3. 诊断覆盖率定义

诊断覆盖率（Diagnostic Coverage，DC）是功能安全量化分析中最容易被“简化使用”、也最容易被误读的参数之一。它描述的是：在某个安全相关硬件部件或子系统发生危险失效时，诊断机制能够检测到并作出规定响应的比例。换句话说，DC 不是“诊断功能有多强”的定性评价，而是一个把诊断能力折算为残余危险失效率的量化系数。

一、DC 的数学定义与工程含义

在 ISO 26262、IEC 61508 等标准体系中，诊断覆盖率通常按失效率比例定义：

DC = λ_DD / (λ_DD + λ_DU)

其中：
λ_DD：被诊断检测到的危险失效率（Dangerous Detected）
λ_DU：未被诊断检测到的危险失效率（Dangerous Undetected）
λ_D = λ_DD + λ_DU：危险失效总失效率

从公式可以看出，DC 的分母是“所有危险失效”，分子是“其中被诊断覆盖的部分”。因此 DC 越高，意味着残余的 λ_DU 越小，安全机制对危险失效的抑制能力越强。工程上常把 DC 分为若干等级，例如 60%、90%、99% 等，对应不同的诊断能力要求。

需要特别强调：DC 只针对危险失效，不针对安全失效。一个诊断机制即使能检测大量安全失效，也不能直接提高 DC。DC 的评估对象必须是“可能导致安全目标违背”的失效模式。

二、DC 与安全失效分数 SFF 的关系

安全失效分数（Safe Failure Fraction，SFF）是另一个关键量化指标，它描述的是“安全失效 + 被检测到的危险失效”在总失效率中的占比：

SFF = (λ_S + λ_DD) / (λ_S + λ_D)

λ_S：安全失效率
λ_D：危险失效率
λ_DD：被检测到的危险失效率

DC 与 SFF 的关系可以这样理解：DC 是“危险失效内部”的检测比例，而 SFF 是“整体失效”中不会导致危险的部分。两者共同决定硬件架构能够达到的完整性等级。例如，一个部件即使 DC 很高，但如果 λ_S 很低、λ_D 很大，SFF 仍可能不高；反之，DC 低会直接拉低 SFF，因为大量危险失效未被检测。

三、DC 与硬件架构度量的关系

硬件架构度量主要包括单点故障度量（SPFM）和潜伏故障度量（LFM）。它们与 DC 的关系非常直接：

• SPFM：衡量单点故障和残余故障是否被安全机制覆盖。DC 越高，λ_DU 越小，SPFM 通常越高。
• LFM：衡量潜伏故障是否被诊断或周期性测试覆盖。DC 中的“潜伏故障诊断覆盖率”直接影响 LFM。
• DC 是输入，SPFM/LFM 是结果：在 FMEDA 中，先为每个失效模式分配 DC，再计算 λ_DD、λ_DU，最后汇总为 SPFM 和 LFM。

因此，DC 不是孤立指标，而是硬件架构度量计算的“中间变量”。如果 DC 赋值缺乏依据，SPFM 和 LFM 就会变成数字游戏。

四、关键术语与常见误区

理解 DC 还需要掌握一组配套术语：

五、案例：电机控制器 DC 评估片段

以某电机控制器中的电流采样通道为例，假设其危险失效率 λ_D = 100 FIT，其中过流诊断可检测到 90 FIT，剩余 10 FIT 无法被诊断覆盖。则：

λ_D  = 100 FIT
λ_DD = 90 FIT
λ_DU = 10 FIT

DC = 90 / (90 + 10) = 90%

若该通道安全失效率 λ_S = 20 FIT，则：
SFF = (20 + 90) / (20 + 100) = 91.7%

这个例子说明：DC 从 90% 提升到 99%，λ_DU 会从 10 FIT 降到 1 FIT，SPFM 和 LFM 都会明显改善。但提升 DC 往往需要增加诊断电路、测试时间或软件开销，因此工程上需要在安全收益与成本之间做权衡。

六、复盘要点

• DC 是危险失效的检测比例，不是所有失效的检测比例。
• DC 是 SFF、SPFM、LFM 计算的输入，不是最终结论。
• DC 赋值必须有失效模式、诊断机制和证据链支撑。
• 提高 DC 要同时关注单点故障和潜伏故障，避免只做“表面诊断”。
• 在 FMEDA 中，DC 的颗粒度应细化到失效模式级别，而不是部件级别一刀切。

掌握 DC 的定义及其与 SFF、硬件架构度量的关系，是后续进行 FMEDA 建模、安全机制设计和安全论证的基础。只有把 DC 放回“失效模式—诊断—残余失效率—架构度量”的完整链路中，才能避免把它当成一个孤立的百分比数字。