Safety Manual 写作模板深度 — SEooC 供应商视角 + 12 章 + AoU/IR 接口契约

按 SEooC 项目 12–18 月生命周期分段:

• ① 产品定义(2–3 月)— 锁定 SEooC scope + assumed Safety Goal + assumed ASIL + 用例。SEooC 是自底向上「假设」:基于 intended applications 直接假设 SG 与 ASIL(开发方无 item 上下文,不做整车 HARA——这正是 out-of-context 的含义);assumed ASIL 视应用而定(主驱常 D,工业/低 ASIL 场景可 B/C,与 §5 vendor 表一致)
• ② AoU 锁定(3–4 月)— 最关键阶段,写 §3 AoU,所有接口 / 应力 / 时序 / 环境边界一次锁死。锁错 → Tier-1 集成失败 → 流片报废
• ③ SM + FMEDA(4–6 月)— 写 §4 Safety Architecture(SM 列表)+ §6 FMEDA(FIT + DC 量化)
• ④ IR 接口契约(2–3 月)— 写 §9 Integrator Responsibilities,给 Tier-1 的"shall 列表"。这一步决定 Tier-1 集成成本 + 时间
• ⑤ I3 评审(8 周)— TÜV / SGS / DEKRA 评审,签发 SEooC ASIL D 证书。50–80 万 RMB 投入,周期 8 周

详见 SVG 01 表格,12 章逐项要点:

• §1 Scope — 写"器件 + 适用 ASIL + 假设 SG";不写"通用全场景"(SEooC 必有边界)
• §2 References — 引 ISO 26262 各 Part + IEC + 标定标准;不只引 datasheet
• §3 AoU(关键) — 写接口 / 应力 / 时序 / 环境边界,数字 + 边界;不写"应正确使用"模糊措辞
• §4 Safety Architecture — 写 SM 列表 + 内部 / 外部边界;不写"具体 SM 内部细节"(保护 IP)
• §5 Safe State — 写 SS 定义 + 进入条件 + 退出;不写"恢复时机"(Tier-1 系统决定)
• §6 FMEDA(关键) — 写 FIT + SPFM + LFM + PMHF 数据,直接代入 Tier-1 系统 FMEDA;不写"全部模式 detected"夸大 DC
• §7 Configuration — 写默认配置 + 关键 OTP 项;不写全列表细节(由 datasheet 补)
• §8 Diagnostic API — 写 RDY / FAULT pin 时序 + BIST;不写寄存器细节
• §9 Integrator Responsibilities(关键) — 写 Tier-1 必做 SM + 验证项,shall 句式;不写"建议"模糊
• §10 Quality Mgmt — 写 ASPICE level + 流片质量;不写商业保密信息
• §11 Field Monitoring — 写 RMA 流程 + 缺陷上报;不写"无限期支持"承诺
• §12 Change Mgmt — 写 PCN / SCN 流程 + 版本编号;不写"未来不变"承诺

完整 Safety Manual 典型 40–80 页(IC 类)/ 100–200 页(SoC 类),其中 AoU 6–15 条、IR 4–10 条 shall、FMEDA 5–20 行(FIT 分解到 pin / 模块)。

每条 AoU 必须满足:

• "shall be" 句式 — 法律级强制,不用 "we recommend" / "should be" / "is generally"
• 数字 + 边界 — 比如 "VCC1 shall be 4.75–5.25 V" — 不用 "VCC1 shall be reasonably stable"
• 每条引 spec / datasheet 锚 — 把数字来源链接到具体 spec 章节(datasheet §6.1 / IEC 61000 §4.2)
• 覆盖 4 大维度 — 接口(电压 / 时序) / 应力(温度 / 电压余量) / 环境(EMI / 振动) / 时序(上电顺序 / 信号延迟)

worked example 接住前一篇 Driver IC FMEDA worked:

6 条覆盖 接口(01/02) / 时序(03/04) / 共模(05) / 环境(06)4 大维度。Tier-1 接住后做 DV 测试 100% 验证每条边界。

写作权衡:

• 写得太宽(覆盖很多场景)— Tier-1 用 SEooC 灵活,但 SEooC 自身 DC 量化变低(必须覆盖所有 case)→ FMEDA SPFM 上不去
• 写得太窄(只覆盖一种用例)— FMEDA 数字漂亮但 Tier-1 不爱用(灵活度低)

工程实务:先窄后宽 — 第一版 Safety Manual 写得窄(覆盖最常见用例),根据 Tier-1 反馈逐版放宽。不要一开始就写"通用".

每条 IR 必须:

• "shall"(强制)/ "should"(建议)严格区分 — ASIL D 项目里 IR 全用 shall,Tier-1 必须接住 100%
• 每条对应 DC 量化 — 比如 "IR-01: shall 监测 RDY pin 超时 → 补 DC 85% → 99%(driver OUT stuck-low)"
• 每条对应 Tier-1 验证项 — 比如 "Tier-1 shall DV 测试 RDY 超时 8 corner 工况"

worked example 跟 Driver IC FMEDA worked §3.3 系统级 SM 补救对应:

4 条覆盖 信号监测(01) / 时序校(02) / ASIL 分解(03) / DV(04)。Tier-1 集成 5 步法(详见 SEooC 实战深度 §4)就是按这 4 条做。

AoU 是供应商对自己的限制(我假设你这样用我),IR 是供应商对 Tier-1 的要求(你必须这样支持我)。两者对称:

• AoU-01(VCC1 ±5%)→ IR 隐含:Tier-1 shall 用 ±5% 稳压 LDO
• AoU-03(IN_PWM ≥ 200 ns)→ IR 隐含:Tier-1 MCU TIM 设 PWM 不低于 200 ns
• AoU-06(Tj ≤ 125°C)→ IR 隐含:Tier-1 shall 设计散热保证 Tj 在边界内

ASIL D 写作时 AoU + IR 必须 cross-check — 每条 AoU 都该有对应 IR 让 Tier-1 实现。

FMEDA 章节数据维度必须满足 Tier-1 系统 FMEDA 工具直接 import 的 5 个要素:

详见 FMEDA 深度 — 数据格式跟 IQ-FMEDA / Polarion 工具直接对接。

"失效模式分布"这一维 Tier-1 最常抱怨"vendor 给得太粗"。可代入的写法是给到 pin-level 6 大模式的 FIT 占比 + 每模式 DC + SPF/MPF 归类,driver IC 典型(见 Driver IC FMEDA worked):

关键是 CLAMP 那行不能藏——25% FIT 但 DC 仅 25% 是 latent 大头;vendor 漏写或合并进别的模式,Tier-1 系统 LFM 就会纸面虚高。

主流 vendor(TI / Infineon)的 Safety Manual FMEDA 章会附 Excel / XML 数据文件,Tier-1 可直接 import 到 exida IQ-FMEDA / Medini Analyze。不附文件的 SEooC vendor 集成成本 + 30%(Tier-1 需要手动数据录入)。

I3 评审最常退回的问题是 DC 夸大:

• vendor 写 "DESAT detection covers 99% of OUT stuck-high failures"
• I3 评审员问:"covered" 包不包括 latent?物理一致性?
• vendor 实测 DC 其实 90%(包含 latent 后)
• I3 退回重写 + 重测 + 重评审,延期 2–3 个月

正确写法:每个 DC 都附数据来源 + 测试方法(physical injection / theoretical model),不夸大 + 不省略 latent。