4. 功能安全硬件设计：硬件架构指标与随机硬件失效分析
功能安全硬件设计，说白了就是回答三个问题：“出故障了能不能发现？”、“发现了能不能扛住？”、“扛不住时概率有多大？”。ISO 26262 用三个指标来量化——SPFM、LFM、PMHF。我刚开始接触这些概念时也觉得绕，后来亲手算过几个项目，才真正理解它们的分量。
4.1 三大硬件架构指标：SPFM、LFM、PMHF
这三个指标是功能安全硬件设计的“及格线”。ASIL 等级越高，要求越严。咱们先看一张总览表：
| 指标 | 全称 | 衡量什么 | ASIL D 目标值 |
|---|---|---|---|
| SPFM | 单点故障度量 | 安全机制能覆盖多少单点故障 | ≥ 99% |
| LFM | 潜伏故障度量 | 安全机制能覆盖多少潜伏故障 | ≥ 90% |
| PMHF | 随机硬件失效概率度量 | 系统每小时因硬件失效导致违背安全目标的概率 | < 10 FIT（1 FIT = 10⁻⁹/h） |
关键理解：SPFM 和 LFM 是“覆盖率”指标，PMHF 是“失效率”指标。前者看安全机制做得好不好，后者看整体可靠性够不够。
4.2 随机硬件失效分析
随机硬件失效，不是设计错误，而是芯片老化、粒子撞击、电压波动等物理原因导致的“意外”。ISO 26262 要求我们定量评估这些失效的概率。
我个人习惯把分析流程分成四步：
- 建立硬件架构模型——画出功能模块、安全机制、诊断覆盖率的拓扑图。
- 分配失效率——从供应商数据手册或行业标准（如 IEC TR 62380、SN 29500）获取每个器件的 FIT 值。
- 计算诊断覆盖率——评估安全机制能检测/控制多少比例的失效。
- 汇总计算——用公式算出 SPFM、LFM、PMHF，与目标值对比。
嗯，这里要注意：失效率数据来源必须可追溯。我曾经在一个项目中用了供应商提供的“参考值”，审核老师直接要求提供原始测试报告，差点导致审查延期。
避坑指南：我曾经吃过“FIT 值单位混淆”的亏。有的供应商给的是每百万小时失效率，有的给的是每十亿小时。换算时一定要确认清楚，否则 PMHF 会差三个数量级。
4.3 硬件安全需求分解
功能安全目标（Safety Goal）是顶层要求，硬件安全需求（HSR）是它的“落地版”。分解时我遵循一个原则：每个安全目标至少对应一个硬件安全需求，每个 HSR 必须可验证。
举个例子：安全目标“防止刹车踏板信号丢失导致意外加速”，分解成 HSR 可能是：
- HSR-01：踏板位置传感器必须采用双通道冗余架构。
- HSR-02：主通道失效时，备份通道必须在 10ms 内接管。
- HSR-03：诊断覆盖率 ≥ 99%（针对 SPFM 计算）。
你想想看，如果 HSR 写得太模糊，比如“传感器要可靠”，那后续验证根本没法做。审核老师一眼就能看出来。
4.4 核心知识体系：一张图看懂
下面这张 SVG 图把本章的核心逻辑串起来了。从安全目标出发，经过硬件架构设计、指标计算、失效分析，最后回到需求分解——形成一个闭环。
4.5 FMEDA：把指标算清楚
FMEDA（失效模式、影响与诊断分析）是计算 SPFM、LFM、PMHF 的核心工具。它本质上是一张表格，列出每个器件的失效模式、失效率、安全机制覆盖率。
我建议用下面这个模板来组织 FMEDA：
| 器件 | 失效模式 | λ (FIT) | 安全机制 | 诊断覆盖率 | 残余失效率 |
|---|---|---|---|---|---|
| MCU | 时钟失效 | 50 | 时钟监控 | 99% | 0.5 |
| MCU | 内存单比特翻转 | 100 | ECC | 99.9% | 0.1 |
| 电源芯片 | 输出过压 | 20 | 过压保护 | 95% | 1.0 |
| CAN 收发器 | 总线短路 | 30 | 总线监控 | 90% | 3.0 |
警告：FMEDA 中的诊断覆盖率不能拍脑袋。我曾经见过一个项目，把 MCU 内部自检的覆盖率写成 99%，但实际只做了上电自检，运行期间根本没覆盖。审核时被开了严重不符合项。覆盖率必须有数据支撑，比如故障注入测试结果或供应商提供的安全手册。
4.6 实战中的常见误区
- 误区一：只算 PMHF，忽略 SPFM 和 LFM。其实三个指标是并列关系，缺一不可。
- 误区二：把“安全机制存在”等同于“安全机制有效”。比如有看门狗，但喂狗周期太长，失效了也检测不到。
- 误区三：硬件安全需求分解得太粗。比如“电源模块必须安全”，这种需求没法验证，必须具体到“过压保护阈值 5.5V，响应时间 < 1ms”。
嗯，最后说一句：硬件安全设计不是一次性工作。随着设计迭代，FMEDA 要不断更新，指标要重新核算。我习惯在每个里程碑节点（如原理图冻结、PCB 投板前）都跑一遍完整的计算，确保没有遗漏。