I7-03 功能安全导向的结构与失效模式设计

课程代码 I7-03 · 板块 I 结构设计与工程化 / I7 DFMEA 与安全设计 时长 约 4.5 小时（5 讲 + 1 次实操） 适合对象 结构工程师、控制工程师、功能安全工程师与安全经理（主修）；做安全关键热管理系统（电池冷却、高压加热、热失控抑制）的专家级必修；可靠性工程师与 SQE 建议同修 前置 I7-01 热管理系统/零部件 DFMEA 实操 热管理系统/零部件 DFMEA 实操（失效模式与失效链的来源）；I7-02 失效安全（Fail-safe）与冗余设计 失效安全（Fail-safe）与冗余设计（安全状态、默认位、冗余的形态）；体系外前置（需自备）：对 ISO 26262 概念阶段有基本了解，知道「安全生命周期」这个词指什么 本讲义定位 讲师授课蓝本 / 学员自学讲义。本课是安全论证的工程方法课，不是标准条文课——⛔ 不复制任何一条标准原文的条款内容、不给任何一个标准规定的目标值，教的是「这条失效链该不该进这套流程、级别凭什么定出来、度量的分子分母各取哪一块、算出来的数能证明什么又不能证明什么」

---

按任务导航

你手上的事	直接看	还要配
手上一条热管理失效链，要判它进不进功能安全流程	第 1 讲 1.1：入口判据只有一句	1.2：DFMEA 的 S=9–10 触发的到底是什么
有人要求给一根管路、一个支架「定 ASIL」	第 1 讲 1.4：适用边界 ＋ 1.5：机械件的三条正确出口	第 3 讲 3.5：结构件怎么承接安全要求
要写一条危害的 HARA，不知道 S/E/C 各评什么	第 2 讲 2.3：三维各绑哪一层	2.2：热管理危害全集三类
危害场景里「无人在场」那一类总被漏掉	第 2 讲 2.4：停车充电误加热与可控性取最差档	2.2：全集里的场景轴
安全目标写完了，下一步不知道往哪拆	第 3 讲 3.1：三跳分解与追溯	第 5 讲 5.4：追溯闭环的验收判据
要判一份 FMEDA 表里的失效分类填对没有	第 3 讲 3.2：四类失效的判据链	第 4 讲 4.4：哪一块进哪个度量的分子
表里所有 DC 都填了同一个数，要不要退回	第 4 讲 4.3：两个 DC 不是同一个数	4.6：DC 取值的机制支撑判据
要算 SPFM / LFM 并对照目标判达标	第 4 讲 4.4、4.5 ＋〈关键公式详解〉公式二、公式五	4.5：目标值本课只写去向的理由
冗余上了，要证明它不是假冗余	第 5 讲 5.1、5.2：共因十类同源核对	I7-02 失效安全（Fail-safe）与冗余设计 冗余形态本身
要把 FMEDA 的结果接进故障树	第 5 讲 5.3：两道接口	⛔ 建树与最小割集本体 → I7-04 故障树分析（FTA）实操：建树、最小割集与顶事件概率定量
跨企业开发，安全案例的证据凑不齐	第 5 讲 5.5：DIA 证据交换清单与 AoU	K4-09 热管理控制软件的跨企业交付边界：交付物形态、DIA/SEooC、权限分级与联合验证签署 交付边界本体
要判一个热管理危害该走哪一套标准	第 1 讲 1.6：三套标准的问题域与入口条件	⛔ SOTIF / AI 件论证 → K2-05 预期功能安全（SOTIF/ISO 21448）与 AI 件安全论证在热管理的落法
控制器与软件侧的安全设计怎么做	⛔ 不在本课 → K2-03 功能安全（ISO 26262）在热管理中的应用	第 3 讲 3.4：本课只给安全机制的结构侧载体

⛔ 本课不覆盖 · 栏一（每样带去向）：控制器硬件架构、软件侧安全机制、安全相关软件的开发流程与 t_FTTI 的时间预算分配方法 → K2-03 功能安全（ISO 26262）在热管理中的应用；预期功能安全（能力不足型危害）的判据、触发条件分析与 AI 件的安全论证框架 → K2-05 预期功能安全（SOTIF/ISO 21448）与 AI 件安全论证在热管理的落法；故障树的建树语法、最小割集求法、概率传播、重要度与共因因子的量化取数 → I7-04 故障树分析（FTA）实操：建树、最小割集与顶事件概率定量；DFMEA 的七步法、结构树与功能网、S/O/D 定级与 AP → I7-01 热管理系统/零部件 DFMEA 实操；安全状态四元组、默认位判定、降级层级与冗余的形态选型 → I7-02 失效安全（Fail-safe）与冗余设计；可靠度模型、加速寿命与耐久试验设计 → I6-04 可靠性目标、分配与寿命数据统计（TMS 可靠性量化入门）；故障码、降级的逐级动作与售后闭环 → K5-02 热管理故障处理与降级策略；冗余通道的比对阈值整定与在线校零 → K1-03 传感器布置、冗余与信号可靠性；热失控本体机理与扩散抑制 → D5-01 热失控热扩散抑制（热管理与结构协同） / D5-02 隔热、泄压与排烟设计中的热管理边界；热失控与高压安全的合规判据口径 → M4-03 安全法规（可燃工质/高压/热失控）合规；加热器本体的功率调制与过温防护实现 → G9-03 加热器功率控制与温度保护。

⛔ 本课不覆盖 · 栏二（真正不给的数，各带理由）：① 任何一条标准条款的内容——ISO 26262 各分部、GB/T 34590、ISO 21448、IEC 61508 在本课一律只写「它管什么、在哪一步卡你」，⛔ 本课未逐条核过原文，分部与版次以现行有效目录为准、引用前须核原文；② ASIL 等级对应的硬件度量目标值（单点失效度量、潜伏失效度量、随机硬件失效概率度量三者的目标）与 S/E/C 三维的分档锚点与查表结果——它们都是①的一部分，理由同上，本课给的是「怎么对照、对照完怎么下结论」这套动作，⛔ 不给被对照的那个数；③ 诊断覆盖率低/中/高三档的档位值——同属标准附录内容，本课只讲三档的语义与提升手段；④ 任何一个具体器件的失效率取值——它由器件类型、工艺、结温、任务剖面与所选数据源共同决定，⛔ 只能从数据源查或由本项目现场数据给出。

⚠ 栏二之外的平台相关量（失效率量级、故障容错时间间隔、热失控可用时间窗、过温门限、诊断周期），本课照给典型区间与常见值锚点，逐条标「⚠ 典型值、⛔ 不是验收依据，须实测确认」并写明拿到它的路。汇总表在 1.7。

---

引言：一个 ASIL D 的标签，和一份没人能反驳的表

安全评审上最常见的两份材料，一份是方案书封面上印着「本系统 ASIL D」，另一份是二十页的 FMEDA 表，最后一行结论写着「达标」。两份材料都完整、都签了字，而它们经常同时是空的。

第一份空在那个字母是怎么来的。追问下去，回答往往是「电池热失控当然是最严重的，所以给 D」。这句话只用了三维里的一维。严重度确实是 S 的输入，但等级是由严重度、暴露率、可控性三维一起推出来的，而三维各自绑在不同的东西上：S 绑整车与人员承受的后果，E 绑那个危害场景在运行画像里出现得有多频繁，C 绑在场的人（或系统）还来不来得及、有没有办法把它拉回来。跳过场景直接给字母，等于把一个需要写清运行假设的推演，压缩成一次印象打分——而印象打分不会被任何一道检查报错，它只会让后面所有的资源投放对着一个没有依据的目标。

第二份空在那些百分比的分母是哪一块。一份 FMEDA 表最容易出的三处问题，恰好都不是算错：失效分类填错了归属（该算残余失效的填成了安全失效），诊断覆盖率整列填了同一个数（而同一个安全机制对两类失效的覆盖能力本来就不一样），以及度量的分子分母各取了一块听起来合理、实际口径不同的东西。这三处都能算出一个 0 到 1 之间、看上去很正常的数——这才是它危险的地方：算出负数会自曝，算出 0.97 不会。

这两份材料背后是同一个动作：把功能安全当成一个要贴上去的属性，而不是一条要走完的论证。这门课要拆的就是这条论证：它从哪里开始（入口判据）、级别怎么推出来（HARA）、要求怎么落到硬件与结构上（三跳分解）、覆盖够不够怎么量（FMEDA 与三个度量）、冗余是不是真的独立（相关性失效分析）、最后这一整串怎么被证明是闭合的（安全案例与追溯）。

先把入口那一问摆出来，因为它决定了后面这一整套要不要启动。

全课三根钉子

钉子 A：入口判据是成因，不是后果。一条失效链要不要走这套流程，判的是「它是不是由电子电气安全相关系统的故障行为引起的」。后果严重（在 DFMEA 里表现为 S=9–10）触发的是一次安全相关性评审——判它是不是安全相关、要不要定成特殊特性——⛔ 它不自动分配一个等级，也不自动让这条链进入本课这套算账。把这两件事混起来，最典型的后果是给一根冷却管路「定 ASIL C」，然后发现没有任何一个数据库能给它失效率、没有任何一个诊断能给它覆盖率，整条论证卡死在第一步。

钉子 B：度量是分子分母的账，不是百分比的大小。三个硬件度量各取失效率拆账树上不同的块，分母不是同一个——所以它们不可互算、不可互相折算，一个达标也不能顶替另一个。评审时要问的第一句不是「这个数是多少」，是「这个数的分母是哪一块」。分母说不出来，那个百分比就不可裁决。

钉子 C：一个数达标，只证明了一个必要条件。硬件度量回答的是「这套架构对随机硬件失效的覆盖够不够」。它回答不了三件事：安全机制的反应有没有在时间窗内完成（那是故障容错时间那条预算）、规格本身有没有写错（那是系统性错误那一侧）、以及冗余通道是不是真的独立（那是相关性失效分析那一侧）。⇒ 度量全绿而安全目标没达成，是完全可能的，而且是最常见的一种「论证看起来闭合了」。

⚠ 反钉子（⛔ 别照做）：把功能安全当成一个交付物清单去凑——HARA 表一份、FMEDA 表一份、DFA 表一份、追溯矩阵一份，四份齐了就报完成。四份文件之间如果没有真正的引用关系（HARA 定出的安全目标在 TSR 里找不到对应、FMEDA 里的安全机制在 TSR 里没有出处、DFA 的结论没有改变过任何一处设计），那它们是四份互不相干的表，不是一条论证。判它是不是一条论证，只要抽一条：从任意一条硬件要求往上，能不能一路指回某一条安全目标；从任意一条安全目标往下，能不能一路指到某一项验证证据。

---

第 1 讲　入口判据与适用边界：什么样的热管理失效才进这套流程

拿到一条「这里可能会坏，而且坏了很严重」的意见，最省事的下一个动作是给它贴一个等级，然后开始做表。这一讲要在贴标签之前插进三个动作：判它归不归这套流程、判它落在这套流程的哪一侧、判它有没有一条本课之外的正确出口。三个动作都不打分，却决定了后面所有的算账打在什么东西上——归错了，整条论证会在「找不到失效率」或「找不到诊断覆盖率」这两处之一卡死，而卡死之前你已经花掉了半个项目周期。

本讲交付六件：① 入口判据的那一句话与它的三个反例；② DFMEA 的 S=9–10 到底触发什么；③ 安全生命周期概览与本课在其中的挂点；④ 适用边界——为什么机械失效不按硬件度量算账；⑤ 机械与结构件承接安全要求的三条出口；⑥ 三套标准的问题域与入口条件。本讲不交付：等级怎么推（第 2 讲）、要求怎么拆（第 3 讲）、度量怎么算（第 4 讲）、独立性怎么查（第 5 讲）。

1.1 入口判据只有一句：这条失效链是不是由电子电气系统的故障行为引起的

是什么。判据的原话形态是：危害是否由安全相关的电子电气系统的故障行为（malfunctioning behaviour）引起。拆成两个可查的条件：其一，链条上有没有一个电子电气元素（传感器、控制器、执行器驱动、通信）；其二，那个元素是不是坏了（表现出了非预期的行为），而不是没坏但能力不够。两个条件同时成立，才进这套流程。

为什么判据落在成因上而不是后果上。因为这套流程的每一件工具，都是为「元素会以某个失效率随机坏掉」这件事造的：失效率来自可靠性数据库或现场数据，失效分布把一个器件的失效率切成几种失效模式，诊断覆盖率描述一个安全机制能查出其中多大一部分。这三件工具对「没坏但不够用」全部失效——一个规格写窄了的温度阈值没有失效率，一个覆盖不到的工况没有诊断覆盖率。⇒ 判据不落在成因上，工具就会被用在它算不了的对象上，而算出来的数照样是个数。

三个反例，逐个说清它错在哪。

• 反例一：冷却液缓慢渗漏导致液位下降、最终冷却能力丢失。成因是密封件老化——纯机械。⛔ 它不按本课第 4 讲那套算账，但它一定要进：作为「液位传感器所在通道」的共因输入，以及作为安全机制假设条件的一部分（安全机制假设「有液才能散热」，这个假设的成立依赖机械件）。走的是 1.5 的出口①与出口③。
• 反例二：控制策略在某个极端工况下判定错误，导致冷却提前退出。件全好、软件按写的执行、执行结果不安全——这是规格不足，属能力不足型危害那一侧（1.6），⛔ 不是本课的故障行为侧。误判成本课的对象，会去给一个没有失效率的东西算失效率。
• 反例三：温度传感器信号漂移，控制器据此判定电池温度正常而实际已超温。元素在（传感器）、坏了（漂移是一种失效模式）、行为非预期（报了错值）——三条全中，这是标准的本课对象。它的失效率查得到、失效分布切得出、合理性校验的覆盖率评得了。

易错点。两条。①把「热管理系统」整体当成判据对象——判据的对象是一条失效链，不是一个系统。同一个电池冷却系统里，传感器漂移进这套流程、管路穿漏走出口①、策略判错走能力不足侧，三条链三种归属，⛔ 不能一起打包给一个字母。②把「有电子件参与」当成充分条件——链条上有控制器，不等于这条链的成因是控制器坏了。管路穿漏之后控制器如实报了低液位并降功率，控制器全程正确，这条链的成因仍然是机械。

1.2 DFMEA 里的 S=9–10 触发的是一次评审，⛔ 不是一个等级

是什么。I7-01 热管理系统/零部件 DFMEA 实操 里那张 DFMEA 表，严重度取到最高两档时会触发一条强制通道。这条通道的内容是安全相关性评审——判两件事：这条失效链是不是安全相关（要不要进本课这套流程），以及要不要把相关的产品特性或过程特性定成特殊特性（关键特性 CC / 重要特性 SC）。

它不是什么。⛔ 它不产出等级。等级只有一条来路，就是第 2 讲那次 HARA。把 S=9–10 直接当成「所以是 ASIL D」，是本课最常见的一次跳步，而它同时错在两处：一处是用了三维里的一维（漏掉暴露率与可控性），另一处是把零件层的评分当成了整车层的危害（DFMEA 的 S 评的是这条失效链最终的后果，而 HARA 的输入是整车层面的危害事件加运行场景，两者的对象不是一一对应的：同一个零件失效在不同场景下是不同的危害事件）。

为什么两条通道必须并存。因为它们服务两套不同的下游：安全相关性评审的下游是特殊特性清单与本课这套论证的入口；DFMEA 的 AP 排序的下游是设计改进措施的优先级。两者都要走，且一条走完不能顶替另一条。⇒ 实做上的落点是一句话：DFMEA 表里 S=9–10 的每一行，都要在评审记录里有一条明确的处置——判为安全相关（写明进哪条流程）或判为不安全相关（写明理由），⛔ 不许留空。

1.3 安全生命周期概览：本课挂在哪几个点上

是什么。把这套流程铺开，是一条自上而下、每一步都有输入输出的链：概念阶段（定义相关项与它的边界 → HARA → 安全目标 → 功能安全概念）→ 系统层（技术安全要求 → 系统架构设计 → 分配到硬件与软件）→ 硬件层（硬件安全要求 → 硬件设计 → 硬件安全分析与度量评估）与 软件层（并行，本课不走）→ 各层的集成与验证逐级回收 → 安全案例汇总论证。

本课挂在四个点上：概念阶段的 HARA 与安全目标（第 2 讲）、系统层往硬件层的要求分解（第 3 讲）、硬件层的安全分析与度量评估（第 4 讲）、以及贯穿全链的相关性失效分析与追溯闭环（第 5 讲）。⛔ 软件层那一支、控制器硬件架构那一层、以及各层流程本身的裁剪规则，去向 K2-03 功能安全（ISO 26262）在热管理中的应用。

为什么要先看这张图再动手。因为这条链上每一步的输入都是上一步的输出，而缺步不会报错，只会让下一步的输入变成假设。最常见的一次缺步是跳过安全目标直接写技术安全要求——技术安全要求于是变成了一串「设计上想做的事」，而不是「为达成某条安全目标而必须做的事」。两者在文档上长得一模一样，区别只有一处：前者指不回去。

1.4 适用边界：为什么机械与液压失效不按硬件度量算账

是什么。第 4 讲那三个硬件度量，适用对象是安全相关的电子硬件元素。纯机械与液压件（管路、密封、支架、快接头、机械式膨胀阀本体）不进这套算账。

为什么——两个缺口，都不是「规定不许」，是算不了。

• 缺口一：没有通用失效率库。电子件有成熟的可靠性数据源，能按器件类型、封装、结温与任务剖面给出一个可引用的失效率。机械件的失效率强依赖于具体的载荷谱、材料批次、工艺与安装应力——同一根管路装在两台车上，寿命分布可以差一个量级。⇒ 硬要给它一个「FIT 值」，那个数只能是编的。
• 缺口二：没有「诊断覆盖率」这个语义。诊断覆盖率的定义前提是：失效发生 → 安全机制在时间窗内探测到 → 系统进入安全状态。机械件的失效常常是渐变的、没有明确发生时刻的（密封老化、腐蚀、疲劳裂纹扩展），「探测到了」这件事本身没有一个可以打勾的时刻。⇒ 一个 90% 的诊断覆盖率填在管路那一行，它没有对应的物理含义。

⛔ 别走到另一个极端。「不按硬件度量算账」⛔ 不等于「机械件与功能安全无关」。恰恰相反：热管理里最要命的几条失效链，机械件都在链上（冷却液漏光了，最好的传感器与最快的控制器也没有散热能力可调）。机械件可以并且经常必须承接安全要求，只是承接的方式不是「给它一个 FIT 和一个 DC」。三条正确的承接方式在 1.5。

易错点。两条。①把「不在度量里」读成「不在分析里」——机械件在相关性失效分析里是主角（一根管路的走向可以同时决定两条「冗余」回路的命运）。②把机电一体件整个划到机械侧——一个电子膨胀阀里有电机、驱动、位置反馈与阀芯，前三样是电子硬件元素、进度量，阀芯卡滞是机械失效、走出口。⛔ 判归属的粒度是元素，不是零件。

1.5 结构件承接安全要求的三条出口

出口①：作为电子电气元素的失效原因或共因输入。机械件以「原因」的身份进入电子侧的分析表。两个落点：一是 FMEDA 的失效原因栏（例：接插件密封失效 → 进水 → 传感器信号漂移，这一行的失效模式属电子侧、原因属机械侧）；二是相关性失效分析的共因清单（例：两条「独立」的温度采集通道，线束走在同一根护套里，一次机械磨损同时打掉两路）。判据：这个机械件的失效，会不会同时或间接改变某个电子元素的行为？会 → 必须以原因或共因的身份被登记。

出口②：作为「其他技术的元素」承接技术安全要求。标准里为非电子电气的实现留了这条路：一条技术安全要求可以分配给一个机械件去实现（例：「泄压边界应在容器内压达到设定值前开启，以避免壳体破裂」）。走这条路有两个硬条件，缺一条这条要求就落空：其一，接口必须书面化——这个机械元素承接的是哪一条要求、它的输入输出边界在哪、验收判据是什么；其二，假设条件必须书面化——它的成立依赖哪些前提（安装状态、载荷范围、维护动作、上游件的行为），这些前提要写进接口协议与假设条件清单，交给使用方去确认。⚠ 这两条在跨企业开发里尤其容易断（第 5 讲 5.5）。

出口③：走安全裕度＋可靠性论证＋特殊特性＋设计验证的平行路径。这是机械件最常走的一条：不算失效率，改为论证「它在整个生命周期内失效的可能性已被压到可接受」。四件套：安全裕度（按最恶劣载荷谱加裕度设计）、可靠性论证（寿命试验、加速试验、现场数据）、特殊特性（把决定这条论证成立的那几个尺寸、材料与工艺参数定成受控特性，向下贯通到过程控制）、设计验证（DV/PV 里有对应的验证项）。⚠ 四件缺一件都会让这条论证在评审里被问倒：只有裕度没有验证＝纸面结论；只有验证没有特殊特性＝首件合格而批量不受控。

三条出口的共同要求。产物都要进安全案例，都要能向上指回某一条安全目标。⇒ 判一个机械件的安全论证做完了没有，抽一条问：这条论证是为哪一条安全目标服务的？答不出来，说明它是一份独立的可靠性工作，不是这条链的一环。

1.6 三套标准的问题域与入口条件：判它该走哪一条

是什么。三条路各管一类问题域，入口条件互不相同：

	管的是	入口条件（什么时候触发它）	本课
ISO 26262（对应 GB/T 34590）	电子电气系统故障行为引起的危害；含随机硬件失效与系统性错误两侧	元素坏了，且坏了之后的行为会引起整车层危害	本课走这一支的硬件失效侧
ISO 21448（预期功能安全）	件没坏、而功能规格或性能局限不足以覆盖场景所引起的危害	全部元素都按规格工作，而输出结果在某类场景下仍不安全	⛔ 属主 K2-05 预期功能安全（SOTIF/ISO 21448）与 AI 件安全论证在热管理的落法，本课不展开
ISO/PAS 8800	人工智能件的安全论证（数据、模型、运行域）	链条上有 AI 件，且它的行为需要单独论证	⛔ 属主 K2-05 预期功能安全（SOTIF/ISO 21448）与 AI 件安全论证在热管理的落法，本课不展开

⚠ 版次与分部以现行有效目录为准；三行「管的是」与「入口条件」两栏写的是本课对问题域的归纳，用途是分诊，⛔ 不是标准的适用范围条款原文，本课未核原文，引用前须核。

为什么必须先分诊。因为三条路的工具箱不通用。第一条路的工具是失效率、失效分布、诊断覆盖率、度量；第二条路的工具是场景空间、触发条件、验证里程与统计论证；第三条路的工具是数据集特性、模型评估与运行设计域。拿错工具箱不会报错，只会算出一个不回答问题的数——给一条能力不足型危害算一个漂亮的单点失效度量，那个数是对的，而它证明的是「元素不容易坏」，与「元素没坏也不安全」这个原始问题完全无关。

⇒ 三条路可以并行触发，不是三选一。同一个整车危害「电池超温未被察觉」，可以同时有故障行为侧的成因（传感器漂移）与能力不足侧的成因（估温模型在某类快充工况下系统性偏低）。两侧各走各的论证，最后在安全案例里汇合。⚠ 两侧的论证链必须互链——各走各的而不互相引用，会出现两侧都假设对方兜住了那一块。

1.7 本课的典型参考值汇总表

⚠ 下表全部是典型值/量级，⛔ 不是验收依据，须由本项目实测与分析确认；⛔ 禁止抄上一代平台。

量	典型区间（⚠ 典型值）	常见值锚点	拿到它的路
单个电子器件的失效率 λ	约 0.1 ~ 100 FIT/件（分立件与无源件常在低端，复杂集成电路与功率器件常在高端）	车规级微控制器与功率驱动常被引用在数十 FIT 量级	可靠性预计手册（元器件失效率数据源）、器件供应商的可靠性报告、本项目现场返回数据；三级出处分级标明，⛔ 不得单值化
电池热相关危害的故障容错时间间隔 t_FTTI	从数秒到数分钟不等：回路热惯量大的场景偏长，热失控已启动后的扩散抑制场景偏短	常见做法是把预算切成探测段与反应段两段并各留裕度	本项目的热演化试验（滥用触发试验）＋系统级热仿真；⛔ 不得由控制器的诊断周期反推
诊断周期（安全机制的执行周期）	常落在 10 ~ 100 ms 量级（取决于所在控制器的任务调度与通信周期）	常见的一档是与主控制周期同阶	由 t_FTTI 的预算倒推分配，⛔ 不是先定周期再声称够用
电池过温保护的动作门限	⛔ 本课不给——它由电芯体系、包结构与本项目的热安全边界决定	—	由 D1-01 动力电池产热机理与产热速率建模 / D5-01 热失控热扩散抑制（热管理与结构协同） 的机理与本项目电芯的滥用试验给出
三个硬件度量的 ASIL 目标值	⛔ 本课不给（标准条款内容，本课未核原文）	—	按 ISO 26262 硬件分部 / GB/T 34590 对应分部现行版本原文核
诊断覆盖率三档的档位值	⛔ 本课不给（同上）	—	同上；本课只讲三档的语义与提升手段（4.6）

⚠ 表里最后两行只写去向、不写值，这是刻意的，不是漏填：本课未核原文，按本讲开头的规矩，本课不判的判据只给类型与去向，不给限值。⇒ 这一条对读者的实际影响是：你在本课学会的是「怎么对照并下结论」这套动作，被对照的那个数要你自己从现行标准取。