Fault Tree Analysis (FTA) 深度 — top-down 安全分析

下图把"主驱意外加速"的 FTA 一次说清:

3 个核心观察:

• 顶事件 = SG 违背
• gate(AND / OR)描述 fault 累积逻辑
• basic event = root cause (SEU / lockstep 失效 / 短路 / PWM 错)

两个分析方法互补:

ASIL C/D 项目:两个都做 — FTA 找 cut set,FMEDA 算 FIT;§8 只对 C/D 强制 deductive,A/B 一般只做 inductive。两法的顶事件量化必须收敛到同一个数(${\lambda }_{\text{top}}\approx \text{PMHF}$),否则 FSAR 拒签(见 §14 一句话总结)。

ISO 26262 + IEC 61025 标准符号:

cut set 是 FTA 的核心输出:

Importance measure 量化每个 basic event 对顶事件的贡献,用来排优先级——把有限的防护资源投到最敏感的 basic event 上。四个常用度量($q_{\text{i}}$ = 事件 $i$ 不可用度,$Q$ = 顶事件不可用度):

• Birnbaum(边际重要度):$I_i^B=\frac{\partial Q}{\partial q_{\text{i}}}=Q(q_{\text{i}}=1)-Q(q_{\text{i}}=0)$,即事件 $i$ 从 0 变 1 时顶概率的变化率——只看结构灵敏度,不含 $q_{\text{i}}$ 本身大小
• Fussell-Vesely:$F{V}_i=\frac{{\sum }_{C\ni i}{Q}_{\text{C}}}{Q}$,顶事件发生时"事件 $i$ 参与其中至少一个割集"的条件概率——含 $q_{\text{i}}$ 大小,最常用来排 top-N
• Risk Reduction Worth:$RR{W}_i=\frac{Q}{Q(q_{\text{i}}=0)}$,把事件 $i$ 修到完美后顶概率下降的倍数(越大越该防护)
• Risk Achievement Worth:$RA{W}_i=\frac{Q(q_{\text{i}}=1)}{Q}$,事件 $i$ 一定发生时顶概率抬升的倍数(越大越该保它别坏)

ASIL D 项目按 $FV$ 或 $RRW$ 排序,重点防护 top-N important events,并在 FSAR 里给出每个高重要度事件的防护证据。

3 大主流商业 FTA 工具如下(座位价均为订单量级、非公开报价,随席位数/模块/维保浮动,仅供量级参考):

EV 主驱 SG-001 (意外加速) FTA:

一份量化 FTA 的交付物(推导见 §7.6):

• 顶事件不可用度 $P_{\text{top}}$(无量纲,时均概率)
• 顶事件失效频率 ${\lambda }_{\text{top}}$(1/h 或 FIT,由 basic event 失效率沿门传播)——报 PMHF 用的是这个,别把 $P_{\text{top}}$ 当 FIT 报(§13 C3)
• 每个 MCS 概率 $P_{\text{MCS}}=\prod q_{\text{i}}$ + importance ranking($FV$/$RRW$)
• PMHF 对照(与 FMEDA 一致)

ASIL D 目标:${\lambda }_{\text{top}}\le 10$ FIT(= ASIL D PMHF 目标 $<10$ FIT,与 FMEDA 一致;注意是失效率不是概率——§7.6 已把 ${\lambda }_{\text{top}}\approx 2.1$ FIT 算到与 PMHF 收敛)。

ASIL D FTA 验证清单:

• 完整性 — top event 列全 (所有 SG)
• 可追溯 — basic event 链回 HW component
• 割集阶数 — 无 order-1 割集(=无单点失效);order-2 割集每个都有 DFA 独立性证据(无 CCF)。割集数量不设硬上限,红线是阶数与 ${\lambda }_{\text{top}}$
• importance 排序 — 按 $FV$/$RRW$ 排 top-N + 防护证据
• 与 FMEDA 一致 — ${\lambda }_{\text{top}}\approx \text{PMHF}$(同一 SSOT 收敛到同数)

FTA 是 ASIL Decomposition 的工具:

• D = B(D) + B(D) 拆解后,两个 B 必独立
• FTA 验证独立性(无共 cut set)
• DFA 6 项独立性证据来自 FTA
• 见 topic-asil-decomposition-deep

3 大分析协同:

• FTA (top-down) → cut set
• FMEDA (bottom-up) → SPFM / LFM / PMHF
• DFA (独立性) → 跨组件 6 项验证
• 三者一致 = FSAR 通过

详见 topic-dfa-fmeda-fta。

FTA 出错的根因集中在条款锚错 + 量化漏项 + 独立性假设失守三类。下列 G1–G7 是主驱 ASIL D 项目里最高频的触雷点。

G1 — 条款锚错:把 FTA 挂到 ISO 26262-9 §5(ASIL 分解)而非 §8(Safety analyses)

§5 是 requirements decomposition(ASIL 裁剪),§7 是 DFA,§8 才是 safety analyses(涵盖 inductive + deductive)。把 FTA 的规范依据写成 §5 → 评审对不上条款,且混淆了 "FTA=分析方法" 与 "ASIL 分解=FTA 的一个应用场景"(见 §10)。防止:FTA 方法本身锚 §8;只有当 FTA 被用来验证分解独立性时才涉及 §5/§7。

G2 — 只量化 order-2 割集,漏掉残余 order-1,${\lambda }_{\text{top}}$ 低估一个数量级

ASIL D 架构里 MCS 常"全是 order-2"(无单点),于是有人只把这几个 order-2 割集的双点频率相加当 ${\lambda }_{\text{top}}$ → 得到 $\sim 10^{-4}$ FIT 的假象。真正主项是每个被覆盖 fault 的残余部分 $\lambda (1-DC)$,它是 order-1 路径(§7.6)。防止:${\lambda }_{\text{top}}$ 必须含残余单点项;用 FMEDA PMHF 交叉核对,差一个数量级几乎必是漏了残余。

G3 — 基本事件 FIT 用 25°C 基线,不做 Tj 温度修正

与 FMEDA 同源:功率器件 Tj = 125–150°C,Arrhenius 每升 10°C 翻倍,25°C 基线低估 2–3 个数量级 → ${\lambda }_{\text{top}}$ 虚低、虚报合规。防止:割集里每个 basic event 的 $\lambda$ 取工作 Tj 下的值(${\lambda }_{\text{Tj}}={\lambda }_{25}\cdot 2^{(Tj-25)/10}$),报告标温度假设(SSOT:FMEDA §G1)。

G4 — OR 门/割集用 $\sum$ 近似,但 basic event 概率不小,顶概率高估

稀有事件近似 $P_{\text{top}}\approx \sum P_{\text{C}}$ 只在各 $P_{\text{C}}\ll 1$ 时成立;若某 basic event 概率到 0.1 量级(如长任务时间的老化项),$\sum$ 会明显高估,须用精确 $1-\prod (1-P_{\text{C}})$ 或 inclusion-exclusion。防止:检查最大割集概率量级,超 0.1 就别用一阶上界。

G5 — cut set 未约简(非 minimal),重复计数

工具展开的原始割集含大量非 minimal 项(包含更小割集的全部事件),不做吸收律 $A+AB=A$ 就直接求概率 → 同一路径重复计数,顶概率虚高、importance 排序错乱。防止:量化前必须 minimal 化;人工 MOCUS 别忘吸收步。

G6 — dormant SM 的 $\tau$(诊断间隔)取错,双点项量级错

order-2 潜伏割集频率 $\propto {\lambda }_{\text{SM}}\cdot \tau$。把 $\tau$ 当成 mission time($\sim 7\times 10^4$ h)而非真实 BIST 周期(1–730 h),双点项被放大 100–1000× → 反让 order-2 假性主导;反过来把只有月度诊断的 SM 当"实时检测"($\tau \to 0$)则漏算 latent。防止:$\tau$ = 该 SM 潜伏失效被检出的真实周期,与 FMEDA 的 $Tmf$/DTI 取同一值。

G7 — FTA 与 FMEDA 各算各的,结论不一致,FSAR 拒签

两法用不同 BOM / 不同 SM DC / 不同 $\tau$ → ${\lambda }_{\text{top}}$ 与 PMHF 对不上。ISO 要求同一 SG 的 deductive 与 inductive 分析互相印证。防止:FTA 的 basic event 库 = FMEDA 的元件库(单一 SSOT);${\lambda }_{\text{top}}$ 与 PMHF 收敛到同数才算通过(§7.6)。

下列 C1–C3 是"闭式 FTA 公式的独立性/量纲假设被打破"的边界工况,主驱评审必查。

C1 — 共因失效(CCF)让 AND 门割集塌回 order-1

AND 门 $P=\prod P_{\text{i}}$ 假设输入独立。若两输入共用电源(VCC2)、共地(功率地弹)、共 die、共 MCU 输入通道或共软件 task,一个共因同时击穿两路 → order-2 割集里冒出一个 order-1 贡献。Beta-factor 模型:${\lambda }_{\text{CCF}}=\beta \lambda$,$\beta$ 典型 1–10%,这一项绕过冗余直达顶事件。这正是 DFA 要论证的独立性。对策:对每个 order-2 MCS 做 CCF 检查,共因项按 $\beta$-factor 单列为 order-1 计入 ${\lambda }_{\text{top}}$;物理隔离(独立电源轨 / PCB 分区 / 独立外设)把 $\beta$ 压到 < 1%。

C2 — 非独立 basic event 让 AND/OR 闭式公式失效

$\prod$ 与 $1-\prod (1-\cdot )$ 都要求基本事件统计独立。事件间正相关(同批次器件、同一温度应力驱动的共漂移)会使真实顶概率高于独立假设值;负相关(互斥失效)则低于。对策:识别相关事件,改用条件概率 / Markov,或在树里显式建一个共因基本事件;不能盲套独立乘法。

C3 — 概率 vs 频率混用:把 $Q_{\text{top}}$(无量纲)当 ${\lambda }_{\text{top}}$(1/h)报 PMHF

FTA 工具能同时输出顶事件不可用度 $Q_{\text{top}}$(无量纲,时均概率)与失效频率 $w_{\text{top}}={\lambda }_{\text{top}}$(1/h)。PMHF 要的是频率(FIT $=10^{-9}$/h),不是概率。把时均 $Q_{\text{top}}$ 直接当 FIT 报 → 量级全错(两者差一个 mission time 因子)。对策:报 PMHF 用 ${\lambda }_{\text{top}}$(unconditional failure intensity);报"任务期内失效概率"才用 $Q_{\text{top}}\approx {\lambda }_{\text{top}}\cdot T$。

FTA = ISO 26262-9:2018 §8 (Safety analyses) 的 deductive (top-down) 安全分析 — 从 SG 违背 (顶事件) 反向追溯到 root cause,输出 MCS = FMEDA 输入;§8 对 ASIL C/D 强制 deductive,A/B 只需 inductive。量化时 ${\lambda }_{\text{top}}$ 由残余 order-1 路径主导($\lambda (1-DC)$ 之和),order-2 潜伏割集可忽略,且必须与 FMEDA 的 PMHF 收敛到同一个数($\approx 2.1$ FIT $<10$ FIT)——对不上就是 FSAR 拒签的 root cause 之一。主流工具:Isograph FaultTree+(主驱主流)/ RiskSpectrum / ITEM Toolkit。新项目 FTA 早做(M1 阶段),指导架构设计 + 防护资源分配。