ISO 26262-11(2018)半导体细化：IC 供应商工作产品交付指南

IP 类型决定 FIT 数字归谁计算：

工程含义：hard IP 是"现成的、可衡量的"，工艺已固化、集成方不能改 layout，FMEDA 数字必须由 supplier 给；soft IP 是"指南 + 自己量"，DC/FIT 依赖 target process，supplier 给通用方法 + 配置说明、集成方按目标 fab 重算。购买 TC397（hard IP 芯片）时，Infineon 提供精确 λdie（来自 SN 29500 / 内部可靠性模型）；系统工程师的任务是用 Part 11 方法独立 cross-check 合理性。

Part 11 Figure 5 给出 4 种把 IP 纳入 safety 设计的处理路径，成本从"直接用"到"全流程重来"递增，选哪条取决于 IP supplier 交付的文档完整度与集成方是否改动 IP：

现实：SEooC 是当前车规 IC 主流——IC supplier 面对多个客户，无法为每家做定制。Proven in use 越来越难：新 IP 无历史数据，且 same-function 约束（见 §7 G6）常使旧数据不可继承。

每条 AoU 是 Safety Manual 里的一行："使用本 IC 时，客户系统必须满足 [条件]，否则 IC 供应商对 [后果] 不承担责任。"客户违反 AoU 时，supplier 免责、责任转移给客户，客户必须自己加 SM 或重做评估。

核查流程：Tier 1 系统工程师逐条对照 AoU 表格，每条判断：

• SATISFIED：架构已满足（需引用具体设计证据）
• NOT SATISFIED + 客户补 SM：由 Tier 1 增加系统级 SM 来填补
• CANNOT SATISFY：选型错误，需换 IC

违反 AoU 时，DC 从 IC supplier 标注值退化——Safety Manual 必须写出"AoU 不满足时 DC 退化到多少"。

以 TI UCC21750-Q1（隔离栅极驱动，datasheet SLUSDH9）驱动 ROHM SCT3080AL（3rd-gen Trench SiC MOSFET）为例。下表参数为 datasheet 公开可复核硬数据：UVLO 只作用在 VDD（VVDD_ON typ 12.0 V，范围 10.5–12.8 V）与 VCC 输入侧，负压轨 VEE 无独立 UVLO（VEE-COM abs max −17.5 V）；保护为硬件级：200 ns 快速 DESAT + 内部 400 mA 软关断 + Miller 主动钳位（阈值 typ 2.0 V，以 VEE 为参考）；故障经硬件 FLT 引脚上报。

AoU-D01 是最高危：UCC21750 没有负压轨 UVLO，VEE-COM 绝对最大到 −17.5 V——IC 本身不会拦你把 VEE 设深负偏。许多设计沿用 IGBT 的"−5/−8 V 负偏关断"经验直接搬到 SiC 上，但 SCT3080AL 的 VGSS 绝对最大只有 −4 V，过负偏长期承受超额定负偏 → 触发栅氧 BTI 加速老化、Vth 漂移直至栅极击穿。真正防 dV/dt 串扰误开通的手段是内置 Miller 主动钳位，而非深负偏。这一条不靠直觉判断，必须在原理图评审阶段按被驱 MOSFET 的 VGSS(min) 逐一核对（与 SEooC 工程深度 的 G1 一致）。

Part 11 给出 IC die 失效率估算框架（基于 IEC TR 62380 / SN 29500）：

其中：${\lambda }_1$ 工艺技术失效率（transistor count 加权，$e^{-0.35a}$ 为量产成熟度随年限 $a$ 的收敛因子）；${\lambda }_2$ 封装相关（pin count + 热膨胀系数）；${\lambda }_3$ 温度循环；${\pi }_t$ Arrhenius 温度因子；$\tau$ mission profile（on-time / 温区）。

IC supplier（Infineon / TI）用 SN 29500 或内部可靠性模型生成 λdie，Part 11 方法给 Tier 1 工程师一个独立 cross-check 工具，不替代 SM 数字。

按 Part 11 Figure 16 的 Motor Control mission profile（EV 主驱典型工况）：

• On-time 比例：80%（15 年生命周期中约 12 年通电）
• 平均结温 Tj：EV 主驱主控 IC 经常运行在 105°C（散热器设计基准），本例取 105°C
• 温度循环：车辆日循环叠加负载循环，−40°C 到 +150°C 量级

Arrhenius 温度因子（$Ea=0.35\text{eV}$，CMOS 逻辑的典型有效激活能，落在 SN 29500 的 0.3–0.7 eV 区间内）：

取 Tref = 55°C（328 K）、Tj = 105°C（378 K），$k=8.617\times 10^{-5}\text{eV/K}$：

Tj = 105°C 相比参考温度 55°C，失效率约 5.1× 倍增（等价于每约 21°C 翻一倍：55→80°C 已达 ~2.4×）。选规格时 EV 主驱主控须按这个加速倍数推算 FIT 预算，不能用室温基准。

按 Part 11 方法做独立 cross-check（IC supplier 给出值用于对比，差异 ≥ 2× 需追问差异来源）。下表 ${\lambda }_1$ 为数量级示意假设值（非 SM 数字），只演示方法与自洽算术：

本 wiki 的 ISO 26262-5 硬件层细化 FMEDA 用的 TC397 全 die λ ≈ 45 FIT。本次仅覆盖"核 + RAM + Flash + 封装"四大块的示意 bottom-up ≈ 21 FIT，约为全 die 的一半——这是预期的欠计：napkin 估算漏掉了 I/O、外设、PLL、模拟块与完整 transistor 级 λ1。这正是 cross-check 的用法：它是数量级 sanity check + 抓 ≥ 2× 意外，而非替代 SM/FMEDA 的精确值。真项目 FMEDA 一律使用 supplier SM 给出的精确 λdie。

TLF35584（Infineon SBC，ASIL D watchdog + voltage supervisor）功能较简单、为数字 + 模拟混合信号，λdie 数量级示意约 1 FIT（较 TC397 的多核 SoC 小一个量级以上）。Mission profile 同样按 Motor Control（on 80% / Tj 85–100°C）。精确值以 Infineon TLF35584 Safety Manual 为准。

数字元件失效模式用关键词描述（5 类）：Wrong program flow / Data corruption / Accessing unintended locations / Deadlock-Livelock / Incorrect instruction execution。

关键安全机制（TC397 对应）：

• Lockstep dual-core（CPU0+CPU1）：DC_SPF 高（典型 99%），每输出结果比对，延迟一个时钟周期防共因 transient
• RAM ECC + Scrubbing：DC_SPF 高（典型 99%，ECC 纠单位错，scrubber 周期刷新防累积 latent）
• MPU（32 region 配置）：Freedom from Interference（FFI）防 QM 分区写入 ASIL D 数据区
• Software Watchdog（WdgM alive + deadline + logical）：确保 SW 未卡死或错误运行

模拟元件按 22+ 失效模式分析（ISO 26262-11 Table 36），以 TLF35584 voltage supervisor 为例（DC 为示意，精确值以 SM 为准）：

模拟元件的 ADC/DAC 失效模式按 static errors（offset / gain / INL / DNL）与 absolute accuracy errors（静态 + 量化 + 满量程）两组分。工程实操：AoU 通常不要求覆盖全部 22 项，只覆盖 3–5 项 dominant 失效，其余按 fault distribution 归到 safe 或 system-level mitigated。

PLD 特殊性：配置 SRAM 中单粒子翻转（SEU）导致功能改变（车载宇宙射线中子通量不可忽略）。失效模式：Incorrect routing / Logic table corruption / Memory cell SEU / Clock distribution faults。

典型安全机制：配置 readback + scrubbing（周期重写 SRAM 配置）/ TMR 三模冗余（面积 3×，高 DC 但成本高）/ ECC on configuration RAM（需 FPGA 支持）。

车规 FPGA 选型注意：SRAM-based FPGA（如 Xilinx Artix）需 SEU 缓解设计；Flash-based FPGA（如 Microsemi IGLOO2）配置不受 SEU 影响，但有其他失效模式。SEU 失效率须用中子通量 × cross-section 估算，不能套 SN 29500（见 §7 G5）。

多核架构的 ASIL 能力由核间冗余方式与共享资源隔离决定：lockstep 靠硬件比对拿满 ASIL D，asymmetric 靠任务划分 + FFI 证明只能到 ASIL B/C。

多核共享资源（L2 cache / NoC / 内存控制器）是 Dependent Failure 主要来源——Part 11 强制做 DFA，证明 ASIL D 分区与 ASIL B / QM 分区无 CCF 路径。TC397 的 FFI 通过 MPU 保护实现。

传感器与 ASIC 集成时按"集成系统"分析。主要失效模式：Drift（慢漂）/ Stuck-at / Out-of-range / Latency excessive / Multiplicative error / Plausibility violation。

EV 主驱 Resolver 传感器典型 SM：冗余通道（双 resolver 比对，或 resolver + Hall 互补）/ 周期 BIST / range check（角度不超物理最大值）/ plausibility check（加速度与角度变化率一致性）。

Part 11 最重要的工程洞察：IC 级 DC ≠ 系统级 DC，二者可相互补偿（在 Safety Manual 明确标注前提下）：

场景 A（系统补偿 IC 不足）：IC 内 ADC 无片上 SM → IC 级 DC = 0%。但系统级将 ADC 输出送闭环控制器，SW 做合理性检查（range check + rate-of-change check）→ 系统级 DC = 90%。

场景 B（IC AoU 不满足导致 DC 退化）：Memory ECC 在 IC 级 DC = 99%，但 AoU 假设 SW driver 处理 ECC error event。客户为性能省去 SW driver → 系统级 DC 退化到 60%（ECC 检出但无纠正动作，latent fault 累积）。

IC supplier 的 Safety Manual 必须明确写出：

SM-ECC-001 RAM ECC:
  DC_SPF(if AoU-MEM-01 satisfied: SW driver implemented) = 99%
  DC_SPF(if AoU-MEM-01 NOT satisfied: no SW driver) = 60%

这是 FMEDA 中引用 SM DC 数字时必须核查的前提——引用 99% 之前，先确认 AoU-MEM-01 已满足。