SEooC — Safety Element out of Context

芯片假设它会被用在什么场景——决定它针对什么 hazard 设计了 SM。

例(AURIX TC397 Safety Manual 节选):

Tier1 检查点:你的应用是否落在这些假设范围内?如果你的 FTTI < 10 ms,芯片的"safety case"就不一定 cover 你的场景。

Safety Manual 列出芯片内部实现的 SM 清单 + 每个 SM 的覆盖率。

例:

Tier1 检查点:这些 SM 的覆盖率与你 FMEDA 用的数字一致吗?有些 DC 是"在某些假设条件下"达成的(比如 LBIST 必须每 100 ms 跑一次,你的设计跑 200 ms 就会拉低 DC)。

芯片假设系统的 safe state 是什么——通常是"reset 到 known state"或"输出 disable / tri-state"。

例:

Tier1 检查点:芯片的 safe state(ERR_OUT 拉高 + CPU halt)能否触发你系统的 safe state(STO / ASC / 切接触器)?如果你的栅极驱动 IC 不响应 ERR_OUT,芯片再 ASIL D 也没用。

芯片假设外部存在哪些 SM——这些 SM 不在芯片内部,但 safety case 依赖它们。

例:

Tier1 检查点:这些外部 SM 你都做了吗?这是 SEooC 最容易踩坑的地方——芯片假设你有 Q&A WD,你只用 Window WD,芯片的 ASIL D 立刻退化。

5 步验收是串行依赖——读 Manual 是基础,比对 assumption 是判断,后 3 步是闭环;任一步省略都让验收"看似过了实际没过"。

如果 system context 与 SEooC assumption 不匹配,有 3 种合规处理方式:

最常见也最危险的反模式:工程师看见"ASIL D"标签就 BOM 选定。ASIL D 标签只是声明"芯片按 ASIL D 流程开发了",不代表"放进任意系统都自动 ASIL D"。修法:把 Safety Manual review 列入 BOM evaluation checklist,review 不通过的芯片不能进 BOM。

Safety Manual 通常会说"assumes external Q&A watchdog"。如果你只用 Window WD 凑合,芯片的所有 SM 都假设 Q&A WD 存在,Window 监督不到的故障类型会被漏过。修法:Safety Manual 里的"external SMs"是硬约束,不能省。

本节以下列真实系统上下文为锚,对三颗 SEooC 芯片执行 AoU 映射。SCT3080AL 单管 30 A(Tc=25 °C)不足以扛 100 kW,实际每相并联多颗;此处以单管参数说明栅极驱动 AoU。

TC397 Safety Manual(AURIX TC3xx,Infineon FuSa 系列)给出如下关键 AoU;逐条在本应用场景映射,匹配状态取 Satisfied / gap。

结论:TC397 核心 AoU 全部 Satisfied,无硬性 gap;AoU-T02(温度)与 AoU-T07(LBIST)留低温角 corner 验证——见 §10。

TLF35584 Safety Manual(Infineon)关键 AoU 如下。TLF35584 兼具窗口看门狗与 Q&A(功能)看门狗,并对多路电源轨做 UVLO/OVLO 监控。

结论:AoU-S01(初始化握手)是量产高频 gap 来源——OTA 慢启动场景易违反(见 §9 Gotcha G5)。

UCC21750-Q1 datasheet(TI SLUSDH9)公开参数已核实,填入下表(此列为可复核硬数据)。UCC21750 的保护是硬件级:200 ns 快速 DESAT + 内部 400 mA 软关断 + Miller 主动钳位(阈值 typ 2.0 V,以 VEE 为参考);UVLO 只作用在 VDD(VVDD_ON typ 12.0 V,10.5–12.8 V)与 VCC 输入侧,负压轨 VEE 无独立 UVLO。

结论:UCC21750 参数留有充裕余量,但 AoU-D01 是最高风险点:栅极驱动本身容忍 VEE 到 −17.5 V,是否对具体 SiC 器件安全,是 integrator 必须自己闭合的 AoU——见 §9 Gotcha G1。

三颗 SEooC 芯片在 400V/100kW 主驱场景中,关键 AoU 全部 Satisfied,无硬性 gap;但下列软性 gap 须额外措施闭合才能完成 safety case。

许多设计沿用"IGBT/通用 SiC 上负偏 −5 V 或 −8 V 关断"的经验,把 UCC21750 的 VEE 直接设成 −5 V 甚至 −8 V。UCC21750 本身不会报错——它的 VEE-COM 绝对最大到 −17.5 V,输出 VDD-VEE 只要 ≤ 33 V 就工作,且没有负压 UVLO 去拦你。但被驱动的 ROHM SCT3080AL 是 3rd-gen Trench SiC,其 VGSS 绝对最大只有 −4 V / +22 V,ROHM 官方推荐驱动是 0/+18 V(即 0 V 关断)。一旦 VEE=−5/−8 V,栅极氧化层长期承受超额定负偏,触发 BTI(负偏温度不稳定)加速老化、Vth 漂移、最终栅极击穿——这是把"其他器件的负偏经验"盲移植到本器件的典型 AoU 违规。真正防止 dV/dt 串扰误开通的手段是 UCC21750 内置的 Miller 主动钳位(阈值 typ 2.0 V,参考 VEE),而非深负偏。修法:负压关断电平是 integrator 必须自己闭合的 AoU(AoU-D01)——按被驱 MOSFET 的 VGSS(min) 定,SCT3080AL 取 VEE=COM(0 V)、靠 Miller 钳位;PCB/原理图评审把"VEE 电平 vs 开关管 VGSS 额定"列为栅驱 AoU 第一条。

Safety Manual 是活文档:某颗 MCU 从 Safety Manual v1.0 升到 v1.5,一条 AoU 的外部 SBC 兼容性列表可能从"TLF35584 / TLF35587"收窄为"仅推荐 TLF35584",而 Tier-1 做 DIA 时锁定的是 v1.0。芯片批量换供后 IC 版本对应 v1.5,集成文档仍引 v1.0 AoU 表,第三方 assessment 时暴露不匹配。根因:AoU 随 Safety Manual 版本演进,每次升版都须触发 AoU 重验。修法:DIA 条款写死"Safety Manual vX.Y 的 AoU 清单,版本升级须 re-validate";Tier-2 换版须出 delta-AoU 文件。

AoU-T01"系统 FTTI ≥ 10 ms"常被理解为"我们系统 FTTI=50 ms,5× 余量很富裕"。但 Safety Manual 里这条通常约束的是故障反应链时长——从 ERR_OUT 拉低到系统 Safe State 生效(TC397 → TLF35584 → 栅极关断)的最大允许延迟,而非系统级 hazard→safe state 的 FTTI。若 SW 的 Safe State Handler 在 ERR_OUT 后 80 ms 才完成关断序列,安全论证就破了——哪怕系统 FTTI=50 ms"看起来更宽"。修法:区分三段并分别写进 FSC 时间预算:① 系统 FTTI(hazard→safe state,50 ms);② 故障检测时间(TC397 内部);③ 故障反应链时间(ERR_OUT→硬件关断,AoU 约束)。

TC397(3.3 V 内核)与监控它的 TLF35584 常共用同一 VCC 轨,两者的欠压阈值又都落在 3.0 V 附近。当 VCC 缓慢下降(如整车起动瞬间电池电压骤降),二者几乎同时触发 UVLO——本应独立监控 TC397 的 TLF35584 与被监控对象同步失效,独立性归零。修法:① 在 TC397 供电轨加独立保持电容(Chold),使 TC397 在 VCC 短暂跌落时续跑 5–10 ms 完成 Safe State;② DFA 表显式标注此 CCF 路径与缓解;③ 需要时增加独立低压器件监控 TLF35584 本身。

TLF35584 上电后要求 MCU 在配置的握手窗口内完成初始化握手;超时则判 MCU 异常,触发复位。正常启动 TC397 在 < 10 ms 完成。但 OTA 固件更新场景:引导 OTA 镜像需从 NVM 读数 MB 数据,启动到安全任务运行可能 200–500 ms,远超握手窗口,触发看门狗复位,镜像写不完整,系统陷入重启循环。修法:OTA 架构在刷写前进入"OTA Safe Mode"——经 SPI 暂挂或延长 SBC 看门狗窗口,并在 DIA 中显式文档化"OTA 模式下 AoU-S01 的豁免条件及恢复路径"。

UCC21750 通过硬件 FLT 引脚上报故障(DESAT / UVLO),并由硬件 DESAT+软关断路径在 200 ns 内响应短路;它不是 SPI 器件,故障不靠软件帧上报。工程中若误以为"MCU 读到 FLT/故障状态再软件关断"就是短路保护,问题在于:SiC 短路耐受时间(SCWT)只有约 1–2 µs,而软件路径(中断响应 + RTOS 调度 + 反应)是 ms 级,慢约 1000×。后果:一旦硬件 DESAT 被配错(消隐电容漏插、阈值偏高),只剩软件路径,短路响应慢 1000× → 直接炸管。修法:AoU 核对表把 UCC21750 故障路径分两行——"硬件短路路径(DESAT+软关断,ns/µs 级)"与"软件诊断路径(读 FLT,ms 级)",分别标状态;软件路径只能做诊断/记录,不能替代硬件短路保护。

系统 BOM 里有两类 SEooC:IC 硬件 SEooC(TC397 / TLF35584 / UCC21750,工程师通常会做 AoU 验证)和 Software SEooC(AUTOSAR OS、MCAL、CRC lib、诊断库),后者常被漏掉。软件 SEooC 的 Safety Manual 同样有 AoU,例如"客户代码不调用非 ASIL API""中断屏蔽时长 ≤ X µs"。若 RTOS 任务调用了非 ASIL 接口,OS 的 ASIL 认证立刻降档。修法:AoU 核对清单不仅覆盖 IC,还须覆盖所有 SW SEooC;软件物料清单(SBOM)每个 SEooC SW 条目附"Safety Manual 版本 + AoU 验证状态"字段。

在 −40 °C 极低温下,MCU 内部振荡器 / PLL 锁定时间增加,LBIST 单次自测耗时相对常温可显著拉长。若 SW 配置的 MPFT(最大允许故障探测时间)较宽(如 100 ms),影响有限;但若某些应用 MPFT 更严(如 30 ms 级),低温下 LBIST 单次耗时可能逼近 MPFT 上限,导致 AoU-T07"LBIST 须在 MPFT 内定期执行"在低温角不满足,LFM/latent 覆盖下降。验证要求:在 −40 °C 实测 LBIST 完成时间并与 MPFT 预算比对;若超出,降低 LBIST 间隔或分段执行(把整块 LBIST 拆为多小段)。

当整车集成 L4 自动驾驶,某 OEM 可能把主驱 FTTI 从 50 ms 压到 10 ms(避免突失转矩时 AD 无法接管)。此时:① AoU-T01"FTTI ≥ 10 ms"恰在边界仍满足;② 但故障反应链须从原来的余量压到 ≤ 10 ms(ERR_OUT→Safe State),原来 80 ms 的 SW Safe State Handler 必须重设计;③ SBC 的 WD 服务周期须缩短以适配更严 FTTI 预算;④ 处于 AoU 边界时,Safety Manual 通常要求补充 safety analysis——不能仅凭"10 ms=AoU 最低值"就过关。结论:FTTI 压缩触发全面 re-validate,所有含时序假设的 AoU 重走 §8 核对流程。

芯片 FMEDA 基于 mission profile 计算额定 FIT,通常对应约 10–12 年寿命。更长服役期(如 15 年)的高温老化(Arrhenius 加速,活化能 Ea 量级约 0.7 eV)使部分逻辑失效率上升若干倍;栅极驱动 / SBC 也有类似老化(尤其栅氧 BTI)。后果:EOL 状态下三颗芯片实际 FIT 之和可能超出 BOL FMEDA 假设,SPFM 从裕量态逼近甚至下穿 ASIL D 要求的 99%。验证路径:① EOL FIT 预算须在 FMEDA 中显式建模(非仅 BOL 数字);② 加速寿命试验(HTOL)验证 FIT 增量;③ 若 EOL SPFM < 99%,增加额外 SM 或在 AoU 中限定器件寿命上限并标注。