На протяжении десятилетий методы и базы данных MIL-HDBK-217, Bellcore/Telcordia, RDF 2000, FIDES и 217Plus приучали инженеров представлять надёжность как вычислимую сумму интенсивностей отказов компонентов. Типовой подход предполагает идентифицировать каждый компонент, назначить базовую интенсивность отказов, скорректировать её по нагрузке, температуре, среде и уровню качества, а затем объединить полученные значения в прогноз интенсивности отказов системы. Авторы указывают, что проблема не в том, будто компоненты вообще не отказывают, а в допущении, что именно их собственные отказы являются доминирующей причиной отказов системы и что исторические показатели способны предсказать надёжность новой конструкции.

В статье говорится, что современные электронные компоненты при правильном изготовлении, выборе, дерейтинге, сборке и применении нередко обладают собственной долговечностью, намного превышающей полезный рыночный срок системы. Полевые отказы при этом могут вызываться недостаточным запасом конструкции, неверным применением схемы, электрическими перегрузками, термомеханическими повреждениями при сборке, загрязнением, взаимодействием прошивки и аппаратуры, прерывистыми соединениями, производственным разбросом, повреждениями при обращении и условиями использования у заказчика. Количественный вид прогноза способен создавать лишь численную точность для механизмов, которые фактически не установлены. Обнаруженный при анализе отказа повреждённый компонент — не обязательно первопричина: он может быть только оставшимся свидетельством повреждения.

Исторические базы могут содержать полезную информацию, но их перенос на новую разработку требует сильного допущения: будущая система должна отказывать по механизмам, подобным тем, что были у исторической популяции. Компонент существует не изолированно, а в схеме, на печатной плате и в корпусе; на него влияют переходные процессы питания, тепловые градиенты, вибрация, влажность, загрязнение, состояния прошивки, производственные допуски и поведение пользователя. Материал подчёркивает, что электрическое перенапряжение компонента может быть следствием недостаточной защиты от переходных процессов, трещина конденсатора — результатом изгиба платы при депанелизации, а периодическое размыкание коннектора — следствием вибрации, выбора покрытия, загрязнения или недостаточного нормального усилия. Полупроводник может быть повреждён ESD, latch-up, импульсным током либо режимом работы, не представленным в модели; паяное соединение может проявлять прерывистость только при определённом сочетании температуры, вибрации и механического ограничения.

Отдельная ошибка анализа отказов — обнаружить закороченный конденсатор, отказавший MOSFET, оборванный резистор или повреждённую ИС и завершить расследование формулировкой «отказ компонента». Это описывает отказавший объект, но не обязательно объясняет причину. MOSFET, разрушившийся от энергии лавинного режима, перенапряжения затвора, плохой топологии или недостаточного теплового запаса, не исчерпал собственный ресурс. Керамический конденсатор, треснувший после изгиба платы, не отказал потому, что база данных предсказала его случайный отказ; ИС, повреждённая latch-up или ESD, не достигла долгосрочного износа. При правильном применении пассивные компоненты, полупроводники и межсоединения могут работать десятилетиями, но при неправильном применении, перегрузке, плохой сборке либо эксплуатации за пределами реалистичных запасов конструкции они способны отказать немедленно или периодически.

Примером служат многослойные керамические конденсаторы MLCC, которых на типовой плате могут быть сотни или тысячи и которые используются для байпаса, развязки, фильтрации и подавления переходных процессов. Модель, основанная на подсчёте компонентов, рассматривает каждый из них как независимый вклад в интенсивность отказов системы. Однако MLCC, хотя и высоконадёжны при корректном выборе и применении, являются хрупкими керамическими устройствами и могут треснуть из-за изгиба платы, нагрузок при депанелизации, установки разъёма, затяжки винтов, теплового удара, переделки, обращения или вибрации. Дефект способен проявиться не сразу, а позднее стать скрытым коротким замыканием, током утечки, прерывистостью или чувствительным к влажности отказом.

Причиной такой проблемы часто оказывается не собственный ресурс диэлектрика, а топология платы, ориентация конденсатора, размер корпуса, размещение возле краёв платы или разъёмов, профиль пайки, механическая деформация, недостаточный контроль процесса либо отсутствие испытаний на деформацию. По мнению автора, решение состоит не в подстановке меньшей интенсивности отказов конденсатора в инструмент прогнозирования, а в понимании пути воздействия и перепроектировании изделия или процесса: изменении размещения, снижении изгиба платы, использовании меньших типоразмеров, конденсаторов с мягкими выводами, улучшении депанелизации, контроле момента затяжки винтов и проверке деформаций при производстве и сервисном обращении. Кроме того, не каждый отказавший MLCC приводит к отказу системы: один деградировавший конденсатор в параллельной цепи развязки или подавления переходных процессов может не дать немедленного функционального эффекта, тогда как короткое замыкание конденсатора на шине питания способно вывести из строя всю систему. Один лишь подсчёт деталей не отражает функциональную критичность.

Система отказывает, когда перестаёт выполнять требуемую функцию, и это не тождественно отказу компонента. Некоторые отказы компонентов функционально несущественны; некоторые системные отказы происходят без постоянно повреждённого компонента; часть из них носит прерывистый характер и исчезает при проверке в сервисе. Причинами могут быть запасы по времени, восприимчивость к шуму, логика восстановления прошивки, последовательность включения питания и взаимодействия со средой. Влияние компонента зависит от его функции, положения в схеме, вида отказа, обнаруживаемости, резервирования, воздействия нагрузок и взаимодействия с системой. Например, обрыв байпасного конденсатора на некритичной шине может не иметь значения, а треснувший конденсатор, закороченный на основной шине, — иметь катастрофические последствия. Кратковременное изменение сопротивления разъёма способно вызвать сброс процессора, повреждение данных или возврат с формулировкой «неисправность не обнаружена»; пограничный временной путь может работать при комнатной температуре, но отказать на холодной или горячей границе, а источник питания — пройти стендовые тесты и осциллировать на реальном переходном изменении нагрузки.

Традиционные модели с постоянной интенсивностью отказов подразумевают случайные, независимые отказы, распределённые во времени. Авторы указывают, что многие отказы электронной продукции условны: скрытая слабость проявляется при подходящем стрессе. Так, пограничное паяное соединение может отказать лишь при вибрации на низкой температуре, треснувший MLCC — после воздействия влаги, шина питания — только при определённом переходном режиме нагрузки, а высокоскоростной цифровой интерфейс — при неблагоприятном сочетании допусков компонентов, температуры, напряжения, временных параметров прошивки и целостности сигнала. Это не случайные события собственного ресурса компонента, а слабости, ожидающие активирующего воздействия.

Следовательно, повышение надёжности требует прежде всего обнаружения, а не прогноза. Для поиска таких слабостей лучше, чем таблица обобщённых интенсивностей отказов, подходят HALT, HASS, environmental stress screening, испытания запасов конструкции, испытания на перегрузку, анализ отказов с установлением первопричины, анализ физики отказов и обратная связь по полевым данным. Вместо вопроса о прогнозируемой MTBF статья предлагает определить доминирующие механизмы отказа для конкретных конструкции, применения, среды и сценария использования; выявить функции, чувствительные к разбросу компонентов, температуре, напряжению, вибрации, влажности, загрязнению и старению; отделить критические компоненты от некритичных или резервированных. Также следует установить реальные электрические, тепловые, механические и экологические воздействия, возможные повреждения на этапах сборки и обращения, скрытые дефекты, проходящие производственный контроль, подтверждённые первопричины отказов похожих изделий, измеренные, а не предполагаемые запасы, и данные возвратов, подтверждающие реальный механизм.

Статья не утверждает, что данные об интенсивности отказов компонентов бесполезны. Они могут применяться для грубых сравнений, расчётов безопасности, логистического планирования, ранних архитектурных компромиссов и выявления технологий, исторически склонных к проблемам; они также помогают при дерейтинге, выборе компонентов и оценке рисков поставщиков. Но расчётная MTBF не должна служить доказательством будущей надёжности: она способна создать ложную уверенность, выполнить договорное требование и при этом почти ничего не сказать о слабостях, определяющих реальные полевые отказы. Компонентные данные должны быть лишь одним из входов и дополняться анализом физики отказов, анализом конструкции, анализом электрических нагрузок, валидацией дерейтинга, HALT, HASS, управлением процессом, анализом отказов и замкнутым обучением по полевым данным.

В заключении материал подчёркивает: считать, что отказы электронных систем преимущественно вызваны собственными отказами компонентов, часто не имеет достаточного обоснования. Надёжность нельзя обеспечить подсчётом деталей и назначением исторических интенсивностей отказов; отказавший компонент является свидетельством, но не обязательно первопричиной. Задача инженерии надёжности — обнаружить и устранить слабости изделия до того, как их обнаружат заказчики, используя измеренные запасы, анализ первопричин, подход на основе физики отказов, ускоренные стрессовые испытания и полевые свидетельства. Автор призывает сместить фокус с прогноза как упражнения по соответствию требованиям к надёжности, основанной на доказательствах: пониманию причин системных отказов, демонстрации существующих запасов и устранению первопричин полевых отказов.