汽車芯片的安全驗(yàn)證，長期以來像一場(chǎng)"猜重量"游戲——工程師們估算故障分布和診斷覆蓋率，然后祈禱這些數(shù)字別太離譜。博世（Robert Bosch GmbH）3月發(fā)布的一篇技術(shù)論文，試圖給這場(chǎng)游戲加上誤差條。

論文標(biāo)題直截了當(dāng)：《量化FMEDA安全指標(biāo)的不確定性：一種用于增強(qiáng)ASIC驗(yàn)證的誤差傳播方法》。核心主張是：傳統(tǒng)FMEDA（失效模式、影響和診斷分析）算出的單點(diǎn)故障指標(biāo)（SPFM）和潛伏故障指標(biāo)（LFM），其實(shí)藏著大量未被量化的不確定性，而博世的方案能把它顯式標(biāo)出來。

FMEDA的老毛病：精確數(shù)字，模糊底氣

做過功能安全的人都知道這個(gè)場(chǎng)景。你對(duì)著Excel表格填故障模式分布（FMD），某個(gè)模塊的"開路"占40%、"短路"占35%、剩下25%丟給"其他"。這些數(shù)字從哪來？有些來自手冊(cè)，有些來自經(jīng)驗(yàn)，有些來自——「我覺得合理」。

診斷覆蓋率（DC）也一樣。你設(shè)計(jì)了一套安全機(jī)制，然后拍腦袋說"這個(gè)能覆蓋90%的故障"。90%？為什么不是85%或95%？文檔里往往語焉不詳。

博世團(tuán)隊(duì)在論文里點(diǎn)破了這個(gè)尷尬：傳統(tǒng)FMEDA把估算誤差當(dāng)成黑箱吞下去，輸出一個(gè)看起來精確的SPFM/LFM數(shù)值，卻不告訴你這個(gè)數(shù)有多可信。對(duì)于ISO 26262合規(guī)來說，這是顆定時(shí)炸彈——審計(jì)時(shí)沒問題，量產(chǎn)時(shí)可能暴雷。

論文作者Armato、Kehl和Fischer把問題追溯到誤差傳播理論的缺失。FMD和DC的輸入不確定性，會(huì)像滾雪球一樣傳導(dǎo)到最終的安全指標(biāo)，但傳統(tǒng)方法完全不量化這個(gè)傳導(dǎo)過程。

誤差傳播的解法：給不確定性畫個(gè)框

博世的方案分兩步走。第一步，用誤差傳播理論計(jì)算SPFM和LFM的最大偏差，并給出置信區(qū)間。換句話說，不再輸出"SPFM=99.2%"這種單點(diǎn)數(shù)值，而是"SPFM=99.2%±0.8%，置信度95%"。

第二步更實(shí)用：引入一個(gè)"誤差重要性標(biāo)識(shí)符"（EII, Error Importance Identifier），自動(dòng)定位哪些輸入?yún)?shù)對(duì)最終不確定性的貢獻(xiàn)最大。

「EII指導(dǎo)有針對(duì)性的改進(jìn)」，論文里這句話藏著產(chǎn)品經(jīng)理的直覺——資源永遠(yuǎn)有限，你得知道往哪砸。如果某個(gè)故障模式的分布估算對(duì)SPFM波動(dòng)貢獻(xiàn)70%，那就優(yōu)先去測(cè)它，而不是平均用力。

這個(gè)方法論的巧妙之處在于不顛覆現(xiàn)有流程。FMEDA的框架還在，只是每個(gè)輸入格子后面多了一列誤差項(xiàng)，輸出端多了一層統(tǒng)計(jì)包裝。對(duì)于已經(jīng)跑通ISO 26262流程的廠商，遷移成本相對(duì)可控。

為什么現(xiàn)在？ASIC的復(fù)雜度逼到墻角

博世選在這個(gè)節(jié)點(diǎn)發(fā)表論文，背景是汽車ASIC的驗(yàn)證壓力在指數(shù)級(jí)上升。7nm、5nm制程的芯片里，晶體管數(shù)量動(dòng)輒百億，故障模式的組合爆炸讓"專家判斷"越來越像玄學(xué)。

功能安全社區(qū)里有個(gè)公開的秘密：不同團(tuán)隊(duì)對(duì)同一顆芯片做FMEDA，結(jié)果可能相差幾個(gè)百分點(diǎn)。這幾個(gè)百分點(diǎn)在ASIL-D級(jí)別（最高汽車安全完整性等級(jí)）就是生與死的區(qū)別。

論文提到，他們的方法「解決了功能安全社區(qū)中長期存在的開放性問題」。這個(gè)表述在學(xué)術(shù)寫作里算高調(diào)，但放在行業(yè)語境下不算夸張——ISO 26262標(biāo)準(zhǔn)從2011年第一版到現(xiàn)在，確實(shí)沒給不確定性量化提供操作性指南。

博世作為Tier 1巨頭親自下場(chǎng)做方法論，信號(hào)意義明顯。這不像大學(xué)里的純學(xué)術(shù)研究，而是帶著自家芯片驗(yàn)證的血淚經(jīng)驗(yàn)——論文里那些"unquantified uncertainties"，八成是某次流片返工或客戶審計(jì)時(shí)踩過的坑。

落地挑戰(zhàn)：工具鏈和生態(tài)

技術(shù)方案再優(yōu)雅，也得看能不能塞進(jìn)工程師的日常工具。誤差傳播計(jì)算需要統(tǒng)計(jì)工具支持，EII需要敏感性分析的后端，這些都不是Excel能搞定的。

論文發(fā)表在arXiv，意味著博世可能還在觀望產(chǎn)業(yè)界的反饋，或者等待EDA工具廠商跟進(jìn)。Synopsys、Cadence的功能安全工具套件會(huì)不會(huì)集成類似能力？這是決定該方法普及速度的關(guān)鍵變量。

另一個(gè)潛在阻力是文化。汽車安全工程師習(xí)慣了"給出一個(gè)數(shù)字并捍衛(wèi)它"的工作模式，現(xiàn)在要他們同時(shí)給出誤差范圍，心理上需要適應(yīng)。審計(jì)方和認(rèn)證機(jī)構(gòu)的態(tài)度同樣關(guān)鍵——如果TüV們不認(rèn)置信區(qū)間，博世的方案就只能停留在學(xué)術(shù)層面。

論文結(jié)尾的引用信息里藏著時(shí)間戳：2026年3月。這是預(yù)印本，正式發(fā)表可能還在走流程。博世選擇提前公開，或許是想搶發(fā)話語權(quán)，也或許是在向供應(yīng)鏈喊話——你們的安全驗(yàn)證方法論該升級(jí)了。

汽車芯片的軍備競(jìng)賽里，功能安全正在從"合規(guī) checkbox"變成"技術(shù)護(hù)城河"。當(dāng)所有人都在堆算力、拼制程時(shí)，博世選擇回到基礎(chǔ)方法論上挖深溝——這招是務(wù)實(shí)，還是避戰(zhàn)？