PMHF 推导

功能安全L3别名 ISO 26262 Part 5 · 26262-5 · SPFM 计算 · LFM 计算 · PMHF 计算 · λSPF λRF λMPF λS · residual fault · safe fault · 故障分类四件套 · hardware architectural metrics · 更新 2026-07-08

本质与导读

本质 Part 5 真正难的不是背 ASIL D 目标值,而是把硬件失效率 λ 拆成 λ_SPF/λ_RF/λ_MPF/λ_S 四类——谁算 safe fault、residual fault 的诊断覆盖率怎么定。Annex D 按元件类型给的 generic DC 只是 default 起点,项目里必须用 fault injection 实测出 specific DC 才算数。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. 失效率四分解(Annex C.1)

ISO 26262-5 Annex C 把每个 safety-related hardware element 的总失效率 $λ$ 强制分成四块:

ISO 26262-5 硬件开发流 — HW 安全需求 → 架构/详细设计 → 架构度量(SPFM/LFM)+ PMHF 评估 → HW 集成测试 + 故障注入

λ = λ_{S P F} + λ_{R F} + λ_{M P F} + λ_{S}

项	含义	工程含义
$λ_{S P F}$	Single-Point Fault	没有 safety mechanism 覆盖,单一失效直接违反 SG
$λ_{R F}$	Residual Fault	有 SM 但未被覆盖到的剩余部分
$λ_{M P F}$	Multiple-Point Fault	多重故障组合才违反 SG,= $λ_{M P F, D P} + λ_{M P F, L}$
$λ_{S}$	Safe Fault	失效但不可能违反 SG(器件断开导致系统进 default-safe 状态)

1.1 关键判定:Safe Fault 谁说了算

Safe fault 不是"我觉得这个失效不影响"——必须有论证:

失效后元件输出固定值 + 后级 SM 把固定值视为故障并触发 fail-safe → 是 safe
失效后系统级冗余通道继续工作且不掩盖故障(F-MUX 复用)→ 是 safe
失效会被多人审查的诊断流程一定捕获 + 在 FTTI 内反应 → 是 detected MPF,不是 safe

工程上激进算 safe fault 是常见审计失败原因——TÜV / SGS 评审会要每条 safe fault 都有 traceable 论证,口头说"这个不会有事"通过不了。

1.2 Multiple-Point Fault 的双重分裂

这一节先说明“Multiple-Point Fault 的双重分裂”为什么需要形式化表达，后面的公式用于把变量关系明确写出来。

λ_{M P F} = λ_{M P F, D P} + λ_{M P F, L}

$λ_{M P F, D P}$ :Detected/Perceived MPF——故障发生但被周期诊断捕获 + 司机得到提醒(仪表盘亮灯)→ 进维修
$λ_{M P F, L}$ :Latent MPF——故障发生但没人知道,直到第二个失效组合触发 SG 违反

工程上 LFM 的 90%(ASIL D)就是要让 latent 比例 ≤ 10%——这意味着 90% 以上的潜在故障要被周期诊断捕获,典型的"上电自检 + 运行时定期 BIST" 是覆盖手段。

2. Residual Fault 计算与 Diagnostic Coverage

Annex C.3 给出 residual fault 估算上界:

λ_{R F} \leq λ \times (1 - \frac{K D C , R F}{100%})

其中 $K D C, R F$ 是 SM 对该元件 SPF 的诊断覆盖率(也叫 $D C_{R F}$ )。

例:某 ADC 失效率 100 FIT,有一个 SM(软件合理性检查)对 ADC stuck-at 故障 $D C_{R F} = 90%$ 。则该元件的 $λ_{R F} \leq 100 \times (1 - 0.9) = 10$ FIT。

类似地 latent fault:

λ_{M P F, L} \leq λ \times (1 - \frac{K D C , M P F , L}{100%})

但 latent fault 的诊断覆盖是不同的 SM——Annex D 把"防 SPF 的 SM" 和"防 latent 的 SM" 分两类列。

2.1 三档诊断覆盖率

ISO 26262 工程默认的 DC 三档:

档	数值	工程含义
Low	60%	简单监控(死循环检测 / 看门狗喂狗)
Medium	90%	周期性自测 + 多检测点
High	99%	lockstep / DMR / 完整 BIST

ASIL D 经验:主要 SM 至少 90% (High 但不一定 99%),关键路径 99%——纯 99% 太严,会让 silicon area + power 翻倍。

3. SPFM / LFM 等式(Annex C.2 / C.3)

3.1 SPFM(Annex C.2 等式 C.7)

这一节先说明“SPFM(Annex C.2 等式 C.7)”为什么需要形式化表达，后面的公式用于把变量关系明确写出来。

S P F M = 1 - \frac{\sum _{S R, H W} ( λ _{S P F} + λ _{R F} )}{\sum _{S R, H W} ( λ - λ _{S} )}

分母:所有 safety-related 硬件元件的非 safe 失效率总和(safe fault 不参与计算,所以分母减 $λ_{S}$ )。分子:未被 SM 完全覆盖的部分(SPF + RF)。

物理含义:1 - "可能直接违反 SG 的失效率比例"。99%(ASIL D)意味着 99% 以上的 dangerous 失效都被 SM 覆盖到。

3.2 LFM(Annex C.3 等式 C.8)

这一节先说明“LFM(Annex C.3 等式 C.8)”为什么需要形式化表达，后面的公式用于把变量关系明确写出来。

L F M = 1 - \frac{\sum _{S R, H W} λ _{M P F, L}}{\sum _{S R, H W} ( λ - λ _{S P F} - λ _{R F} - λ _{S} )}

分母比 SPFM 又减了 $λ_{S P F}$ 和 $λ_{R F}$ ——只看 multiple-point 部分(SPF/RF 已经在 SPFM 计算过)。分子:潜伏未检测的 MPF。

90%(ASIL D)意味着 90% 以上的多重故障被诊断捕获(进 detected),只有 10% 留为 latent。

3.3 ASIL 目标值表

这一节先把“ASIL 目标值表”的判断维度收拢到同一视图里，后面的表格用于横向比较各选项的边界。

等级	SPFM	LFM	PMHF
ASIL B	≥ 90%	≥ 60%	≤ 100 FIT
ASIL C	≥ 97%	≥ 80%	≤ 100 FIT
ASIL D	≥ 99%	≥ 90%	≤ 10 FIT

注意:ASIL B/C/D 才有 SPFM/LFM 要求;ASIL A 没有(只有 PMHF 软目标)。

4. PMHF(Probabilistic Metric for Hardware Failures)

Annex C.4 + Clause 9.4.2 给出 PMHF 计算。简化形式:

P M H F \approx λ_{S P F} + λ_{R F} + \frac{1}{2} λ_{M P F, L}

物理含义:整个 vehicle lifetime(典型 15 年 / 8000 小时驾驶时间)内累积的 dangerous failure 概率。

ASIL D 要求 ≤ 10 FIT 是最难的——因为典型 ECU 几百 FIT 起,要降到 10 FIT 必须靠SM 把 70%+ 失效转成 detected(诊断捕获后维修,不进 PMHF 累积)。

实操:PMHF 比 SPFM/LFM 更敏感于 latent fault 的处理。一个 ASIL D 系统经常 SPFM/LFM 都达标但 PMHF 差 2-5×,说明 latent fault 周期诊断覆盖不够——上电自检 / 运行时 BIST 周期没设对。

5. Annex D:9 张诊断覆盖率参考表

Annex D 是 Part 5 最实用的部分,给出 9 类元件的 generic DC 表:

表	元件类型	典型 SM 例
D.2	E/E 系统	通用方法,不细分
D.3	电气元件(继电器 / 线束)	触点状态监测 / 短路对地检测
D.4	模拟元件(运放 / 比较器)	输入冗余 / 输出范围检查
D.5	数字元件(组合逻辑 / 时序)	lockstep / TMR / parity
D.6	内存(RAM / Flash / EEPROM)	ECC / CRC / pattern 测试
D.7	电源(LDO / SMPS)	输出电压监控 / OCP / OVP
D.8	时钟(晶振 / PLL)	时钟监控器 / 双时钟
D.9	传感器	range check / plausibility / 冗余
D.10	执行器	电流反馈 / 位置反馈 / 重启检测

每个表给"failure mode → 适用 SM → typical DC 60/90/99%"对应。

5.1 Generic DC vs Specific DC 的关键差异

Annex D 的 DC 是 generic typical——通用条件下的"典型"覆盖。项目里要用 specific DC,即:

算上 timing(SM 诊断周期 vs FTTI)
算上 implementation(具体 BIST 算法的实测覆盖)
算上 system-level masking(上层冗余的影响)

例:一个内存 SM "ECC" 的 generic DC = 99%,但如果 ECC 检测周期 > FTTI,specific DC 退化到 60%——故障在被 ECC 发现之前就违反 SG 了。审计员检查这个的方法是要求 fault injection 实验或解析论证。

5.2 FTTI 时序分解 — 为什么"诊断周期"直接决定 specific DC

上面那个 "ECC 检测周期 > FTTI" 的退化,根子在 FTTI 的时序分解:FTTI(Fault Tolerant Time Interval,故障容错时间间隔)不是一个孤立数字,它内部要串行塞进两段时间 —— 故障发生 → (故障检测时间)→ SM 检测到 → (故障反应时间)→ safe state,两段之和不能越过 FTTI,即 $t d e t + t r e a c t \leq FTTI$ 。

故障检测时间 $t d e t$ :对周期性诊断,上界就是 DTI(Diagnostic Test Interval,诊断测试间隔) —— 最坏情况故障刚发生在一次诊断之后,要等将近一个完整 DTI 才被下次诊断逮到,所以 $t d e t \approx DTI$ 。连续硬件监测(比较器、lockstep)没有"间隔", $t d e t \approx 0$ 。
故障反应时间 $t r e a c t$ (FRTI):从检测到进入 safe state,软件 SM 受控制周期 + 调度限制,硬件 SM 是门级延迟。

所以 "ECC 检测周期 > FTTI" 本质是 $t d e t \approx DTI$ 单独就超了整个窗口,故障在被发现前已违反 SG —— specific DC 必须按 $DTI + t r e a c t \leq FTTI$ 这条预算来核,而不是照搬 Annex D generic 表里的 99%。这也解释了为什么微秒级 FTTI(如 SiC SCWT 2-3 μs)只能用连续硬件监测( $t d e t \approx 0$ ):任何毫秒级周期诊断的 DTI 都塞不进去。完整时序预算推导见安全机制目录 §10 FTTI 时序预算。

6. Annex E 案例(简化)

Annex E 给出一个 ECU 含 7 个安全相关元件的 SPFM/LFM 完整计算(简化版本):

元件	$λ$ / $λ_{S}$ (FIT)	$λ_{S P F}$ / $λ_{R F}$	$λ_{M P F, L}$
MCU	50 / 5	0 / 0.5	4
SBC	20 / 2	0 / 0.2	1.5
电源	10 / 1	0 / 0.1	0.7
传感器	30 / 3	0 / 1.5	2.5
ADC	5 / 1	0 / 0.05	0.4
时钟	3 / 0.5	0 / 0.03	0.2
内存	8 / 0.8	0 / 0.08	0.7
总	126 / 13.3	0 / 2.46	10.0

计算:

$\sum (λ - λ_{S}) = 126 - 13.3 = 112.7$
$\sum (λ_{S P F} + λ_{R F}) = 0 + 2.46 = 2.46$
SPFM = $1 - 2.46/112.7 = 97.8%$ ← 满足 ASIL C(97%),不够 ASIL D(99%)
$\sum (λ - λ_{S P F} - λ_{R F} - λ_{S}) = 112.7 - 2.46 = 110.24$
LFM = $1 - 10.0/110.24 = 90.9%$ ← 满足 ASIL D(90%)

工程含义:这个设计LFM 达 ASIL D 但 SPFM 只达 ASIL C——必须增强 SM 来减小 $λ_{R F}$ (把覆盖率提升到 90% 以上的元件改成 99%)。最大头是传感器的 $λ_{R F} = 1.5$ FIT,优先动它。

7. FMEDA 端到端 Worked Design — TC397 + TLF35584 + UCC21750 ASIL D EV 逆变器

本节把 §1-§6 的数学框架落到一个完整的 FMEDA 算例上:400 V / 100 kW EV 主驱逆变器安全控制链,SG = "避免静止时意外加速"(ASIL D,FTTI = 200 ms),目标 SPFM ≥ 99% / LFM ≥ 90% / PMHF ≤ 10 FIT。全程用 §3 的两条度量式与 §4 的 PMHF 简化式手算,可逐格复核。

7.1 初始设计(v1)—— SPFM / LFM 同时不达标

下面六个 safety-relevant 硬件元件组成安全通道。各元件 FIT 是说明用代表值:量级取自 IEC 61709 通用可靠性模型与同类器件 Safety Manual 的类别典型值,不是某一版 datasheet 的精确引用,目的是把度量算法完整走通;真实项目须以器件当版 Safety Manual 的 base FIT 加 mission profile(温度/占空)折算替换。 $λ_{R F}$ 一律按 $(λ - λ_{S}) \times (1 - D C_{S P F})$ 上界取, $λ_{M P F, L}$ 按残余 latent 敏感基数 $\times (1 - D C_{L F M})$ 取。

列 $λ_{S P F} / λ_{R F}$ 与 $D C$ SPF/LFM 各合两值(斜杠分隔)以适配移动端：

元件	$λ$ (FIT)	$λ_{S}$	$λ_{S P F} / λ_{R F}$	$λ_{M P F, L}$	主 SM	$D C$ SPF/LFM
TC397 MCU (Lockstep)	50	5	0 / 0.45	4.46	Lockstep+BIST	99% / 90%
TLF35584 SBC	18	2	0 / 0.80	1.52	VDD 监控+WDT	95% / 90%
UCC21750-Q1 栅驱	10	1	0.50 / 0.45	1.61	DESAT(partial)	95%* / 80%
INA240 电流感测 ×3	15	1.5	0 / 0.60	1.14	软件范围检查	96% / 90%
SCT3080AL SiC	8	3	0 / 0.05	0.50	逆变器电流 SM	99% / 90%
低压辅助电源	5	1	0 / 0.04	0.40	VCC2 监控	99% / 90%
合计	106	13.5	0.50 / 2.39	9.63

*UCC21750 $D C_{S P F}$ 名义 95%,但仍余 $λ_{S P F}$ = 0.5 FIT:DESAT 无法覆盖 UVLO 阈值漂移与输出级内部短路这两类失效模式,它们是无 SM 覆盖的真单点故障。

SPFM(v1)按 §3.1 等式代入:

S P F M = 1 - \frac{λ _{S P F} + λ _{R F}}{λ - λ _{S}} = 1 - \frac{0.50 + 2.39}{106 - 13.5} = 1 - \frac{2.89}{92.5} = 96.9%

需 99%,差 2.1 pp,SPFM 不达标。LFM(v1)按 §3.2 等式代入:

L F M = 1 - \frac{λ _{M P F, L}}{λ - λ _{S P F} - λ _{R F} - λ _{S}} = 1 - \frac{9.63}{92.5 - 2.89} = 1 - \frac{9.63}{89.6} = 89.3%

需 90%,差 0.7 pp,LFM 也不达标。PMHF(v1)用 §4 的第一阶上界式(latent 项按半寿命平均暴露折半):

P M H F \approx λ_{S P F} + λ_{R F} + \frac{1}{2} λ_{M P F, L} = 0.50 + 2.39 + \frac{1}{2} \times 9.63 = 7.7 FIT

PMHF 偶然达标(≤ 10 FIT),但 SPFM / LFM 双双不达标,必须强化 SM。根因定位:

SPFM 最大贡献:UCC21750 $λ_{S P F}$ = 0.5 FIT(未覆盖 SPF 模式)加 TLF35584 $λ_{R F}$ = 0.80 FIT( $D C_{S P F}$ 仅 95%)
LFM 最大贡献:TC397 $λ_{M P F, L}$ = 4.46 FIT( $D C_{L F M}$ 仅 90%,BIST 覆盖率不足)

7.2 改进设计(v2)—— SPFM 改进措施

对三个短板组件实施 SM 强化,思路是消灭未覆盖 SPF 并把 $D C_{S P F}$ 顶到 99%:

UCC21750:增加独立 FAULT 引脚监控加 VCC2 UVLO 独立采样,消灭未覆盖 SPF, $λ_{S P F}$ 归 0;DESAT 加 FAULT 联合 $D C_{S P F}$ 到 99%, $λ_{R F}$ = $9 \times 0.01$ = 0.09 FIT。
TLF35584:增加外部独立 VDD 窗口比较器, $D C_{S P F}$ 到 99%, $λ_{R F}$ = $16 \times 0.01$ = 0.16 FIT。
INA240:增加 VCU 扭矩反馈合理性交叉校验, $D C_{S P F}$ 到 99%, $λ_{R F}$ = $13.5 \times 0.01$ = 0.135 FIT。
TC397:STL(软件测试库)覆盖率从 90% 提升至 99.5%, $D C_{S P F}$ = 99.5%, $λ_{R F}$ = $45 \times 0.005$ = 0.225 FIT。

元件	$λ_{S P F}$ (v2)	$λ_{R F}$ (v2)
TC397	0	0.225
TLF35584	0	0.160
UCC21750	0	0.090
INA240	0	0.135
SCT3080AL	0	0.050
低压辅助电源	0	0.040
合计	0	0.700

S P F M_{v 2} = 1 - \frac{0 + 0.700}{92.5} = 99.24%

即 SPFM 达标(≥ 99%)。

7.3 改进设计(v3)—— LFM 改进措施

SPFM 达标后 LFM 仍卡在 89.3%,改进重点转到提高周期诊断覆盖( $D C_{L F M}$ ),把 latent 转成 detected:

TC397:增加 Expanded STL(覆盖 ALU/FPU 更多失效模式)加缩短 BIST 周期, $D C_{L F M}$ 到 93%, $λ_{M P F, L}$ = $44.55 \times 0.07$ = 3.12 FIT
TLF35584:加 Challenge-Response WDT, $D C_{L F M}$ 到 92%, $λ_{M P F, L}$ = $15.2 \times 0.08$ = 1.22 FIT
UCC21750:增加定期 DESAT 自检脉冲, $D C_{L F M}$ 到 90%, $λ_{M P F, L}$ = $8.91 \times 0.10$ = 0.89 FIT
INA240 / SCT3080AL / 低压辅助电源不变

元件	$λ_{M P F, L}$ (v3)
TC397	3.12
TLF35584	1.22
UCC21750	0.89
INA240	1.14
SCT3080AL	0.50
低压辅助电源	0.40
合计	7.27

LFM 分母 $= 92.5 - 0 - 0.700 = 91.8$ FIT,代入 §3.2 等式:

L F M_{v 3} = 1 - \frac{7.27}{91.8} = 92.1%

即 LFM 达标(≥ 90%)。

7.4 最终 v3 三指标汇总

两轮定向强化后,把 v3 的三个架构度量并列复核,确认同时越过 ASIL D 的三条线:

S P F M_{v 3} = 99.24% \geq 99% ✓

L F M_{v 3} = 92.1% \geq 90% ✓

P M H F_{v 3} \approx 0 + 0.700 + \frac{1}{2} \times 7.27 = 4.34 FIT \leq 10 FIT ✓

从 v1(SPFM 96.9% / LFM 89.3%)到 v3(SPFM 99.24% / LFM 92.1% / PMHF 4.34 FIT)需要两轮定向 SM 强化。关键教训:SPFM 和 LFM 的薄弱点不在同一元件——SPFM 卡在栅驱/SBC 的 SPF 覆盖,LFM 卡在 MCU 潜在故障的诊断频率。分开攻克比"整体提升所有 DC"更省 silicon area 与验证成本。

版本	SPFM	LFM	PMHF	判定
v1(初始)	96.9%	89.3%	7.7 FIT	全部不达标
v2(SPF 改进)	99.24%	89.3%*	5.5 FIT	SPFM 达标 / LFM 不达标
v3(最终)	99.24%	92.1%	4.34 FIT	全部达标

*v2 只强化了防 SPF 的 SM,尚未改善 latent 诊断,故 LFM 仍是 v1 值;v3 再动 $D C_{L F M}$ 后合并计算。v2 的 PMHF = $0 + 0.700 + \frac{1}{2} \times 9.63 = 5.5$ FIT(latent 项还没降)。

8. Gotcha 链(7 项高频工程陷阱)

本节把 §1-§7 隐含的工程陷阱显式列出,每条对应真实 TÜV / OEM 审计里反复出现的失败模式。

8.1 把 reset-after-fault 算 Safe Fault 但没论证时序

常见错误是 ECU 遇到任何 FAULT 立即触发 MCU reset,工程师就把该失效标注为 safe fault。但 reset 完成需要 10-50 ms:EV 主驱 FTTI = 200 ms 的系统没问题,而 SiC 短路 SCWT FTTI = 3 μs 的系统 reset 根本来不及到达 safe state。审计时被 TÜV 要求移除 safe fault 标注后 $λ_{S}$ 大幅压缩,SPFM 会从 99.2% 跌到 97% 不达标。修正:safe fault 必须包含时序论证——"reset 完成时刻 ≤ FTTI 减 FRTI",且整条链(reset 加 MCU boot 加 IGBT/SiC 关断)的最长路径 ≤ FTTI。

8.2 ECC DC Generic 99% 照搬但诊断周期超 FTTI

ECC 检测内存 bit-flip 的 generic DC = 99%(Annex D.6)。若 ECC 只在读操作触发、而读周期大于 FTTI,则在 FTTI 内故障未被发现,specific DC 退化到 60% 甚至更低。这最常见于 Flash/NVM 存储的 safety-relevant 数据:写一次后只在周期性校验时才读取,校验间隔远大于 FTTI。修正:specific DC 必须按 $DTI + t r e a c t \leq FTTI$ 预算核算——连续读取路径可用 99%,低频读取路径从 60% 起算。

8.3 PMHF 漏计 Latent 项

简化 PMHF 时常有人只写 $P M H F = λ_{S P F} + λ_{R F}$ ,漏掉 $\frac{1}{2} λ_{M P F, L}$ 。本算例中 $\frac{1}{2} \times 7.27 = 3.6$ FIT 占 PMHF 的 83%,漏掉会把真实的 4.34 FIT 显示成 0.7 FIT,假性通过 10 FIT 目标。修正:PMHF 三项缺一不可,latent 项量级通常大于 SPF 加 RF 项。

8.4 ASIL 分解后子元件 SM 须重新独立论证 DC

Part 9 的 ASIL D 分解为 B(D)+B(D) 后,每个 B(D) 通道的 SM 要独立论证达到 ASIL B 的 SPFM(90%)与 LFM(60%),不能把两通道合并算一个整体 SPFM 99%。工程师常误以为"分解后只需算组合指标"而跳过子通道独立 FMEDA。修正:分解等价于做两个独立安全案例,各通道各自满足对应 ASIL 目标,再用 DFA 证两通道独立(β ≤ 2%,per Part 9 Annex B)。

8.5 DC LFM 不等于 DC SPF,同一 SM 无法两用

Lockstep 是防 SPF 的在线 SM( $D C_{S P F}$ = 99%),但它不等于防 latent 的 SM。Latent fault 要被"周期发现",而 Lockstep 是实时比较:若两个核同时出现相同故障(共因),Lockstep 盲区就是 latent。BIST/STL 的 $D C_{L F M}$ 由 BIST 算法覆盖率决定,与 Lockstep 的 $D C_{S P F}$ 正交,混用同一个 99% 会导致 LFM 错算。修正:FMEDA 表格的 $D C_{S P F}$ 和 $D C_{L F M}$ 两列必须单独给数,并分别列出所用 SM。

8.6 多元件共源 CCF(Common Cause Failure)使独立性假设失效

PMHF 计算假设各元件失效独立。若 TC397 加 TLF35584 加 UCC21750 共用同一个 12 V LDO(设计中只有一个 VCC 来源),则 LDO 故障会同时影响三者,β 因子(共因失效比例)进入 PMHF 计算。Part 5 的 DFA 要求识别 CCF 并给 β,Annex D 给通用 β 约 1-5%。漏掉 CCF 时 PMHF 可被低估 5 到 10 倍。修正:做电源冗余(双 LDO 独立供电)或用 DFA 证明 CCF 路径已切断,每对共享资源的 safety-relevant 元件都要检查。

8.7 系统级 PMHF 分配误区:整机 ≤ 10 FIT 不等于每个 SG ≤ 10 FIT

PMHF ≤ 10 FIT 目标是针对每个 Safety Goal 的。一台 EV 逆变器若有 SG1(防意外加速 ASIL D)加 SG2(防意外减速 ASIL C)加 SG3(防过热 ASIL B),三个 SG 各自独立核 PMHF,不能把"整机 PMHF 6 FIT"分摊给三个 SG 说各自 2 FIT 达标——失效模式有重叠,要按最坏 SG 单独算。修正:为每个 ASIL ≥ B 的 SG 建独立 FMEDA 表,共享元件(如 MCU)按最严 SG 的 ASIL 要求论证 SM。

9. Corner 分析(3 个边界工况)

前面的算例都在标称工况下成立;下面三个边界工况会让某个度量在纸面达标、实车翻车——低温拉长诊断时序、寿命末期 FIT 老化、多 ECU 串联叠加 PMHF。每个都要在 FMEDA 冻结前显式核过。

9.1 冷启动低温:BIST 延迟增加使 DC LFM 退化

低温下 CMOS 翻转速度下降,BIST 执行时间延长(典型 ASIL D MCU 冷启动 BIST 最长可比室温多 20 到 40%)。若 BIST 在室温 DTI = 20 ms 满足 LFM,低温下扩展到 28 ms 而 FTTI = 200 ms 仍有余量;但若在 SiC 保护路径 FTTI = 3 μs 上,则无论温度 BIST 都无效。结论:低温 Corner 须用最慢 BIST 时序核 $DTI + FRTI \leq FTTI$ ,关键 Safety 路径上禁止依赖 BIST 做 FTTI 内检测。低温散文中的温度写作 −40°C。

9.2 寿命终点 EOL(15 年):FIT 率老化倍增使 PMHF 可能超标

电子元件可靠性遵循浴盆曲线:使用期故障率基本恒定,EOL 老化期故障率上升。IEC 61709 给出 CMOS FIT 率在 EOL 较 early-life 可升高 2 到 5 倍(温度应力主导)。若 PMHF(t=0) = 4.34 FIT,EOL FIT 率加倍则 PMHF(EOL) 约 8.7 FIT 仍 ≤ 10 FIT;但若 EOL 因子 3 倍则约 13 FIT 超标。处理:用 mission profile 加权 $P M H F_{e f f} = \int_{0}^{T l i f e} λ (t) d t / T l i f e$ ,或保守取 EOL FIT 乘全寿命——若超 10 FIT 则要增加在线状态监控提前预警(进 SM 而非改 FMEDA 数字)。

9.3 多 ECU 协同同一 SG:PMHF 加法超标

某些架构中 SG1(防意外加速)由 VCU(主驱)加 BMS(断高压)加 ADAS(降速请求)三个 ECU 共同保证。若每个 ECU 单独核 PMHF 均为 4 FIT,则架构拓扑决定整体如何合成:三路并联(只需任一触发 safe state)时整体 PMHF 极小,近似三个 FIT 的乘积再乘暴露时间;但若架构是"三路都必须正常、任一失效则 SG 违反"(AND 门),则

P M H F_{sy s} = P M H F_{V C U} + P M H F_{B M S} + P M H F_{A D A S} = 12 FIT > 10 FIT

即超标。修正:先明确架构是 OR 门(冗余)还是 AND 门(依赖),AND 门多 ECU 时须反算每个 ECU 的 PMHF 分配 ≤ 10/N FIT。

核心要点

失效率四分解 $λ = λ_{S P F} + λ_{R F} + λ_{M P F} + λ_{S}$ 是 Part 5 数学基础,safe fault 必须 traceable 论证
DC 三档 60/90/99%,ASIL D 关键路径 99%,大部分 90%
SPFM 看"非 safe 失效率里 SM 覆盖比例",LFM 看"MPF 里非 latent 比例",PMHF 看"全寿命累积概率"
ASIL D 三目标:SPFM ≥ 99% / LFM ≥ 90% / PMHF ≤ 10 FIT,PMHF 最难
Annex D 给 9 类元件的 generic DC 参考表,项目里要算 specific DC(timing + implementation + masking)
SPFM 没达 D 时优先减大头 $λ_{R F}$ ,LFM 没达 D 时优先增加周期诊断频率把 latent 转 detected

Engineering Objects

引用此页的结构化 Engineeri…

引用此页的结构化 Engineering Object(v2.0 Copilot 自动生成,不要手动编辑此段)。

metric · metric_dc — DC — Diagnostic Coverage
metric · metric_lfm — LFM — Latent Fault Metric
metric · metric_pmhf — PMHF — Probabilistic Metric for Random HW Failures
metric · metric_spfm — SPFM — Single Point Fault Metric
standard · standard_iso26262_part5 — ISO 26262-5 (2018) 硬件层

Cross-references

← 索引
功能安全(Functional Safety):FuSa 总框架
ISO 26262 硬件要素三类分类:I/II/III 类硬件元件分类
DFA / FMEDA / FTA:安全分析方法实战
硬件元件评估:元件评估流程
硬件元件分类:分类方法
HV 主驱逆变器 ISO 26262 安全概念:FSC/TSC 上层应用
扭矩安全(Torque Safety ASIL D):应用层安全功能
安全机制目录:SM 库
电流采样 SM:传感器 DC 例
栅极驱动诊断 SM:驱动 DC 例
IEC 61508 概览:ISO 26262 母标准
FMEDA DC ↔ FI 验证矩阵:§7 worked design 数字的实测验证与回填协议