今天咱们就来彻底搞懂这三个指标：
SPFM= “单点故障有多少被防住了？” 🛡️
LFM= “潜伏的炸弹有多少被排掉了？” 💣
PMHF= “这车开一辈子，出事的概率有多高？” 📊
三大指标速查表
先上干货——ASIL等级对应的硬指标：
ASIL等级 | SPFM（单点故障度量） | LFM（潜伏故障度量） | PMHF（随机硬件失效概率） |
|---|---|---|---|
| ASIL B | ≥90% | ≥60% | <10⁻⁷ /小时（100 FIT） |
| ASIL C | ≥97% | ≥80% | <10⁻⁷ /小时（100 FIT） |
| ASIL D | ≥99% | ≥90% | <10⁻⁸ /小时（10 FIT） |
💡注意：ASIL B和ASIL C的PMHF目标值一样（都是<10⁻⁷/h），但SPFM和LFM的要求不同。所以三个指标必须同时达标——SPFM过了但LFM没过，照样不及格。
FIT是什么？1 FIT = 每10⁹小时失效1次。10 FIT ≈ 连续运行1.14万年才允许发生1次失效。
指标一：SPFM（单点故障度量）——“有多少单点故障被防住了？”
SPFM在算什么？
SPFM衡量的是：单点故障和残余故障占所有安全相关故障的比例有多低。
SPFM = 1 − (残余故障率 / 安全相关总失效率)
用大白话翻译：
系统里所有可能导致安全事故的故障中，有多少比例是被安全机制覆盖了的？
SPFM=99%意味着：100个可能出问题的故障里，有99个被安全机制挡住了，只有1个可能漏网。
ASIL-D为什么要求≥99%？
对ASIL-D来说，单点故障和残余故障的失效率必须小于总故障率的1%。
换句话说：100个故障里最多只能有1个是“裸奔”的——没有任何安全机制保护。
诊断覆盖率怎么影响SPFM？
诊断覆盖率（DC）是SPFM的“核心变量”。
诊断覆盖率等级 | 数值 | 对SPFM的影响 |
|---|---|---|
🔴低（Low） | 60% | 40%的故障会变成残余故障 → SPFM很难达标 |
🟡中（Medium） | 90% | 10%的故障会变成残余故障 → 还行 |
🟢高（High） | 99% | 只有1%的故障会变成残余故障 →ASIL-D必备 |
指标二：LFM（潜伏故障度量）——“有多少潜伏的炸弹被排掉了？”
LFM在算什么？
LFM衡量的是：双点故障中“潜伏”的比例有多低。
LFM = 1 − (潜伏故障率 / 安全相关总失效率)
用大白话翻译：
系统里那些“单个故障不会出事，但两个故障一起发生就会出事”的故障中，有多少比例能被检测到，而不是悄悄潜伏着？
为什么“潜伏故障”很危险？
潜伏故障就像一颗定时炸弹💣——它单独存在时不会引爆，但一旦另一个故障发生，两颗炸弹一起爆炸，后果不堪设想。
潜伏故障本身不会导致安全目标被违反，但它会降低系统的故障检测能力，为未来的灾难埋下隐患。
举个栗子：
你的车有主刹车和备用刹车两套系统（双点冗余）。备用刹车系统有一个潜伏故障——它其实已经坏了，但因为平时不用，你根本不知道。
有一天，主刹车系统也坏了（第二个故障发生）——这时候你才发现备用刹车早就坏了，两个都坏了，车刹不住了😱
如果备用刹车的故障能被检测到（LFM高），你就会提前知道并维修，灾难就可以避免。
ASIL-D为什么要求≥90%？
对ASIL-D来说，潜伏故障的失效率必须小于（安全相关总失效率 - QM部分）的10%。
也就是说：最多只能有10%的双点故障是“潜伏”的——剩下的90%必须能被检测到。
指标三：PMHF（随机硬件失效概率）——“这车开一辈子，出事的概率有多高？”
PMHF在算什么？
PMHF是整个硬件设计最硬核的“终极成绩单”。它代表的是：在整个车辆生命周期内，因随机硬件故障导致安全目标被违反的概率。
PMHF的计算公式
PMHF的简化计算公式如下：
PMHF = Σλ_SPF + Σλ_RF + Σ(λ_DPF_detected × λ_DPF_latent × T_lifetime)
拆开来看：
符号 | 含义 | 大白话 |
|---|---|---|
| λ_SPF | 单点故障失效率 | “一个故障就直接完蛋”的概率 |
| λ_RF | 残余故障失效率 | “有安全机制但没覆盖到”的概率 |
| λ_DPF_detected | 可探测双点故障失效率 | “第一个故障能被发现”的概率 |
| λ_DPF_latent | 潜伏双点故障失效率 | “第一个故障没被发现”的概率 |
| T_lifetime | 车辆预期使用寿命 | “车开多少年” |
关键洞察：双点故障的贡献是两个失效率相乘再乘以时间——因为需要两个故障同时发生才会出事，概率比单点故障低得多。
PMHF的“及格线”
ASIL等级 | PMHF目标值 | 换算成FIT |
|---|---|---|
ASIL B | < 10⁻⁷ /小时 | <100 FIT |
ASIL C | < 10⁻⁷ /小时 | <100 FIT |
ASIL D | < 10⁻⁸ /小时 | <10 FIT |
ASIL-D的PMHF要求是ASIL-B/C的十分之一——这就是为什么ASIL-D认证那么难。
SPFM不达标怎么办？三大优化策略
我们算出来主控MCU的SPFM只有98.1%，离ASIL-D要求的99%还差0.9%。
差0.9%怎么补？有三种策略：
策略一：提高诊断覆盖率 🔼
问题：总线/接口失效的诊断覆盖率只有90%，贡献了1.0 FIT的残余故障。
解决方案：把诊断覆盖率从90%提升到99%。
优化前 | 优化后 |
|---|---|
诊断覆盖率90% → 残余故障率 = 10 × 10% =1.0 FIT | 诊断覆盖率99% → 残余故障率 = 10 × 1% =0.1 FIT |
效果：残余故障率降低0.9 FIT，SPFM从98.1%提升到99.0%✅
策略二：增加冗余设计
问题：逻辑单元失效的失效率是40 FIT，虽然DCLS覆盖了99%，但还有0.4 FIT的残余。
解决方案：增加三模冗余（TMR），让三个核心做多数投票。
优化前（DCLS） | 优化后（TMR） |
|---|---|
诊断覆盖率99% → 残余0.4 FIT | 诊断覆盖率99.9% → 残余0.04 FIT |
效果：残余故障率再降0.36 FIT，SPFM进一步提升。
策略三：更换更高可靠性的组件
问题：某些组件的基础失效率本身就偏高。
解决方案：选用车规级、失效率更低的元器件。
优化原则：SPFM不达标，要么提高诊断覆盖率（加安全机制），要么降低基础失效率（换更好的芯片），要么增加冗余（上TMR）。三者可以组合使用。
芯片厂商 vs 系统集成商：谁背什么KPI？
这是一个经常被混淆的问题。
芯片厂商（如英飞凌、NXP）的责任
芯片厂商开发的是SEooC（独立安全单元）——不依赖特定车辆环境的通用芯片。
芯片厂商的FMEDA计算的是芯片本身的SPFM、LFM、PMHF。
比如英飞凌AURIX TC3xx系列，芯片本身的SPFM、LFM是基于芯片内部的安全机制（DCLS、ECC、LBIST等）计算出来的。
芯片厂商的KPI：芯片本身的SPFM/LFM/PMHF达标。
系统集成商（如Tier 1、整车厂）的责任
系统集成商把芯片集成到具体的系统中（比如把AURIX MCU用到ACC控制器里）。
系统集成商的FMEDA要考虑：
芯片本身的失效率（来自芯片厂商的数据）
系统级别的安全机制（比如双MCU冗余、外部看门狗、电源监控等）
系统级别的诊断覆盖率
系统集成商的KPI：整个系统的SPFM/LFM/PMHF达标。
简单说：芯片厂商保证“芯片本身是安全的”，系统集成商保证“用这个芯片做的系统是安全的”。
实战案例：从“不及格”到“优秀”的优化之路
📋 初始状态（不及格❌）
指标 | 计算值 | ASIL-D目标 | 状态 |
|---|---|---|---|
SPFM | 98.1% | ≥99% | ❌ 差0.9% |
LFM | 89.5% | ≥90% | ❌ 差0.5% |
PMHF | 12 FIT | <10 FIT | ❌ 差2 FIT |
Step 1：优化总线/接口的诊断覆盖率
问题：总线/接口失效的诊断覆盖率只有90%。
行动：增加CRC校验 + 超时监控的冗余设计，诊断覆盖率提升到99%。
效果：SPFM从98.1%提升到99.0%✅
Step 2：优化潜伏故障的检测
问题：部分双点故障没有被检测到，导致LFM只有89.5%。
行动：增加周期性自检（Periodic Self-Test），定期检查备用通道的状态。
效果：LFM从89.5%提升到91.0%✅
Step 3：优化PMHF
问题：PMHF=12 FIT，离10 FIT还差一点。
行动：SPFM和LFM达标后，PMHF自然下降。再加上替换部分高失效率的被动元件。
效果：PMHF从12 FIT降到8.5 FIT✅
最终状态（全部达标✅）
指标 | 优化前 | 优化后 | ASIL-D目标 | 状态 |
|---|---|---|---|---|
SPFM | 98.1% | 99.0% | ≥99% | ✅ |
LFM | 89.5% | 91.0% | ≥90% | ✅ |
PMHF | 12 FIT | 8.5 FIT | <10 FIT | ✅ |
🎉恭喜！硬件设计通过ASIL-D“体检”！
硬件指标计算中容易踩的“坑”
坑1：只算SPFM，忽略LFM和PMHF
❌ “SPFM到99%了，肯定过了！”
✅ 三个指标必须同时达标。SPFM过了但LFM没过，照样不及格。
坑2：诊断覆盖率“拍脑袋”
❌ “我觉得看门狗能覆盖95%”
✅ 参考ISO 26262-5附录D中给出的诊断覆盖率建议值。
坑3：芯片厂商的指标和系统集成商的指标混为一谈
❌ “芯片厂商说这个芯片SPFM达标了，所以我系统肯定达标”
✅ 芯片达标 ≠ 系统达标。系统集成商需要重新计算整个系统的指标。
坑4：PMHF只算单点故障，不算双点故障
❌ PMHF = Σλ_SPF + Σλ_RF（只算单点）
✅ PMHF = Σλ_SPF + Σλ_RF +Σ(λ_DPF_det × λ_DPF_lat × T_lifetime)
坑5：忘了考虑安全机制本身也会失效
❌ 假设安全机制100%可靠
✅ 安全机制本身也有失效率，也需要纳入FMEDA计算。
✅三个指标必须同时达标，缺一不可
✅SPFM不达标的优化策略：提高诊断覆盖率、增加冗余设计、更换高可靠性组件
✅芯片厂商算芯片本身的指标，系统集成商算整个系统的指标——两者不能混为一谈
✅PMHF公式包含单点故障、残余故障和双点故障三部分
