第3章故障模型与失效率

第一讲：故障模型与失效率——从概念到实战

各位工程师朋友，咱们今天聊点硬核的。功能安全硬件指标计算，说白了就是回答三个问题：什么东西会坏？坏的概率多大？坏了以后怎么办？ 这一讲，我们先搞定前两个问题。

我个人习惯把故障模型比作「电子元件的病历本」。你想想看，医生看病得先知道病因，咱们做安全设计也一样——得先搞清楚故障长什么样。

单点故障，字面意思就是一个点坏了，整个系统就完蛋。没有冗余，没有备份，没有任何兜底措施。

核心定义： 单点故障是指单个硬件故障直接导致安全目标被违反，且没有任何安全机制覆盖。

我在项目中遇到过最典型的例子：一个刹车系统的压力传感器，如果它失效了，ECU就收不到刹车信号。没有冗余传感器，没有诊断电路——这就是赤裸裸的单点故障。

单点故障的失效率用 λ_SPF 表示。计算时有个关键点：不是所有故障都算单点。只有那些「一坏就出事」的才算。

避坑指南： 我曾经在评估一个电源管理芯片时，把输出短路故障也算成了单点故障。后来发现芯片内部有过流保护——这其实是安全机制覆盖的。记住：有安全机制覆盖的，就不算单点故障。

潜伏故障更有意思。它本身不会立刻导致系统失效，但它会悄悄破坏安全机制。等真正需要安全机制救命的时候，它已经失效了。

举个例子：你给传感器配了一个看门狗电路。看门狗本身坏了，但系统还在正常运行。你根本不知道看门狗已经「罢工」了。直到某天传感器真的出问题，看门狗本该复位系统——结果它自己先挂了。

这就是潜伏故障。它的失效率用 λ_LF 表示。计算时要注意：潜伏故障的检测周期很重要。检测越频繁，潜伏时间越短，风险越低。

重要提醒： 潜伏故障的失效率计算，必须考虑诊断覆盖率。我见过有人直接把所有安全机制的故障都算成潜伏故障——这是错的。只有那些诊断不到的故障，才算潜伏故障。

双点故障，顾名思义就是两个独立故障同时发生，共同导致安全目标被违反。

这里有个容易混淆的地方：双点故障不等于两个单点故障相加。它强调的是组合效应。比如：

如果只有其中一个坏，系统还能正常工作。这就是双点故障和单点故障的本质区别。

双点故障的失效率计算比较复杂。我个人习惯用 λ_DPF 表示，它等于两个故障失效率的乘积再乘以某个时间因子。嗯，这里要注意：两个故障必须是独立的。如果它们有共同原因（比如同一批次的电容），那就不能按双点故障算。

实战经验： 我在做ADAS控制器时，遇到过两个CAN收发器同时失效的情况。表面看是双点故障，但深入分析后发现——两个芯片用的是同一路电源。电源波动导致两个芯片同时损坏。这其实是共因失效，不能按双点故障处理。

聊完故障模型，咱们说说失效率λ。λ是啥？说白了就是单位时间内故障发生的概率。单位通常是 FIT（Failures In Time），1 FIT = 10⁻⁹ / 小时。

失效率的获取有三种途径：

计算时有个基本公式：

λ_total = λ_SPF + λ_RF + λ_LF + λ_DPF

其中：

小技巧： 我刚开始做计算时，总喜欢把所有故障都算一遍。后来发现没必要——先识别安全机制，再算失效率，效率高得多。安全机制覆盖不到的，才是需要重点关注的。

下面这张图，是我自己总结的故障模型与失效率的知识框架。你看一眼，心里就有谱了。

这张图把咱们今天讲的内容串起来了。从上往下看：先分故障类型，再找失效率来源，最后汇总计算。逻辑很清晰。

最后，我分享几个实战中容易踩的坑：

特别提醒： 有些工程师喜欢把λ值往大了算，觉得「保守一点总没错」。但λ值太大，会导致安全指标不达标，反而要加更多安全机制。成本上去了，还不一定合理。准确比保守更重要。

好了，这一讲的内容就到这儿。故障模型和失效率是功能安全计算的基石，搞懂了这些，后面的指标计算才能站得住脚。下一讲咱们聊安全机制和诊断覆盖率——嗯，到时候见。