两类失效 — 随机 vs 系统性

功能安全L1别名随机失效 · 系统性失效 · random hardware failure · systematic failure · 可靠性 vs 安全性 · reliability vs safety · Coffin-Manson · LESIT · CIPS2008 · Arrhenius 加速模型 · 浴盆曲线 · bathtub curve · FIT MTBF · 键合线疲劳 · 焊点热机械疲劳 · physics of failure · 更新 2026-07-09相关functional-safety hara safety-mechanism-catalog thermal-management

本质与导读

本质功能安全 + 可靠性工程把电力电子里所有失效切成两类,管理路径完全不能互换。随机硬件失效由物理退化机制产生(过应力 EOS + 磨损 wear-out),可概率化(失效率 $λ$ ,单位 FIT)、可靠冗余 + 诊断消除;它的核心是"物理失效机制 → 加速模型 → 定量寿命/FIT"这条链——每种主导机制(键合线/焊点热疲劳、电迁移、TDDB、腐蚀、单粒子)都有自己的物理根因和一条把加速试验外推到现场的加速模型(Coffin-Manson/LESIT、Arrhenius、Black、Norris-Landzberg、Peck)。系统性失效是人为留下的逻辑错误(需求/设计/代码),不能概率化、冗余无效、只能靠 V 模型 + 评审 + 形式化预防;HSE 数据显示 44 % 的危险失效源自需求阶段,所以系统性失效在工程上远比随机失效致命。可靠 ≠ 安全:MTBF 极高的件若失效后伤人仍是"危险件"。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. 核心矛盾：可靠 ≠ 安全

工程师常把"可靠"和"安全"当同义词，但功能安全标准里两者解决不同问题——可靠性问"多久会失效"、用 MTBF 衡量；安全性问"失效会不会伤人"、用 ASIL/SIL 衡量。一个 MTBF 极高的零件如果失效后导致人员伤亡，在功能安全语境下仍属"危险件"；一个 MTBF 一般的零件如果失效后能进 safe state，在功能安全语境下可以接受。下图把这两条独立维度并排画出来。

可靠性 vs 功能安全两条独立维度

功能安全最容易被工程师误解的一点是：它不是可靠性的升级版。两者回答的是完全不同的问题。

一个反直觉的例子：

系统 A：MTBF = 100 万小时（极其可靠），但某种失效模式下会输出错误的刹车指令（制动失效变成制动反向）
系统 B：MTBF = 1 万小时（100× 更差），但任何失效都会让输出安全停止（失效 → 断电 → 机械制动接管）

从可靠性看，A 完胜。从功能安全看，B 完胜——因为 A 的失效会造成事故，B 的失效不会。

这个区别决定了功能安全的所有工程实践：不能只看 MTBF 而要分析失效模式和失效后果；要主动证明系统对每种危险失效都有缓解手段（诊断 + 安全反应）；冗余是为了检测失效，不是"反正另一个还能工作"；软件的系统性 bug 比硬件的随机失效更难管理（冗余对软件 bug 无效）。

三个关键问题贯穿整个安全生命周期：

有哪些危险？（HARA）
硬件失效时如何检测和反应？（诊断覆盖率 + 安全反应时间）
系统性失效如何避免？（V 模型开发流程 + 评审 + 形式化方法）

2. 随机硬件失效：物理本质与两条时间轴

随机硬件失效由物理退化机制产生，工程上可概率化、可冗余消除。要把它管到 ASIL 目标，先得看清它其实沿两条完全不同的时间轴发生——这决定了用哪套物理和哪套模型:

单次过应力(Electrical/Thermal Overstress, EOS/EOS):一次超出安全工作区(SOA)的事件瞬间杀死器件(过压击穿、过流二次击穿、过温超 Tjmax)。它没有"寿命累积",是硬边界被跨越;物理是雪崩/热失控/闩锁,时间尺度纳秒到毫秒。
磨损(wear-out):反复的热机械/电化学循环让互连缓慢累积损伤(键合线脱落、焊层分层、氧化层缺陷),经过 $1 0^{4}$ – $1 0^{9}$ 次循环才失效。它是可概率化、可加速试验、可外推的那一类——车规 FIT 主要谈它。

抓住这条硬约束:过应力靠"留裕度 + 钳位保护"防,磨损靠"降 $Δ T j$ / 降电流密度 / 留栅压裕度"防,两套物理不能用一套模型覆盖。下面先讲过应力的三条边界,再讲磨损机制的物理与加速模型。

2.1 单次过应力(EOS):过压 / 过流 / 过温的物理边界

过应力是"跨过一条硬线就瞬间死"的失效,和寿命无关——它由器件的安全工作区(SOA)三条边界围成,任何一条被单次事件突破都不可逆。理解这三条边界就是理解为什么保护电路(钳位、限流、热关断)是"必须",而不是"可选":

过压 → 雪崩击穿:漏源/集电极电压超过额定 $B V d ss$ 时器件进入雪崩,雪崩能量 $E a v$ 超过额定即热点烧毁。车用尤其致命的是 load dump(甩负载,42 V/几百 ms)和开关关断时 $L d i / d t$ 尖峰。对策:选足够 $B V d ss$ 裕度(经验 ≥ 1.2× 最恶劣 Vinmax)、RC/有源钳位、TVS。
过流 → 退饱和 / 二次击穿:短路时电流冲到饱和值,IGBT/MOSFET 进入高 V 高 I 同时存在的区域(短路安全工作区 SCSOA),局部电流集中触发二次击穿。硅器件典型只有几 μs 的短路耐受(SiC 更短,约 2–4 μs),所以短路检测 + 关断必须在这个预算内。对策:退饱和(DESAT)检测、软关断、电流镜。
过温 → 结温超限 / 热失控:结温一旦超 $T j ma x$ (硅 ~150–175 °C、SiC 更高),漏电正反馈可致热失控。这是磨损与过应力的交叉点:高结温既加速磨损(见 §2.3 Arrhenius),又逼近瞬时热失控边界。对策:实时结温估计、过温关断(OTP)、热设计留裕度(热管理)。

为什么这三条要单独立规则:过应力是"or"逻辑(任一边界突破即死),不是概率累积;因此它进的是设计裕度 + 钳位/检测,不进 FIT 的 $λ$ 累加。把过应力当成"低概率随机失效"去算 FIT 是经典错误——它要么被保护电路挡住(概率≈0),要么在特定工况必然发生(概率≈1)。

2.2 磨损机制的物理与加速模型

磨损是车规 FIT 的主战场:每种机制有独立的物理根因、专门的加速试验和一条把试验条件外推到现场的加速模型。下表把五条主线收齐,每条都标出它的加速模型(公式在表下逐一展开):

机制	物理根因	典型症状	加速试验	加速模型
键合线 / 金属化热疲劳	开关循环 ΔTj × Al 键合线与 Si 的 CTE 失配,根部裂纹累积	键合线脱落 / 跟裂;Vf/Vce 上升	功率循环 PCsec/PCmin;ΔVce/Rth 监测	Coffin-Manson → LESIT / CIPS2008(n≈5)
芯片焊层 / 基板焊层疲劳	大面积焊层 CTE 失配,分层扩展,Rth 上升	RthJC 上升 → Tj 再升 → 正反馈	功率循环 + 温度循环 TC	Coffin-Manson → Norris-Landzberg(n≈1.9)
电迁移 EM	大电流密度使金属原子沿电子风迁移;空洞/短桥	互连开路、阻值漂移	高 J + 高 T 加速;在线阻值监测	Black 方程(J^−n·Arrhenius)
栅氧介电击穿 TDDB	栅氧在高电场 + 高温累积缺陷 → 漏电激增 → 穿孔	Vth 漂移;栅漏电突变;栅短	高栅压 + 高温(JESD92);Weibull 外推	E-model / 1-E model(场 + Arrhenius)
腐蚀 / 湿气	湿气 + 离子污染侵蚀键合/焊盘;阳极溶解	键合根部断裂;漏电;参数漂移	85/85 THB;HAST;pHAST	Peck 湿度模型(RH^−n·Arrhenius)

(a) 热疲劳(键合线) — Coffin-Manson → LESIT → CIPS2008。功率器件随开关循环反复热胀冷缩,互连塑性应变每周期累积,遵循低周疲劳的 Coffin-Manson 律——循环失效数 $N f$ 随温度摆幅 $Δ T j$ 幂律下降(ETH ch.5 eq.5.1):

N f = a \cdot (Δ T j)^{- n}

$a$ 、 $n$ 是随封装设计拟合的经验参数。1990 年代的 LESIT 项目对标准 Al2O3 基板 + Cu 底板模块补上了平均结温的影响,给 Coffin-Manson 叠一个 Arrhenius 因子(eq.5.2):

N f = A \cdot (Δ T j)^{- α} \cdot exp (\frac{E a}{k B \cdot T j m})

其中 $Δ T j = T j ma x - T j min$ 是结温峰峰摆幅、 $T j m = (T j ma x + T j min) /2$ 是平均结温(绝对温标 K)、 $k B$ 是玻尔兹曼常数。经典 LESIT 拟合参数: $A = 302500$ 、 $α = 5.039$ 、 $E a = 9.89 \times 1 0^{- 20}$ J( $k B = 1.38 \times 1 0^{- 23}$ J/K,故 $E a / k B \approx 7167$ K)。关键专家点:指数 $α \approx 5$ 反映的是 Al 键合线/金属化 疲劳(焊点的 Coffin-Manson 指数只有 ~1.9–2.5,见下),所以 $Δ T j$ 是全场最强的寿命杠杆—— $Δ T j$ 减半,寿命 $\times 2^{5.04} \approx 33$ 。别只盯平均结温,盯摆幅。

2008 年 Infineon 的 Bayerer 在 CIPS 会议上把模型进一步细化(CIPS2008,eq.5.3),补上加热时间 $t o n$ 、每根键合线电流 $I$ 、电压等级 $V$ (反映芯片厚度)、键合线直径 $D$ :

N f = K \cdot (Δ T j)^{β 1} \cdot exp (\frac{β 2}{T j min + 273}) \cdot t o n^{β 3} \cdot I^{β 4} \cdot V^{β 5} \cdot D^{β 6}

文献广泛引用的 Bayerer 拟合值: $K = 9.34 \times 1 0^{14}$ 、 $β 1 = - 4.416$ 、 $β 2 = 1285$ 、 $β 3 = - 0.463$ 、 $β 4 = - 0.716$ 、 $β 5 = - 0.761$ 、 $β 6 = - 0.5$ ( $I$ 单位 A/每键合脚、 $V$ 单位 100 V、 $D$ 单位 µm、 $t o n$ 单位 s)。CIPS2008 更准但外推受限:只在测试范围内(ΔTj 约 45–130 K)有效,且不覆盖基板-底板焊层失效,不适用于牵引模块的电压-厚度关系——报寿命下限用偏保守的 LESIT,详细优化用 CIPS2008(见 §7 corner)。

(b) 焊层疲劳 — Norris-Landzberg。焊点低周疲劳同样是 Coffin-Manson 型,但焊料对循环频率和最高温敏感,故 Norris-Landzberg 在 Coffin-Manson 上补两项,给出把实验室循环外推到现场的加速因子:

A F = (\frac{Δ T f i e l d}{Δ T l ab})^{- n} (\frac{f f i e l d}{f l ab})^{m} exp [\frac{E a}{k B} (\frac{1}{T ma x f i e l d} - \frac{1}{T ma x l ab})]

共晶 SnPb 焊料典型 $n \approx 1.9$ (Coffin-Manson 指数)、频率指数 $m \approx 1/3$ 、 $E a / k B \approx 1414$ K。注意焊点的 $n \approx 1.9$ 远小于键合线的 $α \approx 5$ ——用错失效模式的指数会造成数量级偏差,这是寿命估算最常见的错误之一。

(c) 电迁移 — Black 方程。金属互连里大电流密度 $J$ 使金属原子沿"电子风"迁移,累积空洞(开路)或小丘(短桥),平均失效时间遵循 Black 方程(Cadence system-analysis):

MTTF = A \cdot J^{- n} \cdot exp (\frac{E a}{k B \cdot T})

铝互连以晶界扩散为主, $n \approx 2$ 、 $E a \approx 0.4$ – $0.5$ eV;铜互连以表面扩散为主, $n \approx 1$ 、 $E a \approx 0.7$ – $0.9$ eV。对策:降电流密度(加粗/并联金属)、控温、Cu + 封顶工艺。

(d) 栅氧 TDDB — E-model。栅氧在高电场 + 高温下累积缺陷,缺陷连成导电通路即介电击穿(time-dependent dielectric breakdown)。热化学 E-model 给出击穿时间:

TTF = A \cdot exp (- γ \cdot E o x) \cdot exp (\frac{E a}{k B \cdot T})

$E o x$ 是氧化层电场、 $γ$ 是场加速因子(约 1–4 cm/MV)。对策:留栅压/温度裕度、避免栅极过冲尖峰、RC snubber。SiC MOSFET 尤其吃紧:栅氧更薄、场更高,TDDB 裕度比硅小,这是 SiC 栅驱设计的核心可靠性约束。

(e) 腐蚀 / 湿气 — Peck 湿度模型。湿气 + 离子污染 + 偏压驱动电化学腐蚀,失效时间随相对湿度 $R H$ 幂律 + 温度 Arrhenius:

TTF = A \cdot R H^{- n} \cdot exp (\frac{E a}{k B \cdot T})

典型 $n \approx 2.7$ – $3$ 、 $E a \approx 0.7$ – $0.9$ eV(0.9 eV 最常用)。这正是 85 °C/85 % RH(THB)与 HAST 这些湿热加速试验对应的模型。对策:气密/防潮封装(保形涂层/灌封)、金属化升级。

单粒子效应(SEE) 是唯一的例外——它不是磨损也不是过应力累积,而是宇宙射线/α 粒子的瞬时电荷脉冲(SEU 位翻转、SET 脉冲、SEL 闩锁烧毁),失效率由粒子通量与器件截面(cross-section)统计给出(JESD89 中子/α 加速),靠 ECC/TMR/EPI 衬底缓解。它进 FIT,但物理与前五条完全不同。

2.3 温度是总加速器:Arrhenius

回看 §2.2,除电迁移外几乎每条磨损模型都含同一个 Arrhenius 指数因子——温度是所有热激活失效的总加速器,这就是"降温 = 延寿"背后的定量根据。把加速试验(高温应力)外推到现场(工作温度)的加速因子:

A F = exp [\frac{E a}{k B} (\frac{1}{T u se} - \frac{1}{T s t r ess})]

$E a$ 是失效机制的激活能。指数敏感是双刃剑: $A F$ 对 $E a$ 极其敏感, $E a$ 猜错 0.2 eV 就能让外推寿命错一个数量级——所以必须用器件厂对该机制实测的 $E a$ ,别默认 0.7 eV。这条也解释了为什么 HTOL(高温工作寿命)试验能用几百小时代表现场几年:见 §3 第 4 步的算例。

2.4 浴盆曲线、FIT 与 MTBF

把大量器件的瞬时失效率 $λ (t)$ (危险率/hazard rate)对时间画出来,得到经典的浴盆曲线——它把"随机失效"进一步分成三个物理不同的阶段,每段对应不同的 Weibull 形状参数 $β$ 。理解它才能知道 FIT 这个常数近似在哪成立、在哪骗人:

浴盆曲线:早期失效(DFR,β<1,靠 burn-in 清除)→ 偶发失效期(CFR,β=1,恒定 λ,FIT 在此成立)→ 磨损期(IFR,β>1,寿命尾,焊点/键合失效)

早期失效(infant mortality,DFR):失效率递减( $β < 1$ ),来自制造缺陷(键合虚焊、氧化层弱点)。靠 burn-in + HTOL 筛选在出厂前清除,让进入现场的都过了这道坎。
偶发失效期(useful life,CFR):失效率近似恒定( $β = 1$ ,指数分布),这是 FIT 唯一严格成立的区域。FIT = 每 $1 0^{9}$ 器件小时一次失效( $1 0^{- 9}$ /h),系统失效率是各件之和 $λ_{sy s} = \sum_{i} λi$ ,而 MTBF $= 1/ λ$ 。
磨损期(wear-out,IFR):失效率上翘( $β > 1$ ),就是 §2.2 的焊点/键合寿命尾。这里 FIT 的常数假设失效——把磨损件当 constant-FIT 算会严重高估寿命尾(见 §6 陷阱)。

MTBF ≠ 寿命 是这里最坑人的一点: $MTBF = 1/ λ$ 是恒定失效率区的平均无故障间隔(针对可修系统),不是"用到这个时间就坏"。一个 MTBF $1 0^{6}$ h(114 年)的模块,其磨损寿命(浴盆右壁)可能只有 10–15 年——两者由曲线的不同段决定,绝不能混。

3. worked example — 车用牵引逆变器功率模块寿命估算

用一颗真器件级别的模块走一遍完整的"任务剖面 → 寿命 → FIT"链:一只 EV 牵引逆变器 IGBT 模块(标准 Al 键合线 + 芯片焊接,750 V 电压等级),整车寿命目标 15 年。目标:证明它的功率循环磨损寿命有裕度,并把随机失效折算成 FIT。方法是可靠性工程的标准四步——Rainflow 分箱、逐箱 $N f$ 、Miner 线性累积、再叠 Arrhenius/FIT。

第 1 步任务剖面 → Rainflow 分箱。实际驾驶循环产生复杂的结温 $T j (t)$ 波形,先用 Rainflow 计数把它分解成若干等幅循环箱(每箱一个 $Δ T j$ 、 $T j m$ 和整寿命出现次数 $ni$ )。取三个代表性箱(整寿命累计):

循环箱	来源	ΔTj	Tjm	整寿命次数 ni
A 大循环	上电/断电 + 急加速/回馈	80 K	90 °C	$1.5 \times 1 0^{4}$
B 中循环	城区走停	40 K	80 °C	$2.0 \times 1 0^{5}$
C 小纹波	巡航输出频率纹波	15 K	75 °C	$1.0 \times 1 0^{7}$

第 2 步逐箱算 $N f$ (LESIT)。用 §2.2 的 LESIT 式( $A = 302500$ 、 $α = 5.039$ 、 $E a / k B = 7167$ K),对每箱代入 $Δ T j$ 与 $T j m$ (转 K):

循环箱	$(Δ T j)^{- 5.039}$	$exp (7167/ T j m)$	$N f$ (循环数)
A(80 K, 363 K)	$2.58 \times 1 0^{- 10}$	$3.75 \times 1 0^{8}$	$2.9 \times 1 0^{4}$
B(40 K, 353 K)	$8.45 \times 1 0^{- 9}$	$6.57 \times 1 0^{8}$	$1.7 \times 1 0^{6}$
C(15 K, 348 K)	$1.18 \times 1 0^{- 6}$	$8.80 \times 1 0^{8}$	$3.1 \times 1 0^{8}$

注意 $N f$ 跨了四个数量级:大摆幅箱 A 只能扛 ~ $2.9 \times 1 0^{4}$ 次,小纹波箱 C 能扛 ~ $3 \times 1 0^{8}$ 次—— $α \approx 5$ 的幂律把差距放大到极致。(LESIT 已知对现代模块偏保守/悲观,这里当寿命下限用,安全侧。)

第 3 步 Miner 线性累积损伤。每箱消耗的寿命分数 = 实际次数 / 该箱的 $N f$ ,总损伤按 Miner(Palmgren-Miner)线性叠加, $D \geq 1$ 判为失效:

D = i \sum \frac{ni}{N f i} = A : 0.52 \frac{1.5 \times 1 0 ^{4}}{2.9 \times 1 0 ^{4}} + B : 0.12 \frac{2.0 \times 1 0 ^{5}}{1.7 \times 1 0 ^{6}} + C : 0.03 \frac{1.0 \times 1 0 ^{7}}{3.1 \times 1 0 ^{8}} = 0.67

结果:15 年任务剖面消耗 67 % 寿命,留 33 % 裕度 → 通过。关键洞察:箱 A(最大摆幅、最少次数)贡献了 78 % 的总损伤,而海量的小纹波箱 C 只贡献 3 %——这直接告诉设计者:要延寿就砍最大 $Δ T j$ (改热设计/限功率斜率),不是去管小纹波。若把 $Δ T j$ 从 80 K 降到 64 K(降 20 %),箱 A 的 $N f$ 涨 $(80/64)^{5.04} \approx 3 \times$ , $D$ 降到 ~0.3。

第 4 步随机失效折 FIT + Arrhenius + MTBF。上面是磨损(浴盆右壁);模块 + 驱动板在偶发期还有恒定率随机失效,进 FIT 加和。以一块隔离栅驱板为例(FIT 值取 SN 29500 量级,参考温度):

元件	数量	单件 FIT	小计
隔离栅驱 IC	1	30	30
隔离 DC/DC	1	25	25
电解 bulk 电容	1	40	40
TVS / 瞬态二极管	4	8	32
MLCC	25	0.3	7.5
电阻	30	0.15	4.5

板级 $λ_{sy s} = \sum λi \approx 139$ FIT → $MTBF = 1 0^{9} /139 \approx 7.2 \times 1 0^{6}$ h( $\approx$ 820 年/单板)。两个专家点:① 电解电容 + TVS 主导(72/139 ≈ 52 %),压 FIT 先从这两项下手;② 这些 FIT 常在某参考结温(如 40 °C)标定,现场 $T j$ 更高要乘 Arrhenius $A F$ 。举例——HTOL 加速外推:1000 h HTOL 在 $T j = 125$ °C、 $E a = 0.7$ eV,外推到现场 $T j = 55$ °C:

A F = exp [\frac{0.7}{8.617 \times 1 0 ^{- 5}} (\frac{1}{328} - \frac{1}{398})] \approx 78

即 1000 h 高温老化 $\approx 7.8 \times 1 0^{4}$ 现场小时( $\approx$ 8.9 年 @55 °C 连续)——这就是几百小时试验能代表现场数年的定量根据。最后接回功能安全:板级 139 FIT 是总失效率,ASIL D 要求安全功能 PMHF < 10 FIT,故必须先把 FIT 拆成安全/危险,再用诊断覆盖率(DC)把"危险-未探测"残余压到预算内——这是 FMEDA 的工作。

4. FMEA 式失效映射

把 §2 的物理机制接到整车后果和安全反应上,就是 FMEA 的核心动作——每个失效模式追一条"机制 → 局部效应 → 系统效应 → 探测 → 安全反应"的链。下表把主导机制映射成 FMEA 行,加速模型列指回 §2 的定量工具:

失效模式	机制/根因	局部效应	系统效应(整车)	探测手段	缓解 / 安全反应	加速模型
键合线脱落	热疲劳(ΔTj)	Vce 上升、通路开路	相电流缺失 → 转矩扰动	Vce/Rth 在线监测	主动放电 + safe torque off	LESIT/CIPS2008
芯片焊层分层	焊层热疲劳	RthJC 上升 → Tj 正反馈	过热降额/热失控	结温估计 + Rth 趋势	降额 → OTP 关断	Norris-Landzberg
栅氧短路(TDDB)	栅氧缺陷累积	栅漏/栅短 → 误导通	桥臂直通 → 短路	栅压监测 + DESAT	硬关断 + 熔断	E-model
过压雪崩	load dump / L·di/dt	瞬时击穿烧毁	逆变器失效	母线过压检测	有源钳位 + TVS	SOA(非寿命)
过流退饱和	短路/直通	二次击穿	桥臂炸裂	DESAT(< SCSOA 预算)	软关断	SCSOA(非寿命)
过温	冷却失效/过载	超 Tjmax	热失控	NTC + 结温模型	OTP + 降功率	Arrhenius(交叉)
电迁移开路	高电流密度	金属化空洞	缓慢参数漂移	阻值/参数监测	降流密度设计	Black 方程
SEU/闩锁	单粒子	位翻转/闩锁	控制逻辑错误	ECC 日志 + 看门狗	ECC/TMR + 复位	SEE 截面统计
腐蚀/漏电	湿气 + 离子	键合根部断/漏电	参数漂移/开路	绝缘/漏电监测	防潮封装	Peck 模型

为什么 FMEA 必须两栏并存(探测 + 安全反应):功能安全不接受"会失效"这个事实本身——它要求每个危险失效要么被诊断覆盖(探测)、要么被安全反应缓解。诊断覆盖不到的危险失效就是残余风险,直接进 PMHF 预算(§3 第 4 步)。这也是为什么右两栏比"加速模型"列更决定 ASIL 达成:模型告诉你多久坏,FMEA 的探测/反应告诉你坏了会不会伤人——回到 §1 的可靠 ≠ 安全。

5. 系统性失效(Systematic Failures)

系统性失效不是硬件抖动而是人为留下的逻辑错误——设计、需求、代码、调试中的错误，一旦写进就永远存在，不能用 MTBF 描述。统计上 44 % 的系统性失效根源在需求阶段——这就是为什么 ISO 26262 把大量精力压在 V 模型左侧的需求/架构/分配，而不是右侧的测试。

5.1 失效来源分布(HSE 数据)

英国 HSE 对 34 个化工/石化/机械控制系统事故的分类数据是功能安全领域最常被引用的根因占比——它的关键发现是需求阶段错误占 44 %，远超后期所有阶段之和，这直接决定了 ISO 26262 把概念阶段做成 Part 3 整个独立 Part 的合理性。

失效来源	占比
规范（需求）阶段错误	44 %
设计阶段错误	15 %
实施阶段错误	15 %
安装调试错误	6 %
运行维护错误	20 %

由开发过程的错误引入的常见类别：需求错误（"我以为系统要干 X，实际上要干 Y"）、架构缺陷（共享资源、时序冲突）、软件 bug（算法错误、指针错误、竞态条件）、人为错误（施工错误、调试残留）、接口误解（硬件和软件对同一信号的理解不同）。

5.2 关键特点

系统性失效的三条特性正好与随机失效相反——不能概率化、冗余无效、只能流程预防，三者一起决定了"V 模型 + 评审 + 形式化"是唯一可行的管理路径。

不能用概率描述（它要么存在要么不存在）
冗余无效 —— 两个拷贝同样的软件 bug 还是 bug
只能用流程控制预防：V 模型、评审、形式化方法、测试

HSE（英国健康与安全执行局）的研究——功能安全领域最著名数据：44 % 的危险失效源自需求阶段，而不是实现阶段。这意味着写代码时发现的 bug 远不如需求没想清楚严重；功能安全必须从概念阶段就介入而不是事后"打补丁"；整个 ISO 26262 Part 3（Concept Phase）存在的理由就是这个数字。

HSE 原始数据的工程细节（源：IEC 61508 & Functional Safety-2022 §Primary cause of control system failure）：这份研究名为 Out of Control: Why control systems go wrong and how to prevent failure（HSG238, ISBN 0-7176-2192-8），覆盖 34 个化工/石化/机械行业控制系统事故。60 % 以上的危险失效是在投入运行之前就"内置"进系统的（Specification 44 % + Design & Implementation 15 % ≈ 59 %），这是"发布后才开始真正测试"反模式的量化代价——这也是为什么 ISO 26262 要求 Confirmation Measures 三档（Review / Audit / Assessment）必须在 SOP 之前全部完成。

5.3 工程后果

现代安全关键系统开发中，规范 + 架构 占总工作量的 40～60 %（而不是代码）；每个需求都要有"ID + 来源 + 验证准则 + 追溯链路"；概念阶段的 HARA 输出是后续一切工作的起点，做错了再也回不来。

6. 设计陷阱(实战 checklist)

前面的物理和公式都成立,但真实寿命估算翻车往往不在公式而在这几处"看着对、实则咬人"的地方——逐条对照:

ΔTj 是最强杠杆,别盯平均结温:寿命 $\propto (Δ T j)^{- 5}$ ,降摆幅比降均温有效得多; $Δ T j$ 减半 → 寿命 $\times \sim 33$ 。任务剖面里最大摆幅箱通常吃掉大半损伤(§3:箱 A 占 78 %)。
Coffin-Manson 指数因失效模式而异:Al 键合线/金属化 $n \approx 5$ (LESIT),焊点 $n \approx 1.9$ –2.5(Norris-Landzberg)。用错指数直接错数量级——先判哪个是主导失效模式,再选指数。
Arrhenius 的 $E a$ 猜错错一个数量级: $A F$ 对 $E a$ 指数敏感,必须用厂商对该机制实测的 $E a$ ,别默认 0.7 eV。跨机制外推(高温激活焊点、现场却是键合失效)会系统性错。
FIT 只在浴盆平底成立,磨损区不成立:把焊点/键合这类 wear-out 当 constant-FIT 累加会严重高估寿命尾。FIT 管随机偶发,寿命尾要用 Coffin-Manson/Miner 单独算。
MTBF ≠ 使用寿命: $1/ λ$ 是可修系统的平均无故障间隔,不是"用到这个时间就坏"。 $1 0^{6}$ h MTBF 的模块磨损寿命可能只有 10 年。
过应力不进 FIT:SOA 是硬边界(过压/过流/过温),单次跨越即死,是"留裕度 + 钳位"问题,不是概率累加;把它塞进 $λ$ 是范畴错误。
CIPS2008 别超范围外推:参数外推到测试域(ΔTj≈45–130 K)之外无效,也不覆盖底板焊层与牵引模块电压-厚度关系;报下限用保守的 LESIT。
冗余挡不住共因(CCF):同批次焊点/键合会同时进磨损期,双路冗余一起失效 → 冗余归零。磨损共因要靠降额 + 批次分散,不是加副本。

7. 工作极限与 corner(权衡)

worked example 给的是标称估算;真投产要守住这几条权衡边界——它们是"寿命模型有没有用对场景"的分水岭:

LESIT vs CIPS2008 选型:LESIT 参数少、偏保守(对现代模块悲观)、安全侧,适合报寿命下限;CIPS2008 含 $t o n$ / $I$ / $V$ / $D$ 更准,适合详细优化,但外推严格受限于测试范围。二者给的是同一物理的不同保守度,别混用系数。
加速试验的代表性 vs 速度:高 $Δ T j$ /高温出结果快,但可能激活非现场的失效模式(高温下焊层先坏,现场却是键合先坏)。 $A F$ 跨机制外推必错——先确认加速试验和现场是同一主导机制。
降 ΔTj 的成本:低 Rth 封装(Ag sinter、DBC、双面冷却)、大散热器都贵;而 fsw、纹波、开关损耗全进 Tj 预算(见热管理)。延寿的每一步都在和成本/体积/效率换。
冗余 vs 降额的分工:随机独立失效可冗余检测(双 MCU lockstep、双通道);但系统性失效和共因失效冗余无效——前者靠流程(§5),后者(同批磨损)靠降额 + DFA(DFA/FMEDA/FTA)。
不同应力在不同工况最恶劣(呼应 buck 页的"最恶劣角"):过压看 Vinmax/load-dump,过流看短路瞬间,过温看最高 Ta + 满载,ΔTj 看最激烈驾驶循环。用单一"典型工况"估寿命会漏掉真正的杀手箱。

核心要点

可靠性 ≠ 安全性:MTBF 高不等于安全,关键看失效模式和失效后果(§1)。
随机失效分两条时间轴:单次过应力(EOS,SOA 硬边界,瞬时,不进 FIT)vs 磨损(wear-out,累积,可加速外推,车规 FIT 主场)。
每种磨损机制有专门加速模型:键合线热疲劳→LESIT/CIPS2008( $N f = A Δ T j^{- α} e^{E a / k B T j m}$ ,α≈5)、焊点→Norris-Landzberg(n≈1.9)、电迁移→Black( $J^{- n} e^{E a / k B T}$ )、TDDB→E-model、腐蚀→Peck;温度是总加速器→Arrhenius( $A F = e^{(E a / k B) (1/ T u se - 1/ T s t r ess)}$ )。
ΔTj 是最强寿命杠杆: $N f \propto Δ T j^{- 5}$ ,减半 → 寿命 ×33;任务剖面里最大摆幅箱通常吃掉大半损伤。
浴盆曲线三段:早期(DFR,β<1,burn-in 清)/ 偶发(CFR,β=1,FIT 仅此成立,MTBF=1/λ,λsys=Σλi)/ 磨损(IFR,β>1,寿命尾,FIT 失效)。MTBF≠寿命。
worked example(牵引 IGBT 模块,15 年):Rainflow 分箱 → LESIT 逐箱 $N f$ (2.9e4/1.7e6/3.1e8)→ Miner $D = 0.67$ (通过,箱 A 占 78 %)→ 板级 139 FIT/MTBF 820 年 → HTOL AF≈78 → 接 PMHF<10 FIT。
系统性失效不能概率化、冗余无效,只能 V 模型 + 评审 + 形式化;44 % 危险失效源自需求阶段(HSE)——ISO 26262 把工作量压在概念阶段的根本原因。
FMEA 两栏并存:模型说"多久坏",探测 + 安全反应说"坏了会不会伤人"——诊断覆盖不到的危险失效直接进 PMHF 残余风险。

缩写表

缩写	全称
EOS	Electrical/Thermal Overstress(电/热过应力,单次)
SOA / SCSOA	Safe Operating Area / Short-Circuit SOA(安全工作区 / 短路安全工作区)
ΔTj / Tjm	结温峰峰摆幅 / 平均结温(junction temp swing / mean)
Nf / ni	循环失效数 / 某箱实际循环次数
LESIT / CIPS2008	两代功率循环寿命模型(键合线热疲劳)
Coffin-Manson	低周疲劳律 $N f = a Δ T^{- n}$
Norris-Landzberg	频率 + 温度修正的焊点疲劳加速式
Black 方程	电迁移 MTTF 模型 $A J^{- n} e^{E a / k B T}$
TDDB / E-model	栅氧介电击穿 / 其热化学场加速模型
Peck 模型	湿度腐蚀加速式 $A R H^{- n} e^{E a / k B T}$
Arrhenius / Ea	温度加速关系 / 激活能
AF	加速因子(acceleration factor)
FIT / MTBF	失效率单位( $1 0^{- 9}$ /h)/ 平均无故障时间 $1/ λ$
λ / β	失效率(hazard rate)/ Weibull 形状参数
DFR/CFR/IFR	递减/恒定/递增失效率(浴盆三段)
Miner	Palmgren-Miner 线性累积损伤 $D = \sum ni / N f i$
SEE / SEU / SEL	单粒子效应 / 翻转 / 闩锁
PMHF	Probabilistic Metric for random HW Failures(ASIL D <10 FIT)
DC	诊断覆盖率(Diagnostic Coverage)
CCF	共因失效(Common Cause Failure,冗余的盲区)

Cross-references

← 索引
功能安全（Functional Safety） — 顶层 hub，串起本页与 HARA / FMEDA / SPFM / LFM / PMHF
HARA — Hazard Analysis & Risk Assessment — 概念阶段如何把"系统性失效"风险预先暴露
Safety Mechanism 目录 — 防随机失效的诊断手段菜单
DFA / FMEDA / FTA — 把随机失效率量化进 SPFM / LFM / PMHF 的分析方法
热管理 — Coffin-Manson 的 ΔTj、Arrhenius 的 Tj 都由热设计决定,延寿的实操杠杆
Buck 变换器 — "不同应力在不同工况最恶劣"的同构方法论(最恶劣角)