博世把誤差傳播塞進(jìn)FMEDA，ISO 26262懸了20年的難題

汽車芯片的安全驗證，長期以來像一場"猜重量"游戲——工程師們估算故障分布和診斷覆蓋率，然后祈禱這些數(shù)字別太離譜。博世（Robert Bosch GmbH）3月發(fā)布的一篇技術(shù)論文，試圖給這場游戲加上誤差條。

論文標(biāo)題直截了當(dāng)：《量化FMEDA安全指標(biāo)的不確定性：一種用于增強(qiáng)ASIC驗證的誤差傳播方法》。核心主張是：傳統(tǒng)FMEDA（失效模式、影響和診斷分析）算出的單點故障指標(biāo)（SPFM）和潛伏故障指標(biāo)（LFM），其實藏著大量未被量化的不確定性，而博世的方案能把它顯式標(biāo)出來。

FMEDA的老毛病：精確數(shù)字，模糊底氣

做過功能安全的人都知道這個場景。你對著Excel表格填故障模式分布（FMD），某個模塊的"開路"占40%、"短路"占35%、剩下25%丟給"其他"。這些數(shù)字從哪來？有些來自手冊，有些來自經(jīng)驗，有些來自——「我覺得合理」。

診斷覆蓋率（DC）也一樣。你設(shè)計了一套安全機(jī)制，然后拍腦袋說"這個能覆蓋90%的故障"。90%？為什么不是85%或95%？文檔里往往語焉不詳。

博世團(tuán)隊在論文里點破了這個尷尬：傳統(tǒng)FMEDA把估算誤差當(dāng)成黑箱吞下去，輸出一個看起來精確的SPFM/LFM數(shù)值，卻不告訴你這個數(shù)有多可信。對于ISO 26262合規(guī)來說，這是顆定時炸彈——審計時沒問題，量產(chǎn)時可能暴雷。

論文作者Armato、Kehl和Fischer把問題追溯到誤差傳播理論的缺失。FMD和DC的輸入不確定性，會像滾雪球一樣傳導(dǎo)到最終的安全指標(biāo)，但傳統(tǒng)方法完全不量化這個傳導(dǎo)過程。

誤差傳播的解法：給不確定性畫個框

博世的方案分兩步走。第一步，用誤差傳播理論計算SPFM和LFM的最大偏差，并給出置信區(qū)間。換句話說，不再輸出"SPFM=99.2%"這種單點數(shù)值，而是"SPFM=99.2%±0.8%，置信度95%"。

第二步更實用：引入一個"誤差重要性標(biāo)識符"（EII, Error Importance Identifier），自動定位哪些輸入?yún)?shù)對最終不確定性的貢獻(xiàn)最大。

「EII指導(dǎo)有針對性的改進(jìn)」，論文里這句話藏著產(chǎn)品經(jīng)理的直覺——資源永遠(yuǎn)有限，你得知道往哪砸。如果某個故障模式的分布估算對SPFM波動貢獻(xiàn)70%，那就優(yōu)先去測它，而不是平均用力。

這個方法論的巧妙之處在于不顛覆現(xiàn)有流程。FMEDA的框架還在，只是每個輸入格子后面多了一列誤差項，輸出端多了一層統(tǒng)計包裝。對于已經(jīng)跑通ISO 26262流程的廠商，遷移成本相對可控。

為什么現(xiàn)在？ASIC的復(fù)雜度逼到墻角

博世選在這個節(jié)點發(fā)表論文，背景是汽車ASIC的驗證壓力在指數(shù)級上升。7nm、5nm制程的芯片里，晶體管數(shù)量動輒百億，故障模式的組合爆炸讓"專家判斷"越來越像玄學(xué)。

功能安全社區(qū)里有個公開的秘密：不同團(tuán)隊對同一顆芯片做FMEDA，結(jié)果可能相差幾個百分點。這幾個百分點在ASIL-D級別（最高汽車安全完整性等級）就是生與死的區(qū)別。

論文提到，他們的方法「解決了功能安全社區(qū)中長期存在的開放性問題」。這個表述在學(xué)術(shù)寫作里算高調(diào)，但放在行業(yè)語境下不算夸張——ISO 26262標(biāo)準(zhǔn)從2011年第一版到現(xiàn)在，確實沒給不確定性量化提供操作性指南。

博世作為Tier 1巨頭親自下場做方法論，信號意義明顯。這不像大學(xué)里的純學(xué)術(shù)研究，而是帶著自家芯片驗證的血淚經(jīng)驗——論文里那些"unquantified uncertainties"，八成是某次流片返工或客戶審計時踩過的坑。

落地挑戰(zhàn)：工具鏈和生態(tài)

技術(shù)方案再優(yōu)雅，也得看能不能塞進(jìn)工程師的日常工具。誤差傳播計算需要統(tǒng)計工具支持，EII需要敏感性分析的后端，這些都不是Excel能搞定的。

論文發(fā)表在arXiv，意味著博世可能還在觀望產(chǎn)業(yè)界的反饋，或者等待EDA工具廠商跟進(jìn)。Synopsys、Cadence的功能安全工具套件會不會集成類似能力？這是決定該方法普及速度的關(guān)鍵變量。

另一個潛在阻力是文化。汽車安全工程師習(xí)慣了"給出一個數(shù)字并捍衛(wèi)它"的工作模式，現(xiàn)在要他們同時給出誤差范圍，心理上需要適應(yīng)。審計方和認(rèn)證機(jī)構(gòu)的態(tài)度同樣關(guān)鍵——如果TüV們不認(rèn)置信區(qū)間，博世的方案就只能停留在學(xué)術(shù)層面。

論文結(jié)尾的引用信息里藏著時間戳：2026年3月。這是預(yù)印本，正式發(fā)表可能還在走流程。博世選擇提前公開，或許是想搶發(fā)話語權(quán)，也或許是在向供應(yīng)鏈喊話——你們的安全驗證方法論該升級了。

汽車芯片的軍備競賽里，功能安全正在從"合規(guī) checkbox"變成"技術(shù)護(hù)城河"。當(dāng)所有人都在堆算力、拼制程時，博世選擇回到基礎(chǔ)方法論上挖深溝——這招是務(wù)實，還是避戰(zhàn)？