FTA 三法 + 双点时间窗

功能安全L1别名 PMHF · Probabilistic Metric for random Hardware Failures · Markov FMEDA · FTA 量化 · 双点失效率 · MPFDI · 双点检测间隔 · 更新 2026-07-10

本质与导读

本质 SPFM/LFM 是覆盖率(比率),而 ASIL D 的 PMHF < 10 FIT 是绝对失效概率率——SPFM 99% 不代表 PMHF 过,因为还要把绝对失效率和双点失效算进去。关键:双点(潜伏)失效率 = λ_det·λ_lat·τ,时间窗 τ 由潜伏故障检测间隔 MPFDI 决定,上电自检 vs 从不检测能差好几个数量级,这才是 PMHF 成败的真正杠杆。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. PMHF 为什么不能只看 SPFM/LFM

SPFM/LFM 衡量的是"危险失效里被覆盖了多少"(比率);PMHF 衡量的是"单位时间真出危害的概率"(绝对率)。一个高 SPFM 的设计若元件总 FIT 很大,绝对残余率仍可能超 10 FIT。下图把三者关系 + PMHF 三项来源一次摆开:

PMHF 三项来源（单点 + 残余 + 双点）与三种算法概览

PMHF 的三类贡献来源:

单点失效 SPF:无 SM 覆盖的危险失效,直接以失效率 $λ_{SPF}$ 贡献
残余失效 RF:有 SM 但未被覆盖的那部分, $λ_{RF} = λ \cdot (1 - D C S P F)$
双点失效 DPF:单个故障不致危害,但潜伏故障 + 第二故障同时存在才酿成——率正比于两失效率之积 × 同时存在的时间窗

前两项是"率级"(直接 1/h),第三项是"率²×时间"——这就是为什么双点项算法上最容易出错,也是 PMHF 与 SPFM/LFM 的根本分野。

2. 闭式法 — ISO 26262-5 Annex F.2 一阶公式

Annex F.2 给的是一阶近似:把三类贡献相加,可在 FMEDA 表里逐行累加,手算/工具都用它做首版估算。

PMHF = \sum λ_{SPF} + \sum λ_{RF} + (\sum λ_{DPF,det}) \cdot (\sum λ_{DPF,lat}) \cdot T l i f e

各项含义:

$\sum λ_{SPF}$ — 单点故障失效率累加(对该安全目标)
$\sum λ_{RF}$ — 残余故障失效率累加 = $\sum λ \cdot (1 - D C)$
$\sum λ_{DPF,det}$ — 可探测的双点故障率(被 SM 检测的那条腿)
$\sum λ_{DPF,lat}$ — **潜伏(未探测)**的双点故障率(没被任何 SM/驾驶员发现的那条腿)
$T l i f e$ — 整车运行(通电)小时(EV 典型 ~8000–12000 h;注意 ≠ 日历 8 年的 ~70k h,双点窗按通电时间算)

这条全局式是保守上界: $(\sum λ_{det}) \cdot (\sum λ_{lat})$ 把所有探测腿与所有潜伏腿交叉相乘,会把本不构成同一危害对的组合也算进去 → 系统性高估。精确做法是逐对求和(见 §2.1):只对真正成对的 det/lat 相乘。全局式当快速上界用,瓶颈项必用逐对(或 Markov/FTA)精确化。

2.1 双点项的物理:逐对 λ·λ·τ 与时间窗

双点失效要两个独立故障同时存在,按对算:某条潜伏腿先坏(率 λlat),被发现前平均潜伏一段时间 τ;这段时间里配对的探测腿也坏(率 λdet),才酿成危害。单对联合率与总双点项:

λ_{DPF} \approx λ_{lat} \cdot λ_{det} \cdot τ (单对), DPF \sum = i \sum λ_{lat, i} \cdot λ_{det, i} \cdot τ_{i}

时间窗 τ 的取值:从不检测取 $τ \approx T l i f e$ (保守);更细的一阶取 $τ \approx T l i f e /2$ (潜伏故障在 $[0, T l i f e]$ 均匀到达 → 平均暴露半个寿命);周期检测取 $τ \approx$ MPFDI/2。量纲 $(1/ h) \cdot (1/ h) \cdot h = 1/ h$ 自洽。关键洞见:把 τ 从"从不检测( $T l i f e$ )"缩到"上电自检(≈ 一次行程时长)",双点项降几个数量级——这正是 LFM(潜伏故障覆盖)在 PMHF 上的杠杆。

2.2 一阶法的局限

一阶公式假设不可修复(automotive 现场修复率 μ=0)、单一检测间隔、故障率恒定(指数分布)。它高估双点项(取 τ=Tlife 的保守上界),架构稍复杂(分级检测、混合可修)就需要 Markov 或 FTA 精确化(见 §3、§4)。Part 10 明确一阶只作首版,签字版常要更精确法。

3. Markov 法 — 状态机精确建模

Markov 把系统建成状态 + 转移率:正常态经失效率 λ 转到故障态,经检测/修复率 μ 转回或转到安全态,危害态吸收。PMHF = 危害态的时间平均到达率。它能自然表达分级检测、可修复、双点的先后顺序,是 Part 10 的精确法。

PMHF 的 Markov 状态机：单点直达危害 + 双点经潜伏中间态

3.1 状态与转移

最小双点模型四态:

OK — 全好。经 λSPF 直达危害(单点);经 λlat 进潜伏态
潜伏 — 潜伏腿已坏但未被发现。经检测率 μMPFDI 回 OK(被周期自检抓到);经探测腿失效率 λdet 进危害
危害 — 安全目标违背(吸收态)
若系统可修复(automotive 现场一般不可,μ_repair=0;但维保/年检可建为低 μ)

3.2 怎么解

稳态/瞬态解线性微分方程组,取危害态在 $[0, T l i f e]$ 的平均到达率即 PMHF。潜伏态停留时间 ∝ 1/μMPFDI:检测越频(μ 越大)潜伏停留越短,双点危害率越低——与闭式 §2.1 的 τ 是同一回事的精确版( $τ \approx 1/ μ_{MPFDI}$ 量级,周期 τ 取间隔的一半)。Markov 比闭式准在:它不取保守的 τ=Tlife,而用真实检测率 μ。

4. FTA 量化法 — 顶事件切集

FTA(故障树)从"安全目标违背"顶事件往下建逻辑门,叶子是基本事件(元件危险失效)。量化规则:

OR 门(单点):任一基本事件即顶事件 → 概率/率相加(罕事件近似)
AND 门(双点):须全部发生 → 概率相乘,且双点要叠时间窗(同 §2.1 的 τ)
最小切集(MCS):能使顶事件发生的最小基本事件组合;一阶 MCS = 单点,二阶 MCS = 双点

顶事件率 ≈ Σ(一阶切集率) + Σ(二阶切集率 × τ)。FTA 的优势是可视化共因路径:把共享资源(共 supply/共 reset)显式画成同一基本事件喂多个门,直接暴露 DFA 关注的依赖失效。复杂主驱常 FMEDA(算度量)+ FTA(查共因路径)并用。

5. MPFDI — 潜伏故障检测间隔怎么定

双点项的大小由潜伏腿的检测间隔主导,这就是 MPFDI(Multiple-Point Fault Detection Interval)。三档取值直接拉开 PMHF 量级:

检测方式	MPFDI 量级	双点项相对	例
上电自检(BIST/LBIST)	一次行程时长(零点几~数小时)	最小	每次启动跑 RAM/ROM/lockstep BIST
周期在线自检	任务周期(ms–s)	极小	运行时 SBST 分片、ECC 巡检
维保/年检	数千 h	中	4S 店读 DTC、年检
从不检测	$T l i f e$	最大(闭式保守上界)	无 latent SM 的潜伏故障

工程结论:潜伏故障必配检测(把 MPFDI 压到行程级),否则双点项吃掉整个 PMHF 预算。这就是 LFM ≥ 90% 这道阈的物理意义——逼你给潜伏故障上二次检测。

6. 三法对照 — 何时用哪个

三种算法精度/成本递增,工程上分阶段用:

方法	精度	成本	适用
闭式 Annex F.2	一阶(保守高估双点)	低(表格累加)	首版估算 / FMEDA 工具默认 / 快速 gap 判断
Markov	高(可建分级检测/可修复)	中(建状态机)	签字版 / 复杂检测时序 / 有维保的系统
FTA	高 + 可视共因	中–高(建树)	复杂架构 / 共因路径排查 / 与 DFA 联动

实务:工具(Polarion/IQ-FMEDA)先出闭式 PMHF 做 gap,瓶颈项(通常是双点)再用 Markov/FTA 精确化。三法对同一系统应收敛到同量级——若闭式远高于 Markov,多半是 τ=Tlife 的保守造成,缩 MPFDI 即收敛。

7. Worked Design — TC397 + TLF35584 400V/100kW EV主驱 PMHF 五步算

本节用 TC397 锁步 MCU + TLF35584 安全 SBC 双芯片系统,完整走一遍 §2 闭式法的五步流程。器件参数取自本站 MCU-SBC ASIL D 集成 §10 的代表性量级;精确值须以订到的器件安全手册版本为准。

系统定义:400V/100kW 电动驱动 ECU,安全目标 SG-T-1(失控扭矩)ASIL D,PMHF 目标 < 10 FIT。

Step 1 — 器件失效率建模

两芯片互为对方的独立诊断来源:TC397 Lockstep 内部冗余给极高内部 DC,TLF35584 从独立 die/电源/时钟域外部监控 MCU;MCU 则以 WD 喂狗序列监控 SBC 响应。下表汇总各器件的代表性 $λ_{D}$ 与安全机制覆盖率:

器件	$λ_{D}$ (FIT)	安全机制	$D C_{spf}$ ( $%$ )	$λ_{res}$ (FIT)
TC397(Lockstep+LBIST+RCCU)	100	内部锁步+TLF35584 WD 监控MCU	99.9	0.1
TLF35584 SBC	40	TC397 周期性 WD 喂狗+CMU 监控	90	4.0

TC397 锁步内部 DC=99%,TLF35584 以独立 die/时钟/电源再覆盖 MCU 残余 90%，合计 MCU 有效残余 0.1 FIT。SBC 自身 90% 被 TC397 WD 互相监控,残余 4.0 FIT 作为 SBC 侧潜在残余。

Step 2 — 单点 + 残余贡献

两器件互为对方的诊断通道,系统级有效 SPF+RF 贡献:

λ_{SPF+RF} = 0.1 + 0 \approx 0.1 FIT

(SBC 4.0 FIT 残余已被 TC397 WD 覆盖 ≥ 90%,有效贡献 ≈ 0;精确值见 MCU-SBC §10)

Step 3 — 双点失效(DPF)

选最具代表性的一个 det/lat 配对:

潜伏腿:TLF35584 FAULT 引脚上报通路失效( $λ_{lat}$ ≈ 2 FIT);由 TC397 每次启动 BIST 后重置 WD 顺序验证,MPFDI ≈ 0.5 h(平均行驶时长)
探测腿:TC397 RCCU 比较输出失效( $λ_{det}$ ≈ 1 FIT);被 TLF35584 Challenger WD 监控(任务周期级)

τ \approx \frac{MPFDI}{2} = \frac{0.5}{2} = 0.25 h

λ_{DPF} = λ_{lat} \cdot λ_{det} \cdot τ = 2 \times 1 0^{- 9} \cdot 1 \times 1 0^{- 9} \cdot 0.25 = 5 \times 1 0^{- 19} /h \approx 0 FIT

结论:BIST 把 MPFDI 压到行程级(0.5 h)后,DPF 项降至可忽略量级——与 §5 的物理直觉完全吻合。若潜伏腿无任何 SM(τ = $T_{life}$ = 10000 h),同一对 DPF = $2 \times 1 0^{- 9} \cdot 1 \times 1 0^{- 9} \cdot 1 0^{4} = 2 \times 1 0^{- 14} /h$ ≈ 0 FIT——两腿各自失效率不高时即便保守 τ 双点项也小;危险的是高 FIT 潜伏腿配高 FIT 探测腿不加检测(反例见后)。

Step 4 — 共因失效(CCF)

TC397 CMOS FinFET 与 TLF35584 BCD 工艺异构,按 IEC 61508-6 Annex D 评分法:

β = 2% (异工艺 + 独立电源域 + 独立时钟树)

λ_{CCF} = β \cdot λ_{D} (SBC) = 0.02 \times 40 = 0.8 FIT

(CCF 取较弱链路——SBC 是系统安全链上的单一 element,参考 ASIL D 分析)

Step 5 — PMHF 汇总与 ASIL D 核验

将三项贡献按闭式法直接相加,验证是否满足 ASIL D 目标:

PMHF = λ_{SPF+RF} + λ_{DPF} + λ_{CCF} = 0.1 + 0 + 0.8 = 0.9 FIT ≪ 10 FIT ✓

余量 11×。关键发现:CCF 项占 89%——改变工艺选型(β=5%→2%)的工程回报比提升单通道 DC 高一个数量级。若改用同类 CMOS SBC(β=5%),CCF=2.0 FIT,PMHF=2.1 FIT(PASS 但余量降至 4.8×)。

反例:若 TLF35584 FAULT 引脚上报路径失效( $λ_{lat}$ =10 FIT)完全无检测(τ= $T_{life}$ =10000 h),配高 FIT 探测腿( $λ_{det}$ =10 FIT),双点项 = $1 0^{- 8} \cdot 1 0^{- 8} \cdot 1 0^{4} = 1 0^{- 12} /h$ ≈ 0.001 FIT——仍可忽略。说明在真实器件 FIT 量级(个位数至数十 FIT),双点项通常远小于 CCF 和 SPF+RF;系统性超标的真正凶手往往是 ① 高总 FIT + 低 DC → 大 SPF+RF,② 同工艺/共电源 → 大 CCF。

8. Gotcha — 7 条工程陷阱

PMHF 计算高频出错点,每条都有根因与修法。

G1 全局式双点项高估:Annex F.2 的全局式 $(\sum λ_{det}) \cdot (\sum λ_{lat}) \cdot T_{life}$ 把系统内所有 det 腿与所有 lat 腿交叉相乘,与真实安全目标无关的对组也计了进去,可系统性高估 DPF 项 5–20×。精确做法:对每个安全目标逐对求和 $\sum_{i} λ_{lat, i} \cdot λ_{det, i} \cdot τ_{i}$ ,只对真正同一危害路径成对的两腿相乘。全局式只用作首版快速上界。

G2 Tlife 用日历时间:EV 主驱通电运行寿命约 8000–12000 h(按行驶里程和每次时长估);日历 8 年 ≈ 70080 h。误用日历时间会让双点 τ 高估 6–9×,DPF 项随之虚增——ISO 26262-10:2022 明确双点时间窗取通电(运行)小时。

G3 MPFDI 混用均值而非上界:MPFDI 是"潜伏故障被检测到的最大允许间隔"(LFM 要求层面的设计上界,用于确定 τ=MPFDI/2)。把"SM 每 100 ms 平均运行一次"的均值直接当 τ,而非按 MPFDI 定义取最坏间隔(如 BIST 仅每次上电,MPFDI 就是最长行驶间隔),会低估 τ 并高估 LFM。

G4 SPFM 高就假设 PMHF 一定过:SPFM=99% 只保证覆盖率比率(相对量);PMHF 是绝对概率率。高总 FIT 系统(λD_total=1000 FIT)即便 SPFM=99%,绝对残余 = 1000×1% = 10 FIT,正好踩 ASIL D 上界。PMHF 须独立计算,不能用 SPFM 数值推代。

G5 漏算 CCF:ISO 26262-5:2018 Annex F.2 基本公式只列 SPF+RF+DPF,CCF(共因失效)是附加项——共电源/共 GND/同 PCB 的 MCU+SBC 若不按 IEC 61508-6 Annex D 评 β 并显式建模,会大幅低估 PMHF。TC397+TLF35584 案例中 CCF 占 PMHF 总额 89%,是第一大贡献项。

G6 FIT 未做 Arrhenius 折算:MIL-HDBK-217/SN29500 FIT 参考点为结温 55–70°C;直接用于 Tj=125°C 工作点会系统性低估失效率(Arrhenius 加速因子在 Si 激活能 ≈0.7 eV 条件下约 3–8×)。不折算的 PMHF"达标"在真实工作温度下可能超标,需按器件安全手册指定的基准温度和激活能做 Arrhenius 修正后再填 FMEDA。

G7 潜伏腿与探测腿定义反:潜伏腿是"无任何 SM 在 MPFDI 内检测到"的那条故障;探测腿是"被某 SM 检测到、进入安全态处理"的那条。混淆后把"有 DC 覆盖的腿"(应定义为 det)误当"潜伏腿"用 Tlife 展开,算出的双点项物理上错误——被检测到的腿不会"潜伏"等待第二故障,混淆会导致虚大的 DPF 项。

9. Corner — 3 条边界场景

C1 ASIL D 分解后的 PMHF 预算分配:B(D)+B(D) 分解时,ISO 26262-5 Table 6 规定每条子路径 ASIL B 目标为 PMHF < 100 FIT——但系统级仍须满足 ASIL D < 10 FIT。两路各取满值(各 100 FIT)则合并后系统 PMHF ≥ 200 FIT,超标 20×。正确做法:从系统级 PMHF 目标向下拆分预算,每路通常分配 ≤ 5 FIT(留 CCF 裕量),然后检验两路合并后系统级 PMHF 满足 < 10 FIT。参见 ASIL 分解深度。

C2 停车/充电态 MPFDI 退化:某些 SM(如扭矩监控 WDT)仅在驾驶/主驱模式激活——EV 在 EVSE 充电站停车 48-72 h 仍通电(HV 充电管理可用),SM 不激活期间潜伏故障的时间窗从"行驶周期 ~0.5 h"扩大到"充电停车 72 h + 多次行驶周期"。FMEDA 中 MPFDI 必须覆盖最长连续无检测区间(包含停车态),否则 DPF 项被低估、LFM 被高估。

C3 MCU 内置 BIST 依赖时钟的自检失效:TC397 LBIST 依赖内部 PLL/OSC 驱动;若 OSC 本身是未被独立 SM 覆盖的潜伏故障候选(TLF35584 CMU 仅监控外部时钟参考,MCU 内部 OSC 漂移可能超出 CMU 检测窗),则 BIST 这条检测 SM 自身也是潜伏的。此场景下 MPFDI 不能按"每次上电 BIST"算,须从器件安全手册核实 OSC 诊断路径独立性,否则 LFM 数字被高估、τ 被低估。

核心要点

PMHF 是绝对率阈(ASIL D < 10 FIT),与 SPFM/LFM(比率)不同;SPFM 过 ≠ PMHF 过
闭式一阶: $PMHF = \sum λ_{SPF} + \sum λ_{RF} + \sum λ_{DPF,det} \cdot \sum λ_{DPF,lat} \cdot T l i f e$ (全局式是保守上界——交叉计数;精确按逐对求和 $\sum_{i} λ_{lat} λ_{det} τ_{i}$ )
双点项 = 两失效率之积 × 时间窗 τ;τ 由潜伏故障检测间隔 MPFDI 定,从不检测取保守 $T l i f e$
潜伏必配检测把 MPFDI 压到行程级,否则双点项吃掉 PMHF 预算——这是 LFM≥90% 的物理意义
三法:闭式(首版,高估双点)/ Markov(精确,可建分级检测可修复)/ FTA(可视共因,与 DFA 联动)
工具先出闭式做 gap,瓶颈双点项再 Markov/FTA 精确化,三法应收敛同量级
Worked Design(TC397+TLF35584):PMHF = 0.1 + 0 + 0.8 = 0.9 FIT(余量 11×);CCF 主导 89%,降 β(异工艺)比提升单通道 DC 回报高一个数量级
Gotcha:G2 $T_{life}$ 必须用通电时间非日历时间;G5 漏算 CCF 是 PMHF 低估最常见根因;G4 SPFM 高不等于 PMHF 过
Corner:C1 分解后每路 PMHF 须从系统级目标(10 FIT)下拆分而非取 ASIL B 上界(100 FIT);C2 停车/充电态 MPFDI 需单独评估

缩写表

缩写	全称	中文
PMHF	Probabilistic Metric for random Hardware Failures	随机硬件失效概率度量
FMEDA	Failure Modes, Effects and Diagnostic Analysis	失效模式、影响与诊断分析
SPFM	Single-Point Fault Metric	单点故障度量
LFM	Latent Fault Metric	潜伏故障度量
SPF	Single-Point Fault	单点故障
RF	Residual Fault	残余故障
DPF	Dual-Point Fault	双点故障
DC	Diagnostic Coverage	诊断覆盖率
FIT	Failure In Time	每 $1 0^{9}$ 小时失效数
SM	Safety Mechanism	安全机制
MPFDI	Multiple-Point Fault Detection Interval	多点故障检测间隔
BIST	Built-In Self-Test	内建自检
LBIST	Logic BIST	逻辑内建自检
SBST	Software-Based Self-Test	软件自检
ECC	Error Correcting Code	纠错码
FTA	Fault Tree Analysis	故障树分析
MCS	Minimal Cut Set	最小切集
DFA	Dependent Failure Analysis	相关失效分析(ISO 26262-9)
ASIL	Automotive Safety Integrity Level	汽车安全完整性等级
DTC	Diagnostic Trouble Code	诊断故障码

Cross-references

← 索引
FMEDA 深度 — SPFM/LFM/PMHF 的失效分类与覆盖率基础(本页的前置)
ASIL 分解深度 — 双点失效的独立性前提(DFA)与共因；C1 Corner 的预算分配
MCU-SBC ASIL D 集成 — TC397+TLF35584 五步 PMHF 完整推导(§7 Worked Design 数字来源)
ISO 26262-9 ASIL 分析 — DFA/β 因子评分法与 CCF 独立性论证
driver IC FMEDA worked — 器件级 FMEDA 数字来源
EV ECU FMEDA 集成 — 三链合并后的系统级 PMHF
Safe State Manager 深度 — 探测腿/安全态如何降单点残余