ISO 26262-7(2018)量产层细化:Production / Operation / Service / Decommissioning

普通汽车行业有 SC(Special Characteristics)概念——VDA Volume 6 / IATF 16949 都用,标注"对功能 / 安装 / 法规重要的尺寸或参数"。例:轮毂螺栓扭矩、活塞间隙。

Safety-related SC 多了一层:这条特性偏离会直接违反 SG。例:

• ECU 焊点回流温度(超 → 焊点失效 → 控制信号断 → SG 违反)
• 角度传感器标定数据(错 → 转向角度错 → SG 违反)
• 高压继电器接触压力(过低 → 接触不良 → 高压泄露 → 触电)

Production control plan 必须对 SC 单独标注(典型用菱形或 "SC" 标),并:

• 100% 控制(不能抽检,每件都测)
• 过程能力 ≥ Cpk 1.67(普通 SC 1.33 够,safety-related 要更严)
• 失效时强制停产(不允许"先放过等下批补")
• 完整记录可追溯(数年保存)

工程实务:EV 主驱 ECU 量产线上的 SC 测点典型 8-12 个——电源线绝缘电阻、ASIC FMEDA 自检、栅极驱动死区、resolver 校零、SiC 短路保护时间、CAN 信号完整性等,全部 100% 测+记录,任何一个 fail → 单板报废+追溯 lot。

这一节先把“PFMEA vs DFMEA”的判断维度收拢到同一视图里，后面的表格用于横向比较各选项的边界。

PFMEA 看"生产过程能不能让产品坏":

• 焊接温度过高 → 元件损伤(失效模式 / 严重度 / 频度 / 检出度 → RPN)
• 标定流程错 → 灌错数据 → ECU 行为错
• 工人混淆 ASIL D vs QM 元件 → 误装

每个高 RPN 项要有"防错措施"(Poka-Yoke):

• 防呆夹具(只能装对的方向)
• 防呆软件(part number 校验后才允许烧录)
• 关键参数测试 100%(不靠抽检)

Part 7 要求"reasonably foreseeable production process failures and their effects on functional safety shall be identified"——基本就是强制做 PFMEA。

这一节先给出“4 步流程”需要同时考虑的几个判断点，后面的条目按工程优先级展开。

1. Provide field data — 收集源:
   • 4S 店服务记录(VIN + 故障码 + 维修)
   • OTA 上传的诊断码
   • 司机投诉热线
   • 召回通知 / 法规事故通报
   • Tier 1 / Tier 2 反馈
2. Analyze for safety issues — 用统计 + 工程判断:
   • 同型号相同故障 PPM 超阈值
   • 新发现的 fault mode 不在 FMEDA 里
   • SG 违反的 near-miss 案例
3. Trigger actions — 决策:
   • 紧急 → 召回 / 立即停产
   • 中度 → 服务通报 + OTA fix
   • 轻度 → 文档更新 + 下批改进
4. Document and feedback — 信息回流到 FMEDA / Safety Case 更新

例:某车企 EV 主驱 ECU 量产 6 个月后,4S 店报告 50+ 起"无故进 limp mode",VIN 集中在某 lot。分析:

• Step 1:故障码全是 P0A4F(电机控制器内部故障)
• Step 2:对应 lot 的 PCB 是同一批 SiC 模块
• Step 3:DFMEA 推断该 lot SiC 模块 bond wire 老化早于设计预期
• Step 4:召回该 lot + 更新 FMEDA + Safety Case 增加 SiC bond wire age model

工程实务:Field Monitoring 不是 Part 7 单独干的事,它的输出反向触发 Part 5/6 的 update + Part 8 ECR + Part 2 impact analysis,是让 ISO 26262 真正成为 living standard 而不是一次性合规打卡的机制。

强制输出给最终用户的 safety 相关信息:

• 用户手册(警告 + 操作限制)
• 仪表盘警告灯含义(每个码什么意思 / 该怎么做)
• 紧急情况指南(高压泄露 / 火灾 / 起动失败)

这一节先给出“维修服务”需要同时考虑的几个判断点，后面的条目按工程优先级展开。

• 服务手册必须含 safety procedures(高压系统断电 / 接地步骤)
• 维修人员资质培训(EV 主驱必须 EV 高压维修证)
• 关键诊断工具 qualification(诊断仪本身按 Part 8 Clause 11 评估)
• 重新标定后强制重测 SC

Decommissioning 3 sub-phase:

• Before disassembling:司机 / 救援人员能识别危险(EV 警示标识 / 高压隔离开关)
• During disassembling:拆解流程书 + 防止高压电击 / 气囊误触发
• After disassembling:残值器件回收 / 危险物处理

工程实务:EV 救援 cards 是 Part 7 直接产出物——每款车给消防队 / 拆解中心一张 A4 卡(图示标 HV 母线位置 / 切割禁区 / 紧急断电按钮),救援人员 30 秒内能上手。