SafeState Manager + 二级保护 — 软件 + 独立硬件双 (B(D)+B(D)) 实现 ASIL D

ASIL D 是"两个独立 ASIL B(D) 通道联合"的工程化 — 主 MCU 上跑 SSM(1st-level)做正常路径下的全功能仲裁,SBC + 独立硬件(2nd-level)做"主 MCU 自己挂了 / 软件 bug / lockstep trap"这一类故障路径下的兜底,两层任何一层触发都能让 inverter 进 safe state。下图把两层 + 输入 + 输出 + 命令路径一次画清,后面的章节都是这张图的子模块展开。

SSM 是主 MCU 上实时收集所有故障源 + 优先级仲裁 + 决定 safe state 的中央调度模块。

2nd-Level 是 ASIL D 的最后一道防线 — 主 MCU 本身可能失效 (CPU hang / lockstep trap / 软件 bug),所以必须有完全独立的硬件路径绕过 MCU 直接进 safe state。

EV 主驱有两种 safe state,按车速动态选:

ASIL D = B(D) + B(D) 必须做 DFA (Dependent Failure Analysis,Part 9 §7)。

6 项独立性确认:

1. 共享电源 — 1st-level (MCU 3.3V) vs 2nd-level (SBC 独立) 是否物理分离
2. 共享时钟 — 主 MCU 时钟源 vs SBC 时钟独立
3. 共享接地 — Star ground + single-point connect
4. 共享 IO — STO pin 独占 (不经 SPI 等共享 bus)
5. 共享 Bus — heartbeat 信号不与正常通讯共线
6. 共享软件库 — SBC firmware 独立开发 (不同 toolchain / 团队 / RTOS)

每项必有独立性论证 + 测试证据 in DFA 报告。

SSM 在 ASIL B(D) MCU 上的代码骨架不复杂,但优先级表的顺序 + early return 的位置决定了它是否真的"严格分级"。下面是工程上典型的实现 — 10ms 周期跑,优先级表枚举 ≥ 20 行 case,严重故障立即 return不让后续 case 干扰:

// 主 MCU 上 10ms 周期跑
void SSM_arbitrate(void) {
    fault_t fault = collect_inputs();  // 收 8 路 fault 输入

    // 优先级表评估
    if (fault.desat || fault.oc) {
        request_safe_state(SAFE_STATE_STO_OR_ASC, vehicle_speed);
        return;  // 立即退出,后面 case 不评估
    }
    if (fault.tj_high) {
        request_safe_state(SAFE_STATE_ASC, vehicle_speed);
        return;
    }
    if (fault.resolver_fail) {
        request_safe_state(SAFE_STATE_ASC, vehicle_speed);  // 失位置必上 ASC
        return;
    }
    if (fault.tj_warn) {
        request_torque_derate(50);
    }
    if (fault.can_timeout) {
        request_limp_home();
    }
    // ... 其它
}

void request_safe_state(safe_state_t target, int speed_kmh) {
    if (target == SAFE_STATE_STO_OR_ASC) {
        target = (speed_kmh < SAFE_SWITCH_KMH) ? STO : ASC;
    }
    set_safe_state_request(target);
    record_dtc(...);
    send_can_to_vcu(...);
}

到 2026 EV 主驱 ASIL D 实施已经收敛到几个标准组合 — 每对组合对应明确的供应商 ecosystem 和工具链。TC397 + TLF35584 是德系 + 中系主流,S32K3 + FS65 是欧系 + 美系主流。下表汇总当前主流组合:

ISO 26262 Part 5 §10 要求fault injection test 验证 SM 覆盖率:

• 硬件 FI:在 DESAT pin / OC pin / Tj pin 注入虚假 fault → 验 SSM 响应
• 软件 FI:在 MCU 内存中翻转 bit / 卡 watchdog → 验 2nd-level 响应
• 共因 FI:同时给 1st + 2nd 注 fault → 验独立性
• 量产前 100+ fault scenarios:DESAT 模拟 / OC 模拟 / Tj overshoot / lockstep mismatch / CAN bus-off / power supply dropout 等

覆盖率指标 (Part 5):

• SPFM ≥ 99% (ASIL D)
• LFM ≥ 90% (ASIL D)
• PMHF < 10 FIT

SSM + 2nd-level 设计失败往往不在算法,而在独立性证明 + 优先级表 + 验证覆盖率。下表是工程师反复踩的 5 个坑:

SSM 的 FSM 是双层保护的仲裁核心,也是 ISO 26262-4 §6 系统级安全机制的实施载体(安全状态的定义与"须维持至操作员介入"的要求源自 ISO 26262-3 的 FSC / fault reaction)。以下基于 TC397 Lockstep + TLF35584 SBC + SCT3080AL SiC 400V/100kW EV 主驱,端到端设计六态 FSM 的状态定义、跳转条件与定量时序预算,打通「FTTI 时间预算分解 §3 数字 → FSM 实现」的链路。

以下 7 条是 SSM + 2nd-Level 设计中反复暴雷的隐蔽坑,每条给出成因、后果、修正,可直接当设计评审 checklist 逐条对照。

G1 — SAFE_STATE 无 NVM 锁定 → ECU 软复位后自动恢复。 成因:SAFE_STATE 标志只存 RAM;ECU WDT 软复位清 RAM,重进 NORMAL。后果:违反 ISO 26262-3 FSC 「安全状态须维持至操作员介入」;若故障根因未消除(如 IGBT 内部击穿),复位后再输扭矩 → 二次损坏 / 安全事故。修正:SAFE_STATE 触发时写 TC397 DF0 NVM;INIT 首步读标志,有则锁定 SAFE_STATE,等完整 key-cycle 才复位。

G2 — TLF35584 INIT 握手跳过 → SBC self-check 失败被 MCU 忽略。 成因:INIT 阶段固定延时 200 ms 后直接进 NORMAL,未查 SBC 状态。后果:SBC self-check 若失败(温度 / 电压超界),TLF35584 维持 ERR 低;MCU 已进 NORMAL 并驱动逆变器 → 2nd-Level 处于故障态,ASIL D B(D)+B(D) 分解条件已不成立。修正:INIT 显式轮询 TLF35584 状态(SPI STATUS 寄存器 / ROT-ERR pin),并在其 600 ms INIT timer 内完成看门狗配置;超时(≤ 500 ms 裕量)重试 2 次仍无 → 进 SAFE_STATE。

G3 — resolver/encoder 丢失时误选 STO(高速应选 ASC)。 成因:优先级表把 resolver_fail 硬编码到 STO(「安全」直觉)。后果:高速 resolver 丢失 → STO → 续流二极管整流 DC link → 电池过压 / 大电流冲击(与 §4.3 ASC 物理本质矛盾)。修正:resolver_fail 路径加速度分支——速度可信且 $<v_{\text{th}}$ → STO;速度可信且 $>v_{\text{th}}$ → ASC;速度也不可信(resolver 丢,速度读数无效)→ 保守 ASC(宁绕组过热,不让 DC link 过压)。

G4 — WDT 窗口比 SSM 最大 jitter 窄 → 虚假 2nd-Level 触发。 成因:WDT 窗口 10 ms,喂狗 task 在 10 ms RTOS 周期,但 jitter 最大 3 ms + ISR 抢占 2 ms → 实际喂狗间隔达 15 ms > 窗口。后果:正常工作时 TLF35584 偶发 ERR → 驾驶中 inverter 虚假停机(False Safe State)。修正:WDT 窗口上限 = 最大 SSM 周期 × 2(留 100% 余量);喂狗 task 优先级仅次于 ISR;使用 TLF35584 window watchdog 模式(open/closed 窗口设上下限,额外防早喂狗)。

G5 — ASC 绕组电流未加时间上限 → 高温 ASC 热失控。 成因:ASC 稳态电流 IASC ≈ VEMF / Rphase,设计用 25°C 参数;故障时电机温度可能 > 125°C,ke 下降 + Rphase 上升导致分析偏差,绕组持续过热。后果:长时间 ASC(> 5 s)绕组热失控,二次损坏。修正:ASC 持续时间硬限(典型 3–5 s,按绕组热容量 + 故障温度下 ke/R_phase 漂移标定,取电机厂绕组热数据),超限 → 切 STO(接受 DC link 过压风险换绕组安全);Safety Case 中记录 ASC 时间上限设计依据。

G6 — 2nd-Level 与 1st-Level 共 PCB 电源走线 → DFA CCF 漏网。 成因:DFA 报告声明「SBC 独立 LDO」,但 PCB 上 SBC LDO 输入与 MCU VCC 在同一铜皮,仅串一颗电感隔离,走线距离 < 1 mm。后果:ISO 7637 Test C RF burst 同时耦合 MCU VCC 和 SBC 输入 → 两层保护同时失效;β 因子可高达 30%(远超工程常用 β ≤ 1–2% 目标;ISO 26262-9 §7 要求定量 β 评估但不规定固定阈值)→ 两通道相关失效概率过高,ASIL D 分解的独立性前提失效。修正:SBC LDO 输入从 12V 总线独立引(独立 fuse + 独立走线层 + ≥ 3 cm 间距 + copper-pour keep-out);PCB 评审增加 DFA 6 项独立性核查清单(电源 / 时钟 / 地 / IO / Bus / SW 库逐一核 layout)。

G7 — SSM 对 DESAT 加软件 debounce → SC 保护失效。 成因:SSM 收到 DESAT 事件后加 5 ms 软件滤波防误报。后果:SC 保护要求在 SCSOA(SCT3080AL SiC 典型 2–4 μs)内关断;5 ms 滤波将 DESAT 推迟至 SCSOA 后才触发 → 器件超出 SC 能量上限 → 损坏。修正:DESAT 作为硬件级保护,绝不通过 SSM 软件层 debounce;blanking 只在栅极驱动 IC 硬件层(blanking 电容 68–200 pF,≈ 400–1000 ns);SSM 可订阅 DESAT 事件用于 DTC / CAN 上报,但不拦截、不延迟事件本身;若需软件滤波,只过滤「锁定事件频次」($\ge N$ 次 / 100 ms 才升级),不过滤事件本身。

以下 3 个 corner 是常温台架测不出、却决定量产口碑的边界工况,每条给出场景、风险、设计动作。

C1 — 冷启动 −40°C:INIT 握手延迟超出超时窗口。 场景:冬季极寒 −40°C,12V 电池 SOC 偏低 → VCC_SBC 上升沿慢 → TLF35584 内部 self-check / 上电时序变慢,SBC 就绪比常温晚 50–100 ms(应以 −40°C 环境箱实测标定)。风险:若 MCU INIT 超时按常温设 200 ms,低温下 SBC 在 250 ms 才就绪 → 超时 → 进 SAFE_STATE → 车辆无法启动(False Safe State)。设计动作:MCU 侧 INIT 等待超时设 ≤ 500 ms(留低温裕量,且须 < TLF35584 的 600 ms INIT timer);仍不就绪 → 重试 2 次 → 记 DTC + SAFE_STATE;−40°C 环境箱实测握手时序验证。

C2 — FTTI 压缩至 10 ms 场景(SAE L4 高集成)。 场景:L4 AD ECU 要求 EV 主驱安全反应 < 10 ms(车辆动态 FTTI 下压)。风险:当前 1st-Level 目标 100 ms,2nd-Level WDT 窗口 50 ms;10 ms 要求下两层均超出。设计动作:① SSM 周期压至 0.5 ms(TC397 300 MHz 核,0.5 ms = 150k 周期,CPU 负载 < 5%,可行);② WDT 窗口压至 8 ms(0.5 ms 喂狗 jitter ≤ 2 ms + 余量 6 ms;TLF35584 window watchdog 最小可配窗口 5 ms,故 8 ms 可行);③ FTTI 预算表格重算后做系统级验证。

C3 — 12V 辅助电源单点失效:两层同时断电 DFA 验证。 场景:12V LV 系统主 fuse 断路,MCU VCC 与 SBC VCC 同时失电。分析:12V 是两层保护的共同依赖 → 属 CCF;ISO 26262-9 §7 要求对共因做定量 β 因子评估(工程常取 β ≤ 1–2% 目标,源自 IEC 61508 β 下限;标准本身不设固定上限)。断电后栅极驱动 IC 失电 → 栅极通过关断电阻 + 漏电流自然关断,但 ASC/STO 选择和时序无法保证。典型解法:① 12V LV 超级电容(法拉级)维持 50–100 ms,足够 SSM 执行完 ASC/STO 序列后断电;② 双 12V 路(HV→12V DCDC + 独立 LV 蓄电池,不共因);③ Safety Case 中显式列此 CCF 及缓解措施,DFA §5 共享电源项下记录 β 评估结论。设计动作:超级电容选型(法拉级,12V 路 hold-up 50 ms 计算 $C=I\cdot t/\Delta V$,I ≈ 0.5 A,t = 50 ms,ΔV = 1 V → C ≈ 25 mF,实选 1 F 留余量);验证 hold-up 期间 SSM 能完整执行 SAFE_STATE 序列。