4. PMHF核心概念
在ISO 26262功能安全体系中，硬件随机失效的量化评估最终会收敛到一个关键指标——PMHF。它既是安全目标在硬件层面的量化表达，也是判断一个电子控制单元是否满足ASIL等级要求的核心依据。理解PMHF的全称、数学定义、单位以及它与SPFM、LFM之间的内在联系，是开展概率硬件失效评估工作的起点。
一、PMHF全称与基本含义
PMHF的全称是Probabilistic Metric for random Hardware Failures，中文通常译为“随机硬件失效概率度量”。它描述的是：在车辆生命周期内，由于硬件随机失效导致安全目标被违反的每小时平均概率。注意这里有两个限定词非常关键：一是“随机失效”，区别于系统性失效；二是“违反安全目标”，而不是任意失效。也就是说，并非所有硬件失效都会计入PMHF，只有那些能够突破安全机制、最终导致安全目标失效的失效路径才被统计。
PMHF的评估对象是安全目标所对应的“失效模式”，通常以“违反安全目标的事件”为单位进行度量。它回答的问题是：这套硬件架构在随机失效作用下，平均每小时发生多少次安全目标违背事件。
二、数学定义与单位FIT
PMHF的数学定义可以表示为：在单位时间内，安全目标被违反的期望次数。其基本表达式为：
PMHF = Σ (λ_i × L_i × D_i)
其中：
λ_i —— 第 i 条失效路径的失效率
L_i —— 该失效路径的暴露/生命周期因子
D_i —— 该失效路径导致安全目标违反的诊断覆盖率修正因子
在实际工程中，PMHF通常以FIT为单位。1 FIT = 1 × 10⁻⁹ 次失效/小时，即每十亿小时发生一次失效。采用FIT的好处是数值量级适中，便于工程比较和计算。例如，ASIL D等级通常要求PMHF目标值小于10 FIT，ASIL C小于100 FIT，ASIL B小于1000 FIT。这些目标值并非随意设定，而是基于整车安全目标分解和可接受的残余风险推导而来。
关键换算：10 FIT = 10 × 10⁻⁹ /h = 1 × 10⁻⁸ /h，意味着平均每1亿小时发生一次安全目标违反事件。这个量级直观体现了功能安全对硬件可靠性的极高要求。
三、PMHF与SPFM、LFM的关系
PMHF并不是孤立存在的指标，它与SPFM（单点故障度量）和LFM（潜伏故障度量）共同构成ISO 26262硬件架构度量的“三驾马车”。三者的关系可以从两个层面理解：
- SPFM关注的是单点故障和残余故障是否被安全机制覆盖，衡量硬件架构对“直接导致安全目标违反”的故障的抵御能力。
- LFM关注的是潜伏故障是否被安全机制及时检测，衡量硬件架构对“尚未暴露但可能累积”的故障的监控能力。
- PMHF则是在SPFM和LFM基础上，对残余风险进行最终量化，给出安全目标违反概率的绝对值。
从计算逻辑上看，SPFM和LFM是“覆盖率”指标，属于架构度量的中间结果；PMHF是“概率”指标，属于最终量化结果。SPFM和LFM越高，通常意味着安全机制覆盖越充分，PMHF越低。但三者并非简单的线性关系，因为PMHF还受到失效率分布、共因失效、诊断覆盖率等多种因素影响。
四、目标值分配方法
PMHF目标值的分配是一个自上而下的分解过程。整车层面的安全目标首先被分解到各个系统，系统再分解到ECU，ECU再分解到具体的硬件模块和元器件。这个过程需要遵循以下原则：
- 安全目标驱动：每个安全目标对应一个可接受的残余风险，PMHF目标值必须使残余风险低于该阈值。
- 架构约束先行：在分配PMHF之前，先确认SPFM和LFM满足对应ASIL等级的最低要求，否则架构本身就不合格。
- 失效率预算分配：根据各模块的复杂度、工作环境和历史失效率数据，将总PMHF预算按比例分配到各失效路径。
- 迭代验证：分配完成后，通过FMEDA计算实际PMHF，若超出预算则需优化安全机制或调整架构。
工程提示：PMHF目标值分配不是一次性的，而是与FMEDA迭代进行。通常先给出初始分配，计算后根据结果反向调整，直到满足目标为止。
五、案例场景：某ASIL D电机控制器的PMHF分配
假设某电动汽车电机控制器需要满足ASIL D等级，整车安全目标要求PMHF小于10 FIT。该控制器包含三个主要硬件模块：主控MCU、功率驱动电路和电流采样电路。初始分配如下：
| 硬件模块 | 主要失效模式 | 初始PMHF预算(FIT) | SPFM要求 | LFM要求 |
|---|---|---|---|---|
| 主控MCU | 内核锁死、时钟失效、RAM位翻转 | 4 | ≥99% | ≥90% |
| 功率驱动电路 | MOSFET短路/开路、驱动信号丢失 | 3 | ≥99% | ≥90% |
| 电流采样电路 | 采样偏移、增益错误、断线 | 2 | ≥99% | ≥90% |
| 其他辅助电路 | 电源监控、通信接口 | 1 | ≥99% | ≥90% |
| 合计 | — | 10 | — | — |
完成初始分配后，通过FMEDA计算各模块的实际PMHF贡献。若某模块实际值超出预算，则需要增加安全机制（如看门狗、冗余采样、CRC校验等）来降低失效率或提高诊断覆盖率，直到总PMHF满足小于10 FIT的要求。
六、常见误区与复盘
误区一：把PMHF当作失效率总和。PMHF只统计导致安全目标违反的失效路径，并非所有硬件失效率的简单相加。安全机制覆盖的故障不计入PMHF。
误区二：忽视SPFM和LFM的约束作用。有些工程师直接计算PMHF而跳过SPFM/LFM评估，这是错误的。SPFM和LFM不达标，PMHF计算结果再低也不能证明架构安全。
误区三：目标值分配过于平均。不同模块的复杂度、失效模式和诊断能力差异很大，平均分配会导致某些模块预算过紧、某些过松，应基于实际失效率数据差异化分配。
误区四：忽略共因失效。共因失效可能同时影响多个冗余通道，导致PMHF被低估。在计算时必须考虑共因失效因子β。
复盘来看，PMHF评估的核心在于“路径”而非“器件”。只有准确识别每条失效路径，合理评估其失效率和诊断覆盖率，才能得到可信的PMHF值。同时，PMHF必须与SPFM、LFM联合使用，三者共同构成硬件安全论证的完整证据链。