Safety Manual 写作模板深度 — SEooC 供应商视角 + 12 章 + AoU/IR 接口契约

按 SEooC 项目 12–18 月生命周期分段:

• ① 产品定义(2–3 月)— 锁定 SEooC scope + assumed Safety Goal + assumed ASIL + 用例。SEooC 是自底向上「假设」:基于 intended applications 直接假设 SG 与 ASIL(开发方无 item 上下文,不做整车 HARA——这正是 out-of-context 的含义);assumed ASIL 视应用与档位而定:少数 Compliant 件(UCC5870-Q1)器件级可 assume 到 D,多数 SEooC 器件级 assume 到 B/C、靠系统 decomposition 支撑整车 ASIL D(与 §5 档位表一致)
• ② AoU 锁定(3–4 月)— 最关键阶段,写 §3 AoU,所有接口 / 应力 / 时序 / 环境边界一次锁死。锁错 → Tier-1 集成失败 → 流片报废
• ③ SM + FMEDA(4–6 月)— 写 §4 Safety Architecture(SM 列表)+ §6 FMEDA(FIT + DC 量化)
• ④ IR 接口契约(2–3 月)— 写 §9 Integrator Responsibilities,给 Tier-1 的"shall 列表"。这一步决定 Tier-1 集成成本 + 时间
• ⑤ I3 评审(8 周)— TÜV / SGS / DEKRA 评审,签发 SEooC ASIL D 证书。50–80 万 RMB 投入,周期 8 周

详见 SVG 01 表格,12 章逐项要点:

• §1 Scope — 写"器件 + 适用 ASIL + 假设 SG";不写"通用全场景"(SEooC 必有边界)
• §2 References — 引 ISO 26262 各 Part + IEC + 标定标准;不只引 datasheet
• §3 AoU(关键) — 写接口 / 应力 / 时序 / 环境边界,数字 + 边界;不写"应正确使用"模糊措辞
• §4 Safety Architecture — 写 SM 列表 + 内部 / 外部边界;不写"具体 SM 内部细节"(保护 IP)
• §5 Safe State — 写 SS 定义 + 进入条件 + 退出;不写"恢复时机"(Tier-1 系统决定)
• §6 FMEDA(关键) — 写 FIT + SPFM + LFM + PMHF 数据,直接代入 Tier-1 系统 FMEDA;不写"全部模式 detected"夸大 DC
• §7 Configuration — 写默认配置 + 关键 OTP 项;不写全列表细节(由 datasheet 补)
• §8 Diagnostic API — 写 RDY / FAULT pin 时序 + BIST;不写寄存器细节
• §9 Integrator Responsibilities(关键) — 写 Tier-1 必做 SM + 验证项,shall 句式;不写"建议"模糊
• §10 Quality Mgmt — 写 ASPICE level + 流片质量;不写商业保密信息
• §11 Field Monitoring — 写 RMA 流程 + 缺陷上报;不写"无限期支持"承诺
• §12 Change Mgmt — 写 PCN / SCN 流程 + 版本编号;不写"未来不变"承诺

完整 Safety Manual 典型 40–80 页(IC 类)/ 100–200 页(SoC 类),其中 AoU 6–15 条、IR 4–10 条 shall、FMEDA 5–20 行(FIT 分解到 pin / 模块)。

每条 AoU 必须满足:

• "shall be" 句式 — 法律级强制,不用 "we recommend" / "should be" / "is generally"
• 数字 + 边界 — 比如 "VCC1 shall be 4.75–5.25 V" — 不用 "VCC1 shall be reasonably stable"
• 每条引 spec / datasheet 锚 — 把数字来源链接到具体 spec 章节(datasheet §6.3 Recommended Operating Conditions / IEC 61000 §4.2)
• 覆盖 4 大维度 — 接口(电压 / 时序) / 应力(温度 / 电压余量) / 环境(EMI / 振动) / 时序(上电顺序 / 信号延迟)

worked example 接住 Driver IC FMEDA worked,器件是 TI UCC21750-Q1(5.7 kVrms 单通道隔离 SiC/IGBT 栅驱)。先声明档位:它是 TI Quality-Managed 档(有 functional safety manual SLUUC06 + FIT report,但不按 ISO 26262 功能安全流程开发、无 FTA / FS 产品证书,见 §5)——写 AoU 时数值全部来自 datasheet SLUSD78C §6.3 Recommended Operating Conditions,每条落到一个 datasheet 行(这正是 AoU 第 3 原则"每条引 spec 锚"的示范):

6 条覆盖 接口(01/02) / 时序(03/04) / 共模(05) / 环境(06)4 大维度,每个数字都锚到 datasheet 一行——这是 I3 评审第一件对账的事:AoU 数字与 datasheet recommended-operating 打架(例如把 VCC2 下限写成 12.6 V 而器件 min 是 13 V)= 直接退回(见 §8)。Tier-1 接住后做 DV + FI 测试 100% 验证每条边界。

写作权衡:

• 写得太宽(覆盖很多场景)— Tier-1 用 SEooC 灵活,但 SEooC 自身 DC 量化变低(必须覆盖所有 case)→ FMEDA SPFM 上不去
• 写得太窄(只覆盖一种用例)— FMEDA 数字漂亮但 Tier-1 不爱用(灵活度低)

工程实务:先窄后宽 — 第一版 Safety Manual 写得窄(覆盖最常见用例),根据 Tier-1 反馈逐版放宽。不要一开始就写"通用".

每条 IR 必须:

• "shall"(强制)/ "should"(建议)严格区分 — ASIL D 项目里 IR 全用 shall,Tier-1 必须接住 100%
• 每条对应 DC 量化 — 比如 "IR-01: shall 监测 RDY pin 超时 → 补 DC 85% → 99%(driver OUT stuck-low)"
• 每条对应 Tier-1 验证项 — 比如 "Tier-1 shall DV 测试 RDY 超时 8 corner 工况"

worked example 跟 Driver IC FMEDA worked §3.3 / §3.4 系统级 SM 补救逐条对齐——IR 的每条 metric 提升就是那页在 80 FIT 单链口径下算出来的(QM 档器件内置 SM 有限,补救几乎全落 Tier-1):

4 条覆盖 独立诊断(01) / latent 自检(02) / ASIL 分解(03) / DV+FI 验证(04)。两处写 IR 常犯的错(本页原稿曾踩):① stuck-low 基线 DC 是 50%(RDY 只是 power-good、间接盖 GND-short→UVLO 子模式),不是 85%,补救要靠独立电流采样而非再叠一层 RDY(同一路径不能与自己叠加,DFA 独立性要求);② DESAT 误报没有第二条独立检测路径,DC 维持 70% 拔不高——写 IR 时别对没有独立通道的模式许诺 DC 提升。Tier-1 集成 5 步法(详见 SEooC 实战深度 §4)就是按这 4 条做。

AoU 是供应商对自己的限制(我假设你这样用我),IR 是供应商对 Tier-1 的要求(你必须这样支持我)。两者对称:

• AoU-01(VCC1 5 V ±5%)→ IR 隐含:Tier-1 shall 用 ±5% 稳压 LDO 供一次侧
• AoU-03(IN± ≥ 200 ns)→ IR 隐含:Tier-1 MCU 定时器最小脉宽不低于 200 ns
• AoU-06(TA ≤ 125 °C / Tj ≤ 150 °C)→ IR 隐含:Tier-1 shall 设计散热保证结温在边界内

ASIL D 写作时 AoU + IR 必须 cross-check — 每条 AoU 都该有对应 IR 让 Tier-1 实现。注意这里的"隐含 IR"是约束型 IR(供电/时序/热),与 §3.2 的诊断型 IR(独立诊断 / 自检 / 分解)互补,一本 manual 两类都要写全。

FMEDA 章节数据维度必须满足 Tier-1 系统 FMEDA 工具直接 import 的 5 个要素:

详见 FMEDA 深度 — 数据格式跟 IQ-FMEDA / Polarion 工具直接对接。

"失效模式分布"这一维 Tier-1 最常抱怨"vendor 给得太粗"。可代入的写法是给到 pin-level 6 大模式的 FIT 占比 + 每模式真实内置 DC + SPF/MPF 归类,QM 档 driver IC 典型(数字口径同 Driver IC FMEDA worked §2.1):

两条写 FMEDA 时最容易造假的行:① stuck-low 别写 "85%(RDY)"——RDY 只是 VCC-GND / VDD-COM 的 power-good,stuck-low 时 OUT 拉不高、DESAT 不武装,driver 自己看不见这个模式,真实内置只能间接盖住 GND-short 拖垮 VDD→UVLO 的子模式,基线 DC ≈ 50% 且归属 MCU 侧;② CLAMP 那行不能藏——25% FIT 但 DC 仅 25% 是 latent 大头,vendor 漏写或合并进别的模式,Tier-1 系统 LFM 就会纸面虚高。把这张表如实写出来、Tier-1 代入 80 FIT 单链口径,就得到单链 SPFM 85.6% < 99%、LFM 85.2% < 90%(sister §3.2/§3.4 实算),两个都不过 ASIL D——这正是 §3.2 那 4 条 IR 存在的理由。

主流 vendor(TI / Infineon)的 Safety Manual FMEDA 章会附 Excel / XML 数据文件,Tier-1 可直接 import 到 exida IQ-FMEDA / Medini Analyze。不附文件的 SEooC vendor 集成成本 + 30%(Tier-1 需要手动数据录入)。

I3 评审最常退回的问题是 DC 夸大:

• vendor 写 "DESAT detection covers 99% of OUT stuck-high failures"
• I3 评审员问:"covered" 包不包括 latent?物理一致性?
• vendor 实测 DC 其实 90%(包含 latent 后)
• I3 退回重写 + 重测 + 重评审,延期 2–3 个月

正确写法:每个 DC 都附数据来源 + 测试方法(physical injection / theoretical model),不夸大 + 不省略 latent。

AoU 写窄(只覆盖一种用例)→ FMEDA 要覆盖的失效场景组合变少 → DC / SPFM 数字好看;但 AoU 同时是 SEooC 有效性的前提条件:Tier-1 只要在 AoU 边界外用一次(比如 VCC2 拉到 20 V 而 AoU 只写 15–18 V),这条 SM 的 DC claim 对该工况就不成立,整个器件对该应用的 SEooC claim 作废。写作两难由此产生:窄→数字漂亮但复用低 + 越界风险高;宽→复用高但 DC 上不去。工程解是先窄发首版覆盖最常见用例、逐版按 Tier-1 反馈放宽,每次放宽都重算 FMEDA(不是顺手改个范围)。falsifier:若有人声称"AoU 越宽 DC 越高",反了——宽 AoU 要覆盖更多失效场景,加权 DC 只会更难做上去。

QM 档(本页 worked 的 UCC21750-Q1)交付 manual + FMEDA 数值,Tier-1 拿来直接进系统 FMEDA 没问题;但 QM 档器件不按 ISO 26262 功能安全流程开发、无 FTA、无 FS 产品证书。写作时若不显式声明档位,Tier-1 会误以为拿到了"完整功能安全论证",直到 confirmation measures 评审才发现 systematic capability(ISO 26262-8 / -5 §7)那一环 vendor 没做,得系统级补做或降级。判据:manual 首页必须一句话说清"本器件为 Quality-Managed,随机硬件失效数据(FMEDA/FIT)可用于系统 FMEDA;系统性能力论证 / FTA / FS 认证由集成方负责"。falsifier:若某 QM 档 manual 附了 FTA + FS 产品证书,那它其实已是 Compliant 档、档位标错。

manual 写 "DESAT DC = 99%"、"λ = 25 FIT" 时,这些数字都绑一个隐含 mission profile(Tj 均值、寿命、开关频率)。DC 是比例、随温度变化小;但 FIT 是绝对失效率,vendor 常用乐观 profile(Tj 125 °C / 8000 h)算,而 Tier-1 实际 EV 主驱是 150 °C 热点 / 12000 h,按 Arrhenius(Ea 0.7 eV)FIT ×~3.3(算法见对偶页 §5.5),残余 FIT 同比例涨、系统 PMHF 预算瞬间吃紧。写作纪律:FMEDA 章必须显式写出算 FIT 用的 mission-profile 基线(温度 / 寿命 / 工况),并说明是否提供 mission-profile-dependent FIT 函数;只给一个光秃秃的 FIT 数、不写基线,就是给 Tier-1 埋雷。falsifier:若 vendor 说"FIT 与 mission profile 无关",错——随机硬件失效率的温度加速是物理事实,且只有在 qual 范围内才可按 Arrhenius 外推,范围外连外推都不成立(见对偶页 §9.3)。