01

硬件隨機故障基本類型

為方便理解，在具體談硬件概率化度量前，我們先來看看硬件隨機失效的基本模式:

由上圖可知，ISO 26262將硬件隨機故障失效模式，按照發生故障的數目，是否可以被探測以及感知進行了分類，其主要特點總結如下:

單點故障? ?

─ 某個器件單獨導致功能失效的故障。

─ 單點故障可直接導致違背安全目標。

─ 單點故障意味著沒有任何安全機制，否則不能歸類為單點故障。

殘余故障? ?

─ 安全機制無法覆蓋的那部分故障(沒有100%覆蓋率的安全機制，如果一個安全機制覆蓋率為90%，那剩余的10%則屬于殘余故障)。

─ 殘余故障可直接導致違背安全目標。

─ 殘余故障至少存在一個安全機制。

潛在故障 ??

─ 既不被安全機制所探測，又不被駕駛員感知的故障。

─ 系統保持正常工作至所有獨立故障發生。

─ 潛在故障可直接導致違背安全目標。

可探測的故障

─ 通過安全機制可探測到的那部分故障。 ─ 通過安全機制探測到故障并進行顯示。

可感知的故障

─ 可以被駕駛員感知的故障。 ─ 可以有或者無安全機制進行探測。

雙點故障? ?

─ 兩個獨立的故障同時發生才會違背安全目標，則這兩獨立的故障屬于雙點故障。

─ 某故障和其對應的安全機制失效屬于常見的雙點故障。

─ 雙點故障又細分為可探測的雙點故障、可感知的雙點故障以及潛伏的雙點故障。

安全故障 ??

─ 不會導致違背安全目標的故障，例如某指示燈顯示故障，但不影響其正常功能。

─ 三點及以上的故障通常也被認為是安全故障(一般發生概率較低且所對應的安全機制過于復雜，所以歸類為安全故障)。

更多詳細介紹可以直接參考ISO 26262-10:2018第8部分。

02

硬件隨機失效率

為了對硬件隨機失效進行量化，引入了硬件隨機失效率λ，其定義為:

失效率是指元器件在單位時間內發生失效的概率，記為λ，一般以小時(h)作為時間計量單位，所以其單位為: 次/h。

考慮到電子元器件失效率極低，所以一般采用FIT (Failures In Time) 來計量，1 FIT=1次失效/10^9 h。

例如: 某電阻失效率λ=2 FIT，即該電阻在10^9 h內存在兩次失效。

不知道朋友們有沒有想過，既然電子元器件的失效和自身老化相關，那它的失效率為什么是常數，而不是隨時間變化的?

為了回答這個問題，我們先來看看電子元器件的生命周期特性。電子元器件的生命周期非常符合浴盆曲線(Bathtub Curve)，如下圖所示:

有圖可知，電子元器件整個生命周期大致可以分為三個階段:

第一階段: 早期故障期，即磨合期，該階段故障多屬于系統性故障，和設計，制造相關，故障率相對較高。

第二階段: 偶然故障期，即有用壽命期，該階段是電子元器件正常使用周期，持續時間長，失效率低且較穩定，設計無法消除，屬于隨機硬件故障，ISO26262 中硬件量化指標就是針對該階段失效率的評估。

第三階段: 耗損故障期，上隨著電子元器件使用壽命到期，故障率隨之上升。

因此，在ISO 26262中查到的是恒定值，而不是一個時間函數。

那么怎么獲取電子元器件的失效率呢？一般來講可以通過以下三種方式獲得:

1

歷史數據: 根據已有或相似產品，預估新產品的失效率，但全新的產品沒有歷史數據可參考。

2

測試: 屬于最真實和最準確的數據來源。但測試周期長，成本高。

3

行業公認的標準: 根據SN29500, IEC 62380等行業公認的標準和指南中提供的可靠性預估算法計算。

03

硬件的架構度量

硬件架構的度量, 用于評估相關項架構應對單獨類型的隨機硬件失效的有效性。由于硬件隨機故障中，單點故障、殘余故障和潛伏故障會直接導致安全目標的違背或實現有顯著影響，所以硬件架構概率度量包含以下兩個方面:

單點故障度量(single-point fault metric):

1

單點故障度量反映硬件安全機制或設計對單點和殘余故障的覆蓋是否足夠。

2

高單點故障度量值表示相關項硬件單點和殘余故障所占比例低，系統可靠性高。

計算公式:

即: SPFM=1 - (單點故障總和+殘余故障總和) / (所有和安全相關失效率總和)

其中:

─ λSPF: 單點故障失效率，λRF,est: 估算的殘余故障的失效率，λDC,RF: 殘余故障的診斷覆蓋率。

潛伏故障度量(latent-fault metric-LFM):

1

潛伏故障度量反映硬件安全機制和設計對潛伏故障的覆蓋是否足夠。

2

高潛伏故障度量值表示硬件潛伏故障所占比例低，系統可靠性高。

計算公式:

即: LFM=1 - (所有潛伏故障總和) / (所有和安全相關失效率總和 - 單點故障總和 - 殘余故障總和)

其中:

─ λMPF,L,est: 潛伏故障的估算的失效率，λDC,MPF,L: 潛伏故障的診斷覆蓋率。

─ 由于λ=λSPF+λRF +λMPF +λS，所以殘余故障多為雙點或多點故障MPF。

此外，硬件架構度量取決于相關項的整體硬件，都應符合規定的硬件架構度量的目標值:

針對ASIL (B)、C或D的安全目標，對于每一個安全目標，“單點故障度量”的定量目標值應基于下列參考目標值來源之一:

針對ASIL (B)、(C)或?D的安全目標，對于每一個安全目標，“潛伏故障度量”的定量目標值應基于下列參考目標值來源之一:

需要注意的是:

1

硬件架構的度量是針對于相關項的整體硬件，非一個單獨的硬件部件，需要考慮所有相關硬件的失效率。

2

度量指標，即SPFM和LFM，均屬于相對值，即百分值%。

04

硬件隨機失效的評估

隨機硬件失效的評估旨在從硬件整體設計的角度，即綜合考慮不同類型硬件隨機失效，確保硬件系統安全機制和設計的有效性。ISO 26262對這一評估推薦了兩個方法：

方法一: 使用概率的絕對值的度量, 即隨機硬件失效概率度量(probabilistic metric for random hardware failures, PMHF)，通過使用定量分析方法計算PMHF，其結果與目標值相比較的方法，評估是否違背所考慮的安全目標。

方法二: 獨立評估每個單點和殘余故障及每個雙點故障是否導致違背所考慮的安全目標。

一般在實際應用中都采用第一種方法，即PMHF。關于PMHF計算公式網上有很多誤解，在ISO 26262-10:2018，第8.3章節增加了有關PMHF計算的進一步解釋。一般來講，PMHF通用化計算公式如下： ? PMHF=∑λSPF?+ ∑λRF?+ ∑λDPF_det × λDPF_latent × TLifetime ? 其中:

─ λSPF: 單點故障的失效率，λRF: 殘余故障的失效率，λDPF_det: 雙點故障的可探測失效率，λDPF_latent: 雙點故障的潛伏失效率。

─ TLifetime:?車輛生命周期。

需要注意的是: ?

1

PMHF表示在汽車運行周期中每小時平均失效概率，包括了對單點失效，殘余失效，可探測的以及殘余的雙點失效的綜合量化衡量。

2

PMHF單位為FIT，屬于失效率絕對值度量，而硬件架構度量指標SPFM，LFM單位為%，屬于相對值度量。

3

除基本硬件隨機基本故障的失效率以外，PMHF還需要考慮車輛生命周期(TLifetime)。

4

對于雙點故障(A,B)，最常見的組合是功能故障A和對應的安全機制B，當故障A發生且不被安全機制B探測，并不會立刻違背安全目標；但如果安全機制B也發生故障，將違背安全目標。

很對朋友搞不清楚為什么雙點故障失效率計算是λDPF_det,?λDPF_latent, TLifetime這三個因素的乘積?

其實該公式已經屬于簡化后的計算公式，在ISO 26262-10:2018對典型的雙點故障不同的失效模式進行了分析，一共包含了4個Patterns，功能發生故障A且對應的安全機制B潛伏這種Pattern下，雙點故障會在整個車輛生命周期永久潛伏，影響最大，因此故障A和故障B組合違背安全目標的每小時平均失效概率為λDPF_det,?λDPF_latent, TLifetime這三個因素的乘積，雙點故障失效計算因此也簡化為該Pattern下的失效率，具體見ISO 26262-10:2018。

如果這部分數值較小，則可忽略，這也是為什么在很多計算中沒有考慮這部分的原因。

此外，雖然失效率λ和PMHF單位均為FIT，屬于絕對值度量，但二者意義完全不同，主要體現在以下幾點: ?

針對級別不同

─?失效率: 單個硬件組件。

─?PMHF:?整個相關項硬件。

?代表意義不同

─?失效率:?表示單位時間內單個硬件組件或零部件發生故障的次數或概率。

─?PMHF: 用于衡量硬件安全設計是否足夠有效。具體來講就是，相對于指定的ASIL等級要求，由于相關項的隨機硬件故障而導致的安全目標被破壞的風險是否足夠低。PMHF并不顯示隨機硬件故障發生的頻率。即便一個硬件組件的故障率很高，但由于良好的硬件架構，包括安全機制，整體的PMHF也可能較低。

此外，隨機硬件失效度量取決于相關項整體硬件，需要分析計算不同安全目標對應的PMHF值，并且符合規定的隨機硬件失效率度量目標值: 針對ASIL (B)、C或D的安全目標，必須為隨機硬件失效導致違背每個安全目標的最大可能性定義定量目標值，其使用來源包括以下a)、b)或c):

a) 來自表6;或

b) 來自值得信賴的相似設計原則的現場數據;或

c) 來自應用于值得信賴的相似設計原則中的定量分析技術。

此處需要注意的是:

表6提供的PMHF定量目標值只是一種可能性，并不是唯一的依據。

這些來源于a)、b)或c)的定量目標值沒有任何絕對的意義，僅有助于將一個新的設計與已有設計相比較。其目的是生成硬件可靠性設計指導，并獲得設計符合安全目標的可用證據。

當沒有其他來源可以確定隨機硬件故障失效目標值，通常會選擇表6提供的目標數據。

審核編輯：劉清