ISO 26262-9(2018)ASIL 分析细化:分解规则 / 共存 / DFA / 安全分析

ISO 26262-9 §5.4.9 只允许下表列出的 8 种组合——括号外是分支的开发 ASIL,括号内是初始 SG 的 ASIL。这个括号标注在审计中极重要:B(D) 意味着"本分支按 B 开发,但须可追溯回 ASIL D 的 SG",文档义务、change control 严格程度都依据括号内 D 而非括号外 B。

用序数核对(A=1 / B=2 / C=3 / D=4 / QM=0)可一眼验合法性:两分支序数之和必须等于初始 ASIL 序数,且 QM(=0)只能与一个等于初始 ASIL 的满 ASIL 通道配对。任何"D → A + D"或"B → QM + B"这类和不守恒的组合都是非法分解。

三种 ASIL D 分解的本质差异在于对称性和监控深度——C(D)+A(D) 是非对称监控,主路径承载完整算法,监控路径只要能独立触发 safe state 即可达 A;B(D)+B(D) 是对称双冗余,两路都要完整实现并比较输出;D(D)+QM(D) 几乎无工程价值,QM(D) 分支按 D 的文档与 change control 强度约束,反而抬高工程量。

最常见是 C(D)+A(D)——主控 + 简单监控的非对称组合。B(D)+B(D) 用于真双冗余(转向、刹车主驱)。

§5.4.3 强调:两个分支必须 sufficiently independent。"足够独立"不是定性声明,而是要用 DFA(Clause 7)论证两分支无 CCF 且无级联失效路径。独立性论证不过 → 两分支都继承初始 ASIL D,没有任何降级效果。

DFA(Clause 7)是独立性论证的执行工具——找"共因失效"和"级联失效",论证不存在或被缓解。没 DFA 的 ASIL decomposition 是审计大坑。

最常见的分解形式:初始 ASIL D 的"主功能 + 安全机制"组合分解——主功能拿低 ASIL(因为故障由 SM 检测兜底),安全机制拿高 ASIL(因为它的失效直接违反 SG)。例:扭矩控制 ASIL D → 主算法 QM(D) + 扭矩监控 SM ASIL D(D)。

这种分解工程门槛高——SM 必须能在 FTTI 内独立检测主算法所有故障。简单 watchdog 不够(只检 hang),必须做 plausibility check + redundant computation。监控的覆盖范围决定了主功能能降多少 ASIL。

ASIL D → C(D) + A(D),C(D) 再分 → B(D) + A(D)——括号内 SG 的初始 ASIL 始终是 D,分支展开结果为 B(D) + A(D) + A(D) 三支(序数 2+1+1 = 4 仍守恒)。重复分解每次都要新的独立性论证,工程量叠加,实务中极少使用。

同一 MCU 上同时跑 ASIL D 扭矩控制、ASIL B 仪表盘亮灯、QM 数据 logger——如果 freedom from interference(时间/空间/信息隔离)论证充分(MPU + AUTOSAR OS 时间预算),三块各按各 ASIL 开发。否则 QM 的 logger 也得按 ASIL D 开发,这通常是不可接受的工程代价。

低 ASIL 不能 violate 高 ASIL 的安全要求——文字宽松,但审计员要求为每条高 ASIL 安全要求逐一做 freedom from interference 论证。常见漏洞:"你的 logger 在 stack overflow 时会不会写到扭矩控制的内存?""DMA 的 burst transfer 会不会占满 AHB 总线导致安全机制响应延迟?"

没 MPU 的 MCU 等于强制所有子元件按最高 ASIL 开发——工程上意味着 100% 软件测试覆盖要求等,实际不可行。参见 ISO 26262-6 软件层 的"无 MPU 混合 ASIL 痛"。

以下两类 dependent failure 的方向性不同,决定了 decomposition 与 coexistence 的论证深度差异。

Independence(完全独立)防两类;Freedom from Interference(免干扰)只防 cascading。ASIL decomposition 要 independence,coexistence 只要 freedom from interference。

DFA 评估的耦合因子类别构成 audit checklist——ISO 26262-9 Annex C 给的是这些定性类别清单(而非量化评分表),每类都必须在 DFA 报告里明确"否定存在"或"给出缓解措施":

1. 随机硬件失效:共用时钟/test logic/内部 LDO 同时挂
2. 开发缺陷:需求/设计/实现/新技术的共同错误
3. 制造缺陷:过程/流程/培训/控制计划
4. 安装缺陷:同一连接器/焊接缺陷
5. 维修与服务缺陷:同一维修程序
6. 应力(温度/振动/EMC):同板温度场、EMC 辐射
7. 环境(湿度/海拔/老化):同封装腔体
8. 共用资源:电源/时钟/内存/总线

Annex C 给 DFA 的定性框架:① 识别 coupling factors → ② 找 root cause → ③ 判定可信度(plausibility)→ ④ 设计缓解措施。实操中每个 coupling factor 一行,每行配一个 measure。关键澄清:ISO 26262-9 Annex C 与 ISO 26262-11 都只给耦合因子的定性类别;ISO 26262-11 §4.7.5.2 note 甚至明确不提倡用 β 因子(倾向"监控共享资源")。若要把 CCF 量化进 PMHF,实务上借 IEC 61508-6 Annex D 的 β 因子评分法(见 §6 worked design)——这是跨标准的常见做法,须在 DFA 报告里说明方法来源。

MCU + SBC 配对是典型的"异工艺 + 独立电源域 + 物理隔离"组合——详见 MCU + SBC ASIL D 集成。

软件 FMEA 比硬件 FMEA 难在于:硬件失效模式可枚举(短路/开路/漂移),软件失效模式不可枚举。常用做法是按 architectural element 分模块,为每个模块的数据流接口列"wrong data / wrong timing / no data"失效模式,再推到 SG 影响。

FTA 从 SG 违反开始向下推:"哪些 fault 组合能导致 SG 违反?"最终最小割集给出"几条独立路径上的 fault 同时出现才能违反 SG"——这就是 ASIL decomposition 的物理基础。商用工具(Isograph / ALD)输入元件 FIT + 诊断周期 → 自动算 PMHF。

Safety Goal: SG-01 "无意外扭矩 > 20 Nm 持续 > FTTI = 10 ms" → ASIL D

ASIL Decomposition: D → C(D) + A(D)(序数 3 + 1 = 4,合法)

分解合法性前提:两分支满足 §5.4.3 sufficient independence → 须 DFA 证明。

以下是针对 TC397 + TLF35584 的 8 类 DFA 分析表:

CCF 主要残余风险: 开发共因(同 Infineon 供应商)+ 供电共因(12V 完全丢失)。前者靠工艺多样性缓解;后者属于电源完全丢失,不属于"安全机制 CCF"(系统 safe-state 要求掉电安全)。

β 因子量化 CCF 在总失效率中的占比。由于 ISO 26262 本身不提供 β 评分表(见 §3.3),实务借 IEC 61508-6:2010 Annex D 的评分法:对若干防护维度打分,累积得分越高→β 越低,查表映射(可编程电子 β 区间约 0.5%–10%:高分档 ~0.5–1%,中分档 ~2%,低分档 ~5–10%)。下表是把 Annex D 维度对应到本架构的评分(维度权重为示意,实际以采用的 Annex D 版本表格为准):

判读:本架构在"多样性 / 元件多样性 / 分析反馈"三档拿满,落在 Annex D 的高分档 → β ≈ 2%(同供应商但异工艺 + 异设计团队 + 异元件类型的典型值——TC397 与 TLF35584 均为 Infineon,供应商多样性未得分,靠工艺/元件/团队多样性拿满)。若两分支同架构(§8 Corner 3)则跌到低分档 → β ≈ 5%。

工程意义:β = 2% 意味着 CCF 贡献为参与 CCF 的两通道中较小失效率的 2%。对 TLF35584 路径(代表性 ${\lambda }_{D,TLF}\approx 40$ FIT):

目标:系统级 PMHF < $10\times 10^{-9}$ h${}^{-1}$ = 10 FIT(ASIL D,ISO 26262-5:2018 Table 6;Table 4/5 分别是 SPFM/LFM 目标)。

Device parameters(该器件类的代表性量级,精确值须查各自 Safety Manual/NDA):

PMHF 计算(ISO 26262-5:2018 Annex B 简化式,三项叠加):

① 单点故障贡献(TC397 自身 SM 漏检,TLF35584 作第二层兜底):

TC397 lockstep 的 $D{C}_{SPF}=99\%$ → TC397 残余 SPF 率 = 1 FIT。 对这 1 FIT 中的每个事件:TLF35584 WD 独立检测到 CPU 不响应 Q&A → RSTB 复位。 TLF35584 对此检测的 DC ≈ $(1-{\lambda }_{SPF,TLF}/{\lambda }_{D,TLF})=1-0.10=90\%$。 系统残余 SPF 贡献 = $1\text{FIT}\times (1-0.90)=0.1\text{FIT}$

② 潜伏故障对贡献(两通道同时存在未被诊断的潜伏故障):

$=40\times 10^{-9}\times 16\times 10^{-9}\times 1000\text{h}=6.4\times 10^{-13}{\text{h}}^{-1}\approx 0\text{FIT}$

(年检周期诊断 TD = 1000 h 时潜伏对贡献可忽略)

③ CCF 贡献:

④ 总 PMHF:

关键发现:本架构中 PMHF 由 CCF 贡献主导(0.8/0.9 ≈ 89%),而非随机独立失效。这表明:提高 DFA 质量(降低 β)的工程收益远超提高单通道诊断覆盖率。若 β 降至 1%(异工厂/异算法)→ PMHF ≈ 0.5 FIT;若 β 升至 5%(同团队/同工艺)→ PMHF ≈ 2.1 FIT——仍 PASS,但已消耗 21% 预算。见 §8 Corner 3:同供应商 β 惩罚场景。