Diagnostic Coverage(DC)类别 — None / Low / Medium / High

功能安全L3别名 DC · Diagnostic Coverage · DC None Low Medium High · DC 类别 · ISO 26262 Annex D · SPFM LFM · 更新 2026-07-07

本质与导读

本质:DC 是"诊断机制能检出多大比例危险失效"的百分比量化。ISO 26262 Part 5 Annex D 把它切 4 档(None < 60 % / Low 60–89 % / Medium 90–98 % / High ≥ 99 %),边界对应机制难度跳跃。DC 是 SPFM / LFM 公式的核心因子——DC 配错 SPFM 必卡线;而第三方评估 90 % 的返工都集中在"DC 证据不够强"(套 Annex D 表格而无 Fault Injection 实测)和"DC_SPF / DC_LFM 混用"两个问题上。

DC 是 ISO 26262 硬件度量的基石:它把"诊断机制能检出多大比例危险失效"从定性描述变成一个可以进 FMEDA workbook 的数字。ISO 26262 Part 5 Annex D 把 DC 切成 4 档(None / Low / Medium / High),每升一档都有对应的机制难度跳跃。DC 不是孤立指标——它直接进入 SPFM / LFM 公式:DC 配错,SPFM 必卡线;DC 证据不够强,第三方评估员直接砍值 20-30 %,整个 FMEDA workbook 需要返工。第三方评估 90 % 的返工都集中在"DC 证据不够强"和"DC_SPF / DC_LFM 混用"两个问题上。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. 定义与公式

DC 的定义出自 ISO 26262:2018 Part 5 §8.4.3:在元件所有"危险硬件失效"中,被诊断机制成功检出的比例:

D C = \frac{λ _{D D}}{λ _{D}} = \frac{λ _{D D}}{λ _{D D} + λ _{D U}}

其中 $λ_{D}$ 是危险失效率(违反 Safety Goal 的失效),拆成被检出( $λ_{D D}$ )和未检出( $λ_{D U}$ )两块。这个数字逐元件 × 逐失效模式在 FMEDA workbook 中赋值,通常出现在每行的一列里。

两个 DC,不要混淆:ISO 26262 Part 5 §8.4.4 区分两个 DC 概念:

$D C_{S P F}$ — 诊断机制对单点故障(SPF)的检出概率;时间窗 = FTTI(几 ms 到几百 ms);影响 SPFM
$D C_{L F M}$ — 诊断机制对潜伏故障(Latent)在第二个故障到来前检出的概率;时间窗 = 测试间隔(几 ms 到几小时);影响 LFM

同一个诊断机制对两者的覆盖率可以截然不同。外部 watchdog 对 CPU 死锁有高 $D C_{S P F}$ (立刻 reset),但对 RAM 单 bit 翻转的 $D C_{L F M}$ 几乎为 0(WD 根本不检查 RAM 内容)。

2. 4 类 DC 阈值与典型机制

ISO 26262 Part 5 Annex D 把 DC 切 4 档,边界是 60 % / 90 % / 99 %。这些边界不是随意设定的——它们对应每升一档时诊断机制的"难度跳跃":Low → Medium 需要从单变量诊断升到跨变量 plausibility 或 ECC;Medium → High 需要硬件级冗余比对。

DC 4 类阈值与典型机制

档位	范围	难度跳点	关键举例
None	0–59 %	没有诊断	仅 QM 接受
Low	60–89 %	单变量诊断	软件 Q&A WD、Parity、范围检查
Medium	90–98 %	跨变量 / 编码诊断	SECDED ECC、CRC-32、Plausibility 比对
High	≥ 99 %	硬件级冗余比对	Lockstep、1oo2D、双路采样

工程组的口诀:"≥ 99 % = 必须有第二个独立观察源"。任何单一通路的诊断,无论多精巧,都很难真的检出 99 % 的危险失效——总有"诊断电路自身失效"的死角。唯一可信的 High 机制是让两个独立物理观察源实时比对。

3. DC 如何影响 SPFM / LFM

SPFM(Single-Point Fault Metric)和 LFM(Latent Fault Metric)是 ISO 26262 Part 5 §8.4.5 对硬件子系统的两个硬性门槛。两者的公式结构对称,区别在于 DC 类型不同:

S P F M = 1 - \frac{\sum _{i} λ _{D, i} \cdot ( 1 - D C _{S P F, i} )}{\sum _{i} λ _{D, i}}

L F M = 1 - \frac{\sum _{i} λ _{D, i} \cdot ( 1 - D C _{L F M, i} )}{\sum _{i} λ _{D, i}}

ASIL 硬性目标(ISO 26262-5:2018 表 4 SPFM / 表 5 LFM):

ASIL	SPFM ≥	LFM ≥
B	90 %	60 %
C	97 %	80 %
D	99 %	90 %

SPFM / LFM 是系统级累加结果:单元件 DC 决定它对总和的贡献,真正算 SPFM 要把所有元件的 $λ_{D, i} \cdot (1 - D C_{S P F, i})$ 累加。这意味着占 $λ_{D}$ 比例高的元件对 SPFM 影响最大——把这个元件从 Low 升 Medium 比把别的元件从 Medium 升 High 更划算。

DC 如何影响 SPFM / LFM 数字示例

4. 元件域 × DC 类别速查

实战中工程师不是先选 ASIL 再选机制,而是看"这块元件能上的机制"。同一档 DC 在不同元件域有不同的"明星机制",下表是 5 个常见域 × 3 档 DC 的速查:

机制 → DC 类别速查

元件域	Low	Medium	High
CPU / Core	软件 Q&A WD	CPU STL(周期自检)	Dual-Core Lockstep
RAM / Flash	Parity	SECDED ECC	SECDED ECC + Scrubber
通信	CRC-8	CRC-32 + E2E	E2E + 双路冗余
Sensor 链	范围检查	Plausibility 比对	双路采样硬件比对
电源 / SBC	UV/OV 单门限	双门限 + ABIST	SBC + LBIST + MBIST

速查使用方式:先看 SPFM 目标(D 99 / C 97 / B 90),再看每个元件的 $λ_{D}$ 占比,从占比高的元件开始挑机制——把它从 Low 升 Medium 比把其它元件从 Medium 升 High 更划算。

5. DC 在 FMEDA 中如何赋值

FMEDA workbook 每行都有一格 DC %——这个数字怎么来?分 4 步且每步要有证据,这是过第三方评估的关键。

DC 在 FMEDA 中如何被赋值

证据强度分两档:

弱证据:直接引用 ISO 26262 Annex D 表格里的"典型 DC %"(如"ECC = 99 %"),没做硅前 / 硅后验证。第三方评估通常砍 20–30 %(把 99 % 改成 80 %),SPFM 立刻不达标。
强证据:硅前给 Coverage Report / Formal Proof,硅后做 Fault Injection campaign(SEU / SET / stuck-at 至少几千次注入),检测率 ≥ 声明 DC 的 95 % CI。这种数据进 Safety Manual,客户照搬。

Tier-1 选 SEooC 芯片(MCU / SBC)的第一件事就是看 Safety Manual 的 DC 是不是强证据。Infineon AURIX、NXP MPC57xx、ST SPC58 都给完整 Fault Injection 报告;非 SEooC 的通用芯片基本只能套 Annex D,集成商要自己补证据。

6. SPFM 卡线时怎么办 — 3 种返工方案

ASIL C 项目最常见的卡线点:SPFM = 92 %,差 5 个百分点到 97 %。这里有 3 种返工方向:

方案	思路	典型动作	成本
A 升 DC	找占比最高的元件升机制	sensor 链 Medium → High:加双路采样	硬件成本 +20 %
B 降 $λ_{D}$	换更可靠元件 / 降 stress	把工业级 sensor 换车规;降 VDS stress	BOM 成本 +10–30 %
C 改 Safe Fault 归类	重新论证某些模式为 Safe	证明更多 mode 不违反 SG	工程时间 + 风险

工程组多用 A,但 A 的代价是 PCB / BOM 双涨;评估员严格的项目走 B(可靠性证据更硬);C 是双刃剑——若 rationale 站不住反而砍 SPFM。最有效的策略是 SoP 前 6 个月就跑 FMEDA,卡线点提前暴露,有时间用 A+B 组合而不是 SoP 前两个月慌忙补救。

7. DC_SPF vs DC_LFM 的实战要点

很多工程组只列一个 DC % 给评估员,这是 FMEDA 的大忌。这两个数字背后机制不同:

DC_SPF = 在 SPF 发生时及时检出的概率;时间窗是 FTTI(几 ms 到几百 ms)
DC_LFM = 在 latent 故障累积成第二点之前检出它的概率;时间窗是测试间隔(几 ms 到几 hour)

RAM 单 bit 翻转(SBE)的典型对比:SECDED ECC 的 $D C_{S P F}$ 几乎 100 %(单 bit 直接纠错);但若没有定期 scrubbing,SBE 会累积——下一次 SEU 再来一发可能变成 DBE(不可恢复)。 $D C_{L F M}$ 取决于 scrubbing 间隔:scrubber 每 1 ms 跑一次 → $D C_{L F M} \approx 99%$ ;每 1 s 跑一次 → $D C_{L F M}$ 可能只有 80 %。

FMEDA 必须分别填 $D C_{S P F}$ / $D C_{L F M}$ 两列;评估员看到只有一列的 FMEDA 第一反应就是要返工。

8. 常见误区

DC 的误区集中在"数字哪里来 / 是否真实"——工程组用得不当,常把"理论 DC"当"实测 DC"提交:

直接套 Annex D = 弱证据。表格只是参考,必须 Fault Injection 验证。
DC 不是越高越好。提高 DC 的代价是硬件 / 软件 overhead;ASIL B 项目把所有元件做到 High 是浪费。先算 SPFM/LFM 目标 → 反推每个元件需要的 DC 档位 → 只升关键路径。
DC ≠ 测试覆盖率。DC 是"危险失效的检出率",MC/DC / Statement Coverage 是"代码被执行的比例",两件事;DC 来自 fault injection,代码覆盖率来自单元测试。
DC 不是常数。运行温度、电压裕度变化会改 DC(尤其 ECC + DRAM);Safety Manual 要给"在规定 stress 下"的 DC,客户必须维持这些 stress 才能引用。
诊断机制可以 fail。诊断电路自己也有失效率;过高声明 DC 会触发"latent 在诊断"——评估员会要求二级诊断。

9. Worked Design — ASIL D EV 逆变器 MCU 子系统 FMEDA 片段

一个真实 ASIL D 项目的 FMEDA 卡线通常长这样:集成商把 MCU + SBC + Gate Driver 的 Safety Manual 数字直接填表,算出 SPFM = 98.5 %,距 ASIL D 目标 99 % 差 0.5 个百分点;LFM = 87.2 %,距目标 90 % 差 2.8 个百分点——两项都 FAIL。本节展示如何逐步定位和修复这两个卡线点。

系统边界:400 V / 100 kW EV 主驱逆变器控制单元,目标 ASIL D;3 个核心元件(TC397 Lockstep MCU / TLF35584 SBC / RAM 子系统)。本节所有 FIT / $λ_{D}$ 为教学示意值(量级参考真实器件,精确值须取各器件 Safety Manual),目的在演示卡线定位与修复方法,而非引用具体厂商数据。

9.1 初始 FMEDA 片段(含卡线)

下表展示 3 个元件的 DC 赋值及其对 SPFM / LFM 的贡献。为突出方法,Safe Fault 已归零(全部记为危险失效):

元件	$λ_{D}$ (FIT)	诊断机制	$D C_{S P F}$	$D C_{L F M}$	SPF 贡献 (FIT)	Latent 贡献 (FIT)
TC397 Lockstep CPU	3.0	Dual-Core Lockstep	99 %	85 %	0.030	0.450
TC397 RAM ECC+Scrubber	1.5	SECDED ECC + Scrubber 10 ms	99 %	90 %	0.015	0.150
TLF35584 SBC	0.8	ABIST + 双门限 UV/OV	96 %	90 %	0.032	0.080
合计	5.3	—	—	—	0.077	0.680

初始 SPFM 计算:

S P F M_{ini t ia l} = 1 - \frac{0.077}{5.3} = 1 - 0.0145 = 98.5%

结果 → FAIL(ASIL D 需 SPFM ≥ 99 %)。再看 LFM:

L F M_{ini t ia l} = 1 - \frac{0.680}{5.3} = 1 - 0.1283 = 87.2%

结果 → FAIL(需 LFM ≥ 90 %)。两项均 FAIL,需要独立修复。

9.2 SPFM 修复:SBC DC_SPF 从 96 % 升 99 %

SBC 的 SPF 贡献 0.032 FIT 是 3 个元件里占比最高的单一卡线点(MCU Lockstep 已 99 %,贡献仅 0.030 FIT)。修复方案:在 TLF35584 的 ABIST 基础上增加:①独立 OV/UV 比较器路径(二阶诊断);②启动阶段 LBIST 验证 SBC 内部逻辑健全。升级后 $D C_{S P F}$ 从 96 % → 99 %,SBC 的 SPF 贡献降到:

S P F_{S B C, n e w} = 0.8 \times (1 - 0.99) = 0.008 FIT

重算 SPFM:

S P F M_{f i x e d} = 1 - \frac{0.030 + 0.015 + 0.008}{5.3} = 1 - \frac{0.053}{5.3} = 99.0%

结果 → PASS。关键教训:SBC 是 SPFM 的真正瓶颈,不是 MCU。工程组常把优化精力放在已达 99 % 的 Lockstep 身上,效果为零;应从最大 SPF 贡献元件出发。

9.3 LFM 修复:CPU DC_LFM 从 85 % 升 95 %(加 MBIST)

CPU Lockstep 的 Latent 贡献 0.450 FIT 占总 0.680 FIT 的 66 %。根源:Lockstep 对 SPF 有 99 % 的高 $D C_{S P F}$ ,但对潜伏在 CPU 内部寄存器 / ROM 的 latent 故障,Lockstep 本身无法检出(两个 core 同时翻转是 common-cause)。修复方案:增加周期性 CPU MBIST,每 100 ms 执行一次(MPFT 约 500 ms → 在 MPFT/5 内执行,满足 ISO Part 5 §8.4.4 要求),把 $D C_{L F M}$ 提到 95 %:

D C_{L F M, C P U, n e w} = 95%

L a t e n t_{C P U, n e w} = 3.0 \times (1 - 0.95) = 0.150 FIT

重算 LFM:

L F M_{f i x e d} = 1 - \frac{0.150 + 0.150 + 0.080}{5.3} = 1 - \frac{0.380}{5.3} = 92.8%

结果 → PASS。两项修复汇总:SPFM 98.5 % → 99.0 %(SBC 二阶诊断);LFM 87.2 % → 92.8 %(CPU MBIST)。两项修复是独立的——解决 SPFM 卡线不会自动解决 LFM 卡线,必须分开分析。

9.4 FMEDA 行结构(每行必填字段)

一行标准 FMEDA 工作表包含以下字段,缺一不可,否则第三方评估员要求补全:

字段	说明	示例(TC397 Lockstep)
Component / Function	元件名 + 功能	TC397 CPU Core Pair — 运算控制
Failure Mode	失效模式(FMEA 粒度)	Core A 永久卡死
Failure Effect	系统级危险影响	扭矩命令丢失 → SG-01 违反
$λ_{t o t a l}$ (FIT)	元件总失效率	8.5(示意)
Safe Fault %	无危险影响的比例	65 %
$λ_{D}$ (FIT)	危险失效率	3.0
Diagnostic Mechanism	诊断机制名称	Dual-Core Lockstep
$D C_{S P F}$ (%)	SPF 诊断覆盖	99 %
$D C_{L F M}$ (%)	Latent 诊断覆盖	85 % → 95 %(加 MBIST 后)
Evidence	DC 证据类型	SM §X.X + FI campaign report
SPF contribution (FIT)	$λ_{D} \times (1 - D C_{S P F})$	0.030
Latent contribution (FIT)	$λ_{D} \times (1 - D C_{L F M})$	0.150(加 MBIST 后)

10. 7 条 Gotcha 链

以下每条 Gotcha 在真实项目评审中反复出现,理解它们是 FMEDA 不返工的关键。

Gotcha 1 — DC_SPF ≠ DC_LFM(同机制,两个数): WD 对 CPU 死锁有高 $D C_{S P F}$ (FTTI 内复位),但对 RAM SBE 的 $D C_{L F M}$ 几乎为 0——WD 看不到 RAM 内容。FMEDA 若只填一格 DC(把 $D C_{L F M}$ 误写成与 $D C_{S P F}$ 相同),LFM 计算全错。典型后果:LFM 虚报 95 %,实际 78 %——评估员要求整个 workbook 重做。

Gotcha 2 — Annex D 套表 = 弱证据,评估员砍 20–30 %: "SECDED ECC = 99 %"是 Annex D 的参考范围,不是合格证书。TÜV SÜD 等评估机构惯例:无 FI 报告则砍至 80 %。99 % → 80 % 之后,RAM 的 SPF 贡献从 0.015 FIT → 0.30 FIT,残余和 0.053 → 0.338,SPFM 从 99.0 % → 约 93.6 %(1−0.338/5.3,已低于 ASIL D 门槛)。应对:提前要求芯片供应商提供 Safety Manual 里的 FI campaign 覆盖率数字,作为强证据直接引用。

Gotcha 3 — 诊断电路自身失效("诊断的诊断"): DESAT 声称 $D C_{S P F}$ = 99 %,但 DESAT 感应路径自身也有失效率(感应电阻漂移 / CBLK 泄漏 / 比较器阈值漂移)。若不对 DESAT 本身做二阶诊断,评估员记为"latent in diagnostic"——要求加启动 ABIST 验证 DESAT 功能,并把 DESAT 诊断的 $λ$ 列入 FMEDA 单独一行。通常工程组漏掉这一行,导致 FMEDA 总 $λ_{D}$ 低估。

Gotcha 4 — ASIL 分解后 DC 需重新论证: ASIL D(D)拆成 B(D)+B(D)后,每通道 SPFM 目标降至 90 %;若两通道共享同一个 WD IC(相同 Vcc 域、相同 IC 封装),FFI 分析判定 WD 对两通道存在共因 → 共因失效时两通道同时无 WD 保护 → DC_SPF 降为 0 % → 单通道 SPFM 计算 FAIL。规则:DC 在 ASIL 分解后必须逐通道重新论证 FFI 独立性,不能直接继承分解前的 DC 值。

Gotcha 5 — DC 在极端温度下不是常数: 模拟比较器在 150 °C 时阈值漂移 20–50 mV,UV/OV 保护覆盖窗口收窄, $D C_{S P F}$ 从 92 % → 75 %(失效模式从"电压超阈"变成"比较器读不到")。FMEDA 声明"在 -40 ~ 150 °C 下 DC = 92 %"需要给出温度角测量数据;通常只给 25 °C 数据,评估员要求补 worst-case 温度角报告。设计对策:比较器留 ≥ 2× 温度裕量,或给 ABIST 覆盖比较器路径。

Gotcha 6 — MPF 路径的 DC 不是 DC_SPF: SPFM 管 SPF(单点故障),但多点故障(MPF)有独立的诊断覆盖率。若 FMEDA 只算 $D C_{S P F}$ 而忽略 MPF 路径的覆盖,PMHF 计算中 Residual MPF 部分会漏算——ISO 26262 Part 5 §9 的 Residual MPF 由 $D C_{M P F}$ 决定,工程组常把它和 SPF diagnostic 混用。结果:PMHF 算出来达标,但评估员指出 Residual MPF 漏算后,PMHF 实际超限。

Gotcha 7 — STL 执行间隔 vs MPFT 窗口的隐患: CPU STL 每 200 ms 执行一次,MPFT = 3 个月 → $D C_{L F M}$ 理论接近 100 %。但 STL 在 CPU 满载时可能被调度延迟到 1 s 以上。ISO 26262 Part 5 要求 STL 在 MPFT 内完成不少于一次完整覆盖;若 worst-case scheduling analysis 证明不能保证 → $D C_{L F M}$ 声明失效,评估员要求降低 STL 间隔或给 scheduling guarantee 证明。对策:STL 放在最高优先级中断上下文,deadline 分析中给出最坏延迟 ≤ MPFT/10 的数学证明。

11. 3 条 Corner 分析

三个 corner 都指向同一根本:DC 不是标称条件下的一个常数,而是随温度、老化、供应链漂移的函数,FMEDA 必须覆盖最坏工况。

Corner 1 — -40 °C 冷启动角: 比较器延迟增加 20–40 %,DESAT 充电电流 IDESAT 温度系数为负(电流降低)→ 消隐窗口 tBLKeff 被温度效应延展,有效 DESAT 响应时间变长。若 tBLKeff 超过 SCSOA 时间窗, $D C_{S P F}$ 从 99 % 降至 60 %。设计对策:在 -40 °C 下实测 IDESAT + CBLK 的 RC 时间,留足裕量;或在冷角时用更小的 CBLK 来补偿延迟增加(具体降幅须取器件 -40 °C 特性曲线)。

Corner 2 — EOL 老化 15 年: 栅氧老化(SiC n-MOSFET 以 PBTI 为主;NBTI 为 p-channel 机制,两者常并称)导致 Vth 漂移 +0.3–0.5 V;若同时高温工作, $D C_{S P F}$ 时序裕量逐渐丢失(DESAT 裕量从 +1.5 V → +0.8 V)。FMEDA 若只给 t = 0 的 DC 值,评估员要求给出寿命终了(EOL)条件下的 DC 复核报告;漂移超出 DESAT 裕量时, $D C_{S P F}$ 需要重新赋值。对策:设计时 DESAT 裕量留 ≥ 2 V,并在 FMEDA 的 "Operating Life" 字段注明。

Corner 3 — 供应链替换导致 DC 归零: TC397 因缺货被替换为无 Lockstep 的通用 MCU(DC_SPF = 60 %,仅 Medium)→ CPU SPF 贡献从 0.030 FIT → $3.0 \times 0.40 = 1.20$ FIT;含 RAM 0.015 FIT + SBC 0.008 FIT 合计 1.223 FIT → SPFM 从 99.0 % → $1 - 1.223/5.3 =$ 76.9 %(直接失效)。关键:变更管理必须把" $D C_{S P F} \geq 99%$ "作为 MCU BOM 变更的硬性进入准则,任何替代品必须触发完整 FMEDA 重算,不能靠"型号相近"的主观判断。

核心要点

DC = λ_DD / λ_D — 检出的危险失效占比,逐元件、逐失效模式在 FMEDA 中赋值。
4 档阈值:None < 60 / Low 60–89 / Medium 90–98 / High ≥ 99,边界对应机制难度跳跃。
DC_SPF + DC_LFM 是两个独立数字,分别影响 SPFM 和 LFM,不能合并。
达 High(≥ 99 %) 必须有第二个独立物理观察源(Lockstep / 双路冗余 / 1oo2D)。
DC 证据分强弱:弱(套 Annex D)→ 评估员砍 20–30 %;强(FI campaign)→ 直接引用。
SPFM 卡线定位:找 $λ_{D}$ 最大 × DC_SPF 最低的元件,升它最有效。
LFM 卡线定位:Lockstep 对 latent 无效(common-cause 死角),需加 MBIST。
变更管理:MCU 替代必须重算 FMEDA;DC_SPF ≥ 99 % 是硬性进入准则。
SoP 前 6 个月跑 FMEDA:卡线点提前暴露,有时间 A+B 组合修复。

Engineering Objects

引用此页的结构化 Engineeri…

引用此页的结构化 Engineering Object(v2.0 Copilot 自动生成,不要手动编辑此段)。

metric · metric_dc — DC — Diagnostic Coverage

Cross-references

← 索引
topic-functional-safety — 功能安全 hub
topic-iso26262-part5-hardware — SPFM / LFM / PMHF 母页
topic-fit-fmeda-calculation — FMEDA 完整计算流程
topic-safety-mechanism-catalog — 机制大全
topic-fault-injection-testing — DC 强证据来源
topic-iso26262-part11-semiconductors — 半导体 SEooC + Safety Manual
topic-voting-redundancy — High DC 的硬件依据
topic-obd-deep — 排放法规侧诊断(OBD monitor)与 26262 安全机制的异同