3. 故障模型与失效模式：单点故障、潜伏故障、多点故障、共因失效的区分
各位工程师朋友，咱们今天聊点实在的。做硬件可靠性，最怕什么？最怕你连故障长什么样都没搞清楚，就开始闷头算覆盖率。我见过太多项目，诊断覆盖率报告做得漂漂亮亮，结果现场一炸，全傻眼。
为什么会这样？说白了，就是没把故障模型和失效模式区分开。你想想看，单点故障、潜伏故障、多点故障、共因失效，这四兄弟长得像，但脾气完全不同。诊断策略要是搞混了，覆盖率再高也是假的。
我个人习惯，拿到一个新设计，第一件事不是看电路图，而是先做故障模式分类。把每种故障的「性格」摸清楚，后面诊断方案才能对症下药。今天我就把这四类故障的区分方法，掰开了揉碎了讲给你听。
3.1 单点故障：最直接的威胁
单点故障，字面意思——一个点坏了，整个安全功能就没了。它不跟你商量，不给你缓冲，直接导致安全目标被违反。
核心定义：单个随机硬件故障，直接导致安全机制失效，且没有任何其他保护措施能兜底。
我在项目中遇到过最典型的单点故障，是某款刹车控制芯片的电源监控引脚虚焊。就这一个点，监控功能直接瘫痪，但系统自检还报「正常」。你想想看，这多可怕？
单点故障的几个特征，我列出来给你参考：
- 直接性：故障发生后，安全功能立即丧失，没有延迟。
- 独立性：不需要其他故障配合，单枪匹马就能造成危害。
- 不可逆：除非修复，否则安全状态无法自动恢复。
诊断覆盖率对单点故障的要求最严格。ISO 26262 里，ASIL D 级别的单点故障度量目标通常是 ≥ 99%。为什么这么高？因为一旦漏掉，就是人命关天的事。
我的经验：排查单点故障时，别只盯着功能模块。电源、时钟、复位这些「基础设施」上的单点故障，往往更容易被忽略。我曾经吃过这个亏，后来每次评审都专门加一页「基础设施单点故障清单」。
3.2 潜伏故障：藏在暗处的定时炸弹
潜伏故障，比单点故障更阴险。它本身不会立刻造成危害，但它会悄悄破坏安全机制的保护能力。等到真正需要安全机制救命的时候，你才发现它早就坏了。
嗯，这里要注意。潜伏故障有两个关键时间点：
- 故障发生时刻：安全机制被破坏，但系统还没察觉到。
- 故障暴露时刻：真正需要安全机制时，才发现它已经失效。
从发生到暴露，中间这段时间就是「潜伏期」。潜伏期越长，风险越大。
| 对比维度 | 单点故障 | 潜伏故障 |
|---|---|---|
| 失效时机 | 故障发生即失效 | 故障发生后延迟失效 |
| 检测难度 | 相对容易（功能异常明显） | 困难（功能表面正常） |
| 诊断策略 | 在线监控、硬件冗余 | 周期性自检、LBIST |
| 典型例子 | 安全气囊点火回路断路 | 看门狗定时器本身失效 |
潜伏故障的诊断，靠的是「定期体检」。你不能等它出问题再查，得主动去戳它。我记得有个项目，客户坚持用软件自检覆盖所有潜伏故障，结果发现有个寄存器的 stuck-at 故障，软件自检根本读不到——因为那个寄存器在安全岛里，软件访问路径本身就有保护机制，反而把故障给「保护」起来了。
避坑指南：我曾经在诊断覆盖率计算中，把潜伏故障和单点故障的度量混在一起算，结果被审核老师当场指出。记住：单点故障度量看的是「直接失效」，潜伏故障度量看的是「安全机制本身的失效」。两者必须分开计算，分开报告。
3.3 多点故障：组合拳的威力
多点故障，就是两个或两个以上的独立故障同时存在，组合起来造成安全目标被违反。注意，这里的关键词是「独立」——每个故障本身可能无害，但凑在一起就出大事。
多点故障又分两种：
- 双点故障：两个故障组合。最常见，也是 ISO 26262 重点关注的。
- 多点故障：三个及以上故障组合。概率极低，通常不做强制要求。
你可能会问：两个独立故障同时发生的概率不是很小吗？理论上是的。但实际项目中，我见过不少双点故障案例。比如一个传感器漂移，加上一个比较器阈值偏移，两个单独看都在规格范围内，但组合起来就导致错误触发。
诊断策略上，多点故障的处理思路是「拆解」：
- 识别哪些故障组合是「可信的」（即概率不可忽略）。
- 对每个故障点分别设计诊断措施。
- 确保诊断措施之间没有共模依赖。
关键指标：双点故障的潜伏期度量（LFM, Latent Fault Metric）要求 ≥ 90%（ASIL D）。这个指标衡量的是：当第一个故障发生后，在第二个故障到来之前，诊断能不能把第一个故障揪出来。
3.4 共因失效：一损俱损的连锁反应
共因失效，跟前面三类完全不是一个逻辑。它不是多个故障「各自独立发生」，而是一个单一事件导致多个故障同时出现。比如电源过压，把两个冗余通道的输入级一起打坏。
共因失效最可怕的地方在于：它专门攻击你的冗余设计。你辛辛苦苦做了双通道、三模冗余，结果一个共因事件，所有通道同时失效，冗余等于白做。
常见的共因失效来源：
- 电源/时钟：共享的供电或时钟网络出问题。
- 温度/湿度：环境应力导致多个器件同时退化。
- 电磁干扰：强电磁脉冲同时干扰多个电路。
- 设计缺陷：同一个设计错误被复制到多个通道。
我记得有个项目，两个冗余 ADC 通道，布局时靠得太近，结果一个通道的开关噪声通过衬底耦合到另一个通道，导致两个通道同时出现相同的偏移误差。这就是典型的共因失效——不是器件坏了，是物理设计埋的雷。
应对共因失效，核心原则是「多样性」和「隔离」：
- 用不同工艺、不同架构的器件做冗余。
- 物理上拉开距离，加隔离沟道。
- 供电、时钟、复位路径完全独立。
3.5 四类故障的关系图谱
下面这张图，是我自己总结的四类故障关系。你把它记在脑子里，做诊断覆盖率分析时就不会跑偏。
3.6 诊断覆盖率计算的起点
搞清楚了这四类故障，诊断覆盖率计算才有意义。我个人的工作流程是这样的：
- 故障清单：先列出所有可能的随机硬件故障，按类型分类。
- 单点故障分析：找出所有单点故障，设计诊断措施，计算单点故障覆盖率。
- 潜伏故障分析：找出所有潜伏故障，设计周期性自检，计算潜伏故障覆盖率。
- 多点故障评估：识别可信的双点故障组合，评估诊断措施是否足够。
- 共因失效防御：检查设计是否存在共因失效风险，通过多样性和隔离来降低。
你想想看，如果连故障类型都没分清楚，覆盖率数字再好看有什么用？我见过有人把潜伏故障算进单点故障里，结果单点覆盖率虚高，潜伏故障却没人管。这种报告，审核老师一眼就能看穿。
一个小技巧：做故障分类时，用「故障树分析（FTA）」的思维来辅助。从顶层的安全目标往下推，每个分支的故障类型自然就清楚了。我在项目中一直用这个方法，从来没出过大的分类错误。
好了，这四类故障的区分，今天就讲到这里。记住：单点故障是明枪，潜伏故障是暗箭，多点故障是组合拳，共因失效是连锁反应。诊断策略要对症下药，别拿治感冒的药去治骨折。