车规级干货 | ISO26262中对硬件安全性的定性和定量评估（上）

ISO26262 《道路车辆功能安全》国际标准是针对总重不超过3.5吨八座乘用车，以安全相关电子电气系统的特点所制定的功能安全标准。

ISO26262-5对如何评估硬件安全性是否符合相应的ASIL等级（B级及以上）的方法进行了详细规定。

在对硬件整体架构安全性进行评估时，需要对硬件整个拓扑结构展开，分析各个元器件或子元器件层级（对MCU而言，为网表，布线）中的：

a.故障模式

b.故障模式对违背安全目标的影响

c.故障模式的故障率和分布（故障率的比例）

d.故障模式的安全机制（即对故障的诊断和减轻的手段）

e.安全机制的对故障的覆盖能力

其中对于基础数据的获得，比如元器件的失效模式和失效率，安全机制的覆盖能力等，可采用业界公认数据（如来源于IEC和MIL的关于元器件可靠性数据），现场数据，实际运行历史数据，行业专家评估等，当然数据要尽可能地保守，以确保安全目标。

获得上述信息后开展对整体硬件架构的安全性评估，评估其是否达到预定的ASIL等级。

标准的两个度量方法

标准中提供了两个度量方法：硬件架构度量和硬件随机失效概率度量，两者在对硬件安全评估时均需要进行详细评估。本文针对硬件架构度量进行详细叙述，下一篇文章针对硬件随机失效概率度量进行详述。

在进行评估前需要了解ISO26262中对硬件故障的分类，按照故障的成因以及故障的测试性，将故障分为：

a.单点故障：单个硬件的故障会造成相关项违背安全目标，同时该故障没有相应的安全机制进行诊断和控制；

b.残余故障：单个硬件的故障会造成相关项违背安全目标，有安全机制的诊断，但无法完全覆盖而未被检测的部分；

c.多点故障：多个硬件故障联合时，才能导致违背安全目标；

d.可探测的多点故障：可被安全机制探测到的多点故障；

e.可感知的多点故障：可被驾驶员感受到的多点故障。

f.安全故障：故障不会造成安全目标的违背，或者由2个以上硬件单元共同组成的故障，即2阶以上故障。

对于多点故障，ISO26262中一般只考虑2阶故障，更高阶数的故障因其发生了极低，除非极特殊情况下（如安全概念现实他们会造成安全目标的违背），否则在评估时一般不进行分析。

基于硬件架构度量（Hardware Architecture Metric）的有效性测量

用于评估硬件架构对解决违背安全目标故障的有效性，描述为硬件对非安全故障的监控或控制的覆盖率。具体的评估方式如下：

在明确安全目标定义下，比如当传感器采样温度高于85℃时，100ms内，安全阀门打开（进入安全状态），进行硬件架构的分析：

（1）确定硬件失效是否会违背安全目标，不违背就被定义为安全故障（安全分析时不予考虑）；

（2）硬件失效的总失效率或各种失效模式的分布（参考数据手册），如硬件有几种失效模式，以及分别在整个硬件生命周期中的比例；

（3）确定硬件失效是否有相应的安全机制进行监控或控制（消除或减轻影响），是否有安全机制，决定故障分类和相应的统计方法；

（4）确定安全机制对故障诊断的覆盖率，一般分高99%，中90%，低60%三挡，具体的覆盖率根据安全机制所针对的对象不同而存在差异，可以查阅标准中的规定，也可以基于其他工程数据，明确相应的覆盖率；

（5）计算出单点故障（无安全机制的非安全故障）失效率，残余故障失效率（未被安全机制监测到的故障），潜伏故障失效率（多点一般指2阶故障）失效率；

（6）计算单点故障度量和潜伏故障度量，其中：单点故障度量（%）=1-（单点故障失效率+残余故障失效率）/总失效率

潜伏故障度量（%）=1-潜伏故障失效率/总失效率

（7）对照各ASIL等级对故障度量的要求，判定硬件架构是否达到了相应的等级，如下表所示为标准推荐值，当然也可以采用其他的目标值，取决于最终的集成方对ASIL等级的具体要求。

硬件架构度量（%）目标值

当发现硬件架构度量不符合相应的ASIL等级要求时，设计中需要增加安全机制提升故障诊断水平。

欢迎各位关注广电计量半导体服务号，后续将针对硬件随机失效概率度量进行详述。