ZHDS036 January 2026 F29H850TU , F29H859TU-Q1 , TMCS1123 , TMCS1123-Q1 , TPS650362-Q1 , TPS650365-Q1
2.5 硬件/軟件安全要求
TSR 建立后，下一個階段是將其轉換為 HSR 和 FSR。每個 HSR/SSR 均繼承其父 TSR 的 ASIL?B，并遵循組中限制性最高的 FSR 規(guī)定的 FTTI。HSR 定義了必須內置于電流檢測前端的硬件特性；SSR 定義了必須對所測量信號執(zhí)行的軟件操作，以滿足時序和檢測標準。
依據(jù)表 2-12，電流傳感器必須能夠以足夠的帶寬或響應時間指示短路情況，并且還包括自我診斷功能。出于這些原因，在 OBC 應用中選擇了 TMCS1133?Q1 作為電流傳感器，并將其放置在 PFC 級的輸入側和 DCDC 級的輸出側。引腳圖如圖 2-10 所示。也可以使用另一種基于分流器的電流檢測方法，但在這種情況下，HSR 和 FSR 是不同的，本文檔不對此進行介紹。
圖 2-10 TMCS1133-Q1 引腳圖在表 2-12中，TSR?CS?1、TSR-CS-2 和 TSR-CS-3 分配給電流傳感器，TSR-CS-4 和 TSR-CS-5 分配給 MCU。表 2-13和表 2-14是實現(xiàn)這些追溯到 FSR 2.1 的 TSR 的 HSR 及 SSR 示例。
| ID | HSR | ASIL | 跟蹤至 |
|---|---|---|---|
| HSR-CS-1A | 霍爾傳感器的帶寬應大于 200kHz，VOUT 濾波器的截止頻率也應大于 200kHz。 | B | TSR-CS-1 |
| HSR-CS-1B | 霍爾傳感器應具有至少 40A 的檢測范圍。 | B | TSR-CS-1 |
| HSR-CS-2A | 霍爾傳感器應具有用于自檢的 FLT 引腳，并在 100ms 內向 MCU 報告故障。 | B | TSR-CS-2 |
| HSR-CS-2B | 霍爾傳感器 FLT 引腳應連接至 DSP 以報告故障。 | B | TSR-CS-2 |
| HSR-CS-3A | 霍爾傳感器 VOC 引腳應將 OC 閾值設置為比最大電流高 20%。 | B | TSR-CS-3 |
| HSR-CS-3B | 當檢測到過流時，霍爾傳感器 OC 引腳應在 0.5us 內將 OC 標志置為有效。 | B | TSR-CS-3 |
| HSR-CS-3C | 霍爾傳感器 OC 濾波器的截止頻率應該大于 1MHz | B | TSR-CS-3 |
| HSR-CS-4A | 交流側電流傳感器的 VOUT 應連接到獨立 MCU ADC 通道。 | B | TSR-CS-4 |
| ID | SSR | ASIL | 跟蹤至 |
|---|---|---|---|
| SSR-CS-1A | MCU 應該以 100kHz 的頻率對霍爾傳感器輸出進行采樣。 | B | TSR-CS-1 |
| SSR-CS-1B | MCU 應該實現(xiàn)加電霍爾傳感器偏移校準。 | B | TSR-CS-1 |
| SSR-CS-2A | MCU 應該根據(jù) FLT 的占空比識別不同類型的警報。 | B | TSR-CS-2 |
| SSR-CS-2B | 如果檢測到傳感器警報，MCU 應進行合理性檢查 | B | TSR-CS-2 |
| SSR-CS-4A | MCU 應該以 10kHz 的頻率執(zhí)行合理性檢查算法，以計算兩個傳感器讀數(shù)的絕對差值 | B | TSR-CS-4 |
| SSR-CS-4B | 如果連續(xù)三次采樣的差值大于 20%，MCU 應該在 2ms 內將硬件故障置為有效 | B | TSR-CS-4 |
| SSR-CS-5A | MCU 應該將軟件 OC 閾值設置為比最大電流高 10% | B | TSR-CS-5 |
| SSR-CS-5B | MCU 應該根據(jù) ADC 值使用 CMPSS 模塊執(zhí)行 OC 檢測。 | B | TSR-CS-5 |
| SSR-CS-5C | 如果檢測到 OC，MCU 應該按特定順序禁用 PWM 輸出。 | B | TSR-CS-5 |
這些只是一小部分說明性案例。在實際的 OBC 工程中，系統(tǒng)集成商必須對每個 TSR 進行全面分析，然后繼續(xù)執(zhí)行后續(xù)步驟。
- 設計分配。將每個 HSR 和 SSR 分配給相應的團隊。
- 可追溯性矩陣。整合 FTA 或 FMEA 方框圖，將 FuSa 目標鏈接到 FSR、TSR，然后鏈接到 HSR 和 SSR。每個 HSR 和 SSR 都應當與其驗證證據(jù)相關聯(lián)。
- 驗證計劃。HSR 及 SSR 的驗證和確認。提供表明已滿足相關要求并證明符合 ASIL?B 安全目標的測試報告。
在 OBC 系統(tǒng)中，一些模擬元件的 ASIL 等級為 QM。在 ASIL-B 系統(tǒng)中使用 QM 元件是可行的，但需要硬件元件評估。硬件要素評估表明 QM 元件不能干擾安全目標，或者額外的安全機制提供足夠的診斷覆蓋率來實現(xiàn)所需的 ASIL。
例如，TMCS1133-Q1 是一款支持 FuSa 的元件，選擇該元件是為了滿足 ASIL-B 要求。假設在直流輸出側將它用于電流檢測和過流保護。TI 可提供以下內容來方便客戶進行硬件元件評估。
- 所有失效模式。
- 每種失效模式的概率。
- 對于系統(tǒng)安全的影響。
所有上述信息都可在 TMCS1133-Q1 的 FuSa 文檔中找到。客戶應進行設計驗證，包括分析和測試。所有故障模式均包括芯片失效模式與引腳失效模式。元件總時基故障率為 62，包括裸片時基故障率 (FIT) 26 和引腳時基故障率 (FIT) 36。表 2-15中列出了所有芯片失效模式和分布。
| 裸片失效模式 | 失效模式分布 (%) |
|---|---|
| VOUT 開路（高阻態(tài)） | 5 |
| VOUT 卡滯（高電平或低電平） | 30 |
| VOUT 功能不在規(guī)格范圍內 | 30 |
| OC 誤跳閘，跳閘失敗 | 15 |
| ALERT 誤跳閘，跳閘失敗 | 20 |
引腳故障模式主要包括典型的逐引腳故障場景：
- 引腳對地短路。
- 引腳開路。
- 引腳對鄰近引腳短路。
- 引腳對電源短路。
以引腳對地短路為例，對潛在失效影響的說明如表 2-16所示。失效影響類別指示這些引腳狀況如何影響器件：
- A 類：器件可能會損壞，并使功能受損。
- B 類：器件未損壞，但功能喪失。
- C 類：器件未損壞，但性能下降。
- D 類：器件未損壞，功能和性能也未受到影響。
| 引腳名稱 | 引腳編號 | 對潛在故障影響的說明 | 失效影響類別 |
|---|---|---|---|
| IN+ | 1 | 對于正向電流，繞過霍爾傳感器，不會檢測和放大信號。如果 IN+ 引腳具有高于 GND 的大電勢，此狀態(tài)會導致大量電流灌入。這可能會損壞輸入電流系統(tǒng)電源、負載器件或實際器件，具體取決于布局和配置。 | A |
| IN- | 2 | 對于反向電流，繞過霍爾傳感器，不會檢測和放大信號。如果 IN-引腳處于高于 GND 的大電勢，則此狀態(tài)會導致大量電流灌入。這可能會損壞輸入電流系統(tǒng)電源、負載器件或實際器件，具體取決于布局和配置 | A |
| GND | 3 | 正常運行。 | D |
| ALERT | 4 | 由于 ALERT 短接至 GND，因此無法觸發(fā)警報 | B |
| NC | 5 | 正常運行 | D |
| VOUT | 6 | 輸出被拉至 GND，并且輸出電流受到短路限制。當處于此配置時，當 VS 連接到支持高負載的電源，并且在某些高負載條件下通過 IN+ 和 IN- 引腳時，芯片溫度可能接近或超過 150°C。 | A |
| OC | 7 | 由于 OC 短接至 GND，因此無法觸發(fā)警報。 | B |
| VOC | 8 | GND 處的閾值意味著所有電壓都觸發(fā)警報。因此，警報卡在工作模式下。 | B |
| VS | 9 | 電源對地短路。 | B |
| VS | 10 | 電源對地短路。 | B |
應根據(jù)安全機制進行診斷覆蓋率計算，以顯示 >90% 的檢測。此評估確定此硬件元件可充分支持分配給它的安全要求。
最后，開發(fā)團隊有一套完整、可追溯和可驗證的具體安全要求，可以在單階段 OBC 中實施，并在 ISO 26262: 2018 審核期間接受審查。