ISO26262-4汽车功能安全之安全机制（2）

3）安全机制应防止故障处于潜在状态

ISO26262-4当6.4.2.3条款提到“如果适用，应规定安全机制以防止故障处于潜在状态”，这里的意思是在系统设计时，需要考虑到潜在的故障情况，并实施相应的安全机制来防止这些潜在故障不被检测到或未被及时处理，从而避免它们发展成为危害事件。

防止故障处于潜在状态的机制

为达成防止故障处于潜在状态的要求，必须实施一下事项：

1. 严格按照安全机制的实施：系统设计中应包含能够检测、诊断和响应潜在故障的安全机制。这可能包括冗余设计、监控系统、故障预测算法等。
2. 潜在故障的识别：在系统的危害分析和风险评估阶段，需要识别所有可能的故障模式，并评估它们对安全的影响。
3. 故障的及时响应：一旦潜在故障被检测到，系统应能够及时响应，采取措施以避免故障演变成更严重的问题。
4. 故障的透明性：系统应设计成能够向用户或其他系统组件清晰地传达故障状态，以便采取适当的行动。
5. 故障的可控性：安全机制应能够控制故障的影响，防止故障扩散到其他系统组件，确保系统的其他部分能够安全地继续运行。
6. 与ASIL等级的关系：不同ASIL等级对安全机制的要求不同。例如，ASIL D等级的系统可能需要更为严格和全面的安全机制，以确保在各种故障情况下都能保持必要的安全性能。
7. 持续的监控和改进：安全机制不应是一次性的设计，而应包括持续的监控和改进过程，以应对随时间变化可能出现的新故障模式。

潜在故障的识别方法

为有效识别潜在故障，通常会实施以下方法来识别潜在故障：

1. 故障模式和影响分析（FMEA）：这是一种常用的分析方法，用于识别和评估系统中的故障模式及其潜在影响。通过FMEA，可以系统地评估系统每个组件的每次故障在系统级别上可能造成的后果。
2. 危害分析和风险评估（HARA）：这是确定潜在危险情况并评估其风险的过程。HARA帮助制造商识别潜在的安全风险，如传感器故障、软件漏洞等，并制定相应的安全措施来降低这些风险。
3. 安全目标和安全性能要求的确定：在系统的设计和开发阶段，通过定义明确的安全目标和性能要求，可以在源头上预防潜在故障的发生。
4. 系统的需求规格和架构分析：通过详细的需求分析和系统架构的审查，可以识别可能导致系统故障的潜在问题。
5. 故障注入测试：通过在系统中故意注入故障，观察系统的反应和恢复能力，以识别和评估潜在的故障模式。
6. 监控和诊断机制：实时监控系统的关键部件和功能，一旦检测到异常或潜在故障，系统会立即触发诊断程序，准确识别故障类型和位置。
7. 冗余设计分析：通过分析系统的冗余设计，可以识别那些在单一故障情况下仍能保持系统安全运行的潜在故障。
8. 软件和硬件的安全性分析：对软件和硬件的设计进行安全性分析，以识别可能的故障点，并确保它们满足安全要求。
9. 使用安全机制：如ISO 26262-5提到的，使用安全机制来预防或控制随机失效，包括单点故障指标（SPFM）和潜在故障指标（LFM）的计算和分析。
10. 功能安全验证和评估：在系统开发过程中，通过仿真测试、实车测试等手段对系统的功能安全性进行验证和评估，以发现潜在的设计缺陷和安全隐患。

这些方法通常结合使用，以确保全面识别系统中可能存在的潜在故障，并采取相应的措施来提高系统的安全性和可靠性。

潜在故障的度量

ISO 26262-5:2018标准中的第8条提供了关于硬件层面产品开发的要求，其中包括对潜在故障度量（Latent Fault Metric, LFM）的评估标准。潜在故障度量LFM是指在安全机制未被激活的情况下，从相关项内部故障发生到可能发生危害事件的最短时间间隔。这个度量是ISO 26262标准中定义的硬件安全指标之一，用于评估硬件组件达到特定汽车安全完整性等级（ASIL）的能力。

LFM的评估涉及到对硬件随机失效的分析，包括单点故障（Single Point Fault, SPF）和多点故障（Multiple Point Fault, MPF）的考虑。这些分析有助于确定硬件设计是否能够满足ISO 26262标准中定义的安全要求，特别是在面对潜在的随机硬件失效时。

在ISO 26262-5:2018标准中，还涉及了其他与硬件安全相关的指标，如单点故障度量（Single Point Fault Metric, SPFM）和随机硬件失效概率度量（Probabilistic Metric for random Hardware Failures, PMHF）。这些指标共同为汽车电子系统的安全性提供了一个全面的评估框架。

多点故障的预防

ISO 26262标准中提到的多点故障（Multiple-point Fault）是指在系统中同时发生两个或更多个故障的情况。这些故障可能是相互独立的，也可能是相互关联或相互影响的。在ISO 26262的上下文中，多点故障通常与硬件随机失效相关，它们对系统安全性的评估至关重要。

一个典型的多点故障示例是汽车的制动系统。假设制动系统中有两个独立的控制单元，它们共同负责监测和控制制动力度。在正常操作中，如果其中一个控制单元发生故障，另一个作为冗余的单元可以继续工作，从而确保车辆的制动功能不受影响。然而，如果这两个控制单元同时发生故障，即使它们是独立设计的，这种情况就构成了多点故障，可能导致制动系统失效，增加安全风险。

在ISO 26262标准中，多点故障的评估和管理是确保汽车安全的重要组成部分。标准要求对可能的多点故障进行识别、评估，并设计相应的安全机制来降低由此带来的风险。例如，可以采用冗余设计、故障检测和诊断机制等方法来提高系统的容错能力。

以电动汽车电池管理系统的多点故障示例来说明，假设一个电池管理系统设计有两级冗余，即有两个独立的电池监控单元（BCU）来监控电池的状态。在正常情况下，如果一个BCU发生故障，另一个可以接管其功能，保证系统的安全运行。然而，如果由于某些极端环境条件或制造缺陷，两个BCU同时发生故障，这将构成一个多点故障情况。这种情况下，BMS可能无法准确监控电池的充电状态，导致电池过充或过放，进而可能引发电池热失控，威胁车辆和乘客的安全。

随机硬件故障是指在硬件系统中随机发生的、不可预测的故障，这些故障通常是由于物理磨损、环境因素、材料缺陷或操作条件超出设计预期等原因引起的。在汽车电子系统的背景下，随机硬件故障可能导致系统性能下降或安全隐患，特别是在安全关键的应用中，如动力电池管理系统（BMS）。

随机故障的预防

在ISO 26262标准中，对随机硬件故障的考虑是至关重要的。该标准定义了汽车安全完整性等级（ASIL），并要求对可能的随机硬件故障进行量化和评估，以确保系统能够在这些故障发生时仍然保持安全状态或进入一个安全状态。

例如，电池管理系统中的随机硬件故障可能包括：

半导体器件的老化：随着时间的推移，半导体器件可能会因为持续的热应力、电流应力或材料疲劳而发生故障1。

传感器故障：电池包中的电压或温度传感器可能会因为材料老化或外部环境因素而失效，导致BMS接收到错误的电池状态信息。

连接器故障：由于振动、腐蚀或机械应力，连接器可能会出现接触不良或断路的情况，影响系统的正常运行。

电源组件故障：电源组件，如DCDC转换器，可能会因为负载变化或内部故障而失效，影响BMS的供电。

为了应对随机硬件故障，BMS设计中通常会包括冗余、故障检测和诊断机制、以及容错策略。例如，采用双重或三重冗余的传感器配置，以便在一个传感器发生故障时，其他传感器仍能提供准确的数据。此外，BMS还会实现故障诊断算法，以实时监测硬件状态并预测潜在的故障。