2. 功能安全基础
在汽车电子与电控系统开发中，功能安全不是“附加项”，而是贯穿需求、设计、验证、生产与运行的系统性工程。ISO 26262 作为道路车辆功能安全的核心标准，为电子电气系统从概念到报废的全生命周期提供了可裁剪、可追溯、可验证的安全框架。理解 ISO 26262 的整体结构、ASIL 等级划分、安全生命周期活动，以及硬件安全要求与 PMHF 之间的逻辑关系，是开展 PMHF 概率硬件失效评估的前提。
一、ISO 26262 的整体框架与核心思想
ISO 26262 以“风险导向”和“V 模型开发”为主线，覆盖从概念阶段到生产运行的全过程。其核心思想可以概括为三点：第一，通过危害分析与风险评估确定安全目标与 ASIL 等级；第二，将安全目标逐层分解为功能安全需求、技术安全需求与硬件/软件安全需求；第三，通过验证与确认活动证明安全需求被满足，并保留完整的追溯证据。
标准共分为 12 个部分，其中与硬件失效评估关系最密切的是第 5 部分（产品开发：硬件层面）和第 11 部分（半导体应用指南）。第 5 部分明确要求对硬件随机失效进行定量评估，而 PMHF 正是衡量硬件随机失效是否满足安全目标的关键指标之一。
关键逻辑链：危害 → 安全目标 → ASIL 等级 → 安全需求 → 硬件安全要求 → 硬件架构度量与 PMHF 目标 → 随机失效评估 → 安全论证。
二、ASIL 等级：风险决定严格程度
ASIL（Automotive Safety Integrity Level）是 ISO 26262 中用于表征安全完整性等级的指标，分为 A、B、C、D 四个等级，其中 D 级要求最严格。ASIL 等级由三个维度共同决定：严重度（S）、暴露率（E）和可控性（C）。严重度描述伤害程度，暴露率描述场景发生的概率，可控性描述驾驶员或其他人员避免伤害的能力。
ASIL 等级直接影响硬件安全要求。例如，ASIL D 对单点故障度量（SPFM）和潜伏故障度量（LFM）的要求最高，同时对 PMHF 的目标值也最严苛。ASIL A 则相对宽松。因此，在 PMHF 评估中，必须先明确 ASIL 等级，才能确定对应的硬件架构度量和随机失效目标。
| ASIL 等级 | SPFM 目标 | LFM 目标 | PMHF 目标（典型） |
|---|---|---|---|
| ASIL A | ≥ 90% | ≥ 60% | ≤ 10⁻⁷ /h |
| ASIL B | ≥ 90% | ≥ 60% | ≤ 10⁻⁷ /h |
| ASIL C | ≥ 97% | ≥ 80% | ≤ 10⁻⁸ /h |
| ASIL D | ≥ 99% | ≥ 90% | ≤ 10⁻⁸ /h |
需要说明的是，表中 PMHF 目标为常见工程参考值，具体项目应依据安全目标、运行场景和标准版本进行确认。ASIL 等级越高，对随机硬件失效的控制越严格，PMHF 评估的精度和证据要求也越高。
三、安全生命周期：从概念到报废的闭环
ISO 26262 的安全生命周期将功能安全活动划分为多个阶段：概念阶段、系统开发、硬件开发、软件开发、生产与运行、支持过程等。每个阶段都有明确的输入、输出和验证要求。对于 PMHF 评估而言，最关键的是硬件开发阶段中的随机失效分析与定量计算。
安全生命周期强调“追溯性”和“闭环”。安全目标必须追溯到危害分析，硬件安全要求必须追溯到技术安全需求，PMHF 计算结果必须追溯到硬件安全要求中的定量目标。任何一环缺失，都会导致安全论证不完整。
四、硬件安全要求与 PMHF 的关系
硬件安全要求是 ISO 26262 第 5 部分的核心输出之一。它通常包括两类内容：一类是定性要求，例如硬件架构必须满足的冗余、监控、诊断覆盖等；另一类是定量要求，例如 SPFM、LFM 和 PMHF 目标值。PMHF 是硬件安全要求中“随机失效”维度的最终量化指标。
PMHF 评估的基本逻辑是：先识别硬件元器件的失效模式及其分布，再结合诊断覆盖率计算残余失效概率，最后汇总为每小时失效概率。若 PMHF 计算结果超过目标值，则必须通过增加诊断覆盖、改进架构或更换器件等方式进行优化。
PMHF 计算简化流程：
1. 建立硬件架构模型（元器件清单、连接关系）
2. 确定每个元器件的失效率 λ（如 FIT 数据）
3. 分配失效模式分布（如 60% 短路、40% 开路）
4. 评估诊断覆盖率 DC
5. 计算残余失效率 λ_res = λ × (1 - DC)
6. 汇总安全相关路径的 λ_res
7. 与 PMHF 目标比较，判断是否满足 ASIL 要求
工程提示：PMHF 不是孤立计算，它必须与 FMEDA 紧密结合。FMEDA 提供失效模式、分布和诊断覆盖的输入，PMHF 则给出最终的定量结论。两者共同构成硬件随机失效评估的证据链。
五、案例场景：ASIL D 电机控制器的 PMHF 评估
假设某电动汽车电机控制器需要满足 ASIL D 要求，安全目标为“避免电机非预期扭矩输出”。在硬件层面，安全需求可能包括：扭矩监控通道独立、关键信号具备高诊断覆盖率、PMHF ≤ 10⁻⁸ /h。
评估时，团队首先建立逆变器、电流传感器、主控 MCU、栅极驱动等关键器件的失效率模型，然后通过 FMEDA 分析每种失效模式对安全目标的影响，并评估诊断覆盖率。若发现某电流传感器的诊断覆盖率不足，导致 PMHF 超标，则需要增加交叉校验或冗余传感器。最终，所有计算证据、假设和诊断覆盖依据都需要写入安全论证文档。
六、常见误区与复盘
- 误区一：先算 PMHF，再补 ASIL。正确顺序是先确定 ASIL 和安全目标，再确定 PMHF 目标值，最后开展计算。
- 误区二：把 PMHF 当作唯一指标。PMHF 只反映随机硬件失效，系统性失效仍需通过开发流程、验证和确认来控制。
- 误区三：诊断覆盖率随意取值。诊断覆盖率必须有设计证据、测试证据或失效模式分析支撑，不能凭经验拍脑袋。
- 误区四：忽略安全生命周期闭环。生产运行阶段的现场失效数据应反馈到 PMHF 假设中，用于持续改进。
复盘要点：PMHF 评估的可靠性取决于输入数据的质量。失效率来源、失效模式分布、诊断覆盖率、任务剖面等参数必须可追溯、可审查。任何未经验证的假设都可能削弱安全论证的可信度。
综上，ISO 26262 为功能安全提供了完整的生命周期框架，ASIL 等级决定了安全要求的严格程度，硬件安全要求将安全目标转化为可验证的定量指标，而 PMHF 则是硬件随机失效评估的核心量化结果。只有把标准框架、等级划分、生命周期活动和硬件安全要求贯通起来，才能正确开展 PMHF 概率硬件失效评估。