4、故障模型与故障类型：单点故障、潜伏故障、多点故障、瞬态/永久/间歇故障的建模方法

在ISO 26262与IEC 61508功能安全标准中，故障建模是安全分析与安全机制设计的基石。故障模型（Fault Model）决定了安全机制如何被触发、诊断覆盖率如何计算，以及安全目标是否能够达成。本章将系统讲解单点故障、潜伏故障、多点故障以及瞬态/永久/间歇故障的建模方法，帮助学员建立从故障现象到安全机制的完整映射能力。

上图展示了故障模型从故障源到安全机制验证的整体路径。在实际工程中，我们需要根据故障的传播路径、时间特性和检测能力，将故障分类并建立对应的数学模型。下面从核心原理、判断方法、案例拆解和常见误区四个维度展开。

4.1 单点故障（Single Point Fault）建模

核心原理

单点故障是指在一个硬件元素中发生的、没有安全机制覆盖且直接导致安全目标违反的故障。在ISO 26262中，单点故障度量（SPFM）用于衡量安全机制对单点故障的覆盖能力。单点故障建模的关键在于识别所有可能导致违反安全目标的硬件失效模式，并计算其失效率贡献。

判断方法

• 故障树分析（FTA）：从顶层安全目标出发，逐层分解至底层硬件故障模式，识别单点故障路径。
• 失效模式与影响分析（FMEA）：对每个硬件单元分析其失效模式，判断是否存在安全机制覆盖。
• 故障注入验证：通过实际注入故障，确认安全机制能否在规定的故障容错时间间隔（FTTI）内响应。

案例拆解：电机控制器电流传感器单点故障

某电动助力转向系统（EPS）的电机相电流传感器发生偏移故障。该传感器输出直接用于扭矩控制算法，若发生偏移且无安全机制，将导致电机输出扭矩异常，违反“防止非预期加速”的安全目标。

参数	数值	说明
传感器失效率 λ	50 FIT	基于SN 29500标准
安全机制	双采样比较	两个独立ADC通道采样
诊断覆盖率 DC	90%	可检测偏移超过±5%
残余故障率	5 FIT	λ × (1-DC)

通过故障注入测试，在传感器输出端叠加偏移电压，验证安全机制在5ms内触发故障标志并进入安全状态。测试结果表明，诊断覆盖率实际达到92%，满足ASIL D对SPFM≥99%的要求。

4.2 潜伏故障（Latent Fault）建模

核心原理

潜伏故障是指在一个硬件元素中发生的、安全机制无法检测且不会立即导致安全目标违反，但与其他故障组合后可能违反安全目标的故障。潜伏故障度量（LFM）用于衡量安全机制对潜伏故障的覆盖能力。潜伏故障建模的核心是识别“双点故障”或“多点故障”中那些未被检测的故障部分。

判断方法

1. 故障传播路径分析：确定故障是否被安全机制检测，若未被检测则标记为潜伏。
2. 诊断间隔评估：潜伏故障的暴露时间取决于诊断测试间隔（如开机自检、周期自检）。
3. 多点故障组合分析：使用故障树或马尔可夫模型分析多个潜伏故障同时存在的概率。

案例拆解：制动系统压力传感器潜伏故障

某线控制动系统（BBW）中，主压力传感器与备份传感器共用同一参考电压源。当参考电压源发生漂移时，两个传感器同时输出偏差，但系统自检无法发现该共性故障。该故障在单次制动中不会导致问题，但若同时发生液压阀卡滞，则可能造成制动失效。

通过故障注入测试，在参考电压源上叠加缓慢漂移信号，验证系统能否在规定的诊断间隔内检测到异常。测试发现，当漂移速率超过0.5V/s时，系统自检无法识别，需要增加独立的电压监测电路。

4.3 多点故障（Multiple Point Fault）建模

核心原理

多点故障是指多个独立故障同时存在，且组合后导致安全目标违反。在ISO 26262中，多点故障分为“被检测的多点故障”（MPF-D）和“未被检测的多点故障”（MPF-U）。多点故障建模通常使用马尔可夫模型或可靠性框图（RBD）来分析故障组合概率。

判断方法

• 故障组合识别：使用FTA中的“与门”逻辑识别多点故障路径。
• 概率计算：计算多个故障同时发生的联合概率，通常假设故障相互独立。
• 安全机制覆盖评估：判断安全机制能否检测到至少一个故障，从而打破故障组合。

案例拆解：安全气囊控制器双传感器多点故障

安全气囊控制器使用两个加速度传感器（主传感器和副传感器）进行碰撞检测。若主传感器发生偏移故障（未被检测），同时副传感器发生通信故障（被检测），则系统可能无法触发气囊。通过故障注入测试，分别注入两种故障，验证系统在单故障和双故障场景下的响应。

故障组合	检测状态	系统响应	安全目标
主传感器偏移 + 副传感器正常	主传感器故障被检测	使用副传感器，正常触发	满足
主传感器偏移 + 副传感器通信故障	副传感器故障被检测	进入安全状态，发出警告	满足（降级模式）
主传感器偏移 + 副传感器偏移（均未被检测）	均未被检测	无法触发气囊	违反

该案例表明，多点故障建模的关键在于识别“未被检测”的故障组合，并通过增加独立诊断机制（如传感器自检）来降低MPF-U的概率。

4.4 瞬态/永久/间歇故障建模

核心原理

根据故障的时间特性，硬件故障可分为三类：

• 瞬态故障（Transient Fault）：由外部干扰（如电磁脉冲、粒子辐射）引起，持续时间短，系统可恢复。
• 永久故障（Permanent Fault）：硬件物理损坏，持续存在，不可恢复。
• 间歇故障（Intermittent Fault）：故障时有时无，通常由接触不良、热漂移或老化引起。

建模方法

瞬态故障通常使用“故障注入窗口”建模，即在特定时间窗口内注入故障信号，观察系统响应。永久故障使用固定失效率建模。间歇故障则使用“开-关”马尔可夫模型，描述故障出现和消失的转换概率。

案例拆解：ECU电源瞬态故障注入

某发动机控制单元（ECU）在车辆启动时受到电源电压跌落干扰，导致微控制器复位。通过故障注入测试，在电源线上叠加±20%的电压跌落脉冲（持续时间100ms），验证看门狗电路能否在复位后正确恢复系统。

故障注入参数设置：
- 电压跌落幅度：12V → 9.6V（-20%）
- 跌落持续时间：100ms
- 上升沿斜率：1V/ms
- 注入位置：ECU电源输入端
- 监测点：MCU复位引脚、看门狗输出

测试结果表明，看门狗在复位后200ms内完成系统初始化，满足FTTI要求。但进一步测试发现，当跌落幅度超过-30%时，看门狗自身也发生复位，导致系统无法恢复。该问题通过增加独立的电源监测电路解决。

4.5 故障建模的工程实践与总结

在实际项目中，故障建模需要结合FMEA、FTA和故障注入测试三种手段。FMEA用于识别故障模式，FTA用于分析故障传播路径，故障注入用于验证安全机制的有效性。下表总结了不同故障类型的建模要点：

故障类型	建模工具	关键参数	验证方法
单点故障	FTA + SPFM计算	失效率、诊断覆盖率	故障注入（单点注入）
潜伏故障	马尔可夫模型 + LFM计算	诊断间隔、暴露时间	故障注入（延迟检测）
多点故障	RBD + 联合概率计算	故障组合概率、检测覆盖率	故障注入（组合注入）
瞬态故障	故障注入窗口模型	注入时间、幅度、持续时间	瞬态故障注入
永久故障	固定失效率模型	失效率、寿命分布	加速老化测试
间歇故障	两状态马尔可夫模型	故障出现率、平均持续时间	重复故障注入

在故障建模过程中，需要特别注意以下几点：

• 故障模型的可追溯性：每个故障模型必须能够追溯到具体的安全目标和安全机制。
• 诊断覆盖率的保守估计：在无法精确测量时，应使用保守值，避免高估安全机制的覆盖能力。
• 故障注入的覆盖率：故障注入测试应覆盖所有关键故障模式，包括边界条件和极端参数。
• 模型与实测的一致性：故障注入结果应反馈到故障模型中，修正失效率和诊断覆盖率参数。