm{V}/500\mu \mathrm{A}=816\mathrm{ns}$。

TLF35584(OPTIREG PMIC/SBC，ISO 26262 SEooC，支撑系统级 ASIL D):

• 安全机制:窗口看门狗(WWD) + 问答看门狗(Q/A-WD，超时或答错 $\to$ 安全态/复位 MCU)；UV/OV 电压监控(各轨独立基准)；监控 MCU 的 SMU;Safe State Controller 驱动安全态输出引脚(SS1/SS2)。
• AoU 核心条件:① MCU 必须在 WDT 窗口内正确回答 Q/A;② SBC 的 Safe State 引脚必须与 1EDI3035AS ASC 引脚硬件直连，无任何软件中间层;③ SBC 初始化前 MCU 不得启动功率级。

本项目真实 context 核对(节选 8 条最关键):

识别出 2 条缺口:ASC 纯软件路径 + 上电序列缺 SBC INIT-OK 握手。

缺口 1 闭合:增加 TLF35584 Safe State 引脚 → 1EDI3035AS ASC 的硬件直接路径。Safe State 引脚是 SBC 的失效安全输出，不依赖 MCU 软件;与 1EDI3035AS ASC 引脚直连后，MCU 宕机/失控时 SBC 看门狗超时 $\to$ Safe State 引脚拉低 $\to$ ASC 激活 $\to$ 所有下管短路(主动短路安全状态)。这条独立硬件路径正是把关断功能从「栅驱 ASIL B」抬到「系统 ASIL D」的架构冗余。新增工作量:PCB 走线 + 握手协议变更。

缺口 2 闭合:软件上电序列增加:等待 TLF35584 初始化状态 = INIT-OK 后，再使能 TC397 PWM 输出模块。防止 SBC 未就绪时 MCU 即驱动功率管。

系统 SPFM 估算(缺口闭合后，示例分配值):关断路径主要失效模式与其安全机制贡献的 $DC$ 分配为——① MCU 控制错误(TC397 lockstep $DC\approx 99\%$)；② 栅极驱动拒绝关断(1EDI3035AS DESAT/ASC，示例 $DC\approx 92\%$)；③ SBC WDT 失效(TLF35584 Safe State，示例 $DC\approx 90\%$)。这些 $DC$ 是自顶向下的分配目标，最终须以各器件 FMEDA 逐模式 $DC$ 回填。三器件 PMHF 分配之和 $\le 9\mathrm{FIT}$，预留 1 FIT 系统裕量。注意两个 PMHF 层次的差异(见 topic-asil-d-case-studies §7.5 注 2):半导体核心 DC 加权后残余 SPF 典型约 1–2 FIT；引入全 BOM 含无源/连接器/PCB 后，真实主驱 PMHF 通常落在 5–9 FIT——本 worked design 系统级估算约 7 FIT，满足 $\le 10\mathrm{FIT}$。SPFM 与 PMHF 的最终值须以 FMEDA 实际 FIT 率表代入核算，确认满足 PMHF $\le 10\mathrm{FIT}$ 与 SPFM $\ge 99\%$。

安全案例 (Safety Case) 中该子系统需包含以下证据:

1. SG1 分配的 ASIL D 与 FTTI 50 ms 来源(HARA 输出)
2. TC397 / 1EDI3035AS / TLF35584 的安全手册版本 + FMEDA 版本(含 FIT 表)
3. AoU 逐条核对记录(见 4.3 表)
4. 两条缺口的闭合设计文件(PCB review + 软件 review)
5. 系统 FMEDA 最终版(实际 FIT 数字代入，PMHF 核算 $\le 10\mathrm{FIT}$)
6. LBIST 执行时间验证测试报告
7. ASC 硬件路径触发时间测试(目标 $\le 2\mathrm{ms}$，远低于 FTTI 50 ms)

半导体 FIT 率遵循 Arrhenius 关系，结温每升 $10\mathrm{K}$ 失效率约增 $1.5\text{–}2\times$(典型活化能 0.7 eV)。器件 FMEDA 通常按任务剖面(mission profile)的加权温度给 FIT;1EDI3035AS datasheet 结温范围标 $-40$ 到 $150{}^{\circ }\mathrm{C}$。若 ECU 热设计允许壳温偏高、$Tj$ 逼近上限，实际运营 PMHF 可能超过 10 FIT。应对:FMEDA 用贴近真实任务剖面的高温 FIT，热设计确保 $Tj$ 留足够裕量(常见目标 $\ge 20{}^{\circ }\mathrm{C}$)。

若 OEM 基于 HARA 更新将 FTTI 从 50 ms 压至 10 ms(高速路况新 hazard 评估)，上电 LBIST 与当前软件 FAULT 响应链(SW ISR + CAN 总线 + ASC 触发合计估算 $\approx 8\mathrm{ms}$)会逼近或超出窗口。应对:① 上电 LBIST 期间功率级强制 off(LBIST 本身不在运行窗内)；② 缩短 FAULT 响应:硬件中断直接拉 ASC(不经 CAN)，目标 $\le 3\mathrm{ms}$；③ 评估支持更快启动自测/分段自测的 MCU variant 以缩短 on-road 时间。

供应商升级安全手册时可能新增或收紧 AoU 条目(举例:对某供电轨的上电斜率、初始化时序提出新限制)。集成方若未跟踪版本，已量产系统用新 batch 器件(配新版安全手册)却没执行新增约束，AoU 实际未满足。应对:建立器件安全手册版本追踪台账;Safety Case 显式链接安全手册版本;batch 换版本时触发变更影响分析(CIA)。