辅助电源 FMEDA + DFA 深度 — AUX 链 SPFM/LFM 量化 + 7 类 DFI 实战

每级展开各自的"失效模式 + 谁来诊断 + 故障后 ECU 进哪个 safe state":

• ① 12V / HV 输入 — 不属于 ECU 边界内,但 FMEDA boundary diagram 必须画清(load dump / reverse polarity / ESD 是 ECU 必须承受的 AoU = Assumption of Use);失效模式属于外部环境,不计入 ECU 内部 λ
• ② 输入防护 — TVS / 反接 MOSFET / π-filter / 自恢复 fuse;典型失效模式 = TVS 短路 / MOSFET 体二极管失效;DC 90%(Vin 电压监测)
• ③ AUX DC-DC — Flyback / Forward 拓扑,详见 HV→12V Flyback 深度 / Forward + Half-bridge 深度;典型失效 = 变压器开路 / MOSFET 短路 / 调节漂;DC 95%(OV/UV + 输出电流监测)
• ④ SBC 多 rail — VPRE / V3.3 / V1.2 / WDG 集中在一颗 die 内;典型失效 = rail 短路或漂 / WDG 漏咬;DC 99%(内部 BIST + OTP 校验)
• ⑤ POR Sequencer — 上电 / 掉电时序控制,详见 POR Sequencing 深度;失效 = 时序错乱 → MCU 进未定义态;DC 90%(sequencer feedback)
• ⑥ MCU / Lockstep — Aurix TC3xx 类双核 Lockstep + ECC RAM + Flash CRC;失效 = CPU 损坏 / 时钟漂 / Lockstep 失配;DC 99%(Lockstep + ECC)

各级标注的 DC 是第一层 SM 单独的覆盖率(与图中"DC (单 SM 覆盖)"口径一致);叠加 MCU 侧独立检测路径之后的复合 DC 在 §4.1 的 worked 表里逐级给出。

把每级的典型 FIT 比例摆开 — ② 5% / ③ 35% / ④ 30% / ⑤ 10% / ⑥ 20%(总 100%),SBC + DC-DC 占 65% 是 AUX 链的两大 SPOF 集中区。SM 设计的杠杆都在这两个区。

先把 §3 的 raw 锚点折成 SR λ、配上真实器件与 SM 路径。两条纪律:(1) 危险失效份额按 Part 5 Annex B 的失效模式分类取 50%(其余为 safe fault,留在分母);(2) 复合 DC 只允许物理独立的两条检测路径叠加 — $DC=1-(1-DC1)(1-DC2)$ — SBC die 上的比较器和 MCU die 上的 ADC 采样是两条路径,同一比较器的输出走两条信号线不是(评审最常见的假独立,见 §8 陷阱 7):

复合 DC 代一遍(③):$1-(1-0.95)(1-0.80)=0.99$;独立性论证 = 两条路径在不同 die、不同供电域(SBC 比较器 vs MCU ADC),DFA 里对应 §5 矩阵的 Shared Resource 行。残余合计 0.90 FIT 就是下面 SPFM 的分子。

SPFM 量化"硬件随机故障导致 SG 违反前,有多少比例被 SM 立即诊断捕获"。计算时把所有 safety-related 故障分类成 SPF(单点 → SM 没盖)+ RF(残余 → 部分盖)+ MPF(多点)+ safe(不导致 SG 违反),公式:

AUX 链 worked:λ_safety-related ≈ 120 FIT(SR 口径,safe fault 留在分母)、λ_SPF + λ_RF ≈ 0.9 FIT(§4.1 表逐级累计,② ③ ⑤ 三级贡献 0.69 FIT 主导):

关键观察:99% 阈值对应 ≤ 1.2 FIT 残余单点 — 任何一级 DC 漏掉 5% 就直接超标。这就是为什么 ASIL D AUX 链每个 SM 都要做 SM-on-SM(下游 SM 也得有 SM 监测)。

LFM 处理"多点故障"分支 — 一个 SM 自己挂了没被发现 + 另一个故障同时发生 → SG 违反。这是 ASIL D 比 ASIL B 多出来的强约束。公式:

AUX 链中 latent fault 主要来自三处 SM 自己挂且未被检出:FS6500 WDG 逻辑 ~1.5 + TC377 Lockstep 比较器 ~1.5 + ECC 校验逻辑 ~1.0 → λ_MPF,latent ≈ 4 FIT:

关键观察:LFM 由 LFDT(Latent Fault Detection Time) 决定 — 详见 LFDT 深度;SBC Watchdog 一般用 power-on BIST(每次 key-on 跑一遍),LFDT ≈ 一个驾驶周期(小时量级)。注意 24 h 不是 ISO 阈值 — 它只是"车长期不熄火"的最坏连续运行假设,latent 论证要写的是"检测间隔 ≪ 该假设",别把 24 h 写成标准条款。

PMHF 是安全目标级的小时概率指标(ISO 26262-5 §9.4.2 Table 6:ASIL D $<10^{-8}$/h,即 10 FIT)。先立一条纪律:latent 不能当精确值线性加进 PMHF — 按 ISO 26262-10 §8.4 的口径,latent SM 故障要再等第二个故障才违反 SG,精确贡献是 $\lambda \cdot \lambda \cdot T$ 量级的双点乘积项;但工程上常用保守 screening(假设第二故障寿命内必到,latent 全额计入)先粗算,过了就不必细算。AUX 链三项:

• 一阶残余 0.9 FIT — §4.2 的 SPF+RF,精确项,任何口径都全额计入
• latent 上界 4 FIT — screening 全额计入;精确口径下 SBC 每 trip 跑 power-on BIST,双点乘积项 $120\times 10^{-9}\cdot 4\times 10^{-9}\cdot 8000/2\approx 0.002$ FIT — 比 screening 小三个数量级
• CCF 项 1.2 FIT — DFA 耦合把 claimed DC 打穿:$\beta =2\%$(IEC 61508-6 Annex D 中档评分)× 被 SM 盖住的危险 λ(≈ 59 FIT)。β·λ 是一阶线性项,精确口径也必须保留(与 CCF 深度 §10 口径一致)
• 上报取整 7 FIT(计算 6.1 + ~15% EOL/老化 margin)= $7\times 10^{-9}$/h ≤ $10^{-8}$ 过(余量 30%)

精确口径(乘积项替换 latent 全额)≈ $0.9+1.2+0.002\approx 2.1$ FIT。两个口径都过阈时报保守值最省审计成本,卡阈值才值得上 26262-10 的精确式。反向错误更常见也更危险:latent 和 CCF 全不算、只报 0.9 FIT — 虚低 7×,I3 一问 DFA 就穿。

PMHF 余量 30% 对 ASIL D 算"刚好够用,不富余" — 任何 SM 退化(典型场景:Flash CRC 因为 EOL ECC 错误率上升)都会蹭掉 5–10% 余量,所以 PMHF 报告必须附老化曲线 + EOL 估算。还要记住 10 FIT 是 item 级预算(Part 5 Annex G 给了 item 由两个 system 组成时的预算切分示例):AUX 报 7,留给主功率链只剩 3,而 driver 链自己就要 8.4(Driver IC worked §4)— 这正是 EV ECU 总集成 合并后须 B(D)+B(D) 收口的根源。

把 SPFM 99.25 / LFM 96.6 / PMHF 7e-9(保守口径)三组数字串在一起读:

• SPFM 决定 SM 在线诊断设计 — 每级复合 DC 必须高到把 SPF+RF 压到 ≤ 1.2 FIT(99% 阈对应值);这是 SBC 内置 BIST / OTP / WDG Q&A 的存在理由
• LFM 决定 SM-on-SM 设计 — 每个 SM 自己也要被另一个 SM 监测,这是双 watchdog / Lockstep 比较器自检 / ECC 自检的存在理由
• PMHF 决定老化裕度 + 链间预算分配 — EOL 曲线 + thermal cycle 失效率 + workmanship aging 必须留 ≥ 20% 余量;同时 AUX 报多少直接决定主功率链还剩多少预算(Annex G 切分)

矩阵里 ★ 标记的格子展开 — 每个都对应 I3 评审上一个 DFA work product:

• ① Shared Resource · 整链共 Vin — 12V 短路 / 反接 → 6 级同时挂(单点共因)。缓解:独立电池备份 + 反接 MOSFET 真断开 + Vin OV/UV 监测;参考 Reverse Polarity 深度 §4
• ② SBC 物理集中 — VPRE / V3.3 / V1.2 / WDG 同一 die,die 失效 = 4 个 rail + 看门同时挂;缓解:双 watchdog(SBC Q&A + MCU SMU/内部 WDT 互查)+ 双 reset 信号;参考 SBC Watchdog 深度 + CCF §8
• ③ Shared Resource · 共 reset 线 — SBC reset_n 拉低 → MCU + 外设(CAN 收发器 / 驱动 IC)同时复位 → 信号瞬间不一致;缓解:reset 分两路(MCU 单独 + 外设链单独)+ SMU/内部 WDT 看门
• ④ Communication 共 SPI — SBC ↔ MCU 用一根 SPI,SPI 卡死 = 配置丢 + WDG Q&A 失效;缓解:E2E CRC + sequence counter + timeout 三件套(详见 CAN E2E + SecOC)
• ⑤ Systematic Coupling · 同 BSW — SBC driver + WDG manager 都来自一家 vendor(典型 Vector MICROSAR),编译 bug 同时影响 SBC 配置 + WDG 心跳;缓解:tool qualification(详见 Tool Qualification 深度)+ diverse compile 或独立 review

按一家 Tier-1 对 30 份 ASIL D AUX FMEDA 评审复盘的内部统计(经验口径,非公开数据),DFA 找到的真实 CCF 80% 集中在 Shared Resource(电源 / 时钟 / reset)与 Communication 两类。Environmental Immunity 因为 PCB 散热设计已经把热区分得清,Systematic Coupling 因为 toolchain 越来越成熟,风险已退到 20%;Identical Type(同 vendor / 同 die)与 Unintended Interface(寄生耦合 / 反灌)出现频次低但漏了就是硬伤 — 前者正是 §6 双 WDG 独立性论证的核心耦合类。新项目 DFA 优先扫前两类,但 checklist 必须 7 类走全。