FuSaCert · 功能安全学习
ISO 26262 依赖失效分析（DFA）：与 ASIL 分解的关系
DFA 关注可能同时影响多个要素、从而削弱独立性的相关失效。它与 ASIL 分解有关，但不是同一活动：分解规则位于 ISO 26262-9 第 5 章，DFA 位于第 7 章。
本页对 ISO 26262-9:2018 Clause 5.4.3、7.4.1、7.4.2 和 7.4.7 进行简明转述，并补充 FuSaCert 原创学习说明。请以适用版本的正式标准和项目评审为准。
DFA 与 ASIL 分解：相互关联，职责不同
ISO 26262-9 将需求分解（ASIL tailoring）放在第 5 章，将相关失效分析放在第 7 章。ASIL 分解描述如何把需求分配给多个要素；DFA 则分析可能破坏这些要素独立性的相关失效原因。
Clause 5.4.3 把“充分独立”的判断与第 7 章的 DFA 结果联系起来：分析没有发现会违反初始安全需求的可信相关失效原因，或已识别原因都由与初始需求 ASIL 相称的安全措施控制。仅有冗余架构本身不足以证明独立性。
一次 DFA 学习练习可以怎样组织
Clause 7.4.1 提到用演绎或归纳分析识别相关失效的潜在可能性。分析从具体架构与耦合关系出发，说明哪些原因可能跨越多个要素，以及它们如何影响初始安全需求。
以下步骤是学习时的整理方式，不是完整项目流程或可直接套用的检查表。
明确分析对象
记录初始安全需求、ASIL、分解后的要素及其接口和共享资源边界。
寻找相关失效原因
采用适合架构的演绎或归纳思路，检查可能的共因失效与级联失效，以及支持这种判断的依据。
判断影响与控制措施
说明可信原因是否可能违反初始需求；如识别到原因，记录安全措施如何控制影响，并保留其 ASIL 依据。
跟踪架构变化
发生接口、资源或部署变化时，重新检查相关耦合和原有独立性论证是否仍成立。
相关失效不总能用一个数值概括
Clause 7.4.2 的说明指出：在需要定量评估随机硬件失效时，共因与级联失效对失效贡献的估计仍以定性方式进行，因为不存在通用且足够可靠的定量方法。因此不应在没有适用依据时套用固定比例或单一模型数字。
DFA 的结论要落在可信原因、影响路径和措施证据上。它不能由 SPFM、LFM 或 PMHF 达标替代；这些硬件度量回答的是不同问题。
避免把“分开”当作独立性证据
不同 ECU、供应商或器件型号可以成为分析输入，但这些标签本身不能证明不存在共同原因或耦合。应解释具体设计如何预防相关失效的根本原因、控制其影响或减少耦合因素；这些是 Clause 7.4.7 所列措施方向。
DFA 也不会自动降低需求的 ASIL。是否可以采用分解，仍需依据适用的分解规则、充分独立性论证及正式安全评审作出判断。
常见问题
- DFA 就是 ASIL 分解吗？
- 不是。ASIL 分解的要求位于 ISO 26262-9 第 5 章，DFA 位于第 7 章；Clause 5.4.3 使用 DFA 结果支持充分独立性判断。
- 把冗余通道放在不同 ECU 就够了吗？
- 不能仅凭物理分离得出结论。需要分析可信的相关失效原因、影响以及控制措施，并保留论证依据。
- 能否用硬件度量代替 DFA？
- 不能。SPFM、LFM 和 PMHF 与 DFA 的问题范围不同，达到某个硬件度量参考值并不自动证明分解要素充分独立。
依据与范围
- ISO 26262-9:2018
正文转述 ISO 26262-9:2018 Clause 5.4.3、7.4.1、7.4.2 和 7.4.7，未复制标准原文。