PMHF 数学 + DC + Coffin-Manson

功能安全L1别名 FMEDA · SPFM · LFM · PMHF · diagnostic coverage · failure rate · ISO 26262 Part 5 · λ FIT · 更新 2026-07-06

本质与导读

本质 FMEDA 把整车 ECU 拆到元件级,用每个元件已知的失效率 λ (FIT) 按 Safe/Dangerous、再按 Single-Point/Latent/Residual/Detected 分类累加,判定这堆元件加上 SM 后能否满足 ASIL D 的 SPFM ≥ 99% / LFM ≥ 90% / PMHF < 10 FIT;不够就回头加 Safety Mechanism 提高 DC。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. 失效分类树

FMEDA 把一个元件的总失效率 $λ$ 拆成 5 类,类别之间无重叠 + 加起来等于 $λ$ (MECE 分类)。SM 覆盖度决定哪些 dangerous 失效被"挪到"检测/残差类。下图把分类树 + 度量公式 + ASIL D 三阈值一次看清:

FMEDA 失效分类 + SPFM/LFM/PMHF 计算路径

2. 失效率 FIT — 数据从哪来

$λ$ (FIT) 的单位是 failures per 10^9 hours。一个元件FIT 数值越小越可靠。

2.1 三大数据源

FIT 数值的可信度由数据来源决定 — 通用元件库最快,vendor datasheet 准确度中等,自家现场数据最准但保密:

IEC TR 62380 / Siemens SN 29500 — 通用元件库,电阻/电容/二极管/MCU 等的基础 FIT 表
半导体制造商 datasheet / reliability report — Infineon / NXP / TI 提供 ASIL D 元件的 FIT 数据
量产 field data — 车厂自己累积的失效数据(最准但保密)

典型 FIT 范围(EV 主驱元件):

一般 SMD 电阻:~ 0.1 FIT
薄膜电容:~ 1 FIT
SiC MOSFET:50-200 FIT (温度+电压依赖)
ASIL D 级 MCU (Aurix TC397):~ 30 FIT (全部 die,含 lockstep)
复杂 PCB 整板:~ 500-1000 FIT (累加)

2.2 温度修正

FIT 随Tj 强非线性 (Arrhenius):

λ (T j) = λ_{25} \cdot 2^{(T j - 25) /10}

每升 10℃ 翻倍。EV 主驱 Tj 150℃ 时 $λ$ 是 25℃ 的 2^(125/10) = 5600 倍。所以Tj 控制是 FMEDA 的最大杠杆。

3. SPFM (Single-Point Fault Metric)

SPFM 度量"危险失效里多少能被 SM 检出"(即不是 Single-Point Fault)。

3.1 公式

SPFM 形式上是"未覆盖危险失效率占总危险失效率的补"——SM 越多分子越小,SPFM 越接近 1:

S P F M = 1 - \frac{\sum λ _{s p f}}{\sum λ _{d}}

其中:

$λ_{s p f}$ = 单点失效率(SM 没检到 → 直接违反 SG)
$λ_{d}$ = 总危险失效率

3.2 ASIL 阈值

ASIL 等级越高 SPFM 阈值越严 — ASIL D 必 ≥ 99%,只允许 1% 危险失效漏 SM 兜底:

ASIL	SPFM
QM	—
A	—(ISO 26262-5 Table 4 不为 ASIL A 规定 SPFM)
B	≥ 90%
C	≥ 97%
D	≥ 99%

例:EV 主驱 SiC die FIT = 100,危险占 70% → $λ_{d} = 70$ FIT,DESAT SM 覆盖率 99% → $λ_{s p f} = 70 \cdot 0.01 = 0.7$ FIT,SPFM = 1 - 0.7/70 = 99% ✓。

3.3 实战工程意义

SPFM 99% 不是单个元件级,而是整车级累加:

整 ECU $\sum λ_{s p f}$ 必须 < $\sum λ_{d} \cdot 1%$
在 1000 FIT $λ_{d}$ 下, $λ_{s p f}$ 必 < 10 FIT
哪怕一个未覆盖的 SiC die fault 都可能让 SPFM 跌到 95%

4. LFM (Latent Fault Metric)

LFM 度量"潜伏失效里多少能被二次检测"。潜伏失效 (latent fault) 是已发生但还没引起 SG 违反的失效,与第二次失效叠加才出事。

4.1 公式

LFM 度量多点失效(MPF)里"潜伏占多少"的补值。分母是全部多点失效率 $λ_{M P F}$ (含已检出与潜伏),不仅是潜伏部分——因为分母越大、分子/分母越小 → LFM 越高:

L F M = 1 - \frac{λ _{M P F, l a t e n t}}{λ _{S R} - ( λ _{S P F} + λ _{R F} )}

其中 $λ_{S R} - (λ_{S P F} + λ_{R F}) = λ_{M P F}$ = 多点失效总率(包含 MPF detected + latent + residual)。(SSOT:topic-fit-fmeda-calculation §7.2)

4.2 ASIL 阈值

LFM 阈值比 SPFM 略松 — ASIL D 仅需 ≥ 90%,因为潜伏需要二次失效叠加才酿事:

ASIL	LFM
A	—
B	≥ 60%
C	≥ 80%
D	≥ 90%

4.3 例子

ECC RAM bit-flip 是经典 latent fault:单个 bit-flip 没 SG 影响,但与第二个 bit-flip 叠加 → 双 bit 错 → MCU lockstep trap → SG 失。

LFM 覆盖靠BIST (Built-In Self Test) — 上电 BIST + 周期性 RAM scan 检 latent fault。Aurix TC3xx 内置 RAM BIST 周期 100ms,LFM 覆盖率 99%+。

5. PMHF (Probabilistic Metric for Random HW Failures)

PMHF 是绝对失效概率 — SPFM/LFM 是百分比,PMHF 是 FIT 数。

5.1 公式

PMHF 把单点/残余失效的直接贡献加上潜伏失效的"双点时间窗"贡献。(ISO 26262-5:2018 Annex F.2)

λ_{P M H F} \approx (λ_{S P F} + λ_{R F}) + λ_{M P F, l a t e n t} \cdot λ_{S R} \cdot T m f \cdot 1 0^{- 9}

$λ_{S P F} + λ_{R F}$ :直接贡献(单点+残余单次失效即违 SG)
$λ_{M P F, l a t e n t} \cdot λ_{S R} \cdot T m f \cdot 1 0^{- 9}$ :双点时间窗贡献 — latent 失效存续期间 $\approx T m f$ ,第二次任意 SR 失效(速率 $λ_{S R}$ )完成危险链; $T m f$ = 最长潜伏失效检出间隔(BIST/LBIST 周期,典型 1–730 h)

工程简化条件: $λ_{M P F, l a t e n t} \cdot λ_{S R} \cdot T m f \cdot 1 0^{- 9} ≪ λ_{S P F} + λ_{R F}$ → 退化为 $λ_{P M H F} \approx λ_{S P F} + λ_{R F}$ 。典型车规系统此条件几乎必然成立,PMHF 实际由 $λ_{S P F} + λ_{R F}$ 主导。

5.2 ASIL D 阈值

PMHF < 10 FIT (= 10^-8 / h) — 即 100M 小时内只允许 1 次 SG 违反。EV 8 年 ≈ 70k 小时 → 失效概率 < 7e-4 = 0.07%。

5.3 工程实战

PMHF 是最严约束 — 大多数 ECU 上 SPFM 容易过(SM 多就过),LFM 也容易过(BIST 强就过),但PMHF 卡死在"高 FIT 元件不能加太多"。

例:SiC die 200 FIT × 6 个 = 1200 FIT 总 dangerous,即使 99% SPFM → $λ_{s p f}$ = 12 FIT > 10 FIT → 过不了 PMHF。

对策:

降低 die 数(集成度)
双面散热降 Tj → λ 下降
ASIL 分解 D = B(D) + B(D) → 每路只需要满足 B 阈值

6. DC (Diagnostic Coverage) — 单 SM 覆盖率

DC 是单个 SM 检出 dangerous 失效的比例。ISO 26262 Part 5 Table D.4 给标准 SM 推荐 DC:

DC 档	数值	应用 SM 举例
None	0%	无 SM
Low	≥ 60%	basic plausibility check
Medium	≥ 90%	watchdog + signal range check
High	≥ 99%	lockstep + ECC + voted redundancy

计算工具:Polarion / IQ-FMEDA / Risk Spectrum / Excel + 手算。

DC 的两个易踩点:

DC 是 failure-mode 级、不是元件级 — 同一元件不同失效模式各有各的 DC(如 driver IC 的 OUT-stuck 靠 DESAT 90%、CLAMP 失效无 SM 仅 25%),不能拿一个"元件 DC"一刀切
单 SM 常不够 High,要串联 — 一个 SM 给 90%,到 99% 得叠第二个独立 SM:串联后残余 = 各自漏检相乘 $1 - (1 - D C_{1}) (1 - D C_{2})$ (90% × 90% 串联 → 99%);前提两 SM 对该模式独立(否则共因让乘法失效、退化回单 SM)

7. Coffin-Manson — PCT 寿命外推

EV 8 年质保需要把 PCT (Power Cycling Test) 实验室数据外推到现场温度循环。Coffin-Manson 模型:

N f = A \cdot (Δ T j)^{- n} \cdot exp (\frac{E a}{k B T ma x})

$Δ T j$ :每次循环的温升
$n$ :Coffin-Manson 指数 (1.9 for IGBT solder / 5.0 for Al wire bond)
$E a$ :活化能 (典型 0.5 eV)
$T ma x$ :循环最高温

7.1 EV 工况映射

EV 主驱真实循环:

每次行车 → ΔTj 30-50℃(高速巡航)
每次启停 → ΔTj 60-80℃(从空载到最大扭)
8 年 ≈ 1500 次完整循环 + 30000 次小循环

Coffin-Manson 外推:实验室 ΔTj 60℃ 1.5M 次 → 真实 ΔTj 80℃ 失效次数 = 1.5M × (60/80)^5 = 356k 次,仍远超需求。

8. 400V/100kW EV 主驱 FMEDA — 端到端 5 步 Worked Design

场景:EV 主驱逆变器,400V/100kW,SG-01「防止意外扭矩」ASIL D,使命寿命 70000 h(8 年),工作 Tj=125°C。

8.1 Step 1 — BOM + FIT 采集

FIT 数据优先级:厂家 Safety Manual datasheet > SN29500/IEC 62380 > field return 修正。各元件危险失效比例从失效物理判断。[VERIFY 下列 FIT 值来自器件 Safety Manual]:

元件	数量	单件 FIT	总 FIT	危险比(%)	$λ_{S R}$ (FIT)
TC397 MCU(Aurix lockstep)	1	30	30	60%	18
SCT3080AL SiC MOSFET	6	40	240	70%	168
1EDI3035AS 栅极驱动	6	5	30	65%	19.5
INA240A1 电流采样	3	4	12	70%	8.4
直流母线电容(750μF/450V)	4	0.5	2	50%	1
PCB+无源器件+连接器	—	—	20	50%	10
合计			334 FIT		224.9 ≈ 225 FIT

SCT3080AL 质量护栏值:Rt…

SCT3080AL 质量护栏值:RthJC = 0.86 K/W / RGint = 13 Ω / Qg = 48 nC(SSOT:topic-sic-gate-loop-parameters §4.1)。

8.2 Step 2 — 失效模式分类 + SM 配对

以 SiC(最大 λ_SR 贡献者,168 FIT)为例展开五类分类:

失效模式	比例	$λ$ (FIT)	类型	主 SM	DC	$λ_{r es i d u a l}$
桥臂直通/stuck-H	25%	42	SPF候选	DESAT检测 + 相电流监测	95%×90%=99.5%	0.21
stuck-L(开路)	20%	33.6	SPF候选	相电流监测 + RDY监测	90%×85%=98.5%	0.50
DESAT误触发	15%	25.2	RF	MCU消隐窗 + 温度交叉	80%×85%=97%	0.76
短路(SC)	10%	16.8	SPF候选	DESAT + MCU trip	95%×90%=99.5%	0.08
栅极退化/漏流	30%	50.4	Latent	Vgs在线监测 + BIST	85%×80%=97%	1.51

SiC 残余合计: $λ_{S R, S i C, r es i d u a l}$ = 0.21+0.50+0.76+0.08+1.51 = 3.06 FIT

其他元件残余(MCU lockstep 99.9%/BIST 95%、GD UVLO 99%、sensor 90%):总计 ~5 FIT

8.3 Step 3 — SPFM 计算

将各元件残余合计代入 SPFM 公式,判断是否满足 ASIL D ≥ 99% 阈值:

S P F M = 1 - \frac{λ _{S P F} + λ _{R F}}{λ _{S R}} = 1 - \frac{3.06 + 5.00}{225} = 1 - \frac{8.06}{225} = 96.4%

$96.4% < 99%$ → 单链 ASIL D 不过! 这与 SSOT topic-driver-ic-fmeda-worked-deep §3.2 结论一致:SiC 主驱必须 B(D)+B(D) 分解或增第三层 SM。

若增加第三层 SM(MCU 相位差交叉校验 DC+75%):

最大残余贡献者 stuck-H/stuck-L 降到 0.1 FIT 级 → 总残余降至 ~2.1 FIT
SPFM = 1 − 2.1/225 = 99.1% ✓

8.4 Step 4 — LFM 计算

主潜伏失效源:栅极驱动 CLAMP 故障(GD 25% FIT,BIST 覆盖 60%)+ 母线电容降解(覆盖 70%):

λ_{M P F, l a t e n t} = 19.5 \times 0.25 \times (1 - 0.60) + 1 \times (1 - 0.70) = 1.95 + 0.3 = 2.25 FIT

λ_{M P F} = λ_{S R} - (λ_{S P F} + λ_{R F}) = 225 - 2.1 = 222.9 FIT

L F M = 1 - \frac{2.25}{222.9} = 99.0% > 90% ✓

8.5 Step 5 — PMHF 计算

按 ISO 26262-5 Annex F.2 双点时间窗公式,取月度诊断间隔 $T m f = 730 h$ , $λ_{S R} = 225 FIT$ :

λ_{P M H F} \approx (λ_{S P F} + λ_{R F}) + λ_{M P F, l a t e n t} \cdot λ_{S R} \cdot T m f \cdot 1 0^{- 9} = 2.1 + 2.25 \times 225 \times 730 \times 1 0^{- 9} \approx 2.1 + 3.7 \times 1 0^{- 4} \approx 2.1 FIT < 10 FIT ✓

结论:第三层 SM 后 SPFM 99.1% ✓ / LFM 99.0% ✓ / PMHF 2.1 FIT ✓ — 全过 ASIL D 三阈值。Latent 贡献( $\approx 3.7 \times 1 0^{- 4}$ FIT)相对单点项(2.1 FIT)完全可忽略。若第三层 SM 成本过高,改用 B(D)+B(D) 分解:每路只需 SPFM ≥ 90%(ASIL B 阈),大幅降开发成本。

9. EV 主驱 FMEDA 报告分量

典型 ASIL D EV 主驱 FMEDA 报告体量 200-500 页,分量:

System / ECU 元件清单 — 1000-5000 行 BOM
失效模式表 — 每元件 5-15 个 failure mode
DC 评估 — 每 mode 对应 SM 是否覆盖
SPFM / LFM / PMHF 累加 — 计算 result
diagnostic test interval (DTI) 论证 — SM 周期性触发足够
遗留 (residual) failure 论证 — 不能覆盖的部分为什么 acceptable

10. FMEDA 工具

FMEDA 工具按"集成度 vs 上手成本"分级 — 大型项目用 Polarion/IQ-FMEDA 集成 V-cycle,小项目用 Excel:

工具	厂商	特点
Polarion FMEDA	Siemens	主流,主驱 OEM 常用
IQ-FMEDA	Sigma C / Eclat	中国市场流行
Risk Spectrum	Lloyd's Register	通用功能安全
FaultTree+	Isograph	老牌
Excel 手算	—	经济款,小项目用

工具核心功能:

BOM 导入 + FIT 数据库
SM 评估 + DC 计算
模型自动化 (如 SiC 模块自动建模)
报告生成

11. 7 个工程 Gotcha 链

FMEDA 失败的根因集中在数据失真 + 分类越界 + 公式误用三类。下列 G1–G7 是主驱项目中最高频的触雷点。

G1 — FIT 用 25°C 基线但 Tj 高出 5–50×

EV 功率器件 Tj = 100–150°C,Arrhenius 每升 10°C 失效率翻倍。SiC 从 25°C 到 125°C 是 $2^{10}$ = 1024 倍。用 25°C 基线 FIT 做 FMEDA → PMHF 低估 2–3 个数量级 → 虚报合规。防止:FIT 必须在 junction 工作温度下取值或用温度修正公式( $λ_{T j} = λ_{25} \cdot 2^{(T j - 25) /10}$ ),并在 FMEDA 报告中明确标温度假设。

G2 — DC 直接用 SM datasheet 宣称值,不区分 failure mode

同一元件不同失效模式 DC 差异 3–10×(driver IC:CLAMP fault DC=25% vs UVLO DC=99%)。datasheet 给的是"元件级平均 DC",掩盖了 worst-case mode。防止:DC 评估必须 per-failure-mode,对每个 failure mode 单独评估哪个 SM 能覆盖、覆盖率多少。

G3 — DESAT 误触发漏记为 RF,实际是 Latent

DESAT 比较器自身老化/温漂导致 Vth 偏移 → 正常工况下误发 FAULT 或不发 FAULT。若 SM 本身失效(如 DESAT 比较器 die 损坏),对应失效是 latent fault(平时测不出,只在实际 SC 时才会"失职")。防止:DESAT SM 的完整性本身需要靠 BIST(上电校验 DESAT Vth)来周期性检出,否则 DC 不能按 "High" 计,要降为 Latent。

G4 — 两 SM 串联时忘掉独立性前提,DC 乘法失效

DESAT + 相电流双 SM 串联 → DC = 1-(1-DC1)(1-DC2),前提是两路对同一故障模式相互独立。若两路共用同一条电源(VCC2)或同一 MCU 输入通道 → 共因失效 → 乘法退化 → 实际 DC 退回到单 SM 水平。防止:DFA 强制要求论证每对 SM 对目标故障模式的 CCF 隔离度 → 共电源、共 PCB trace、共软件 task 均属 CCF 弱点。

G5 — LFM 分母错误:错把"检出"从分母中减掉

$L F M = 1 - λ_{M P F l a t e n t} / λ_{M P F}$ ,分母是全部多点失效 $λ_{M P F} = λ_{S R} - (λ_{S P F} + λ_{R F})$ ,包含 MPF detected + latent + residual。若从分母再减去 MPF detected,分母变小、LFM 计算值变高 → 虚报更好的 LFM。防止:对照 ISO 26262-5 Annex F.2 公式;分母取 $λ_{S R} - (λ_{S P F} + λ_{R F})$ ,不额外剔除 detected MPF。(本页升级已对齐此 SSOT。)

G6 — PMHF 忽略 Latent 贡献项或低估 Tmf 量级

按 ISO 26262-5 Annex F.2, $λ_{P M H F} \approx λ_{S P F} + λ_{R F}$ 的简化条件是 $λ_{M P F, l a t e n t} \cdot λ_{S R} \cdot T m f \cdot 1 0^{- 9} ≪ λ_{S P F} + λ_{R F}$ 。典型车规( $λ_{S R} = 225$ FIT,月检 $T m f = 730$ h): $2.25 \times 225 \times 730 \times 1 0^{- 9} \approx 3.7 \times 1 0^{- 4}$ FIT $≪$ 2.1 FIT,简化成立。但高 FIT 系统( $λ_{S R} > 10000$ FIT)或超长诊断间隔( $T m f > 8760$ h)时需评估量级。防止:代入 Annex F.2 完整公式验证;大多数车规系统 PMHF 由 $λ_{S P F} + λ_{R F}$ 主导,Latent 贡献可忽略。

G7 — PMHF 只算自己的 ECU,遗漏整车累加

ISO 26262-5 的 PMHF < 10 FIT 约束是整车/安全目标级,不是单 ECU 级。若主驱 ECU = 8 FIT、BMS = 5 FIT、SBC = 3 FIT → 整车 PMHF = 16 FIT > 10 FIT → 不合规。防止:FMEDA 边界必须对应 SG 级别;整车 PMHF = $\sum$ 各 ECU 对同一 SG 的贡献,需在系统架构级分配 PMHF 预算(如主驱 ECU 分到 5 FIT 上限)。

12. Corner 分析

C1 — EOL(8 年末)FIT 倍增 + 多器件叠加超 PMHF

使命寿命末期老化使 FIT 倍增(HTOL 外推:FIT_EOL/FIT_BOL = exp(Ea/k × (1/Tuse − 1/Tstress)) ≈ 2–5×)。同时 SiC 6 只器件每只 FIT 翻倍 → 整车 PMHF 从 2.1 FIT 可能升至 10.5–17 FIT → 越 10 FIT 界。对策:PMHF 计算取 BOL/MOL/EOL 三点,以 EOL 最大值为最终报告值;若 EOL 越界,需降低 SiC die 数量(集成度)或降 Tj(散热升级)。

C2 — 低温 Tj(−40°C)BIST 覆盖率下降

车规 TC397 LBIST 在 −40°C 初始化时间超过 INIT_OK 窗口 → BIST 未完成就进入功能模式 → latent fault 漏检周期延长。实测:INIT_OK 窗口 80 ms(TLF35584 SSOT),TC397 LBIST at −40°C 需要 150 ms → 缺口 70 ms。对策:ECU 在低温环境加 CPU warm-up 延时后再使能 LBIST;或选 INIT_OK 窗口 ≥ 200 ms 的 SBC。

C3 — B(D)+B(D) 分解后 DFA 独立性论证失败

B(D)+B(D) 分解将 ASIL D 拆成两条 ASIL B 通道,省开发成本的前提是两路真正独立。若共用同一功率地平面(PCB 地弹噪声 CCF)、同一 VCC2 电源轨,DFA 会判"独立性不足" → 分解无效 → 退回单链 ASIL D 要求。对策:分解在系统架构阶段决定,两通道物理隔离(独立 PCB 区域/独立电源轨/独立 MCU peripherals);DFA 必须先于 FMEDA 完成,FMEDA 以 DFA 结论为输入。

核心要点

FMEDA 把每个元件 $λ$ 分成 5 类:Safe / SPF / LF / Detected / Residual,SM 决定如何分。
SPFM ≥ 99% / LFM ≥ 90% / PMHF < 10 FIT 是 ASIL D 三阈值,全过才合规。
DC (Diagnostic Coverage) 单 SM 覆盖率 60% / 90% / 99% → 对应 ASIL B/C/D。
FIT 来源:IEC 62380 / 制造商 datasheet / 量产 field data,Tj 升 10℃ 翻倍。
Coffin-Manson 把 PCT 实验室数据外推 EV 8 年质保, $n$ = 5 (Al wire) / 1.9 (solder)。
ASIL D 三件套PMHF 是最严约束 — 高 FIT 元件多 + SM 覆盖再好都可能过不了。
对策:降 die 数 + 双面散热降 Tj + ASIL 分解 让每路只过 B 阈值。
主流工具:Polarion / IQ-FMEDA / Risk Spectrum,EV OEM 一般用 Polarion。

缩写表

只列本页用到的工业标准缩写;通用英语…

只列本页用到的工业标准缩写;通用英语 / 单位 / 月份 / 我们的 层/Lx tag 不列。覆盖不到的术语见正文 inline 注释。

缩写	全称	中文 / 备注
FMEDA	Failure Modes, Effects and Diagnostic Analysis	含诊断覆盖的 FMEA
SPFM	Single-Point Fault Metric	单点失效度量
LFM	Latent Fault Metric	潜伏故障度量
PMHF	Probabilistic Metric for Hardware Failures	硬件随机失效概率指标
ISO	International Organization for Standardization	国际标准化组织
FIT	Failures In Time	1e9 小时失效率单位 (1 FIT = 1 failure / 1e9 h)
ECU	Electronic Control Unit	电子控制单元
AURIX	AUtomotive Realtime Integrated neXt	Infineon TriCore 多核车规 MCU 系列
NXP	NXP Semiconductors	恩智浦半导体
IEC	International Electrotechnical Commission	国际电工委员会
DC	Diagnostic Coverage	诊断覆盖率 (功能安全语境)
ASIL	Automotive Safety Integrity Level	ISO 26262 安全完整性等级 QM→A→B→C→D
SM	Safety Mechanism	安全机制
EV	Electric Vehicle	电动车
MCU	Microcontroller Unit	微控制器(本页多指车规多核 MCU)
TI	Texas Instruments	德州仪器
MOSFET	Metal-Oxide-Semiconductor Field-Effect Transistor	金属氧化物场效应晶体管
PCB	Printed Circuit Board	印刷电路板
SG	Safety Goal	安全目标(ISO 26262-3)
QM	Quality Management	ISO 26262 最低等级,只走质量流程
IGBT	Insulated-Gate Bipolar Transistor	绝缘栅双极晶体管
BOM	Bill of Materials	物料清单
OEM	Original Equipment Manufacturer	整车厂 / 主机厂
CCF	Common Cause Failure	共因失效
DFA	Dependent Failure Analysis	相关失效分析(ISO 26262-9)
ESD	Electrostatic Discharge	静电放电

Cross-references

← 索引
功能安全工程师指南 hub — V-cycle + 8 大主题
ISO 26262 Part 5 硬件
SafeState Manager 深度 — SM 在 FMEDA 里的角色
ASIL 分解深度 — PMHF 卡时用
栅极驱动保护链 — 7 道防线 DC 量化
功率模块热设计 — Tj 控制是 FMEDA 杠杆
辅助电源 FMEDA + DFA 深度 — AUX 链 SPFM/LFM/PMHF worked example
Driver IC FMEDA worked deep — 主功率链 6-pack SiC SPFM/LFM/PMHF worked + B(D)+B(D) 分解必要性
PMHF 定量建模深度 — PMHF 怎么真算出来:闭式 Annex F.2 / Markov / FTA 三法 + 双点时间窗
Silent Data Corruption 深度 — SDC 静默误算如何让 FMEDA 的 DC 纸面虚高(λ_RF 低估 ~100x)
Confirmation Measures