1. 课程导入

在汽车电子与工业控制等高安全领域，功能安全标准 ISO 26262 对随机硬件失效提出了严格的量化要求。其中，PMHF（Probabilistic Metric for random Hardware Failures，随机硬件失效概率度量）是衡量安全目标是否达成的核心指标之一。它表示在车辆生命周期内，某安全相关电子电气系统因随机硬件失效而违反安全目标的每小时平均概率，单位通常为 FIT（Failures In Time，1 FIT = 10⁻⁹/h）。

一、PMHF 的起源与标准定位

PMHF 概念源于 IEC 61508 对高安全完整性等级（SIL）的随机硬件失效要求，后被 ISO 26262 引入并细化为汽车功能安全的核心度量。ISO 26262-5 明确规定：对于 ASIL D 安全目标，PMHF 目标值通常为 10⁻⁸/h；ASIL C 为 10⁻⁷/h；ASIL B 为 10⁻⁷/h 至 10⁻⁶/h 量级。该指标直接关联安全目标的验证与确认，是硬件设计是否满足功能安全要求的“硬门槛”。

在功能安全整体框架中，PMHF 位于“安全目标 → 功能安全概念 → 技术安全概念 → 硬件设计 → 随机硬件失效评估”链条的末端。它向上承接安全目标与 ASIL 等级，向下约束硬件架构、诊断覆盖率与安全机制设计。与 FMEDA（失效模式、影响及诊断分析）相比，PMHF 更强调定量概率与安全目标违反的关联，而非仅关注单点故障与潜伏故障的定性识别。

二、核心原理：从失效率到安全目标违反概率

PMHF 的计算建立在三个关键输入之上：元器件失效率、失效模式分布和安全机制诊断覆盖率。其基本逻辑是：并非所有硬件失效都会导致安全目标违反，只有那些未被安全机制覆盖、且最终传导至安全目标相关功能的失效才构成风险。因此，PMHF 评估需要区分单点故障、残余故障和潜伏故障，并分别计算其对安全目标的贡献。

工程中常采用简化公式进行估算：

PMHF ≈ Σ [ λ_SPF + λ_RF × (1 - DC) ] × T_life

其中：
  λ_SPF  = 单点故障失效率（无安全机制覆盖）
  λ_RF   = 残余故障失效率（安全机制覆盖后仍可能失效的部分）
  DC     = 诊断覆盖率（0～1）
  T_life = 车辆生命周期（通常取 10,000 小时）

该公式揭示了 PMHF 优化的两个方向：一是降低 λ_SPF 和 λ_RF，即选用更高可靠性的元器件或冗余设计；二是提高 DC，即增强安全机制的诊断能力。两者需在成本、复杂度与安全目标之间取得平衡。

三、方法流程：PMHF 评估的典型步骤

1. 确定安全目标与 ASIL 等级：明确待评估系统对应的安全目标及其 ASIL 等级，确定 PMHF 目标值。
2. 划分硬件架构与安全机制：识别安全相关硬件模块、安全机制及其覆盖范围。
3. 开展 FMEDA：获取各元器件的失效率、失效模式分布、诊断覆盖率及未覆盖故障比例。
4. 计算单点故障与残余故障贡献：按公式逐项累加，得到初步 PMHF 值。
5. 与目标值对比并迭代：若超出目标值，需优化硬件设计或提升诊断覆盖率，直至满足要求。
6. 形成评估报告：记录假设、数据来源、计算过程与结论，支撑功能安全案例。

四、案例场景：某 ASIL D 电机控制器的 PMHF 评估

以某电动汽车电机控制器为例，其安全目标为“避免电机非预期扭矩输出”，ASIL D，PMHF 目标值为 10⁻⁸/h。硬件架构中包含主控 MCU、栅极驱动、电流采样与扭矩监控安全机制。初始 FMEDA 显示：MCU 单点故障失效率为 50 FIT，栅极驱动残余故障失效率为 200 FIT，诊断覆盖率为 90%。代入公式后，PMHF 约为 2.5 × 10⁻⁷/h，超出目标值一个数量级。

优化措施包括：增加 MCU 双核锁步架构，将单点故障失效率降至 5 FIT；提升栅极驱动诊断覆盖率至 99%，使残余故障贡献降至 2 FIT。重新计算后 PMHF 约为 7 × 10⁻⁹/h，满足 ASIL D 要求。该案例说明 PMHF 评估并非一次性计算，而是与硬件设计迭代紧密耦合的过程。

五、常见误区与复盘

六、学习目标与整体课程框架

通过本课程的学习，您将能够：

• 准确理解 PMHF 的定义、单位、标准来源及其在 ISO 26262 中的定位；
• 掌握 PMHF 与 FMEDA、安全目标、ASIL 等级之间的逻辑关系；
• 独立完成从失效率数据到 PMHF 值的计算与评估；
• 识别 PMHF 评估中的常见误区，并制定有效的优化策略；
• 将 PMHF 评估结果应用于功能安全案例的构建与审查。