ISO26262-通信故障与故障检测和反应在功能安全中的应用

1. FTTI （Fault tolerant time interval）故障容错时间间隔

FTTI是故障发生之后，从识别探测到做出反应使车辆进入安全状态这个过程的处理时间。这个时间要求根据不同系统不同故障有所不同，是能够不造成人员伤害所能容忍的最大时间。

举例说明：

在实施带有紧急运行安全机制的故障处理中，整个流程分成故障检测（Fault detection），故障处理（Fault reaction），措施实施（Emergency operation），进入安全状态（Safe State）4个阶段，故障检测（Fault detection）这部分就是诊断功能。

 基于FTTI，流程可拆解成以下部分：

• FDTI （ Fault detection time interval ）故障检测时间间隔

• FRTI （ Fault reaction time interval ）故障反应时间间隔

• FHTI （ Fault handling time interval ）故障处理时间间隔

• DTTI （ Diagnostic test time interval ）诊断测试时间间隔

• EOTI （ Emergency operation time interval ）紧急运行时间间隔

• EOTTI （ Emergency operation tolerance time interval ）紧急运行容错时间间隔

2. 需要诊断哪些故障

在功能安全中，明确提出了fault，error，failure的定义。

fault：可能导致失效的异常情况，主要有永久性故障、间歇性故障和瞬态故障

举例：一般是通信报文传输的问题

error：数值或条件偏离正常状态

举例：以ADAS域控的Mobileye芯片的err为例，在自动驾驶方向Mobileye芯片提供视觉感知和环境理解能力，所以当某些数据，例如车道线偏离的时候报err

failure：由于故障出现导致预期行为终止

举例：一般这部分是涉及芯片err和基于vector提供的AUTOSAR代码报的err

3. 举例：实施了安全机制的诊断处理

首先这个的message报文周期是20ms或200ms（报文没有问题的时候是周期20ms，当信号有问题，报文要进入fault的周期发送，会变成周期200ms），

fault的检测周期是40ms检查一次（40ms周期TASK），debounce是1

其次需求中写了FTT等于500ms，FHT小于630ms，FDT等于40ms。

如果120sec内有超过24sec（120*0.2）的时间，信号ExtAccelDem小于0，就要验证报文XBR_9E_0B的故障处理时间FHTI是否小于630ms，当FRT只有小于590ms，就要过渡到安全状态