ISO 26262里的故障

ISO 26262-6里谈到的故障包括：安全故障，单点故障，多点故障，残余故障，潜伏故障，可检测的双点故障，可感知的多点故障，个人对这几个故障的理解如下：

安全故障：顾名思义就是安全的，什么是安全的呢？就是不影响功能安全目标达成的故障。在一个复杂的系统中可能有十几个或几百个功能，但仅有几个功能是功能安全的，那么不是功能安全的那些功能用到的硬件产生的故障就是安全故障。

单点故障：单点可以理解为单一的，即只发生了这个故障，就会影响安全目标的达成。如一个功能由采集单元，处理单元及执行单元三部分组成，如这三个单元其中的一个单元发生了故障，都会影响安全目标的达成，而这三个单元发生故障后也没有任何安全机制去诊断，这个故障就是单点故障。

多点故障：两点以上的故障就为多点故障，一个功能安全功能的采集单元发生了故障，但有安全机制检测，则这个功能和安全机制都发生了故障才会导致功能安全目标无法达成，这样的故障就是多点故障。当然三点及三点以上以上故障发生才影响安全目标的故障也成为多点故障，但是一般三点以上的故障，在功能安全标准里标注的认为是安全故障。

残余故障：一个单点故障发生了，会设计一个安全机制，但这个安全机制并不能百分之百的检测出故障的发生。一般ISO 26262里会有标出一个诊断覆盖率的百分比，如90%，那么这个单点故障的90%是可以被诊断出来的，还有10%的故障就是残余故障。

可检测的和可感知的多点故障：可被安全机制检测的故障变成了多点故障，那么这个多点故障是否能被检测或感知到吗？常用的多点故障探测手段是上电自检，可感知的多点故障在车内控制手段是点亮故障灯被用户知道，还有实现方式更为负责的降功率或跛行。

潜伏故障：如果这个多点故障不能被探测，也不能被感知，就是潜伏故障。当然多点可探测和多点可感知也是有一定概率的，如80%，那么剩余的20%就是潜伏故障。