安全机制目录(Safety Mechanism Catalog)

ISO 26262 的安全机制按"作用环节"分 4 类——理解这 4 类的相互关系决定一个安全功能要堆几层 SM 才达标。

关键认知:Detect + Control 链需要在 FTTI(Fault Tolerant Time Interval)之内完成——通常 EPS 5-20 ms,主驱 50-100 ms。这条时间约束决定了 SM 选型(纯软件 SM 慢、硬件 SM 快)。

MCU 是整个 ECU 的"大脑",其失效直接拉低系统 SPFM。AURIX TC4x / S32K3 / RH850 / Hercules 这类 ASIL D MCU 内部都集成了多种 SM,选 MCU 时要核对 datasheet 的 Safety Manual 看清楚每个 SM 的 DC。

电源失效会同时打趴 MCU 和栅极驱动——这是典型共因失效来源。SBC(System Basis Chip)是车规 ECU 的标配,把这些 SM 都集成在一颗 IC 里。

栅极驱动 IC 是连接 MCU 控制信号与功率管的桥梁,这一层失效直接导致直通 / 短路。

传感器失效 → 控制环节算错 → 输出错误转矩 / 速度。三类传感器各有自己的 SM 套路。

电控之间失效 / 篡改的检测靠消息层 SM——E2E、CRC、Counter、Timeout 是标配。

SM 不是孤立的——多个 SM 之间的共因是隐藏的失效传播路径。常见 6 类共因关系:

DFA 的核心任务就是把这些共因挖出来——详见 DFA / FMEDA / FTA。

不同 ASIL 等级对 SM 组合的要求严格分档——下面是经验规则,具体项目要按 HARA 输出微调。

架构层面 ASIL 分解:ASIL D = ASIL B(D) + ASIL B(D),前提是两路真正独立(不同 MCU、不同电源、不同算法)。详见 ASIL 分解。

SM 设计最常踩的 5 个反模式——这 5 条比掌握更多 SM 类型更重要,识别它们能避免 SPFM 数字"看起来达标"但实际失效场景下保护失败。

§9 的"反应慢于 FTTI"之所以反复踩,根因是很多人把 FTTI 当成一个孤立数字(如"100 ms"),却不知道这个窗口内部要串行塞进两段时间。FTTI(Fault Tolerant Time Interval,故障容错时间间隔)= 从故障发生到"若不处理就会导致危害"的最大允许时间。在这个窗口里系统必须先发现故障、再反应到安全状态,两段时间之和不能越过 FTTI:故障发生 → (故障检测时间)→ SM 检测到 → (故障反应时间)→ safe state,全程 $\le$ FTTI。

把这两段拆开,各自的上界由不同东西决定:

这里的 DTI(Diagnostic Test Interval,诊断测试间隔) 是关键却常被忽略的一项:周期性诊断每隔 DTI 才跑一次,最坏情况故障刚好发生在一次诊断之后,要等将近一个完整 DTI 才被下次诊断逮到,所以 $tdet\approx DTI$。连续硬件监测(如 DESAT 比较器)没有"间隔",$tdet$ 近似为 0。

于是预算就是 $tdet+treact\le \mathrm{FTTI}$(工程上还要再扣裕量),它把 §9 两个反模式量化了:DTI 设太长单独就能吃光预算 —— FTTI 100 ms 的 SG 若用 200 ms 周期的软件自检,$tdet$ 最坏 200 ms 已经 $>$ FTTI,无论反应多快都过期;反过来 DTI 20 ms + 反应 10 ms = 30 ms 才稳落在 100 ms 内。这也正是为什么 SiC SCWT 仅 2-3 μs → FTTI 极短 → 必须硬件 SM:软件检测加反应的毫秒级根本塞不进微秒级窗口,只有连续硬件监测($tdet\approx 0$)+ 门级软关断才够快。

FMEDA 的核心输出是一组 SPFM / LFM 数字——但这两个指标的物理含义不同,SM 改善它们的手段也不同。本节以 EV 牵引逆变器为例,展示从初始分配到达标的三轮迭代过程,揭示单 MCU 路径在无 ASIL 分解时的结构性天花板。表中 λ_D 为工程示意值(SN29500-2 / IEC TR 62380 量级估算,用于跑通 worked example,非厂商安全手册实测数),读者可替换为项目实测值后重算。

安全机制的陷阱大多不在"有没有 SM",而在"SM 的覆盖边界是否与失效模式精确对齐"。

G1(最高危):DC_SPF ≠ DC_LFM — 同一机制两个不同数字。 DESAT 电路保护单点故障时是 DC_SPF ≈ 90%(响应快);但 DESAT 电路本身可能是潜伏故障(DESAT 电容失效或 VDESAT 阈值漂移),此时 DC_LFM 必须靠"另一个独立 SM 检测 DESAT 电路本身"。常见错误:FMEDA 只填一个 DC=90% 而不区分 DC_SPF / DC_LFM,导致 LFM 目标被过度乐观估计。审核员一定会分别询问这两个数字。

G2(最高危):VEE2 UVLO 方向错误 — 负压 UVLO 触发方向与直觉相反。 1EDI3035AS 等 SiC 栅极驱动的 VEE2 UVLO 在 |VEE2| "过小"(趋向 0 V)时触发保护,而非在 VEE2 "过于负"时触发。工程师直觉认为 VEE2 = −8 V 比 VEE2 = −4 V 更"负",因此更"安全"——但 UVLO 门限是 |VEE2| ≥ UVLO_TH ≈ 5 V;当 VEE2 从 −8 V 因故障爬到 −3 V(接近 0 V),UVLO 触发关断。若设计只保证 VEE2 < 0 V 但不维持 |VEE2| ≥ 5 V,则轻微电源故障会使 VEE2 = −2 V,UVLO 不触发(条件不满足方向相反),栅极驱动以不正确电平运行。必须从 UVLO 门限的方向定义来设计电源轨纹波与下限。参见 栅极驱动保护链详细论述。

G3:消隐窗口 > SCSOA 窗口 = SC 保护完全失效。 DESAT 消隐时间 tBLK 是为了屏蔽正常开通瞬间的 VDS 尖峰。若 tBLK = 2 μs 而器件短路耐受窗口(SiC SCWT 仅 2–3 μs,且在较高 VDS 工况下进一步收窄)= 1.5 μs,则消隐窗口完全遮蔽 SC 事件——器件在消隐期结束前已烧毁。设计时必须核验:tBLK < SCWT 最坏工况值,并留裕量。

G4:Q&A 看门狗被"正确执行但已冻结"的 MCU 愚弄。 MCU 挂在某个服务 Q&A WD 的代码循环里——程序实际已停止推进任务,但 Q&A 计算本身在循环内。WD 收到正确应答,误判 MCU 健康。解决方案:WdgM alive supervision(心跳超时)+ logical supervision(任务状态机流转检测);仅 Q&A 协议不足以证明 MCU 全功能正常。

G5:STL 执行时间与检测时序窗口冲突(两个窗口别混)。 STL 测试序列追求高诊断覆盖率,但周期性 STL 有两条独立时序约束:① 若 STL 用于检测 SPF,则"故障发生 → 下次 STL 跑到 → 反应"必须落在 FTTI 内(见 §10 的 DTI 预算);② 若 STL 用于揭露潜伏故障,则其执行周期须落在多点故障探测时间窗内(以测试间隔/驾驶循环为量级)。工程师优化 STL 时只看 DC 不看这两个时间窗,导致功能覆盖率达标但时序约束违背。注意:潜伏故障探测窗远长于 FTTI,别把二者混为一谈(常见错误是拿 FTTI 去卡 LFM 相关的 STL 周期,反之亦然)。

G6:LBIST 冷启动延迟将保护空白延伸到 FTTI 之外。 LBIST 在 −40 °C 执行时间比常温延长(晶体管速度慢、片上振荡器频率降),这是低温下 CMOS 速度退化的一般特性;若 BIST 在 SM 激活之前运行,安全保护空白期可能超过 FTTI 上限。必须设计"BIST 期间备用 SM 接管"或"BIST 分段执行"策略,并在最冷角(cold corner)核验 BIST 完成时间。

G7:供应链替换器件 DC 归零。 合格的 TLF35584 SBC 因缺货被替换为"功能等效"器件(不同厂商),新器件无 ISO 26262 认证或安全手册未明确 DC 值。结果:TLF35584 在 FMEDA 中贡献的 DC_SPF = 99% 降为无据可用——SPFM 从 90.1% 跌回 ASIL B 目标之下。器件变更必须触发 FMEDA 更新 + SC 证据重新挂接。

安全案例不能只用标称工况的 BOL(begin-of-life)数字,以下 3 个边界工况会显著改变 SM 有效性,须在 FMEDA / DFA 中单独评估。

C1:−40 °C 冷启动 BIST 延迟与 DESAT 时序。 在 −40 °C 条件下:① BIST 执行时间延长(见 G6);② DESAT 比较器传播延迟因低温增大(晶体管 gm 下降);③ SBC 复位后初始化握手时序可能超出 MCU 等待窗口。三者叠加可能在系统上电后形成一段无 SM 保护的时间窗,在 ASIL D 场景下须确认此窗口 < FTTI。设计验证应在最冷角实测 DESAT 传播延迟与 SBC INIT_OK 握手时序。

C2:EOL 老化 — 15 年 SiC BTI 导致 FIT 上升。 SiC MOSFET 在长期栅极偏置(BTI:Bias Temperature Instability)下 VTH 漂移,EOL 等效失效率相对 BOL 上升(工程估算量级 ×2–3,具体系数须以器件供应商可靠性报告为准)。若 SCT3080AL λ_D 从 4 FIT 升至 8–12 FIT,总系统 λ_D 从 42.8 FIT 升至约 67–91 FIT,SPFM 必须以 EOL 数字重算。FMEDA 应包含 EOL 场景分析,不能仅以 BOL 数字作为安全案例证据。

C3:多 ECU 同供应商 SBC — CCF β 因子上升。 若整车同时在逆变器 ECU、BMS-ECU、VCU 中使用 TLF35584,三颗 SBC 共享相同的供应链失效模式(批次缺陷、配置错误、电源纹波灵敏度)。DFA β 因子评估若仅在单 ECU 内评,则 β 偏小;但跨 ECU 共因情境下 β 显著上升。整车系统 DFA 须覆盖跨 ECU 的 CCF 来源(参见 ISO 26262-9 关于相关失效分析的条款)。