ISO 26262-1(2018)词汇体系:fault → error → failure 因果链与 FTTI 时间预算

ISO 26262-1 并不是从头定义所有词汇,而是继承 IEC 61508-4:2010 的母词汇集并做汽车特化。理解继承关系能防止用 IEC 61508 字典解读 ISO 26262 文件时出现语义漂移。

• 基本继承:fault / error / failure / safety / risk 的语义骨架与 IEC 61508-4 一致(fault=异常状态、error=偏差、failure=功能终止),这是两标准可对照阅读的基础。
• 汽车特化:hazard 在 IEC 61508 是 "potential source of harm",在 ISO 26262 增加限定 "caused by malfunctioning behavior of the item"——这把机械疲劳、驾驶员失误、SOTIF 场景排除在 hazard 范围外。
• 新增汽车概念:ASIL / FTTI / PMHF / HARA / Safety Goal / Safe State 均为 ISO 26262 首创,IEC 61508 用 SIL 而非 ASIL,无 FTTI 一族的时间预算词汇。

为什么拆三层而不直接说"某器件坏了导致系统失效"?因为 Diagnostic Coverage(DC)的论证必须说清楚安全机制在因果链的哪一层截住了故障。DC 是被检测故障率占总故障率的比例:

DC 用于单点故障(SPF)和潜伏故障(latent fault)时截面不同,这是 FMEDA 最高频的载重错点。

• 单点故障 DC:fault 从发生到造成 safety goal violation 的路径中,有多大比例被安全机制在 failure 发生前检测并处置?
• 潜伏故障 DC(DC 用于 LFM):对于不立即造成 failure 的 latent fault,诊断机制(STL/BIST/watchdog)能以多大比例在多点故障容忍窗内检测到?

同一安全机制的两个 DC 通常不相等:DESAT 保护对单点路径(直接导致误关断)DC 可达 97% 以上,但对潜伏路径(DESAT 电路本身缓慢劣化、暂不触发误关断)DC 可能只有 60%,因为 DESAT 电路自身未被周期性自检——这必须靠 DESAT BIST 补齐。

ISO 26262-1 定义 systematic failure:以确定方式与特定原因相关联的 failure,关键是它不随机——相同的开发/制造过程必然重现。它与随机硬件失效是两条正交的控制路径,证据不可互换。

• Random hardware failure:由物理机制(氧化、迁移、热疲劳)在物理元件中以概率方式发生的 failure。ISO 26262 用 SPFM/LFM/PMHF 定量控制。
• Systematic failure:由需求错误、设计错误、工具错误、工艺错误引入的确定性 failure。ISO 26262 用 V 模型 + safety measures + confirmation measures 控制,不能用 PMHF 代替。

工程师常误认为"SPFM/LFM 达标就完事了"——达标只证明 random hardware failure 受控,systematic failure 的证据在各 Part 的 Annex safety measures 符合性矩阵里,FMEDA 根本不覆盖它。

以 400 V / 100 kW EV 主驱逆变器为例,层级关系如下。整个逆变器系统是 item;它内部的每个组件是 element。

ASIL 分配方向:从 item 的 HARA 导出 Safety Goal,Safety Goal 携带 ASIL 等级,再通过 FSC(Functional Safety Concept)把 ASIL 分配到负责实现该 SG 的 element。方向永远是 item→SG→element,不能反过来先给某个器件贴 ASIL 再往上凑。

safety goal 定义:从 HARA 导出的、与 hazardous event 对应的顶层安全要求。绑定是单向的:一个 hazardous event 产生一个或多个 safety goal;但一个 safety goal 不能反向枚举它对应的所有 hazard。

这意味着:如果 HARA 识别了 H-01(意外扭矩输出)和 H-02(HV 泄漏),会产生两个独立的 SG-01 和 SG-02,它们各自对应不同的 element 分配和 FMEDA 论证路径。按 §4.2 的 worked HARA,两者的运行工况都是"行驶中"高频常态、都危及生命且乘员/驾驶员难以控制,故同为 ASIL D(H-02 的 E 评的是行驶工况暴露,而非绝缘失效的故障率,详见 §4.2 的经典陷阱)。把 H-01+H-02 合并到同一 SG 仍是高频错误——它们是不同的 hazardous event,合并会混淆各自独立的失效路径、稀释论证焦点、并让 FMEDA/安全措施无法按危害分别闭环,即便 ASIL 相同也必须拆分。

ISO 26262-3:2018 Clause 6 把风险拆成三个正交维度,每维离散分级。三维的最低档(S0 / E0 / C0)只要出现任一个,结果直接是 QM——因为无伤害、不可能发生、或完全可控的场景不构成 ISO 26262 意义上的风险。

• Severity(S,伤害严重度):S0 无伤害;S1 轻/中度伤害(可完全恢复);S2 严重且危及生命(存活大概率);S3 危及生命(存活不确定)或致命伤害。
• Exposure(E,暴露概率):E0 不可信(incredible);E1 极低概率;E2 低概率;E3 中概率;E4 高概率(如高速巡航,>10% 运行时间或几乎每次驾驶)。
• Controllability(C,可控性):C0 一般可控;C1 简单可控(>99% 驾驶员能避免伤害);C2 通常可控(>90%);C3 难以或无法控制(<90%)。

ISO 26262-3:2018 Table 4 把 (S,E,C) 组合映射到 ASIL。一个与 Table 4 完全等价、且被 SAE J2980 印证的速算法是"索引和":把 S(1-3)、E(1-4)、C(1-3) 相加,和 ≤6→QM,7→A,8→B,9→C,10→D。S3+E4+C3=10 是通往 ASIL D 的唯一组合,任一维度降一档(降到 9)即落到 ASIL C。

把它套到 400 V / 100 kW 主驱的危害 H-01(意外扭矩输出),每一维定级都能给出物理依据。

三维求和 3+4+3 = 10 → H-01 = ASIL D。作为对照,H-02(行驶中绝缘失效→乘员电击):S3(致命电击)/ E4(行驶中与高速巡航同为高频常态工况)/ C3(乘员无法控制电气)= 3+4+3 = 10 → ASIL D。这里有个经典 HARA 陷阱必须点破:Exposure 评的是运行工况(operational situation)的暴露概率,ISO 26262-3:2018 Clause 6.4.3 明确要求评 E 时把 malfunction/失效假定为已经发生——绝缘"失效本身的低概率"属于故障率,不得塞进 E。H-02 的运行工况是"行驶中",与 H-01 的"高速巡航"同属高频常态,故 E 应评 E4(至多 E3),而非把故障率误当暴露率评成 E2。若误评 E2 会得出 3+2+3=8→ASIL B,系统性低估两档;这与同页 H-01 按工况正确评出的 E4 自相矛盾。两个危害并非"因暴露差两档而分处 D/B"——它们暴露相当、同为 ASIL D;§3.2 必须拆成两个独立 SG 的理由不是 ASIL 差异,而是它们是不同的 hazardous event,各自绑定独立的 element 分配与 FMEDA 论证路径。

ISO 26262-1 明确:括号中的字母(如 "D")是分解基准 ASIL 标签,表示原始 ASIL D 要求经过 Part 9 的 ASIL 分解后分配到该 element 的等级。例如 "ASIL B(d)" 表示:该 element 承担一路分解、实现 ASIL B 级别要求,而这一路来自一个原本 ASIL D 的目标。

ASIL B(d) ≠ ASIL D:分解后每路元素只需满足分解后的等级,但独立性要求(Part 9 Annex D 的 DFA / 共因失效分析)必须同时满足——否则 ASIL B(d) + ASIL B(d) 不能合并声称等效于 ASIL D。

四个非 QM 等级的量化差异体现在 Part 5 的三个硬件度量目标上。下表数字来自 ISO 26262-5:2018 Tables 4–6(SPFM Table 4、LFM Table 5、PMHF Table 6);架构度量(SPFM/LFM)对 ASIL A 不强制,PMHF 对 ASIL A 也无目标值。

其中 PMHF 的 ASIL D 目标 $<10$ FIT 等于 $<10^{-8}/\text{h}$,ASIL B/C 的 $<100$ FIT 等于 $<10^{-7}/\text{h}$——ASIL B 与 C 的 PMHF 目标相同,梯度体现在 SPFM/LFM 上,这是易被记错为"逐级收紧 10 倍"的地方。

FTTI 不是标准规定的固定值,ISO 26262 并不给 FTTI 数值表——它由物理安全边界 + HARA 推导,分 operating mode 定义。以 400 V / 100 kW 主驱为例。

SG-01(意外扭矩输出→车辆失控):约束来自"从意外加速到驾驶员能有效介入(转向/制动)"的车辆动力学窗口。城市工况(60 km/h)下驾驶员感知+反应约 1–3 s,但高速工况(120 km/h,惊吓响应)收紧到数百 ms 量级;HARA 综合取 200 ms 作为 SG-01 的 FTTI(工程假设值,非标准查表)。

SG-02(HV 泄漏→电击):约束来自绝缘失效后乘员可接触到危险电压的最短路径。母线电容放电时间常数 $\tau =RC$;以 $C=3\text{mF}$、人体 $R=1\text{k}\Omega$ 计,$\tau =3\text{s}$,从 400 V 降到 60 V 需 $t=\tau \ln (400/60)\approx 5.7\text{s}$。绝缘失效不立即致命,真正 FTTI 由 HARA 结合 UN ECE R100 / GB 38031 的"HV 母线降至 60 V 安全阈值"要求给出;行驶模式下取数百 ms 级(反应=断开 HV 接触器 + 主动放电)。

硬件短路保护路径(DESAT)从 fault 到 safe state 的时序,数字取自 Infineon 1EDI3035AS DataSheet v01_00 的 DESAT 电特性表。DESAT 检测时间由外部消隐电容 CDesat 与内部 charge current 决定:

• tblank ≈ 816 ns:DESAT 消隐时间,由外部 blanking cap 设定 = CDesat × VDESAT2 / IDESATCS = $68\text{pF}\times 6\text{V}/500\mu \text{A}\approx 816\text{ns}$(VDESAT2 = 6 V、IDESATCS = 500 µA 为 datasheet typ)。
• tprop = 60 ns:输出级传播延迟(datasheet typ)。

其中 tDESAT2SOFTOFF = 180–210 ns(datasheet:从 DESAT 判定到激活 soft turn-off),tdischarge 为外部 soft-off 电阻把 VGS 缓慢拉到 Vth 以下、抑制 di/dt 的泄放时间。合计:

关键洞察:HW 路径的真实截止期不是 SG 级 FTTI(200 ms),而是 SiC 短路耐受时间 SCSOA(约 2 µs)。FHTI_HW ≈ 1.18 µs < 2 µs,仅约 1.7× 余量——这正是 blanking cap 必须精算的原因(选大了 tblank 抬高,可能撞破 SCSOA 炸管)。相对 SG-01 的 200 ms FTTI 余量高达 $200\times 10^6/1176\approx 1.7\times 10^5$ 倍,说明 SG 级 FTTI 从来不是 HW DESAT 环的约束。

真正贴近 SG-01 200 ms FTTI 的是 SW 扭矩监控路径(检测错误扭矩指令并进入安全状态):

SW 路径余量约 14×——这才是 SG-01 FTTI 设计张力所在:HW 环护器件、SW 环护整车安全目标。

上面的数字可以逐项对应 Part 1 词汇,把抽象定义钉到 DESAT 路径的物理实体上。

ISO 26262-1 定义 multiple-point-fault detection time interval(MPFDTI):能在多点 fault 组合触发 SG violation 前检测到 latent fault 的时间区间,用于 latent fault 的 LFM 论证。它和 FTTI 是两套时间尺度——FTTI 是秒/毫秒级的实时窗,MPFDTI 常是驾驶循环级的长窗。

以 TC397 Lockstep CPU 对为例。

• Lockstep 在线比对检测单点计算故障,延迟 ≈ 1 个 CPU 时钟周期(约 12.5 ns @ 80 MHz)。
• 对 Lockstep 比较器自身的潜伏故障,靠 LBIST 在每次上电(key-on)运行覆盖;因此其 MPFDTI ≈ 一个驾驶循环(上电到上电),而非某个毫秒级固定周期——LBIST 的执行时长(数 ms)只是测试耗时,不是检测周期。
• Lockstep + LBIST 对该 sub-element 的 LFM DC 可达 90% 以上。

因此 FMEDA 的 LFM 论证要说清:在 MPFDTI 窗内,系统靠哪种诊断机制、以多大概率检测到 latent fault——仅有 DESAT 保护不够,还需 BIST/STL/WdgM 补齐潜伏路径。