SafeState Manager + 二级保护 — 软件 + 独立硬件双 (B(D)+B(D)) 实现 ASIL D

ASIL D 是"两个独立 ASIL B(D) 通道联合"的工程化 — 主 MCU 上跑 SSM(1st-level)做正常路径下的全功能仲裁,SBC + 独立硬件(2nd-level)做"主 MCU 自己挂了 / 软件 bug / lockstep trap"这一类故障路径下的兜底,两层任何一层触发都能让 inverter 进 safe state。下图把两层 + 输入 + 输出 + 命令路径一次画清,后面的章节都是这张图的子模块展开。

SSM 是主 MCU 上实时收集所有故障源 + 优先级仲裁 + 决定 safe state 的中央调度模块。

2nd-Level 是 ASIL D 的最后一道防线 — 主 MCU 本身可能失效 (CPU hang / lockstep trap / 软件 bug),所以必须有完全独立的硬件路径绕过 MCU 直接进 safe state。

EV 主驱有两种 safe state,按车速动态选:

ASIL D = B(D) + B(D) 必须做 DFA (Dependent Failure Analysis,Part 9 §7)。

6 项独立性确认:

1. 共享电源 — 1st-level (MCU 3.3V) vs 2nd-level (SBC 独立) 是否物理分离
2. 共享时钟 — 主 MCU 时钟源 vs SBC 时钟独立
3. 共享接地 — Star ground + single-point connect
4. 共享 IO — STO pin 独占 (不经 SPI 等共享 bus)
5. 共享 Bus — heartbeat 信号不与正常通讯共线
6. 共享软件库 — SBC firmware 独立开发 (不同 toolchain / 团队 / RTOS)

每项必有独立性论证 + 测试证据 in DFA 报告。

SSM 在 ASIL B(D) MCU 上的代码骨架不复杂,但优先级表的顺序 + early return 的位置决定了它是否真的"严格分级"。下面是工程上典型的实现 — 10ms 周期跑,优先级表枚举 ≥ 20 行 case,严重故障立即 return不让后续 case 干扰:

// 主 MCU 上 10ms 周期跑
void SSM_arbitrate(void) {
    fault_t fault = collect_inputs();  // 收 8 路 fault 输入

    // 优先级表评估
    if (fault.desat || fault.oc) {
        request_safe_state(SAFE_STATE_STO_OR_ASC, vehicle_speed);
        return;  // 立即退出,后面 case 不评估
    }
    if (fault.tj_high) {
        request_safe_state(SAFE_STATE_ASC, vehicle_speed);
        return;
    }
    if (fault.resolver_fail) {
        request_safe_state(SAFE_STATE_ASC, vehicle_speed);  // 失位置必上 ASC
        return;
    }
    if (fault.tj_warn) {
        request_torque_derate(50);
    }
    if (fault.can_timeout) {
        request_limp_home();
    }
    // ... 其它
}

void request_safe_state(safe_state_t target, int speed_kmh) {
    if (target == SAFE_STATE_STO_OR_ASC) {
        target = (speed_kmh < SAFE_SWITCH_KMH) ? STO : ASC;
    }
    set_safe_state_request(target);
    record_dtc(...);
    send_can_to_vcu(...);
}

到 2026 EV 主驱 ASIL D 实施已经收敛到几个标准组合 — 每对组合对应明确的供应商 ecosystem 和工具链。TC397 + TLF35584 是德系 + 中系主流,S32K3 + FS65 是欧系 + 美系主流。下表汇总当前主流组合:

ISO 26262 Part 5 §11 要求fault injection test 验证 SM 覆盖率:

• 硬件 FI:在 DESAT pin / OC pin / Tj pin 注入虚假 fault → 验 SSM 响应
• 软件 FI:在 MCU 内存中翻转 bit / 卡 watchdog → 验 2nd-level 响应
• 共因 FI:同时给 1st + 2nd 注 fault → 验独立性
• 量产前 100+ fault scenarios:DESAT 模拟 / OC 模拟 / Tj overshoot / lockstep mismatch / CAN bus-off / power supply dropout 等

覆盖率指标 (Part 5):

• SPFM ≥ 99% (ASIL D)
• LFM ≥ 90% (ASIL D)
• PMHF < 10 FIT

SSM + 2nd-level 设计失败往往不在算法,而在独立性证明 + 优先级表 + 验证覆盖率。下表是工程师反复踩的 5 个坑: