汽車芯片的安全認(rèn)證，本質(zhì)上是道數(shù)學(xué)題。但過去二十年，整個(gè)行業(yè)都在用"差不多"的心態(tài)解這道題。

博世（Robert Bosch GmbH）3月發(fā)布的技術(shù)論文，把誤差傳播理論（Error Propagation Theory）塞進(jìn)了FMEDA（失效模式、影響和診斷分析）框架。這個(gè)改動不大，卻戳中了一個(gè)被刻意回避的問題：那些印在報(bào)告上的SPFM（單點(diǎn)故障指標(biāo)）和LFM（潛伏故障指標(biāo)）數(shù)字，到底有多少水分？

論文標(biāo)題很學(xué)術(shù)——《量化FMEDA安全指標(biāo)中的不確定性：一種用于增強(qiáng)ASIC驗(yàn)證的誤差傳播方法》。但核心訴求很直白：讓車企知道，供應(yīng)商給的安全數(shù)字，可信度到底幾何。

https://nimg.ws.126.net/?url=http%3A%2F%2Fdingyue.ws.126.net%2F2026%2F0328%2F5231ce37j00tcl5ht001td000m800b4p.jpg&thumbnail=660x2147483647&quality=80&type=jpg

FMEDA的"黑箱"：專家拍腦袋，數(shù)字就上了

ISO 26262標(biāo)準(zhǔn)把功能安全分成了ASIL-A到ASIL-D四個(gè)等級。等級越高，對SPFM和LFM的要求越嚴(yán)苛。ASIL-D要求SPFM≥99%、LFM≥90%。

這些百分比看起來精確，實(shí)際計(jì)算過程卻充滿玄學(xué)。FMEDA依賴兩個(gè)輸入：失效模式分布（FMD）和診斷覆蓋率（DC）。前者回答"芯片哪個(gè)部位容易壞"，后者回答"壞了能不能及時(shí)發(fā)現(xiàn)"。

問題在于，這兩個(gè)輸入都靠人估。不同專家看同一塊芯片，F(xiàn)MD可能差出30%，DC的判定更是眾說紛紜。博世團(tuán)隊(duì)在論文里寫得很克制：「這種依賴往往導(dǎo)致大量未量化的不確定性」。

翻譯一下：報(bào)告上的99%可能是98%，也可能是94%。但沒人告訴你誤差范圍，因?yàn)閭鹘y(tǒng)FMEDA根本不算這個(gè)。

更麻煩的是，這種不確定性會傳染。SPFM和LFM的計(jì)算涉及多輪乘法和加權(quán)，輸入端的微小偏差，輸出端可能放大數(shù)倍。誤差傳播理論原本是物理實(shí)驗(yàn)的標(biāo)配，芯片行業(yè)卻長期視而不見。

https://nimg.ws.126.net/?url=http%3A%2F%2Fdingyue.ws.126.net%2F2026%2F0328%2F5231ce37j00tcl5ht001td000m800b4p.jpg&thumbnail=660x2147483647&quality=80&type=jpg

博世的解法：給安全指標(biāo)加"誤差條"

論文作者Antonino Armato、Christian Kehl和Sebastian Fischer提出的方案，相當(dāng)于給每個(gè)FMEDA結(jié)果附上"置信區(qū)間"。

具體做法是：把FMD和DC的估計(jì)值視為隨機(jī)變量，賦予合理的誤差范圍，然后通過誤差傳播公式計(jì)算SPFM和LFM的最大可能偏差。最終輸出的不是單點(diǎn)數(shù)字，而是一個(gè)區(qū)間——比如"SPFM=99.2%±0.5%"。

這個(gè)改動讓安全分析從"達(dá)標(biāo)/不達(dá)標(biāo)"的二元判斷，變成了風(fēng)險(xiǎn)量化的連續(xù)光譜。車企可以據(jù)此決定：是接受這個(gè)精度，還是投入資源縮小誤差。

論文還埋了一個(gè)實(shí)用工具：誤差重要性識別器（EII）。它的作用是給FMEDA的每個(gè)輸入項(xiàng)打分，指出"哪個(gè)參數(shù)的估計(jì)誤差對最終結(jié)果影響最大"。

打個(gè)比方：傳統(tǒng)FMEDA像體檢報(bào)告只寫"健康"，博世的版本會標(biāo)注"血壓正常，但血脂檢測的采樣誤差較大，建議復(fù)查"。

https://nimg.ws.126.net/?url=http%3A%2F%2Fdingyue.ws.126.net%2F2026%2F0328%2F5231ce37j00tcl5ht001td000m800b4p.jpg&thumbnail=660x2147483647&quality=80&type=jpg

為什么是現(xiàn)在？芯片復(fù)雜度壓垮了舊工具

博世選在這個(gè)時(shí)間點(diǎn)出手，背景很清晰。先進(jìn)制程的ASIC動輒百億晶體管，失效模式從幾十種膨脹到數(shù)千種。FMD的估計(jì)越來越像猜謎，DC的驗(yàn)證需要跑海量仿真。

傳統(tǒng)FMEDA誕生于2000年代初期，當(dāng)時(shí)的車規(guī)芯片還相對簡單?，F(xiàn)在再用同一套方法，相當(dāng)于用游標(biāo)卡尺量納米結(jié)構(gòu)——工具本身成了瓶頸。

論文提到，這種方法"解決了功能安全社區(qū)長期存在的開放性問題"。這個(gè)表述在學(xué)術(shù)寫作里算是高調(diào)了。潛臺詞是：行業(yè)里不是沒人意識到問題，而是沒人愿意第一個(gè)捅破窗戶紙。

畢竟，承認(rèn)安全指標(biāo)有誤差，等于承認(rèn)過去的認(rèn)證可能不夠嚴(yán)謹(jǐn)。博世作為Tier 1巨頭，有底氣掀桌，中小供應(yīng)商跟不跟得起就是另一回事。

https://nimg.ws.126.net/?url=http%3A%2F%2Fdingyue.ws.126.net%2F2026%2F0328%2F5231ce37j00tcl5ht001td000m800b4p.jpg&thumbnail=660x2147483647&quality=80&type=jpg

落地難點(diǎn)：不是技術(shù)，是利益

技術(shù)層面，誤差傳播理論的實(shí)現(xiàn)并不復(fù)雜。論文給出的公式都是經(jīng)典方法，工程團(tuán)隊(duì)復(fù)現(xiàn)難度不高。

真正的阻力在流程和商務(wù)。引入置信區(qū)間后，ASIL認(rèn)證的談判空間被壓縮。過去雙方可以就"這個(gè)失效模式占比5%還是8%"扯皮半天，現(xiàn)在區(qū)間一擺，爭議變成數(shù)學(xué)問題。

對車企是好事：采購時(shí)有更硬的依據(jù)壓價(jià)。對芯片供應(yīng)商是壓力：估計(jì)保守了顯得產(chǎn)品不行，估計(jì)激進(jìn)了區(qū)間太寬過不了審。

博世把論文發(fā)在arXiv上，等于公開喊話。下一步要看ISO 26262標(biāo)準(zhǔn)組是否采納，以及競爭對手（英飛凌、恩智浦、瑞薩）如何回應(yīng)。

一個(gè)細(xì)節(jié)值得玩味：論文署名三位作者，都來自博世中央研究院，沒有外部合作方。這種"單打獨(dú)斗"的發(fā)表策略，暗示該方法可能已在內(nèi)部項(xiàng)目驗(yàn)證，但尚未與車企聯(lián)合路測。

功能安全的終極悖論是：你很難證明一個(gè)安全系統(tǒng)真的安全，只能證明它滿足當(dāng)時(shí)認(rèn)知下的標(biāo)準(zhǔn)。博世的誤差傳播方法，至少讓"滿足標(biāo)準(zhǔn)"這件事變得更透明了。

當(dāng)ASIL-D的99%變成99%±0.5%，車企是該慶幸終于看清了真相，還是該擔(dān)心過去的認(rèn)證有多少類似的"±"被隱藏了？