ASIL 分解 — Part 9 §5 规则 + EV 主驱实例

功能安全L1别名 ASIL 分解 · ASIL decomposition · ISO 26262 Part 9 · DFA · 共因失效分析 · dependent failure analysis · 更新

本质与导读

本质 让单个组件 single-handedly 扛 ASIL D 安全目标,成本和工艺都极高;ISO 26262-9 §5 允许把这条 SG 拆给两条充分独立的通道,各自只到较低 ASIL 合起来仍满足 D。但分解不是降级——括号里的 SG 仍是分解前的 ASIL,完整性一分不能削,且两通道的物理/共因/软件独立性由 DFA (Part 9 §7) 硬约束,共享 MCU 或 power/GND 一律不算分解。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. 分解规则 + EV 主驱实例

ASIL 分解的整体框架可以一句话总结:把高 ASIL SG 拆给两个独立的低 ASIL 通道,每个通道用更便宜的开发流程,但合起来必须还能满足原 SG 的故障覆盖率与 FTTI 要求。先钉死一个概念:分解的操作对象是安全需求,不是硬件箱子——§5.4.3 要求把初始安全需求拆成两条冗余需求再分配到充分独立的元件上,且每条分解后的需求单独就能满足初始需求(§5.4.4,这才叫冗余;把一条因果链切成传感/计算/执行三段各给低 ASIL 不是分解,见 §8)。下图把 ISO 26262-9:2018 §5.4.9 允许的主要分解方案列出来,并配一个 EV 主驱 ASIL D 的实际拆法——主 MCU 双核 lockstep + 独立安全 MCU,两条都按 B(D) 开发,通过 DFA 证明独立后合并满足 ASIL D。

ASIL 分解方案族 + EV 主驱 D → B(D)+B(D) 实例

2. 允许的分解方案族(按起点 ASIL)

ISO 26262-9:2018 §5.4.9 按起点 ASIL 枚举方案族(配 Figure 2 图示;旧引用常见的"§5.4.10"实际是"须给出独立性证据"那条,"Table 1/Table 4"则根本不在 Part 9 里——引用错标准条款是评审丢分点)。合法组合只有下面 8 行,不准自创(D→B(D)+A(D)、C→A(C)+A(C) 都不在清单上);标准明文允许用更高 ASIL 的方案替代("A decomposition schema resulting in higher ASILs may also be used"),但不允许更低:

分解前 SG分解后两通道用途
ASIL DC(D) + A(D)主+辅不对称(主控做 C,辅助做 A 监控)
ASIL DB(D) + B(D)EV 主驱主流 — 两条 B 互补诊断
ASIL DD(D) + QM(D)监控式架构(e-GAS):功能通道 QM(D) + 监控通道 D(D),D 的严格性落在监控层
ASIL CB(C) + A(C)不对称(C 级唯一非 QM 方案)
ASIL CC(C) + QM(C)监控式
ASIL BA(B) + A(B)双 A 对称(B 级唯一非 QM 方案)
ASIL BB(B) + QM(B)监控式
ASIL AA(A) + QM(A)唯一方案(§5.4.9 d:A "仅在需要时"才分解)

注解:

  • "B(D)" 读法:该通道按 ASIL B 的流程开发,括号里的 D = 这条需求溯源的 SG 的 ASIL(§5.4.8 c);集成/验证/confirmation 与硬件度量都认这个 D(见 §4)
  • X(X)+QM(X) 方案的典型极性是标准指定的(§5.4.7):把 QM 给预期功能、把完整 ASIL 给安全机制——安全机制通常更简单更小,承高 ASIL 便宜。e-GAS 三层监控即此:L1 功能通道 QM(D)、L2 监控通道 D(D)(详见 e-GAS 架构 §12.3)。别写反成"主通道 D + QM 监控"
  • 允许多次分解(§5.4.8 b):C(D) 可再拆 B(D)+A(D),括号永远是 SG 的 ASIL,不因中间步骤变 (C)
  • 括号里的 SG 不能削 — 这是合规审查的红线

3. 独立性 — 分解的硬约束

分解能成立的前提是两个通道充分独立,而"充分独立"在标准里是可执行的定义(§5.4.3):DFA(Part 9 §7)找不到会导致违反初始安全需求的 plausible 共因,或每个找到的共因都被按初始 ASIL 开发的安全措施控制住。做不到就没有分解——元件不充分独立时,冗余需求和元件原样继承初始 ASIL(§5.2)。工程上把独立性拆三层来审:

3.1 物理独立 (Physical Independence)

物理独立打的是硬件级共因 — 让一台 ESD 攻击、一次 surge、一次温升不能同时挂掉两个通道。具体要求:

  • PCB 分离(不同板,或同板但隔离区)
  • 电源独立(各自 LDO / DC-DC,不共享上游)
  • 接地分离(避免地干扰共因)
  • 不同封装(芯片级共因被 packaging 消除)
  • 物理距离(避免 thermal / vibration 共因)

3.2 共因独立 (Common-Cause)

共因独立要求任何单一外部应力都不能同时让两通道失效 — 这是 ISO 26262 Part 9 §7 DFA 的核心覆盖目标:

  • EMC 攻击两通道不同时失效 — 一个通道在抗扰度下挂,另一个仍工作
  • 温度/振动/湿度 单一原因不能让两通道同时失效
  • 电源 surge 一个通道挂时另一个仍能切 safe state

3.3 软件独立 (Software Independence)

软件独立处理的是设计/实现层的共因 — 同一个编译器 bug、同一段代码错误、同一个人员的认知盲点都可能同时坑两条通道,所以软件层的独立也要主动证明。标准把这一点说得很硬(§5.4.3 NOTE 2):同质冗余(复制同一颗芯片、同一份软件)不解决系统性失效,单靠它降不了 ASIL——除非 DFA 给出独立性证据或证明共因只导致安全侧失效:

  • 不同 toolchain (GCC vs Tasking, IAR vs Keil) — 编译器 bug 不共因
  • 不同算法实现 (一个用 FOC, 另一个用直接转矩) — 算法 bug 不共因
  • 独立验证 (V-cycle 各跑各的)
  • 不同人员实现 (避免共同设计错误)

OEM 评审会要 DFA 报告 详列上述 6+ 项 + 证据 + residual risk。没 DFA = 分解不被认可。

独立性是必要前提,不是充分前提。分解合并达 ASIL D 还要第二个条件——两通道诊断互补:通道 B 必须能检出通道 A 的危险失效(反之亦然),否则即便物理 100% 独立,组合 SPFM 也上不去。反例:两条独立通道都只跑同一套 plausibility check,A 漏检的那类失效 B 同样漏检——独立但不互补,合并 SPFM 仍 = 单通道,过不了 D。所以 DFA 证"独立"之外,FMEDA 还要证"A 的 λSPF 落进 B 的检测范围"(B 把 A 的 SPF 转成 detected),这才是 B(D)+B(D) 合起来达 D 的覆盖率来源。

4. 分解 ≠ 降级

工程师常误把分解当"省事":"把 ASIL D 拆成 B + B 就好做了"——这种思路 OEM 会立刻拒。

标准怎么划线(哪些按分解后、哪些按分解前——这是最常被记错的账):

  • 按分解后 ASIL(省成本的来源,§5.4.11):分解元件在系统级/软件级按 Part 4 / Part 6、硬件级按 Part 5 的对应 ASIL 要求开发——compiler qualification、测试覆盖率(如 MC/DC 只有 D 强推)、reviewer 独立度等流程严格度全在这里降档
  • 按分解前 ASIL,例外一(§5.4.5):硬件度量评估不变——SPFM / LFM / PMHF 按 SG 的 ASIL 在整个 item 层面评(ISO 26262-5 Clause 8/9),"B(D) 通道只需 SPFM ≥ 90%" 是不存在的
  • 按分解前 ASIL,例外二(§5.4.12):每一级分解的集成活动 + 后续验证 + confirmation measures 都按分解前 ASIL 做
  • SG 失败的法律责任、risk 论证、量产 & PPAP 评审全部按分解前 D 等级

实操:"把 D 拆 B+B" 节约的是单通道开发流程成本,不是整体 PPAP / 验证范围 / 度量目标。两条 B 加起来的总工作量经常比一条 D 更多。

5. EV 主驱 ASIL D worked design — B(D)+B(D) 端到端

SG-01:"防止非预期扭矩 (UT) > ±10%",ASIL D,FTTI = 100ms。按方案 ②(B(D) + B(D))拆分,真器件走 Infineon + NXP 双供应商——异供应商/异工艺本身就是 diverse redundancy,直接压低 DFA 里的 β 共因因子(量化见 CCF 深度)。

5.1 先分需求,再分硬件

分解在需求层发生(§5.4.2/5.4.3),硬件只是需求的载体。SG-01 拆成两条冗余安全需求,各自单独满足 SG(§5.4.4)——但"单独满足"的机理不同:

  • 需求 A(功能通道,B(D)):"正确执行 VCU 扭矩指令,并对自身内部失效自检报警"——靠不出错满足 SG
  • 需求 B(监控通道,B(D)):"用独立传感与独立算力核算实际扭矩,越限时在 FTTI 内把逆变器带进安全态"——靠出错时兜底满足 SG

任一条被满足,SG 就不被违反,这才是 §5.4.4 意义上的冗余。§5.4.4 的 EXAMPLE 恰好点名了反例:拿一个简单看门狗当 D(D) 通道、微处理器当 QM(D) 通道——看门狗盖不住微处理器的失效模式,"单独满足初始需求"不成立,分解无效。

5.2 Channel A — 主 MCU lockstep + SBC(B(D))

主通道走"高性能 + 自检"路线 — 主 MCU 跑控制算法,硬件 lockstep 把"算错了"变成可上报的离散事件:

  • Aurix TC397 delayed lockstep:checker 核延迟数拍执行同一指令流 + 硬件逐周期比较(对软件透明),不一致 → SMU alarm;lockstep 在 ISO 26262-5:2018 Table D.4 列为 "HW redundancy",high 档诊断覆盖(典型 claim 99%)——本身可支撑 D 级内核完整性,本方案把该通道按 B(D) 开发是流程预算分配,不是 lockstep 能力被限到 B
  • SMU 集中反应:lockstep 不一致 / ECC 双错 / CMU 时钟告警统一收口,Alarm → Safe-Out 引脚翻转 < 1 µs(细节见 AURIX TC3xx ASIL D)
  • TLF35584 SBC:供电 + Q&A 窗口看门狗(软件 5 ms 周期答题),外部兜"MCU 整体死机"
  • 输入:resolver / 母线电压采样 / 三相电流采样;输出:6 路 PWM(高 + 低管)

5.3 Channel B — 独立监控 MCU + 安全 SBC + 硬件关断(B(D))

监控通道走"独立 + 简单"路线 — 不复制主通道的控制计算,只独立核算扭矩并保留一条不经过任何 MCU 的硬件关断路径:

  • 独立监控 MCU:NXP S32K344(自带 delayed lockstep Cortex-M7)跑扭矩 plausibility——用第二组相电流传感器 + 独立母线电压分压 + 独立 ADC 核算实际扭矩,对照 VCU 指令
  • NXP FS26 安全 SBC(与 FS84/FS85C 同族 fail-safe IP;上一代对应 FS65 系列):challenger 窗口看门狗监 S32K344,FS0B fail-safe 输出直接拉栅极驱动 ENA——纯硬件关断路径(器件机制细节见 S32K344 + FS26 集成);注意 FS26/FS65 是 SBC 不是 MCU,监控通道 = 独立 MCU 加 SBC,别把两者混成一颗
  • 触发后执行"安全脉冲封锁"(借工业变频器的 STO 概念,IEC 61800-5-2);高转速区安全态要切 ASC,见 §9 Corner 1
  • 对主通道的监视:heartbeat + CRC + 扭矩核算,主通道失效模式落进本通道检测范围(互补诊断,§3 末)

5.4 FTTI 预算 — 100 ms 怎么花

FTTI 预算按最慢检测路径算——lockstep/SMU 是 µs 级不构成瓶颈,瓶颈在监控通道的扭矩核算窗口:

段机制最坏预算备注
检测Channel B 扭矩核算滑窗(1 ms 采样 × 10 帧均值 × 连续 2 窗越限判定)20 ms滑窗滤噪 vs 检测延迟的折中
升级判决FS26 故障错误计数器(滤单次瞬态)/ plausibility 越限直判≤ 6 ms窗口狗 bad refresh 走计数升级
关断执行FS0B → 栅极驱动 ENA → PWM off< 0.2 ms纯硬件路径,不经 MCU
扭矩衰减pulse-off / ASC 建立后电流按电机电气时间常数衰减≤ 10 msL/R 为 ms 量级

合计最坏 ≈ 36 ms < 100 ms,裕度 ≈ 2.8×——预算里必须给标定期没想到的路径(如冷启动自检窗口)留这种量级的余量。

5.5 合并达 D 的四本账

两条 B(D) 通道单独看各自都是 B 等级流程,合并成立要同时把四本账做平:

  • 度量账(§5.4.5):SPFM ≥ 99% / LFM ≥ 90% / PMHF < 10 FIT 按整个 item、SG 的 D 等级评(ISO 26262-5 Table 4/5/6)——互补诊断把对方通道的单点失效转成 detected,这是覆盖率的真正来源(§3 末)
  • 流程账(§5.4.11):两通道各按 B 的 Part 4/5/6 流程开发——省的钱全在这本账
  • 证据账(§5.4.10 + §5.4.12):DFA 报告全项独立性确认(§6);集成 / 验证 / confirmation measures 按 D
  • 时间账:上节 5.4 的 FTTI 预算收敛且留裕度

6. DFA 必查的 6 项

Part 9 §7 要求Dependent Failure Analysis。标准自身的清单有两层:§7.4.4 列了 a)–i) 九类诱因要逐一评估(随机硬件失效 / 开发缺陷 / 制造缺陷 / 安装 / 售后服务 / 环境因素 / 共享外部资源与信息 / 特定工况应力 / 老化磨损),Annex C 给 7 类 DFI〔dependent-failure initiators / coupling factor 分类〕当 checklist 底本。下面 6 项是把其中"共享资源类"落到 ECU 硬件的工程实践检查清单——与 Annex C 的 7 类不是同一清单的 6 vs 7,FMEDA 页常按 Annex C 组织,本节按共享资源审:

  1. 共享电源 — 两通道是否共享 LDO / 滤波 / surge protection
  2. 共享时钟 — 两通道时钟源 / 振荡器是否独立
  3. 共享接地 — 地噪声 / 地反弹是否共因
  4. 共享 IO — 共用 SPI / I2C 总线 → bus-off 共因
  5. 共享 Bus / Network — CAN 同 bus、Ethernet 同 switch
  6. 共享软件库 — 同 OS / 同驱动 / 同 RTOS / 同 toolchain

每项给出独立性论证 + 测试证据,evidence 通常是 200-500 页文档。

深入 CCF 量化(β factor…

深入 CCF 量化(β factor 先减后乘 / IEC 61508-6 Annex D 37 题评分)+ 7 类 DFI 全谱 + AURIX lockstep 三重缓解 + 5 个反模式 → 共因失效 CCF 深度

7. 分解到 SEooC (Safety Element out of Context)

很多 ASIL D 组件其实是通用元件被嵌到 SG 链(MCU / 加速度计 / 传感器),供应商不知道最终 SG。这时用 SEooC 接口:供应商按假设 ASIL 开发该元件,假设清单 (assumption list) 中明确"我假设的使用情况",用户 OEM 把假设和实际匹配。

ASIL 分解和 SEooC 经常结合:OEM 选两个不同供应商的 SEooC(各自 ASIL B(D)) 拼成 ASIL D。Bosch / Continental / NXP / Infineon 都提供 SEooC 接口。

8. 7 个常见误用与 Gotcha

ASIL 分解的法律严肃性是工程师反复低估的点。下面 7 条是 OEM 评审会直接拒的误用,每条标了标准锚点——评审答辩时能指到条款的和指不到的,是两种谈判地位:

误用 / Gotcha为什么错标准锚点
两通道同 MCU 跑两份代码同质冗余不除系统性共因,DFA 不通过 → 必上独立 MCU§5.4.3 NOTE 2
共享 power supply / 同 PCB 同 GND plane一次 surge / 地弹同时挂两通道,物理共因§7 DFA
无 DFA 报告独立性无证据 = 分解不被认可,必补§5.4.10
把分解当降级(削括号里的 SG)括号 = SG 的 ASIL,合规红线§5.4.8 c)
度量阈跟着通道降("B(D) 只需 SPFM ≥ 90%")SPFM/LFM/PMHF 按 SG 的 D 在 item 层面评,分解不改度量§5.4.5
简单看门狗充当 D(D) 监控通道看门狗盖不住微处理器全部失效模式,"单独满足初始需求"不成立——标准原文点名的反例§5.4.4 EXAMPLE
串联切链当分解(传感 B + 计算 B = D?)分解要求冗余:每条需求单独满足 SG;串联各段都是必需环节、无一冗余,ASIL 原样继承到每段§5.4.4

9. 三个 corner case

规则表背下来不难,难的是规则在边界工况互相打架的时候。下面三个 corner 都是真项目里踩过的:

Corner 1 — 高速区的安全态不是"关断"这么简单。pulse-off(六管全封锁)在高转速下,电机反电动势超过母线电压 → 功率管体二极管不控整流 → 产生不受控的发电制动扭矩——"关断"这个动作本身就可能违反"防非预期扭矩"这条 SG。所以主驱安全态是速度相关的:低速 pulse-off、高速 ASC(三相下管全通,把能量圈在电机里)。两个连带后果:① 监控通道必须有独立的转速信息来选安全态,不能借主通道的 resolver 解码结果;② "选哪个安全态"的切换/仲裁逻辑按 §5.4.3 NOTE 3 不参与分解——多通道架构里负责通道选择/切换的元件承完整 ASIL D 开发。

Corner 2 — 降本合并把分解合并没了。量产降本评审常提:"Channel B 软件挪进 TC397 的空闲核,省一颗 S32K344。"同 die、同电源、同时钟 → 按 §5.2,元件不充分独立时冗余需求和元件原样继承初始 ASIL——两条需求全部回到 D,整个 B(D)+B(D) 的流程节约瞬间清零,省的 BOM 换来整套 D 级开发重做。折中方案(两 die 同封装)通常也过不了 DFA 的物理/环境耦合检查(共封装的热 / 机械 / 湿度耦合)。教训:分解结构要写进 DIA 和变更管理,任何 BOM 优化触碰通道边界必须触发 DFA 重跑。

Corner 3 — 二次分解与"括号不动产"。C(D) 还能再拆:按 C 的方案族拆成 B(D)+A(D)(§5.4.8 b 明文允许多次分解,标记规则见其 EXAMPLE)——括号永远是 SG 的 D,不因中间步骤变 (C)。但代价条款跟着走:每一级分解的集成 / 验证 / confirmation measures 都按 D 做(§5.4.12)。层级越多,单元开发省的钱递减、集成验证的钱递增——实践超过两级基本做不平账。

10. 与其它 Part 关联

ASIL 分解不是 Part 9 独自负责的工作,而是横跨 Part 3-8 的整链协同活动。每个 Part 都在分解决策、证据、验证里贡献自己的角色:

  • Part 3 (HARA + FSC) HARA 定 SG ASIL,FSC 层常发生第一次分解 → 分解前提
  • Part 4 (TSC) 把安全需求映射到系统架构 → 分解通道在这里落成实体元件
  • Part 5 (Hardware) SPFM / LFM / PMHF 度量 → 按分解前 D 验证仍满足(§5.4.5)
  • Part 6 (Software) 软件单元级按分解后 ASIL 开发(§5.4.11),集成测试按分解前(§5.4.12)
  • Part 8 §5 (DIA) 接口协议 → 与供应商对齐分解假设与通道边界冻结(§11 是工具置信度,别记混)
  • Part 9 §5 + §7 本页主战

核心要点
  • 方案族在 ISO 26262-9:2018 §5.4.9 + Figure 2(不是 §5.4.10,也没有什么 Table 1):D→C(D)+A(D) / B(D)+B(D) / D(D)+QM(D);C→B(C)+A(C) / C(C)+QM(C);B→A(B)+A(B) / B(B)+QM(B);A→A(A)+QM(A)。只许升不许降,不准自创(C→A(C)+A(C) 不合法)。
  • 分解的对象是安全需求:拆成两条冗余需求,每条单独满足初始需求(§5.4.4);串联切链不是分解。
  • 括号里的 SG 不能削(§5.4.8 c)— 分解 ≠ 降级;硬件度量 SPFM/LFM/PMHF 按 SG 的 D 在 item 层面评,分解不改(§5.4.5)。
  • X(X)+QM(X) 的标准极性(§5.4.7):QM 给功能、完整 ASIL 给安全机制/监控层——e-GAS = L1 QM(D) + L2 D(D),别写反。
  • 独立性三层:物理 / 共因 / 软件,定义落在 §5.4.3(DFA 找不到未受控共因),DFA 报告必出;同质冗余单独降不了 ASIL(§5.4.3 NOTE 2)。
  • EV 主驱 ASIL D 主流:方案 ② (B(D)+B(D)) — TC397 lockstep + TLF35584 ‖ S32K344 + FS26(FS0B 硬件关断);FTTI 100 ms 预算最坏 ≈ 36 ms,裕度 ≈ 2.8×。
  • 节省的是单通道开发流程成本(§5.4.11),集成 / 验证 / confirmation / PPAP 仍按 D(§5.4.12)。
  • DFA 6 项工程清单:电源 / 时钟 / 接地 / IO / Bus / 软件库(§7.4.4 九类诱因 + Annex C 7 类 DFI 是标准原生清单)。
  • SEooC 与 ASIL 分解经常结合,两个不同供应商的 B(D) 组件拼成 ASIL D。
  • OEM 评审最常拒 7 种误用:共 MCU / 共电源共 PCB / 无 DFA / 当降级用 / 度量阈跟着降 / 简单看门狗充当 D(D) / 串联切链当分解。

缩写表
只列本页用到的工业标准缩写;通用英语…

只列本页用到的工业标准缩写;通用英语 / 单位 / 月份 / 我们的 层/Lx tag 不列。覆盖不到的术语见正文 inline 注释。

缩写全称中文 / 备注
ASILAutomotive Safety Integrity LevelISO 26262 安全完整性等级 QM→A→B→C→D
ISOInternational Organization for Standardization国际标准化组织
DFADependent Failure Analysis相关失效分析(ISO 26262-9)
SGSafety Goal安全目标(ISO 26262-3)
MCUMicrocontroller Unit微控制器(本页多指车规多核 MCU)
EVElectric Vehicle电动车
SBCSystem Basis Chip系统基础芯片(电源 + 收发器 + 监控集成)
STOSafe Torque Off安全转矩关闭 (IEC 61800-5-2)
SPFMSingle-Point Fault Metric单点失效度量
LFMLatent Fault Metric潜伏故障度量
PMHFProbabilistic Metric for random Hardware Failures硬件随机失效概率指标
FITFailures In Time1e9 小时失效率单位 (1 FIT = 1 failure / 1e9 h)
OEMOriginal Equipment Manufacturer整车厂 / 主机厂
FTTIFault Tolerant Time Interval容错时间间隔
ESDElectrostatic Discharge静电放电
PCBPrinted Circuit Board印刷电路板
LDOLow Dropout Regulator低压差线性稳压器
DC-DCDC-to-DC Converter直流-直流变换器
EMCElectromagnetic Compatibility电磁兼容
FOCField-Oriented Control磁场定向控制
HARAHazard Analysis and Risk Assessment危害分析与风险评估,part 3
FSCFunctional Safety Concept功能安全概念(part 3)
TSCTechnical Safety Concept技术安全概念(part 4)
DIADevelopment Interface Agreement开发接口协议(ISO 26262-8)
PPAPProduction Part Approval Process生产件批准程序(汽车业)
SVPWMSpace Vector PWM空间矢量脉宽调制
PWMPulse Width Modulation脉冲宽度调制
NXPNXP Semiconductors恩智浦半导体
ADCAnalog-to-Digital Converter模数转换器
SPISerial Peripheral Interface串行外设接口
I2CInter-Integrated Circuit两线制串行总线
CANController Area Network控制器局域网
RTOSReal-Time Operating System实时操作系统
CCFCommon Cause Failure共因失效
IECInternational Electrotechnical Commission国际电工委员会
DFIDependent Failure Initiator相关失效起因
AURIXAUtomotive Realtime Integrated neXtInfineon TriCore 多核车规 MCU 系列
SMUSafety Management UnitAURIX 片内集中安全告警/反应单元
ASCActive Short Circuit主动短路(三相下管全通的高速安全态)
FS0BFail-Safe Output 0BNXP 安全 SBC 的独立 fail-safe 关断输出脚
VCUVehicle Control Unit整车控制器
CRCCyclic Redundancy Check循环冗余校验
MC/DCModified Condition/Decision Coverage修订条件/判定覆盖(ASIL D 强推的测试覆盖)

Cross-references