FMEDA DC 主张与故障注入验证矩阵 — 从 claimed DC 到实测证据的闭环

FMEDA 与 fault injection 分属两个集群:前者是量化分析(和 FTA / DFA 一起做),后者是 V&V(和 HIL / 集成测试一起做),通常由两个团队、两套工具、两套编号体系分别执行——断链不是个别项目的疏忽,是组织结构的默认输出。审计现场反复出现四种打回模式:

• 模式 1:行与用例只在人脑里对应。FMEDA workbook 用元件编号,FI 报告用 scenario 编号,两边没有共同键。审计员抽一行 FMEDA 问"这行 DC 的注入证据在哪",5 分钟内拿不出对应用例 = 论证断链,对应 GSN 的 Type 1 argument gap(参见 GSN 写作深度 §4)。
• 模式 2:claimed 全部套 Annex D,FI 只测了 top-3 SM。未被注入覆盖的行是弱证据,评估员惯例砍 20-30%(99% 砍到 80%),连锁后果见 DC 类别页 Gotcha 2:RAM 一行被砍就能把 SPFM 从 99.0% 拖到约 93.6%,直接跌穿 ASIL D。
• 模式 3:FI 报告只有整体"通过",没有每行 DC 分摊。ISO 26262-5 §10 的报告要求包含每个 SM 的 scenario list 与 SPFM/LFM 实测贡献(参见 FI test 深度 §10),只给结论不给分摊的报告无法回填 FMEDA,等于没做。
• 模式 4:GSN Sn 挂了 FMEDA 报告,却没挂 FI 报告。FMEDA 里的 DC 数字此时是一个没有 verification 回闭的隐藏前提——正是 GSN 的 Type 5 unbacked assumption;若 claimed DC 连计算方法(哪个失效率库、哪版 Safety Manual)都没锁,再叠加 Type 4 missing context。

四种模式的共同根因:没有一份"行级映射矩阵"作为两个集群之间的合同。下面 §2 给出这份合同的最小充分形态。

映射矩阵的原则是一行 FMEDA = 一组 FI 用例 = 一条可回填的实测 DC,矩阵本身可以就是 FMEDA workbook 追加的几列(不必另建文档,另建反而制造第二个失同步源)。

FI-<SG id>-<FMEDA 行 id>-<fault model>-<序号>
例:FI-SG1-TLF-VMON-DRIFT-003
   = SG-1 / TLF35584 电压监控行 / 慢漂类注入 / 第 3 例

判定的出发点是 Part 5 页 §5.1 的定义:Annex D 的 DC 是 generic typical,项目里要算 specific DC——把 timing(DTI + 反应时间 ≤ FTTI)、implementation(具体算法实测覆盖)、system-level masking 三个修正全部算进去。行级判定按下面的顺序走:

1. 该行 SM 的诊断周期能塞进 FTTI 吗? 不能(如 ECC 读周期 > FTTI)→ generic 值作废,specific 按时序预算重估,可能从 99% 退到 60%;微秒级 FTTI(SiC SCWT 2-3 μs)直接排除一切周期性诊断,只剩连续硬件监测(推导见 安全机制目录 §10)。
2. 该行的失效模式分布里有 Annex D 没建模的模式吗? 有(典型是 drift / 老化类)→ 必须 specific。SiC gate oxide 的 BTI 致 VTH 漂移就是标志性场景:EOL 等效失效率较 BOL 升 2-3 倍、DESAT 裕量随漂移收窄(见安全机制目录 §13 C2 与 DC 类别页 Corner 2),generic 表对这类模式给不出可辩护的数。
3. 上层有冗余 masking 或共因吗? 有 → specific 要计入(lockstep 对共因 latent 是盲区,ASIL 分解后 DC 须逐通道重新论证)。
4. 以上都否 → 可以 generic 起步,但记住它在证据强度上是弱证据:进 FMEDA 可以,进 safety case 之前仍要 FI 补强,否则按 §1 模式 2 被砍。

一句话版本:generic 是"填表起点",specific 是"claim 门槛",FI 实测是"evidence 门槛"——三级逐级收紧,映射矩阵管的是后两级之间的通道。

任何真实 campaign 都有物理上注不进去的部分:die 内部 bridging、封装机械失效、隔离 barrier 退化、真实 15 年老化漂移(加速试验只能近似)。假装它们不存在是审计雷区,合规处理是三件套:

• 显式标记 analysis-only:矩阵状态列单列一类,登记"为何不可注入"(物理不可达 / 破坏性 / 加速等效性不足),并给出替代论证(FMEDA 解析推导、厂商可靠性报告、相似器件 field return)。
• 专家判断记录化:替代论证依赖工程判断时,判断本身变成 work product——判断人、资质、rationale、日期、评审签字,缺一进 GSN 就是无回闭的 assumption(Type 5,修法见 GSN 页 §4.5):要么挂 verification Sn,要么显式进 Residual Risk disclosure。
• 保守折减:analysis-only 部分的 DC 不允许按 claimed 满额入账。工程惯例向下取一档(99% 记 90%、90% 记 60%,档位边界见 DC 类别页 §2),或直接采用评估机构砍值口径(-20~30%)自证保守;折减后重算三指标仍过,论证才稳。

统计残差同理:campaign 是抽样,实测 DC 是带置信区间的估计量。ASIL D 关键 SM 至少 1000 trials、95% ± 2% 要 ~2401、99% ± 1% 要 ~16641(FI 实例页 §9)——回填时用置信下限而非点估计,是同一保守原则在统计维度的投影。

用全站参考平台(TC397 + TLF35584 + 1EDI3035AS + SCT3080AL,SSOT 数字:SPFM 99.24% / LFM 92.1% / PMHF 4.34 FIT / β ≤ 2%,见 DFA/FMEDA/FTA §7.2 与 Part 5 §7)把一行走通:claimed 99% → FI 集设计 → 假设实测 97% → 回填重算 → 处置复测 → GSN 挂接。

映射矩阵的失效模式集中在"两个集群各自都对、接缝处错"。以下 7 条按危险度排列,均来自审计与量产项目的真实 finding 类型:

G1(最高危):注入集缺 drift / 慢漂类 fault model。 只注 stuck-at 与阶跃,检出率 99%+ 好看,但该行 FMD 里的漂移份额从未被验证——λ 加权后真实 DC 远低于表面值。漂移本来就是最难检的模式(FI 实例页 §4 给 ADC plausibility 漂移仅 80%),§5 的 worked example 正是栽在这里。注入集的 fault model 清单必须与该行 FMD 逐项对齐,缺项要么补注入要么走 §4 analysis-only。

G2:EOL / 温度角未重测,BOL 常温 DC 当常数用。 DC 随温度与老化漂移:比较器 150 °C 阈值漂移可把 $D{C}_{SPF}$ 从 92% 拖到 75%,SiC BTI 漂移侵蚀 DESAT 裕量(DC 类别页 Gotcha 5 / Corner 2)。映射矩阵须登记实测工况;声明全温域 DC 就要给温度角与 EOL 复核数据。

G3:用例与 FMEDA 行无 traceability,campaign 只出总 DC。 "全系统注入 8000 例,整体检出 96%"无法按行分摊,回填无从谈起;审计员抽行即触发 §1 模式 1。每行至少一个用例组,报告按行给分摊,是 FI test 深度 §10 报告结构的硬要求。

G4:实测只做 demo 样本 / 黄金样机 / 单一负载点。 满载与空载响应差异大,HW FI 至少 3 个负载点(10/50/90%,见 FI test 深度 §11);单台精挑样机的 DC 不代表量产分布,矩阵里应登记样本数与工况覆盖。

G5:blanking 窗内注入被错误计入统计。 DESAT 消隐窗 tBLK 内注入的短路事件,SM 按设计就不响应——计成"漏检"假性拉低 DC,计成"检出"更是造假。正确口径:tBLK 内的注入单列为设计性盲窗,不进 DC 分子分母,该盲窗的安全性由 tBLK < SCWT 的时序论证单独覆盖(安全机制目录 §12 G3)。

G6:注入落在 idle / 死代码周期被计为漏检。 lockstep 类 SM 的注入若落在无操作周期,故障不激活、自然无检出,混入统计会系统性低估 DC(FI 实例页 §2)。no-effect 注入要剔除或单列,且剔除规则写进报告——审计员会问"你剔了多少、凭什么"。

G7:实测高于 claimed 就顺手上调 claimed。 点估计 98.5% 不等于可以 claim 98.5%:上调 claim 需要对应置信档位的样本量与变更管理流程(§2.4)。margin 是白捡的,claim 是要背证据的——两者混同等于把统计涨落写进 safety case。

映射矩阵最终在 confirmation review / I3 现场兑现。三个高频问题,每个都在探测一类断链,合格回答有固定形态:

问 1:"这一行的 99% 是哪来的?"(证据强度问) 合格形态:claim 依据(specific 论证文档 ID)→ FI 用例组 ID → trials / 检出 / 置信档 → 工具 qualification(TCL2/3,FI 方法页 §6.1)一口气报完,矩阵行就是答题卡。不合格形态:"Annex D 写的 99%"——直接触发弱证据砍值。

问 2:"注入集凭什么代表这一行的失效模式分布?"(代表性问) 合格形态:出示 fault model ↔ FMD 对齐表 + λ 加权说明(§2.3)+ 不可注入残差清单与保守折减(§4)。不合格形态:"我们注了 5000 个 stuck-at"——数量掩盖不了模式缺项,审计员追一句 drift 就破。

问 3:"实测低于 claimed 的行,你们做了什么?"(闭环问) 合格形态:回填记录 + 三指标级联重算 + 处置决策(复测 / 补 SM / 架构变更)+ FMEDA 版本与 GSN delta 的变更痕迹(§2.4 / §5.4)。不合格形态:"差 2% 在误差范围内"——误差要走置信区间,不走口头;这句话往往直接把审计从这一行扩大到整本 workbook。

三问背后是同一逻辑:审计员不验算你的 DC,他验的是你的组织有没有一条从 claim 到 evidence 再回到 claim 的受控通路。映射矩阵就是这条通路的存在证明。

映射矩阵协议在以下三个场景最容易失效,工程对策不同于常规执行态。

C1(变更频繁角):ECR 高频期 FMEDA 与 FI 双版本撕裂。 开发后期 ECR 触发 FMEDA 条目新增或 DC 重估时,映射矩阵面临双版本撕裂风险——FMEDA workbook 已升版,对应 FI 用例组还挂着旧行 ID,或者已跑 campaign 的结果对新条目无法复用。定量后果:如果 FMEDA 中仅有 10% 的行发生变更而 campaign 已完成,重跑这 10% 需要补 100-500 trials/条 × N 新行;若安全计划中没有为 ECR 预留 FI 复测窗口(通常 8-12 周),就会在集成 V 阶段被迫豁免——这正是 §1 模式 2 的工程根因。对策:① 在 FMEDA workbook 里为映射矩阵列设锁定标识(matrix_frozen: yes),FMEDA 变更触发矩阵 delta 评估(影响哪些行需要补跑);② 安全计划在 SW freeze 前预留一个 4-6 周的 campaign 缓冲;③ 只对 SPFM 敏感行(DC 变化 ≥ 5% 会导致 SPFM 变化 ≥ 0.5% 的行)强制重跑,其余 delta 走 analysis-only + 保守折减兜底(§4)。

C2(SEooC 供应商证据依赖角):外购器件 Safety Manual 版本静默更新打穿 claimed DC。 TLF35584、1EDI3035AS 等 SEooC 提供的 Safety Manual 包含器件内部 SM 的 DC 声明,集成商 FMEDA 直接引用。风险在于供应商升版 Manual(如从 Rev 2.0 升到 Rev 2.1)可能悄悄降低 DC claim(加了新失效模式、调整了测试条件、缩小了 AoU 边界),但集成商的映射矩阵仍挂旧 Manual ID。审计发现时,该行不仅要重算,还要追问"你的 FI 证据能覆盖新版 Manual 新增的失效模式吗"。以 §5 的 TLF35584 VMON 行为例:若 Manual 升版后把 DRIFT 类 DC 从 claim 99% 改为 90%,§5.3 回填的起点就从 97% 变成 90% 比较基准,原来 PASS 的行可能直接 FAIL。对策:① 映射矩阵"claim 依据"列显式锁定 Safety Manual 版本号与文档 ID(如 TLF35584-SafetyManual-Rev2.0-Doc#xxx);② 建立 SEooC Safety Manual 变更订阅机制,升版时触发 FMEDA delta 评估(类似 §4 compliance audit 周期);③ 核心 SM 行不依赖 Manual 独家提供,集成商自建 FI campaign 独立验证,避免单点证据链。

C3(大规模 FMEDA 经济性角):500+ 行 FMEDA 的 campaign 样本量累积超出可行范围。 ASIL D 关键 SM 行按 §4 的 99% ± 1% 置信标准需要约 16641 trials/行,如果 FMEDA 有 50 个 ASIL D 关键 SM 行,理论总量 832050 trials——远超任何量产项目的 V&V 预算。现实可行边界是每平台 5000-20000 trials 总量(参考 FI 测试深度 §11 的工业项目规模)。对策是分层采样而非全量覆盖:① 按 DC 灵敏度 × λ 权重对所有行排序,识别 SPFM 敏感集(通常是总行数的 15-20%);② 敏感集走 §2.3 λ 加权折算的精量 campaign(≥ 1000 trials/组);③ 其余行按 SM 类型分族,每族抽代表行跑 campaign,族内其余行引用代表行证据 + 技术等价论证(差异点 ≤ 3 条,每条有 rationale);④ 这份"分层采样 + 等价论证"策略本身要进 Safety Plan 并通过 confirmation review,不是项目内部"我们觉得够了"的决策——等价论证被 TÜV I3 否定就是整族覆盖无效。

只列本页用到的专业缩写,行业入门通识(ADC / MCU / SBC 等)不列: