ISO 26262 硬件要素分类 — 从层级/安全相关判定到 SPFM/LFM/PMHF 预算

先讲物理本质:随机硬件失效(RHF)是不可消除的——半导体会因宇宙射线翻位、电容会漏、焊点会疲劳,失效率 λ 是器件的固有属性,不是设计能清零的。ISO 26262 因此不追求"零失效",而是要求量化证明危险失效被安全机制压到足够低。要量化,就必须先把每一份失效率 λ 精确归到一个桶里——这份 λ 会不会违背安全目标?有没有安全机制盖住它?盖住多少?这就是故障分类,是后面一切 SPFM/LFM/PMHF 计算的地基。

硬约束有三条:① 每个安全相关要素的失效率必须穷尽划分成互斥的故障类(safe + SPF + RF + MPF 之和 = λ),不能有漏桶或重复;② 划分依据是**"该失效模式能否违背安全目标"与"是否被安全机制覆盖"这两个客观判据,不能拍脑袋;③ 分类的粒度必须落到能挂上失效率与诊断覆盖率的层级**(通常是 hardware part 级),太粗则 FMEDA 无法逐项赋值。理解这三条,就理解了为什么"分类"排在功能安全流程最前:它是把物理失效率翻译成可审计安全论证的第一道翻译。

分类的第一步是选对"要素"的粒度。ISO 26262-1:2018 定义了一条自顶向下的分解链:item(在整车层实现某功能的系统或系统组合)→ system(至少含传感器+控制器+执行器的组件集合)→ component(逻辑与技术上可分、含 ≥1 个 hardware part 或 software unit 的非系统级要素)→ hardware part(硬件分解的最底层,如电阻、电容、晶体管、MCU 这颗芯片本身)。而 element 是个总括词——system、component、hardware part、software unit 或它们的任意组合都可以叫 element。

这条链决定 FMEDA 的赋值粒度:失效率数据库(如 SN 29500、IEC 62380)按 part 级给 λ,所以随机失效的量化几乎总在 part 级做;而安全机制、诊断覆盖率的论证常在 component 级组织。选错粒度的后果很具体:若把一颗集成了 ADC+核+SRAM 的 MCU 当成一个不可分的 part,你就没法对"ADC 通道失效"单独赋 λ 和 DC——而 ASIL C/D 恰恰要求这种细粒度。故 III 类复杂 IC 的 FMEDA 必须由芯片厂在内部 part 级完成(见 §8),集成商拿到的是 component 级的 λ 与 DC 汇总。

选定粒度后第二步:判每个要素是否 safety-related。判据是"该要素的失效能否导致某安全目标被违背"——能则 safety-related,进入后续故障分类与指标核算;不能则 non-safety-related,不计入 SPFM/LFM 分母(但仍要论证其失效不会耦合污染安全路径,这正是 DFA 相关失效分析的活,见 DFA/FMEDA/FTA)。这一刀切错代价极大:漏判成 non-SR → 一条真实危险路径被排除在指标之外,论证虚假通过;误判成 SR → 在无关器件上白做 FMEDA。

SEooC(Safety Element out of Context)是这一步的特例。一颗 MCU、PMIC、传感器芯片在开发时并不知道会装进哪台车、承担哪个安全目标,芯片厂只能基于假设的安全需求(assumed safety requirements)——假定 ASIL 等级、假定安全目标、假定使用场景——按 ISO 26262 流程开发,交付 Safety Manual 里的"assumptions of use"。集成商的义务是在整车语境下验证这些假设仍然成立(assumption validation):芯片假定的 ASIL、故障处理时间(FTTI)、诊断测试间隔、外围电路要求若与实车不符,芯片厂给的 FMEDA 数字就不能直接用。SEooC 让安全 IP 可跨项目复用,但把"假设是否兑现"的举证责任压回集成商——这是 III 类器件选型最容易翻车的隐性条款。

这是喂给指标的核心分类。对一个安全相关要素的某个失效模式,先问两件事:它会不会违背安全目标?有没有安全机制覆盖它? 两个二元问题把失效率 λ 劈成互斥的桶,穷尽划分满足:

各桶的判定依据(ISO 26262-5:2018 Clause 8.4.2 / Annex B 的故障分类逻辑):

关键因果:有没有安全机制、覆盖多少,决定 λ 往哪个桶流。定义诊断覆盖率 DC = 被安全机制探测/控制的危险失效比例。若某失效模式无安全机制,则它的整份危险失效率进 SPF 桶;若有一个 DC 的安全机制,则被盖住的那部分 λSR·DC 降级为 detected-MPF,漏网的那部分成残余故障:

其中 λSR 是该失效模式里能违背安全目标的那部分失效率(= λ 扣掉 safe 部分)。ISO 26262-5 Annex D 给了三档 DC 参考:低 60% / 中 90% / 高 99%——安全机制越强,残余故障越小。这条 λRF = λSR·(1−DC) 是整页最载重的一式:它把"选什么安全机制、做到几个 9 的覆盖"直接换算成进指标的失效率。

故障分类的桶一填满,三个指标就是这些桶的加权比值(全在安全相关硬件上求和)。ISO 26262-5:2018 用它们从三个不同角度证明架构够安全:SPFM 管"单点/残余故障有没有被机制盖住",LFM 管"潜伏故障有没有被暴露",PMHF 管"每小时危险失效概率的绝对值"。

单点故障度量 SPFM(Clause 8 / Annex C):残余+单点故障占总失效率的补——越接近 1,说明越少的失效能靠自己就违背安全目标。

注意分母是总失效率含 safe 故障——所以高 safe 故障占比(失效导向安全态的设计)会天然抬高 SPFM,这是"安全态设计"降指标压力的数学来源。

潜伏故障度量 LFM(Clause 9 / Annex C):潜伏多点故障占"扣掉单点/残余后剩余失效率"的补——罚的是那些自己不危险、却悄悄埋着等第二个故障来引爆的失效。

LFM 的对象主要是安全机制自身的失效:主功能坏了机制会报警,但机制自己坏了没人管——它就潜伏着,直到主功能也坏,双重失效酿祸。所以 LFM 高的关键是给安全机制加上电自检/周期自检(把潜伏测出来,降 λMPF,latent)。

随机硬件失效概率度量 PMHF(Clause 9 / Annex F):整个运行寿命内平均每小时的危险失效概率,单位 FIT(1 FIT = 1 次/十亿小时)。它是绝对量纲(SPFM/LFM 是无量纲比值),近似为单点+残余故障率,再加双点故障贡献:

双点项的物理意义:一个潜伏故障(λMPF,latent)与它对应的第二个独立故障(λDPF2)在寿命 T 内同时存在的概率——两个小失效率相乘再乘寿命,通常远小于残余项,所以PMHF 一般被 λRF 主导;但若潜伏测试间隔 τ 很长(自检稀疏),双点项会抬头。三个指标各有 ASIL 相关目标值(ISO 26262-5:2018 Table,Clause 8-9):

ASIL A 无定量硬件指标要求(只定性)。这张表是硬件安全设计的验收线:分类填桶 → 代入三式 → 对表判过/不过。

指标是系统级求和的,但工程要落到每个器件——于是要把系统指标目标反推成每要素的 DC 要求。逻辑是:给定 SPFM 目标,允许的总残余故障率有上限 Σλ_RF ≤ (1 − SPFMtarget)·Σλ;把这个上限按各要素的 λSR 分配额度,每个要素分到一个 λRF 上限,再由 λRF = λSR·(1−DC) 反解出该要素的 DC 下限。

写成可操作式:对要素 i,若分到的残余故障额度是 λRFalloc,则

这解释了一个反直觉现象:失效率大的要素(如 MCU 核、大 ADC)被逼着做更高的 DC,因为同样的残余额度除以更大的 λSR,要求 (1−DC) 更小。ASIL D 的 SPFM ≥ 99% 意味着全系统残余故障率不到总失效率的 1%,大 λ 器件几乎必须做到 DC ≈ 99%(lockstep、ECC、BIST 齐上)才够——这就是为什么 ASIL D 的 MCU 一定是带硬件安全岛的 III 类芯片,而不是靠外部诊断硬凑。§7 的 worked example 会把这条反推走一遍真数字。

拿一个真实安全相关硬件块走全流程:EPS/主驱里的相电流安全监控通路——分流电阻采样 → 电流采样放大器(CSA)→ MCU 内 ADC → MCU 核跑转矩合理性监控,外加一套安全机制逻辑(看门狗+自检引擎)。安全目标:防止非预期转矩,分配到本块 ASIL C。故障处理时间预算内,安全机制靠双路测量 + 范围/变化率合理性检查 + 核 lockstep。下面按 §4 的桶给每个要素做 FMEDA(λ 取 SN 29500 量级示意值,安全相关比例 fSR、DC 按 §4 三档取)。

先看总账:全块 5 个安全相关要素,总失效率 Σλ = 2+20+50+200+30 = 302 FIT。逐要素填桶(所有要素都配了安全机制,故 λSPF 全为 0,不单列;层级见括注):

第 1 步 填桶求和:所有要素都配了安全机制,故 ΣλSPF = 0(没有裸奔的单点故障)。残余故障 ΣλRF = 0.10+1.20+3.50+1.20 = 6.00 FIT——由 λRF = λSR·(1−DC) 逐行算:ADC 那行 35·(1−0.90) = 3.5 是最大残余源。潜伏故障只来自安全机制自身:ΣλMPF,latent = 30·(1−0.90) = 3.00 FIT(机制自检若做不到 90%,这块会失控)。

第 2 步 代 SPFM:

对 ASIL C 目标 ≥ 97% → 通过(但 < 99%,达不到 ASIL D,这是关键伏笔)。

第 3 步 代 LFM:分母 = Σλ − ΣλSPF − ΣλRF = 302 − 0 − 6.00 = 296.0。

对 ASIL C 目标 ≥ 80% → 通过(潜伏很低,因安全机制有 90% 自检覆盖)。

第 4 步 代 PMHF:残余项 6.00 FIT = 6.0e-9/h。双点项:潜伏机制故障(3 FIT)与它本该覆盖的功能故障池(已探测 MPF 合计 ≈ 0.9+10.8+31.5+118.8 = 162 FIT = 162e-9/h)在寿命 T ≈ 1e4 h 内共存,λDPF ≈ 3e-9 · 162e-9 · 1e4 ≈ 4.9e-12/h ≈ 0.005 FIT——可忽略(远小于残余 6.00 FIT)。故

对 ASIL C 目标 < 100 FIT → 通过(裕度极大;PMHF 被残余项主导,双点项在 τ 合理时微不足道)。本块 ASIL C 三指标全过。

第 5 步 反推每要素 DC(§6 的逆问题):假设客户升级需求为 ASIL D——SPFM 目标跳到 99%,允许总残余 Σλ_RF ≤ (1−0.99)·302 = 3.02 FIT。当前 6.00 FIT 超标一倍,超标全在 ADC(3.5)。把 ADC 的 DC 从 90% 提到 99%:新 λRF,ADC = 35·(1−0.99) = 0.35 FIT,ΣλRF 降到 0.10+1.20+0.35+1.20 = 2.85 ≤ 3.02 → SPFM = 1 − 2.85/302 = 99.06%,过 ASIL D。这正是 §6 反推的落地:ADC 的诊断覆盖率要求 DC ≥ 1 − 0.35/35 = 99%,不是拍脑袋而是从系统 SPFM 预算逐级摊下来的硬约束——也解释了为何 ASIL D 电流采样必须上带硬件自诊断的 III 类 ADC/MCU,靠外部 90% 合理性检查凑不出那第三个 9。

前面 §2-§7 是指标口径的分类(为算 SPFM/LFM/PMHF);工程选型还有一条正交的评估深度分级——I/II/III 类,决定你评估一颗器件要投多少精力。它沿一条单调递增的复杂度坐标:从"无内部安全机制+状态有限",到"有内部安全机制+必须了解实现细节"。二者关系是:I/II 类器件的 λ/DC 靠集成商自己做 FMEDA;III 类的 λ/DC 只能靠芯片厂在 part 级交付(呼应 §2 粒度、§3 SEooC)。

原因链:I 类状态少 → 实验室全组合可测 → 完全可观测、无隐藏系统性失效 → 省单元级评估;II 类模式有限但文档足 → 在不泄露实现细节前提下做安全分析 + 功能测试;III 类内部安全机制关联安全目标 → 必须了解实现细节才能评估 → 只能靠厂商安全开发文档,故 ASIL C/D + III 类器件应直接选功能安全认证件,否则自证 FMEDA 工作量极大(且往往拿不到 part 级 λ 数据)。

任何硬件要素都走同一条评估流程,只在第 3 步按类别裁剪深度。这是 ISO 26262 Part 8 支持过程推荐做法的工程化简化版——把 §2-§8 的分类动作串成可执行清单。

硬件要素分类不是孤立标签——它直接决定安全目标怎么分配、ASIL 怎么匹配、系统级 FMEDA 怎么算。这三件事是 §5 指标计算的上游输入。

关键判断:当系统 ASIL = C/D 且器件为 III 类时,必须选对应 ASIL 认证的功能安全芯片——否则集成商既拿不到 part 级 λ 分解、也补不出 §6 反推要求的高 DC,自证工作量极大且风险高。这与 §7 第 5 步"ASIL D 逼 ADC 做到 DC 99%"是同一条约束的两种表述。

前面公式都成立,但真实项目翻车常不在公式而在这几处"看着对、实则咬人"的地方。G1-G7 是按指标破坏力排序的高频陷阱,每条都附了观测到问题的可视信号。

三条工作极限角是指标体系在真实设计边界条件下最容易触顶的场景,每条给出量化预算和缓解路径。

• standard · standard_iso26262_part11 — ISO 26262 Part 11 Semiconductors