功能安全现场数据反馈闭环深度 — 量化再评估 / OTA 交付 / 召回触发

安全案例不随场数据更新意味着它不是 living safety case:假设被推翻也不知道,团队仍在维护一个已经失效的论证。正确做法是在 Safety Plan 里把 field monitoring 触发点和 safety case delta review 的门控条件明确写入——当 λ_field 超出设计假设 X% 时强制重评。

不把 PPM 触发阈值锚到 FMEDA 假设 λ,就无法判断"是否推翻安全论证"。正确做法:先算出"对应 PMHF = 10 FIT 阈值的组件级 λ_limit",再推出在 T 系统时间下多少件失效意味着 λ_field > λ_limit——这才是定量的触发阈值,不是拍脑袋的 PPM。

海量故障里淹没安全信号,或把质量问题当安全恐慌,两种方向都有害。Triage 的判据必须明确:触及 SG → 安全;DTC 映射到安全失效模式 → 安全;新 fault mode 在 FMEDA 里找不到 → 保守归安全,补 FMEDA。

漏 ISO 24089/R156,变砖 / 引入新危险 / 不可回滚。特别是当 OTA 修改了与 safety mechanism 相关的参数(如看门狗窗口、FTTI 相关超时、ASIL 分解软件路径),必须走 safety case delta review,有独立评审记录,而非走普通 ECR。

数据重复采集、漏交叉(一个场景同时是 SOTIF + Cyber 问题)。更危险的是：FuSa 团队按 λ 分析清楚,SOTIF 团队按场景分析清楚,但两者都没发现这是一次"被攻击触发的传感器失效既满足 FuSa 阈值又是 Area 3 新场景"——共享管线和联合 triage 是结构性解决办法。

k=3 时 90% CI 上界是点估计 2.2 倍;k=0 时 λ_upper 可达 46 FIT(T=5×10^7 h)。要么过早判定"安全,没问题",要么因为 1-2 件异常事件过度反应。正确做法:报告 CI 区间,而非只报点估计;决策门控按 λ_upper 还是 λ_field 取决于风险容忍度,应在 field monitoring plan 里预先定义。

ISO 26262 的 PMHF 公式基于恒定随机失效率(浴盆曲线底部)。进入 EOL 磨损区后(Weibull β > 1),失效率加速上升——bond wire 老化、焊层疲劳、聚合物退化都是典型磨损型失效。此时用固定 λ 做 PMHF 会系统性低估晚期风险。正确做法:追踪寿命曲线;EOL 风险需用 Weibull 或 B10 模型,而非把恒定 λ 延伸到 15 年。

发货量 N = 120,000 台(日本 + 东南亚湿热市场),平均运行时间 tavg = 2,500 h/台(18 个月 × 约 1,667 h/年)。

安全相关性 triage 识别出 k = 3 件 CCF 事件:S32K344 + FS26 在同一时刻失去 5V 共用 rail 供电 → MCU 与 SBC 同时掉电 → FS0B 未能正确触发 → EPS 转矩意外保持 → SG-EPS-01 违反。三件 RMA 分析均确认根因为 PCB 接插件腐蚀导致 5V 供电 rail 短期开路,二次进水路径一致(密封件老化 + 多雨高湿环境)。

以 k=3 件 CCF、T=3.0×10^8 h 代入点估计公式:

90% CI 上界(卡方法,自由度 $2(k+1)=8$,${\chi }_{8,0.90}^2=13.36$):

β_field 反推:

根因:IEC 61508-6 Annex D 评分在"防护 PCB + 无严苛环境"条件下给出 β = 2%;实际高湿环境腐蚀攻击共享供电 rail,β 跳至 25%——两块芯片同时失电,独立性假设完全不成立。

将修订后的 λ_CCF,field = 10.0 FIT 代入 PMHF 公式(SPF 项不变,MPF 项≈0):

判定:PMHF_revised = 10.1 FIT > 10 FIT(ASIL D 阈值)→ 安全案例失效 ✗

根因为硬件共因(接插件腐蚀 + 密封失效),无软件 OTA 解。

• 行动类型:服务活动(Service Campaign)——受影响 VIN 进 4S 店更换密封件 + 对接插件区域施加防腐涂层;不满足"已造成事故"门槛(3 件均为潜在故障,未发生人身伤害),未触发召回。
• 目标:封堵进水路径 → β 降回 ≤ 2% → PMHF 回到 0.9 FIT。
• 缓解期安全措施:下达客户通告 + telematice 监控 + 暂停高湿工况(车型说明补充)。
• 再验证:修复后 humidity test(LV 214 / ISO 16750-4)+ HAST + 现场数据 90 天跟踪 → 二次量化再评估。
• Root-cause fix(量产改造):密封等级从 IP67 提升至 IP6K9K + 接插件端子镀金 → 下个批次 ECN 实施。

当 fleet 规模小或运行时间短时,k=0 不证明组件 λ ≤ λ_design。对 T = 5 × 10^7 h、90% CI:

若设计假设 λ_SBC = 40 FIT,T = 5×10^7 h 时零失效的 90% CI 上界为 46.1 FIT > 40 FIT——无法确认假设成立。需要至少 T* = 4.61/(2 × 40 × 10^{-9}) = 5.76 × 10^7 h ≈ 34,500 unit-years(按 §7.1 的 1,667 h/台年)才能说"零失效情况下 λ ≤ 40 FIT(90% 置信)"。项目启动 6 个月时做"暂无失效、一切正常"的结论是数据不足、而非已验证。

全球 fleet 均摊 CCF 率会掩盖恶劣区域子集的真实 β。humid coastal 子集(本例 120,000 台)的 β_field = 25%;若混入 dry inland 市场约 1,880,000 台(假设 0 CCF 事件,同 2,500 h/台观测窗),全球总运行 T ≈ 2,000,000 台 × 2,500 h ≈ 5.0×10^9 h,全球均摊 λ_CCF = 3/(5.0×10^9 h) ≈ 0.60 FIT < 0.8 FIT 设计值——看起来"比设计好",实则掩盖了严重局部问题。field monitoring 必须按气候/使用环境对 fleet 分层;对每个子集独立做 λ_field + CI,不能只报全球均值。

恒定 λ 适用浴盆曲线底部(随机失效期)。进入磨损期(Weibull β > 1)后,功率模块焊层疲劳 / bond wire 老化 / 聚合物退化同时加速——这些磨损机制不只让单器件 λ 升高,往往两路器件同时进入磨损,导致 CCF β 也随之跳变。典型数据:功率模块 bond wire(Δtj = 50°C/cycle)B10 寿命约 10-15 年;若 EPS ECU 按 15 年全寿命设计但 field monitoring 只用恒定 λ 建模,EOL 阶段安全案例可能在未被察觉的情况下逐渐失效。解法:寿命中期做 Weibull 参数识别(利用 DTC+里程拟合);在 PMHF 模型中对 EOL 期引入时变 λ(t)。