LFDT 深度 — Latent Fault Detection Time + MPF 演化

ISO 26262-5:2018 §7.4.3.2 把安全相关硬件故障对某个安全目标分三类:safe fault(不致害)/ single-point 或 residual fault(一次即违背 SG)/ multiple-point fault(须叠加第二故障才违背,又细分 perceived / detected / latent)。latent fault 是 MPF 里最危险的一支——它先坏的是 SM 本身且静默,要等下一次 primary fault 才暴露。下图把 SPF / MPF / LFDT 一次说清:

3 个核心区分:

• SPF:单次失效 → 直接 SG 违背(无 SM 缓冲),计入 SPFM/PMHF 的单点项
• MPF:两个(或更多)独立故障叠加 → SG 违背;§7.4.3.2 NOTE 2 指出实务上一般只分析到 dual-point
• Latent Fault:MPF 的一支——SM 本身静默失效,在 detection interval 内既未被 SM 检出也未被驾驶员感知,等下一次 primary fault 暴露

LFM (Latent Fault Metric) 衡量"MPF 里被覆盖(检出/感知/本身 safe)掉的比例"。ISO 26262-5:2018 Clause 8(架构度量评估)给出公式,分母是"总失效率扣掉已计入 SPFM 的单点与残余",分子是潜伏的 MPF 失效率:

$LFM=1-\frac{{\lambda }_{MPF,L}}{{\lambda }_{total}-{\lambda }_{SPF}-{\lambda }_{RF}}$

其中:

• ${\lambda }_{MPF,L}$:latent(未检出/未感知)MPF 失效率 —— MPF 拆成 ${\lambda }_{MPF}={\lambda }_{MPF,DP}+{\lambda }_{MPF,L}$,DP 是 detected/perceived 那支
• ${\lambda }_{total}$:安全相关硬件总失效率(ISO 里是对 SR,HW 求和的 $\sum \lambda$)
• ${\lambda }_{SPF}$:单点故障失效率,已计入 SPFM
• ${\lambda }_{RF}$:残余故障失效率,已计入 SPFM(本页早期版本记作 ${\lambda }_{residual}$,同义)

λMPF,L 从哪来:保守估计 ${\lambda }_{MPF,L}\le \lambda \cdot (1-\frac{D{C}_{\text{MPF,L}}}{100\%})$ —— latent 失效率 = 器件失效率 × (1 − latent 诊断覆盖率)。这一步把 LFDT 和 LFM 连起来:SM 只有在 LFDT 窗内检出 latent 才算数(§7.4.3.4 NOTE 1),LFDT 达标才拿得到高 $D{C}_{\text{MPF,L}}$,才压得低 λMPF,L,才顶得起 LFM。

ASIL D 目标:LFM ≥ 90%(§8.4.6 Table 5,B/C/D = 60/80/90%;SPFM 另有 Table 4 = 90/97/99%,别混)。

LFDT 是检测 latent 的时间窗口,但要说清它在 ISO 里的确切落点,否则和量化侧的 MPFDI 对不上。

• ISO 原文锚点:ISO 26262-5:2018 §7.4.3.4 a) 要求 SM 能在 "acceptable multiple-point fault detection time interval for latent faults"(可接受的潜伏故障多点检测时间间隔)内检出并进安全态/告知驾驶员;NOTE 1 进一步钉死:若 SM 的 fault-handling time interval 长于该 detection time interval,则该故障不算被覆盖(即仍是 latent)。工程口语的 LFDT = SM 实际检出+反应时间,ISO 侧的约束 = 它必须 ≤ 那个 detection time interval。
• 术语对齐:本页的 LFDT 窗、量化页 PMHF 定量建模 里的 MPFDI(Multiple-Point Fault Detection Interval) 是同一个窗,只是这里从"SM 设计视角"叫 LFDT、那里从"双点失效率视角"叫 MPFDI。数量关系:双点项时间窗 $\tau \approx \text{MPFDI}/2$(潜伏故障在区间内均匀到达 → 平均暴露半个间隔),而 MPFDI ≈ 本页各 SM 的 LFDT 上限。
• 物理约束:latent fault 发生后,必须在配对 primary fault 到来前检出;否则 SM 缺位 → primary fault → SG 违背。这不是"LFDT ≤ MTBF(primary)"这种均值关系,而是上面 NOTE 1 那条硬约束(fault-handling ≤ detection interval)。
• Power-on BIST 类 SM 的 LFDT 上限 ≈ 一个驾驶周期(key-on→key-off,量级 ~1h):BIST 只在上电跑,所以它能保证的最坏 detection interval = 最长一次不熄火行程;~24h 只是车长期不熄火(如充电桩停车、长途)时的最坏连续运行假设,非典型驾驶周期长度(见 §12 Corner C1)。

LFDT 不是一个数,而是按 SM 的检测机制天然分成四个量级带,跨了六个数量级(μs→h)。选 SM 的第一性原则:短 LFDT 用硬件并行检测,长 LFDT 用软件周期/上电自检——检测越频硬件代价越高,只在 primary fault 到达节奏快、容不得潜伏的地方才付得起。

LBIST + MBIST 是 LFDT 最长的一档 SM,存在的理由很硬:硬件 SM(lockstep 比较器、ECC 编解码逻辑)平时没有独立对象去测它自己,只有把已知激励灌进去、对已知响应,才能判它有没有静默坏——这正是 BIST。代价是它要独占硬件、必须放在上电阶段。

SRAM ECC 是典型的"中等 LFDT"SM,但要注意一个陷阱:ECC 只在该地址被访问时才纠错;冷数据(常量、栈底)可能长期不被读到,单 bit 软错在那里静默累积,直到攒成 ECC 纠不了的双 bit 错。scrubbing 就是为消除这个 latent 窗而生的——主动周期巡访全 RAM,不等应用来读。

Flash 存的是程序和标定常量,一旦 bit 翻转(retention 退化、写扰动)就是静默的代码/数据损坏——没有 ECC 的区块靠周期 CRC 兜底。它是 LFDT 谱系里仅次于上电 BIST 的长窗 SM,靠一个低优先级 task 分片把全 Flash 滚一遍:

• 启动时全 Flash CRC 算 1 次(上电基线)
• 运行时低优先级 task 周期分片续算,不抢 ASIL D 任务
• 整个 Flash 算完 ~10 s 量级 → LFDT ≈ 10 s
• 与 Flash ECC 互补:ECC 抓可纠软错,CRC 兜住 ECC 覆盖不到的整块一致性

EV 主驱 ASIL D 项目典型:

这套 SM 组合下,latent 覆盖($D{C}_{\text{MPF,L}}$)加权后系统 LFM ≈ 95%,满足 ASIL D ≥ 90% 要求——具体 FIT 分解与算法见 §10 worked design。关键读法:表里每一行的 LFDT 决定该 SM 能贡献多少 latent 覆盖(LFDT 越短、覆盖越可信),而最长的那行(power-on BIST)是 LFM 的短板,硬件 SM 自身的 latent 全压在它身上。

LFDT 是设计声明,签字前必须用实测把每条声明钉死——FMEDA 表里填的 $D{C}_{\text{MPF,L}}$ 和 LFDT 若没有 fault injection 证据支撑,评审直接拒签。五项验证:

• SM 完整性测试 — Fault Injection 每个 SM 注入 latent fault,验证检测到
• 检测时间测试 — 实测 LFDT,不超 datasheet
• LFM 计算 — FMEDA 工具自动算 ≥ 90%
• Power-on BIST 覆盖 — 测试 LBIST + MBIST 覆盖率 ≥ 95%
• 周期 task 不影响 ASIL D — 验证周期 SM 不抢 ASIL D 任务时间

用 Infineon AURIX TC397(典型 EV 主驱 ASIL D MCU)走一遍从 LFDT 到 LFM 到 PMHF 的全链。数字为代表性量级、用于演示算法闭合(精确值以订到的 AURIX TC3xx Safety Manual + 配好的 FMEDA 版本为准),内部自洽(各项相加 = 总 FIT)。

LFDT/LFM 计算高频出错点,每条都有根因与修法。

G1 LFDT 用均值而非最坏间隔:把"SM 平均每 100 ms 跑一次"当 LFDT,而 §7.4.3.4 NOTE 1 要的是最坏 fault-handling interval ≤ detection interval。power-on BIST 的 LFDT 是"最长一次不熄火行程",不是"平均行程";用均值系统性高估 LFM(对齐 PMHF 页 G3)。

G2 硬件 SM 自身的 latent 漏算:lockstep 比较器、ECC 编解码逻辑平时无对象可测,它们自己静默坏掉就是典型 latent,只有 BIST 抓得到。FMEDA 里给 lockstep 记 99% DC 却不给"比较器自身 latent"配 power-on BIST,LFM 数字虚高——latent 覆盖的短板恰恰是这些"SM 的 SM"。

G3 LFM 目标与 SPFM 目标混表:ASIL D 是 SPFM ≥ 99%(Table 4)+ LFM ≥ 90%(Table 5),两张表两个数。把 latent 也按 99% 卡是过设计,按 SPFM 的比率去推 LFM 达标是欠设计;两个 metric 分子分母定义不同,不能互推。

G4 冷数据 ECC 假覆盖:ECC 只在该地址被访问时纠错;不做 scrubbing,冷数据(常量区、栈底)的单 bit 软错静默累积成 ECC 纠不了的双 bit。只要"有 ECC"就记满 latent 覆盖、不看 scrub 周期 = 高估 LFM,真实 latent 窗是"应用碰巧读到"的不可控长度。

G5 交到量化侧时 τ 忘折半 / Tlife 用日历:LFDT(=MPFDI)喂给 PMHF 双点项时,时间窗 $\tau \approx \text{MPFDI}/2$(潜伏均匀到达取平均),直接用 MPFDI 会把双点项翻倍;且 $T_{\text{life}}$ 取通电小时(~8000–12000 h)非日历 70k h(对齐 PMHF 页 G2)。

G6 BIST 覆盖率当"latent 全清":LBIST/MBIST 有测不到的角落(部分模拟、IO、未纳入 BIST 的 IP),这部分 latent 仍需别的 SM 或只能降级处理。把 BIST 覆盖率(如 90%)直接当"上电后 latent 归零"会漏掉那 10%,LFM 与 PMHF 双双乐观。

三个正常预算算不出、但会让 LFDT 声明失效的边界情形。

C1 停车/充电态 detection interval 退化:power-on BIST 只在 key-on 触发;EV 在 EVSE 充电桩停车数十小时仍通电但不重启,BIST 整段不跑,latent 窗从"~1h 行程"扩到"数十 h 停充 + 多次行程"。LFDT/MPFDI 声明必须覆盖最长连续不熄火区间(含停充态),否则 LFM 被高估(对齐 PMHF 页 C2)。

C2 BIST 依赖的时钟/电源自身是 latent:LBIST/MBIST 靠内部 PLL/OSC 与电源驱动;若 OSC 本身是未被独立 SM 覆盖的 latent 候选(外部 CMU 只监控参考时钟,MCU 内部 OSC 漂移可能在检测窗外),则 BIST 这条检测链自己是 latent 的,LFDT 声明连根失效。须从 safety manual 核 OSC/电源诊断路径的独立性。

C3 分解后两冗余通道 latent 检测的独立性:ASIL D 经 B(D)+B(D) 分解成两通道时,若两通道的 latent 检测共用同一个 BIST 引擎 / 时钟树 / 供电,一次共因(CCF)会同时让两路 latent → 分解的独立性假设破,系统 LFM 名义达标但实际不成立。必须用 DFA 论证 latent 检测路径的独立性,而非只算单路 LFM。

国产车规 MCU 近年在功能安全认证上进展明显,但读 datasheet/新闻稿要分清产品认证(该型号做到该 ASIL 的度量)和流程认证(公司具备该 ASIL 开发能力)——两者常被混为一谈。核对下来的公开事实:

现状小结:国产已能拿 ASIL B 产品认证(杰发 AC7840x),头部拿到 ASIL D 产品认证(芯驰 E3);但器件级公开的 LFDT/LFM/PMHF 数字仍少(FMEDA 与 safety manual 多需 NDA),且 EV 主驱 ASIL D 量产仍以 Infineon AURIX / NXP S32 / ST Stellar 为主。选型第一步就是问器件商要产品级 safety manual + 可配 FMEDA,别拿公司 process cert 当型号能力。

LFDT 是 ASIL D 项目的 latent fault 时间预算 — latent SM 必在配对 primary fault 前被发现,LFM ≥ 90% 强制(§8.4.6 Table 5)。ISO 原文锚点:§7.4.3.4 NOTE 1 要求 SM 的 fault-handling 时间 ≤ multiple-point fault detection time interval,否则故障不算被覆盖;这个窗就是量化侧的 MPFDI($\tau \approx \text{MPFDI}/2$)。主流 SM 按 LFDT 分层:CPU lockstep CCC(100 μs)+ SRAM ECC scrubbing(100 ms)+ Flash CRC(10 s)+ Power-on BIST(~1 驾驶周期 ~1h)——短 LFDT 用硬件并行 SM,长 LFDT 用周期/上电自检,硬件 SM 自身的 latent 全压在最长的 BIST 上(短板)。主驱 ASIL D worked:TC397 单芯片典型 LFM 95%、PMHF 8 FIT;加 SBC 外部诊断后系统 PMHF 降到 0.9 FIT。LFDT 估错(冷数据 ECC 假覆盖 / BIST 依赖时钟自 latent / 停充态窗退化)= FMEDA 拒签 = 项目重做。