汽車芯片的安全驗(yàn)證長(zhǎng)期有個(gè)尷尬處境：工程師算出來的故障覆蓋率，自己都不敢全信。博世（Robert Bosch）剛發(fā)的一篇技術(shù)論文，把誤差傳播理論（Error Propagation Theory）塞進(jìn)了FMEDA（失效模式、影響及診斷分析）框架——這不是修修補(bǔ)補(bǔ)，是給整個(gè)計(jì)算邏輯換了底層。

FMEDA的老毛?。核愕迷郊?xì)，心里越?jīng)]底

ISO 26262功能安全標(biāo)準(zhǔn)強(qiáng)制要求汽車芯片通過SPFM（單點(diǎn)故障度量）和LFM（潛伏故障度量）兩項(xiàng)考核。這兩個(gè)指標(biāo)的計(jì)算依賴兩組輸入：失效模式分布（FMD）和診斷覆蓋率（DC）。

問題就出在這。FMD來自失效模式分析，DC來自故障注入測(cè)試或?qū)＜以u(píng)估——兩者都帶著肉眼可見的不確定性。傳統(tǒng)FMEDA把這兩個(gè)數(shù)直接代入公式，輸出一個(gè)精確到小數(shù)點(diǎn)后兩位的"安全指標(biāo)"，卻對(duì)誤差從哪來、有多大只字不提。

博世團(tuán)隊(duì)在論文里打了個(gè)比方：這好比用一把刻度模糊的尺子量身高，讀完數(shù)還要假裝精確到毫米。

更麻煩的是，當(dāng)SPFM或LFM不達(dá)標(biāo)時(shí)，工程師不知道改哪。是FMD估偏了？還是DC測(cè)虛了？傳統(tǒng)方法給不出答案，只能憑經(jīng)驗(yàn)"哪里不對(duì)調(diào)哪里"。

誤差傳播理論進(jìn)場(chǎng)：給不確定性"上戶口"

博世的解法是把誤差傳播理論嵌入FMEDA計(jì)算流程。核心操作三步：量化輸入?yún)?shù)的誤差范圍、追蹤誤差如何在公式中放大或縮小、最終輸出帶置信區(qū)間的安全指標(biāo)。

具體而言，團(tuán)隊(duì)為FMD和DC分別設(shè)定最大偏差（Maximum Deviation），通過一階泰勒展開推導(dǎo)SPFM和LFM的誤差邊界。最終報(bào)告不再是"SPFM=99.2%"，而是"SPFM=99.2%±0.5%，置信度95%"。

這個(gè)±0.5%不是裝飾，是分析質(zhì)量的直接度量。區(qū)間越寬，說明輸入數(shù)據(jù)越不可靠，工程師得回去補(bǔ)測(cè)試或重做分析；區(qū)間收窄，才能放心簽字。

論文還埋了個(gè)實(shí)用工具：Error Importance Identifier（EII，誤差重要性標(biāo)識(shí)器）。EII會(huì)拆解SPFM/LFM的總誤差，歸因到每一個(gè)FMD或DC輸入項(xiàng)。哪個(gè)參數(shù)"貢獻(xiàn)"了80%的不確定性，一目了然。

博世用一顆真實(shí)的車規(guī)級(jí)ASIC驗(yàn)證了這套方法。結(jié)果顯示，某些看似次要的失效模式，由于FMD估計(jì)偏差大，實(shí)際對(duì)最終指標(biāo)波動(dòng)的影響被嚴(yán)重低估。EII把這些問題參數(shù)標(biāo)紅，團(tuán)隊(duì)針對(duì)性補(bǔ)了故障注入測(cè)試，把SPFM的置信區(qū)間從±1.2%壓到了±0.4%。

為什么現(xiàn)在才有人做？

誤差傳播理論本身不算新，物理學(xué)和工程測(cè)量用了幾十年。但FMEDA的特殊性在于：它的輸入不是單一測(cè)量值，而是分布估計(jì)+專家判斷的混合體，誤差建模復(fù)雜度高。

博世團(tuán)隊(duì)的突破在于把這套理論"翻譯"成了功能安全工程師的工作語言。論文里所有公式都對(duì)應(yīng)ISO 26262的現(xiàn)有流程，不需要推翻重來，而是給每個(gè)環(huán)節(jié)加裝"誤差傳感器"。

一個(gè)細(xì)節(jié)值得玩味：論文把這套方法定位為"enhanced verification"（增強(qiáng)驗(yàn)證），而非"替代方案"。這意味著傳統(tǒng)FMEDA的框架保留，但輸出結(jié)果從"點(diǎn)估計(jì)"升級(jí)為"區(qū)間估計(jì)"——統(tǒng)計(jì)學(xué)里這叫區(qū)間推斷，放到汽車安全領(lǐng)域，是首次系統(tǒng)級(jí)落地。

論文通訊作者Sebastian Fischer在引言里寫道：「This addresses a longstanding open question in the functional safety community.」翻譯過來：這行憋了很久的問題，終于被捅破了。

對(duì)行業(yè)意味著什么

車規(guī)芯片的復(fù)雜度在飆升。7nm以下工藝、AI加速單元、多核鎖步架構(gòu)——失效模式數(shù)量指數(shù)級(jí)增長(zhǎng)，F(xiàn)MD和DC的估計(jì)難度同步飆升。傳統(tǒng)FMEDA的"精確幻覺"越來越危險(xiǎn)：一個(gè)被低估的誤差，可能讓量產(chǎn)后的芯片在極端場(chǎng)景下漏檢關(guān)鍵故障。

博世的方案提供了一條中間道路：不追求輸入數(shù)據(jù)的絕對(duì)精確（這幾乎不可能），而是把不精確本身量化、可視化、可管理。

對(duì)于Tier 1和OEM，這意味著供應(yīng)商的安全分析報(bào)告將附帶"可信度說明書"。以前只能盲信99%的SPFM，現(xiàn)在可以追問：置信區(qū)間多寬？哪個(gè)參數(shù)最可疑？

對(duì)于芯片設(shè)計(jì)團(tuán)隊(duì)，EII相當(dāng)于一張優(yōu)先級(jí)清單。驗(yàn)證資源有限時(shí)，先修誤差貢獻(xiàn)最大的漏洞，投入產(chǎn)出比最高。

論文最后提到，該方法已用于博世內(nèi)部多款A(yù)SIL-D級(jí)芯片的驗(yàn)證流程。arXiv預(yù)印本發(fā)布于2026年3月，正式同行評(píng)審還在進(jìn)行中。功能安全社區(qū)的反應(yīng)？一位匿名審稿人評(píng)論：「終于有人把統(tǒng)計(jì)嚴(yán)謹(jǐn)性帶進(jìn)了FMEDA，雖然公式多了幾頁，但值得?！?/p>

當(dāng)汽車芯片的安全驗(yàn)證從"差不多就行"轉(zhuǎn)向"差多少必須說清楚"，博世這篇論文或許是個(gè)轉(zhuǎn)折點(diǎn)——問題是，其他芯片廠商跟不跟？