栅极驱动的功能安全诊断（Gate Driver Safety）

DESAT blanking time 由外挂电容和 IC 内部充电电流精确决定,不是拍脑袋的经验范围。以 1EDI3035AS 外挂 CDESAT=68 pF 为例:IC 内部以 IDESAT=500 µA 给 CDESAT 充电,充到 VDESATth=6V 即触发 DESAT 判断,充电时间就是 blanking time:

旧经验值"1-2 µs"来自 IGBT 时代——SiC 设计者照搬会选出更大的 CDESAT,白白延长响应窗口,吃掉 SCWT 裕量。正确做法:先确定 CDESAT,再从上式算出 tblank,再验证 tblank 在 SCWT 的 30% 以内。

1EDI3035AS 的 DESAT 阈值 VDESAT2 固定为 6V,不可外调。旧经验值"7-9V(SiC)"来自 IGBT 时代对 SiC 的外推——用 7V 评估该 IC 的保护链时序会得出错误的裕量判断。

DESAT 监测功率管导通时的 $VDS$——正常导通时这个电压很小($I\times RDSon$,SiC 通常 0.5-2V),短路时电流飙升让管子退出饱和区,$VDS$ 跳到 hundreds of V。比较器检测 $VDS>VDESATth$ → 立刻触发 soft-off。

DESAT 4 个设计参数互相牵制——阈值定低误触发、定高漏触发,blanking 定短抓不住开通后短路、定长漏短路前期。1EDI3035AS + SCT3080AL 是经过 SSOT 验证的参数组合,实际项目要用 double-pulse 测试在板标定并与下表对照。

DESAT 只能抓"已经短路了"的事件,以下三类情形抓不住:

• 短路前的临界状态(电流接近 SOA 但 VDS 未退饱和)
• 驱动 IC 自身失效让 DESAT 比较器不工作
• 长时间小过流(累积温升,VDS 无跳变)

所以 DESAT 必须配 OCP + 温度监测组合使用,三者各守一条检测对角线。

VEE2 负轨 UVLO 的极性方向是 SiC 驱动 IC 设计中最常踩的 Gotcha:阈值 VUVLO3L=-7.2V,触发条件是 VEE2 比 -7.2V 更正时触发——即 -5V > -7.2V,所以 -5V 的负轨会触发 UVLO,驱动 IC 拒绝开门。这和正轨的直觉("低于阈值触发")完全相反。

物理原因:VEE2 供给关断负偏置,若 VEE2 偏低(即偏正,如 -5V),SiC MOSFET 关断不可靠 → IC 必须阻止输出。极性方向示意:

VEE2 = -5V  → VEE2 > VUVLO3L(-7.2V) → 触发 UVLO(危险!)
VEE2 = -7.2V → 恰在边界 → 裕量=0,不合法
VEE2 = -8V  → VEE2 < VUVLO3L(-7.2V) → 正常开门(最小合法值)
VEE2 = -10V → 充裕裕量 → 推荐值

正确取值必须 VEE2 ≤ -8V(常用 -8V)。SCT3080AL 推荐最小关断负压 VGS,off,min=-4V（确保可靠关断的最小绝对值），绝对最大负 VGS ≈ -10V——VEE2=-8V 处于两者之间,是合规取值。

调试阶段若上电后 PWM 无输出且 VCC2 正常,第一个检查点就是量 VEE2——如果是 -5V 或 -6V,就是这个坑。

双 enable 的核心要点是"AND 门必须在驱动 IC 内部硬件层,不能把 AND 放到 MCU 软件"。将 AND 放到软件层意味着 MCU 失效就失去 STO 能力,违反 ASIL D 独立性要求。

两个 enable 来源必须真独立:

• enable 1 由主 MCU(常规控制路径)
• enable 2 由 safety monitor MCU 或 SBC(独立时钟、电源)

任一拉低就关栅 = "or 短路逻辑",任意一侧失效仍能切断扭矩。这是 转矩安全 里 ASIL D STO 的硬件实现。

双 enable 失效组合是 DFA 必查点,否则双 enable 只是形式上的双路,共因失效时仍然全灭。

全逆变器系统 FMEDA 中,1EDI3035AS × 6（三相半桥 6 管；安全机制目录 §11 以 1 相高/低侧对「数量 2」代表全三相，6.0 FIT 为全三相汇总）对应诊断失效率 λ_D=6.0 FIT。

SSOT 汇总级参考（topic-safety-mechanism-catalog v2 聚合值，保守基线）：

驱动 IC 子系统(6× 1EDI3035AS)
λ_D_subsystem = 6.0 FIT
DC_SPF(v2) = 92%  → 残余 SPF ≈ 0.48 FIT（SSOT 保守基线）
DC_LFM(v2) = 80%  → 残余 LFM = 1.20 FIT（SSOT 保守基线）

本页细粒度分析（按失效模式展开，设计目标更精准；比 SSOT 汇总更乐观——如 DESAT+OCP 并用可达 99%，而 SSOT 以 92% 作为保守聚合）：

$\text{SPFM}\approx 1-\frac{0.144}{6.0}\approx 97.6\%$（细粒度分析设计目标；SSOT 保守基线 92%）

驱动 IC 子系统单独达不到 ASIL D SPFM≥99% 上限,需要 ASIL 分解(ASIL D → ASIL B + ASIL B,或加入独立监控通道)。全逆变器系统通过 STO / ASC / MCU 监控等系统级 SM 整体可达 ASIL D——详见 安全机制目录。

驱动级最常踩的 5 个反模式都和"反应路径错"或"硬件 SM 漏配"有关——SiC 时代不能照搬 IGBT 的设计经验,DESAT 阈值要重标、AMC 要标配、OCP 不能经过 MCU。

所有数字来自 datasheet + SSOT 验证页,直接引用,不重推。两个常见误引值已用注释标出。

保护链由三段串联,各自独立计算,求和得总时序。

步骤一:blanking time

CDESAT=68 pF 由 IDESAT=500 µA 充电至 VDESATth=6V:

步骤二:DESAT 触发到 soft-off 启动

1EDI3035AS datasheet 规格:tDESAT2SOFTOFF ≤ 210 ns(取最差值)。

步骤三:soft-off 过程(抽走栅电荷)

soft-off 阶段 RSOFTOFF 串联 RGint 向栅极放电,放电电流:

抽走全部栅电荷 Qg=48 nC 所需时间:

总时序与裕量:

热角 Tj=150°C 时 SCSOA 缩至约 2550 ns:

两个温度点均满足 ISO 26262 建议的 ≥ 50% 设计裕量。

DESAT 保护链时序裕量通过后,完整 ASIL D 论证还需覆盖以下 5 个检查点:

1. FTTI 满足:ttotal=1235 ns << SCWT=3000 ns,裕量 59%,热角 52%
2. UVLO 双轨覆盖:VCC2=+18V >> 12.0V 阈值;VEE2=-8V < VUVLO3L=-7.2V(裕量 0.8V)
3. STO 双 enable:主 MCU + safety MCU 各持一路,物理独立不同电源域,DFA 通过
4. AMC 标配:防 Miller 误开,SCT3080AL 高 dv/dt 下不可省
5. FMEDA:驱动 IC 子系统 λ_D=6.0 FIT,DC_SPF=92%;需 ASIL 分解到系统级达 SPFM=99%

UVLO3L 阈值 -7.2V 的极性方向与正轨完全相反:VEE2 比 -7.2V 更正时触发 UVLO。使用 -5V 负轨(VEE2=-5V > -7.2V)会触发 UVLO——驱动 IC 上电后永远不开门,调试时 PWM 无输出,很难直接怀疑到 UVLO 极性。规避:负轨取 VEE2 ≤ -8V;电路 review 时明确标注 UVLO3L 极性方向,与正轨 UVLO 逻辑严格区分。

IGBT 时代 DESAT 阈值经验范围 7-9V 对 SiC 不适用:1EDI3035AS 的 VDESATth 固定为 6V,不可外调。设计评估时用 7V 计算保护链会得出错误的时序裕量判断。规避:SiC 项目 DESAT 参数必须从 IC datasheet 读固定值,不用通用经验范围;如 IC 的 Vth 可外调,用 DPT 在板标定而非理论推算。

将 OCP 比较器输出接 MCU GPIO,用中断服务程序去拉低栅极:MCU ISR 典型延迟 5-20 µs,远超 SiC SCWT 2-3 µs。功率管已经烧了 MCU 才进 ISR。规避:OCP 比较器输出必须直连驱动 IC 的关断输入(硬件直拉),fault pin 再通知 MCU——MCU 只做记 DTC + 通知 VCU,不参与保护动作本身。

声称"ASIL D STO"但实际只用 1 个 enable:任意一条控制路径卡在高电平就无法切断扭矩。最典型错误是"主 MCU + SBC 共享同一 enable 总线"或"两 enable 接同一 GPIO 扩展芯片"。规避:两 enable 物理独立走线,来自不同电源域的不同 MCU,DFA 明确分析共因失效。

认为"负压偏置 VEE2=-8V 够了不用 AMC":SiC 的 dv/dt 高达 50-100 V/ns,即使有 -8V 偏置,Miller 耦合电荷仍可能瞬时让栅极超过关断阈值造成误开。规避:SiC 设计 AMC 是标配;声称 AMC 可省的评审意见必须提供 dv/dt 注入测试数据支撑。

为了减少误触发把 CDESAT 设得很大(如 220 pF):tblank=220e-12×6/500e-6=2640 ns,占 SCWT 3000 ns 的 88%。DESAT 还在盲区里,功率管已到 SCWT 极限。规避:tblank 上限必须 < SCWT×30%(即 <900 ns);CDESAT=68 pF 对应 816 ns 接近这个上限,增大 CDESAT 前必须重新验算总裕量。

只用 SPI 报告 fault,没有独立 fault pin:SPI 通信故障(总线挂死 / 帧错误)导致 MCU 永远看不到 fault,驱动 IC 已经保护动作,MCU 却继续发 PWM。规避:SPI + multi-pin 双链路并行——SPI 失效时 fault pin 仍能通知 MCU 进入 fault state,满足诊断路径单点失效可检测的要求。

负轨辅助电源(通常 flyback 拓扑)在 -40°C 启动时输出会比常温偏低。若 VEE2 从设计值 -8V 在极寒下漂移至 -7.5V,与 VUVLO3L=-7.2V 之间的裕量从常温 0.8V 缩至 0.3V。若再叠加辅助电源输出精度误差,VEE2=-7.5V×0.95=-7.1V > -7.2V,触发 UVLO。验证要求:在 -40°C 环境箱全温扫描辅助电源输出,确认 VEE2 始终 ≤ -7.8V(留 ≥0.6V 裕量);辅助电源输出精度 ≥3% 的必须加 LDO 或反馈补偿。

SiC MOSFET 在高温下 SCWT 缩短:SCT3080AL 在 Tj=150°C 时 SCSOA 约 2550 ns(25°C 标称约 3000 ns,退化约 15%)。此时 ttotal=1235 ns 不变,裕量从 59% 降至 52%。若 Tj 超过 150°C(外壳 90°C + 高导通损耗,RthJC=0.86 K/W 下 15A 持续约 60-80°C 结到壳温差),SCSOA 会进一步缩短。验证要求:计算最高负载下的 Tj_max;若 Tj_max > 150°C,必须从 SCSOA 曲线读取对应温度的 SCWT 并重新验算裕量,确认 ≥ 45%。

SCT3080AL Qg 标称 48 nC,但 datasheet 有 ±20% 批次散差(worst-case Qg≈58 nC)。tSOFTOFF_worst = 58e-9/0.230 = 252 ns,比标称 209 ns 多 43 ns。叠加后 ttotal_worst = 816 + 210 + 252 = 1278 ns,25°C 裕量降至 (3000-1278)/3000 = 57.4%,仍可接受。若同时叠加 Corner C2(高温 SCSOA 缩至 2550 ns):ttotal_worst_hot = (2550-1278)/2550 = 49.9%,恰在 50% 边界——三重 worst-case 叠加(高温 + Qg 批次偏大 + Tj 超 150°C)需要专项分析,不能仅靠标称参数过关。