李暢劉元治李想趙開成宋浩源李晶姜鵬翰

（1.中國第一汽車股份有限公司新能源開發(fā)院，長春130013；2.汽車振動噪聲與安全控制綜合技術(shù)國家重點實驗室，長春130013）

主題詞：電動汽車 整車控制FMEA

縮略語

FMEA Failure Mode and Effects Analysis

AP Action Priority

VCU Vehicle Control Unit

HIL Hardware-In-the-Loop

MIL Model-In-the-Loop

1 前言

隨著車輛電子化程度不斷提高，電控系統(tǒng)越來越復雜，其失效風險也隨之增加。整車控制器是電動汽車動力系統(tǒng)的核心控制器，是保證動力系統(tǒng)安全、提升整車駕駛性品質(zhì)的關(guān)鍵，在相關(guān)部件出現(xiàn)故障時，整車控制器負責保證在不同故障狀態(tài)下，動力系統(tǒng)執(zhí)行相應的處理措施。在此背景下，如何分析整車控制系統(tǒng)潛在失效模式及影響，在失效發(fā)生之前采取措施降低失效發(fā)生的風險，對于提升電控系統(tǒng)的質(zhì)量、保證整車安全至關(guān)重要。

失效模式與后果分析（Failure Mode and Effects Analysis，F(xiàn)MEA）自1949年由美國軍方應用于可靠性技術(shù)評估，在航空航天、食品工業(yè)和核技術(shù)應用領(lǐng)域取得了廣泛的應用[1]。1977年，福特汽車開始將FMEA帶入汽車行業(yè)使用；1980年，F(xiàn)MEA在德國汽車協(xié)會中開始使用；1986年，F(xiàn)MEA被應用于VDA第4卷；1993年，美國汽車協(xié)會開始推行FMEA；2008年，AIAG發(fā)布第4版FMEA手冊；2019年，AIAG & VDA聯(lián)合發(fā)布第1版FMEA手冊[2-7]。

本文參考第1版AIAG & VDA FMEA手冊，結(jié)合整車控制器產(chǎn)品開發(fā)流程，闡述了新能源車整車控制系統(tǒng)的FMEA分析方法，使電控系統(tǒng)FMEA分析具有可操作性，分析步驟具有指導性，效果具有規(guī)范性。

2 AIAG&VDA FMEA方法概述

AIAG & VDA FMEA手冊最核心的方法是7步法。透過7步法的結(jié)構(gòu)框架，F(xiàn)MEA更系統(tǒng)性的從輸入，經(jīng)過一系列步驟轉(zhuǎn)化輸出，以達到產(chǎn)品質(zhì)量和安全性的要求，不再是一張表格、一個交付物，而是一個具有強邏輯性的系統(tǒng)過程。

對于汽車電控系統(tǒng)來說，在充分了解設(shè)計概念后，就應該啟動系統(tǒng)FMEA工作，主要包括以下內(nèi)容。

（1）規(guī)劃與準備階段：確定分析的范圍；

（2）結(jié)構(gòu)分析階段：根據(jù)相關(guān)的電氣原理圖、網(wǎng)絡(luò)拓撲以及功能要求確定系統(tǒng)的邊界、系統(tǒng)中包括哪些部件、總成，系統(tǒng)中各部件如何交互信息，形成框圖，根據(jù)關(guān)注功能的上一級系統(tǒng)以及實現(xiàn)關(guān)注功能需要哪些下一級部件，形成結(jié)構(gòu)樹；

（3）功能分析階段：明確系統(tǒng)需要實現(xiàn)的功能、要求、特性，除主要功能外，輔助功能如診斷、接口功能，也需要明確；

（4）失效分析階段：對于系統(tǒng)需要實現(xiàn)的全部功能，逐條分析其失效模式，每個失效模式可能會造成哪些后果，每條失效模式可能由哪些原因造成，形成失效鏈；

（5）風險分析階段：針對失效原因，確定當前的預防控制方法，針對失效原因/失效模式，確定探測措施，針對每個失效鏈進行嚴重度、頻度、探測度評級，確定采取措施的優(yōu)先級(Action Priority,AP)；

（6）優(yōu)化階段：確認降低風險的必要措施，并對措施有效性進行評估；

（7）結(jié)果文件化階段：將以上分析的過程和結(jié)果填寫到FMEA表格中，將分析過程中確定的失效預防措施作為故障診斷和處理方案，探測措施作為測試方案，整理為相應文檔，為后續(xù)開發(fā)和測試提供參考，具體步驟如圖1所示。

本文以電動汽車整車控制系統(tǒng)為例，對電控系統(tǒng)FMEA分析方法進行說明。

圖1 FMEA分析7步法

3 整車控制系統(tǒng)FMEA分析

3.1 規(guī)劃與準備

規(guī)劃與準備階段的目的有以下3點。

（1）確定分析對象。本文的分析對象是整車控制系統(tǒng)，其核心部件是整車控制器，電動汽車的高壓上下電、充電、行駛、熱管理控制功能都是由整車控制系統(tǒng)來實現(xiàn)的。在功能實現(xiàn)的同時，整車控制器還需要保證整車的高壓安全、行駛安全、熱管理安全。整車控制系統(tǒng)具備的功能應該由其上級系統(tǒng)分配，一般來說，在整車電子電氣架構(gòu)設(shè)計時，應該對整車電氣系統(tǒng)功能進行分解，確定整車控制系統(tǒng)應該具備的功能，并形成設(shè)計開發(fā)任務(wù)書，作為開發(fā)的輸入。

（2）分析對象的邊界確定。除了實現(xiàn)設(shè)計開發(fā)任務(wù)書中對整車控制系統(tǒng)要求的功能之外，還需要考慮要實現(xiàn)功能的相關(guān)法規(guī)要求、具體的技術(shù)要求、技術(shù)新穎性、創(chuàng)新程度、設(shè)計復雜性、質(zhì)量、可靠性歷史等多方面的因素。

（3）FMEA小組成員確定。FMEA團隊由涵蓋多學科專業(yè)知識的跨職能成員組成，對于電控系統(tǒng)來說，F(xiàn)MEA小組成員至少應該包含設(shè)計、測試、試驗、生產(chǎn)和質(zhì)量相關(guān)專業(yè)成員。

在規(guī)劃與準備時，還需要確定是否有基礎(chǔ)FMEA，識別基礎(chǔ)FMEA分析的內(nèi)容與本次FMEA分析的內(nèi)容有哪些變化點，本次FMEA分析可只針對變化點進行分析。

另外，由于FMEA分析理論上只分析單點失效，為了盡可能的彌補FMEA分析的不足，規(guī)劃與準備階段可以對FMEA分析關(guān)注要素功能的歷史失效進行整理。因為歷史失效既包括單點失效，也有多點失效。對歷史失效進行分析，既能夠提供相應的不可缺失的失效分析案例，又可以彌補FMEA只分析單點失效的局限性。規(guī)劃與準備是結(jié)構(gòu)分析的基礎(chǔ)。

3.2 整車控制系統(tǒng)結(jié)構(gòu)分析

結(jié)構(gòu)分析的目的是將對象分解為系統(tǒng)、子系統(tǒng)、組件或零件，并且將分析范圍可視化。系統(tǒng)結(jié)構(gòu)由系統(tǒng)要素組成，系統(tǒng)要素包括系統(tǒng)、子系統(tǒng)、總成、部件/組件和零件。圖2為整車結(jié)構(gòu)分解的示意圖，整車可以分解為動力系統(tǒng)、底盤系統(tǒng)、車身系統(tǒng)和電氣系統(tǒng)4大部分。其中，電氣系統(tǒng)結(jié)構(gòu)較復雜，涵蓋整車所有的控制器、傳感器和執(zhí)行器，實現(xiàn)整車所有的控制功能，包括動力系統(tǒng)控制、高壓/充電系統(tǒng)控制、熱管理系統(tǒng)控制、底盤系統(tǒng)控制、信息系統(tǒng)控制，各控制系統(tǒng)之間相互作用，相互協(xié)調(diào)，共同實現(xiàn)電氣系統(tǒng)的功能。本文所說的整車控制系統(tǒng)，主要包括動力系統(tǒng)控制、高壓/充電系統(tǒng)控制、熱管理系統(tǒng)控制的功能，并且還需要與底盤系統(tǒng)控制、信息系統(tǒng)控制有一定的交互?？梢?，整車電子電氣系統(tǒng)從結(jié)構(gòu)上來說甚是復雜，更需要進行充分的FMEA分析來保證系統(tǒng)的可靠性。

圖2 整車結(jié)構(gòu)分解示意

FMEA手冊提供了2種結(jié)構(gòu)分析的工具，邊界圖和結(jié)構(gòu)樹。

結(jié)構(gòu)樹按層次排列系統(tǒng)要素，并通過結(jié)構(gòu)化連接展示依賴關(guān)系。電動汽車整車控制系統(tǒng)的上級系統(tǒng)主要包括：動力系統(tǒng)、高壓系統(tǒng)和熱管理系統(tǒng)3部分，本文主要針對動力系統(tǒng)控制部分功能做分析。動力系統(tǒng)控制部分的結(jié)構(gòu)樹如圖3所示。

圖3 整車控制系統(tǒng)結(jié)構(gòu)樹

關(guān)注要素是驅(qū)動控制和制動控制，是由上級系統(tǒng)-動力系統(tǒng)控制分配而來。為了實現(xiàn)驅(qū)動控制和制動控制功能，需要的下一級零部件包括：整車控制器、加速踏板傳感器、制動踏板傳感器、電機控制單元、電池管理系統(tǒng)、換擋手柄控制器、網(wǎng)關(guān)和底盤域控制系統(tǒng)。

系統(tǒng)的結(jié)構(gòu)樹確定后，邊界圖用于描述系統(tǒng)要素之間的交互作用。接口有5種主要類型：物理連接、材料交換、能量傳遞、數(shù)據(jù)交換和人機接口。邊界圖中顯示所有內(nèi)、外部接口發(fā)生關(guān)系的性質(zhì)和類型。如圖4為整車控制系統(tǒng)驅(qū)動/制動控制的邊界圖。

圖4 整車控制系統(tǒng)-動力系統(tǒng)控制邊界

圖4中框內(nèi)為整車控制系統(tǒng)FMEA分析時需要考慮的部件，其核心部件是整車控制器，采集換擋手柄控制器信號，解析駕駛員檔位意圖，采集加速踏板傳感器、制動踏板傳感器信號，解析駕駛員的加速意圖和制動意圖，根據(jù)駕駛員意圖，輸出信號，控制動力系統(tǒng)各部件（電機、電池）協(xié)調(diào)工作實現(xiàn)車輛驅(qū)動、制動功能。框外是可能會對系統(tǒng)功能產(chǎn)生影響的相關(guān)部件，在后續(xù)進行功能分析和失效分析時也需要考慮外圍部件是否會因其本身失效或與關(guān)注系統(tǒng)交互的失效造成關(guān)注要素功能失效。結(jié)構(gòu)分析是功能分析的基礎(chǔ)。

3.3 整車控制系統(tǒng)功能分析

功能分析的目的是確保要求/規(guī)范中規(guī)定的功能被適當?shù)胤峙浣o系統(tǒng)要素，將產(chǎn)品功能可視化，將上級系統(tǒng)的功能要求與關(guān)注要素的功能要求關(guān)聯(lián)。

前面結(jié)構(gòu)分析時確定本文系統(tǒng)FMEA分析的關(guān)注要素是驅(qū)動控制和制動控制，其上級系統(tǒng)，動力系統(tǒng)控制，就是驅(qū)動控制和制動控制的用戶，動力系統(tǒng)控制對驅(qū)動和制動的需求為用戶需求。關(guān)注要素承接用戶的需求，并且對需求進行分析、細化，確定要實現(xiàn)的功能，對下一級每個部件的功能要求，形成功能網(wǎng)。整車控制系統(tǒng)-驅(qū)動/制動控制功能網(wǎng)如圖5所示。

由圖5可見，功能結(jié)構(gòu)自上至下逐漸詳細，較低級別功能描述了較高級別功能是如何被滿足的。其中，上一較高級別功能及要求描述的是從整車分解下來的需要實現(xiàn)的功能；關(guān)注要素功能及要求還需要識別在結(jié)構(gòu)分析中識別的相關(guān)系統(tǒng)要素的功能；下一較低級別功能及要求或特性中還應包括在結(jié)構(gòu)分析中識別的相關(guān)部件的功能。

圖5 整車控制系統(tǒng)-驅(qū)動/制動控制功能網(wǎng)

另外，上級系統(tǒng)對于關(guān)注要素的需求為關(guān)注要素的主功能，除了分析主功能，系統(tǒng)還具備一些輔助功能，如：接口功能、診斷功能和可維護性功能。

FMEA手冊中提供了可用于功能分析時的工具-參數(shù)圖，參數(shù)圖是功能所在環(huán)境的圖表展示，包括了影響輸入和輸出之間傳遞功能的因素，專注于優(yōu)化輸出所需的設(shè)計決策，通過參數(shù)圖應完整地展現(xiàn)所分析功能的失效原因。

參數(shù)圖關(guān)注功能的實現(xiàn)，它可以清楚識別功能的所有影響因素，包括可控因素（控制因素）和不能適當控制的因素（噪音因素）。其中噪音因素會對系統(tǒng)從2個方面產(chǎn)生影響：

（1）直接影響系統(tǒng)的輸入；

（2）間接影響系統(tǒng)組成部分的功能。

整車控制系統(tǒng)驅(qū)動/制動控制的參數(shù)圖如圖6所示，系統(tǒng)的輸出受到3方面因素的影響，輸入因素、控制因素和噪音因素。在輸入信號確定的情況下，系統(tǒng)會產(chǎn)生預期輸出或非預期輸出，取決于控制因素和噪音因素之間的博弈。理想情況下，控制因素會使系統(tǒng)產(chǎn)生預期輸出，噪音因素會使系統(tǒng)產(chǎn)生非預期輸出。在制定相應功能需求規(guī)范（控制因素）時，如果盡可能全面的考慮了噪音因素對系統(tǒng)產(chǎn)生的影響，并且采取了規(guī)避的措施，那么因噪音因素的影響，系統(tǒng)產(chǎn)生非預期輸出的概率就會減小。進行FMEA分析的目的就是盡可能全面的考慮噪音因素對系統(tǒng)的影響，在控制因素中采取避免措施，最大程度的避免非預期輸出。

圖6 整車控制系統(tǒng)-驅(qū)動/制動控制參數(shù)

功能的完整定義將使失效分析更全面，潛在失效模式即功能的否定描述。

3.4 整車控制系統(tǒng)失效分析

失效分析的目的是識別失效起因、模式和影響，并顯示它們之間的關(guān)系，以便進行風險評估。

系統(tǒng)的結(jié)構(gòu)和功能都確定后，對系統(tǒng)進行失效分析，確定系統(tǒng)應該具備的功能可能會產(chǎn)生哪些失效模式，失效模式會對上級系統(tǒng)造成哪些影響，什么原因會導致這些失效模式的產(chǎn)生，也就是系統(tǒng)的失效鏈。

失效模式從功能推斷得出，即無法滿足或提供預期功能的形式。關(guān)注要素的失效模式從6個方面來分析：

a.功能喪失；

b.功能部分失效或降級；

c.功能過度；

d.功能間歇性失效；

e.功能延時；

f.非期望功能。

圖7以驅(qū)動控制為例，列舉了其可能的6種失效模式。

圖7 驅(qū)動控制失效模式分析

失效模式確定后，下一步就是分析會導致失效模式產(chǎn)生的原因，即失效起因。失效起因是指失效模式發(fā)生的原因，起因造成的后果是失效模式。失效起因可能源自于下一較低級別的功能失效模式、要求和潛在噪音因素（詳見圖6參數(shù)圖），應盡可能識別每種失效模式的所有潛在起因。

以驅(qū)動控制的非期望功能“駕駛員無加速請求時，車輛加速”為例，其失效原因有2種。

(1)整車控制器失效，未正確解析加速踏板信號；

(2)加速踏板傳感器失效，未正確上報駕駛員對加速踏板的請求。

其失效網(wǎng)如圖8所示。

圖8 整車控制系統(tǒng)-驅(qū)動/制動控制失效網(wǎng)

由圖8可見，關(guān)注要素的失效模式，是上一級系統(tǒng)的失效原因，是下一級系統(tǒng)的失效后果。失效分析是風險分析的基礎(chǔ)。

3.5 風險分析與優(yōu)化改進

風險分析的目的是通過評估嚴重度（S）、頻度（O）和探測度（D）來估計風險，并對需要采取的措施進行優(yōu)先排序。

嚴重度定義了失效影響/后果的嚴重程度，失效影響包括了失效對涉及對象/產(chǎn)品本身的影響，對后續(xù)產(chǎn)品直到整車的影響，對最終用戶的影響，對法律法規(guī)符合性的影響。FMEA手冊中提供了嚴重度的評分標準，如表1所示，一般情況下，嚴重度的評分應該由了解失效后果的研發(fā)團隊來最終確認。

表1 嚴重度評分標準[1]

頻度的評級是對當前預防措施有效性的衡量。當前預防控制描述了如何使用現(xiàn)有的和計劃中的行為來減輕導致失效模式的潛在起因。FMEA手冊中頻度的評分標準如表2所示，從經(jīng)驗、標準和分析工具的有效性3個維度對頻度進行評分。

表2 潛在頻度評分標準[1]

探測度的評級是對探測措施有效性的評估，用于項目交付生產(chǎn)之前。探測度的確定不考慮嚴重度和頻度。當前探測控制在項目交付生產(chǎn)前探測失效模式或失效起因是否存在。探測度評分標準詳見表3，在考慮是否會影響生產(chǎn)進度的基礎(chǔ)上，從功能、性能和可靠性3個方面對探測度進行考量。

表3 潛在探測度評分標準[1]

針對電子電氣系統(tǒng)的評分，存在一定的主觀性，新版FMEA手冊中推薦各公司用典型的實例對于分值進行解釋，盡可能保證同一公司/相同車型評分標準統(tǒng)一。

以整車控制系統(tǒng)為例，出現(xiàn)意外加速，行駛不受控，可以認為是主要功能喪失，嚴重度為8分。

對于整車控制器未正確解析加速踏板信號這種失效原因，當前從整車控制器的硬件和軟件2個方面都有預防措施：硬件方面，對于加速踏板傳感器1和傳感器2的信號采集，采用2個不同的A/D采樣芯片上的管腳來實現(xiàn)，避免一個采樣芯片的失效導致2路加速踏板信號都失效；軟件方面，對于加速踏板傳感器的2路信號做校驗處理，避免加速踏板信號異常突變?；谝陨项A防措施，整車控制器未正確解析加速踏板的頻度為4分。

當前的探測措施，硬件在環(huán)(Hardware-in-the-Loop,HIL)測試可以探測到加速踏板信號失效時，整車控制系統(tǒng)當前的處理措施是否能夠?qū)е抡嚦霈F(xiàn)意外加速；實車測試可以測試到當系統(tǒng)受到各種干擾因素的影響，是否會產(chǎn)生意外加速，探測度取決于測試用例是否能夠全面覆蓋各種工況，這里基于實際情況，探測度為4分。

FMEA手冊中AP表建議將措施分為H（高）、M（中）、L（低）優(yōu)先級別。綜合以上嚴重度、頻度和探測度的得分，整車控制器未正確解析加速踏板造成意外加速的AP優(yōu)先級為M。

按照FMEA手冊的建議：AP優(yōu)先級為H時，需要確定適當?shù)膬?yōu)化措施；AP優(yōu)先級為M時，應該采取優(yōu)化措施；L可以采取措施。故上文中的示例應該采取優(yōu)化措施減輕風險，并對措施的有效性進行評估。

對于整車控制器未正確解析加速踏板造成意外加速的優(yōu)化措施，可以從2個方面考慮：

從設(shè)計的角度，考慮降低頻度。對于加速踏板的2路信號，在原有預防措施，2路信號進行校驗的基礎(chǔ)上，增加可能造成加速踏板異常變化的特殊工況進行識別，識別到異常變化的工況時，對加速踏板的變化進行斜率限制，避免加速踏板在某些工況下，短時間內(nèi)發(fā)生較大的變化，這樣可以將頻度降為3。

從探測的角度，考慮降低探測度。考慮各種工況，在MIL、HIL和實車測試過程中，增加相應的測試用例，增加意外加速探測的可能性，將探測度降低為3。

從設(shè)計和探測2個方面采取措施后，頻度從4降低為3，探測度從4降低為3，AP優(yōu)先級從M降低為L。風險分析結(jié)果如圖9所示。

圖9 驅(qū)動控制失效鏈、風險分析與優(yōu)化改進

風險分析與優(yōu)化改進是對系統(tǒng)開發(fā)和測試工作的梳理過程。首先，確認對于系統(tǒng)的各類失效，系統(tǒng)當前是否有相應的預防和探測措施，措施的有效性如何，是否需要優(yōu)化措施來進一步保證失效情況下的系統(tǒng)安全。

另外，針對整車電控系統(tǒng)的復雜性，F(xiàn)MEA分析中高級別風險新增的優(yōu)化措施，會對系統(tǒng)產(chǎn)生哪些影響，是否會造成新的失效，需要根據(jù)優(yōu)化措施的具體情況確定是否需要針對優(yōu)化措施再進行FMEA分析。

3.6 結(jié)果文件化

結(jié)果文件化的目的是對結(jié)果和分析結(jié)論進行溝通、建立文件內(nèi)容、記錄采取的措施，形成FMEA報告。具體目的包括以下6方面：

（1）根據(jù)項目計劃中的初始目標，說明最終狀態(tài)；

（2）總結(jié)分析范圍并確認新的內(nèi)容；

（3）對功能是如何開發(fā)的進行總結(jié)；

（4）對團隊確定的高風險失效進行總結(jié)；

（5）對已采取的和計劃中的措施進行總結(jié)；

（6）為進行中的改進措施制定計劃和時間安排。

將前面整車控制系統(tǒng)FMEA分析的內(nèi)容進行整理，首先是結(jié)構(gòu)分析和功能分析，其次是整車控制系統(tǒng)結(jié)構(gòu)和功能分析，如表4所示。

表4 整車控制系統(tǒng)結(jié)構(gòu)和功能分析[1]

結(jié)構(gòu)分析和功能分析完成后，對于功能要求做6種類型的否定，表5以非預期功能為例，進行失效分析、風險分析。

表5 失效分析與風險分析

對于措施優(yōu)先級為M的失效，采取優(yōu)化措施，優(yōu)化措施如表6。

表6 優(yōu)化措施 分

除了FMEA表格之外，通過FMEA分析還應根據(jù)失效的嚴重度和頻度導出特殊特性清單（安全特性、重要特性）；根據(jù)當前預防措施和優(yōu)化措施完善開發(fā)過程的相關(guān)標準、規(guī)范的技術(shù)文檔；根據(jù)探測措施和優(yōu)化探測措施得出MIL、HIL和實車測試用例清單。

4 結(jié)束語

本文以新能源車整車控制系統(tǒng)為例，介紹了電控系統(tǒng)FMEA分析的過程和方法。FMEA分析不只是開發(fā)過程中質(zhì)量提升的工具，更是一種預防性思維方式。電控系統(tǒng)FMEA分析能夠為開發(fā)和測試方案制定提供方法，并對完整的問題解決過程進行記錄，為后續(xù)開發(fā)和測試提供參考。