AUX-D1 — 辅助电源链的 FMEDA + DFA:为什么一条「不干主功率活」的供电链,常独占 ASIL D ECU 一半以上的失效率

ASIL D 的量化安全门是三个数,item(安全目标)级:单点故障度量 $\text{SPFM}\ge 99\%$、潜伏故障度量 $\text{LFM}\ge 90\%$、随机硬件失效概率 $\text{PMHF}<10^{-8}/\mathrm{h}$(即 10 FIT)。其中 PMHF 是唯一带绝对量纲的预算:整个 item 一小时内因随机硬件失效违反安全目标的概率,不许超过十亿分之十。这个预算要在主功率链 + 驱动链 + 辅助电源链三大块之间分配。

反直觉的事实是:分配下来,辅助电源链常常要占掉总失效率($\lambda$)的 50–60%(据一线 Tier-1 对 ASIL D AUX FMEDA 的评审复盘,属经验口径、非公开数据,需按项目实测)。一条不碰主功率、不产扭矩的供电链,凭什么比开关几百安培的功率级还"危险"?

直觉会说"功率器件才是高应力、高失效的地方"——这个直觉在单器件尺度上对(SiC/IGBT 单管确实经历最狠的电热应力),但在链级失效率尺度上错得离谱。错在哪?错在把"应力大"等同于"失效率贡献大",而漏掉了两个决定链级 $\lambda$ 的更根本的量:这条链是不是串联的,以及它的失效率集中在几颗器件上。下面两节把这两条第一性原理拆开,它们相乘,就得到 50–60% 这个数。

先问最根本的一问:失效率在一条链上是怎么累积的?可靠性理论给的答案取决于结构。串联结构(任一环失效则整体失效)下,各环失效率直接相加;并联/冗余结构(需多环同时失效才整体失效)下,等效失效率是各环失效率的乘积量级——低几个数量级。

辅助电源链的物理拓扑是什么?Vbat 12V → 输入防护 → DC-DC → SBC 多 rail → POR 时序 → MCU 供电。这是一条单脊:MCU 的 core rail 掉了,ECU 死;SBC 的 VPRE 漂了,下游全乱;DC-DC 变压器开路,整块板断电。每一环都是下一环的唯一供给来源,没有任何一环有天然冗余(冗余供电是 C3 里额外加的架构,不是链本身自带的)。所以辅助电源链在可靠性上是一条纯串联链,它的失效率只能老老实实相加,一分不减。

对比主功率链:六个开关管构成的三相桥,虽然单管应力大,但拓扑上存在结构性的对称与部分容错空间(某些失效模式下可降额运行、可主动短路进安全态),且功率器件经过极致的可靠性筛选,单管 FIT 常压到 $<1$。串联相加 vs 有结构容错,是辅助电源链 $\lambda$ 反而更高的第一个根因。

把辅助电源链按物理边界切成内部五级,填上典型 SR 口径失效率(SR = safety-related,已把与安全目标无关的功能块如 CAN 收发器段划出去,见 FIT/FMEDA 工程化计算):

一条串联链就累到 120 FIT。而一颗筛选过的 SiC 主开关约 0.5 FIT——辅助电源链一条 ≈ 240 颗主开关的失效率。串联相加把"数量少但单颗高"的器件累成了一座山。这是 50–60% 的前半个答案。

第二问:为什么单颗辅助电源器件的 FIT 那么高?一颗 SBC 报 50–80 FIT,一颗 SiC 报 0.5 FIT,差两个数量级——不是工艺差,是集成度差。

失效率随器件的复杂度(晶体管数 / die 面积 / 内部功能块数)单调上升,这是硬件随机失效的物理:更多晶体管、更多互连、更多 rail,就有更多可失效的位点。SBC 的设计哲学正是"把 VPRE / V3.3 / V1.2 / 看门狗 / 时序 / 诊断全塞进一颗 die",用板级空间换集成度。集成度带来的不只是高 FIT,更致命的是:这些功能全在一颗 die 上,die 一失效就同时带走多个 rail + 看门狗——它是一个物理上无法拆分的单点失效集中区(SPOF)。

于是辅助电源链的 FIT 分布极不均匀:$③DC\text{-}DC35\%+④SBC30\%$,两颗器件就占了链失效率的约 65%。这个集中度决定了三件工程事实:

其一,SM 设计杠杆全在这两颗上。想压低链残余失效率,力气必须砸在 DC-DC 和 SBC 的诊断覆盖率上,别处优化边际收益极低。

其二,它天然是 CCF 的重灾区。多个 rail 共一颗 die、共一路供电、共一个时钟——这正是 DFA(共因失效分析)要量化的"共享资源"耦合(中段四展开)。

其三,它是 I3 评审的靶心。评审员深谙这个分布,通常第二天就直攻 AUX 的 FMEDA + DFA——因为这里数字最紧、假设最多、最容易藏虚高的 DC。

串联相加(中段一)决定了辅助电源链的 $\lambda$ 总量大,高集成度(本节)决定了这些 $\lambda$ 集中在少数 SPOF 上。两者相乘,就是"配角吃掉一多半预算"的完整因果。下面用一个 worked example 把它算到底,看 99% 的阈值有多狠。

锚定一个具体项目:8 年质保 / 主驱 ECU / Aurix TC377 + NXP FS6500 SBC,辅助电源链 ${\lambda }_{SR}=120\text{FIT}$。危险失效份额按 ISO 26262-5 Annex B 的失效模式分类取 50%(其余为 safe fault,留在分母),故危险 $\lambda =60\text{FIT}$。

SPFM 量化的是"危险随机故障违反安全目标之前,有多大比例被 SM 立即诊断捕获":

$\text{SPFM}\ge 99\%$ 意味着残余单点(SPF+RF)不许超过 safety-related 总量的 1%。代入 ${\lambda }_{SR}=120$:残余预算 $\le 1.2\text{FIT}$。一条 120 FIT 的链,只准漏掉 1.2 FIT——这是把 99% 翻译成绝对量后,辅助电源链面对的真实酷刑。

逐级看这 1.2 FIT 怎么分。关键约束:复合诊断覆盖率只允许物理独立的两条路径叠加,$DC=1-(1-D{C}_1)(1-D{C}_2)$;同一比较器输出走两条信号线不算独立(中段四的假独立陷阱)。

以 ④ SBC 为例把复合 DC 算透:内部 BIST 单独 DC 99%,残余就已是 $18\times (1-0.99)=0.18\text{FIT}$;叠加一条物理独立的 MCU 侧 rail 监测(单独 DC 50%),复合 $DC=1-(1-0.99)(1-0.50)=99.5\%$,残余压到 $18\times 0.005=0.09\text{FIT}$。注意这条 50% 的弱路径,凭"独立"二字就把残余又砍半——这正是 SPFM 逼出 SM-on-SM(SM 之上再加 SM)架构的数学动因。

五级残余相加:$0.30+0.21+0.09+0.18+0.12=0.90\text{FIT}$,压在 1.2 FIT 预算之内。回代 SPFM:

只富余 0.25 个百分点——任何一级 DC 掉 5%,残余就越线。这就是"辅助电源链是整机最难过的一环"的定量含义:不是它绝对失效率救不回,而是 99% 阈值把 120 FIT 的容错空间压到只剩 1.2 FIT,每一级都必须做到复合 DC ≥ 97–99.5%,毫无浪费余地。

再看 LFM。它管的是另一支:一个 SM 自己悄悄坏了没被发现,等第二个故障来时才暴露(潜伏故障)。辅助电源链的 latent 主要来自三处 SM 自身逻辑失效——FS6500 看门狗逻辑 ~1.5 + TC377 Lockstep 比较器 ~1.5 + ECC 校验逻辑 ~1.0,合计 ${\lambda }_{\text{MPF,latent}}\approx 4\text{FIT}$:

LFM 靠得住的前提是 latent 检测得够快——SBC 看门狗一般每次 key-on 跑一遍 power-on BIST,潜伏故障检测时间(LFDT)约一个驾驶周期(小时级,详见 LFDT 深度);注意 24 h 不是 ISO 阈值,只是"车长期不熄火"的最坏连续运行假设。这与本轨 FS-A3 讲的两根独立时间轴一脉相承:FTTI 治单点喂 SPFM(微秒/毫秒),MPFDTI 治潜伏喂 LFM(驾驶周期),差几个数量级,各自立预算。

SPFM 和 LFM 都过了,是不是就稳了?没有。PMHF 里藏着一个前两个指标看不见、却常常把辅助电源链拉爆的项——共因失效(CCF)贡献。保守 screening 口径下:

前两项前面算过。第三项 $\beta \cdot {\lambda }_{\text{covered}}$ 是新面孔,也是最难证的一项:$\beta =2\%$(共因失效比例,IEC 61508-6 Annex D 中档评分)乘以被 SM 盖住的危险 $\lambda$($\approx 59\text{FIT}$),得 $\approx 1.2\text{FIT}$。它的物理含义是:一个共因(共电源、共时钟、共 reset、共 SPI)可能同时打穿"故障"和"本该覆盖它的 SM",让你 claim 的高 DC 瞬间归零。 这一项是一阶线性项,精确口径也删不掉——它直接吃掉本已只剩 30% 的 PMHF 余量($7\text{FIT}$ 对 $10\text{FIT}$ 门)。

为什么辅助电源链的这个 $\beta$ 项最难压到低?因为它在物理上处于所有安全机制的上游——它给 MCU、给看门狗、给诊断链本身供电。别处的 CCF 顶多耦合两个功能块;辅助电源的一个共因(比如 SBC die 同时供 4 个 rail 和看门狗)一击就能瘫痪"被监测对象 + 监测者"两方。这就是为什么 DFA(共因失效分析)在辅助电源链是主战场,而它最经典的陷阱正是假独立:把同一比较器输出走两条信号线,当成两条独立路径去叠复合 DC——两条线共 die、共供电、共时钟,一个共因全带走,claim 的 99% 复合 DC 是纸面数字。评审一问 DFA 就穿。

这也是本轨 FS-B5 CCF 深度 讲的核心命题在辅助电源上的落地:分解(decomposition)的全部价值系于独立性,而独立性在共电源、共 die 的辅助电源链里最难证。破解只有一条真路——用物理分离换独立:MCU 侧 SMU + 独立时钟域的内部看门狗,与 SBC 的 Q&A 看门狗双向互查,不同 die、不同供电域、不同时钟、双路 reset。只有这样两条链才真独立,复合 DC 才立得住,$\beta$ 才评得进 1–2% 档(评分走 IEC 61508-6 Annex D,不是 ISO 26262-9)。

把两条第一性原理 + worked example 收成可直接执行的判断:

1. 辅助电源占大头是结构决定的,不是设计失误。 串联相加(120 FIT 只能加不能减)× 高集成度(FIT 集中在 DC-DC + SBC 两颗)= 50–60% 的必然。所以别指望"优化掉"这个占比,只能在这两颗 SPOF 上把复合 DC 做到极限来满足阈值。力气花在别处是浪费。

2. 99% SPFM 把 120 FIT 压到 1.2 FIT 残余预算,每一级都必须做 SM-on-SM。 单条诊断路径几乎不可能独力达标(worked example 里 SBC 单 BIST 残余 0.18,叠一条独立弱路径才到 0.09);复合 DC 是唯一出路,而复合 DC 的合法性全系于物理独立——不同 die / 不同供电域 / 不同时钟。写复合 DC 前先过独立性论证,落 DFA 记录。

3. PMHF 的 β·λ 项和 latent 项,比一阶残余更容易把辅助电源链拉爆。 一阶残余只有 0.9 FIT,但 latent 4 + CCF 1.2 合起来是它的六倍,且 CCF 项因"辅助电源在所有 SM 上游"而最难证。三项都要算,尤其别犯"只报 0.9 FIT"的反向错误——虚低 7×,I3 一问 DFA 就穿。破 CCF 唯一真路是物理分离的双看门狗真独立。