Accellera FS Data Model — FMEDA 跨供应链数据互换

EPS ECU Component-layer DUA 包含 MCU(MPC5744P)+ SBC(MC33907)全部功能块。Safety Goal SG-EPS-T 要求"避免非预期扭矩辅助",只有与转矩计算、PWM 输出、硬件看门狗、电源监控相关的元件进入 FS Hierarchy。

切片好处:FS Hierarchy 中的元件数约为 DUA 的 35%,后续 FM 枚举工作量减少 65%,且与 SG 的可追溯路径更短、更清晰。

FS Hierarchy 中每个元件展开 failure mode,再映射到 Technology Element(FIT 来源)。MPC5744P 采用 SN29500 / NXP Safety Manual 给定的聚合 FIT = 100 FIT(assumption-based,NXP 不公开内部 FF 数);MC33907 同理 40 FIT。

注:MPC5744P 走 assumption-based(NXP 给定 100 FIT),无需枚举内部 FF 数。若 NXP 未来开放 calculation-based .slf,可直接 load_slf NXP_MPC5744P_calc.slf 替换。

每个 Safety Mechanism 保护一组 FM,DC 值来自 Safety Manual 或 FI 验证。

跨器件监控折减:SM-SBC-WD 将 MCU SPF 的 DC 贡献折减——MCU 侧 SM-Lockstep 已覆盖 99%,SBC WD 额外监控将剩余 1% SPF 中的 90% 再折减:

同理 MCU 监控 SBC(DC≈99%):${\lambda }_{\text{SPFsys}}(\text{SBC})\approx 4.0\times 0.01=0.04\approx 0\text{FIT}$，可视为 negligible。

CCF 采用 $\beta =2\%$(异工艺 CMOS 40 nm vs BCD 180 nm + 异供电域,中高分档,对齐 ISO 26262-9 Annex A):

目标 10 FIT(ASIL D),余量 11×,CCF 主导 89%(0.8/0.9)。结论:安全目标 SG-EPS-T 满足 ASIL D PMHF 要求。

以下是上述分析映射到 SLF DSL 的关键片段(精简,省略 DPF 和 MPF):

# EPS ECU Component-layer FMEDA — MPC5744P + MC33907
create_fmeda EPS_ECU {
  standard iso26262
  asil D
  target_pmhf 10  -- FIT
}

# Load vendor SLF files (assumption-based)
load_slf NXP_MPC5744P_SafetyManual_v4.slf
load_slf FREESCALE_MC33907_FS_Manual_Rev4.slf

# Assign sub-FMEDAs
assign_fmeda_fmeda EPS_ECU NXP_MPC5744P_SafetyManual_v4
assign_fmeda_fmeda EPS_ECU FREESCALE_MC33907_FS_Manual_Rev4

# Cross-monitoring SM (not in vendor SLFs, defined at EPS ECU level)
create_sm SM_SBC_WD_monitors_MCU {
  fmeda EPS_ECU
  type cross_monitoring
}
add_attribute SM_SBC_WD_monitors_MCU DC_SPF 0.90

# Link cross-monitoring to MCU SPF residual
assign_sm_fm SM_SBC_WD_monitors_MCU FM-CPU-StuckAt
assign_sm_fm SM_SBC_WD_monitors_MCU FM-CPU-FlipBit

# Reverse cross-monitoring: MCU monitors SBC FSx/RSTB/PGOOD (DC=99%)
create_sm SM_MCU_monitors_SBC {
  fmeda EPS_ECU
  type cross_monitoring
}
add_attribute SM_MCU_monitors_SBC DC_SPF 0.99
assign_sm_fm SM_MCU_monitors_SBC FM-SBC-VREGFault
assign_sm_fm SM_MCU_monitors_SBC FM-SBC-FSM-Error

# FM Effects exported to Module layer
create_fme FME_MCU_ComputeError_at_ECU_boundary {
  fmeda EPS_ECU
  fm FM-CPU-StuckAt
  boundary EPS_ECU
  effect "Torque command out of range"
}
assign_fm_fme FM-CPU-StuckAt FME_MCU_ComputeError_at_ECU_boundary

# Compute metrics
define_metric_iso26262 EPS_ECU {
  spfm_target 99
  lfm_target 90
  pmhf_target 10
}

关键:assign_fmeda_fmeda 把供应商 .slf 中的所有 FM、SM、FME 引入 EPS ECU FMEDA,无需在 EPS ECU 层重新枚举。SM_SBC_WD_monitors_MCU 是跨器件 SM,只能在集成层(EPS ECU)定义。

FM(Failure Mode)是 DUA 内部元件的失效行为,如"CPU0 寄存器 stuck-at";FME(FM Effect)是该 FM 在 DUA 边界处的可见后果,如"EPS ECU 输出错误扭矩指令"。常见错误:把"lockstep 比对器触发"(内部响应)写成 FME,导致上层 FMEDA 误以为 ECU 已经有了自保护输出。正确做法:create_fme 时必须声明 boundary 参数(DUA 对外接口),而非内部中间信号。

assign_sm_fm 只表达"这个 SM 保护这个 FM",但 metric 引擎计算 SPFM 时需要知道 FM 的 FIT 贡献(来自 assign_te_fm)。如果 TE→FM 映射缺失,metric 引擎分母为 0,SPFM 无法计算或直接报错——这在早期 FMEDA 工作中非常常见,尤其是 assumption-based 场景下懒于枚举 TE。

当集成商 load_slf NXP_MPC5744P.slf 时,文件内包含 SM 的 DC 数字,但 DC 成立的前提条件(AoU)未序列化进 .slf。例如 SM-Lockstep DC=99% 的 AoU 是"主动检测时钟须在 150ms 内完成 STL"。集成商如果只看数字不看 Safety Manual,会在时序紧张项目中跳过 STL 而 DC 实际归零。Annex B 建议用 add_attribute SM_Lockstep AoU "STL_period_max_ms 150" 内嵌 AoU 文本。

一个 ASIL D FMEDA 若引用了 ASIL B SM(如第三方低等级监控 IC 的 WD),该安全路径 ASIL 降至 B。Accellera 数据模型允许在 SM 上打 ASIL 标签(add_attribute SM_ExtWD asil B),但 metric 引擎不会自动降级 PMHF 目标——工程师必须手动拆分计算路径,或用 ASIL D 等效 SM 替换。

IC 供应商升版 Safety Manual 时(如 MC33907 Rev 4 → Rev 5),WD DC 可能从 88% 提升到 90%。如果 EPS ECU 层的 .slf 还在引用旧 load_slf MC33907_Rev4.slf,数字偏保守倒无危险,但若 Rev 4 存在已知的 DC 高估被 Rev 5 修正,则旧版引用隐藏了 Safety Case 风险。建议 .slf 文件名携带版本标识(MC33907_FSManual_Rev4_2023.slf),且 FMEDA 工具链在 load_slf 时记录版本哈希到 Safety Case。

MCU 监控 SBC 的 SM(DC=99%)和 SBC 监控 MCU 的 SM(DC=90%)分别作用于对方的失效模式集合——这是正确的。错误做法:对 同一个 FM(如 FM-CPU-StuckAt)同时叠加 SM-Lockstep(DC=99%)+ SM-SBC-WD(DC=90%),不经正确折减直接相乘得 DC=99.9%,造成虚假高 DC。正确模型:assign_fmeda_fmeda 引入供应商 .slf 后,SM-SBC-WD 只作用于供应商 .slf 残余 SPF 部分,而非总 λD。

Component-layer FMEDA 更新(如新增 FM-FCCU-FalseTrip,FME 变化)后,Module / System-layer FMEDA 若未重新导入 .slf,其 FM Effects 集合过时。IC 层新增的 FME 在系统层被遗漏 → 系统级 PMHF 低估。Accellera Annex D Repository 模式用版本控制解决此问题:每次 .slf commit 触发上层 FMEDA 重新导入校验。

当 MPC5744P 以 SEooC 方式交付时,EPS ECU 层的 .slf 只能走 assumption-based——NXP 不公开内部 FF 拓扑。集成商通过 load_slf NXP_MPC5744P_SEooC.slf 获得聚合 FIT = 100 FIT 和各 SM 的 DC 声明,但无法独立核验 FM 枚举完整性。若 Safety Manual AoU 中有一条"PLL 稳定后再激活 WD"被集成商遗漏,DC 计算仍成立但 SM 实际无效。应对:FI 独立验证(Fault Injection campaign)是 assumption-based .slf 下的必要补充,DC 需通过实际注故障确认而非仅靠 .slf 数字。

数字 IP 用 FF 数 + SRAM bits 归算 FIT 相对机械;模拟混信号 IP(如运放、ADC 模拟前端)的 TE 分类(resistor / capacitor / comparator / bandgap)颗粒度更细、失效率离散度更大。MC33907 SBC 的 VREG CORE 部分走 BCD 180 nm,其 TE 库用 FIDES 而非 SN29500——两库在同一 FMEDA 混用时 FIT 参考温度(SN29500 用 40°C 参考,FIDES 用工作温度)不同,需要在 .slf 的 define_fr_iso26262 中明确声明 ${\pi }_T$ 转换因子,否则模拟路径 FIT 会系统性偏低或偏高。

Synopsys SLM-Safety、Cadence Midas Safety、OneSpin 360 IP Safety 均宣布支持 .slf,但截至 2024–2025 实际版本多为只读解析(可导入 .slf 计算 SPFM),写出完整 .slf 的功能仍在 beta。Excel FMEDA 短期内不可能被完全取代。实用迁移路径:① 维持 Excel 作为 source of truth;② 每次发布时用 Python 脚本(基于 Accellera Annex D 格式规范)自动生成 .slf 导出件;③ 供应商交付以 .slf 为主、Excel 为辅——逐步反转;④ 2026–2027 EDA 工具成熟后切换到以 .slf 为 SSOT。