JADS034 January   2026 F29H850DM , F29H850TU , F29H859TU-Q1 , F29P589DU-Q1 , TMCS1123 , TMCS1123-Q1 , TPS650362-Q1 , TPS650365-Q1

 

  1.   1
  2.   概要
  3.   商標
  4. 1はじめに
    1. 1.1 背景
    2. 1.2 HW/SW FuSa 分析プロセス
      1. 1.2.1 アイテムの定義
      2. 1.2.2 機能安全目標
      3. 1.2.3 機能安全コンセプト
      4. 1.2.4 技術的安全コンセプト
      5. 1.2.5 HW/SW の安全性要件
      6. 1.2.6 依存故障分析
    3. 1.3 TI の関連資料
      1. 1.3.1 TI 部品カテゴリ
      2. 1.3.2 安全マイコンの FuSa 関連資料
  5. 2OBC システムの FuSa の概念
    1. 2.1 アイテムの定義
      1. 2.1.1 アイテム関数
      2. 2.1.2 システム境界
      3. 2.1.3 外部インターフェイス
      4. 2.1.4 動作モード
    2. 2.2 機能安全目標
    3. 2.3 機能安全コンセプト
    4. 2.4 技術的安全コンセプト
    5. 2.5 HW/SW の安全性要件
    6. 2.6 依存故障分析
  6. 3OBC システムの FuSa 部品
    1. 3.1 部品の概要
    2. 3.2 マイコン
      1. 3.2.1 CPU
      2. 3.2.2 ADC サンプリング
      3. 3.2.3 PWM 生成
      4. 3.2.4 CMPSS
      5. 3.2.5 データ転送
      6. 3.2.6 故障信号モニタと安全状態制御
    3. 3.3 パワー マネジメント IC
      1. 3.3.1 MCU モニタ
      2. 3.3.2 シャットダウン シーケンス
      3. 3.3.3 電源
    4. 3.4 システム ベーシス チップ
      1. 3.4.1 CAN 通信
      2. 3.4.2 電源電圧レールの監視
      3. 3.4.3 SPI/プロセッサ通信
      4. 3.4.4 デバイス内蔵 EEPROM
    5. 3.5 電源とスーパーバイザ
    6. 3.6 ゲート ドライバ
    7. 3.7 電圧センサ
    8. 3.8 電流センサ
    9. 3.9 温度センサ
  7. 4まとめ
  8. 5参考資料

2.5 HW/SW の安全性要件

TSR が確立された後、次のフェーズではそれらを HSR および FSR へ展開します。各 HSR/SSR は、親となる TSR の ASIL-B を継承し、グループ内で最も厳しい FSR によって課される FTTI を遵守します。HSR は、電流検出フロントエンドに組み込まれるべきハードウェア特性を定義し、SSR は、タイミングおよび検出要件を満たすために、測定信号に対して実行されるべきソフトウェア処理を定義します。

表 2-12によると、電流センサは、短絡状態を十分な帯域幅または応答時間で検出可能であり、自己診断機能を含む必要があります。これらの理由から、OBC アプリケーションの電流センサとして TMCS1133-Q1 が選定され、PFC ステージの入力側および DCDC ステージの出力側に配置されています。このピン配置図を、図 2-10に示します。シャント抵抗を用いた代替の電流検出方式を使用することも可能ですが、その場合は HSR および FSR が異なり、本書の対象外となります。

TMCS1133-Q1 のピン配置図 図 2-10 TMCS1133-Q1 のピン配置図

表 2-12では、TSR-CS-1、TSR-CS-2、TSR-CS-3 が電流センサに、TSR-CS-4 および TSR-CS-5 が マイコンに割り当てられています。表 2-13と表 2-14 は、FSR 2.1 にトレースされたこれらの TSR を実現する HSR および SSR の例です。

表 2-13 FSR 2.1 にトレースされた TSR の HSR の例
ID HSR ASIL トレース先
HSR-CS-1A ホール センサの帯域幅は 200kHz 超とし、VOUT フィルタのカットオフ周波数も 200kHz 超とする必要があります。 B TSR-CS-1
HSR-CS-1B ホール センサは、40A 以上のセンシング範囲を持つものとします。 B TSR-CS-1
HSR-CS-2A ホール センサは自己テスト用の FLT ピンを有し、故障発生時には 100ms 以内にマイコンへ通知する必要があります。 B TSR-CS-2
HSR-CS-2B ホール センサの FLT ピンは、故障報告のため DSP に接続する必要があります。 B TSR-CS-2
HSR-CS-3A ホール センサの VOC ピンは、最大電流より 20% 高い値に OC スレッショルドを設定します。 B TSR-CS-3
HSR-CS-3B ホール センサの OC ピンは、過電流検出時に 0.5us 以内で OC フラグをアサートする必要があります。 B TSR-CS-3
HSR-CS-3C ホール センサ OC フィルタは 1MHz カットオフ周波数を上回る必要があります B TSR-CS-3
HSR-CS-4A AC 側電流センサの VOUT は、独立したマイコンの ADC チャネルへ接続する必要があります。 B TSR-CS-4
表 2-14 FSR 2.1 にトレースされた TSR の SSR の例
ID SSR ASIL トレース先
SSR-CS-1A マイコンは、100kHz でホール センサ出力をサンプリングするものとします。 B TSR-CS-1
SSR-CS-1B マイコンは、パワーオン ホール センサのオフセット キャリブレーションを実装する必要があります。 B TSR-CS-1
SSR-CS-2A マイコンは、FLT のデューティ サイクルに基づいて、異なる種類のアラートを識別する必要があります。 B TSR-CS-2
SSR-CS-2B マイコンは、センサ アラート検出時に妥当性チェックを実行する必要があります B TSR-CS-2
SSR-CS-4A マイコンは、2 系統センサの測定値の絶対差を計算する妥当性チェック アルゴリズムを 10kHz で実行する必要があります B TSR-CS-4
SSR-CS-4B マイコンは、差分が 3 サンプル連続で 20% を超えた場合、2ms 以内にハードウェア故障を検出し、アサートする必要があります B TSR-CS-4
SSR-CS-5A マイコンは、最大電流より 10% 高い値にソフトウェアの過電流スレッショルドを設定します B TSR-CS-5
SSR-CS-5B マイコンは、ADC 値に基づいて CMPSS モジュールとの OC 検出を実行する必要があります。 B TSR-CS-5
SSR-CS-5C マイコンは、OC 検出時に規定されたシーケンスに従って PWM 出力を停止する必要があります。 B TSR-CS-5

これらは、あくまで一例にすぎません。実運用の OBC プロジェクトにおいては、システム インテグレータがすべての TSR を対象に詳細な分析を実施した上で、後続の工程へ進む必要があります。

  • 設計のアロケーション。各 HSR および SSR を、それぞれ該当するチームに割り当てます。
  • トレーサビリティ マトリクス。FuSa 目標を FSR、TSR、さらに HSR および SSR へ関連付けるため、FTA または FMEA のブロック図を統合します。HSR および SSR は、そ検証証拠に関連付ける必要があります。
  • 検証計画。HSR および SSR の検証および妥当性確認。要求事項が満たされていることを示し、ASIL-B 安全目標への適合性を実証する試験報告書を提出します。

OBC システムでは、一部のアナログ部品の ASIL レベルは QM です。ASIL-B システムで QM 部品を使用することもできますが、ハードウェア素子の評価が必要です。ハードウェア要素の評価により、QM コンポーネントが安全目標に干渉しないこと、または追加の安全機構によって要求される ASIL を達成するのに十分な診断カバレッジが提供されていることが示されています。

例えば、TMCS1133-Q1 は FuSa 対応部品であり、ASIL-B 要件を満たすために選定されています。これを DC 出力側で、電流検出および過電流保護に使用するものとします。TI は、ハードウェア素子の評価を容易にするために、以下のコンテンツを提供できます。

  • すべての故障モード。
  • 各故障モードの確率。
  • システムの安全性に及ぼす影響。

上記の情報はすべて、TMCS1133-Q1 の FuSa 文書に記載されています。お客様は、解析と試験を含む設計検証を実施するものとします。すべての故障モードには、ダイの故障モードおよびピンの故障モードが含まれます。の総 FIT 率は 62 であり、内訳はダイの FIT 率が 26、ピンの FIT 率が 36 です。すべてのダイ故障モードとダイの故障分布を表 2-15に示します。

表 2-15 TMCS1133-Q1 ダイの故障モードと分布
ダイの故障モード 故障モード分布 (%)
VOUT オープン (ハイ インピーダンス) 5
VOUT が固着 (high または low) 30
VOUT は機能していますが、仕様外です 30
OC の誤トリップ、トリップの失敗 15
ALERT の誤トリップ、トリップの失敗 20

ピンの故障モードは、基本的に一般的なピンごとの故障シナリオを含みます：

  • ピンがグランドに短絡しています。
  • ピンの開路。
  • ピンは隣接するピンに短絡しています。
  • ピンが電源へ短絡しています。

ピンをグランドに短絡した例を取り上げます。故障による影響の可能性については表 2-16を参照してください。故障影響クラスは、これらのピンの状態がデバイスにどのような影響を与えるかを示します：

  • クラス A：機能に影響を及ぼす可能性のあるデバイス損傷。
  • クラス B：デバイスに損傷はありませんが、機能は失われます。
  • クラス C：デバイスの損傷はありませんが、性能は低下します。
  • クラス D：デバイスに損傷はなく、機能または性能への影響もありません。
表 2-16 デバイス ピンがグラウンドに短絡した場合のピン FMA
ピン名 ピン番号。 潜在的な故障の影響の説明 故障の影響クラス
IN+ 1 順方向電流の場合、ホール センサがバイパスされ、検出および増幅される信号は提供されません。IN+ ピンが GND よりも大きな電位にある場合、この状態では大量の電流がシンクされます。レイアウトや構成次第では、入力電源系、負荷デバイス、あるいはデバイス自体に損傷を与える可能性があります。 A
IN- 2 逆方向電流の場合、ホール センサがバイパスされ、検出および増幅される信号は提供されません。IN− ピンが GND よりも大きな電位にある場合、この状態では大量の電流がシンクされます。レイアウトや構成次第では、入力電源系、負荷デバイス、またはデバイス自体に損傷を与える可能性があります A
GND 3 通常動作。 D
ALERT 4 ALERT が GND に短絡しているため、アラートはトリガされません B
NC 5 通常動作 D
VOUT 6 出力は GND にプルされ、出力電流は短絡制限されています。この構成のまま、VS が高負荷対応の電源に接続され、かつ IN+ および IN− ピンを介して特定の高負荷条件がかかる場合、ダイ温度が 150°C に近づく、またはそれを超える可能性があります。 A
OC 7 OC が GND に短絡しているため、アラートはトリガされません。 B
VOC 8 スレッショルドが GND に設定されているため、すべての電圧でアラートがトリップします。その結果、アラートはアクティブ状態に固定されます。 B
VS 9 電源がグランドに短絡しています。 B
VS 10 電源がグランドに短絡しています。 B

安全メカニズムに基づき、90% を超える検出率を示すための診断カバレッジ計算を実装する必要があります。この評価により、このハードウェア要素は割り当てられた安全要求事項を十分に満たして支援できることが確認されました。

最終的に、開発チームは、単段 OBC に実装可能であり、ISO 26262 に基づいてレビュー可能な、完全でトレーサブルかつ検証可能な具体的安全要求事項の一式を有しています：2018 年監査。