Safety Manual 写作模板 — IC Supplier 给客户的合规交付物

这一节先把“三类文档区分”的判断维度收拢到同一视图里，后面的表格用于横向比较各选项的边界。下图先给出 Safety Manual 整体内容骨架,后面各章逐项展开。

实务:Safety Manual 是受控文档(版本 / 签字 / change history),Application Note 是不受控的指导。

IC supplier 自己有内部 Safety Case(论证芯片本身合规);Safety Manual 是给客户的输出——客户用它支持他们自己的 Safety Case(整车 / Tier 1 ECU 级)。

明确:

• 本 Safety Manual 适用哪个芯片(P/N + 版本范围)
• ASIL claim(典型"capable of supporting up to ASIL D applications"或"up to ASIL B")
• 假设的 use case(在什么系统类型里使用)
• 与 ISO 26262 的合规声明

简版功能描述,聚焦安全相关功能:

• 芯片内有哪些安全相关 sub-element(MCU 核 / FCCU / ECC 单元 / 时钟监控 等)
• 各 sub-element 的工作原理简介(详细在 datasheet)
• Block diagram 标注 safety-related 部分

更深一层的安全架构:

• 安全相关 sub-element 之间的关系
• 信号流 + 故障传播路径
• 哪些 sub-element 共用资源(DFA 关键)
• 内置的隔离 / 冗余措施

最重要的章节。每个 SM 一行:

双数字 "if AoU met / violated" 是 Safety Manual 的灵魂——它告诉客户"如果你不按 AoU 用,SM 失效会退化到这个数"。

每条 AoU 标准格式:

每条 AoU 必含 4 件:描述 / 验证方法 / 违反后果 / 关联 SM。

明确客户软件必须做什么:

• 哪些 register 必须被初始化(地址 + 值 + 时序)
• 哪些 fault flag 必须被周期读取(地址 + 周期 + 反应)
• 哪些 SM 需要客户软件配合(例:ECC 错误中断必须挂 handler)
• 哪些参数必须按特定值配置(主频 / 电压级 / DMA priority)

告诉客户出错时怎么知道:

• 故障状态寄存器地址(MCU 内部 / SBC 通过 SPI)
• Pin 输出(FCCU pin / Error pin 时序)
• 中断向量(向哪个 ISR 跳)
• 故障码定义(每个 fault 对应哪个 code)

具体集成步骤:

• 上电时序(给上游 SBC 的握手)
• 启动 self-test 流程(BIST 调用顺序)
• 运行时定期诊断的最小集
• 关机时序(进 safe state 的步骤)

❌ 坏:"客户应当合理使用本芯片"——空话,无 verification 方法。

✓ 好:"客户软件必须在 10ms ± 1ms 周期内调用 wdt_kick(),Q 由 wdt_get_question() 读出,A = f(Q) 由客户实现 f"——具体 + 可测。

例:芯片假设客户系统级有"主控 SBC 监控本 MCU 的 FCCU 输出",但 Safety Manual 没明说。客户没接 FCCU 输出 → 主 MCU 出错没人知道 → SG 违反。所有依赖客户系统的假设都要在 AoU 显式列出。

例:芯片在 ASIL B 用 case 下 SM-X 的 DC 是 95%,但在 ASIL D 用 case 下需要 99%——必须各自标 AoU。一份 Safety Manual 可能要分多个章节按 ASIL 等级覆盖。

Safety Manual 保护的核心不变量:短路检出到软关断的整链时延必须收在功率管短路耐受窗 SCWT 内。SiC 代表性 SCWT 约 3 μs;1EDI3035AS 的 DESAT 链给出 tblank = 816 ns 消隐 + tDESAT2SOFTOFF = 210 ns（DESAT 阈值至 SOFTOFF 引脚激活，1EDI3035AS datasheet max）+ tSOFTOFF = 304 ns 软关断,合计 1330 ns,对 3 μs 裕量约 56%。一旦 CDESAT 选值让 tblank 变长、或负轨方向配错让保护静默,这个裕量瞬间归零 → 模块炸桥。Safety Manual 的价值就在于把"哪些参数由器件内部固定、哪些必须集成商核算"逐条钉死,不给"大概监测一下 VEE2"这种无可测的写法留空间。

Chapter 4 的 SM 表对本器件展开如下。阈值 / 时序 / 器件参数(tblank、VDESAT2、IDESATCS、RGint、VGSS)为 datasheet 锚定值;双数字 DC 为该 worked example 的代表性诊断覆盖,用于说明 AoU 满足 vs 违反的责任落差,不代表 datasheet 精确 DC。

本表最高危项是 SM-VEE2-UVLO-001:负轨 UVLO 方向反直觉(见 §9 G1),客户一旦理解反、把 UVLO 屏蔽,DESAT 之外的负偏保护同时失效。而对 SCT3080AL 这颗窄负压窗器件,正确设计根本不上负轨(§9 G0),此行的负轨 UVLO 不作为其 SM——这正是 SEooC 里"AoU 与实际器件配对"的核心张力。

Chapter 5 的 AoU 对本配对展开为 5 条,与 Part 10 Clause 9 模板一一对应。每条 4 件齐全:描述(含数值)/ 验证方法 / 违反后果 / 关联 SM。

客户软件上电初始化到运行时的动作序列(顺序关键):

1. t = 0:TLF35584 SBC 与 TC397 握手,INIT_OK 拉高。
2. t < 1 ms:TC397 经 SPI 初始化 6 颗 1EDI3035AS,配置 VCC2 = +18V、VEE2 = GND2(SCT3080AL 单极)。
3. t < 5 ms:读 RDY 引脚。RDY = 1 仅表示器件内部自检通过,不代表外部 DESAT 链(CDESAT / RDESAT / 二极管)正确——集成商须另经 FI campaign 验证 DESAT 门限(见 §9 G4)。
4. 运行时:读 NFLT 实时引脚 + SPI 诊断寄存器(UVLO / DESAT / OT 状态位);NFLT ISR 优先级高于 SPI ISR。
5. 进 safe state:NFLT 有效 → 立即关断全部 PWM → FS0B 同步拉低,TLF35584 关全部栅驱电源 → 记 fault code 到 NVM → 等 WdgM 复位。

Safety Manual 必须列出短路总时延等式及各段来源,这是 TÜV assessment 常查项:

SCWT 取 SiC 代表值 3 μs(SCT3080AL @400V);裕量 56%(tDESAT2SOFTOFF = 210 ns max)。注：HV 逆变器安全概念 §4.3 旧预算以 tfilter = 100 ns 计算为 59%，待该页升级时统一。这条链是集成商反算 FTTI 的地基,任何一段被 parasitic 或配置改变都要重算。

现象:工程师按 IGBT 习惯给 SiC 上 −5V/−8V 负偏"买抗扰裕度"。物理本质:SCT3080AL 门极负压 absmax = −4 V,−5V 直接越界、栅氧 TDDB 指数加速,即便 −4V 也是坐在绝对最大轨上零 derating。正确写法:AoU-GD-01 明确 SCT3080AL 走 0/+18V 单极 + 强 active Miller clamp + 抬 Rg(on) 限 dV/dt ≤ 10 V/ns;深负偏只对宽窗器件(Wolfspeed C3M0021120K,−8V 窗、off 态 −4V)才成立。详见 负偏关断深度 §13。

现象:配负轨的设计里,工程师看到"VEE2 UVLO"按 +5V 逻辑理解成"电压低于阈值触发"。物理本质:VEE2 是负压,VUVLO3L_1 = −7.2 V 意为 VEE2 比 −7.2 V 更正(负得不够深,如 −5V > −7.2V)时触发禁能——对应绝对值减小。电源失效时 VEE2 先升向 0 V,UVLO 抓这个趋势。后果:客户按绝对值理解则不等式方向搞反,UVLO 在正常时误报 → 屏蔽 FAULT 或禁 UVLO → SM-VEE2-UVLO-001 DC = 0%。正确写法:Safety Manual 明写 "UVLO triggers when VEE2 rises above −7.2 V" 并附时序图。

现象:按 RGint = 1 Ω 估开关损耗与驱动电流,实际 SCT3080AL RGint = 13 Ω,总关断阻抗被低估一个量级,开关波形 / VDS 峰值与计算脱节。正确写法:AoU-GD-05 明列 RGint 参考值及测量条件,要求集成商选型核实——RGint 在 die 内,active Miller clamp 只钳外部节点,die 栅仍被 Vspike = RGint × Crss × dVdt 抬起。

现象:为省器件把 SOFTOFF 路径并到 Rgoff 节点 → SC 时实际用 Rgoff(如 10 Ω)硬关而非 RSOFTOFF = 100 Ω 软关。后果:di/dt 尖峰叠加母线,VDS 峰值逼近或超 585 V 上限,量产温漂下失效。正确写法:AoU-GD-04 要求 SOFTOFF 独立引脚 + 独立电阻,附推荐拓扑图。

现象:上电见 RDY = 1 即认为"安全就绪",未验证 DESAT/UVLO 实际动作。物理本质:RDY 只报芯片内部上电自检(振荡器、参考电压),不覆盖外挂 DESAT 电路是否正确。正确写法:Chapter 6 HSI 明写 "RDY = 1 does not imply DESAT protection chain integrity — customer shall verify DESAT threshold via FI campaign"。

现象:MCU 正发 SPI DATA 帧时 SC 发生,若只靠 DATA 帧轮询则 fault 上报落后于实时 NFLT 引脚,超 FTTI。正确写法:Chapter 7 说明 NFLT 引脚中断优先级高于 SPI ISR,推荐 NFLT 实时引脚 + DATA 帧诊断双机制(AoU-GD-03),不能只轮询 DATA 帧。

现象:用 Rev B Safety Manual 集成 Rev C 硅,而 Rev C 改了内部时序精度,实际 tblank 与文档偏差 → SCSOA 余量计算失效。正确写法:Cover Page 明确 "applies to silicon revision X.Y only";Revision History 列每次硅版本变更对 SM 参数的影响。

现象:AoU 写"客户应合理配置 CDESAT"却无数值 + 无验证方法 → TÜV 驳回:非 testable requirement。正确写法:每条 AoU 4 件齐全——Description(含数值)/ Verification(FI campaign 或 bench)/ Violation Impact(定量 DC 退化)/ Trace to SM ID。

低温下辅助电源建立目标栅压(+18V 或负轨)的时间延长,上电窗口内 UVLO 可能持续触发。若 MCU 初始化过快发 PWM,栅极供电未就绪 → SiC 门极欠驱 / Miller 串扰失控。Safety Manual 对策:AoU-GD-01 补低温软启动时序——栅极供电稳定确认(UVLO 解除)后再等 ≥ 5 ms 才允许 PWM;附温度对供电建立时间的参考曲线,datasheet 无则由 AoU 要求客户自测。

OTA 推新 MCU 固件改了 DESAT 采样 / NFLT 处理周期,而 Safety Manual 的 AoU 基于旧固件假设 → SM-NFLT-001 DC 声明失效。Safety Manual 对策:Safety Manual 绑定 SW 版本范围;OTA 变更经变更管理(ISO 26262-8 Clause 8)+ 软件更新工程(ISO 24089)触发 impact analysis,重新确认 AoU-GD-03 的响应预算仍满足。

4 管并联时各 SCT3080AL 的 RGint 批次散差 ±20%,开关时序偏差致 SC 电流分配不均,最热管电流可达设计均值 1.3× → SCSOA 余量从 56% 压到约 30%。Safety Manual 对策:AoU-GD-05 对并联应用补不均流测试(DPT 双脉冲记录各管 VDS 波形),确认最坏不均流 < 20% 时 SCSOA 仍留 30% 余量。