ISO 26262-7(2018)量产层:Production / Operation / Service / Decommissioning

Safety-related SC 与 IATF 16949 的普通 SC 有共同基础(重要尺寸 / 参数影响功能),但增加了一条判据:偏离会直接导致 Safety Goal 违反。控制层级相应更严:

载重归属校正(maker≠checker):ISO 26262-7 Clause 6.4 只要求为 safety-related special characteristics 定义有效的控制措施、保证过程偏差不损害功能安全,并不写死 Cpk 数值,也不逐字规定 "100% inspection"。"Cpk ≥ 1.67 / 100% 检测" 这两个具体量值来自 IATF 16949 + AIAG SPC 对 critical/significant characteristics 的要求(critical/safety 特性 Cpk ≥ 1.67 ≈ 0.6 PPM,普通特性 1.33),再由 OEM CSR 叠加。把 "100% / 1.67" 说成 "ISO 26262 条文里的数字" 是常见误引——正确表述:ISO 26262-7 要求控制措施有效,IATF/OEM CSR 负责定量。

量产线 SC 典型 12 个测点,按 SG 影响排优先级:

判定规则:任意 SC 不合格 → 该单板报废 + lot 追溯(非放行待审)。SC-03 的 tblank ∝ Cblank(DESAT 恒流充电),68 pF → 816 ns、680 pF(10× 误料)→ 8160 ns,后者 > SiC 短路耐受(SCWT/SCSOA)约 3 μs,直接让短路保护失去时间裕度。

生产初期必须完成 Gage R&R(MSA) 才能得到有效 Cpk 结论。SC-02 VEE2 负压轨的 MSA 要求:GRR ≤ 10%(优)/ ≤ 30%(勉强可接受),量具误差超 30% 时 Cpk 结论不可信,导致 PPAP 质量门失分。GRR 判据来自 AIAG MSA 手册(< 10% 可接受、10-30% 视情况可接受、> 30% 不可接受),非 ISO 26262 数值。

过程 FMEA(PFMEA)处理"生产过程能否让产品坏",与产品设计 FMEA(DFMEA,Part 5/6/9)正交:

Part 7 是过程 / 量产层,不是软件层——软件开发是 Part 6。ISO 26262-7 Clause 5.4.1.4 明确要求识别"reasonably foreseeable production process failures and their effects on functional safety"——即强制 PFMEA。

本表按 2019 AIAG-VDA PFMEA 手册 AP 矩阵(非旧版 RPN)。AP 决策的铁律:Severity 是主导项——S 9-10(安全 / 法规)无论 O、D 多低,AP 恒为 H:

Part A — 失效分析(FM-ID / 过程 / 模式 / 影响 / S / 原因)

Part B — 控制与行动(FM-ID / O / 检测 / D / AP / 改进)

FM-P04 是常见 PFMEA 陷阱:S=10 的项若因 "O、D 都低" 被评成 M 就错了——AIAG-VDA AP 表对 S 9-10 全部返回 H(Severity 优先)。且 "工具无 VIN 绑定" 是缺预防控制,Occurrence 不该给 1(1 = 已用成熟防呆消除原因),这里给 3 更诚实。

防呆优先级:消除原因 > 防止机会 > 检测。FM-P01 / FM-P02 / FM-P04 / FM-P05 均靠防呆(壳体 / 编码 / VIN 绑定 / 二维码)根治,FM-P03 靠过程控制 + 100% 测试。

ISO 26262 量产期最被忽视的条款就是 Field Monitoring。Clause 7.4.1.1 强制要求:建立覆盖全车辆寿命的 field failure 收集 → 分析 → 行动 → 反馈闭环。

数据来源不只是客户投诉,还包括:4S 店维修记录(VIN + 故障码 + 维修行为)、OTA DTC 远程上传(实时)、Tier 2 RMA 数据、监管机构事故通报、召回通知。只记 hotline 会漏掉 >90% 的 field signal。

以下 PPM 阈值是 OEM CAD(Customer-Agreed Data)里的典型量级,不是 ISO 26262 规定(见 G3):不同 OEM 从 5 PPM 到 50 PPM 不等,本表仅为示例:

背景:某 EV 主驱 ECU 量产 6 个月,4S 店报告 50+ 起"无故进 limp mode",VIN 集中在某 lot。

• Step 1(Collect):故障码全是 P0A4F(电机控制器内部故障),关联 lot SiC 模块为同一批次。
• Step 2(Analyze):DFMEA 推断该 lot SiC 模块 bond wire 老化早于设计预期(温度应力超预期)。
• Step 3(Action):召回该 lot + 下一批提高 SC-09 热阻测试频率(从 100% 首件抽测升为 100% 全检)。
• Step 4(Document & Feedback):更新 FMEDA 加入 bond wire age model → Safety Case delta review → Part 2 impact analysis → 量产 control plan 版本升级。

关键教训:Field Monitoring 不是 Part 7 单独执行的活动——其输出反向触发 Part 5/6 设计更新 + Part 8 ECR + Part 2 管理层 impact analysis。

Part 7 Clause 5.4.3.4(用户信息)与 5.4.3.7(救援服务信息)——均属 Clause 5(Planning),work product 5.5.7 / 5.5.10——规定提供给最终用户的 safety 信息:用户手册(操作警告 + 限制)、仪表警告灯含义与处置步骤、紧急情况指南(HV 泄漏 / 火灾 / 启动失败)。

EV Rescue Cards 是 Part 7 直接产出物——每款车给消防队 / 拆解中心一张 A4 卡,图示标注 HV 母线位置 / 切割禁区 / 紧急断电按钮。标准要求:救援人员 30 秒内可操作;每次 OTA 改变 HV 架构(如新增 Pyro fuse)必须同步更新。

维修手册必须包含 safety procedures(HV 系统断电 / 接地步骤),且维修人员必须具备相应资质(EV 高压维修证)。重新标定后必须重测相关 SC;诊断工具本身按 Part 8 Clause 11 评估 TCL。

拆解前(识别危险:EV 警示标识 / HV 隔离开关位置)→ 拆解中(逐步断电流程 + 防高压电击 / 气囊误触发程序)→ 拆解后(残值器件回收分类 + 危险物处置)。