TSC 技术安全概念 + DIA 开发接口协议

ISO 26262 V 模型的"概念阶段"产出 4 层文档——一层比一层具体,前一层是后一层的输入。理解这条链是写 TSC 的起点:FSC 是"功能层防护声明",TSC 是把 FSC 翻译成"器件 + 算法 + 时序"的技术文档,二者绝不能互换作者,因为 FSC 是 OEM 的合同主张,TSC 是 Tier-1 的技术秘密。

关键差异:FSC 不允许指硬件,只能说"功能层防护"(如"过流时切扭矩");TSC 必须指硬件 + 算法(如"INA240A1 G=20V/V + 0.5 mΩ 分流,双路对比差 > 5 A 触发,1EDI3035AS DESAT 在 SCT3080AL SCSOA 窗口内完成 STO")。FSC 由 OEM 写、Tier-1 不能改;TSC 由 Tier-1 写、OEM 看的是 FSC 不是 TSC 实现细节。

TSC(ISO 26262 Part 4 §6)必须覆盖 6 个维度——任何一项缺失都不能进入 Part 5(硬件)/ Part 6(软件)阶段。这 6 项不是独立的,SM(安全机制)决定了 HSI 的时序要求;FTTI 定义了 SM 必须在哪个时间窗口内完成检测+反应;Safe State 定义了 SM 触发后系统进入哪种状态。

HSI 是 TSC 里最容易被忽视但最关键的一节——很多项目失败是因为 HSI 写得不清,硬件团队和软件团队各做各的。HSI 的本质是一张服务合同:硬件向软件承诺"我提供什么信号、精度是什么、延迟是什么、出错时告诉你什么",软件据此设计算法并分配任务周期。没有精确的 HSI,软件工程师无法判断 ADC 采样是否满足控制环路的相位余量要求,也无法论证 FDTI 是否在 FTTI 窗口内。

HSI 应规定:

• 输入/输出端口:信号类型、物理量范围、分辨率
• 采样率 / 时序保证:ADC 10 kHz、CAN 1 ms 帧间隔、DMA 触发时刻
• 错误信号:over-range / stuck-at / CRC fail 怎么传给软件(状态位 / DTC / 中断)
• 共享资源约束:多核 MCU 共享 ADC 时 SafetyOS 调度规则、Bus Priority
• 诊断接口:BIST 启动条件、结果回报方式、Selftest 时间窗口

典型 HSI 表(400V/100kW 主驱片段):

DIA(Development Interface Agreement)是 ISO 26262 Part 8 §5 强制要求的合同文档——跨组织开发时,每对接口必签 DIA。DIA 的本质是把 RACI 里的"A(Accountable)"写成法律级条款:每条安全活动有且仅有一方兜底,出了事三方不能互相推诿。

典型供应链结构:

关键认知:任何一对没签 DIA 的接口都是"安全空洞"——出了事所有人都甩锅。OEM 在 PPAP 审计时会逐对检查 DIA。

DIA 不是模板化合同,内容必须项目化定制。8 类必含条款是 ISO 26262-8 §5.4 的强制清单,每条都有实质性工程意义,不能只填"N/A"或"TBD"。最常被跳过的是条款 4(Confirmation Reviews 独立性要求)和条款 6(Safety Manual assumption 接受),这两条恰好是 I3 评审最重点核查的。

topic-seooc(Safety Element out of Context)是没有具体 OEM 项目就开发的安全器件(如通用 MCU、SBC、栅极驱动)——Tier-2 不知道具体 OEM 是谁,DIA 怎么办?SEooC 的解决方式是:Tier-2 假设一组"虚拟 DIA"(assumption set),写进 Safety Manual;Tier-1 采用时验证"我的实际使用是否全部满足 SM 里的 assumption",并在与 OEM 签的 DIA §6 里声明"assumption 全部覆盖"。

SEooC assumption 典型三类:

• 环境假设:"MCU 假设温度 -40~+150 ℃;超温外部冷却保证"——Tier-1 不满足则 TSC 里必须补 NTC 监控 + 降额逻辑
• 电源假设:"栅极驱动 VCC2 假设 ±5% 供电稳定;超出范围 Tier-1 加监测"——漏掉这条 → VCC2 UVLO 不触发 → 驱动在低压下输出高阻(实测误以为"正常关断")
• 软件假设:"SBC 假设软件每 100 ms 喂狗,否则触发 reset"——Tier-1 软件团队不知道此条 → WD 虚假触发在 -40 ℃ 初始化时 1.5× 延迟超窗

TSC 是 ISO 26262 文档,但与 ASPICE 和 topic-safety-case 强耦合。这种耦合不是流程形式要求,而是有实质工程内容:TSR 必须进 ASPICE SYS.2 双向 trace,因为 SYS.2 是"系统需求",TSR 就是系统安全需求的技术实现版;每条 TSR 没有 ASPICE ID + 双向 link → PA1 = N(Not Achieved)。

PEU 主驱 SG-01 "防止非预期扭矩输出" → FSC → TSC 基本结构如下。这只是概念对照,完整的量化推导和工程数字见 §10-11。

TSC + DIA 失败模式集中在 5 个反复出现的坑。第 1、3 条是"写了但写错";第 2、4 条是"漏写";第 5 条是"从来没读"——其中第 5 条造成的现场失效比率最高,因为 Safety Manual assumption 通常在供应商文档里,工程师默认"产品手册看技术参数,Safety Manual 是认证资料不看"。

TSR 阈值不是拍脑袋定的,必须从 SG → FSC → 电机物理正向推导,否则 I3 评审会要求溯源。以 SG-01 "非预期扭矩 > ±10% 额定"为例,推导路径如下:

Step 1 — 确定允许扭矩误差。额定扭矩 $T_{\mathrm{rated}}$:对 100 kW / 3000 RPM 主驱,

SG 允许误差 10%:$\Delta T_{\max }=318\times 10\%\approx 32\text{Nm}$

Step 2 — 换算到电流误差。PMSM MTPA 工作点($I_{\mathrm{d}}=0$):

对 100 kW 主驱取 $I_{\mathrm{peak}}=250\text{A}$:$K_{\mathrm{T}}=318/250=1.27\text{Nm/A}$

允许电流误差:$\Delta I_{\max }=\Delta T_{\max }/K_{\mathrm{T}}=32/1.27\approx 25\text{A}$

Step 3 — 加监测裕量确定 TSR 阈值。ASIL D 要求 SM 在故障超出安全范围前检出,一般取 20-40% 告警裕量:

这就是 TSR-001 的 5 A 阈值的物理来源。20% 裕量源于:传感器系统误差 ±1%(±2.5 A 在 250 A FSR)+ ADC 量化噪声 ±0.5%(±1.25 A) + 软件滤波延迟引入的动态误差,合计约 5 A 作为不可避免的检测噪声下限。

Step 4 — 对应 FTTI 分配。SG-01 是慢人机危害(驾驶员感知 + 制动建压),FTTI ≈ 700 ms(vehicle dynamic 仿真给出的固有物理时间,见 topic-hara-worked-example-deep reviewed);SM 响应设计目标 ≤ 100 ms(对 700 ms FTTI 留足裕度)。软件路径实测预算:

• ADC 采样等待(等下一个 PWM 中点触发):100 µs
• 检测(2 控制周期 @100 µs):200 µs
• 软件处理 + SPI 通信:100 µs
• STO 使能 → 栅极关断(1EDI3035AS 传播):10 µs
• 合计软件路径:≈ 410 µs,占 FTTI 700 ms 的 0.06%、占 SM 响应目标 100 ms 的 0.41%,余量充足

硬件路径(短路 Type I,独立于软件):FTTI = SCSOA ≈ 2-3 µs(SCT3080AL),预算见 §11 worked design。

本节把 6 项必含逐一落到真实器件数字上。以 ROHM SCT3080AL SiC MOSFET + Infineon 1EDI3035AS 隔离门极驱动 + TC397 Lockstep MCU + TLF35584 SBC 的三相 400V/100kW 主驱 PEU 为对象。

器件选型前提:

SCT3080AL:650V / 30A / 80 mΩ(RDSon typ @25 ℃),Ciss = 571 pF(typ,ROHM datasheet Rev.006),分立 SiC datasheet 不列 SCSOA,取通用 SiC 短路耐受 SCSOA ≈ 2-3 µs @400V(见 topic-ftti-budget-decomposition-deep);1EDI3035AS:汽车级隔离门极驱动(EiceDRIVER,ISO 26262 SEooC ASIL B,8 kV 隔离,集成 DESAT + 主动 Miller clamp + 可配置 soft turn-off),IDESAT = 500 µA(typ),VDESAT = 6 V(SiC 配置),tfilter ≈ 100 ns;TC397:6× TriCore Lockstep pair,SPFM ≥ 99% @ASIL D;TLF35584:ASIL D SBC,WD 窗口 8-10 ms 可编程。

本节以 400V/100kW EV 主驱为例,给出 OEM(OEM-A)↔ Tier-1(PEU 供应商)以及 Tier-1 ↔ Tier-2(Wolfspeed/ROHM for SCT3080AL)两对 DIA 的关键条款实例。

DIA 不是通用模板,必须项目化定制。每个例子都标注"容易遗漏"的项目。

DIA #1 — OEM-A ↔ PEU Tier-1:

DIA #2 — PEU Tier-1 ↔ ROHM/Wolfspeed(SCT3080AL SEooC):

这是 SEooC 场景下的"Tier-1 与器件供应商 DIA"。因为 ROHM/Wolfspeed 是 SEooC 供应商(TC397、1EDI3035AS 同理),DIA §6 的核心是 Safety Manual assumption 逐条接受声明。

以下 7 条 Gotcha 是工程实践中反复出现、仅靠流程检查不容易发现的失效模式,每条都有从"现象→根因→正确做法"的完整链。

Gotcha-1 — TSC 过早锁定技术选型,FSC 后来大改。现象:项目 T+2M 时 Tier-1 已完成 TSC(指定 TC397 + 1EDI3035AS + SCT3080AL),T+4M OEM 修改 FSC 把 SM 响应目标从 100 ms 压缩到 20 ms(L4 自动驾驶需求)。根因:TSC 是 FSC 的下游输出,FSC 未稳定时写 TSC 相当于在流沙上盖楼——FSC 变则响应预算变,则 TSR-001 阈值和 TSR-006 时序预算全变,整份 TSC 要返工。正确做法:FSC 必须在 Tier-1 启动 TSC 编写前"功能冻结"(版本锁定);DIA §5 里明确 FSC 变更管控程序,FSC 任何变更须 Tier-1 评估影响并更新 TSC impact analysis。

Gotcha-2 — HSI 时序不写"触发点对齐 PWM 中点",软件算法不知道。现象:软件团队看 HSI 里"ADC 采样 100 µs",自行决定用定时器每 100 µs 触发采样;结果在 PWM 边沿附近采样,引入 30-50 A 的开关纹波噪声,TSR-001 的 5 A 阈值频繁误触发。根因:HSI 里"时序"必须精确到触发来源(不是"每 100 µs",而是"PWM 比较器中点事件触发")。ADC 和 PWM 时钟必须同源以保证相位锁定;HSI 缺失这条 → 硬件设计与软件设计各自独立选时钟 → 相位随机 → 噪声窗口随机打开。正确做法:HSI 中明确"ADC 触发源 = TC397 GTM 模块 TOM0 CH0 Compare Match,对齐 PWM 中点 ±2 µs;时钟源 = PLL0 200 MHz,ADC 时钟 = PLL0/16 = 12.5 MHz"。

Gotcha-3 — SM 的 DC 值拍脑袋,FMEDA 引用无来源。现象:FMEDA 表里 SM-04(电流双 ADC 主从对比)填 DC_SPF = 90%,评审时 I3 问"出处是哪个表?"——工程师说"行业经验"。I3 拒绝认可,FMEDA 整章挂起。根因:ISO 26262-5:2018 Annex D 给出各类诊断机制的 DC 区间估值(如比较监控 DC 60-99%),但实际使用必须援引对应机制类别并说明取区间内哪个值及理由;没有引用 Annex D 机制类别 = 无来源。正确做法:DC = 95% 时注明"源自 ISO 26262-5:2018 Annex D 比较监控类(两路独立 ADC 信号相减),标准给出覆盖区间中值约 90%,本设计因 ADC 时序已对齐 PWM 中点、噪声受控,取区间上沿 95% 并在 FMEDA 说明理由"。关键是任何 DC 值都要能指到 Annex D 的具体机制类别 + 取值理由,不能只写"行业经验"。

Gotcha-4 — DIA 漏签 Tier-1 ↔ 功率模块供应商。现象:OEM-Tier1 DIA 签了,功能安全审计时 I3 发现 Tier-1 和 ROHM/Wolfspeed 之间没有 DIA。ROHM SCT3080AL 是 SEooC 器件,Safety Manual 里有多条 assumption,Tier-1 从未正式声明接受。根因:"DIA 每对接口必签"的规则常被理解为"每对组织级别接口",忽略了 SEooC 器件供应商也是独立开发组织,必须有 DIA 或等效的 AoU 接受声明。正确做法:在 TSC §12 器件清单里,每个 SEooC 器件都有对应的 DIA 文档编号或 AoU 接受记录;PPAP 前按清单逐一检查是否签署。

Gotcha-5 — TSR 写"5 ms 内进 safe state"但未区分软件路径和硬件路径。现象:TSR-002 写"故障后 5 ms 内栅极关断";FMEDA 时发现硬件 DESAT 路径总时间 1.22 µs,软件路径 410 µs——两条路径的 FTTI 语义完全不同(SC 保护 FTTI ≈ SCSOA 2-3 µs,扭矩失控 FTTI ≈ 700 ms),但 TSR 里只写了一个 5 ms 的模糊数字,既不对 SC 保护(太松),又无法追溯到 HARA 的哪个 SG。根因:TSR 必须按危害和保护路径分别写,一个 TSR 一个 FTTI,来源可追溯到对应 SG 的 FTTI 推导。正确做法:TSR-002-HW"DESAT 路径 FDTI + FRTI ≤ SCSOA = 3 µs,余量 ≥ 50%,源自 SG-02 SC 危害";TSR-006-SW"软件检测路径总延迟 ≤ 1 ms,源自 SG-01 FTTI = 700 ms(SM 响应目标 100 ms 的 1/100)"。

Gotcha-6 — Safe State 未定义"速度信号失效时降级"。现象:系统在 v = 20 km/h 时 resolver 信号 CRC 失效,SafeState Manager 无法确认车速,因为 3PO 条件(5-30 km/h)要求速度有效,FSM 悬挂在"等待速度信号"状态。实际上 STO 和 3PO 都未执行,FTTI 超窗。根因:Safe State 级联定义必须包含每个传感器失效时的 fallback——"速度信号失效 → 默认 STO(保守状态)"是必须明确写进 TSC 的 Fail-Safe 规则,不能靠 FSM 默认逻辑推断。正确做法:TSC §6.4 Safe State 表里增加一行"速度信号 CRC 失败 / resolver 故障 → Unconditional STO,不等速度恢复"。

Gotcha-7 — Confirmation Review 的"I3"由同项目团队内部人员担任。现象:TSC Confirmation Review 邀请同公司不同部门的工程师作为"独立评审人";I3 认证审计时发现评审人与开发团队在同一个部门预算单元下,判为不满足 ISO 26262 Part 2 §6 的独立性要求。根因:ISO 26262 定义的"Independence Level I3"要求评审人与被评审工作产品的创建者没有组织上的从属关系——同公司不同部门通常是 I2,满足 I3 需要不同公司或完全独立的部门(有 TÜV 等资质更好)。正确做法:在 DIA §4 Confirmation Measures 里明确 Confirmation Review 的 Independence Level 要求(ASIL D → I3),并在 Safety Plan 里提前确定谁可以担任 I3 评审人(外部顾问 / TÜV / 认证机构提名名单)。

Corner 分析是对"边界工况下系统是否仍然满足 TSC 所有约束"的压力测试。以下 3 条是 EV 主驱 TSC 工程师最常遗漏的 corner。

Corner-1 — 低温 -40 ℃:DESAT 时序恶化 + TC397 BIST 延迟增加。在 -40 ℃ 下,1EDI3035AS IDESAT 受温度系数影响可能降低 10-15%,使 tBLK = CDESAT × VDESAT / IDESAT 增加约 15%:816 ns × 1.15 ≈ 940 ns;加上比较器传播延迟在低温下约增加 20 ns,FDTI 约 1.06 µs。soft turn-off tSOFT 对温度不敏感(由 RSOFTOFF 和 Ciss 决定,均温度系数 < 5%)。低温总时序:FDTI + FRTI ≈ 1.06 µs + 0.304 µs = 1.36 µs < 3 µs SCSOA,余量降至 55%(仍满足)。TC397 BIST 在 -40 ℃ 下启动时间约延长 30-50%(CMOS 速度降低),TSR-007 对 BIST 时间窗口的约束需按低温验证。措辞:TSC §7 应注明"所有时序要求在 -40 ℃ 验证",并把 1EDI3035AS IDESAT 温度曲线与 TC397 BIST 低温特性列为 Tier-1 台架实测项(-40 ℃ / +25 ℃ / +125 ℃ 三点核 FDTI+FRTI < SCSOA)。

Corner-2 — ASIL 分解的合法组合与独立性前提。若 OEM 在 FSC 里对 SG-01(ASIL D)做 ASIL 分解,把它拆到硬件 DESAT 路径与软件电流监控路径两条独立通道上,分解等级组合必须合法:ISO 26262-9:2018 Clause 5 只允许 ASIL D → C(D)+A(D) | B(D)+B(D) | D(D)+QM(D) 三种(按 A=1/B=2/C=3/D=4,两支等级数之和须等于母 ASIL 数)。对本例两条对称独立路径,合法组合是 ASIL B(D) + ASIL B(D)——这也正好对上 1EDI3035AS 的 SEooC 能力(ASIL B),硬件 DESAT 路径按 B(D) 实现即满足。最常见的非法分解是写"两路 ASIL C":C+C=3+3,不在允许组合内(ASIL D 不能拆成两个 ASIL C),I3 评审必挡。第二个坑是分解后放松独立性:工程师以为"每路只 ASIL B(D) 要求低了"就把 HW 路径 VCC2 与 MCU VDD 合并——这破坏分解的独立性前提(DFA β 必须 ≤ 2%),分解失效,等效 ASIL 回落 QM。正确做法:分解组合先按 Clause 5 查表合法,再在架构分配表里锁死每路子系统的电源、通信、调试接口全部独立,DFA 单独成文。

Corner-3 — Safety Manual 版本升级(SCT3080AL Rev.3 → Rev.4)。Wolfspeed/ROHM 升级 Safety Manual 时,可能增减 assumption(例如新增"Gate loop inductance < 5 nH"的 assumption)。现有 DIA §5 如果没有变更管控条款,Tier-1 不会主动知道版本升级;而 TSC §12 里引用的 SM 版本号仍是 Rev.3,导致 AoU 审核基于旧版本 assumption,漏掉新 assumption 的验证。正确做法:DIA §5 变更管控条款明确"SM 版本升级 → 供应商提前 6 月通知 Tier-1 → Tier-1 做 AoU delta review → TSC §12 更新引用版本号 → 重新获取 OEM 认可";同时 TSC §12 用"SCT3080AL Safety Manual Rev.X(最新版,见 DIA #2 §5 管控)"而非硬编码版本号。

• standard · standard_iso26262_part2 — ISO 26262 Part 2 Management of FS
• standard · standard_iso26262_part8 — ISO 26262 Part 8 Supporting Processes