3. 概率硬件失效基础
在 PMHF（Probabilistic Metric for random Hardware Failures，随机硬件失效概率度量）评估中，所有定量计算都建立在一组基础概念之上：失效模式描述“坏成什么样”，失效机理解释“为什么会坏”，失效率量化“坏得多快”，可靠性函数刻画“随时间保持正常的概率”，浴盆曲线揭示“失效率随寿命变化的规律”，硬件失效分类则决定“哪些失效可以进入 PMHF 计算”。理解这六个概念之间的层次关系，是后续 FMEDA、失效率分配与安全机制诊断覆盖率分析的前提。
一、核心原理：从失效模式到失效率的层次链条
硬件失效分析遵循一条自下而上的因果链：失效机理在应力与时间作用下驱动缺陷演化，最终表现为可观测的失效模式；大量同类器件在统计意义上呈现出的失效频度，就是失效率 λ。因此，失效模式是“现象层”，失效机理是“物理层”，失效率是“统计层”，三者不可混用。
- 失效模式（Failure Mode）：器件未能完成规定功能的具体表现形式，如开路、短路、参数漂移、卡滞、误动作、输出悬空。
- 失效机理（Failure Mechanism）：导致失效的物理、化学或电学过程，如电迁移、热载流子注入、栅氧击穿、焊点疲劳、金属间化合物生长、闩锁。
- 失效率（Failure Rate, λ）：单位时间内发生失效的概率密度，常用 FIT 表示，1 FIT = 1×10⁻⁹ 次失效/小时。
- 可靠性函数 R(t)：产品在 [0, t] 时间内持续保持规定功能的概率，与不可靠度 F(t) 满足 R(t) + F(t) = 1。
关键关系：λ(t) = f(t) / R(t)，其中 f(t) 为失效概率密度函数。当失效率为常数 λ 时，R(t) = e^(−λt)，这是 PMHF 计算中最常用的指数分布假设。
二、可靠性函数与浴盆曲线
可靠性函数 R(t) 是 PMHF 中把“失效率”换算为“任务时间内失效概率”的桥梁。对于恒定失效率模型，任务时间 T 内的失效概率为 F(T) = 1 − e^(−λT)；当 λT 远小于 1 时，可近似为 F(T) ≈ λT，这正是 PMHF 常用线性近似的来源。
浴盆曲线把产品全寿命划分为三个阶段，每个阶段的失效率形态和主导机理完全不同：
| 阶段 | 失效率趋势 | 主导失效机理 | PMHF 处理方式 |
|---|---|---|---|
| 早期失效期 | 递减（DFR） | 制造缺陷、工艺污染、筛选不充分 | 通过老化筛选剔除，不进入随机失效计算 |
| 偶然失效期 | 近似恒定（CFR） | 随机应力、过电应力、宇宙射线等 | PMHF 的核心区间，采用恒定 λ 假设 |
| 耗损失效期 | 递增（IFR） | 磨损、疲劳、电迁移、氧化 | 通过寿命设计规避，不纳入随机硬件失效 |
在汽车电子功能安全实践中，PMHF 只关注偶然失效期的随机硬件失效，因为早期失效可通过筛选控制，耗损失效可通过寿命设计规避，而随机失效无法通过工艺或维护完全消除，只能通过安全机制诊断覆盖。
三、硬件失效分类：进入 PMHF 计算的对象
ISO 26262 将硬件失效按“是否可被安全机制诊断”和“是否与安全目标相关”进行分类，这一分类直接决定 PMHF 的求和范围：
- 安全相关失效：可能导致违反安全目标的失效，需进一步区分单点失效、残余失效和潜伏失效。
- 单点失效（Single-Point Fault）：无任何安全机制覆盖，一旦发生即直接违反安全目标，是 PMHF 中最危险的贡献项。
- 残余失效（Residual Fault）：存在安全机制，但诊断覆盖率不足，未被覆盖的部分仍可能违反安全目标。
- 潜伏失效（Latent Fault）：本身不直接违反安全目标，但会削弱安全机制的有效性，需通过潜伏故障度量 LFM 评估。
- 安全无关失效：不会导致安全目标违反，不进入 PMHF 求和。
记忆要点：PMHF 求和的对象是“单点失效 + 残余失效”的失效率贡献，潜伏失效通过 LFM 单独评估，安全无关失效直接排除。
四、案例场景：一个电源监控通道的失效分析
假设某 ECU 的 5V 电源监控通道使用一颗电压监控芯片，其失效率为 50 FIT，安全机制为 MCU 内部 ADC 周期性回读。分析过程如下：
器件：电压监控芯片
失效率 λ = 50 FIT = 50 × 10⁻⁹ /h
失效模式：输出固定高（无法拉低复位）
失效机理：内部基准漂移 + 输出级短路
安全机制：MCU ADC 回读，诊断覆盖率 DC = 90%
任务时间：T = 10000 h
单点失效部分：λ_SPF = λ × (1 − DC) = 50 × 0.1 = 5 FIT
残余失效部分：λ_RF = 5 FIT
潜伏失效：安全机制自身失效，单独评估 LFM
PMHF 贡献 ≈ (λ_SPF + λ_RF) × T = 10 × 10⁻⁹ × 10000 = 1 × 10⁻⁴ /h该结果表明：即使原始失效率为 50 FIT，通过 90% 诊断覆盖率的安全机制，实际进入 PMHF 的贡献被压缩到 10 FIT。这也说明诊断覆盖率是 PMHF 优化中最敏感的杠杆。
五、常见误区与复盘
误区一：把失效模式当作失效机理。例如把“开路”当作机理，实际上开路只是模式，其机理可能是焊点疲劳或键合线断裂。
误区二：把浴盆曲线三个阶段都纳入 PMHF。PMHF 只针对偶然失效期的随机硬件失效，早期失效和耗损失效应通过筛选与寿命设计处理。
误区三：忽略潜伏失效。安全机制自身的失效若未被诊断，会在关键时刻使诊断覆盖率失效，导致 PMHF 被低估。
误区四：直接用 λT 而不检查适用条件。线性近似仅在 λT 远小于 1 时成立，任务时间长或失效率高时需使用 1 − e^(−λT)。
复盘建议：在建立 FMEDA 表时，先按“失效模式—失效机理—失效率—安全机制—诊断覆盖率—失效分类”六列组织数据，确保每个失效模式都有明确的机理来源和分类归属，再进入 PMHF 求和。这样既能保证计算可追溯，也能在评审中快速定位高风险贡献项。
掌握上述六个基础概念及其相互关系后，后续的 FMEDA 建模、失效率分配、诊断覆盖率评估和 PMHF 求和才有统一的语义基础。任何一步概念混淆，都会在最终的安全目标验证中放大为不可追溯的定量偏差。